Aplica A: Autenticación Multifactor de AuthPoint, AuthPoint Total Identity Security
Si la autenticación no funciona como se esperaba, o si ocurre una falla, puede usar informes, alertas y registros de auditoría para resolver el problema. Para comenzar, considere todos los pasos del proceso de autenticación, según el tipo de recurso configurado y las políticas de acceso. Comience a resolver el último paso del proceso de autenticación y avance hacia atrás.
Estos son algunos ejemplos de cosas que debe verificar:
- ¿Recibe el usuario una notificación push? (si se ha configurado la autenticación push)
- ¿Existe un registro de auditoría para el intento de autenticación?
- Para los flujos de autenticación que requieren la Gateway, ¿qué información aparece en los archivos de registro de Gateway?
- Si su política tiene un objeto de política, ¿tiene una segunda política para los mismos grupos y recursos sin los objetos de política?
Los pasos para resolver problemas específicos de AuthPoint dependen del tipo de problema y de qué AuthPoint y componentes externos están involucrados en el proceso de autenticación. Algunos componentes de AuthPoint, como Gateway, tienen archivos de registro locales que puede utilizar para resolver problemas.
Para obtener más información sobre la resolución de problemas, consulte Consejos y Prácticas Recomendadas de AuthPoint.
Herramientas para Resolver Problemas de AuthPoint
Para resolver la mayoría de los problemas de AuthPoint, consulte los informes, los registros de auditoría y las alertas de AuthPoint.
Los registros de auditoría suelen ser un punto de partida útil para resolver problemas de AuthPoint.
Para comenzar, consulte la información disponible en WatchGuard Cloud y los archivos de registro de la AuthPoint Gateway.
Informes de AuthPoint
Los informes muestran datos sobre la actividad y los eventos de AuthPoint. Algunos informes útiles para la resolución de problemas son los siguientes:
- Notificaciones Push Denegadas — Revise si el usuario denegó una notificación push
- Actividad de Recursos — Revise en qué recursos no se pueden autenticar los usuarios
- Autenticación — Consulte los fallos de autenticación para cada usuario
- Actividad de Sincronización — Consulte el historial de sincronización de usuarios de LDAP
Para obtener más información acerca de los informes, consulte Monitorizar AuthPoint.
Alertas
WatchGuard Cloud genera alertas para eventos basadas en reglas de notificación. Por ejemplo, se mostrará una alerta cuando una Gateway se conecta o desconecta, y cuando un usuario deniega una solicitud de autenticación push. Puede agregar reglas de notificación para generar otros tipos de alertas.
Para más información, consulte Administrar Alertas de WatchGuard Cloud.
Registros de Auditoría
Los registros de auditoría muestran eventos relacionados con acciones de administración, cambios de configuración y eventos de AuthPoint. Para los eventos de autenticación, la ventana Detalle del Registro de Auditoría muestra detalles sobre el intento de autenticación.
Una el código de error del registro de auditoría en WatchGuard Cloud con el código de error que ve en los mensajes de registro para eventos en la Gateway o en los mensajes de error de autenticación en el Portal del IdP o en la Logon app para Windows o Mac. Para más información, consulte Ver Registros de Auditoría.
Archivos de Registro de Gateway
Para los tipos de autenticación que involucran la AuthPoint Gateway, consulte los archivos de registro en la Gateway. Los mensajes de registro incluyen información sobre las operaciones de la Gateway y las conexiones a RADIUS, LDAP y ADFS. La Gateway se ejecuta como cuatro servicios (Gateway, RADIUS, LDAP y ADFS) y cada servicio crea un archivo de registro independiente. Para más información sobre la resolución de problemas de Gateway, vaya a Resolver Problemas de la AuthPoint Gateway.
Los mensajes de registro incluyen el nombre del usuario y request ID, que pueden ser útiles para unir un mensaje de registro con un evento de registro de auditoría de AuthPoint o un mensaje de error asociados.
