アクティブディレクトリをアイデンティティソースとして設定する
ファイアウォールのIDソースとしてActive Directoryを設定する方法をご覧ください。
例:SRXシリーズファイアウォールでIDソースとしてアクティブディレクトリを設定する
この例では、Windows Active Directoryドメイン、LDAPベース、キャプティブポータルに誘導する認証されていないユーザー、ソースIDに基づくセキュリティポリシーを設定することで、統合ユーザーファイアウォール機能を実装する方法を示します。この例のキャプティブポータルの設定はすべて、トランスポート層セキュリティ(TLS)を介して行われます。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
-
1つのSRXシリーズファイアウォール
-
SRXシリーズファイアウォール向けJunos OSリリース12.1X47-D10以降
この機能を設定する前に、デバイスの初期化以外の特別な設定を行う必要はありません。
証明書を登録する方法については、「 証明書の登録」を参照してください。
概要
統合されたユーザーファイアウォール機能の一般的なシナリオでは、ドメインユーザーとドメイン以外のユーザーが、SRXシリーズファイアウォールを介してインターネットにアクセスしたいと考えています。SRXシリーズファイアウォールは、ドメインに設定されたドメインコントローラのイベントログを読み取り、分析します。したがって、SRXシリーズファイアウォールは、Active Directoryドメインコントローラ上のドメインユーザーを検出します。Active Directoryドメインは、統合ユーザーファイアウォールのActive Directory認証ソースとして認証テーブルを生成します。SRXシリーズファイアウォールは、この情報を使用してポリシーを適用し、ユーザーベースまたはグループベースのアクセス制御を実現します。
ドメイン以外のユーザーまたはドメイン以外のデバイス上のドメインユーザーについては、ネットワーク管理者はキャプティブポータルを指定して、ユーザーにファイアウォール認証を強制的に送信できます(SRXシリーズファイアウォールがトラフィックタイプのキャプティブポータルをサポートしている場合)。例えば、HTTP)。ユーザーが名前とパスワードを入力してファイアウォール認証に合格すると、SRXシリーズファイアウォールはLDAPサーバーからファイアウォール認証ユーザーとグループ間のマッピング情報を取得し、それに応じてユーザーに対してユーザーファイアウォールポリシー制御を適用できます。
Junos OSリリース17.4R1以降、IPv4アドレスに加えて、Active DirectoryドメインコントローラにもIPv6アドレスを使用できるようになりました。このサポートを説明するために、この例ではドメイン コントローラのアドレスとして 2001:db8:0:1:2a0:a502:0:1da を使用します。
統合ユーザーファイアウォール設定では、ドメインユーザーというデフォルト名でも、変更した場合は別の名前でも、プライマリグループを使用することはできません。
Active Directory(AD)で新しいユーザーが作成されると、ユーザーはグローバルセキュリティグループプライマリグループ(デフォルトではドメインユーザー)に追加されます。プライマリグループは、すべてのユーザーが属しているため、ADで作成された他のグループよりも具体的ではありません。また、非常に大きくなる可能性があります。
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、[edit]階層レベルでコマンドをCLIにコピーアンドペーストして、設定モードから commit を入力します。
set services user-identification active-directory-access domain example.net user-group-mapping ldap base DC=example,DC=net user administrator password $ABC123 set services user-identification active-directory-access domain example.net user administrator password $ABC123 set services user-identification active-directory-access domain example.net domain-controller ad1 address 2001:db8:0:1:2a0:a502:0:1da set access profile profile1 authentication-order ldap set access profile profile1 authentication-order password set access profile profile1 ldap-options base-distinguished-name CN=Users,DC=example,DC=net set access profile profile1 ldap-options search search-filter sAMAccountName= set access profile profile1 ldap-options search admin-search distinguished-name CN=Administrator,CN=Users,DC=example,DC=net set access profile profile1 ldap-options search admin-search password $ABC123 set access profile profile1 ldap-server 192.0.2.3 set access profile profile1 ldap-server 192.0.2.3 tls-type start-tls set access profile profile1 ldap-server 192.0.2.3 tls-peer-name peername set access profile profile1 ldap-server 192.0.2.3 tls-timeout 3 set access profile profile1 ldap-server 192.0.2.3 tls-min-version v1.2 set access profile profile1 ldap-server 192.0.2.3 no-tls-certificate-check set security policies from-zone trust to-zone untrust policy p1 match source-address any set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application any set security policies from-zone trust to-zone untrust policy p1 match source-identity unauthenticated-user set security policies from-zone trust to-zone untrust policy p1 match source-identity unknown-user set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall access-profile profile1 set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall domain example.net set security policies from-zone trust to-zone untrust policy p2 match source-address any set security policies from-zone trust to-zone untrust policy p2 match destination-address any set security policies from-zone trust to-zone untrust policy p2 match application any set security policies from-zone trust to-zone untrust policy p2 match source-identity “example.net\user1” set security policies from-zone trust to-zone untrust policy p2 then permit set security user-identification authentication-source active-directory-authentication-table priority 125
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
Windows Active Directoryドメインを確立し、キャプティブポータルを設定し、別のセキュリティポリシーを設定するには、このセクションの手順を実行します。
設定が完了し、トラフィックが到着すると、SRXシリーズファイアウォールがユーザーのファイアウォールプロセスを参照し、次にActive Directory 認証ソースを参照して、送信元が認証テーブルにあるかどうかを判断します。ユーザーファイアウォールが認証エントリにヒットした場合、SRXシリーズファイアウォールはステップ4で設定されたポリシーをチェックして、さらなるアクションを実行します。ユーザーファイアウォールが認証エントリにヒットしない場合、SRXシリーズファイアウォールはステップ3で設定されたポリシーをチェックして、ユーザーにキャプティブポータルの実行を強制します。
LDAPベースの識別名を設定します。
[edit services user-identification] user@host# set active-directory-access domain example.net user-group-mapping ldap base DC=example,DC=net user administrator password $ABC123
ドメイン名、ドメインのユーザー名とパスワード、ドメイン内のドメインコントローラーの名前とIPアドレスを設定します。
[edit services user-identification] user@host# set active-directory-access domain example.net user administrator password $ABC123 user@host# set active-directory-access domain example.net domain-controller ad1 address 2001:db8:0:1:2a0:a502:0:1da
