面临的挑战

1.安全威胁

远程办公背景下，VPN成为企业的重要办公工具，员工在外网办公环境下需要通过华为 VPN访问内部IT资源。但传统的静态密码机制只凭借用户名密码根本无法应对现代IT环境中复杂多变的安全风险。

2.管理负担

为防止VPN账号信息泄露，企业通常强制要求员工定期轮换登录密码，也造成IT管理员的运维负担。此外，离职员工账号的不及时回收也会加重管理员的运维负担，最终可能引起安全风险。

宁盾解决方案

1.华为 VPN双因子认证解决方案概述

静态密码只能对VPN用户身份的真实性进行低级认证。宁盾NingDS中的双因子认证模块为华为 VPN增添加二次身份验证，通过提供手机令牌、短信令牌、APP推送认证等多种动态令牌形式保障账号安全。

宁盾NingDS双因子认证服务器会生成、验证动态令牌，无缝支持AD/LDAP等本地账号源，接管VPN账号的静态密码认证工作。员工打开华为 VPN进行用户名+静态密码认证后还需要获取动态令牌完成二次验证，两次验证都通过后才能获得访问权限。

2.宁盾动态令牌形式

手机推送认证

通过一键授权，免除动态令牌输入环节，实现安全认证

H5令牌

将宁盾令牌集成到企业微信/钉钉等APP内形成H5令牌

微信小程序令牌

将宁盾令牌集成到微信小程序内，用户无需额外安装手机APP

APP令牌

基于时间的动态令牌，由手机APP生成。基于时间同步技术，宁盾令牌APP每60秒随机生成一个动态验证码，宁盾认证服务器能够验证这个变化的密码是否有效。

短信令牌

在用户完成华为 VPN账号密码认证之后，宁盾NingDS双因子认证服务器会随机生成一个动态令牌并通过短信网关发送到绑定的用户手机上，用户输入该短信验证码并提交验证通过后才能完成登录认证。由于短信验证码是一次性使用的，他人即使盗用了，也无法再次使用，有效保证了账号安全。

3.华为 VPN双因子认证流程

宁盾认证服务器侧配置

1）用户进入华为HUAWEI VPN登录界面，输入账号及密码信息并进行认证；

2）账号密码认证通过，用户在新出现的界面输入动态密码（令牌产生/短信接收）并进行认证。认证通过，VPN登录成功。

方案价值

账号加固：宁盾双因子认证通过动态令牌加固华为 VPN的静态密码认证，从而提升VPN用户接入认证安全，有效防范密码凭证窃取等内网信息泄漏隐患。

令牌多样化：结合短信验证、手机推送认证等多种令牌形式的各自优势，允许客户按需选择令牌组合。

集中认证：宁盾双因子认证工具内置RADIUS认证模块，对接AD、LDAP等标准账号源结合以及下游本地应用和SaaS应用身份源。

实施便捷：云双因子认证模块无需部署，无需强制更改VPN静态密码，节约账号管理成本，实现轻量化运维。

宁盾NingDS可为华为等品牌的VPN双因子认证解决方案，欲了解更多详情可前往宁盾官网咨询。