Active Directory 作为身份源

优势

• 简化配置步骤，并为访问设备提供最大安全性。

• 非常适合中型企业和中型部署。

• 支持高可用性 （高可用性）。

• 对于未进行身份验证的用户，强制门户的配置是可选的。

Active Directory 作为身份源的工作原理是什么？

什么是 Windows Management Instrumentation 客户端 （WMIC）？

将 Active Directory 配置为标识源时，设备将与域控制器建立 Windows Management Instrumentation （WMI）/分布式组件对象模块 （DCOM） 连接。设备充当 WMI 客户端 （WMIC） 。设备读取并监视域控制器上的安全事件日志。设备分析事件消息以生成 IP 地址到用户的映射信息。

使用 功能资源管理器 确认平台和版本对特定功能的支持。

查看 特定于平台的 WMIC 行为 部分，了解有关与平台相关的注释。

WMIC 如何读取域控制器上的事件日志？

WMIC 按以下方式读取域控制器上的事件日志：

1. 设备以可配置的间隔（默认为 10 秒）监控事件日志。

2. 设备会读取特定时间跨度的事件日志，您可以对其进行配置。默认时间跨度为一小时。

3. 每次在 WMIC 启动时，设备都会检查上次时间戳和当前时间跨度。如果上一个时间戳早于当前时间跨度，则当前时间跨度生效。

4. 设备可以读取事件日志以获取 IPv4 和 IPv6 地址。

5. WMIC 启动时，防火墙可以从事件日志中读取的最大事件数。您无法配置事件的最大计数。

   当 WMIC 启动时，WMIC 使用带有时间跨度设置的最大计数。当达到限制时，WMIC 将停止读取事件日志。

6. 故障切换后，设备从最新的事件日志时间戳中读取事件日志。

指定 IP 过滤器以限制 IP 到用户的映射

您可以指定 IP 过滤器来限制设备从事件日志生成的 IP 地址到用户的映射信息。

若要了解筛选器何时可用于此类映射，请考虑以下方案。客户在一个网域中部署 10 台设备，每台设备控制一个分支机构。所有 10 台设备读取域控制器中的所有 10 个分支机构用户登录事件日志。但是，设备配置为仅检测用户是否在其控制的分支上通过了身份验证。通过在设备上配置 IP 过滤器，设备将仅读取其控制下的 IP 事件日志。

您可以配置过滤器以包含或排除 IP 地址或前缀。您最多可以为每个过滤器指定 20 个地址。

Windows 事件日志验证和统计信息

您可以通过发出 show services user-identification active-directory-access active-directory-authentication-table all 命令来验证身份验证表是否正在获取 IP 地址和用户信息。将显示每个域的 IP 地址到用户的映射列表。在 LDAP 运行之前，该表不包含任何组信息。

您可以通过发出 show services user-identification active-directory-access ip-user-mapping statistics domain 命令查看有关读取事件日志的统计信息。

防火墙身份验证作为 WMIC 的备份

Active Directory 作为标识源获取 IP 地址到用户映射信息的主要方法是让设备充当 WMI 客户端 （WMIC） 。但是，事件日志读取和 PC 探测函数都使用 WMI，并且使用全局策略禁用 WMI 到 PC 探测会影响事件日志读取。这些可能会导致 PC 探测失败，并且需要一种备份方法来获取 IP 地址到用户的映射。该方法是使用防火墙身份验证来识别用户。

请参阅 域 PC 探测。

如果在该语句中配置了域， fwauth 则识别该域用于域身份验证条目，并将域名与身份验证请求一起发送到 fwauth 进程。收到身份验证响应后， fwauth 删除该域身份验证条目。该 fwauth 进程将源 IP 地址、用户名、域和其他信息发送到 UserID 进程，后者验证它是否为有效的域用户条目。后续流量将命中此用户防火墙条目。

什么是域 PC 探测？

域 PC 探测可作为事件日志读取的补充。当用户登录到域时，事件日志将包含该信息。仅当事件日志中没有 IP 到地址的映射时，才会触发 PC 探测。

域信息会随着用户登录和注销域 PC 而不断变化。Active Directory 作为标识源探测功能提供了一种机制，用于通过直接探测域 PC 中的 IP 地址到用户的映射信息来跟踪和验证身份验证表中的信息。探测识别的新信息和更改的信息用于更新 Active Directory 身份验证表条目，这对于维护防火墙完整性至关重要。

