🥇10. Iniziare con Check Point R80.20. Consapevolezza dell'Identità

Benvenuti alla celebrazione del decimo anniversario della lezione. Oggi parleremo di un altro blade di Check Point — Consapevolezza dell'Identità. Già all'inizio, nella descrizione di NGFW, abbiamo stabilito che è essenziale avere la possibilità di regolare l'accesso basato su account, e non sugli indirizzi IP. Questo è principalmente legato all'aumento della mobilità degli utenti e alla diffusione del modello BYOD — bring your own device. In un'azienda ci possono essere molte persone che si connettono tramite WiFi, ottengono un IP dinamico e provengono da segmenti di rete diversi. Prova a creare delle liste di accesso basate su indirizzi IP. Qui l'identificazione degli utenti diventa fondamentale. E proprio il blade Consapevolezza dell'Identità ci aiuterà in questo.

Ma prima di tutto, chiariamoci: a cosa serve più comunemente l'identificazione degli utenti?

Per limitare l'accesso alla rete in base agli account utenti, e non agli indirizzi IP. L'accesso può essere regolato sia semplicemente a Internet, sia a qualsiasi altro segmento di rete, ad esempio DMZ.
Accesso tramite VPN. Concordate che è molto più comodo per un utente utilizzare il proprio account di dominio per l'autenticazione, piuttosto che un'altra password inventata.
Per gestire Check Point è inoltre necessario un account, che può avere vari diritti.
E la parte più piacevole — La Relazione. È molto più piacevole vedere nei rapporti utenti specifici, piuttosto che i loro indirizzi IP.

A questo proposito, Check Point supporta due tipi di account:

Utenti Interni Locali. L'utente viene creato nel database locale del server di gestione.
Utenti Esterni. Come database esterno degli utenti può essere utilizzato Microsoft Active Directory o qualsiasi altro server LDAP.

Oggi parleremo dell'accesso alla rete. Per gestire l'accesso alla rete, in presenza di Active Directory, viene utilizzato come oggetto (source o destination) il cosiddetto Ruolo di Accesso, che consente di utilizzare tre parametri utente:

Network global log /dev/log local0 log /dev/log local1 notice chroot /var/lib/haproxy stats timeout 30s user haproxy group haproxy daemondefaults log global mode http option httplog option dontlognull timeout connect 5000 timeout client 50000 timeout server 50000frontend http_front bind *:80 stats uri /haproxy?stats default_backend http_backbackend http_back balance roundrobin server server_name1 private_ip1:80 check server server_name2 private_ip2:80 check — cioè, la rete dalla quale l'utente sta cercando di connettersi
Utente AD o Gruppo Utenti — questi dati vengono estratti direttamente dal server AD
Macchina — stazione di lavoro.

In questo caso, l'identificazione degli utenti può avvenire in vari modi:

Query AD. Check Point legge i log del server AD per utenti autenticati e i loro indirizzi IP. I computer che si trovano nel dominio AD vengono identificati automaticamente.
Autenticazione Basata su Browser. Identificazione tramite il browser dell'utente (Captive Portal o Kerberos Trasparente). Viene solitamente utilizzato per dispositivi che non sono nel dominio.
Server Terminal. In questo caso, l'identificazione avviene tramite un agente terminale speciale (installato sul server terminale).

Questi sono i tre metodi più comuni, ma ce ne sono altri tre:

Agenti Identità. Viene installato un agente speciale sui computer degli utenti.
Raccoglitore di Identità. Un'utility separata che viene installata su Windows Server e raccoglie i log di autenticazione al posto del gateway. È praticamente obbligatorio in caso di un grande numero di utenti.
Contabilità RADIUS. E come possiamo fare a meno del buon vecchio RADIUS.

In questa lezione vi mostrerò il secondo metodo — Basato su Browser. Penso che sia sufficiente la teoria, passiamo alla pratica.