2 posts marcados com "MFA"

O nginx open-source não possui um módulo CAS, então "autenticação CAS no nginx" na prática significa uma das duas configurações. Ou o nginx consulta um serviço de autenticação sobre cada solicitação através de seu módulo auth_request, e o Casdoor responde (diretamente em /api/forward-auth, ou através de casdoor-forward-auth ou OAuth2 Proxy), ou o aplicativo atrás do nginx é ele próprio um cliente CAS e conversa com os endpoints do servidor CAS do Casdoor. Se você puder recompilar o nginx, o módulo nginx do Casdoor executa o login dentro do nginx, e se você preferir não executar o nginx, o proxy de site do Casdoor pode ficar na frente do aplicativo. Em todos os casos, a página de login é a do Casdoor, então uma sessão SSO, um conjunto de permissões e uma política MFA cobrem todos os aplicativos.

Para colocar autenticação multifator na frente de uma VPN com RADIUS, o gateway da VPN envia o nome de usuário e a senha para o servidor RADIUS usando PAP, o servidor verifica a senha e responde com um Access-Challenge, o cliente exibe um prompt e o usuário digita o código 2FA de um aplicativo autenticador em uma segunda solicitação. O Casdoor inclui um servidor RADIUS que faz exatamente isso para usuários que configuraram TOTP, então um gateway capaz de exibir um prompt Access-Challenge (o FortiGate SSL VPN é um cujo fabricante documenta isso) obtém uma senha mais um código 2FA sem nenhum software adicional. Wi-Fi com WPA2/WPA3-Enterprise é diferente: 802.1X roda sobre EAP, que não tem lugar para um código digitado, então o Casdoor tem uma opção para pular o código para esses clientes.