Different credentials for form and backend authentication

I guess this should work.

Does backend authentication work when you disable the reverse authentication profile on the frontend?

What does your reverse authentication profile look like?

The problem is that as soon the credentials are different the backend server keeps prompting for credentials and it seems like the given credentials never reach the backend server.

Manfred, I think you're stuck as the whole point of Reverse Auth is to request the backend credentials at the frontend.  My suggestion would be to delete the Local User Objects and then sync the Users from the AD.

Ewald, short of having no authentication in the Real Server, how can he use Reverse Auth with duplicate usernames?

Then again, Manfred, what happens if the user enters DOMAIN\USERNAME in the Reverse Auth form?  Does that force authentication with the AD?

Cheers - Bob

Ewald, short of having no authentication in the Real Server, how can he use Reverse Auth with duplicate usernames?

In the reverse auth profile set backend mode to "None" and let the backend do its own authentication. But I agree that using AD is probably the right solution here.

Today I've looked a little deeper into this Problem. 

First of all - we have a requirement to use two-factor-authentication for external accesses (as far as possible) - so using ad accounts is not an option.

If the backend mode is set to none or if the frontend credentials do not match the backend credentials, it seems that the secondly given credentials (for the backend) isn't passed to the backend server. The waf-log says:

2014:11:28-14:56:55 verw-asg320-01-1 reverseproxy: [Fri Nov 28 14:56:55.739840 2014] [security2:error] [pid 15550:tid 3962952560] [client 192.168.130.24] ModSecurity: Access allowed (phase 1). Operator GT matched 0 at ENV. [file "/usr/apache/conf/waf/base.conf"] [line "18"] [id "900000"] [hostname "lalala.blablab.de"] [uri "/Reports/Pages/Report.aspx"] [unique_id "VHh-J6wXBAEAADy@REQAAAAU"]

 and the webservers logfile sees the request but without a user passed.

The '(phase 1)' thing makes me believe, that the login form just forwards the first given credentials and the second given are stripped.

Hm - if 9.3 would not be that buggy I would try that version, but for now it's to hot for us to go to that version.

Regards
Manfred

Hi Manfred,

I think RSA should work if you configure the RSA server as a radius server. I've done this in the past with tmg. At the utm, you can configure the radius (RSA) server as authentication server.

One example for citrix and rsa (radius):
How to Implement RSA Authentication by using the RADIUS Protocol for Access Gateway Standard Edition

Maybe, this helps you.

Regards
mod

Hi mod,

RSA is already working for a long time. We are using it for SSL VPN and user portal access. The challange is to use rsa authentication in the frontend form and after successful login to the frontend an additional login to the reporting services webserver with ad credentials - so two different set of credentials.

Regards
Manfred

Hi Manfred,

I understand. Have you tried in the reverse authentication profile "radius users" in user/groups? And as backend mode "none" as ewadie had suggested it?

As I remember, I've tried this successfully in the 9.2 beta with a Celestix Hotpin OTP server as backend authentication server and with backend mode "basic". The hotpin server had synced the ad accounts.

Regards
mod

Hi all,

today I tested successfully my disired configuration. In the end it is quite simple. I'm on 9.307 and some updates ago there was a new configuration option in the reverse authentication profiles : 'Real Webserver'.

So I configured a reverse authentication profile with:
Virtual Webserver:
 mode:form
 template: Default

User:
 local user (user is 'remotly authenticated' and RSA Server is configured as radius server - that is already working for SSL VPN for a Long time)

Real Webserver:
 mode:none
 remove Basic Header: unchecked

I have enabled BasicAuthentication in the backend server itself (IIS).

The result is, that on the first request to an URL with this Profile the reverse Proxy authentication form is presented. After a successful login the basic auth window comes up and here I can enter different credentials.

And that is exactly what we wanted.

Regards
Manfred

We solve the issue in Version 9.403-4. Before Update we use Real Webserver in Basic Mode with none affix. After Update we use suffix at affix with @local.domain.

Best regards,

Thomas