Vitajte na našej oslave - 10. lekcii. Dnes budeme hovoriť o ďalšom blade od Check Point - Identitná osveta. Už na samom začiatku, pri opisovaní NGFW, sme určili, že pre neho je nevyhnutná schopnosť regulovať prístup na základe účtov, nie IP adries. To súvisí predovšetkým s vyššou mobilitou používateľov a všadeprítomným rozšírením modelu BYOD - prineste svoje vlastné zariadenie. V spoločnosti môže byť množstvo ľudí, ktorí sa pripájajú cez WiFi, získavajú dynamickú IP adresu a ešte aj z rôznych segmentov siete. Skúste tu vytvoriť prístupové zoznamy na základe IP adries. Tu už bez identifikácie používateľov nemôžeme obísť. A práve blade Identitná osveta nám s týmto pomôže.
Ale najprv si objasníme, na čo sa najčastejšie používa identifikácia používateľov?
- Na obmedzenie sieťového prístupu na základe používateľských účtov, nie IP adries. Prístup môže byť regulovaný nielen k internetu, ale aj do akýchkoľvek iných sieťových segmentov, napríklad DMZ.
- Prístup podľa VPN. Súhlasíte, že používateľom je omnoho pohodlnejšie používať svoj doménový účet na prihlásenie, než si vymýšľať ďalšie heslo.
- Na správu Check Point je takisto potrebný účet, ktorý môže mať rôzne práva.
- A najpríjemnejšia časť - Reporting. Je oveľa príjemnejšie vidieť v správach konkrétnych používateľov, nie ich IP adresy.
Check Point pritom podporuje dva typy používateľských účtov:
- Miestni interní používatelia. Používateľ je vytvorený v lokálnej databáze servera správy.
- Externí používatelia. Ako externá databáza používateľov môže slúžiť Microsoft Active Directory alebo akýkoľvek iný LDAP server.
Dnes sa budeme zaoberať sieťovým prístupom. Na riadenie sieťového prístupu, pri existencii Active Directory, sa ako objekt (source alebo destination) používa takzvaný Access Role, ktorý umožňuje používať tri parametre používateľa:
- Sieť — t.j. sieť, z ktorej sa používateľ pokúša pripojiť
- AD používateľ alebo skupina používateľov — tieto údaje sa získavajú priamo z AD servera
- Stroj — pracovná stanica.
Identifikácia používateľov môže byť pritom vykonaná niekoľkými spôsobmi:
- AD dotazCheck Point číta protokoly AD servera ohľadom autentifikovaných používateľov a ich IP adries. Počítače, ktoré sú v AD doméne, sa identifikujú automaticky.
- Autentifikácia cez prehliadačIdentifikácia prostredníctvom používateľského prehliadača (Captive Portal alebo Transparent Kerberos). Najčastejšie sa používa pre zariadenia, ktoré nie sú v doméne.
- Terminálové serveryV tomto prípade sa identifikácia uskutočňuje pomocou špeciálneho terminálového agenta (inštaluje sa na terminálny server).
to sú tri najbežnejšie možnosti, ale existujú aj ďalšie tri:
- Identity AgentsNa počítače používateľov sa inštaluje špeciálny agent.
- Identity CollectorSamostatná utilita, ktorá sa inštaluje na Windows Server a zhromažďuje logy autentifikácie namiesto brány. Fakticky povinná možnosť pri veľkom počte používateľov.
- RADIUS ÚčtovanieA kde by sme boli bez starého dobrého RADIUS.
V tejto lekcii ukážem druhú možnosť — Autentifikácia cez prehliadač. Myslím, že teórie už bolo dosť, poďme na prax.
Video lekcia
Sledujte nás naďalej a pridajte sa k našej 🙂
Zdroj: habr.com
