Open VPN с TOTP (расширение Azure MFA NPS)

Решением здесь будет добавление следующей записи в реестр на сервере RADIUS с установленным плагином Azure NPS:  
Ключ = HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AzureMfa  
Имя = OVERRIDE_NUMBER_MATCHING_WITH_OTP  
Значение = FALSE  
Тип = String

Привет, мне удалось настроить аутентификацию через RADIUS с помощью NPS на Windows Server 2019, я также протестировал VPN — всё работает, как нужно. Отличное начало.  

Итак, подтверждаешь 100%, что всё работает с RADIUS, но без установленного расширения NPS..? Нет смысла устанавливать Azure NPS Extension, если нормальный RADIUS сначала не работает.  

После этого я установил «NPS extension for Azure MFA» и подключился к нужному тенанту под глобальным администратором тенанта. Предполагаю, что ты запустил скрипт настройки и указал правильный tenant ID и так далее… Я также добавил реестровый ключ, который ты выложил, и перезагрузил весь сервер.  

Окей, потом я добавил в конфигурацию клиента строчку для отображения дополнительного окна ввода OTP:  
static-challenge «comment» 1.  

Тебе точно не нужно этого делать. Убери эту строку. Пользователь не отправляет код OTP на RADIUS-сервер при подключении. Вместо этого расширение NPS отправляет запрос в Azure, который потом шлёт запрос MFA на устройство пользователя. Когда пользователь подтверждает — ПОСЫЛАЕТСЯ ОТВЕТ ACCEPT обратно в NPS, который уже аутентифицирует ответ.  

Нужно увеличить таймаут RADIUS на микротике примерно до 60 секунд, чтобы хватило времени на весь этот процесс и чтобы пользователь успел ответить.  

Microsoft 365 Business Standard — хороший вопрос. Не уверен. Включает ли Business Standard условный доступ? Кажется, только Security Defaults. Попробуй добавить лицензию Azure AD P2 своему глобальному администратору, возможно, в тенанте должен быть хотя бы один из пакетов Business Premium, E3, Azure P2 и т.п., чтобы это работало.  

Кажется, я что-то упускаю. Несколько вещей, которые стоит проверить…  
a) Очевидно, что пользователи должны быть зарегистрированы в MFA, и их метод по умолчанию — «Microsoft Authenticator — уведомление через приложение» (или что-то похожее). Например, если пользователь зайдёт на https://aka.ms/mfasetup/ и войдёт, появляется ли у него запрос из приложения Microsoft Authenticator?  
b) Они должны пользоваться именно Microsoft Authenticator, а не каким-то другим аутентификатором.  

Дай знать, как пойдёт.

Здравствуйте, большое спасибо за ваш ответ. Конечно, пользователь зарегистрировался в MFA через Microsoft Authenticator. Я удалил строку static-challenge "comment" 1 из конфигурации OVPN, и всё начало работать. Сейчас MFA настроена через legacy MFA, где можно включать или отключать её для каждого пользователя отдельно (потому что в данный момент я не могу включить её для всего арендатора). В ближайшие несколько недель мы планируем подключить security defaults, и мне очень интересно, как это будет работать с ними.

Сейчас у нас только лицензии Business Standard. Документация по расширению NPS для многофакторной аутентификации Azure AD (https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-nps-extension) говорит, что для этого нужна лицензия Azure AD Multi-Factor Authentication. Здесь (https://learn.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-licensing) я нашёл, что «Azure AD Multi-Factor Authentication можно включить для всех пользователей с помощью security defaults», так что я полагаю, что security defaults — это своего рода многофакторная аутентификация Azure AD с ограничением, что её нельзя настраивать по пользователям и создавать правила условного доступа.

Ещё раз спасибо за помощь. Я сообщу здесь обновления, если найду какую-то дополнительную информацию.