防火墙双因子认证的一些问题

方案一：防火墙直接集成（独立部署，适用性强）

这种方式将防火墙作为认证核心，不依赖外部服务器，配置简单。具体功能取决于设备型号和软件版本（Comware V7平台对短信网关和证书有较好支持），尤其适合Web管理界面（HTTP/HTTPS）的登录认证。

A. 短信认证

1. 准备材料：向短信服务商（如亿美软通、阿里云、腾讯云等）申请并获得API接口地址、App ID、Secret Key等凭证。

2. 创建短信网关：

   <H3C> system-view

   [H3C] sms-gateway sg1 # 创建短信网关实例 [H3C-sms-gateway-sg1] server-address ***.*** # 短信平台API地址 [H3C-sms-gateway-sg1] http-method post # 根据平台选择GET或POST [H3C-sms-gateway-sg1] http-content "appid=xxx&secret=yyy&phOne=$phone&code=$code" # API请求参数 说明：部分新版平台支持直接使用sms-platform命令选择内置的阿里云、腾讯云等，配置更简化。

3. 关联认证：进入 [H3C] web-authentication 视图，设置authentication-mode为sms（或同时启用多种方式），并将短信网关sg1与认证策略绑定。同时在本地用户配置中，使用 [H3C-luser-manage-admin] phone-number 13800000000 命令为用户绑定接收验证码的手机号。

B. 数字证书+密码认证

这种方式通过数字证书对用户进行强身份校验，安全性高。

1. 准备材料：准备好CA根证书文件（ca1-root.cer）、防火墙本地证书文件（ca1-fw.cer）及对应的私钥文件（ca1-fw.key）。

2. 配置PKI：

   <H3C> system-view

   [H3C] pki domain ca1
   [H3C-pki-domain-ca1] ca identifier ca1
   [H3C-pki-domain-ca1] certificate request url http://10.1.1.1 # 如有必要
   [H3C-pki-domain-ca1] quit

3. 导入证书：通过FTP/TFTP将准备好的证书文件导入设备，或使用Web界面上传。

4. 关联认证：

   [H3C] local-user admin class manage

   [H3C-luser-manage-admin] password simple your_password
   [H3C-luser-manage-admin] service-type web
   [H3C-luser-manage-admin] authorization-attribute user-role network-admin
   [H3C-luser-manage-admin] ca-name ca1 # 绑定用户与CA域
   [H3C] web-authentication
   [H3C-web-authentication] authentication-mode certificate # 启用证书认证
   说明：用户登录时需提供证书和密码，实现双因子认证。

 方案二：对接第三方认证服务器（集中管理，适用于SSL VPN等）

当需要与企业现有账号体系（如AD/LDAP）集成或为SSL VPN等高级业务提供双因子认证时，此方案是更好的选择。

1. 部署第三方服务器：部署一台支持RADIUS协议的第三方双因子认证服务器，例如宁盾DKEY AM、H3C iMC等。

2. 配置防火墙RADIUS：

   <H3C> system-view

   [H3C] radius scheme 2fa_server
   [H3C-radius-2fa_server] primary authentication 10.1.1.100 # 服务器IP
   [H3C-radius-2fa_server] key authentication simple your_key # 共享密钥
   [H3C-radius-2fa_server] user-name-format without-domain
   [H3C-radius-2fa_server] quit [H3C] domain 2fa_domain
   [H3C-isp-2fa_domain] authentication login radius-scheme 2fa_server
   [H3C-isp-2fa_domain] authorization login radius-scheme 2fa_server
   [H3C-isp-2fa_domain] accounting login radius-scheme 2fa_server

3. 应用认证域：

   • Web管理登录：在 user-interface vty 0 4 下指定认证模式为scheme并关联2fa_domain。

   • SSL VPN业务：在SSL VPN上下文配置中调用该认证域。

 最后一步：验证与排错

配置完成后，务必进行验证测试。如果遇到问题，可以：

• 检查日志：使用display logbuffer命令查看防火墙日志，定位是连接问题、协议问题还是用户凭证问题。

• 开启调试：使用debugging radius all或debugging web-auth all等命令查看详细的交互过程。

• 测试连通性：确保防火墙与短信网关或RADIUS服务器网络可达，无安全策略阻断。