Active Directory als Identitätsquelle

Nützt

• Simplifiziert Konfigurationsschritte und bietet bestmögliche Sicherheit für den Zugriff auf das Gerät.

• Ideal für mittelständische Unternehmen und bis hin zu mittelgroßen Bereitstellungen.

• Unterstützt hohe Verfügbarkeit (HA).

• Die Konfiguration des Captive Portals ist für Benutzer, die sich nicht authentifizieren, optional.

Wie funktioniert Active Directory als Identitätsquelle?

Was ist der Windows-Verwaltungsinstrumentationsclient (WMIC)?

Wenn Sie Active Directory als Identitätsquelle konfigurieren, stellt das Gerät eine Verbindung mit der Windows-Verwaltungsinstrumentation (WMI)/dem DCOM-Modul (Distributed Component Object Module) mit dem Domänencontroller her. Das Gerät fungiert als WMI-Client (WMIC). Das Gerät liest und überwacht das Sicherheitsereignisprotokoll auf dem Domänencontroller. Das Gerät analysiert die Ereignismeldungen, um Informationen zur Zuordnung von IP-Adressen zu Benutzern zu generieren.

Verwenden Sie Funktionen entdecken, um die Plattform- und Releaseunterstützung für bestimmte Funktionen zu bestätigen.

Lesen Sie den Abschnitt Plattformspezifisches WMIC-Verhalten , um Hinweise zu Ihrer Plattform zu erhalten.

Wie liest WMIC das Ereignisprotokoll auf dem Domänencontroller?

WMIC liest das Ereignisprotokoll auf dem Domänencontroller folgendermaßen:

1. Das Gerät überwacht das Ereignisprotokoll in einem konfigurierbaren Intervall, das standardmäßig 10 Sekunden beträgt.

2. Das Gerät liest das Ereignisprotokoll für eine bestimmte Zeitspanne, die Sie konfigurieren können. Die Standardzeitspanne beträgt eine Stunde.

3. Bei jedem Start von WMIC prüft das Gerät den letzten Zeitstempel und die aktuelle Zeitspanne. Wenn der letzte Zeitstempel älter ist als die aktuelle Zeitspanne, wird die aktuelle Zeitspanne wirksam.

4. Das Gerät kann das Ereignisprotokoll lesen, um sowohl IPv4- als auch IPv6-Adressen zu erhalten.

5. Wenn WMIC gestartet wird, verfügt die Firewall über eine maximale Anzahl von Ereignissen, die aus dem Ereignisprotokoll gelesen werden können. Sie können die maximale Anzahl von Ereignissen nicht konfigurieren.

   Wenn WMIC gestartet wird, verwendet WMIC die maximale Anzahl mit der Zeitspanneneinstellung. Wenn der Grenzwert erreicht ist, beendet der WMIC das Lesen des Ereignisprotokolls.

6. Nach einem Failover liest das Gerät das Ereignisprotokoll aus dem Zeitstempel des letzten Ereignisprotokolls.

Angeben von IP-Filtern zum Einschränken der IP-zu-Benutzer-Zuordnung

Sie können die IP-Filter angeben, um die Zuordnungsinformationen zwischen IP-Adressen und Benutzern einzuschränken, die das Gerät aus dem Ereignisprotokoll generiert.

Um zu verstehen, wann ein Filter für eine solche Zuordnung nützlich ist, betrachten Sie das folgende Szenario. Ein Kunde stellt 10 Geräte in einer Domain bereit, und jedes Gerät steuert eine Zweigstelle. Alle 10 Geräte lesen alle 10 Ereignisprotokolle für die Anmeldung von Zweigstellenbenutzern im Domänencontroller. Das Gerät ist jedoch so konfiguriert, dass es nur erkennt, ob der Benutzer in der von ihm gesteuerten Verzweigung authentifiziert ist. Durch die Konfiguration eines IP-Filters auf dem Gerät liest das Gerät nur das IP-Ereignisprotokoll, das unter seiner Kontrolle steht.

Sie können einen Filter so konfigurieren, dass IP-Adressen oder Präfixe ein- oder ausgeschlossen werden. Sie können maximal 20 Adressen für jeden Filter angeben.