-
アクセスプロファイルを設定し、認証順序とLDAPオプションを設定します。
[edit access profile profile1] user@host# set authentication-order ldap user@host# set authentication-order password user@host# set ldap-options base-distinguished-name CN=Users,DC=example,DC=net user@host# set ldap-options search search-filter sAMAccountName= user@host# set ldap-options search admin-search distinguished-name CN=Administrator,CN=Users,DC=example,DC=net user@host# set ldap-options search admin-search password $ABC123 user@host# set ldap-server 192.0.2.3 user@host# set ldap-server 192.0.2.3 tls-type start-tls user@host# set ldap-server 192.0.2.3 tls-peer-name peername user@host# set ldap-server 192.0.2.3 tls-timeout 3 user@host# set ldap-server 192.0.2.3 tls-min-version v1.2 user@host# set ldap-server 192.0.2.3 no-tls-certificate-check
no-tls-certificate-checkオプションが設定されている場合、SRXシリーズファイアウォールはサーバーの証明書の検証を無視し、チェックせずに証明書を受け入れます。 ソースアイデンティティ「unauthenticated-user」と「unknown-user」のポリシーを設定し、ファイアウォール認証キャプティブポータルを有効にします。ソースIDの設定は、認証ソースが設定されていない場合に必要です。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user user@host# set then permit firewall-authentication user-firewall access-profile profile1 user@host#set then permit firewall-authentication user-firewall domain example.net
2つ目のポリシーを設定して、特定のユーザーを有効にします。
[edit security policies from-zone trust to-zone untrust policy p2] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity “example.net\user1” user@host# set then permit
ポリシーステートメントで送信元IDを指定する場合は、グループ名またはユーザー名の前にドメイン名とバックスラッシュを付加します。組み合わせを引用符で囲みます。
統合ユーザーファイアウォール情報取得の認証ソースとしてActive Directory認証テーブルを設定し、ユーザー情報テーブルをチェックする順序を指定します。
[edit security] user@host#
set user-identification authentication-source active-directory-authentication-table priority 125統合ユーザーファイアウォール情報取得の認証ソースとしてActive Directory認証テーブルを設定し、コマンド
set security user-identification authentication-source active-directory-authentication-table priority valueを使用してユーザー情報テーブルをチェックする順序を指定する必要があります。このオプションのデフォルト値は125です。すべての認証ソースのデフォルトの優先度は次のとおりです。
ローカル認証:100
統合ユーザーファイアウォール:125
ユーザーロールファイアウォール:150
統合型アクセスコントロール(UAC):200
フィールド
priorityは、Active Directory 認証テーブルのソースを指定します。値セットによって、ユーザーロールを取得するために、サポートされているさまざまな認証テーブルを検索する順序が決まります。現在サポートされている値はこれらのみであることに注意してください。0から65,535までの任意の値を入力できます。アクティブディレクトリ認証テーブルのデフォルトの優先度は125です。つまり、優先度値を指定しなくても、アクティブディレクトリ認証テーブルは値125(統合ユーザーファイアウォール)のシーケンスから検索されます。各認証テーブルに固有の優先度値が割り当てられます。値が低いほど優先度が高くなります。例えば、優先度 120 のテーブルが、優先度 200 のテーブルの前に検索されます。テーブルの優先度値を0に設定すると、テーブルが無効になり、検索シーケンスから優先度値が削除されます。
詳細については、「 Active Directory認証テーブルについて 」を参照してください。
結果
設定モードから、 show services user-identification active-directory-access コマンドを入力して、統合ユーザーファイアウォールの設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show services user-identification active-directory-access
domain example.net {
user {
administrator;
password "$ABC123"; ## SECRET-DATA
}
domain-controller ad1 {
address 2001:db8:0:1:2a0:a502:0:1da;
}
user-group-mapping {
ldap {
base DC=example,DC=net;
user {
administrator;
password "$ABC123"; ## SECRET-DATA
}
}
}
}
設定モードから、 show security policies コマンドを入力してポリシー設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show security policies
from-zone trust to-zone untrust {
policy p1 {
match {
source-address any;
destination-address any;
application any;
source-identity [ unauthenticated-user unknown-user ];
}
then {
permit {
firewall-authentication {
user-firewall {
access-profile profile1;
domain example.net;
}
}
}
}
}
policy p2 {
match {
source-address any;
destination-address any;
application any;
source-identity “example.net\user1”;
}
then {
permit;
}
}
}
設定モードから、 show access profile profile1 コマンドを入力してアクセスプロファイルの設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show access profile profile1
authentication-order [ ldap password ];
ldap-options {
base-distinguished-name CN=Users,DC=example,DC=net;
search {
search-filter sAMAccountName=;
admin-search {
distinguished-name CN=Administrator,CN=Users,DC=example,DC=net;
password "$ABC123"; ## SECRET-DATA
}
}
}
ldap-server {
192.0.2.3 {
tls-type start-tls;
tls-timeout 3;
tls-min-version v1.2;
no-tls-certificate-check;
tls-peer-name peername;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
- ドメインコントローラーへの接続の確認
- LDAPサーバーの検証
- 認証テーブルエントリーの検証
- IPとユーザーのマッピングの検証
- IPプローブカウントの検証
- ユーザーとグループ間のマッピングクエリーの検証
ドメインコントローラーへの接続の確認
目的
少なくとも1つのドメインコントローラーが構成され、接続されていることを確認します。
アクション
動作モードから、 show services user-identification active-directory-access domain-controller status コマンドを入力します。
意味
ドメインコントローラーが接続または切断されているように表示されます。
LDAPサーバーの検証
目的
LDAPサーバーがユーザーとグループのマッピング情報を提供していることを確認します。
アクション
動作モードから、 show services user-identification active-directory-access user-group-mapping status コマンドを入力します。
意味
LDAPサーバーのアドレス、ポート番号、ステータスが表示されます。
認証テーブルエントリーの検証
目的
ユーザーが属しているグループと、ドメイン内のユーザー、グループ、IPアドレスを表示します。
アクション
動作モードから、 show services user-identification active-directory-access active-directory-authentication-table all コマンドを入力します。
