Aktualisieren Ihres Zwei-Faktor-Authentifizierungssystems mit den erforderlichen Horizon Cloud-Pod-Gateway-Informationen

Nachdem Sie die Einstellungen für die Zwei-Faktor-Authentifizierung in der Gateway-Konfiguration eines Horizon Cloud-Pods konfiguriert haben, müssen Sie auch die Konfiguration des entsprechenden Zwei-Faktor-Authentifizierungssystems vornehmen, um Authentifizierungsanforderungen zuzulassen, die von bestimmten Gateway-bezogenen IP-Adressen übermittelt werden.

Die Unified Access Gateway-Instanzen des Gateways versuchen, über bestimmte IP-Adressen mit Ihrem Zwei-Faktor-Authentifizierungsserver zu kommunizieren. Ihr Netzwerkadministrator bestimmt die Netzwerksichtbarkeit des Zwei-Faktor-Authentifizierungsservers für das virtuelle Azure-Netzwerk (VNet) und die Subnetze des Pods. Die Kombination aus dieser Netzwerksichtbarkeit und dem Pod-Gateway-Typ (extern oder intern) bestimmt die spezifischen Gateway-bezogenen IP-Adressen, die Sie in Ihrer Zwei-Faktor-Authentifizierungsserverkonfiguration konfigurieren müssen, damit diese Kommunikation akzeptiert werden kann.

Wichtiger Hinweis:

Sie müssen der Dokumentation folgen, die für Ihr Zwei-Faktor-Authentifizierungssystem geeignet ist.

Ein RADIUS-Zwei-Faktor-Authentifizierungssystem verwendet das Konzept der zulässigen RADIUS-Clients. Beispiel: Wie im FreeRADIUS-Wiki für die FreeRADIUS-Clientkonfiguration beschrieben, enthält die /etc/raddb/clients.conf Datei die Definitionen von RADIUS-Clients wie folgt:

client NAME {
  ipaddr = IPADDRESS
  secret = SECRET
}

Ein RSA SecurID-Zwei-Faktor-Authentifizierungssystem verwendet das Konzept der Authentifizierungsagenten, die für die Kommunikation mit RSA Authentication Manager registriert sind. Beispiel: Wie in der SecurID Authentication Manager-Dokumentation – Hinzufügen eines Authentifizierungsagenten beschrieben, verwenden Sie die Sicherheitskonsole von RSA Authentication Manager, um die erforderlichen IP-Adressen zur internen Datenbank hinzuzufügen.

In diesem Thema werden die Informationen aus Ihrem Horizon Cloud-Pod beschrieben, die Sie in Ihrem Zwei-Faktor-Authentifizierungsserver verwenden müssen, um die Kommunikation zwischen dem Pod-Gateway zu ermöglichen und auch die Stabilität dieser Kommunikation nach jeder Pod-Aktualisierung aufrechtzuerhalten.

Um die Kommunikation von den Unified Access Gateway-Instanzen der Gateway-Konfiguration zu akzeptieren, müssen Zwei-Faktor-Authentifizierungsserver die Kommunikation von den entsprechenden IP-Adressen zulassen.

In der Regel legt Ihr Netzwerkadministrator fest, welchen Netzwerkzugriff der Zwei-Faktor-Authentifizierungsserver auf das VNet und die Subnetze hat, die mit dem bereitgestellten Pod verbunden sind. Die spezifischen Quell-IPs, die von den Unified Access Gateway-Instanzen zur Kontaktaufnahme mit dem Zwei-Faktor-Authentifizierungsserver verwendet werden, sind abhängig von folgenden Faktoren:

• Ob Sie in der Gateway-Konfiguration einen RADIUS- oder RSA SecurID-Typ konfiguriert haben.

• Ob die Gateway-Konfiguration intern oder extern ist

• Ob Ihr Netzwerkadministrator den Zwei-Faktor-Authentifizierungsserver so konfiguriert hat, dass er von innerhalb des Pod-VNet aus erreichbar ist, oder ob er sich außerhalb des VNet befindet

• Über welches Subnetz des Pods in diesem VNet Ihr Netzwerkadministrator den Zugang zum Zwei-Faktor-Authentifizierungsserver konfiguriert hat, wenn der Zwei-Faktor-Authentifizierungsserver über das Pod-VNet erreichbar ist

• RSA SecurID – Externe und interne Gateway-Konfigurationen

  Der RSA Authentication Manager-Server sieht die Kommunikation von den Netzwerkkarten auf den einzelnen Unified Access Gateway-Instanzen. Registrieren Sie in der RSA Authentication Manager-Konfiguration die folgenden Netzwerkkarten-IP-Adressen als Authentifizierungs-Agents:

  • Bei einem externen Gateway die vier Netzwerkkarten im Subnetz des Gateways dmz
  • Bei einem internen Gateway die vier Netzwerkkarten im Subnetz des Gateways tenant .