Überprüfung und Statistiken des Windows-Ereignisprotokolls

Sie können überprüfen, ob die Authentifizierungstabelle IP-Adresse und Benutzerinformationen erhält, indem Sie den show services user-identification active-directory-access active-directory-authentication-table all Befehl eingeben. Für jede Domäne wird eine Liste der IP-Adress-zu-Benutzer-Zuordnungen angezeigt. Die Tabelle enthält keine Gruppeninformationen, bis LDAP ausgeführt wird.

Sie können Statistiken zum Lesen des Ereignisprotokolls anzeigen, indem Sie den show services user-identification active-directory-access ip-user-mapping statistics domain Befehl ausgeben.

Firewall-Authentifizierung als Backup für WMIC

Die primäre Methode für Active Directory als Identitätsquelle zum Abrufen von IP-Adressen-zu-Benutzer-Zuordnungsinformationen besteht darin, dass das Gerät als WMI-Client (WMIC) fungiert. Die Funktionen zum Lesen von Ereignisprotokollen und zum Austesten von PCs verwenden jedoch beide WMI, und die Verwendung einer globalen Richtlinie zum Deaktivieren des WMI-zu-PC-Tests wirkt sich auf das Lesen von Ereignisprotokollen aus. Dies kann zum Fehler der PC-Sonde führen, und es ist eine Sicherungsmethode zum Abrufen von IP-Adress-zu-Benutzer-Zuordnungen erforderlich. Bei dieser Methode wird die Firewallauthentifizierung verwendet, um Benutzer zu identifizieren.

Weitere Informationen finden Sie unter Domain PC Probing.

Wenn eine Domäne in dieser Anweisung konfiguriert ist, erkennt, fwauth dass es sich bei der Domäne um einen Domänenauthentifizierungseintrag handelt, und sendet den Domänennamen zusammen mit der Authentifizierungsanforderung an den fwauth Prozess. Nachdem die Authentifizierungsantwort empfangen wurde, fwauth wird dieser Domänenauthentifizierungseintrag gelöscht. Der fwauth Prozess sendet die Quell-IP-Adresse, den Benutzernamen, die Domäne und andere Informationen an den UserID-Prozess, der überprüft, ob es sich um einen gültigen Domänenbenutzereintrag handelt. Der nachfolgende Datenverkehr trifft auf diesen Benutzer-Firewall-Eintrag.

Was ist Domain PC Probing?

Die Untersuchung von Domänen-PCs fungiert als Ergänzung zum Lesen von Ereignisprotokollen. Wenn sich ein Benutzer bei der Domäne anmeldet, enthält das Ereignisprotokoll diese Informationen. Der PC-Test wird nur ausgelöst, wenn keine IP-zu-Adress-Zuordnung aus dem Ereignisprotokoll vorhanden ist.

Die Domäneninformationen ändern sich ständig, wenn sich Benutzer bei Domänen-PCs an- und abmelden. Die Active Directory-Funktion als Identitätsquelle testet einen Mechanismus zum Nachverfolgen und Überprüfen von Informationen in den Authentifizierungstabellen, indem Domänen-PCs direkt nach IP-Adressen-zu-Benutzer-Zuordnungsinformationen durchsucht werden. Neue und geänderte Informationen, die vom Test identifiziert werden, dienen dazu, die Einträge der Active Directory-Authentifizierungstabelle zu aktualisieren, was für die Aufrechterhaltung der Firewallintegrität von entscheidender Bedeutung ist.

Der IP-Adressfilter wirkt sich auch auf die PC-Sonde aus. Nachdem Sie den IP-Adressfilter konfiguriert haben, wird nur die im Filter angegebene IP-Adresse überprüft.

Verwenden Sie Funktionen entdecken, um die Plattform- und Releaseunterstützung für bestimmte Funktionen zu bestätigen.

Lesen Sie den Abschnitt Plattformspezifisches Verhalten der Proberate, um Hinweise zu Ihrer Plattform zu erhalten.

