1.Sơ đồ mạng

Identity Awareness là một tính năng quan trọng trong Check Point Firewall, cho phép nhận biết và quản lý quyền truy cập mạng dựa trên thông tin về người dùng, nhóm người dùng, hoặc các đối tượng người dùng khác. Điều này cho phép tường lửa nhận dạng người dùng cụ thể hoặc nhóm người dùng và áp dụng các quy tắc bảo mật theo từng cá nhân hoặc nhóm.

Bằng cách kết hợp thông tin từ nhiều nguồn như Active Directory, LDAP hoặc các hệ thống xác thực khác, Identity Awareness giúp tạo ra một hồ sơ chi tiết về người dùng và nhóm người dùng. Điều này cho phép quản trị viên xác định và kiểm soát quyền truy cập mạng, quản lý chính sách bảo mật dựa trên danh tính cụ thể của từng người dùng hoặc nhóm.

Trong bài viết hôm nay mình sẽ hướng dẫn các bạn cấu hình tính năng Captive Portal, quản lý việc truy cập web dựa trên users được đồng bộ từ AD lên Checkpoint Firewall.

2. Các bước cấu hình

Bước 1: Cấu hình bật tính năng Identity Awareness

Bước 2: Cấu hình tạo các policy dựa trên users

Bước 3: Kiểm tra cấu hình

Note: Trước đi đến phần hướng dẫn, bạn có thể tham khảo các bước đồng bộ users từ AD lên Checkpoint Firewall theo link sau: https://thegioifirewall.com/checkpoint-firewall-r81-20-huong-dan-cau-hinh-dong-bo-user-ad-len-checkpoint-firewall/

3. Hướng dẫn cấu hình.

Bước 1: Cấu hình bật tính năng Identity Awareness.

Trên giao diện SmartConsole > Click chọn Edit.

Trong General Properties > Click chọn Identity Awareness.

Trong Identity Awareness Configuration >Click chọn Browser-Based Authentication. Click Next.

Nếu bạn đã đồng bộ users trước đó, đến bước này bạn chỉ cần chọn “Connect” do các thông tin AD đã được lấy trước đó.

Connect với AD thành công. Click Next.

Main URL: là địa chỉ interface IP mà users sẽ dùng để vào trang xác thực trước khi truy cập web.

Click Next và Finish.

Tính năng Identity Awareness đã được bật. Click Ok.

Cuối cùng click Publish > Install Policy.

Bước 2: Cấu hình tạo các policy dựa trên users

Đầu tiên bạn phải cấu hình policy cho lớp mang LAN accept service DNS.

Tiếp theo bạn cấu hình policy bên dưới policy LAN Internet Access vừa tạo.

Settings các thông số như sau:

Name: Đặt tên cho rule

Source: Chọn các group user đã tạo

Destination: chọn any

VPN: Any

Service & Application: chọn service http/https

Action: Accept. Ở đây bạn chuột phải chọn More > click chọn “Enable Identity Captive Portal”.

Track: chọn Log

Install On: chọn tên Hostname Checkpoint Firewall.

Tiếp tục tạo New Rule. Ex: Policy block truy cập web youtube và facebook cho Group_Sale.

Settings các thông số như sau:

Name: Đặt tên cho rule

Source: Chọn Group_Sale

Destination: chọn any

VPN: Any

Service & Application: chọn facebook và youtube.

Action: Drop

Track: chọn Log

Install On: chọn tên Hostname Checkpoint Firewall.

Cuối cùng Publish > Install Policy.

Bước 3: Kiểm tra cấu hình.

Trên máy tính login với user “Kate” thuộc Group_Sale.

Ping 8.8.8.8 và google.com đều ok.

Nhưng không thể truy cập Internet.

Để truy cập Internet cần xác thực user. Truy cập Main URL trong bước 1.

Nhập user và password. Click chọn Log In.

Xác thực thành công.

Check policy user “Kate” nằm trong Group_Sale, bị block truy cập Youtube và Facebook.

Các trang web còn lại vẫn truy cập bình thường.