意味
各ドメインのIPアドレス、ユーザー名、グループが表示されます。
IPとユーザーのマッピングの検証
目的
イベントログがスキャンされていることを確認します。
アクション
動作モードから、 show services user-identification active-directory-access statistics ip-user-mapping コマンドを入力します。
意味
クエリと失敗したクエリの数が表示されます。
IPプローブカウントの検証
目的
IPプローブが発生していることを確認します。
アクション
動作モードから、 show services user-identification active-directory-access statistics ip-user-probe コマンドを入力します。
意味
IPプローブと失敗したIPプローブの数が表示されます。
例:SRXシリーズファイアウォールでアクティブディレクトリをIDソースとして設定し、認証されていないユーザーや不明なユーザーに対してWebリダイレクトを使用する
この例では、Webリダイレクトを使用して、認証されていないユーザーや不明なユーザーがhttp経由で認証ページにリダイレクトする方法を示しています。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
1つのSRXシリーズファイアウォール
SRXシリーズファイアウォール向けJunos OSリリース15.1X49-D70以降
この機能を設定する前に、デバイスの初期化以外の特別な設定を行う必要はありません。
概要
fwauthアクセスプロファイルは、パススルートラフィックのリクエスト web-redirect (JWEB httpdサーバー内)HTTP webauthにリダイレクトします。認証が成功すると、fwauthはユーザーファイアウォールのファイアウォール認証を作成します。
設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、[edit]階層レベルでコマンドをCLIにコピーアンドペーストして、設定モードから commit を入力します。
set system services web-management http set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication http set security policies from-zone trust to-zone untrust policy p1 match source-address any set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application any set security policies from-zone trust to-zone untrust policy p1 match source-identity unauthenticated-user set security policies from-zone trust to-zone untrust policy p1 match source-identity unknown-user set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall access-profile profile1 web-redirect set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall domain ad03.net
手順
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、 設定モードでの CLI エディターの使用を参照してください。
HTTPベースのリソースへのアクセスを要求する認証されていないユーザーに対してWebリダイレクトを使用するように統合ユーザーファイアウォールを設定するには:
HTTPトラフィックのWeb管理サポートを有効にします。
[edit system services] user@host# set system services web-management http
インターフェイスを設定し、IPアドレスを割り当てます。ge-0/0/1インターフェイスでWeb認証を有効にします。
[edit interfaces] user@host# set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication http
unauthenticated-userまたはunknown-userをソースIDとして指定するセキュリティポリシーを設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user
Junos OS 17.4R1以降、送信元アドレスを設定する際に、IPv4アドレスに加えてIPv6アドレスも割り当てることができます。IPv6送信元アドレスを設定するには、[edit security policies from-zone trust to-zone untrust policy policy-name match source-address]階層レベルで
anyまたはany-IPv6コマンドを発行します。アクションとして
web-redirectを使用してユーザーファイアウォールのファイアウォール認証を許可し、ユーザーに対して事前設定されたアクセスプロファイルを指定するセキュリティポリシーを設定します。[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall access-profile profile1 web-redirect
ドメイン名を指定するセキュリティポリシーを設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall domain ad03.net
結果
設定モードから、 show system services コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show system services
web-management {
http {
port 123;
}
}
設定モードから、 show interfaces コマンドを入力して、統合されたユーザーファイアウォール設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 192.0.2.0/24 {
web-authentication http;
}
}
}
}
設定モードから、 show security policies コマンドを入力して、統合されたユーザーファイアウォール設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show security policies
from-zone trust to-zone untrust {
policy p1 {
match {
source-address any;
destination-address any;
application any;
source-identity unauthenticated-user;
source-identity unknown-user;
}
then {
permit {
firewall-authentication {
user-firewall {
access-profile profile1;
web-redirect;
domain ad03.net;
}
}
}
}
}
}
設定モードから、 show security policies コマンドを入力してポリシー設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定を確認します。
目的
設定が正しいことを確認します。
アクション
動作モードから、 show security policies コマンドを入力します。
出力例
user@host> show security policies
Default policy: permit-all
From zone: PCzone, To zone: Tunnelzone
Policy: p1, State: enabled, Index: 4, Scope Policy: 0, Sequence number: 1
Source addresses: any
Destination addresses: any
Applications: junos-ftp, junos-tftp, junos-dns-tcp, junos-dns-udp
Action: permit
意味
アクションとしてweb-redirectを使用するユーザーファイアウォールのファイアウォール認証を許可するセキュリティポリシーを表示します。
例:SRXシリーズファイアウォールでアクティブディレクトリをアイデンティティソースとして設定し、web-redirect-to-HTTPSを使用して認証されていないユーザーや不明なユーザーを認証します
この例では、HTTPSサイトにアクセスしようとする認証されていない未知のユーザーに対してweb-redirect-to-httpsを使用し、SRXシリーズファイアウォールの内部webauthサーバーを介して認証できるようにする方法を示しています。
また、web-redirect-https を使用して、HTTP サイトへのアクセスを試みるユーザーを認証することもできますが、この例には示されていません。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
1つのSRXシリーズファイアウォール
SRXシリーズファイアウォール向けJunos OSリリース15.1X49-D70以降
概要
web-redirect-https機能では、ユーザーのブラウザをSRXシリーズサービスゲートウェイの内部HTTPS Webauthサーバーにリダイレクトして認証することで、HTTPまたはHTTPSリソースにアクセスしようとする不明なユーザーや認証されていないユーザーを安全に認証できます。つまり、webauthサーバーはHTTPS応答をクライアントシステムに送信し、ユーザー認証のためにWebauthサーバーに接続するようにブラウザをリダイレクトします。クライアントのリクエストが到着するインターフェイスは、リダイレクト応答が送信されるインターフェイスです。 この場合、HTTPSはユーザーのトラフィックではなく、認証プロセスを保護します。
ユーザーが認証されると、認証が成功したことをユーザーに通知するメッセージが表示されます。ブラウザはリダイレクトされ、HTTPサイトかHTTPSサイトかにかかわらず、ユーザーの元の宛先URLを起動します。ユーザーはそのURLを再入力する必要はありません。次のメッセージが表示されます。
Redirecting to the original url, please wait.
