Witamy na jubileuszowej — 10. lekcji. Dzisiaj porozmawiamy o jeszcze jednym bloku Check Point — Świadomość tożsamości. Już na samym początku, przy opisie NGFW, określiliśmy, że niezbędna jest możliwość regulacji dostępu na podstawie kont użytkowników, a nie adresów IP. Wynika to głównie z zwiększonej mobilności użytkowników oraz powszechnego rozprzestrzenienia modelu BYOD — przynieś swoje urządzenie. W firmie może być mnóstwo osób, które łączą się przez WiFi, otrzymują dynamiczny adres IP, a także pochodzą z różnych segmentów sieci. Spróbuj tutaj stworzyć listy dostępu na podstawie adresów IP. Tutaj nie obejdzie się bez identyfikacji użytkowników. I właśnie blok Świadomości tożsamości pomoże nam w tym zadaniu.
Ale na początek zastanówmy się, do czego najczęściej wykorzystuje się identyfikację użytkowników?
- Aby ograniczyć dostęp do sieci na podstawie kont użytkowników, a nie adresów IP. Dostęp może być regulowany zarówno do Internetu, jak i do innych segmentów sieciowych, na przykład DMZ.
- Dostęp na podstawie VPN. Zgódźcie się, że użytkownikowi znacznie łatwiej jest korzystać ze swojego konta domenowego do autoryzacji, a nie wymyślać kolejnego hasła.
- Do zarządzania Check Pointem również niezbędne jest konto, które może mieć różne uprawnienia.
- I najprzyjemniejsza część — Raportowanie. O wiele przyjemniej jest widzieć w raportach konkretnych użytkowników, a nie ich adresy IP.
Przy tym Check Point obsługuje dwa typy kont użytkowników:
- Lokalni użytkownicy wewnętrzni. Użytkownik jest tworzony w lokalnej bazie serwera zarządzania.
- Użytkownicy zewnętrzni. Jako zewnętrzną bazę użytkowników można wykorzystać Microsoft Active Directory lub każdy inny serwer LDAP.
Dzisiaj porozmawiamy o dostępie do sieci. Aby zarządzać dostępem do sieci przy aktywnej Active Directory, jako obiekt (source lub destination) używa się tzw. Roli dostępu, która pozwala na wykorzystanie trzech parametrów użytkownika:
- Sieć — tzn. sieć, z którą użytkownik próbuje się połączyć
- Użytkownik AD lub Grupa użytkowników — dane te są bezpośrednio pobierane z serwera AD
- Maszyna — stacja robocza.
Przy tym identyfikacja użytkowników może być realizowana na kilka sposobów:
- Zapytanie AD. Check Point odczytuje logi serwera AD w celu sprawdzenia uwierzytelnionych użytkowników i ich adresów IP. Komputery, które znajdują się w domenie AD, są identyfikowane automatycznie.
- Uwierzytelnianie przez przeglądarkę. Identyfikacja przez przeglądarkę użytkownika (Captive Portal lub Transparent Kerberos). Najczęściej stosowane dla urządzeń, które nie są w domenie.
- Serwery terminalowe. W tym przypadku identyfikacja odbywa się za pomocą specjalnego agenta terminalowego (instalowanego na serwerze terminalowym).
to trzy najczęściej stosowane opcje, ale jest jeszcze trzy:
- Agenci tożsamości. Na komputerach użytkowników instalowany jest specjalny agent.
- Kolektor tożsamości. Oddzielne narzędzie, które jest instalowane na Windows Server i zbiera logi uwierzytelnienia zamiast bramy. W zasadzie obowiązkowa opcja przy dużej liczbie użytkowników.
- RACHUNKOWOŚĆ RADIUS. No i dokądżeby bez starego dobrego RADIUSa.
W tej lekcji zaprezentuję drugi wariant — Uwierzytelnianie przez przeglądarkę. Myślę, że wystarczy teorii, przejdźmy do praktyki.
Film instruktażowy
Bądź na bieżąco i dołącz do naszego 🙂
Źródło: habr.com
