Cisco ASA SSL VPN 的 Duo RADIUS 雙重認證是一種安全機制，旨在為使用 Cisco ASA（Adaptive Security Appliance）設備的虛擬專用網路（VPN）提供額外的安全層。這種雙重認證方法結合了傳統的用戶名和密碼驗證與第二因素驗證，通常是基於時間的一次性密碼（TOTP）或推送通知，以提高登入過程的安全性。
以下是其工作原理的簡要說明：
- 用戶名和密碼驗證：用戶首先輸入其常規的 VPN 用戶名和密碼。這是第一層驗證，用於確認用戶的身份。
- Duo 安全服務器交互：Cisco ASA 使用 RADIUS 協議將驗證請求發送到 Duo 安全服務器。Duo 服務器負責處理第二因素的驗證。
- 第二因素驗證：Duo 服務器向用戶發送第二因素驗證請求。這可能是：
- 推送通知：發送到用戶的手機應用，要求用戶批准或拒絕登入請求。
- 一次性密碼（OTP）：用戶從 Duo 移動應用或硬體令牌中獲取的動態生成密碼。
- 短信或電話驗證：用戶接收短信或語音電話，提供驗證碼。
- 驗證結果：如果用戶成功完成第二因素驗證，Duo 服務器會通知 Cisco ASA，允許用戶訪問 VPN。如果驗證失敗，則拒絕訪問。
這種雙重認證方法極大地提高了 VPN 的安全性，因為即使用戶的密碼被洩露，攻擊者仍然需要第二因素才能成功登入。這對於保護敏感數據和防止未經授權的訪問尤為重要。
Cisco Duo 與 Cisco ASA VPN 整合，為任何 VPN 登入新增雙重認證。
- 向 Cisco ASA 發起主要驗證
- Cisco ASA 向 Duo 驗證代理程式傳送驗證請求
- 使用 Active Directory 或 RADIUS 進行主要驗證
- 透過 TCP 連接埠 443 與 Duo Security 建立 Duo 驗證代理連接
- 透過 Duo Security 服務進行二次身份驗證
- Duo 身份驗證代理程式接收身份驗證回應
- 已授予 Cisco ASA VPN 存取權限
