10. Check Point Komma igång R80.20. Identitetsmedvetenhet

Välkommen till den jubileums - 10:e lektionen. Idag kommer vi att prata om ytterligare en Check Point-blad - Identity Awareness. Redan i början, när vi beskrev NGFW, fastställde vi att den måste ha möjlighet att reglera åtkomst baserat på konton snarare än IP-adresser. Detta beror främst på den ökade mobiliteten hos användare och den allestädes närstående modellen BYOD — bring your own device. Det kan finnas massor av personer i företaget som ansluter via WiFi, får dynamiska IP-adresser och dessutom från olika nätverkssegment. Försök att skapa åtkomstlistor baserat på IP-adresser här. Utan användaridentifiering klarar man sig inte. Och just bladet Identity Awareness kommer att hjälpa oss med detta.

Men först, låt oss ta reda på vad användaridentifiering används mest för?

1. För att begränsa nätverksåtkomsten baserat på användarkonton snarare än IP-adresser. Åtkomsten kan regleras både till Internet och till andra nätverkssegment, till exempel DMZ.
2. Åtkomsten via VPN. Håller ni inte med om att det är mycket smidigare för användaren att använda sitt domänkonto för autentisering istället för en annan påhittad lösenord?
3. För att hantera Check Point krävs också ett konto, som kan ha olika behörigheter.
4. Och den trevligaste delen - Rapportering. Det är mycket trevligare att se specifika användare i rapporterna istället för deras IP-adresser.

Check Point stöder två typer av användarkonton:

• Local Internal Users. Användaren skapas i den lokala databasen på hanteringsservern.
• External Users. Som extern användardatabas kan Microsoft Active Directory eller någon annan LDAP-server fungera.

Idag ska vi prata om nätverksåtkomst. För att hantera nätverksåtkomst, med Active Directory tillgängligt, används så kallad Access Role, vilket gör det möjligt att använda tre användarparametrar:

1. Nätverk — det vill säga, nätverket som användaren försöker ansluta till
2. AD User eller User Group — dessa data hämtas direkt från AD-servern
3. Machine — arbetsstation.

Användaridentifiering kan också utföras på flera sätt:

• AD Query. Check Point läser AD-serverns loggar för att identifiera autentiserade användare och deras IP-adresser. Datorer inom AD-domänen identifieras automatiskt.
• Webbläsarbaserad autentisering. Identifiering via användarens webbläsare (Captive Portal eller Transparent Kerberos). Används oftast för enheter som inte är i domänen.
• Terminalservrar. I detta fall sker identifieringen med hjälp av en speciell terminalagent (installeras på terminalservern).

Detta är de tre vanligaste alternativen, men det finns ytterligare tre:

• Identitetsagenter. En speciell agent installeras på användardatorer.
• Identitetsinsamlare. En separat användbarhet som installeras på Windows Server och samlar autentiseringsloggar istället för gatewayen. Faktiskt ett obligatoriskt alternativ vid ett stort antal användare.
• RADIUS-redovisning. Och hur skulle vi klara oss utan gamla goda RADIUS.

I denna lektion kommer jag att demonstrera det andra alternativet — Webbläsarbaserad. Jag tror att teorin är tillräcklig, låt oss gå vidare till praktiken.

Videolektion

Håll dig uppdaterad för mer och gå med i vår YouTube-kanal 🙂

Källa: habr.com