Puede encontrar los archivos de registro de la Gateway en este directorio: C:\ProgramData\WatchGuard\AuthPoint\logs.
Puede encontrar el archivo de registro del runtime de Gateway en este directorio: C:\Program Files (x86)\WatchGuard\AuthPoint Gateway\.
De forma predeterminada, la carpeta ProgramData está oculta en Windows. Para abrir la carpeta, presione Tecla Windows + R, escriba %ProgramData% y haga clic en Aceptar.
Consejos para Resolver Problemas de AuthPoint
Estos son algunos consejos para resolver problemas con tipos específicos de autenticación o componentes de AuthPoint. En la mayoría de los casos, intente encontrar lo siguiente:
- Los códigos de error asociados con el error
- El request ID asociado con el error
Luego puede usar esa información para buscar en el registro de Auditoría y en los mensajes de registro.
Resolver Problemas de la AuthPoint Gateway
La AuthPoint Gateway se ejecuta como cuatro servicios: Gateway, RADIUS, LDAP y ADFS.
| Servicio | Descripción | Puerto |
|---|---|---|
| WatchGuard AuthPoint Gateway | Se comunica con WatchGuard Cloud y configura los otros tres servicios. | Puerto TCP 9000 |
| WatchGuard AuthPoint RADIUS | Se comunica con los clientes RADIUS. | Puerto TCP 9001 |
| WatchGuard AuthPoint LDAP | Se comunica con la base de datos LDAP para autenticar a los usuarios LDAP. Las Gateways primarias también usan este servicio para importar usuarios LDAP a AuthPoint. | Puerto TCP 9002 |
| WatchGuard AuthPoint ADFS | Se comunica con ADFS. | Puerto TCP 9003 |
La Gateway utiliza estos puertos de servicio TCP para la comunicación interna entre los diferentes servicios de la Gateway. Si otras aplicaciones utilizan estos puertos de servicio TCP, es posible que la Gateway no se inicie o aparezca desconectada.
Para verificar que estos puertos no están en uso, puede usar el símbolo del sistema para ejecutar el comando Netstat -ano |findstr 900. Este comando encuentra cualquier cosa que comience con 900.
Si uno de los puertos necesarios está en uso, puede ejecutar el comando Tasklist | findstr process ID para identificar qué proceso está utilizando ese puerto en particular.
Cuando se utiliza el comando tasklist, la AuthPoint Gateway es java.exe. Puede esperar ver eso si ya tiene una Gateway instalada.
Puede utilizar la aplicación Windows Services para verificar que los cuatro servicios estén en ejecución. En la aplicación Services, los cuatro servicios en ejecución se muestran de esta manera:
Si un servicio no se está ejecutando, use el Visor de Eventos de Windows para ver cuándo el servicio se detuvo y cuándo se inició.
El servicio Gateway debe iniciarse y ejecutarse de forma correcta antes de que se inicien los demás servicios. Si el servicio Gateway no puede conectarse a la nube, o no puede iniciarse por algún motivo, los otros servicios se bloquearán por esperar archivos de configuración que nunca llegan. Si reinicia correctamente el servicio Gateway, también debe reiniciar los otros servicios después de que el servicio Gateway vuelva a funcionar correctamente.
En algunos casos, el software antivirus puede hacer que falle la instalación de la Gateway.
Si tiene problemas con la Gateway después de la instalación, consulte los registros de auditoría y los archivos de registro de la Gateway.
- Revise los registros de auditoría en WatchGuard Cloud y verifique si aparece alguna autenticación de usuario
- Revise el archivo de registro de runtime en el servidor Gateway en C:\Program Files (x86)\WatchGuard\AuthPoint Gateway\ para ver si la Gateway se ha bloqueado.