IP 地址过滤器也会影响 PC 探查。配置 IP 地址过滤器后，仅探测过滤器中指定的 IP 地址。

使用 功能资源管理器 确认平台和版本对特定功能的支持。

查看 特定于平台的探针速率行为 部分，了解与您的平台相关的注释。

域 PC 探测用户信息

作为标识源的 Active Directory 通过探测域 PC 来跟踪用户的联机状态。如果用户未联机或不是预期用户，则会根据需要更新 Active Directory 身份验证表。以下探测行为适用：

根据域 PC 探测响应，对 Active Directory 身份验证表进行更新，并使关联的防火墙策略生效。如果在 90 秒后未收到来自探测的响应，则身份验证条目超时。超时身份验证条目是挂起状态身份验证条目，在启动 PC 探测时生成。

如果探测成功，则身份验证条目的状态将从挂起更新为有效。如果探测不成功，那么身份验证条目的状态将标记为无效。无效条目的生存期与有效条目相同，并被即将到来的 fwauth （防火墙身份验证过程） 身份验证结果或事件日志覆盖。

如果设备由于某种原因（例如网络配置或 Windows 防火墙问题）无法访问域电脑，则探测将失败。

有关更多探测响应和相应的身份验证表作，请参阅 表 2。

如何配置探针？

默认情况下，按需探测处于启用状态。要禁用按需探测，可以使用 set services user-identification active-directory-access no-on-demand-probe 语句。删除此语句以重新启用探测。禁用按需探测后，可以使用手册探测。

要启动手册探测，可以使用命令 request services user-identification active-directory-access ip-user-probe address ip-address address domain domain-name 。如果未指定域名，探针将查看第一个为 IP 地址配置的域。要指定范围，请使用适当的网络地址。

探查超时值可配置。如果在时间间隔内 wmi-timeout 未从域 PC 收到响应，则探测将失败，并且系统会创建无效的身份验证条目或将现有身份验证条目更新为无效。如果探测的 IP 地址已存在身份验证表条目，并且在间隔 wmi-timeout 内未从域 PC 收到响应，则探测将失败，并且该条目将从表中删除。

请参阅 将 Active Directory 配置为 SRX 系列防火墙上的身份源。

探针速率和统计信息

默认情况下，将 Active Directory 作为身份源的最大探测速率设置为，无法更改。探测功能支持 5000 个用户，或最多支持的身份验证条目总数的 10%，以较小者为准。支持 10% 意味着在任何时候，等待探测的 IP 地址数量都不能超过 10%。

将 LDAP 用于 Active Directory 作为身份源有什么用？

本节中 LDAP 的用法特别适用于作为身份源的 Active Directory 中的 LDAP 功能。

为了获取将 Active Directory 实施为身份源所需的用户和组信息，设备使用轻量目录访问协议 （LDAP）。设备充当与 LDAP 服务器通信的 LDAP 客户端。在 Active Directory 作为标识源的常见实现方案中，域控制器充当 LDAP 服务器。默认情况下，设备中的 LDAP 模块会查询域控制器中的 Active Directory。

设备从 LDAP 服务器下载用户和组列表。设备还会查询 LDAP 服务器以获取用户和组更新。设备下载第一级用户到组的映射关系，然后计算完整的用户到组的映射。

作为身份源的 Active Directory 的 LDAP 如何工作？

LDAP 服务器的用户名、密码、IP 地址和端口都是可选的，但可以进行配置。

• 如果未配置用户名和密码，系统将使用配置的域控制器的用户名和密码。

• 如果未配置 LDAP 服务器的 IP 地址，则系统将使用配置的某个 Active Directory 域控制器的地址。

• 如果未配置端口，系统将端口 389 用于纯文本，或将端口 636 用于加密文本。

默认情况下，LDAP 身份验证方法使用简单身份验证。客户端的用户名和密码以纯文本形式发送至 LDAP 服务器。请记住，密码很清楚，可以从网络中读取。

为避免暴露密码，只要 LDAP 服务器支持 LDAP over SSL （LDAPS），您就可以在加密通道[即安全套接字层 （SSL）]中使用简单身份验证。启用 SSL 后，从 LDAP 服务器发送到设备的数据将被加密。要启用 SSL，请参阅 user-group-mapping 语句。