Tiếp theo login bằng user “Mark” nằm trong Group_Marketing, không bị cấm truy cập Youtube và facebook.

Tiếp tục xác thực user.

Truy cập facebook thành công.

Kiểm tra log trên SmartConsole.

Với tính năng User Awareness bạn có thể cấu hình để xác định các nguồn nhằm lấy danh tính người dùng, cho mục đích ghi log và cấu hình. User Awareness sẽ giúp hiển thị log dựa trên người dùng thay vì dựa trên địa chỉ IP và thực thi kiểm soát truy cập cho người dùng và nhóm người dùng.

Để sử dụng User Awareness bạn phải cấu hình các phương pháp nhận dạng để lấy thông tin về người dùng và nhóm người dùng. Sau khi gateway có được danh tính của người dùng, các quy tắc dựa trên người dùng có thể được thực thi trên network traffic trong Access Policy.

User Awareness có thể sử dụng các nguồn sau để xác định người dùng:

+ Active Directory Queries: Truy vấn đến máy chủ AD (Active Directory) để lấy thông tin người dùng.

+ Browser-Based Authentication: Sử dụng cổng thông tin để xác thực người dùng được xác định cục bộ hoặc như một bản sao lưu cho các phương pháp nhận dạng khác.

2. Network Diagram

Bài viết hôm nay sẽ hướng dẫn các bạn cấu hình đồng bộ user từ AD lên Checkpoint Firewall sử dụng user được đồng bộ để xác thực VPN Remote Access và cấu hình policy theo group user đã đồng bộ.

3.Hướng dẫn cấu hình.

Bước 1: Cấu hình Active Directory Queries.

Ví dụ: Trên AD Server có 3 group: Accounting, Sale và IT.

Mỗi group có 1 user là: John, Kane, Kevin.

Trên giao diện quản trị của Checkpoint > Access Policy > User Awareness > Blade Control.

Click chọn ON User Awareness > Click chọn Active Directory Queries > Configure…

Trong Active Directory Queries, click chọn Define a new Active Directory và điền các thông số sau:

• Domain: Điền tên domain của AD
• IPv4 address: Điền địa chỉ IP của AD Server
• User name: Điền user domain (Nên đùng user admin domain)
• Password: Nhập password user
• User DN: Điền FQDN user (Ex: CN=Administrator,CN=Users,DC=vacif,DC=local).

Click chọn Discover, nếu không có thông báo lỗi nào là bạn đã queries thành công. Click Apply.

Khi bạn click chọn lại Configure, domain “vacif.local” sẽ xuất hiện trong bảng Use existing Active Directory servers.

Tiếp theo bạn di chuyển xuống phần User & Objects > User Management > Authentication Servers > Active Directory.

Click chọn “Permissions for Active Directory users”, trong Grant remote access permissions to: click chọn “Selected AD user group” để có thể sử dụng các user group đã được đồng bộ để xác thực VPN Remote Access. Click Apply.

Bước 2: Add các User Group cho Remote Access Users.

Bạn di chuyển đến phần VPN > Remote Access > Remote Access Users > Edit Permissions > Active Directory.

Ở đây bạn sẽ thấy các User Group đã được đồng bộ từ AD.

Bạn click chọn các User Group bạn muốn dùng để xác thực. Click Apply.

Như vậy bạn đã add thành công 3 Group: Accounting, Sales và IT.

Note: Bạn sẽ không thể chọn add 1 user cụ thể từ AD, bạn chỉ có thể chọn group có chứa user đó.

Bước 3: Kiểm tra xác thực VPN Remote Access sử dụng User Syn từ AD.

Bạn có thể tham khảo cấu hình VPN Remote Access sử dụng Checkpoint VPN Client qua bài viết sau: https://www.thegioifirewall.com/checkpoint-firewall-huong-dan-cau-hinh-vpn-remote-access-cho-users-su-dung-checkpoint-vpn-clients/

Kiểm tra kết nối VPN user Kevin nằm trong Group Accounting: Kết nối thành công

Kiểm tra kết nối VPN user Kane nằm trong Group Sale: Kết nối thành công.

