Language-
宁盾联动山石网科VPN为长电科技实现多因素认证
客户介绍：
江苏长电科技股份有限公司是全球领先的集成电路制造和技术服务提供商，致力于为全球客户和合作伙伴提供全方位的微系统集成一站式服务，包括集成电路的系统集成封装设计、技术开发、产品认证、晶圆中测、晶圆级中道封装测试、系统级封装测试、芯片成品测试并可向世界各地的半导体供应商提供直运。
项目背景：
宁盾一体化认证系统在为企业各种应用系统在原有账号密码认证基础增加动态密码认证保护，用户可根据需要选择使用短信密码、手机令牌、硬件令牌等动态密码形式，为企业员工、IT管理员、访客接入企业应用及网络提供便捷、提升安全，同时减小企业密码管理成本。
宁盾认证系统可以为企业VPN、网络设备、操作系统、WLAN、WAP、思杰虚拟桌面发布等提供强有力登录身份认证保护。
为解决VPN登录弱密码问题，使用宁盾TMS认证系统做双因素登录保护，后来由于功能更新以及业务需要，本次割接要做到使用宁盾AM认证系统代替TMS系统做hillstone设备VPN的认证。
宁盾多因素认证解决方案：
1. 方案目标
a. 认证系统割：VPN的认证请求指向新AM系统做处理，用户的认证日志信息均可在AM系统查看。
b. 对接TMS系统：之前TMS系统内存在用户与令牌之间的绑定，通过TMS系统与AM系统对接，TMS内的本地用户和动态令牌还可以使用，直到TMS内的动态令牌全部到期后拆除TMS系统.
c. 对接AD域用户：同步AD域控用户作为VPN的用户，后期新采购的动态令牌导入AM系统内和AD用户进行绑定使用。
2. 方案拓扑
1）通过在Hillstone VPN配置第三方RADIUS认证，指向宁盾双因素认证服务器（内置RADIUS 服务器），TMS认证系统校验用户的用户名密码以及动态密码通过后，返回登录成功的消息，用户拨入成功。
如下图所示：Hillstone-VPN将认证配置为RADIUS认证，并将RADIUS服务器地址指向AM认证服务器上，用户拨入VPN的请求，将会被指到AM服务器上做校验。
AM收到用户的认证请求，首先会校验本地是否存在该用户，有则验证密码与动态密码，验证通过后返回成功消息，如果AM平台没有该用户，AM会到TMS系统调取该用户信息，有则校验密码，校验成功用户拨入成功。AM与TMS均没有该用户则报用户名或密码错误。
2）AM收到用户的认证请求，首先会校验本地是否存在该用户，有则验证密码与动态密码，验证通过后返回成功消息，如果AM平台没有该用户，AM会到TMS系统调取该用户信息，有则校验密码，校验成功用户拨入成功。AM与TMS均没有该用户则报用户名或密码错误。
3. 应用场景
a. 用户使用静态加动态密码拨入VPN;
b. 同步AD域作为VPN用户，方便后续加令牌;
c. 登录日志信息可视化.
宁盾多因素认证方案价值：
1通过此方案，客户将VPN的认证切到AM认证服务器上，员工的账号信息硬件令牌等还是存在于TMS系统内，VPN的认证请求到AM后，AM会调取TMS的账户信息进行校验，对客户现有的环境影响最小。
之后采购的硬件令牌将在AM系统内于用户绑定使用，TMS内的令牌完全过期后拆除这台服务器，VPN认证的请求以及用户源均在AM上做校验。