为什么使用设备身份来控制对网络的访问

由于各种原因，您可能希望根据用户设备的身份（而不是用户的身份）来控制对网络资源的访问。Active Directory 作为标识源设备标识身份验证功能旨在通过使您能够根据用户设备的属性控制网络访问，为这些情况和其他类似情况提供解决方案。

设备从身份验证源接收或获取设备身份信息的方式与获取用户身份信息的方式相同，具体取决于身份验证源。获取设备标识信息并将其存储在设备标识信息表中的过程需要设备执行以下作：

• 获取设备标识信息。

  根据身份验证源，设备使用以下两种方法之一来获取设备身份信息：

  • 将 Microsoft Active Directory 作为身份源 - 如果您的环境设置为使用 Microsoft Active Directory，则防火墙将从 Active Directory 域控制器和 LDAP 服务获取设备 IP 地址和组。设备可以从域控制器的事件日志中提取设备信息，然后连接到 Active Directory LDAP 服务器以获取设备所属组的名称。设备使用从事件日志中获取的信息在 LDAP 目录中查找设备的信息。

  • 第三方网络访问控制 （NAC） 系统 — 如果您的网络环境配置了 NAC 解决方案，而您决定采用这种方法，则 NAC 系统会将设备身份信息发送到防火墙。这些身份验证系统使用 RESTful Web 服务 API 的 POST 服务，称为 Web API。设备实施 API 并向身份验证系统公开，以允许它们将设备身份信息发送到防火墙。API 具有正式的 XML 结构和限制，身份验证源在将此信息发送到设备时必须遵守这些结构和限制。

    警告：

    如果您采用此方法，则必须验证您的 NAC 解决方案是否适用于该设备。

• 在设备身份身份验证表中为设备创建条目。

  • 防火墙获取设备身份信息后，会在设备身份身份验证表中为其创建一个条目。设备标识身份验证表与 Active Directory 身份验证表或用于第三方身份验证源的任何其他本地身份验证表是分开的。

  • 此外，与特定于身份验证源或功能的本地用户身份验证表不同，设备标识身份验证表包含所有身份验证源的设备标识信息。但是，一次只能有一个身份验证源（如 Active Directory）处于活动状态。防火墙一次只允许使用身份验证源，以限制对系统处理信息的需求。

  • 获取设备信息并将其录入设备身份身份验证表的目的是根据设备的身份控制用户对网络资源的访问。为此，您还必须配置安全策略，根据指定的设备身份配置文件来识别设备，并指定要对来自该设备发出的流量执行的作。

  • 设备身份身份验证功能提供了一种通用解决方案，可将设备身份信息存储在同一表中，而不考虑身份验证源。

设备标识属性和配置文件

设备身份配置文件（在 CLI 中称为 ）是 Active Directory 作为身份源设备身份身份验证功能的关键组件。end-user-profile 它标识设备并指定其属性。

设备身份认证表

当您将设备配置为使用设备身份身份验证功能进行基于设备身份及其属性进行身份验证时，设备将创建一个名为设备身份身份验证表的新表。与其他本地身份验证表不同，设备标识身份验证表不包含有关用户的信息，而是包含有关用户设备的信息。设备身份身份验证表充当所有设备的设备身份信息存储库，无论其身份验证源如何。例如，它可能包含通过 Active Directory 或第三方 NAC 身份验证源验证的设备的条目。

设备身份身份验证表条目包含以下部分：

• 设备的 IP 地址。

• 设备所属域的名称。

• 设备与之关联的组。

• 设备标识。

  设备身份实际上是设备身份配置文件的身份（在 CLI end-user-profile中称为 ）。这种类型的配置文件包含一组属性，这些属性描述了特定的单个设备或特定的设备组，例如，特定类型的笔记本电脑。

