10. תחילת העבודה של Check Point R80.20. מודעות לזהות

ברוכים הבאים ליום השנה - שיעור 10. והיום נדבר על להב נוסף של צ'ק פוינט - מודעות לזהות. כבר בהתחלה, כשתיארנו את NGFW, קבענו שהיא חייבת להיות מסוגלת לווסת גישה על סמך חשבונות, לא כתובות IP. הדבר נובע בעיקר מהניידות המוגברת של המשתמשים וההתפשטות הנרחבת של מודל BYOD - הביאו מכשיר משלכם. יכול להיות שיש הרבה אנשים בחברה שמתחברים דרך WiFi, מקבלים IP דינמי ואפילו מקטעי רשת שונים. נסה ליצור רשימות גישה המבוססות על מספרי IP כאן. כאן אתה לא יכול להסתדר בלי זיהוי משתמש. וזהו להב המודעות לזהות שיעזור לנו בעניין הזה.

אבל קודם כל, בואו נבין למה זיהוי המשתמש משמש לרוב?

1. להגביל את הגישה לרשת לפי חשבונות משתמש ולא לפי כתובות IP. הגישה יכולה להיות מווסתת הן פשוט לאינטרנט והן לכל מקטעי רשת אחרים, למשל DMZ.
2. גישה דרך VPN. מסכים שהרבה יותר נוח למשתמש להשתמש בחשבון הדומיין שלו לצורך הרשאה, במקום סיסמה נוספת שהומצאה.
3. כדי לנהל את צ'ק פוינט, אתה צריך גם חשבון שעשויות להיות לו זכויות שונות.
4. והחלק הכי טוב זה לדווח. הרבה יותר נחמד לראות משתמשים ספציפיים בדוחות ולא בכתובות ה-IP שלהם.

במקביל, צ'ק פוינט תומכת בשני סוגי חשבונות:

• משתמשים פנימיים מקומיים. המשתמש נוצר במסד הנתונים המקומי של שרת הניהול.
• משתמשים חיצוניים. Microsoft Active Directory או כל שרת LDAP אחר יכולים לפעול כבסיס משתמשים חיצוני.

היום נדבר על גישה לרשת. כדי לשלוט בגישה לרשת, בנוכחות Active Directory, מה שנקרא תפקיד גישה, המאפשר שלוש אפשרויות משתמש:

1. רשת - כלומר הרשת שאליה המשתמש מנסה להתחבר
2. משתמש AD או קבוצת משתמשים - נתונים אלה נמשכים ישירות משרת AD
3. מכונה - עמדת עבודה.

במקרה זה, ניתן לבצע זיהוי משתמש במספר דרכים:

• שאילתת AD. Check Point קורא את יומני שרת AD עבור משתמשים מאומתים וכתובות ה-IP שלהם. מחשבים שנמצאים בתחום AD מזוהים באופן אוטומטי.
• אימות מבוסס דפדפן. זיהוי באמצעות הדפדפן של המשתמש (Captive Portal או Transparent Kerberos). משמש לרוב עבור מכשירים שאינם בדומיין.
• שרתי מסוף. במקרה זה, הזיהוי מתבצע באמצעות סוכן מסוף מיוחד (מותקן בשרת המסוף).

אלו הן שלוש האפשרויות הנפוצות ביותר, אך ישנן עוד שלוש:

• סוכני זהות. סוכן מיוחד מותקן במחשבי המשתמשים.
• אספן זהויות. כלי עזר נפרד שמותקן ב-Windows Server ואוסף יומני אימות במקום השער. למעשה, אפשרות חובה עבור מספר רב של משתמשים.
• RADIUS חשבונאות. ובכן, איפה היינו בלי RADIUS הישן והטוב.

במדריך זה אדגים את האפשרות השנייה - מבוסס דפדפן. אני חושב שתיאוריה מספיקה, בואו נעבור לתרגול.

שיעור וידאו

הישארו מעודכנים לעוד והצטרפו אלינו ערוץ YouTube ???

מקור: www.habr.com