Domänen-PC-Sondierung Benutzerinformationen

Das Active Directory als Identitätsquelle verfolgt den Online-Status von Benutzern, indem es Domänen-PCs überprüft. Wenn ein Benutzer nicht online ist oder kein erwarteter Benutzer ist, wird die Active Directory-Authentifizierungstabelle entsprechend aktualisiert. Es gelten die folgenden Testverhalten:

Basierend auf der Testantwort des Domänen-PCs werden Aktualisierungen an der Active Directory-Authentifizierungstabelle vorgenommen, und die zugehörigen Firewall-Richtlinien werden wirksam. Wenn nach 90 Sekunden keine Antwort vom Test empfangen wird, tritt beim Authentifizierungseintrag eine Zeitüberschreitung auf. Der Authentifizierungseintrag mit Zeitüberschreitung ist der Authentifizierungseintrag für den Status "Ausstehend", der beim Starten des PC-Tests generiert wird.

Wenn der Test erfolgreich ist, wird der Status des Authentifizierungseintrags von "Ausstehend" auf "Gültig" aktualisiert. Wenn der Test nicht erfolgreich ist, wird der Status des Authentifizierungseintrags als ungültig markiert. Der ungültige Eintrag hat die gleiche Lebensdauer wie ein gültiger Eintrag und wird durch anstehende fwauth-Authentifizierungsergebnisse (Firewall Authentication Process) oder durch das Ereignisprotokoll überschrieben.

Wenn das Gerät aus irgendeinem Grund, z. B. aufgrund einer Netzwerkkonfiguration oder eines Problems mit der Windows-Firewall, nicht auf einen Domänen-PC zugreifen kann, schlägt der Test fehl.

Weitere Testantworten und entsprechende Authentifizierungstabellenaktionen finden Sie in Tabelle 2.

Wie konfiguriere ich die Sonde?

Die Sondierung auf Anforderung ist standardmäßig aktiviert. Um die bedarfsgesteuerte Sondierung zu deaktivieren, können Sie die set services user-identification active-directory-access no-on-demand-probe Anweisung verwenden. Löschen Sie diese Anweisung, um die Überprüfung wieder zu aktivieren. Wenn die Sondierung auf Anforderung deaktiviert ist, ist die manuelle Sondierung verfügbar.

Um eine manuelle Sondierung zu initiieren, können Sie den request services user-identification active-directory-access ip-user-probe address ip-address address domain domain-name Befehl verwenden. Wenn kein Domänenname angegeben ist, prüft der Test die erste konfigurierte Domäne für die IP-Adresse. Um einen Bereich anzugeben, verwenden Sie die entsprechende Netzwerkadresse.

Der Timeoutwert für den Test ist konfigurierbar. Wenn innerhalb des wmi-timeout Intervalls keine Antwort vom Domänen-PC empfangen wird, schlägt der Test fehl, und das System erstellt entweder einen ungültigen Authentifizierungseintrag oder aktualisiert den vorhandenen Authentifizierungseintrag als ungültig. Wenn bereits ein Authentifizierungstabelleneintrag für die getestete IP-Adresse vorhanden ist und innerhalb des wmi-timeout Intervalls keine Antwort vom Domänen-PC empfangen wird, schlägt der Test fehl, und dieser Eintrag wird aus der Tabelle gelöscht.

Weitere Informationen finden Sie unter Konfigurieren von Active Directory als Identitätsquelle auf der Firewall der SRX-Serie.

Sondierungsrate und Statistiken

Die maximale Testrate für das Active Directory als Identitätsquelle ist standardmäßig festgelegt und kann nicht geändert werden. Die Probefunktion unterstützt 5000 Benutzer oder bis zu 10 Prozent der gesamten unterstützten Authentifizierungseinträge, je nachdem, welcher Wert kleiner ist. Die Unterstützung von 10 Prozent bedeutet, dass die Anzahl der IP-Adressen, die auf eine Untersuchung warten, zu keinem Zeitpunkt 10 Prozent überschreiten darf.

Wozu dient LDAP für Active Directory als Identitätsquelle?

Die Verwendung von LDAP in diesem Abschnitt gilt speziell für LDAP-Funktionen innerhalb des Active Directory als Identitätsquelle.

