10. Check Point Uvod u R80.20. Svijest o identitetu

Dobrodošli na jubilarni — 10. lekciju. Danas ćemo razgovarati o još jednom Check Point bлейdu — Identity Awareness. Na samom početku, kada smo opisivali NGFW, definirali smo da je obavezna mogućnost reguliranja pristupa na osnovi korisničkih računa, a ne IP adresa. To je prvenstveno povezano s povećanom mobilnošću korisnika i sveprisutnom rasprostranjenošću BYOD modela — donesi svoj uređaj. U kompaniji može biti mnogo ljudi koji se povezuju putem WiFi-a, dobivaju dinamičke IP adrese, a još i iz različitih segmenata mreže. Pokušajte ovdje stvoriti pristupne liste na temelju IP adresa. Bez identifikacije korisnika ovdje ne može proći. I upravo će nam bлейd Identity Awareness pomoći u tome.

No, za početak, razjasnimo za što se najčešće koristi identifikacija korisnika?

1. Za ograničavanje mrežnog pristupa prema korisničkim računima, a ne prema IP adresama. Pristup se može regulirati kako jednostavno prema Internetu, tako i prema bilo kojim drugim mrežnim segmentima, primjerice DMZ.
2. Pristup prema VPN. Priznajte, mnogo je lakše koristiti svoj domen račun za autorizaciju nego još jednu izmišljenu lozinku.
3. Za upravljanje Check Point-om također je potrebna korisnička račun s različitim pravima.
4. I najugodniji dio — Izvještavanje. Puno je ugodnije vidjeti u izvještajima konkretne korisnike, a ne njihove IP adrese.

Pri tome Check Point podržava dva tipa korisničkih računa:

• Local Internal Users. Korisnik se stvara u lokalnoj bazi servera za upravljanje.
• External Users. Kao vanjska baza korisnika može poslužiti Microsoft Active Directory ili bilo koji drugi LDAP server.

Danas ćemo govoriti o mrežnom pristupu. Za upravljanje mrežnim pristupom, uz Active Directory, koristi se takozvani Access Role, koji omogućava korištenje tri parametra korisnika:

1. Mreža — tj. mreža s kojom korisnik pokušava povezati
2. AD User ili User Group — ovi podaci se direktno preuzimaju s AD servera
3. Machine — radna stanica.

Pri tome, identifikacija korisnika može se izvršiti na nekoliko načina:

• AD Query. Check Point čita logove AD servera u vezi s autentificiranim korisnicima i njihovim IP adresama. Računala koja se nalaze u AD domenu automatski se identificiraju.
• Autentifikacija putem preglednika. Identifikacija putem preglednika korisnika (Captive Portal ili Transparent Kerberos). Najčešće se koristi za uređaje koji nisu u domenu.
• Terminalski poslužitelji. U ovom slučaju identifikacija se vrši putem posebnog terminalskog agenta (instalira se na terminalski poslužitelj).

to su tri najčešća varijante, ali postoje još tri:

• Agenti identiteta. Na računala korisnika instalira se posebni agent.
• Kolektor identiteta. Odvojena alatka koja se instalira na Windows Server i prikuplja logove autentifikacije umjesto prolaza. U praksi obavezan izbor pri velikom broju korisnika.
• RADIUS obračun. I gdje bi bio stari dobri RADIUS.

U ovoj lekciji ću demonstrirati drugu varijantu — autentifikaciju putem preglednika. Mislim da je dovoljno teorije, pređimo već na praksu.

Video lekcija

Stay tuned for more and join our YouTube channel 🙂

Izvor: habr.com