用户防火墙模块 （UserFW） 身份验证的 IPv6 地址允许 IPv6 流量与为源身份配置的任何安全策略匹配。以下身份验证源支持 IPv6 地址：

• Active Directory 身份验证表

• 使用 Active Directory 身份验证的设备标识

• 本地身份验证表

• 防火墙身份验证表

用于网络访问控制的 Windows Active Directory 中的设备标识信息

您可以使用设备身份身份验证功能，根据所用设备的身份和属性（而不是用户身份）来控制对网络资源的访问。有关设备的信息存储在设备身份身份验证表中。您可以指定包含安全策略的 source-end-user-profile 字段中的设备属性的设备身份配置文件的名称。如果满足所有条件，则安全策略的作将应用于从该设备发出的流量。

为了让您能够在安全策略中使用设备身份配置文件，防火墙必须获取经过身份验证设备的设备身份信息。设备将创建设备身份身份验证表，用于存储设备身份条目。当流量从设备到达时，它会在表中搜索设备匹配项。本主题考虑将 Active Directory 用作身份验证源时遵循的过程。

Active Directory 域控制器在用户登录到域时对其进行身份验证，并将该事件的记录写入 Windows 事件日志。当用户注销域时，它还会将记录写入事件日志。域控制器事件日志向设备提供有关域中当前处于活动状态的经过身份验证的设备以及这些设备何时从域注销的信息。

UserID 守护程序执行以下作：

1. 它读取 Active Directory 域控制器事件日志，以获取登录到域并经过 Windows 身份验证的设备的 IP 地址。

   设备路由引擎中的 UserID 守护程序实现具有 Microsoft 分布式 COM/Microsoft RPC 堆栈的 Windows Management Instrumentation （WMI） 客户端和身份验证机制，以与 Active Directory 域中的 Windows Active Directory 域控制器通信。使用从 Active Directory 控制器检索到的事件日志信息，该进程将获取活动 Active Directory 设备的 IP 地址。该进程使用相同的 WMI DCOM 接口监视 Active Directory 事件日志更改，以调整其本地身份验证表中的设备标识信息，以反映对 Active Directory 服务器所做的任何更改。

2. 它使用从事件日志中获取的设备 IP 地址来获取有关设备所属组的信息。要获取此组信息，设备将使用 LDAP 协议连接到 Active Directory 控制器中的 LDAP 服务。

完成此过程后，设备能够在设备身份身份验证表中为设备生成条目。在设备标识身份验证表中为设备生成条目后，设备会将该条目与其本地 Active Directory 身份验证表中的相应用户条目相关联。然后，您可以在安全策略中引用设备身份配置文件条目来控制对资源的访问。

行为和约束

• 读取事件日志的过程会消耗域控制器的 CPU 资源，这可能会导致域控制器中的 CPU 使用率过高。因此，Active Directory 域控制器应具有至少 4 个内核和 8 GB 内存的高性能配置。

• 域控制器事件日志记录设备 ID 的最大长度为 16 个字节，包括空终止符。因此，设备从域控制器获取的设备 ID 的最大长度为 15 字节。

• 如果域控制器清除事件日志，或者写入事件日志的数据丢失或延迟，则设备标识映射信息可能不准确。如果防火墙无法读取事件日志或事件日志包含空数据，设备将在自己的日志中报告错误情况。

• 如果设备标识信息表已达到容量，则无法添加新的设备标识条目。在这种情况下，来自设备的流量将被丢弃。

适用于第三方 NAC 身份验证系统的设备身份 XML 解决方案

图 2 显示了防火墙与用于设备身份身份验证的第三方 NAC 身份验证源之间的通信。防火墙从 NAC 系统接收设备身份信息，并将其存储在其本地设备身份身份验证表中。指定设备身份配置文件的安全策略适用于一个或多个设备。如果设备与设备身份配置文件和安全策略的其他部分匹配，则安全策略将应用于从该设备发出的流量。

在安全策略中使用设备身份配置文件是可选的。如果未在安全策略的 source-end-user-profile 字段中指定设备身份配置文件，则假 定为“any”配置文件。但是，不能在安全策略的 source-end-user-profile 字段中使用关键字“any”。它是一个保留关键字。

特定于平台的 WMIC 行为

特定于平台的探针速率行为