- Revise los archivos de registro de comunicaciones de la Gateway en el servidor de la Gateway en C:\ProgramData\WatchGuard\AuthPoint\logs\ para ver lo que está pasando, en caso de que haya un conflicto de puertos o algún otro problema.
- También debe verificar los detalles de su cuenta de usuario, como la membresía del grupo, las políticas de autenticación AuthPoint y asegurarse de que su contraseña sea correcta (recuerde que las contraseñas distinguen entre mayúsculas y minúsculas). Si usted es un Service Provider, asegúrese de que el usuario pertenezca a la cuenta de AuthPoint correcta.
Si su problema está relacionado con el propio software (la Gateway no se inicia o algo se bloquea o cuelga), vuelva al directorio de instalación en el servidor Gateway y abra la carpeta de registro. El directorio de instalación es C:\Program Files (x86)\WatchGuard\AuthPoint Gateway\.
Si la Gateway no se bloquea, pero encuentra problemas de comunicación, vaya a C:\ProgramData\WatchGuard\AuthPoint\logs\ y vea allí los archivos de registro de la Gateway. En este directorio, cada uno de los diferentes componentes tiene sus propios archivos de registro. Existen archivos de registro actuales y archivos de registro históricos. Los archivos de registro histórico se encuentran en un archivo zip con la fecha añadida al nombre del archivo. Si su problema se está produciendo ahora, debería consultar el archivo de registro actual.
Resolver Problemas de Autenticación RADIUS
Consulte estos mensajes de registro y mensajes de error con información útil:
- Registros de auditoría en WatchGuard Cloud
- Registros de RADIUS en la AuthPoint Gateway
- Mensajes de error del cliente RADIUS
- Mensajes de registro del Firebox — Si el Firebox está configurado como un cliente RADIUS, busque en los mensajes de registro del Firebox los eventos de autenticación de usuario y errores de conexión entre el Firebox y la AuthPoint Gateway.
Otras cosas por considerar:
- Asegúrese de que el puerto RADIUS (los puertos predeterminados son 1812 o 1645) esté abierto en el servidor en el que la Gateway está instalado. El puerto no está abierto de forma predeterminada. Si el puerto está abierto, asegúrese de que nadie más en ese servidor lo utilice, lo que causaría un conflicto con la Gateway.
- Haga un pcap entre la Gateway y el cliente RADIUS.
Si configura Mobile VPN en un Firebox para usar más de un servidor de autenticación, los usuarios que no usen el servidor de autenticación predeterminado deberán especificar el servidor o dominio de autenticación antes del nombre de usuario. Por ejemplo, ad1_example.com\j_smith.
Resolver Problemas de Autenticación de LDAP
Consulte estos mensajes de registro:
- En los registros LDAP en la Gateway, busque lo siguiente:
- Resultados de la prueba de conectividad
- Eventos de sincronización
- Solicitudes de autenticación de usuarios
- Errores con conexiones al controlador de dominio
- En los registros de auditoría de WatchGuard Cloud, busque lo siguiente:
- Cambios en la configuración de la identidad externa LDAP
- Errores de sincronización de usuarios LDAP
Otras cosas por considerar:
- Si la Gateway está instalada en un servidor diferente al servidor LDAP/AD, haga un pcap entre la Gateway y el servidor LDAP/AD para verificar que se haya devuelto una respuesta de LDAP.
No agregue el mismo grupo LDAP a múltiples sincronizaciones de grupos ni cree múltiples sincronizaciones de grupos que incluyan el mismo usuario LDAP. Un usuario sincronizado desde una base de datos LDAP no puede pertenecer a más de un grupo local de AuthPoint. Si un usuario LDAP pertenece a múltiples sincronizaciones de grupos, cada vez que AuthPoint se sincroniza con su base de datos LDAP, el grupo local de AuthPoint al que pertenece el usuario podría cambiar.