ユーザーのターゲットリソースがHTTPS URLの場合、このプロセスを成功させるには、該当するセキュリティポリシーで参照されているSSL終了プロファイルが設定に含まれている必要があります。ターゲットがHTTP URLの場合、SSL終了プロファイルは必要ありません。
この機能を使用すると、より豊かなユーザーログインエクスペリエンスが可能になります。例えば、ユーザーにユーザー名とパスワードの入力を求めるポップアップ プロンプトの代わりに、ブラウザーのログイン ページが表示されます。web-redirect-httpsを使用すると、ユーザーがクライアントブラウザにWeb認証IPアドレスを入力した場合と同じ効果があります。その意味で、web-redirect-httpsはシームレスな認証エクスペリエンスを提供します。ユーザーはWeb認証ソースのIPアドレスを知る必要はなく、アクセスしようとしているリソースのIPアドレスを知る必要があります。
統合ユーザーファイアウォールの場合、セキュリティポリシーの設定ステートメントにはsource-identityタプルが含まれており、セキュリティポリシーを適用するユーザーのカテゴリ(この場合は認証されていないユーザーと不明なユーザー)を指定できます。送信元アドレスタプルの値として「any」を指定すると、ソースIDタプル値で一致を制御できます。
セキュリティ上の理由から、同じくサポートされているweb-redirectではなく、web-redirect-httpsを認証に使用することをお勧めします。Webリダイレクト認証機能では、認証プロセスにHTTPが使用されます。この場合、認証情報はプレーンテキストで送信されるため、読み取りが可能です。
この例では、ユーザーが https://mymailsite.com などのHTTPSリソースにアクセスしようとしていることを想定しています。
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、[edit]階層レベルでコマンドをCLIにコピーアンドペーストして、設定モードから commit を入力します。
set system services web-management https pki-local-certificate my-test-cert set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication https set security policies from-zone trust to-zone untrust policy p1 match source-address any set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application any set security policies from-zone trust to-zone untrust policy p1 match source-identity unauthenticated-user set security policies from-zone trust to-zone untrust policy p1 match source-identity unknown-user set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall domain mydomain.net set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall access-profile profile1 web-redirect-to-https set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall ssl-termination-profile my-ssl-profile set services ssl termination profile my-ssl-profile server-certificate my-test-cert set access profile profile1 ldap-server 198.51.100.0/24 tls-type start-tls set access profile profile1 ldap-server 198.51.100.0/24 tls-peer-name peer1 set access profile profile1 ldap-server 198.51.100.0/24 tls-timeout 3 set access profile profile1 ldap-server 198.51.100.0/24 tls-min-version v1.1
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、 設定モードでの CLI エディターの使用を参照してください。
認証されていないユーザーやHTTPSベースのリソースへのアクセスを要求する不明なユーザーに対してweb-redirect-to-httpsを設定するには、以下のステートメントを入力します。
HTTPSトラフィックのWeb管理サポートを有効にします。
[edit system services] user@host# set system services web-management https pki-local-certificate my-test-cert
この例はHTTPSユーザートラフィックに適用されますが、トラフィックがHTTP URLサイトである認証済みユーザーに対してもweb-redirect-to-https認証がサポートされていることに注意してください。ただし、その特定のシナリオはここでは示されていません。その場合、SSL終了プロファイルは必要ありません。
インターフェイスを設定し、IPアドレスを割り当てます。ge-0/0/1インターフェイスでWeb認証を有効にします。
[edit interfaces] user@host# set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication https
ソースIDタプル値としてunauthenticated-userとunknown-userを指定するセキュリティポリシーを設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user
Junos OS 17.4R1以降、送信元アドレスを設定する際に、IPv4アドレスに加えてIPv6アドレスも割り当てることができます。IPv6送信元アドレスを設定するには、[edit security policies from-zone trust to-zone untrust policy policy-name match source-address]階層レベルで
anyまたはany-IPv6コマンドを発行します。セキュリティポリシーを設定し、アクションとして
web-redirect-to-httpsで、ユーザーの事前設定されたアクセスプロファイルを指定するユーザーファイアウォールのファイアウォール認証を許可します。[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall access-profile profile1 web-redirect-to-https
セキュリティポリシーのドメイン名を設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall domain mydomain.net
使用するSSL終了プロファイルを参照するようにセキュリティポリシーを設定します。
実装に必要なサービスを提供する適切なSSL終端プロファイルが既存の場合は、それを使用できます。それ以外の場合は、ステップ7に従って作成します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall ssl-termination-profile my-ssl-profile
SSL終端サービスに使用するプロファイルを指定します。
[edit services] user@host# set ssl termination profile my-ssl-profile server-certificate my-cert-type
StartTLSを介したLDAPを設定するためのTLSタイプを定義します。
[edit access] user@host# set profile profile1 ldap-server 198.51.100.0/24 tls-type start-tls
認証するピアホスト名を設定します。
[edit access] user@host# set access profile profile1 ldap-server 198.51.100.0/24 tls-peer-name peer1
TLS ハンドシェイクのタイムアウト値を指定します。3秒から90秒まで入力できます。
[edit access] user@host# set access profile profile1 ldap-server 198.51.100.0/24 tls-timeout 3
接続で有効にされる最小プロトコルバージョンとして、TLSバージョン(v1.1およびv1.2がサポートされています)を指定します。
[edit ] user@host# set access profile profile1 ldap-server 198.51.100.0/24 tls-min-version v1.1
結果
設定モードから、 show system services コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show system services
web-management {
https {
pki-local-certificate my-test-cert;
}
