Üdvözlünk a jubileumi — 10. leckében. Ma egy másik Check Point blade-ről fogunk beszélni — Azonosító tudatosság. Már az NGFW leírásának elején meghatároztuk, hogy kötelező a hozzáférés szabályozásának lehetősége felhasználói fiókok alapján, nem IP-címek alapján. Ennek elsődleges oka a felhasználók növekvő mobilitása és a BYOD — saját eszköz használata modell széleskörű elterjedése. A cégben sok ember csatlakozik WiFi-hez, dinamikus IP címet kap, ráadásul különböző hálózati szegmensekből. Próbálj meg itt hozzáférési listákat létrehozni IP-címek alapján. Itt már nem lehet elkerülni a felhasználók azonosítását. És itt jön a képbe az Azonosító tudatosság blade, amely segít nekünk ebben.
De először nézzük meg, miért van leggyakrabban szükség a felhasználók azonosítására?
- A hálózati hozzáférés korlátozására felhasználói fiókok szerint, nem IP-címek alapján. A hozzáférés szabályozható egyszerűen az Internethez, vagy bármely más hálózati szegmenshez, például a DMZ-hez.
- Hozzáférés VPN. Egyetértesz, hogy a felhasználóknak sokkal kényelmesebb a domain fiókjukat használni az azonosításhoz, mint egy újonnan kitalált jelszót.
- A Check Point irányításához is szükséges egy fiók, amelynek különböző jogai lehetnek.
- És a legkellemesebb rész — Jelentések. Sokkal jobb látni a jelentésekben a konkrét felhasználókat, nem pedig az IP-címüket.
A Check Point kétféle felhasználói fiókot támogat:
- Helyi belső felhasználók. A felhasználó a helyi kezelőszolgáltatás adatbázisában jön létre.
- Külső felhasználók. Külső felhasználói adatbázis lehet a Microsoft Active Directory vagy bármely más LDAP-szerver.
Ma a hálózati hozzáférésről fogunk beszélni. A hálózati hozzáférés irányításakor, amennyiben Active Directory áll rendelkezésre, mint objektum (forrás vagy cél) úgynevezett Hozzáférési szerep, amely lehetővé teszi három felhasználói paraméter használatát:
- Hálózat — azaz a hálózat, amellyel a felhasználó próbál csatlakozni
- AD felhasználó vagy felhasználói csoport — ezek az adatok közvetlenül az AD szerverről származnak
- Gép — munkaállomás.
A felhasználók azonosítása többféle módon történhet:
- AD lekérdezésA Check Point figyeli az AD szerver naplóit az hitelesített felhasználók és IP-címeik szempontjából. Az AD domainben lévő számítógépeket automatikusan azonosítják.
- Böngészőalapú HitelesítésA felhasználó böngészőjén keresztüli azonosítás (Captive Portal vagy Átlátszó Kerberos). Leggyakrabban olyan eszközöknél használják, amelyek nem a domainben találhatók.
- Terminál SzerverekEbben az esetben az azonosítás egy speciális terminálügynök segítségével történik (amely a terminál szerveren van telepítve).
ez a három legelterjedtebb lehetőség, de van még három:
- Identitás ÜgynökökA felhasználói számítógépekre speciális ügynököt telepítenek.
- Identitás GyűjtőKülönálló segédprogram, amely a Windows Serverre telepíthető és az autentikációs naplókat gyűjti a kapu helyett. Gyakorlatilag kötelező megoldás nagy számú felhasználó esetén.
- RADIUS SzámlázásHát persze, hogy van helye a régi jól bevált RADIUS-nak.
Ebben az órában a második lehetőséget mutatom be — a Böngészőalapú hitelesítést. Úgy gondolom, elég volt a teóriából, nézzünk bele a gyakorlatba.
Oktatóvideó
Maradjatok velünk további információkért, és csatlakozzatok a A végén én, egy egyszerű szellemi munkás, váratlanul hős lettem ennek a menő csatornának a történetében!
Forrás: habr.com
