10. Check Point Iepazīšanās ar R80.20. Identitātes apziņa

Laipni lūdzam jubilejas — 10. nodarbībā. Šodien mēs runāsim par vēl vienu Check Point bleydu — Identity Awareness. Vēl pašā sākumā, aprakstot NGFW, mēs noteicām, ka tam obligāti jābūt iespējai regulēt piekļuvi, balstoties uz lietotāju kontiem, nevis IP adresēm. Tas galvenokārt ir saistīts ar palielināto lietotāju mobilitāti un plašo BYOD — bring your own device modeli. Uzņēmumā var būt daudz cilvēku, kuri pieslēdzas pa WiFi, iegūst dinamiskas IP adreses un vēl no dažādiem tīkla segmentiem. Mēģiniet šeit izveidot piekļuves sarakstus, balstoties uz IP adresēm. Bez lietotāju identifikācijas to neizdosies izdarīt. Un tieši bleyds Identity Awareness mums palīdzēs šajā procesā.

Bet vispirms izpētīsim, kam visbiežāk tiek izmantota lietotāju identifikācija?

1. Lai ierobežotu tīkla piekļuvi pēc lietotāju kontiem, nevis pēc IP adresēm. Piekļuve var tikt regulēta gan vienkārši uz internetu, gan uz jebkuriem citiem tīkla segmentiem, piemēram, DMZ.
2. Piekļuve pēc VPN. Piekrītiet, ka lietotājam ir daudz ērtāk izmantot savu domēna kontu autentifikācijai, nevis vēl vienu izdomātu paroli.
3. Lai pārvaldītu Check Point, arī nepieciešams lietotāja konts, kuram var būt dažādas tiesības.
4. Un pati patīkamā daļa — Ziņošanas. Ir daudz patīkamāk redzēt ziņojumos konkrētus lietotājus, nevis viņu IP adreses.

Šajā gadījumā Check Point atbalsta divus kontu veidus:

• Local Internal Users. Lietotājs tiek izveidots lokālajā pārvaldības servera datu bāzē.
• External Users. Kā ārējā lietotāju datu bāze var kalpot Microsoft Active Directory vai jebkura cita LDAP servera.

Šodien mēs runāsim par tīkla piekļuvi. Lai pārvaldītu tīkla piekļuvi, ja ir Active Directory, kā objekts (source vai destination) tiek izmantots tā sauktais Access Role, kas ļauj izmantot trīs lietotāja parametrus:

1. Tīkls — proti, tīkls, no kura lietotājs cenšas pieslēgties
2. AD User vai User Group — šie dati tiek izvilkti tieši no AD servera
3. Machine — darba stacija.

Šajā gadījumā lietotāju identifikācija var tikt veikta vairākiem veidiem:

• AD Query. Check Point lasīs AD servera žurnālus par autentificētiem lietotājiem un viņu IP adresēm. Datori, kas atrodas AD domēnā, tiek automātiski identificēti.
• Pārlūkprogrammas autentifikācija. Identifikācija caur lietotāja pārlūkprogrammu (Captive Portal vai Transparent Kerberos). Visbiežāk tiek izmantota ierīcēm, kas nav domēnā.
• Terminālu serveri. Šajā gadījumā identifikācija tiek veikta, izmantojot speciālu termināla aģentu (installē uz termināla servera).

tie ir trīs visizplatītākie varianti, bet ir vēl trīs:

• Identitātes aģenti. Uz lietotāju datoriem tiek instalēts speciāls aģents.
• Identitātes kolektors. Atsevišķa utilīta, kas tiek instalēta uz Windows servera un apkopo autentifikācijas žurnālus vietā, kurā darbojas vārti. Praktiski obligāts variants, ja ir liels lietotāju skaits.
• RADIUS uzskaite. Nu, un kurš gan var iztikt bez vecā laba RADIUS.

Šajā lekcijā es demonstrēšu otro variantu — pārlūkprogrammas bāzētu. Domāju, ka teorija ir pietiekama, pāriesim pie prakses.

Video mācība

Sekojiet līdzi jauniem materiāliem un pievienojieties mūsu YouTube kanālam 🙂

Avots: habr.com