設定モードから、 show services ssl コマンドを入力して、統合されたユーザーファイアウォール設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show services ssl
termination {
profile my-ssl-profile {
server-certificate my-cert-type;
}
}
設定モードから、 show interfaces コマンドを入力して、統合されたユーザーファイアウォール設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 192.0.2.0/24 {
web-authentication {
https;
}
}
}
}
設定モードから、 show security policies コマンドを入力して、統合されたユーザーファイアウォール設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show security policies
from-zone trust to-zone untrust {
policy p1 {
match {
source-address any;
destination-address any;
application any;
source-identity unauthenticated-user;
source-identity unknown-user;
}
then {
permit {
firewall-authentication {
user-firewall {
access-profile profile1;
web-redirect-to-https;
domain mydomain.net;
ssl-termination-profile my-ssl-profile;
}
}
}
}
}
設定モードから、 show access profile profile1 コマンドを入力してアクセスプロファイルの設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show access profile profile1
ldap-server {
198.51.100.0/24 {
tls-type start-tls;
tls-timeout 3;
tls-min-version v1.1;
tls-peer-name peer1;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
例:デバイスID認証機能を設定する
この例では、デバイスID認証機能を構成し、ユーザーではなく認証されたデバイスのIDに基づいてネットワークリソースへのアクセスを制御する方法を示します。この例では、Microsoft Active Directoryを認証元として使用します。デバイスまたはデバイスのセットを特徴付けるデバイスIDプロファイルを設定する方法と、セキュリティポリシーでそのプロファイルを参照する方法について説明します。デバイスがデバイスIDとセキュリティポリシーパラメーターに一致する場合、そのデバイスから発行されるトラフィックにセキュリティポリシーのアクションが適用されます。
さまざまな理由により、リソースアクセス制御にデバイスのIDを使用することができます。例えば、ユーザーのIDがわからない場合もあります。また、企業によっては、802.1をサポートしていない古いスイッチや、NAC(ネットワークアクセスコントロール)システムを備えていない場合もあります。デバイスID認証機能は、デバイスIDに基づいてネットワークアクセスを制御できるようにすることで、これらおよびその他の同様の状況に対するソリューションを提供するように設計されています。デバイス識別仕様に適合するデバイスグループまたは個々のデバイスへのアクセスを制御できます。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
Junos OSリリース15.1X49-D70以降を実行するSRXシリーズサービスゲートウェイデバイス。
ドメインコントローラとLightweight Directory Access Protocol(LDAP)サーバーを備えたMicrosoft Active Directory
Active Directoryドメインコントローラーは、4コアと8ギガバイトのメモリの高性能構成になっています。
注:SRXシリーズは、ドメインコントローラーのイベントログを読み取ることで、デバイスのIPアドレスを取得します。イベント ログを読み取るプロセスはドメイン コントローラーの CPU リソースを消費するため、CPU 使用率が高くなる可能性があります。このため、Active Directory ドメイン コントローラーには、少なくとも 4 コアと 8 ギガバイトのメモリの高パフォーマンス構成が必要です。
社内ネットワーク上のサーバー。
概要
Junos OSリリース15.1X49-D70およびJunos OSリリース17.3R1以降、SRXシリーズは、Active Directoryまたはサードパーティのネットワークアクセス制御(NAC)システムによって認証されたデバイスのIDに基づいて、ネットワークリソースへのアクセスを制御するためのサポートを提供します。この例では、認証ソースとしてアクティブディレクトリを使用します。
この機能が機能するには、認証ソースを設定する必要があります。
この例では、以下の設定部分について説明します。
ゾーンとそのインターフェイス
セキュリティポリシーで指定された送信元エンティティと宛先エンティティが属するゾーンを設定する必要があります。設定しない場合、デバイスIDプロファイルを参照するセキュリティポリシーは無効になります。
デバイスIDプロファイル
デバイスIDプロファイルは、セキュリティポリシーとは別に設定します。セキュリティポリシーから参照します。デバイスIDプロファイルは、1つ以上のデバイスで一致できるデバイスIDを指定します。Active Directoryの場合、プロファイルでdevice-identity属性のみを指定できます。
この例では、device-identity属性の仕様はcompany-computersです。
注:デバイスIDプロファイルは、CLIでは
end-user-profileと呼ばれます。セキュリティポリシー
デバイス識別プロファイルの属性とセキュリティポリシーの残りのパラメータに一致する任意のデバイスから発行されるトラフィックにアクションが適用されるセキュリティポリシーを設定します。
注:セキュリティポリシーの
source-end-user-profileフィールドにデバイスIDプロファイルの名前を指定します。認証元
デバイスの認証に使用する認証ソースを設定します。この例では、デバイスID認証ソースとしてアクティブディレクトリを使用します。
Active Directoryが認証元である場合、SRXシリーズはActive Directoryドメインのイベントログを読み取ることで、認証済みデバイスのID情報を取得します。その後、デバイスはActive DirectoryのLDAPインターフェイスにクエリーを行い、クエリーにデバイスのIPアドレスを使用して、デバイスが属するグループを識別します。
この目的のために、デバイスは、Microsoft Distributed COM/Microsoft RPCスタックを備えたWindows Management Instrumentation(WMI)クライアントと、Active Directoryドメイン内のWindows Active Directoryコントローラと通信するための認証メカニズムを実装しています。アクティブディレクトリドメインのイベントログからデバイス情報を抽出するデバイスwmicデーモンです。
また、wmic デーモンは、同じ WMI DCOM インターフェイスを使用して、Active Directory イベント ログの変更を監視します。変更が発生すると、デバイスはそれらの変更を反映するようにローカルデバイスID認証テーブルを調整します。
Junos OSリリース17.4R1以降、Active DirectoryドメインコントローラとLDAPサーバーにIPv6アドレスを割り当てることができます。Junos OSリリース17.4R1以前は、割り当てるのはIPv4アドレスのみでした。
トポロジー
この例では、マーケティングゾーンゾーンに属するユーザーは、社内サーバー上のリソースにアクセスしたいと考えています。アクセス制御は、デバイスのIDに基づいています。この例では、company-computers がデバイス ID として指定されています。そのため、セキュリティポリシーアクションは、その仕様に適合し、セキュリティポリシー基準に一致するデバイスにのみ適用されます。サーバーリソースへのアクセスを許可または拒否されるデバイスです。ユーザー識別に基づいてアクセスが制御されることはありません。
SRXシリーズには、ネットワークデバイスを含むゾーン(マーケティングゾーン)と内部サーバーを含むゾーン(サーバーゾーン)の2つのゾーンが設定されています。IPアドレスが192.0.2.18/24であるSRXシリーズファイアウォールインターフェイスge-0/0/3.1は、マーケティングゾーンゾーンに割り当てられています。IPアドレスが192.0.2.14/24であるSRXシリーズファイアウォールインターフェイスge-0/0/3.2は、servers-zoneゾーンに割り当てられています。
この例では、以下のアクティビティについて説明します。
-
SRXシリーズファイアウォールは、WMI DCOMインターフェイスを使用してActive Directoryドメインコントローラに接続し、Active Directoryによって認証されたデバイスに関する情報を取得します。
ユーザーがネットワークにログインして認証されると、ユーザーのデバイスに関する情報がイベントログに書き込まれます。
SRXシリーズは、Active Directoryドメインコントローラのイベントログからデバイス情報を抽出します。
