🥇10. Check Point Gettint Started R80.20. Identity Awareness

Tere tulemast juubeli - kümnendasse õppetundi. Täna räägime veel ühest Check Point'i blade'ist - Identiteedi teadlikkus. Juba alguses, kui me rääkisime NGFW-st, määratlesime, et sellel peab olema kasutajatuged põhinev juurdepääsu reguleerimise võimalus, mitte IP-aadressidest. See on seotud eelkõige kasutajate suurenemisega ja BYOD mudeli - too oma seade - laialdase levikuga. Ettevõttes võib olla hulk inimesi, kes ühenduvad WiFi kaudu, saavad dünaamilisi IP-aadresse ning veel erinevatest võrgu segmentidest. Proovi siin luua juurdepääsupunkte IP-aadresside alusel. Siin ei saa ilma kasutaja tuvastamiseta hakkama. Ja justidentiteedi teadlikkuse blade aitab meid selles küsimuses.

Aga esmalt selgitage, milleks kasutatakse kõige sagedamini kasutaja tuvastamist?

Kasutajate juurdepääsu piiramiseks kasutajakontode alusel, mitte IP-aadresside alusel. Juurdepääsu saab reguleerida nii Internetile kui ka teistele võrgu segmentidele, näiteks DMZ-le.
Juurdepääs VPN. Nõustuge, et kasutajale on palju mugavam kasutada oma domeeninimekontot sisselogimiseks kui veel ühe väljamõeldud parooli.
Check Point'i haldamiseks on samuti vajalik konto, millel võivad olla erinevad õigused.
Ja kõige meeldivam osa on - Aruandlus. On palju meeldivam näha aruannetes konkreetseid kasutajaid, mitte nende IP-aadresse.

Sellega toetab Check Point kahte tüüpi kontosid:

Kohalikud sisemised kasutajad. Kasutaja luuakse juhtserveri kohalikku andmebaasi.
Välised kasutajad. Välise kasutaja andmebaasina võib kasutada Microsoft Active Directory't või mõnda muud LDAP-serverit.

Täna räägime võrgus juurdepääsust. Võrgus juurdepääsu haldamiseks, kui Active Directory on olemas, kasutatakse objekti (allika või sihtkoha) nimega Juurdepääsu roll, mis võimaldab kasutada kolme kasutaja parameetrit:

Võrk log /dev/log local0 log /dev/log local1 notice chroot /var/lib/haproxy stats timeout 30s user haproxy group haproxy daemondefaults log global mode http option httplog option dontlognull timeout connect 5000 timeout client 50000 timeout server 50000frontend http_front bind *:80 stats uri /haproxy?stats default_backend http_backbackend http_back balance roundrobin server server_name1 private_ip1:80 check server server_name2 private_ip2:80 check — st võrku, millega kasutaja üritab ühendust luua
AD kasutaja või kasutajarühm — need andmed tõmmatakse otse AD serverist
Masin — tööjaam.

Kasutajate tuvastamine võib toimuda mitmel viisil:

AD päring. Check Point loeb AD serveri logis autentifitseeritud kasutajate ja nende IP-aadresse. AD domeenis olevad arvutid tuvastatakse automaatselt.
Põhineb brauseril.. Tuvastamine toimub kasutaja brauseri kaudu (Captive Portal või Transparent Kerberos). Seda kasutatakse kõige sagedamini seadmete jaoks, mis ei ole domeenis.
Terminaliserverid.. Sellisel juhul toimub tuvastamine spetsiaalse terminali agendi kaudu (paigaldatakse terminaliserverisse).

Need on kolm kõige levinumat varianti, kuid on veel kolm:

Identiteediagendid.. Kasutajate arvutitesse installitakse spetsiaalne agent.
Identiteedi kogujad.. Eraldi utiliit, mis installitakse Windows Serverisse ja kogub autentimise logisid asemel väravat. Tegelikult on see kohustuslik variant suure arvu kasutajate puhul.
RADIUS-i arvestus.. Ja kuidas oleks ilma vanade hea RADIUS-eta.

Selles õppes demonstreerin teist varianti — põhineb brauseril. Arvan, et teooria on piisav, liikuge me juba praktikale.