AuthGuard Pedir demonstração

VPN e Wi-Fi · RADIUS

A VPN pede a palavra-passe. O telemóvel confirma.

VPNs, firewalls e controladores Wi-Fi ligam-se ao AuthGuard por RADIUS clássico ou RadSec. A pessoa entra com o email e a palavra-passe da conta e confirma com o código da aplicação autenticadora ou aprovando no telemóvel.

Proteger a nossa VPN Ver como funciona
  • RADIUS e RadSec
  • Código ou telemóvel
  • Recusas uniformes
  • Auditoria por decisão
RADIUS · VPN Lisboaexemplo ilustrativo
Firewall→RadSec (TLS)→AuthGuard→Telemóvel

Cliente VPN

VPN Lisboa

ana@exemplo.pt

••••••••••

Telemóvel

Ligar à VPN Lisboa

Tempo restante 25 s

Aprovar
Access-Acceptdecisão registada · radius.classic.access
  1. Palavra-passe
  2. Pedido no telemóvel
  3. Aprovado
  4. Access-Accept

Em vídeo

A VPN pede. O telemóvel confirma.

Locução em inglês, com legendas em português e em inglês. Ecrãs reais do produto; pessoas, organizações e montantes são fictícios.

Como funciona

O mesmo email, o segundo fator certo.

Cada equipamento é um cliente RADIUS com o seu modo de segundo fator. O nome de utilizador é sempre o email da conta e a primeira parte é sempre a palavra-passe.

  1. 01 · Registo

    Registe o equipamento

    Por UDP, identificado pelo endereço de origem e por um segredo partilhado, ou por RadSec, identificado pelo certificado do equipamento.

  2. 02 · Modo

    Código, telemóvel ou ambos

    No modo Código, a VPN pede os seis dígitos ou a pessoa escreve palavra-passe,123456. No modo Telemóvel, a pessoa aprova o pedido. Ou os dois.

  3. 03 · Telemóvel

    Aprovar a tempo

    O pedido mostra o nome da rede. A pessoa aprova dentro da espera configurada, 25 segundos por omissão, com biometria ou PIN.

  4. 04 · Registo

    Cada decisão na auditoria

    Cada decisão fica registada e o seu identificador segue para o equipamento no atributo Class, ligando os registos de contabilização.

Exemplo ilustrativo

Teletrabalho às 8h30, com a VPN de sempre.

O João liga a VPN em casa e escreve o email e a palavra-passe. O telemóvel recebe o pedido Ligar à VPN Lisboa. Ele aprova com a impressão digital e a ligação abre.

Se o utilizador não existir, a palavra-passe ou o código estiverem errados, ou faltar o segundo fator, a VPN recebe sempre a mesma recusa, ao fim de um tempo comparável. O motivo fica na auditoria, não no ecrã de quem tenta adivinhar.

Para a equipa de rede

Ligue o equipamento que já tem.

Transporte

UDP ou TLS

  • RADIUS clássico (UDP) a partir de um endereço fixo
  • RadSec (RADIUS sobre TLS), recomendado através da internet
  • Segredo partilhado gerado e mostrado uma única vez
  • Alterações chegam a todos os servidores em 30 segundos
Segundo fator

Para cada pessoa

  • Códigos TOTP ou HOTP da aplicação autenticadora
  • Aprovação no telemóvel com espera de 5 a 60 segundos
  • Quem só tem código também pode aprovar no telemóvel, se o ligou
  • Tempo de sessão opcional enviado ao equipamento
Prova

Recusas que não revelam nada

  • Mesma recusa para utilizador desconhecido, palavra-passe ou código errados
  • Tempo de resposta comparável em todas as recusas
  • Cada decisão registada como radius.classic.access
  • Identificador da decisão no atributo Class

O que convém saber

  • Não são suportados CHAP, MS-CHAP, EAP (802.1X com certificados), OCRA, Change of Authorization nem Disconnect. Use PAP com código ou telemóvel.
  • Redes Wi-Fi que pedem certificado ou um método EAP ficam fora deste serviço.
  • Quem tiver uma palavra-passe que termine numa vírgula seguida de seis dígitos deve usar um cliente em modo Código, com o pedido de código à parte.
  • A aprovação no telemóvel exige Android 14 ou posterior.

No centro de ajuda

Piloto

Comece por uma VPN.

Um equipamento, de preferência por RadSec, e um grupo de pessoas com telemóvel ou aplicação autenticadora. Configuramos consigo o modo e os tempos.

geral@authguard.pt