Kiểm tra kết nối VPN user John nằm trong Group Sale: Kết nối thành công.

Bạn cũng có thể tạo Policy riêng cho group trong Access Policy > Firewall > Policy > New Policy.

Trong Source > Active Directory > chọn Group (Ex: Accounting).

Với tính năng Browser-Based Authentication trên Checkpoint sử dụng giao diện web để xác thực người dùng trước khi họ có thể truy cập tài nguyên mạng hoặc Internet. Khi người dùng cố gắng truy cập một tài nguyên được bảo vệ, họ phải đăng nhập xác thực để tiếp tục truy cập.

2. Network Diagram.

Bài viết hôm nay sẽ hướng dẫn các bạn cấu hình tính năng Browser-Based Authentication trên Checkpoint Firewall để xác thực, cũng như tạo các policy theo người dùng trước khi truy cập Internet.

3. Hướng dẫn cấu hình.

Bước 1: Cấu hình Browser-Based Authentication.

Để enable tính năng Browser-Based Authentication trên giao diện quản trị của Checkpoint Firewall > Access Policy > User Awareness > Blade Control > Click chọn ON User Awareness.

Dưới phần Policy Configuration > click chọn Browser-Based Authentication > click Configure.

Trong Identification tab:

Bạn có thể chọn Block unauthenticated users when the captive portal is not applicable cho các user chưa được xác thực.

Specific destinations: Chọn Internet.

Chuyển qua Customization tab: Bạn có thể để mặc định, hoặc có thể dùng logo khác theo ý muốn bằng cách click chọn Upload.

Chuyển qua Advanced tab:

Portal Address: Điền địa chỉ IP sẽ dùng để làm trang xác thực user.

Session timeout: Cài đặt thời gian user có thể truy cập network hoặc Internet trước khi cần xác thực lại.

Sau cùng click Apply.

Bước 2: Tạo Users.

Trong giao diện quản trị của Checkpoint Firewall > User & Objects > User Awareness >User > New > Local User.

Trong Remote Access tab: Điền các thông số như hình dưới. Click Apply.

Ở đây mình tạo 2 user là John và Steven.

Bước 3: Kiểm tra cấu hình.

Bạn sử dụng máy tính trong mạng LAN của Checkpoint thử truy cập các trang web thì sẽ xuất hiện 1 trang web của Checkpoint yêu cầu xác thực thông tin người dùng trước khi được truy cập Internet.

Bạn điền Username và Password của John đã tạo ở bước 2. Click Log In.

Click chọn “I have read and agreed to the terms and conditions“. Click Next.

Khi đã xác thực thành công bạn sẽ truy cập internet bình thường. Sẽ hiện thông báo thời gian bạn có thể truy cập Internet bình thường trước khi cần phải xác thực lại.

Note: Bạn không được tắt trang xác thực này để duy trì việc truy cập Internet.

Bước 4: Tạo Policy xác thực theo User.

Tiếp theo mình sẽ tạo 1 policy cấm truy cập facebook đối với user John.

Trên giao diện quản trị của Checkpoint Firewall > User & Objects > Network Resources >Network Object Groups > New.

Điền tên cho Network Object Groups (Ex: Block_FB_VN) > New > Type: Domain Name > Domain: Facebook.com. Click Apply.

Để tạo Policy bạn đi đến Access Policy > Firewall > Policy > New > On Top.

Trong phần Source: chọn User tab > chọn John.

Destination: chọn Network Object Groups (Ex: Block_FB_VN).

Action: chọn Block.

Click Apply.

Đã tạo xong policy chặn truy cập facebook với user John.

Kiểm tra: Xác thực với user John và thử truy cập facebook, kết quả là không thể truy cập được. Nhưng các trang web khác vẫn truy cập bình thường.

Kiểm tra Log trên Checkpoint Firewall. Các traffic user John đều bị Drop.

Tiếp tục Login bằng user Steven thì truy cập facebook bình thường.

Kiểm tra Log trên Checkpoint Firewall. Log thể hiện user John đã log out và user Steven đã login thành công.