• RADIUS – Interne Gateway-Konfiguration

  Die für eine interne Gateway-Konfiguration bereitgestellten Unified Access Gateway-Instanzen verwenden die privaten IP-Adressen ihrer Netzwerkkarten, um diesen Zwei-Faktor-Authentifizierungsserver zu kontaktieren. Der Zwei-Faktor-Authentifizierungsserver sieht die Anforderungen von Quell-IP-Adressen, bei denen es sich um die privaten IP-Adressen der Netzwerkkarten handelt. Ihr Netzwerkadministrator hat konfiguriert, ob über den Pod-Verwaltungs-IP-Adressbereich oder den Mandanten-Subnetz-IP-Bereich auf diesen Server zugegriffen werden kann. Die Ressourcengruppe des internen Gateways in Microsoft Azure verfügt über vier (4) Netzwerkkarten, die diesem Subnetz entsprechen: zwei, die derzeit für die beiden Unified Access Gateway-Instanzen aktiv sind, und zwei Netzwerkkarten, die sich im Leerlauf befinden und aktiv werden, nachdem der Pod eine Aktualisierung durchlaufen hat. Um die Kommunikationskonnektivität zwischen dem Gateway und dem Zwei-Faktor-Authentifizierungsserver sowohl für laufende Pod-Vorgänge als auch nach jeder Pod-Aktualisierung beizubehalten, müssen Sie diesen Server so konfigurieren, dass Clientverbindungen von den IP-Adressen der vier Netzwerkkarten in der Ressourcengruppe des internen Gateways in Microsoft Azure zugelassen werden, die dem Subnetz entsprechen, das für diesen Server sichtbar ist. Weitere Informationen finden Sie im folgenden Abschnitt Zulassen der Kommunikation von den IP-Adressen der Pod-Gateway-Netzwerkkarten.

  Hinweis: Fügen Sie für einen auf dem internen Gateway konfigurierten RSA SecurID-Typ die Netzwerkkarten-IP-Adressen für die vier Netzwerkkarten im Mandantensubnetz hinzu.

• RADIUS – Externe Gateway-Konfiguration und der Zwei-Faktor-Authentifizierungsserver ist innerhalb des VNet des Pods zugänglich

  Wenn Ihr Netzwerkadministrator den Zwei-Faktor-Authentifizierungsserver so konfiguriert hat, dass er auf demselben VNet wie der Pod verfügbar ist, verwenden die Unified Access Gateway-Instanzen die privaten IP-Adressen Ihrer Netzwerkkarten, um diesen Server zu kontaktieren. Der Zwei-Faktor-Authentifizierungsserver sieht die Anforderungen von Quell-IP-Adressen, bei denen es sich um die privaten IP-Adressen der Netzwerkkarten handelt. Ihr Netzwerkadministrator hat konfiguriert, ob über den Pod-Verwaltungs-IP-Adressbereich, den Mandanten-Subnetz-IP-Bereich oder den DMZ-Subnetz-IP-Bereich auf den Server zugegriffen werden kann. Die Ressourcengruppe des externen Gateways in Microsoft Azure verfügt über vier (4) Netzwerkkarten, die diesem Subnetz entsprechen: zwei, die derzeit für die beiden Unified Access Gateway-Instanzen aktiv sind, und zwei, die sich im Leerlauf befinden und aktiv werden, nachdem der Pod eine Aktualisierung durchlaufen hat. Um die Kommunikationskonnektivität zwischen dem Gateway und dem Zwei-Faktor-Authentifizierungsserver sowohl für laufende Pod-Vorgänge als auch nach jeder Pod-Aktualisierung beizubehalten, müssen Sie diesen Server so konfigurieren, dass Clientverbindungen von den IP-Adressen der vier Netzwerkkarten in der Ressourcengruppe des externen Gateways in Microsoft Azure zugelassen werden, die dem Subnetz entsprechen, das für diesen Server sichtbar ist. Weitere Informationen finden Sie im folgenden Abschnitt Zulassen der Kommunikation von den IP-Adressen der Pod-Gateway-Netzwerkkarten.