Um die Benutzer- und Gruppeninformationen zu erhalten, die für die Implementierung des Active Directory als Identitätsquelle erforderlich sind, verwendet das Gerät das Lightweight Directory Access Protocol (LDAP). Das Gerät fungiert als LDAP-Client, der mit einem LDAP-Server kommuniziert. In einem allgemeinen Implementierungsszenario des Active Directory als Identitätsquelle fungiert der Domänencontroller als LDAP-Server. Das LDAP-Modul im Gerät fragt standardmäßig das Active Directory im Domänencontroller ab.

Das Gerät lädt Benutzer- und Gruppenlisten vom LDAP-Server herunter. Das Gerät fragt auch den LDAP-Server nach Benutzer- und Gruppenaktualisierungen ab. Das Gerät lädt eine Benutzer-zu-Gruppen-Zuordnungsbeziehung der ersten Ebene herunter und berechnet dann eine vollständige Benutzer-zu-Gruppen-Zuordnung.

Wie funktioniert LDAP für Active Directory als Identitätsquelle?

Der Benutzername, das Kennwort, die IP-Adresse und der Port des LDAP-Servers sind optional, können aber konfiguriert werden.

• Wenn der Benutzername und das Kennwort nicht konfiguriert sind, verwendet das System den Benutzernamen und das Kennwort des konfigurierten Domänencontrollers.

• Wenn die IP-Adresse des LDAP-Servers nicht konfiguriert ist, verwendet das System die Adresse eines der konfigurierten Active Directory-Domänencontroller.

• Wenn der Port nicht konfiguriert ist, verwendet das System Port 389 für Klartext oder Port 636 für verschlüsselten Text.

Standardmäßig verwendet die LDAP-Authentifizierungsmethode die einfache Authentifizierung. Der Benutzername und das Passwort des Clients werden im Klartext an den LDAP-Server gesendet. Denken Sie daran, dass das Passwort klar ist und aus dem Netzwerk ausgelesen werden kann.

Um zu vermeiden, dass das Kennwort offengelegt wird, können Sie die einfache Authentifizierung innerhalb eines verschlüsselten Kanals [d. h. Secure Sockets Layer (SSL)] verwenden, solange der LDAP-Server LDAP über SSL (LDAPS) unterstützt. Nach der Aktivierung von SSL werden die vom LDAP-Server an das Gerät gesendeten Daten verschlüsselt. Informationen zum Aktivieren von SSL finden Sie in der user-group-mapping Anweisung.

Warum sollten Sie die Geräteidentität verwenden, um den Zugriff auf Ihr Netzwerk zu steuern?

Aus verschiedenen Gründen kann es sinnvoll sein, den Zugriff auf Ihre Netzwerkressourcen anhand der Identität des Geräts des Benutzers und nicht anhand der Identität des Benutzers zu steuern. Das Feature Active Directory als Identitätsquelle für Geräteidentitäten wurde entwickelt, um eine Lösung für diese und ähnliche Situationen zu bieten, indem es Ihnen ermöglicht, den Netzwerkzugriff basierend auf Attributen des Geräts des Benutzers zu steuern.

Das Gerät empfängt oder erhält die Geräteidentitätsinformationen von der Authentifizierungsquelle auf die gleiche Weise wie die Benutzeridentitätsinformationen, abhängig von der Authentifizierungsquelle. Der Prozess, bei dem die Geräteidentitätsinformationen abgerufen und in der Tabelle mit den Geräteidentitätsinformationen gespeichert werden, umfasst die folgenden Aktionen seitens des Geräts:

• Abrufen der Geräteidentitätsinformationen.

  Abhängig von der Authentifizierungsquelle verwendet das Gerät eine der beiden folgenden Methoden, um die Geräteidentitätsinformationen abzurufen:

  • Microsoft Active Directory als Identitätsquelle: Wenn Ihre Umgebung für die Verwendung von Microsoft Active Directory eingerichtet ist, erhält die Firewall oder das Gerät der NFX-Serie die IP-Adresse und die Gruppen des Geräts vom Active Directory-Domänencontroller und LDAP-Dienst. Das Gerät kann die Geräteinformationen aus dem Ereignisprotokoll des Domänencontrollers extrahieren und dann eine Verbindung mit dem Active Directory-LDAP-Server herstellen, um die Namen der Gruppen abzurufen, denen das Gerät angehört. Das Gerät verwendet die Informationen, die es aus dem Ereignisprotokoll erhalten hat, um die Informationen des Geräts im LDAP-Verzeichnis zu suchen.

