Check Point VPN的MFA

Check Point VPN是什么？

Check Point VPN是Check Point Software Technologies提供的虚拟专用网络（VPN）解决方案。它在远程用户和企业网络之间创建了安全、加密的连接。这有助于员工在旅行或在家工作时安全地访问公司资源。Check Point VPN是一个客户端到站点VPN，可以安装在Windows、Mac、iOS和Android设备上。它还提供了一个基于网络的门户，可以从不需要安装的浏览器进行连接。Check Point VPN使用IPsec通过验证和加密远程设备和公司网络之间的数据来提供安全连接。

适用于Check Point VPN的MFA软件

为了保护登录安全，Check Point VPN提供双因素身份验证，使用短信作为第二个因素。虽然这通过提示您输入一次性密码提供了额外的安全层，但它不是最安全的身份验证形式。这就是像ADSelfService Plus这样的高级VPN MFA解决方案的用处。借助高度安全的身份验证方法和自适应MFA，您将享受无缝和安全的登录过程。ADSelfService Plus还帮助您遵守NIST SP 800-63B、HIPAA、NYCRR、FFIEC、PCI DSS和GDPR等法规和授权。

ADSelfService Plus提供了一个直观的门户，您可以从各种单向和基于挑战的身份验证器中选择您首选的MFA身份验证方法。也可以为特定Check Point VPN用户组配置MFA策略，因此该组中的所有用户都需要使用相同的登录流程。

使用ADSelfService Plus设置Check Point VPN后，登录过程如下：

1. 用户打开Check Point VPN。
2. 用户使用其AD域凭据完成第一阶段的身份验证。
3. 如果成功，ADSelfService Plus 会启动 MFA 流程，最多涉及三个身份验证阶段。
4. 一旦用户完成MFA过程，他们就会登录Check Point VPN。

为Check Point VPN启用MFA

以下是如何为Check Point VPN登录配置ADSelfService Plus的MFA：

先决条件

• 确保您拥有启用Endpoint MFA的ADSelfService Plus专业版许可证。
• 在 ADSelfService Plus 中启用 HTTPS，前往“管理”>“产品设置”>“连接”。
  注意：如果您在ADSelfService Plus for HTTPS中使用不受信任的证书，请在“配置”>“管理工具”>“GINA/Mac/Linux（Ctrl+Alt+Del）”>“GINA/Mac/Linux自定义”>“高级”下存在无效SSL证书时禁用“限制用户访问”选项。
• NPS 扩展将使用“管理”>“产品设置”>“连接”>“配置访问 URL”下配置的访问 URL，用于与 ADSelfService Plus 服务器通信。在安装 NPS 扩展之前，请确保访问 URL 已更新。
• 在活动目录中，在用户的拨号属性中设置通过NPS网络策略控制访问的网络访问权限。
• 配置您的Check Point VPN网关以使用RADIUS身份验证。
• RADIUS 服务器必须是启用 NPS 角色的 Windows Server（Windows Server 2008 R2 或更高版本）。
• 在Windows NPS服务器上，设置连接请求策略的身份验证设置，以验证此服务器上的请求。

配置ADSelfService Plus

第1步：启用所需的身份验证器

1. 以管理员身份登录 ADSelfService Plus。
2. 前往“配置”>“自助服务”>“多重认证”>“身份验证器设置”。
3. 启用Check Point VPN登录所需的身份验证器。
4. 点按“保存”。

第2步：为VPN登录启用MFA

1. 前往“端点的 MFA”标签。
2. 从“选择策略”下拉菜单中，选择一个策略，该策略将决定将为VPN登录启用MFA的用户。单击此处了解有关创建OU或基于组的策略的更多信息。
3. 在“MFA for VPN Logins”部分，选中该框，并使用下拉选项选择身份验证因子的数量和身份验证方法。
4. 点按“保存设置”。

第3步：安装NPS扩展

安装 NPS 扩展并重新启动 NPS 窗口服务。

设置已完成。当用户登录Check Point VPN使用所选身份验证方法验证其身份时，系统会提示他们进行MFA。

从各种认证器中进行选择

实施ADSelfService Plus的MFA的优势

• 有条件访问

  通过评估IP地址、访问时间、设备和位置等风险因素，您可以根据情况增加或减少安全措施。例如，对于从不熟悉的设备登录或在非高峰时段登录，可以增加MFA要求。

• 实时审计报表

  通过有关尝试时间、设备类型和IP地址的详细报表，全面了解用户MFA活动。还可以获取有关所有MFA注册用户、MFA故障和受信任设备的报表。这些报表可以安排定期生成，并发送到您选择的电子邮件地址。

• 完整的端点保护

  扩展您的身份验证选项，包括Windows、MacOS和Linux机器，以及领先的VPN提供商。MFA也可以为Outlook on the Web登录和支持RADIUS身份验证的端点实现。

支持的VPN提供商和非VPN RADIUS端点：