Vítejte na jubilejním — 10. lekci. Dnes budeme hovořit o dalším bledě Check Point — Identitní povědomí. Již na začátku, při popisu NGFW, jsme definovali, že je nezbytné mít možnost regulovat přístup na základě uživatelských účtů, nikoli IP adres. To je primárně spojeno se zvýšenou mobilitou uživatelů a rozšířením modelu BYOD — přineste si své zařízení. Ve společnosti může být spousta lidí, kteří se připojují přes Wi-Fi, získávají dynamické IP a navíc z různých segmentů sítě. Sestavit přístupové seznamy na základě IP adres by bylo obtížné. Zde se bez identifikace uživatelů neobejdeme. A právě bledě Identitní povědomí nám s tím pomůže.
Ale nejprve se podívejme, k čemu se nejčastěji používá identifikace uživatelů?
- K omezení síťového přístupu na základě uživatelských účtů, nikoli IP adres. Přístup může být regulován jak k internetu, tak i do jakýchkoli jiných síťových segmentů, například DMZ.
- Přístup na VPN. Souhlasíte, že je pro uživatele mnohem pohodlnější používat svůj doménový účet pro autorizaci, než vymýšlet další heslo.
- Pro řízení Check Pointu je také nutný uživatelský účet, který může mít různá oprávnění.
- A nejpříjemnější část — Reportování. Je mnohem příjemnější vidět v reportech konkrétní uživatele, než jejich IP adresy.
Přitom Check Point podporuje dva typy uživatelských účtů:
- Interní místní uživatelé. Uživatel je vytvořen v místní databázi serveru pro správu.
- Externí uživatelé. Jako externí uživatelskou databázi může sloužit Microsoft Active Directory nebo jakýkoli jiný LDAP server.
Dnes budeme hovořit o síťovém přístupu. Pro řízení síťového přístupu, za přítomnosti Active Directory, se jako objekt (source nebo destination) používá takzvaná Přístupová role, která umožňuje použít tři parametry uživatele:
- Síť — tj. síť, ze které se uživatel pokouší připojit
- AD uživatel nebo uživatelská skupina — tato data se vytahují přímo ze serveru AD
- Stroj — pracovní stanice.
Přitom identifikace uživatelů může být provedena několika způsoby:
- Dotaz AD. Check Point čte logy AD serveru ohledně autentizovaných uživatelů a jejich IP adres. Počítače, které jsou v AD doméně, jsou automaticky identifikovány.
- Autentizace přes prohlížeč. Identifikace prostřednictvím uživatelského prohlížeče (Captive Portal nebo Transparent Kerberos). Nejčastěji se používá pro zařízení, která nejsou v doméně.
- Terminálové servery. V tomto případě je identifikace prováděna pomocí speciálního terminálového agenta (instaluje se na terminálový server).
to jsou tři nejběžnější varianty, ale existují ještě další tři:
- Identitní agenty. Na počítače uživatelů se instaluje speciální agent.
- Identitní sběratel. Samostatná utilita, která se instaluje na Windows Server a shromažďuje logy autentizace místo brány. Fakticky nezbytná varianta při velkém počtu uživatelů.
- RADIUS účetnictví. A kam bychom se dostali bez starého dobrého RADIUS.
V této lekci ukážu druhou variantu — autentizaci přes prohlížeč. Myslím, že teorie stačí, přejděme už k praxi.
Video lekce
Zůstaňte naladěni na další a připojte se k našemu 🙂
Zdroj: habr.com