  • Network Access Control (NAC)-Systeme von Drittanbietern: Wenn Ihre Netzwerkumgebung für eine NAC-Lösung konfiguriert ist und Sie sich für diesen Ansatz entscheiden, sendet das NAC-System die Informationen zur Geräteidentität an die Firewall oder das Gerät der NFX-Serie. Diese Authentifizierungssysteme verwenden den POST-Dienst der RESTful Webservices-API, der als Web-API bezeichnet wird. Das Gerät implementiert die API und macht es den Authentifizierungssystemen zur Verfügung, damit diese die Geräteidentitätsinformationen an die Firewall senden können. Die API verfügt über eine formale XML-Struktur und Einschränkungen, die die Authentifizierungsquelle einhalten muss, um diese Informationen an das Gerät zu senden.

    Warnung:

    Wenn Sie diesen Ansatz wählen, müssen Sie überprüfen, ob Ihre NAC-Lösung mit dem Gerät funktioniert.

• Erstellen eines Eintrags für das Gerät in der Authentifizierungstabelle für die Geräteidentität.

  • Nachdem die Firewall die Geräteidentitätsinformationen abgerufen hat, erstellt sie einen Eintrag dafür in der Authentifizierungstabelle für die Geräteidentität. Die Authentifizierungstabelle für die Geräteidentifikation ist von der Active Directory-Authentifizierungstabelle oder einer der anderen lokalen Authentifizierungstabellen getrennt, die für Authentifizierungsquellen von Drittanbietern verwendet werden.

  • Im Gegensatz zu lokalen Benutzerauthentifizierungstabellen, die für eine Authentifizierungsquelle oder -funktion spezifisch sind, enthält die Authentifizierungstabelle für die Geräteidentität Informationen zur Geräteidentität für alle Authentifizierungsquellen. Es kann jedoch jeweils nur eine Authentifizierungsquelle, z. B. Active Directory, aktiv sein. Die Firewall lässt zu, dass jeweils nur eine Authentifizierungsquelle verwendet wird, um die Anforderung an das System zur Verarbeitung von Informationen einzuschränken.

  • Der Zweck des Abrufens der Geräteinformationen und ihrer Eingabe in die Authentifizierungstabelle für die Geräteidentität besteht darin, den Benutzerzugriff auf Netzwerkressourcen basierend auf der Identität des Geräts zu steuern. Dazu müssen Sie auch Sicherheitsrichtlinien konfigurieren, die das Gerät basierend auf dem angegebenen Geräteidentitätsprofil identifizieren, und die Aktion angeben, die für den Datenverkehr von diesem Gerät ausgeführt werden soll.

  • Die Funktion zur Authentifizierung der Geräteidentität bietet eine generische Lösung, bei der Informationen zur Geräteidentität unabhängig von der Authentifizierungsquelle in derselben Tabelle gespeichert werden.

Geräteidentitätsattribute und -profile

Das Geräteidentitätsprofil, das in der CLI als bezeichnet wird end-user-profile, ist eine Schlüsselkomponente der Authentifizierungsfunktion für Active Directory-Ursprungsgeräte. Es identifiziert das Gerät und gibt seine Attribute an.

Authentifizierungstabelle für Geräteidentität

Wenn Sie das Gerät so konfigurieren, dass es die Authentifizierungsfunktion für die Geräteidentität für die Authentifizierung basierend auf der Geräteidentität und ihren Attributen verwendet, erstellt das Gerät eine neue Tabelle mit dem Namen Authentifizierungstabelle für die Geräteidentität. Im Gegensatz zu anderen lokalen Authentifizierungstabellen enthält die Authentifizierungstabelle für die Geräteidentität keine Informationen über einen Benutzer, sondern über das Gerät des Benutzers. Die Authentifizierungstabelle für die Geräteidentität dient als Repository für Geräteidentitätsinformationen für alle Geräte, unabhängig von ihrer Authentifizierungsquelle. Sie kann z. B. Einträge für Geräte enthalten, die von Active Directory oder NAC-Authentifizierungsquellen von Drittanbietern authentifiziert wurden.

