Работа сервера JAS с сервером RADIUS

Большая часть различных служб (VPN, VDI, pam.d и др.), далее "Прикладная система", может использовать для аутентификации сервер RADIUS.

           В связи с этим предусмотрен плагин для NPS (JAS NPS Plugin), который перенаправляет аутентификацию на сервер JAS. В своих настройках плагин имеет, в частности, значение адреса сервера JAS.

Также можно использовать в качестве сервера RADIUS кроссплатформенный freeradius, изменив его конфигурацию, для чего необходимо указать URL сервера аутентификации (JAS).

Исходя из этого, в Прикладной системе настраивается аутентификация через RADIUS указанием адреса сервера NPS, на котором установлен плагин.

          Некоторые Прикладные системы позволяют настраивать отдельные факторы, т.е. один фактор, например, LDAP (тот же Active Directory) и другой - RADIUS. В этом случае на JAS осуществляется выпуск токенов с режимом аутентификации OTP. Т.е. пользователь вводит в одной форме или последовательно в разных полях пароль Windows (который проверяется на сервере LDAP, указанном в настройках Прикладной системы), и одноразовый пароль OTP (отправляется на сервер RADIUS), или в обратном порядке.

        Наиболее используемый вариант - в Прикладной системе указывается единственный вариант - RADIUS. В этом случае на JAS осуществляется выпуск токенов с режимом аутентификации Пароль Windows + OTP. Пользователю выдается форма с одним полем для ввода пароля, куда последовательно вводится пароль Windows и пароль OTP без пробелов и разделителей (например P@ssw0rd123456). Данная пара логин-пароль отправляется на RADIUS и далее на сервер JAS, который разбирает эту строку на пароль Windows, проверяя его обращением к службе каталогов, и одноразовый пароль, сверяя его по своим алгоритмам вычисления пароля.