SRXシリーズは、抽出された情報を使用して、デバイスが属するグループのリストをActive Directory LDAPサーバーから取得します。
SRXシリーズは、ローカルデバイスID認証テーブルを作成し、ドメインコントローラとLDAPサーバーから取得したデバイスID情報をテーブルに格納します。
-
デバイスからのトラフィックがSRXシリーズファイアウォールに到着すると、SRXシリーズはデバイスID認証テーブルをチェックし、トラフィックを発行したデバイスと一致するエントリーがないか確認します。
SRXシリーズは、アクセスを要求しているデバイスに一致するエントリーを見つけた場合、セキュリティポリシーテーブルをチェックし、その
source-end-user-profileフィールドが、アクセスを要求しているデバイスのデバイス識別仕様と一致するデバイス識別プロファイルを指定するセキュリティポリシーを探します。一致するセキュリティポリシーは、デバイスから発行されるトラフィックに適用されます。
図1 は、この例のトポロジーを示しています。
とするデバイス識別機能のトポロジー
設定
Active Directory環境でデバイス識別機能を設定するには、以下のタスクを実行します。
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、[edit]階層レベルでコマンドをCLIにコピーアンドペーストして、設定モードから commit を入力します。
set interfaces ge-0/0/3.1 family inet address 192.0.2.18/24 set interfaces ge-0/0/3.2 family inet address 192.0.2.14/24 set security zones security-zone marketing-zone interfaces ge-0/0/3.1 host-inbound-traffic system-services all set security zones security-zone marketing-zone interfaces ge-0/0/3.1 host-inbound-traffic protocols all set security zones security-zone servers-zone interfaces ge-0/0/3.2 host-inbound-traffic system-services all set security zones security-zone servers-zone interfaces ge-0/0/3.2 host-inbound-traffic protocols all set services user-identification device-information authentication-source active-directory set services user-identification device-information end-user-profile profile-name marketing-west-coast domain-name example.net set services user-identification device-information end-user-profile profile-name marketing-west-coast attribute device-identity string company-computers set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access match source-address any destination-address any set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access match application any set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access match source-end-user-profile marketing-west-coast set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access then permit set services user-identification active-directory-access domain example.net user user1 password pswd set services user-identification active-directory-access domain example.net domain-controller dc-example address 203.0.113.0 set services user-identification active-directory-access domain example.net ip-user-mapping discovery-method wmi event-log-scanning-interval 30 set services user-identification active-directory-access domain example.net ip-user-mapping discovery-method wmi initial-event-log-timespan 1 set services user-identification active-directory-access domain example.net user-group-mapping ldap authentication-algorithm simple set services user-identification active-directory-access domain example.net user-group-mapping ldap address 198.51.100.9 port 389 set services user-identification active-directory-access domain example.net user-group-mapping ldap base dc=example,dc=net set services user-identification active-directory-access authentication-entry-timeout 100 set services user-identification active-directory-access wmi-timeout 60
Active Directory環境での統合ユーザーファイアウォールデバイスID認証機能の設定
ステップバイステップの手順
この手順には、Active Directory環境でデバイスID認証機能をサポートするためにSRXシリーズファイアウォールを設定するために必要な設定ステートメントが含まれています。
マーケティングゾーンとサーバーゾーンに使用するインターフェイスを設定します。
[edit interfaces] user@host# set ge-0/0/3.1 family inet address 192.0.2.18/24 user@host# set ge-0/0/3.2 family inet address 192.0.2.14/24
マーケティングゾーンとサーバーゾーンを設定し、インターフェイスを割り当てます。
[edit security zones] user@host# set security-zone marketing-zone interfaces ge-0/0/3.1 host-inbound-traffic system-services all user@host# set security-zone marketing-zone interfaces ge-0/0/3.1 host-inbound-traffic protocols all user@host# set security-zone servers-zone interfaces ge-0/0/3.2 host-inbound-traffic system-services all user@host# set security-zone servers-zone interfaces ge-0/0/3.2 host-inbound-traffic protocols all
Microsoft Active Directoryを指定するように認証ソースを設定します。デバイス識別機能を機能させるには、認証ソースを指定する必要があります。これは必須値です。
[edit services user-identification] user@host# set device-information authentication-source active-directory
デバイスIDプロファイル(
end-user-profileとも呼ばれる)のデバイスID仕様を設定します。[edit services user-identification] user@host# set device-information end-user-profile profile-name marketing-west-coast domain-name example.net user@host#set device-information end-user-profile profile-name marketing-west-coast attribute device-identity string company-computers
marketing-west-coastと呼ばれるデバイスIDプロファイルを参照するmark-server-accessと呼ばれるセキュリティポリシーを設定します。セキュリティポリシーにより、マーケティングゾーンに属する(デバイス識別プロファイルの仕様に一致する)すべてのデバイスに、ターゲットサーバーのリソースへのアクセスが許可されます。
