Hallo,
Wir haben QBELT-VPN eingerichtet und es funktioniert einwandfrei.
Außerdem haben wir 2FA für die VPN-Benutzerkonten aktiviert.
ABER obwohl die Benutzer meistens – und manchmal mit erheblicher Verzögerung – zur Eingabe des zweiten Faktors aufgefordert werden, können sie dennoch auf Netzwerkressourcen zugreifen, ohne wirklich die 2FA zu nutzen – was das Ganze fast nutzlos macht.
Gibt es eine Möglichkeit, zu ERZWINGEN, dass 2FA für den Netzwerkzugriff über VPN zwingend erforderlich ist?
Simon.
Ich schließe mich diesem Thread an und teile deine Bedenken voll und ganz. Du hast den Nagel auf den Kopf getroffen, was einen entscheidenden Fehler in der aktuellen QBelt-/QVPN-2FA-Implementierung betrifft.
Für kleine und mittelständische Unternehmen (KMU) ist diese Verzögerung bzw. das Umgehen der vollständigen 2FA-Prüfung vor der Netzwerkanmeldung ein großes Sicherheitsproblem. Mit Inkrafttreten der EU NIS 2-Richtlinie ist eine strikte Multi-Faktor-Authentifizierung (MFA) für Remote-Zugänge kein „nice-to-have“ mehr, sondern eine verbindliche Compliance-Anforderung.
So wie es derzeit abläuft, macht eine asynchrone 2FA-Aufforderung nach oder parallel zum Netzwerkkontakt den Sinn der Perimeter-Security zunichte. Da QNAP bereits für Web-GUI-Logins die 2FA (wie Google Authenticator) unterstützt, sollte es eigentlich nicht unmöglich sein, diese Funktion als strikte, verpflichtende Gateway-Prüfung im QVPN-App und QBelt-Protokoll zu integrieren.
Wir würden uns wirklich über eine offizielle Antwort vom QNAP-Team freuen:
-
Gibt es einen aktiven Fahrplanpunkt, der eine strikte Pre-Auth-2FA für QBelt/QVPN vorsieht?
-
Wie möchte QNAP KMU-Kunden helfen, die NIS 2-Compliance-Anforderungen nativ zu erfüllen, ohne dass wir gezwungen sind, externe RADIUS- oder Drittanbieter-Zero-Trust-Architekturen einzusetzen?
Wir sind gespannt auf QNAPs Haltung dazu!