Para agregar usuarios LDAP a varios grupos en AuthPoint, le recomendamos que habilite el interruptor Crear nuevos grupos sincronizados en su sincronización de grupos y utilice la estructura de grupo de Active Directory para administrar sus usuarios.
Resolver Problemas de Identidades Externas
Si la prueba de conexión con su identidad externa falla y NPS se está ejecutando en el servidor Gateway, cambie el puerto RADIUS que usa la AuthPoint Gateway.
Si la prueba de conexión con su identidad externa se realiza correctamente, pero AuthPoint no sincroniza los usuarios, le recomendamos que verifique las credenciales y los permisos del usuario de la cuenta del sistema. Si su instancia de Active Directory no usa LDAPS, asegúrese de deshabilitar el interruptor LDAPS para la identidad externa.
Si AuthPoint sincroniza correctamente los usuarios, pero algunos no se sincronizan, asegúrese de que las cuentas de usuario que faltan tienen una dirección de correo electrónico válida que no está siendo utilizada ya por otro usuario de AuthPoint, y de que todos los campos obligatorios (como el nombre de pila y la dirección de correo electrónico) tienen un valor. También debe asegurarse de que su licencia de AuthPoint admite el número de usuarios que desea sincronizar. Si su sincronización de grupos devuelve más usuarios de los que tiene licencias de AuthPoint disponibles, la sincronización solo crea tantos usuarios como su licencia admita.
Resolver Problemas de los AuthPoint Agents para Windows y Mac
Cuando ocurre un error de autenticación, puede aparecer un mensaje de error en la página de inicio de sesión del AuthPoint Agent for Windows o Agent for Mac de AuthPoint. El mensaje de error incluye el código de error y la request ID. Use el código de error y el Request ID para encontrar el error en los registros de auditoría de WatchGuard Cloud.
Cuando resuelva los problemas de los agentes para Windows y Mac, fíjese en las direcciones IP implicadas en la comunicación. Esta información puede ayudarle a delimitar los registros de auditoría que debe consultar.
- Si el usuario se encuentra en su red local, entonces la IP pública de su red debería aparecer en los registros de auditoría de WatchGuard Cloud.
- Si el usuario usa una conexión RDP con otra computadora de su red, entonces la IP privada de la computadora desde la que se conecta debería aparecer en los registros de auditoría de WatchGuard Cloud.
- Si el usuario se va a casa o de vacaciones, usa una VPN para conectarse a su red corporativa y luego hace RDP a una máquina de su red, la dirección IP virtual de su computadora para esa VPN móvil debería aparecer en los registros de auditoría de WatchGuard Cloud.
También puede consultar los archivos de configuración descargados por la Logon app desde WatchGuard Cloud. Si estos archivos no se actualizan cuando realiza cambios en AuthPoint, es probable que exista un problema de comunicación. Si esto ocurre, verifique que la comunicación entre la Logon app y WatchGuard Cloud esté permitida a través de su software de seguridad y dispositivos de red ascendentes.
Puede ver los archivos de configuración de la Logon app aquí:
- Agent for Windows
- Archivo de Configuración: %WINDIR%\wlconfig.cfg
- Caché de políticas desconectadas: %WINDIR%\drivers\etc\wlconfig.cfg
- Agente para macOS
- Archivo de Configuración: /Library/Application Support/WatchGuard/wlconfig.cfg
- Archivo de Registro: /Library/Logs/WatchGuard/AuthPoint Agent/
Si tiene problemas para instalar el AuthPoint Agent for Windows:
- Puede usar varios conmutadores de registro, como msiexec <filename> /l*v para obtener más información. Además de los mensajes de registro relacionados con estos comandos, también puede consultar los registros de eventos de Windows para obtener más información.
- Verifique los permisos de la cuenta de usuario que usa para instalar el agente.
- (Service Providers) Si tiene varias cuentas de AuthPoint, asegúrese de usar el archivo de configuración de la cuenta correcta.