• RADIUS – Externe Gateway-Konfiguration und der Zwei-Faktor-Authentifizierungsserver ist außerhalb des VNet des Pods zugänglich

  Wenn Ihr Netzwerkadministrator den Zwei-Faktor-Authentifizierungsserver außerhalb des VNet des Pods konfiguriert hat, verwenden die Unified Access Gateway-Instanzen der externen Gateway-Konfiguration die IP-Adresse der Azure-Lastausgleich-Ressource des externen Gateways, um diesen Server zu kontaktieren. Sie müssen diesen Server so konfigurieren, dass Clientverbindungen von der IP-Adresse der Lastausgleichsdienstressource des externen Gateways zugelassen werden. Weitere Informationen finden Sie im folgenden Abschnitt Zulassen der Kommunikation vom Lastausgleichsdienst des externen Gateways.

Zulassen der Kommunikation von den IP-Adressen der Pod-Gateway-Netzwerkkarten

Wenn der Pod bereitgestellt wird, erstellt der Pod-Bereitsteller einen Satz von Netzwerkkarten in der Ressourcengruppe des Gateways in Ihrem Microsoft Azure-Abonnement. Die folgenden Screenshots zeigen Beispiele für die Netzwerkkarten für den internen Gateway-Typ und den externen Gateway-Typ. Obwohl die Pod-ID in diesen Screenshots verpixelt ist, können Sie das Muster erkennen, nach dem der Bereitsteller die Netzwerkkarten mit -management``-tenant , und -dmz in diesen Namen benennt. Die Namen der Ressourcengruppen des Pods finden Sie unter First-Gen-Mandanten – Für einen in Microsoft Azure bereitgestellten Pod erstellte Ressourcengruppen.

Sie müssen die IP-Adressen der Netzwerkkarten für die Gateway-Konfiguration abrufen, auf der Sie die Einstellungen für die Zwei-Faktor-Authentifizierung aktiviert haben, die dem Subnetz entspricht, das über Netzwerksichtbarkeit für den Zwei-Faktor-Authentifizierungsserver verfügt, und diese IP-Adressen als zugelassene Clients in der Konfiguration dieses Zwei-Faktor-Authentifizierungsservers angeben.

Wichtig: Um eine Unterbrechung der Konnektivität zwischen Ihrem Zwei-Faktor-Authentifizierungsserver und dem Pod nach einer Aktualisierung zu vermeiden, müssen Sie für jedes Gateway, das Sie mit Einstellungen für die Zwei-Faktor-Authentifizierung konfiguriert haben, sicherstellen, dass die IP-Adressen der unten beschriebenen vier (4) Netzwerkkarten als zugelassene Clients in der Konfiguration Ihres Zwei-Faktor-Authentifizierungsservers angegeben sind. Obwohl nur die Hälfte der Netzwerkkarten während der laufenden Pod-Vorgänge aktiv ist, wechseln sie, wenn der Pod aktualisiert wird. Nach einer Pod-Aktualisierung wird die andere Hälfte der Netzwerkkarten aktiv, und die vor der Aktualisierung aktiven Netzwerkkarten werden bis zur nächsten Pod-Aktualisierung inaktiv. Dann wird erneut gewechselt. Wenn Sie nicht alle Netzwerkkarten-IP-Adressen, also die aktiven sowie auch die inaktiven, zu Ihrer Zwei-Faktor-Authentifizierungsserverkonfiguration hinzugefügt haben, lehnt der Zwei-Faktor-Authentifizierungsserver Verbindungsanforderungen aus der aktuell aktiven Gruppe von Netzwerkkarten nach der Pod-Aktualisierung ab und der Anmeldevorgang für Endbenutzer, die dieses Gateway verwenden, wird unterbrochen.