Ein Tabelleneintrag für die Geräteidentitätsauthentifizierung enthält die folgenden Teile:

• Die IP-Adresse des Geräts.

• Der Name der Domäne, zu der das Gerät gehört.

• Die Gruppen, denen das Gerät zugeordnet ist.

• Die Geräteidentität.

  Die Geräteidentität ist eigentlich die eines Geräteidentitätsprofils (in der CLI als end-user-profilebezeichnet). Dieser Profiltyp enthält eine Gruppe von Attributen, die ein bestimmtes einzelnes Gerät oder eine bestimmte Gruppe von Geräten charakterisieren, z. B. einen bestimmten Laptoptyp.

IPv6-Adressen für die UserFW-Authentifizierung (User Firewall Module) ermöglichen es, dass IPv6-Datenverkehr mit jeder Sicherheitsrichtlinie übereinstimmt, die für die Quellidentität konfiguriert ist. IPv6-Adressen werden für die folgenden Authentifizierungsquellen unterstützt:

• Active Directory-Authentifizierungstabelle

• Geräteidentität mit Active Directory-Authentifizierung

• Lokale Authentifizierungstabelle

• Firewall-Authentifizierungstabelle

Geräteidentitätsinformationen aus Windows Active Directory für die Netzwerkzugriffssteuerung

Sie können die Funktion zur Authentifizierung der Geräteidentität verwenden, um den Zugriff auf Ihre Netzwerkressourcen basierend auf der Identität und den Attributen des verwendeten Geräts und nicht auf der Benutzeridentität zu steuern. Informationen zu einem Gerät werden in der Authentifizierungstabelle für die Geräteidentität gespeichert. Sie können den Namen eines Geräteidentitätsprofils, das die Geräteattribute enthält, im Feld source-end-user-profile einer Sicherheitsrichtlinie angeben. Wenn alle Bedingungen erfüllt sind, werden die Aktionen der Sicherheitsrichtlinie auf den Datenverkehr angewendet, der von diesem Gerät ausgeht.

Damit Sie Geräteidentitätsprofile in Sicherheitsrichtlinien verwenden können, muss das Gerät der Firewall der SRX-Serie oder der NFX-Serie die Geräteidentitätsinformationen für authentifizierte Geräte abrufen. Das Gerät erstellt die Authentifizierungstabelle für die Geräteidentität, die zum Speichern von Geräteidentitätseinträgen verwendet werden soll. Er durchsucht die Tabelle nach einer Geräteübereinstimmung, wenn Datenverkehr von einem Gerät eingeht. In diesem Thema wird der Prozess behandelt, der bei der Verwendung von Active Directory als Authentifizierungsquelle ausgeführt wird.

Ein Active Directory-Domänencontroller authentifiziert Benutzer, wenn sie sich bei der Domäne anmelden, und schreibt einen Datensatz dieses Ereignisses in das Windows-Ereignisprotokoll. Außerdem wird ein Datensatz in das Ereignisprotokoll geschrieben, wenn sich ein Benutzer von der Domäne abmeldet. Das Domänencontroller-Ereignisprotokoll stellt dem Gerät Informationen zu authentifizierten Geräten bereit, die derzeit in der Domäne aktiv sind, und zu dem Zeitpunkt, zu dem diese Geräte von der Domäne abgemeldet werden.

Der UserID-Daemon führt die folgenden Aktionen aus:

1. Es liest die Ereignisprotokolle des Active Directory-Domänencontrollers, um die IP-Adressen von Geräten abzurufen, die in der Domäne angemeldet und von Windows authentifiziert wurden.

   Der UserID-Daemon in der Routing-Engine des Geräts implementiert einen WMI-Client (Windows Management Instrumentation) mit verteilten COM-/Microsoft-RPC-Stapeln von Microsoft und einem Authentifizierungsmechanismus für die Kommunikation mit einem Windows Active Directory-Domänencontroller in einer Active Directory-Domäne. Mithilfe von Ereignisprotokollinformationen, die vom Active Directory-Controller abgerufen werden, ruft der Prozess die IP-Adressen aktiver Active Directory-Geräte ab. Der Prozess überwacht Änderungen am Active Directory-Ereignisprotokoll mithilfe derselben WMI DCOM-Schnittstelle, um die Geräteidentitätsinformationen in der lokalen Authentifizierungstabelle so anzupassen, dass alle am Active Directory-Server vorgenommenen Änderungen widergespiegelt werden.