Resolver Problemas del Portal del IdP
Para resolver problemas del portal del IdP, solicite al usuario información sobre los errores de inicio de sesión. Cuando la autenticación falla, aparece un mensaje de error en la página de inicio de sesión. La parte inferior de la página muestra el código de error y la request ID.
Utilice el código de error y la request ID para encontrar el error en el registro de auditoría.
Resolver Problemas de la Aplicación Móvil AuthPoint
Para resolver problemas de la aplicación móvil, solicite al usuario información sobre los errores de inicio de sesión. Cuando ocurre un error de autenticación, el dispositivo móvil muestra un mensaje de error que incluye el código de error. Los errores son útiles para la resolución de problemas porque puede buscar el código de error en el registro de auditoría.
En la aplicación móvil, el usuario también puede ver los detalles del token. Asegúrese de que los detalles del token muestren estos valores:
- Estado del Push — Registrado
- Referencia de Tiempo — La hora correcta
Si es necesario, el usuario puede seleccionar la opción Sincronizar Token para resincronizar la hora y el estado de un token con el servidor. Esto es necesario para la autenticación, a fin de que, cuando el usuario apruebe un push o escriba un OTP, AuthPoint reconozca que la autenticación ocurre en el tiempo permitido. Si la diferencia horaria entre la marca de tiempo del token y la marca de tiempo del servidor es demasiado grande, es posible que el usuario no pueda autenticarse.
Para más información, consulte Sincronizar Su Token.
Si un usuario tiene problemas con las notificaciones push, puede probar estas opciones de resolución de problemas:
- Usar la función de Verificación de Usuario para comprobar si el usuario recibe una notificación push.
- Hacer que un operador vea los detalles del token del usuario para asegurarse de que las notificaciones push estén permitidas en el dispositivo del usuario. El usuario también puede verificarlo en la aplicación móvil, en Información del Dispositivo. Si cualquiera de las dos pruebas muestra que las notificaciones push no están permitidas, el usuario debe permitirlas para la aplicación AuthPoint.
Para los dispositivos Android, le recomendamos que configure el estilo de notificación como Detallado.
- Pida al usuario que desactive la optimización de la batería o que active el inicio automático de la aplicación AuthPoint. A menudo, la optimización de la batería o los ajustes de la aplicación pueden causar problemas con las notificaciones push. En algunos dispositivos, las funciones de optimización de la batería impiden el inicio automático de las aplicaciones.
- Haga que el usuario se asegure de que dispone de una conexión a Internet fiable.
- También le recomendamos que configure los ajustes móviles que se indican a continuación para la Aplicación Móvil AuthPoint:
- Permitir notificaciones en la pantalla de bloqueo
- Permitir datos en segundo plano y en roaming
- Permitir la aplicación mientras el ahorro de datos está activado
- Permitir actividad en segundo plano
- Permitir el inicio automático
- Desactivar el ahorro de batería
Resolver Problemas de ADFS
Para resolver problemas de ADFS, puede encontrar información útil en los siguientes sitios:
- Visor de eventos en la computadora donde el Agente ADFS está instalado
- Registros de auditoría en WatchGuard Cloud
- Archivo de registro de ADFS en la AuthPoint Gateway
- Archivo de registro del agente ADFS
Resolver Problemas de RD Web
El AuthPoint Agent for RD Web se ejecuta como un servicio en el servidor RD Web. Asegúrese de que el servicio WatchGuard AuthPoint RD Web Core se esté ejecutando.
Las herramientas que puede utilizar para resolver problemas de RD Web incluyen las siguientes:
- Archivos de registro del servidor IIS — Para obtener información sobre la autenticación de usuarios en el portal RD Web
- Visor de Eventos para Servicios de Escritorio Remoto — Para obtener información sobre las conexiones de los usuarios a los recursos alojados en RD Web
- Registros de auditoría de AuthPoint — Para eventos de la autenticación de usuarios de RD Web