OpenVPN

Esta guía explica cómo integrar OpenVPN Access Server con Ironchip por SAML o por RADIUS a través de NPS.

SAML

Requisitos

• OpenVPN Access Server configurado.
• Acceso a la consola de administración de Ironchip.

Configuración en Ironchip

1. Ve a Applications y haz clic en New Application.

2. Ponle un nombre descriptivo a la aplicación y selecciona el tipo de integración SAML.

   

3. Al seleccionar el tipo, aparece abajo el botón Download metadata file. Descarga los metadatos: se los proporcionarás al proveedor de servicio (SP), en este caso OpenVPN.

Configuración en OpenVPN

1. En OpenVPN, ve a Authentication > SAML.

   

2. Activa SAML. A continuación introducirás los metadatos descargados.

   

3. OpenVPN ofrece dos opciones para introducir los metadatos: con el archivo descargado o de forma manual. En esta guía se usa el archivo: en Configure Identity Provider (IdP) Automatically via Metadata, haz clic en Seleccionar archivo.

   

4. Selecciona el archivo de metadatos y haz clic en Upload. Para comprobar que se ha añadido correctamente, ve a la configuración manual: los campos deben estar rellenos con los datos correspondientes.

   

5. Añade los metadatos del SP (OpenVPN) a la aplicación de Ironchip. En el apartado Service Provider (SP) identity and URL, copia la URL de SP Identity.

   

6. Pega esa URL en el campo Metadata URL de la aplicación que estás creando en la consola de administración de Ironchip.

   Nota

   En la versión actual de la consola, este campo está en el apartado Service Provider (SP) de la aplicación: en SP Metadata, elige URL, pega la URL y haz clic en Import.

7. En OpenVPN, ve a Authentication > Settings, selecciona SAML como método de autenticación, haz clic en Save Settings y después en Update Running Server para aplicar los cambios.

   

Dar acceso a los usuarios

1. Entra en la aplicación creada en la consola de Ironchip y haz clic en el botón verde Add access.

   

2. Selecciona el usuario que hará la autenticación.

   

3. Selecciona el nombre de usuario con el que accederá a la VPN.

   

4. Configura las condiciones de acceso.

   

Comprobación con el cliente de OpenVPN

Al crear una nueva conexión en el cliente, te redirige al portal de cliente de OpenVPN, donde puedes elegir entre usar un usuario local o SAML.

RADIUS

Requisitos

• El rol de NPS instalado en un servidor.
• Acceso a la interfaz de administración de OpenVPN con permisos de administrador.
• Acceso a la consola de administración de Ironchip con permisos de administrador.

Configuración en Ironchip

1. Ve a Applications y selecciona MFA Integrations.

   

2. Haz clic en ADD MFA y ponle un nombre descriptivo, en este caso OpenVPN.

   

3. En la ventana siguiente, copia o descarga las credenciales.

   

4. Vuelve a Applications y selecciona New Application. Añade un nombre descriptivo, selecciona el método de integración que acabas de crear y, en el apartado que se habilita, añade la política que crearás más tarde en el servidor.

   

Configuración de NPS

1. Crea dos grupos en el Directorio Activo: uno para autenticar con Ironchip y otro para los usuarios que no necesitan MFA.

2. Con los grupos creados y los usuarios asignados, abre la administración de NPS y crea una política de red.

   

3. En la ventana siguiente, haz clic en Add > User Groups y añade uno de los grupos creados.

   

4. Haz clic en Next hasta llegar a Configure Authentication Methods. Marca Encrypted authentication (CHAP) y Unencrypted Authentication (PAP, SPAP). Haz clic en Next hasta finalizar.

   

5. Ve a RADIUS Clients y crea un cliente RADIUS que apunte a OpenVPN Server. Indica un nombre descriptivo (el del SP al que apunta), la IP y el secreto compartido, que puedes escribir o generar automáticamente.

   

6. En la consola de Ironchip, ve al apartado Plugins y descarga el plugin de NPS en el servidor.

   

7. Ejecuta el plugin, acepta los términos y condiciones y rellena los parámetros:

   • La API key, que está en el archivo de credenciales que descargaste al crear la integración MFA.
   • En NPS Policies, la política que quieres proteger con Ironchip.

   

Configuración en OpenVPN Server

1. En la interfaz de administración de OpenVPN, ve a Authentication y selecciona RADIUS. Activa RADIUS y los accounting reports.

   

2. Ve a RADIUS Server, añade la IP del servidor donde has configurado NPS y el secreto que pusiste en el cliente RADIUS.

   

Dar acceso a los usuarios

Para que un usuario acceda a la VPN, además de estar en el grupo del Directorio Activo, tienes que generarle un acceso en la aplicación de la consola de Ironchip.

1. Entra en la aplicación en la consola de Ironchip y haz clic en Add Access.

   

2. Aparecen los usuarios y grupos de la plataforma. Selecciona el usuario que hará la autenticación.

   

3. En la ventana siguiente se pide un User Name. Por defecto está el email: elimina la etiqueta por defecto y escribe el nombre de usuario. Si tienes el Directorio Activo sincronizado, con AD Connect para un directorio on-premise o con una aplicación empresarial de Entra ID (antes Azure AD), puedes usar la etiqueta samAccountName.

   

4. Configura las condiciones de acceso.

   

Comprobación con el cliente de OpenVPN

En el cliente de OpenVPN, genera un nuevo perfil y usa las credenciales del dominio para conectarte a la VPN.

Al generar el perfil, te pide autenticarte.