Die meisten VPNs für kleine Büros melden sich immer noch nur mit einer Konfigurationsdatei an. Wer auch immer diese Datei besitzt, besitzt die Schlüssel zu Ihrem Netzwerk. Dieses Upgrade fügt jeder Anmeldung ein benanntes Konto, ein Passwort und einen Einmalcode hinzu – mithilfe des in Ihre Firewall integrierten OpenVPN.
Im Video findet das gesamte Upgrade innerhalb der Firewall-Administratoroberfläche statt: Öffnen Sie die Firewall-Adresse in einem Browser, gehen Sie zu OpenVPN, öffnen Sie die Server-Einstellungen und führen Sie zunächst die Authentifizierung durch. Hier ist weder ein neuer Server noch ein kostenpflichtiges Add-on erforderlich. Allerdings ist die Reihenfolge wichtig – vertauschen Sie die Dinge in der falschen Reihenfolge und Sie können alle aussperren, auch sich selbst. Diese Seite folgt der sicheren Reihenfolge: Prüfen, authentifizieren, jeden Benutzer benennen, MFA hinzufügen, die Konfigurationen ersetzen und dann testen.
Ein Standard-OpenVPN-Setup authentifiziert die Datei, nicht die Person. Die Client-Konfiguration enthält das Zertifikat und die Schlüssel, sodass eine kopierte Datei – von einem alten Laptop, einem USB-Stick, einer weitergeleiteten E-Mail – genau wie der echte Benutzer eine Verbindung herstellt. Es gibt kein zu änderndes Passwort und keine Möglichkeit zu fragen: „Wer war das?“ nachher. Wenn Ihr Büro immer noch eine gemeinsame Konfiguration für alle ausführt, ist diese Datei praktisch ein Generalschlüssel für Ihr LAN und wurde wahrscheinlich öfter kopiert, als sich irgendjemand erinnern kann.
Die erste Änderung im Video betrifft die OpenVPN-Servereinstellungen der Firewall: Wählen Sie Authentifizierung mit Benutzername und Passwort und Speichern. Ab diesem Moment reicht eine Konfigurationsdatei allein nicht mehr aus – der Client fragt auch, wer Sie sind. Tun Sie dies vor dem Erstellen von Benutzern nur dann, wenn Sie den gesamten Job in einer Sitzung erledigen können; Andernfalls erstellen Sie zuerst die Benutzer (nächster Schritt) und legen Sie diesen Schalter um, wenn mindestens das Administratorkonto vorhanden ist und getestet wurde. Die Regel ist einfach: Aktivieren Sie niemals eine Anmeldeanforderung, bevor die Anmeldungen vorhanden sind.
Als nächstes erstellt das Video die Benutzerliste im Lokalen Verzeichnis: Öffnen Sie Lokales Verzeichnis konfigurieren, fügen Sie jede Person mit ihrem Namen, ihrem vollständigen Namen und einem richtigen Passwort hinzu und speichern Sie dann. Ein Konto pro Mensch – niemals ein einziger „Büro“-Login, den sich fünf Personen teilen. Benannte Konten machen alles andere in diesem Handbuch möglich: MFA wird pro Konto registriert, der Zugriff wird pro Konto widerrufen und die Verbindungsprotokolle haben endlich eine Bedeutung, weil jede Zeile einen echten Namen trägt.
Dies ist das Herzstück des Upgrades. Für jedes Konto verwendet das Video die Option MFA-Client-Konfiguration hinzufügen und speichert sie; Der Server bietet dann einen MFA-Schlüssel oder QR-Code für diesen Benutzer an. Der Benutzer scannt den QR-Code mit einer Authentifizierungs-App (Google Authenticator, Microsoft Authenticator oder eine beliebige TOTP-App) und von da an benötigt jede Verbindung drei Dinge: die Konfigurationsdatei, den Benutzernamen und das Passwort sowie den sechsstelligen Code vom Telefon. Eine gestohlene Konfiguration oder ein geleaktes Passwort alleine bringt jetzt nichts mehr. Melden Sie jede Person mit ihrem eigenen Telefon an – der QR-Code ist geheim und sollte niemals als Screenshot verschickt werden.
Nachdem MFA aktiviert ist, gehen Sie zurück und laden Sie die Client-Konfigurationsdatei für jeden Benutzer von derselben Schnittstelle herunter, so wie es im Video der Fall ist, und bitten Sie jeden Benutzer, die neue Konfiguration in den OpenVPN-Client zu importieren und die alte zu löschen. Behandeln Sie die neuen Dateien wie Schlüssel: Geben Sie sie über einen Kanal Ihres Vertrauens weiter, nicht in einem Gruppenchat. Bei der ersten Verbindung mit dem neuen Setup werden der Benutzername, das Passwort und dann der einmalige Zeitcode abgefragt. Wenn sich ein Benutzer immer noch ungefragt verbindet, verwendet er eine alte Konfiguration oder eine alte Sitzung, und diese muss noch am selben Tag ermittelt werden.
Bevor Sie alle Laptops berühren, überprüfen Sie die gesamte Kette mit einem Testkonto: Verbinden, Anmeldeinformationen eingeben, Code eingeben, eine Office-Anwendung öffnen, trennen, erneut verbinden. Erst dann Person für Person ausrollen. Bewahren Sie das Konfigurations-Backup der Firewall von vor auf, bis eine ganze Woche ohne Beanstandungen vergangen ist – es ist Ihr Weg zurück, wenn etwas subtiles kaputt geht. Das Video schließt mit einem wichtigen praktischen Hinweis: Testen Sie die endgültige Einrichtung von einem wirklich externen Netzwerk aus (mobile Daten funktionieren), denn ein VPN, das nur vom Büro aus funktioniert, beweist nichts.
Jeder Klick wird live angezeigt – Authentifizierungseinstellungen, lokale Verzeichnisbenutzer, der MFA-QR-Code und die erste Verbindung mit einem Einmalcode.
▶️ Watch Full VideoBei dem im Video gezeigten Firewall-basierten OpenVPN ist die zweistufige Verifizierungsoption in die Servereinstellungen integriert – Sie aktivieren sie pro Benutzerkonto und registrieren sich mit einer kostenlosen Authentifizierungs-App. Im Video wird kein separates MFA-Produkt gekauft.
Drei Dinge der Reihe nach: Sie öffnen die Verbindung mit ihrer Client-Konfiguration, geben ihren Benutzernamen und ihr Passwort ein und geben dann den sechsstelligen Einmalcode ein, der in ihrer Authentifizierungs-App angezeigt wird. Der Code ändert sich alle 30 Sekunden.
Sie können die Datei behalten, aber die gemeinsame Nutzung eines Kontos macht das Upgrade zunichte. MFA und Widerruf funktionieren nur, wenn jede Person über ein eigenes benanntes Konto verfügt. Erstellen Sie daher zunächst ein lokales Verzeichniskonto pro Person, genau wie im Video gezeigt.