2. Es verwendet die Geräte-IP-Adressen, die es aus dem Ereignisprotokoll erhalten hat, um Informationen über die Gruppen zu erhalten, zu denen ein Gerät gehört. Um diese Gruppeninformationen zu erhalten, stellt das Gerät zu diesem Zweck eine Verbindung zum LDAP-Dienst im Active Directory-Controller her, wobei das LDAP-Protokoll verwendet wird.

Als Ergebnis dieses Prozesses ist das Gerät in der Lage, Einträge für die Geräte in der Authentifizierungstabelle für die Geräteidentität zu generieren. Nachdem ein Eintrag für ein Gerät in der Authentifizierungstabelle für die Geräteidentität generiert wurde, ordnet das Gerät diesen Eintrag dem entsprechenden Benutzereintrag in der lokalen Active Directory-Authentifizierungstabelle zu. Sie können dann auf die Einträge des Geräteidentitätsprofils in Sicherheitsrichtlinien verweisen, um den Zugriff auf Ressourcen zu steuern.

Verhalten und Einschränkungen

• Das Lesen des Ereignisprotokolls verbraucht CPU-Ressourcen des Domänencontrollers, was zu einer hohen CPU-Auslastung im Domänencontroller führen kann. Aus diesem Grund sollte der Active Directory-Domänencontroller über eine leistungsstarke Konfiguration von mindestens 4 Kernen und 8 Gigabyte Arbeitsspeicher verfügen.

• Das Ereignisprotokoll des Domänencontrollers zeichnet eine maximale Länge von 16 Byte der Geräte-ID auf, einschließlich eines NULL-Abschlusszeichens. Daher beträgt die maximale Länge der Geräte-ID, die das Gerät vom Domänencontroller abruft, 15 Byte.

• Wenn der Domänencontroller das Ereignisprotokoll löscht oder wenn die in das Ereignisprotokoll geschriebenen Daten fehlen oder verzögert werden, sind die Informationen zur Geräteidentitätszuordnung möglicherweise ungenau. Wenn die Firewall oder das Gerät der NFX-Serie das Ereignisprotokoll nicht lesen kann oder wenn es NULL-Daten enthält, meldet das Gerät eine Fehlerbedingung in seinem eigenen Protokoll.

• Wenn die Tabelle mit den Geräteidentitätsinformationen die Kapazität erreicht, können keine neuen Geräteidentitätseinträge hinzugefügt werden. In diesem Fall wird der Datenverkehr vom Gerät unterbrochen.

XML-Lösung für Geräteidentität für NAC-Authentifizierungssysteme von Drittanbietern

Abbildung 2 zeigt die Kommunikation zwischen der Firewall und einer NAC-Authentifizierungsquelle eines Drittanbieters, die für die Authentifizierung der Geräteidentität verwendet wird. Die Firewall empfängt die Geräteidentitätsinformationen vom NAC-System und speichert sie in ihrer lokalen Authentifizierungstabelle für die Geräteidentität. Eine Sicherheitsrichtlinie, die ein Geräteidentitätsprofil angibt, gilt für ein oder mehrere Geräte. Wenn ein Gerät mit dem Geräteidentitätsprofil und anderen Teilen der Sicherheitsrichtlinie übereinstimmt, wird die Sicherheitsrichtlinie auf den Datenverkehr angewendet, der von diesem Gerät ausgeht.

Die Verwendung eines Geräteidentitätsprofils in einer Sicherheitsrichtlinie ist optional. Wenn im Feld source-end-user-profile der Sicherheitsrichtlinie kein Geräteidentitätsprofil angegeben ist, wird vom Profil "any" ausgegangen. Sie können jedoch nicht das Schlüsselwort "any" im Feld source-end-user-profile einer Sicherheitsrichtlinie verwenden. Es ist ein reserviertes Schlüsselwort.

Plattformspezifisches WMIC-Verhalten

Plattformspezifisches Tastratenverhalten