[edit security policies] user@host# set from-zone marketing-zone to-zone servers-zone policy mark-server-access match source-address any destination-address any user@host# set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access match source-end-user-profile marketing-west-coast user@host# set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access match application any user@host# set security policies from-zone marketing-zone to-zone servers-zone policy mark-server-access then permit
-
アクティブディレクトリと通信し、LDAPサービスを使用するようにSRXシリーズファイアウォールを設定します。
デバイスID認証機能の実装に必要なグループ情報を取得するために、SRXシリーズファイアウォールはLightweight Directory Access Protocol(LDAP)を使用します。SRXシリーズは、LDAPサーバーと通信するLDAPクライアントとして機能します。通常、Active DirectoryドメインコントローラはLDAPサーバーとして機能します。デバイス内のLDAPモジュールは、デフォルトでドメインコントローラ内のActive Directoryにクエリーを実行します。
[edit services user-identification] user@host# set active-directory-access domain example.net user user1 password pswd user@host# set active-directory-access domain example.net domain-controller dc-example address 203.0.113.0 user@host# set active-directory-access domain example.net ip-user-mapping discovery-method wmi event-log-scanning-interval 30 user@host# set active-directory-access domain example.net ip-user-mapping discovery-method wmi initial-event-log-timespan 1 user@host set active-directory-access domain example.net user-group-mapping ldap address 198.51.100.9 port 389 user@host# set active-directory-access domain example.net user-group-mapping ldap base dc=example,dc=net user@host# set active-directory-access domain example.net user-group-mapping ldap authentication-algorithm simple user@host# set active-directory-access authentication-entry-timeout 100 user@host# set active-directory-access wmi-timeout 60
結果
設定モードに show interfaces を入力します。
user@host#show interfaces
ge-0/0/3 {
unit 1 {
family inet {
address 192.0.2.18/24;
}
}
unit 2 {
family inet {
address 192.0.2.14/24;
}
}
}
設定モード show security zones に入力します。
user@host#show security zones
security-zone marketing-zone {
interfaces {
ge-0/0/3.1 {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
}
}
}
security-zone servers-zone {
interfaces {
ge-0/0/3.2 {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
}
}
}
構成モードで show services user-identification device-information end-user-profile を入力します。
user@host#show services user-identification device-information end-user-profile
domain-name example.net
attribute device-identity {
string company-computers;
}
設定モードで show services user-identification device-information authentication-source を入力します。
user@host#show services user-identification device-information authentication-source active-directory;
show security policiesを構成モードにします。
user@host#show security policies
from-zone marketing-zone to-zone servers-zone {
policy mark-server-access {
match {
source-address any;
destination-address any;
application any;
source-end-user-profile {
marketing-west-coast;
}
}
then {
permit;
}
}
}
設定モードで show services user-identification active-directory-access を入力します。
user@host#show services user-identification active-directory-access
domain example-net {
user {
user1;
password $ABC123; ## SECRET-DATA
}
ip-user-mapping {
discovery-method {
wmi {
event-log-scanning-interval 30;
initial-event-log-timespan 1;
}
}
}
user-group-mapping {
ldap {
base dc=example,DC=net;
address 198.51.100.9 {
port 389;
}
}
}
}
構成モードで show services user-identification active-directory-access domain example-net を入力します。
user@host#show services user-identification active-directory-access domain example-net
user {
user1;
password $ABC123 ## SECRET-DATA
}
domain-controller dc-example {
address 203.0.113.0;
}
検証
デバイスID認証テーブルの内容を確認する
目的
デバイスID認証テーブルに、予期されるエントリとそのグループが含まれていることを確認します。
アクション
この場合、デバイスID認証テーブルには3つのエントリーが含まれています。次のコマンドは、3 つのエントリすべての広範な情報を表示します。
動作モードでコマンドを入力し show services user-identification device-information table all extensive テーブルの内容を表示します。
出力例
コマンド名
Domain: example.net
Total entries: 3
Source IP: 192.0.2.19
Device ID: example-dev1
Device-Groups: device_group1,
device_group2,device_group3,
device_group4, device_group5
device-identity: company-computers
Location1: us1
Referred by: mark-server-access
Source IP: 192.0.2.22
Device ID: example-dev2
Device-Groups: device_group06,
device_group7, device_group8,
device_group9, device_group10
device-identity: company-computers
Location1: us1
Referred by: mark-server-access
Source IP: 192.0.2.19
Device ID: example-dev3
