面临的挑战

1.安全威胁

VPN可帮助企业实现远程办公，员工在外网办公环境下借助派拓网络PaloAlto VPN可访问内部应用资源。但仅靠用户名密码登录验证不足以防范现代IT环境中复杂多变的安全风险，因此需要为派拓网络PaloAlto VPN实施多因子认证（MFA）。

2.管理负担

为防止VPN账号信息泄露，企业通常强制要求定期更换登录密码，给员工及IT运维人员增加额外负担。其次，离职员工账号不及时回收，也会增加IT的安全风险，进一步加重管理员负担。

宁盾解决方案

1.派拓网络PaloAlto VPN多因子认证解决方案概述

静态密码只能对VPN用户身份的真实性进行低级认证。宁盾NingDS中的多因子认证模块为派拓网络PaloAlto VPN增添加二次身份验证，通过提供手机令牌、短信令牌、APP推送认证等多种动态口令形式保障账号安全。

宁盾NingDS多因子认证服务器会生成、验证动态口令，无缝支持AD/LDAP等本地账号源，接管VPN账号的静态密码认证工作。员工打开派拓网络PaloAlto VPN进行用户名+静态密码认证后还需要获取动态口令完成二次验证，两次验证都通过后才能获得访问权限。

2.宁盾动态口令形式

手机令牌

基于时间的动态口令，由手机APP生成。基于时间同步技术，宁盾令牌APP每60秒随机生成一个动态验证码，宁盾认证服务器能够验证这个变化的密码是否有效。

短信令牌

在用户完成派拓网络PaloAlto VPN账号密码认证之后，宁盾NingDS多因子认证服务器会随机生成一个动态口令并通过短信网关发送到绑定的用户手机上，用户输入该短信验证码并提交验证通过后才能完成登录认证。由于短信验证码是一次性使用的，他人即使盗用了，也无法再次使用，有效保证了账号安全。

APP推送认证

通过一键授权，免除动态口令输入环节，实现安全认证

H5令牌

将宁盾令牌集成到企业微信/钉钉等APP内形成H5令牌

微信小程序令牌

将宁盾令牌集成到微信小程序内，用户无需额外安装手机APP

3. 派拓网络PaloAlto VPN多因子认证流程（单步认证）

宁盾认证服务器侧配置

1）添加设备及设备可调用策略

2）创建用户，为用户绑定令牌

PaloAlto侧配置

3）添加RADIUS服务器

方案价值

账号双重保护：宁盾多因子认证在派拓网络PaloAlto VPN原有账号密码认证基础之上增加一层动态口令认证，以此提升VPN用户接入认证安全，解决弱身份鉴别可能引发的内网信息泄漏隐患。

多令牌结合：结合短信令牌、手机令牌、APP推送认证等多种动态口令形式的各自优势，允许客户按需选择令牌组合。

无缝集成：宁盾NingDS下多因子认证工具内置RADIUS认证模块，对接AD、LDAP等标准账号源结合以及本地应用和SaaS应用。

简化实施管理：宁盾基于云的多因子认证方案，无需安装部署，开箱即用，大幅减轻IT运维负担；减少企业因VPN静态密码定期强制更改，节约账号管理成本，优化用户体验。

宁盾NingDS可为PaloAlto VPN实施多因子认证解决方案，欲了解更多详情可前往宁盾官网咨询。