Bem-vindo à aula de jubileu — 10ª aula. E hoje vamos falar sobre mais um blade da Check Point — Consciência de Identidade. Logo no início, ao descrever o NGFW, definimos que é necessário ter a capacidade de regular o acesso com base em contas de usuário, e não em endereços IP. Isso se deve principalmente à crescente mobilidade dos usuários e à ampla adoção do modelo BYOD — bring your own device. Pode haver muitas pessoas na empresa conectando via WiFi, recebendo um IP dinâmico, e ainda de diferentes segmentos de rede. Tente criar listas de acesso com base em endereços IP aqui. Sem a identificação dos usuários, não há como escapar. E é exatamente o blade Consciência de Identidade que nos ajudará nisso.
Mas, antes de tudo, vamos entender para que a identificação de usuários é mais comumente utilizada?
- Para restringir o acesso à rede com base nas contas dos usuários, e não em endereços IP. O acesso pode ser regulado tanto para a Internet quanto para qualquer outro segmento de rede, como uma DMZ.
- Acesso por VPN. Concorda que é muito mais conveniente para o usuário usar sua conta de domínio para autenticação, em vez de lembrar mais uma senha inventada?
- Para gerenciar o Check Point, também é necessária uma conta que pode ter diferentes permissões.
- E a parte mais interessante - Relatórios. É muito mais agradável ver usuários específicos nos relatórios, e não seus endereços IP.
Nesse contexto, a Check Point suporta dois tipos de contas de usuário:
- Usuários Internos Locais. O usuário é criado na base local do servidor de gerenciamento.
- Usuários Externos. Como base externa de usuários, pode-se utilizar o Microsoft Active Directory ou qualquer outro servidor LDAP.
Hoje vamos falar sobre acesso à rede. Para gerenciar o acesso à rede, na presença do Active Directory, como objeto (source ou destination) utiliza-se o chamado Papel de Acesso, que permite usar três parâmetros do usuário:
- Rede — ou seja, a rede da qual o usuário está tentando se conectar
- Usuário AD ou Grupo de Usuário — esses dados são extraídos diretamente do servidor AD
- Máquina — estação de trabalho.
A identificação de usuários pode ser realizada de várias maneiras:
- Consulta AD. A Check Point lê os logs do servidor AD em busca de usuários autenticados e seus endereços IP. Computadores que estão no domínio AD são identificados automaticamente.
- Autenticação Baseada em Navegador. Identificação através do navegador do usuário (Captive Portal ou Kerberos Transparente). É mais comumente utilizado para dispositivos que não estão no domínio.
- Servidores de Terminal. Neste caso, a identificação é realizada por meio de um agente terminal especial (instalado no servidor terminal).
Essas são as três opções mais comuns, mas existem mais três:
- Agentes de Identidade. Um agente especial é instalado nos computadores dos usuários.
- Coletor de Identidade. Uma ferramenta separada que é instalada no Windows Server e coleta logs de autenticação em vez do gateway. É, de fato, uma opção obrigatória quando há um grande número de usuários.
- Contabilidade RADIUS. E como deixar de lado o bom e velho RADIUS.
Neste tutorial, eu vou demonstrar a segunda opção — Autenticação Baseada em Navegador. Acredito que já temos teoria suficiente, vamos para a prática.
Videoaula
Fique atento para mais e junte-se ao nosso 🙂
Fonte: habr.com
