Dobrodošli na jubilejni — 10. lekciji. Danas ćemo razgovarati o još jednom bleydu Check Point — Svest o identitetu. Već na samom početku, kada smo opisivali NGFW, definirali smo da je neophodna mogućnost regulisanja pristupa na osnovu korisničkih naloga, a ne IP adresa. To se pre svega odnosi na povećanu mobilnost korisnika i sveprisutnu primenu modela BYOD — donesi svoj uređaj. U firmi može biti više ljudi koji se povezuju putem WiFi-a, dobijaju dinamičke IP adrese i to iz različitih mrežnih segmenata. Pokušajte ovde da kreirate pristupne liste na osnovu IP adresa. Ovdje je identifikacija korisnika neophodna. A upravo bleyd Svest o identitetu će nam pomoći u tome.
Ali prvo, hajde da razjasnimo, za šta se najčešće koristi identifikacija korisnika?
- Za ograničavanje mrežnog pristupa na osnovu korisničkih naloga, a ne IP adresa. Pristup se može regulisati kako za jednostavan pristup internetu, tako i za bilo koje druge mrežne segmente, kao što je DMZ.
- Pristup po VPN. Slažete se da je korisniku daleko lakše koristiti svoj domen korisnički nalog za autentifikaciju, nego još jednu izmišljenu lozinku.
- Za upravljanje Check Point-om takođe je potrebna korisnička šifra, koja može imati različita prava.
- I najlepši deo — Izveštavanje. Mnogo je lepše videti u izveštajima konkretne korisnike, a ne njihove IP adrese.
Pri tome Check Point podržava dva tipa korisničkih naloga:
- Lokalni interni korisnici. Korisnik se stvara u lokalnoj bazi servera za upravljanje.
- Spoljni korisnici. Kao spoljna baza korisnika može se koristiti Microsoft Active Directory ili bilo koji drugi LDAP server.
Danas ćemo govoriti o mrežnom pristupu. Za upravljanje mrežnim pristupom, ukoliko postoji Active Directory, kao objekat (izvor ili odredište) koristi se takozvana Pristupna uloga, koja omogućava korišćenje tri korisnička parametra:
- Mreža — tj. mreža iz koje se korisnik pokušava povezati
- AD korisnik ili korisnička grupa — ovi podaci se izvode direktno sa AD servera
- Mašina — radna stanica.
Pri tome identifikacija korisnika može se izvršiti na nekoliko načina:
- AD upitCheck Point prebere dnevniške datoteke AD strežnika za preverjanje avtoriziranih uporabnikov in njihovih IP naslovov. Računalniki, ki so v AD domeni, se samodejno identificirajo.
- Avtentikacija prek brskalnikaIdentifikacija prek brskalnika uporabnika (Captive Portal ali Transparent Kerberos). Najpogosteje se uporablja za naprave, ki niso v domeni.
- Terminalski strežnikiV tem primeru se identifikacija izvede s pomočjo posebnega terminalskega agenta (namesti se na terminalski strežnik).
to so trije najpogostejši načini, vendar obstajajo še trije:
- Identitetni agentiNa računalnike uporabnikov se namesti posebni agent.
- Zbiralnik identitetLočena pripomoček, ki se namesti na Windows strežnik in zbira dnevnike avtorizacije namesto prehoda. Dejansko obvezen način pri velikem številu uporabnikov.
- RADIUS obračunavanjeNo pa kam bi šel brez starega dobrega RADIUS-a.
V tem pouku bom predstavil drugi način — Avtentikacijo prek brskalnika. Mislim, da je dovolj teorije, preidimo k praksi.
Video lekcija
Ostanite z nami in se pridružite našemu 🙂
Izvor: habr.com
