FreeIPA LDAP+TOTP + RADIUS + Mikrotik возможно?

Можно ли как-то приделать TOTP к этой конструкции? Если нет, то может быть для достижения этой цели можно развернуть standalone сервер L2TP/IPSec (strongSwan или что-то ещё) на чём-то с такой аутентификацией?

А где тут связь? RouterOS знает про RADIUS, больше Микротику ничего не интересно и не нужно. Дальше вопрос в прикручивании всего к FreeRADIUS.

Я хотел сказать о том, что может быть с RADIUS это невозможно реализовать и надо использовать некий VPN-сервер, который умеет напрямую в LDAP + OTP, т.е. без RADIUS.

Я хотел сказать о том, что может быть с RADIUS это невозможно реализовать

https://ru.wikipedia.org/wiki/RADIUS

То есть вопрос вовсе не имеет отношения к протоколу RADIUS и NAS (в данном случае Микротику). А вот к RADIUS-серверу имеет. Сервер, работая с NAS по протоколу RADIUS, сам может реализовывать какие угодно механизмы подготовки паролей. Так что вопрос в том, умеет ли запрашиваемое FreeRADIUS.

Хотя если NAS умеет что-то такое без RADIUS, то к NAS это может иметь отношение. Но тогда FreeRADIUS уже не при чём.

Я покопался и пока реализовал такую схему (вероятно не самую правильную):

В Микротике включил PAP для L2TP/IPSec сервера (MS CHAPv2 only только для логина в роутер, для L2TP/IPSec выбор есть)

В RADIUS заново сделал аутентификацию по LDAP.

И теперь я могу логиниться в L2TP/IPSec сервере (который предоставляет Микротик) со своими учётными данными LDAP и с применением OTP.

но теперь не могу применить HBAC. вернее RADIUS сервер разрешает логин юзера невзирая на политики HBAC в FreeIPA, хотя allow_all отключено и логина быть не должно.

Выглядит так, будто бы RADIUS в LDAP только учётные данные смотрит, а решение об аутентификации принимает сам.

Мне ещё посоветовали второй вариант - настроить RADIUS с бэкендом PAP вместо бэкенда LDAP. и тогда (если я всё правильно понял) можно будет оставить MS CHAP и должны будут применяться политики HBAC и вообще аутентификацией рулить FreeIPA (что я бы хотел в конце концов).

Но вероятно настройка RADIUS + PAM это больше, чем прст закомментить упоминание LDAP в конфигах и раскоментить PAM.

Можешь ли ты что-нибудь подсказать по этому поводу?

сервер L2TP/IPSec с такой аутентификацией

мне тоже эта связка интересна, и я курил какие-то маны, но дальше теории не зашло.

основной вопрос: как клиент l2tp будет запрашивать TOTP токен у пользователя.

встречал костыли следующего характера: а вы вписывайте в поле для пароля сам пароль, некий разделитель и далее токен. радиус, типа, поймет и распарсит (далее портянки конфигов для этого самого парсинга)

но это же костылище..

как я выше описал, я сейчас заставил работать связку ldap credentials + TOTP.

для юзера это выглядит достаточно прозрачно - пароль вводится ввиде «password+TOTP». т.е. при password=qwerty1234 и TOTP=2020 юзер должен ввести в поле пароля «qwerty12342020».

правда есть пара моментов - протокол PAP, который передаёт пароли от клиента к серверу. говорят, что при применении RADIUS пароль хэшируется с учётом preshared_secret и вроде как при применении L2TP/IPSec это всё должно быть внутри IPSec.

ну и пока не получилось реализовать управление через LDAP, типа только члены группы могут подключаться к VPN и т.п.