Velkommen til den 10. jubilæumslektion. I dag vil vi tale om endnu en Check Point-blade — Identitetsbevidsthed. Allerede i begyndelsen, da vi beskrev NGFW, fastslog vi, at det er nødvendigt at have mulighed for at regulere adgangen baseret på brugeroplysninger i stedet for IP-adresser. Dette skyldes primært den øgede mobilitet blandt brugerne og den udbredte model BYOD — bring your own device. I virksomheden kan der være mange mennesker, der tilslutter sig via WiFi, får dynamiske IP'er og endda fra forskellige netværkssegmenter. Prøv at lave adgangslister baseret på IP-adresser her. Her er det umuligt at komme uden om identifikationen af brugerne. Og netop blade Identitetsbevidsthed vil hjælpe os med dette.
Men lad os først kigge på, hvad brugeridentifikation oftest bruges til?
- Til at begrænse netværksadgang baseret på brugeroplysninger i stedet for IP-adresser. Adgang kan reguleres både til internettet og til enhver anden netværkssegment, f.eks. DMZ.
- Adgang på VPN. Enig, det er meget mere bekvemt for brugeren at bruge sin domæne konto til autentificering i stedet for at skulle finde på endnu en adgangskode.
- For at administrere Check Point kræves der også en konto, der kan have forskellige rettigheder.
- Og den mest interessante del — Rapportering. Det er meget bedre at se specifikke brugere i rapporterne, frem for deres IP-adresser.
Samtidig understøtter Check Point to typer konti:
- Lokale interne brugere. Brugeren oprettes i serverens lokale database.
- Eksterne brugere. Microsoft Active Directory eller enhver anden LDAP-server kan fungere som ekstern brugerdatabase.
I dag skal vi tale om netværksadgang. For at administrere netværksadgang, når Active Directory er tilgængelig, anvendes en såkaldt Adgangsrolle, som giver mulighed for at bruge tre brugerparametre:
- Netværk — dvs. netværket, som brugeren forsøger at oprette forbindelse til
- AD-bruger eller brugergruppe — disse data hentes direkte fra AD-serveren
- Maskine — arbejdsstation.
Brugeridentifikation kan dog udføres på flere måder:
- AD-forespørgselCheck Point læser AD-serverens logfiler for autentificerede brugere og deres IP-adresser. Computere, der befinder sig i AD-domenet, identificeres automatisk.
- Browser-baseret autentificeringIdentifikation via brugerens browser (Captive Portal eller Transparent Kerberos). Bruges oftest til enheder, der ikke er i domænet.
- TerminalservereI dette tilfælde udføres identifikationen ved hjælp af en specialiseret terminalagent (installeres på terminalserveren).
det er de tre mest almindelige muligheder, men der er også tre andre:
- IdentitetsagenterEn speciel agent installeres på brugernes computere.
- IdentitetskollektorEn separat utility, der installeres på Windows Server og indsamler autentificeringslogfiler i stedet for gatewayen. Faktisk obligatorisk ved et stort antal brugere.
- RADIUS-regnskabOg hvordan kunne vi undvære den gode gamle RADIUS.
I denne lektion vil jeg demonstrere den anden mulighed — Browser-baseret. Jeg synes, vi har tilstrækkeligt med teori, lad os gå videre til praksis.
Video lektion
Hold dig opdateret for mere og tilmeld dig vores 🙂
Kilde: habr.com