So rufen Sie die IP-Adressen der Netzwerkkarte des Gateways ab, die zur Konfiguration des Zwei-Faktor-Authentifizierungsservers hinzugefügt werden sollen:

1. Holen Sie von Ihrem Netzwerkadministrator die Informationen darüber ein, welche der Subnetze des Pods über Netzwerksichtbarkeit für den Zwei-Faktor-Authentifizierungsserver (Verwaltung, Mandant oder DMZ) verfügen.
2. Melden Sie sich beim Microsoft Azure-Portal für Ihr Abonnement an und suchen Sie die Ressourcengruppe des Gateways.
3. Für die Netzwerkkarten, die dem Subnetz entsprechen, das laut Ihrem Netzwerkadministrator über Sichtbarkeit für den Zwei-Faktor-Authentifizierungsserver verfügt, klicken Sie auf jede Netzwerkkarte und kopieren Sie deren IP-Adresse.
4. Befolgen Sie die Dokumentation für Ihren Typ des Zwei-Faktor-Authentifizierungssystems, um diese IP-Adressen hinzuzufügen, damit der Zwei-Faktor-Authentifizierungsserver die Kommunikation von diesen Netzwerkkarten akzeptiert.

• Beispiel für das Hinzufügen der IP-Adressen der Netzwerkkarten des Gateways bei Verwendung eines RADIUS-Zwei-Faktor-Authentifizierungsservers

  Der folgende Codeblock veranschaulicht einen Teil der Client-Konfigurationszeilen für die Netzwerkkarten mit IP-Adressen im Mandantensubnetz des Pods für ein internes Gateway, bei dem der Netzwerkadministrator den RADIUS-Server im selben VNet wie der Pod und Zugriff über das Mandantensubnetz des Pods konfiguriert hat. Das Mandantensubnetz des Pods wurde als 192.168.25.0/22 konfiguriert, als dieser Pod bereitgestellt wurde. Wenn der Pod anfänglich bereitgestellt wird, sind NIC1 und NIC2 aktiv und NIC3 und NIC4 inaktiv. Allerdings werden alle vier Netzwerkkarten zur RADIUS-Serverkonfiguration hinzugefügt, um sicherzustellen, dass der RADIUS-Server nach der Pod-Aktualisierung, wenn NIC3 und NIC4 aktiv werden und NIC1 und NIC2 inaktiv werden, weiterhin Verbindungen von diesem Gateway akzeptiert. Beachten Sie, dass Sie die für Ihren RADIUS-Server geeignete Syntax verwenden müssen.

  
  client UAGTENANTNIC1 {
    ipaddr = 192.168.25.5
    secret = myradiussecret
  }
  client UAGTENANTNIC2 {
    ipaddr = 192.168.25.6
    secret = myradiussecret
  }
  client UAGTENANTNIC3 {
    ipaddr = 192.168.25.7
    secret = myradiussecret
  }
  client UAGTENANTNIC4 {
    ipaddr = 192.168.25.8
    secret = myradiussecret
  }
  

RADIUS-Zwei-Faktor-Authentifizierung – Zulassen der Kommunikation vom Lastausgleichsdienst des externen Gateways

Wenn sich der Zwei-Faktor-Authentifizierungsserver außerhalb des VNet des Pods befindet, müssen Sie für das externe Gateway, auf dem Sie diesen Server angegeben haben, die öffentliche IP-Adresse der Azure-Lastausgleich-Ressource des externen Gateways als zulässigen Client in der Konfiguration dieses Zwei-Faktor-Authentifizierungsservers hinzufügen. Sie können die IP-Adresse des Lastausgleichsdiensts abrufen, indem Sie das Microsoft Azure-Portal verwenden und die Lastausgleichsdienstressource in der Ressourcengruppe des Gateways suchen.

1. Melden Sie sich beim Microsoft Azure-Portal für Ihr Abonnement an und suchen Sie die Ressourcengruppe des Gateways.
2. Klicken Sie in der Ressourcengruppe des Gateways auf die Lastausgleich-Ressource. Es hat einen Namen, der das Muster hcs-podID-uag-lbenthält. Die IP-Adresse wird in den Übersichtsinformationen aufgeführt.
3. Befolgen Sie die Dokumentation für Ihren Typ des Zwei-Faktor-Authentifizierungssystems, um die IP-Adresse des Gateway-Lastausgleichsdiensts hinzuzufügen, damit der Zwei-Faktor-Authentifizierungsserver die Kommunikation von dieser IP-Adresse akzeptiert.

• Beispiel für das Hinzufügen der IP-Adresse des Lastausgleichsdiensts des externen Gateways bei Verwendung eines RADIUS-Zwei-Faktor-Authentifizierungsservers

  Der folgende Codeblock ist ein Beispiel zur Veranschaulichung. Beachten Sie, dass Sie die für Ihren RADIUS-Server geeignete Syntax verwenden müssen.

  
  client MYPODUAGEXTLBIP {
    ipaddr = 52.191.236.223
    secret = myradiussecret
  }