Device-Groups: device_group1, device_group2,
device_group3, device_group4, device_group5
device-identity: company-computers
Location1: us1
Referred by: mark-server-access
意味
テーブルには、認証されたすべてのデバイスと、それらが属するグループの情報を含むエントリが含まれている必要があります。
例:送信元ゾーンに基づいてセッションログへのユーザーID情報を構成する
この例では、セキュリティポリシーで設定された送信元ゾーン(from-zone)に基づいてユーザーID情報をログに記録するようにシステムに指示する、統合ユーザーファイアウォールゾーンベースのユーザーID機能を設定する方法を示しています。ゾーンベースのユーザーID機能は、ID情報がログに書き込まれるユーザーの範囲を広げ、トラフィックがセキュリティポリシーに一致するゾーンに属するすべてのユーザーが含まれます。
要件
この機能は、Junos OS 15.1X49-D60およびJunos OSリリース17.3R1以降でサポートされています。この機能は、Junos OS 15.1X49-D60以降でサポートされているすべてのSRXシリーズファイアウォールで設定して実行できます。
概要
この例では、セキュリティポリシーのソースゾーンに基づいて、セッションログにユーザーID情報をログに記録するように統合ユーザーファイアウォールを設定する方法を示しています。そのためには、送信元ゾーンとして指定されたゾーンを送信元IDログ用に設定する必要があります。ゾーンベースのユーザーIDロギングの場合、セキュリティポリシーのアクションには、セッション作成(session-init)イベントとセッション終了(session-close)イベントが含まれている必要があります。
すべての条件が満たされると、セッションの開始時(またはセッションの初期化)とセッション終了時(またはセッションの破棄)の開始時に、ユーザー名がログに書き込まれます。セキュリティポリシーがリソースへのユーザーアクセスを拒否した場合、名前でユーザーを識別するエントリーがログに書き込まれることに注意してください(セッション終了が設定されている場合)。
ゾーンベースのユーザーID機能を使用する場合、ユーザーIDログイベントを開始するのはセキュリティポリシー内の送信元ゾーン(from-zone)です。
この機能が導入される前は、セキュリティポリシーにソースIDタプル(source-identity)を含めて、ユーザーID情報(ユーザー名またはグループ名)をログに書き込むようにシステムに指示する必要がありました。ソースIDタプルがユーザーのトラフィックに一致するゾーンペア内のポリシーのいずれかで構成され、セッション終了ログが設定されている場合、ユーザーIDがログに書き込まれます。
ただし、ソースID機能は個々のユーザーまたはユーザーグループに固有であり、その点に関するセキュリティポリシーの適用を制約します。
これはローカルのActive Directoryテーブルに格納されているユーザー名であり、ポリシーのソースゾーンがユーザーIDログ用に設定されている場合に、システムがログに書き込まれます。SRXシリーズファイアウォールは、ドメインコントローラのイベントログを読み取ることで、ユーザーID情報を以前に取得していました。SRXシリーズファイアウォールは、その情報をActive Directoryテーブルに保存しました。
ソースIDタプルをセキュリティポリシーで使用でき、ユーザーIDログ用に設定されたゾーンをソースゾーンとして指定します。統合ユーザーファイアウォールは、統合ユーザーファイアウォールがソースIDタプルに依存している場合にのみ、ユーザーが属するグループの名前をMicrosoftドメインコントローラから収集するため、ソースIDも設定せずにゾーンベースのユーザーIDログ機能を使用すると、ログにはアクセスを要求しているユーザーの名前のみが含まれ、ユーザーが属するグループは含まれません。
送信元IDログをサポートするようにゾーンを設定した後、そのゾーンは、ユーザーID情報をログに記録するセキュリティポリシーのfrom-zone仕様として再利用することができます。
要約すると、次の場合にユーザー名がログに書き込まれます。
ユーザーは、送信元IDロギング用に設定されたゾーンに属しています。
ユーザーは、生成されたトラフィックが、送信元ゾーン(from-zone)タプルが修飾ゾーンを指定するセキュリティポリシーに一致するリソースアクセス要求を発行します。
セキュリティポリシーには、アクションの一部として、セッション初期化(session-init)イベントとセッション終了イベント(session-close)が含まれます。
ソースIDログ機能の利点には、次のような機能があります。
単一の仕様で幅広いユーザー、つまり送信元IDログ用に設定されたゾーンに属するすべてのユーザーをカバーします。
ユーザーIDログを失うことなく、セキュリティポリシーの送信元アドレスのアドレス範囲を引き続き使用します。
複数のセキュリティポリシーで送信元IDログ用に設定されたゾーンを再利用します。
セキュリティポリシーとは独立して設定されるため、1つ以上のポリシーでゾーンを送信元ゾーンとして指定できます。
ゾーンベースのユーザーIDログ用に設定されたゾーンを送信元ゾーンとしてではなく宛先ゾーンとして指定した場合、ユーザーIDはログに記録されません。
この機能を機能させるには、以下の情報を設定する必要があります。
目的のセキュリティポリシーで送信元ゾーン(from-zone)として使用されるゾーンに設定された送信元IDログステートメント。
以下を指定するセキュリティポリシー。
送信元ゾーンとしての適格ゾーン。
アクションの一部としてのセッション開始イベントとセッション終了イベント。
設定
送信元IDログ機能を設定するには、以下のタスクを実行します。
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security zones security-zone trust source-identity-log set security policies from-zone trust to-zone untrust policy appfw-policy1 match source-address any destination-address any application junos-ftp set security policies from-zone trust to-zone untrust policy appfw-policy1 then permit set security policies from-zone trust to-zone untrust policy appfw-policy1 then log session-init set security policies from-zone trust to-zone untrust policy appfw-policy1 then log session-close
送信元IDログをサポートするためのゾーンの設定と、それをセキュリティポリシーで使用する
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、 設定モードでの CLI エディターの使用を参照してください。
トラストゾーンの送信元IDログを設定します。このゾーンがセキュリティポリシーの送信元ゾーンとして使用されている場合、システムはセキュリティポリシーが適用されるすべてのユーザーのセッションログにユーザーID情報を書き込みます。
[edit security] user@host# set zones security-zone trust source-identity-log
appfw-policy1 というセキュリティ ポリシーを設定し、送信元ゾーンの用語としてゾーンの信頼を指定します。送信元IDログは、トラフィックがセキュリティポリシーのタプルに一致するすべてのユーザーに適用されます。
このセキュリティポリシーにより、ユーザーはjunos-ftpサービスにアクセスすることができます。ユーザーに対してセッションが確立されると、ユーザーのIDがログに記録されます。また、セッションの終了時にもログに記録されます。
[edit security] user@host# set policies from-zone trust to-zone untrust policy appfw-policy1 match source-address any destination-address any application junos-ftp user@host# set policies from-zone trust to-zone untrust policy appfw-policy1 then permit
appfw-policy1セキュリティポリシーのアクションを、セッション開始イベントとセッション終了イベントのログ記録を含めるように設定します。
注:ソースIDログ機能を有効にするには、セッション開始イベントとセッション終了イベントをログに記録するようにセキュリティポリシーを設定する必要があります。ユーザーID情報は、これらのイベントと連動してログに書き込まれます。
[edit security] user@host# set policies from-zone trust to-zone untrust policy appfw-policy1 then log session-init user@host# set policies from-zone trust to-zone untrust policy appfw-policy1 then log session-close
結果
設定モードから、 show security zones コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
検証
このセクションには、ユーザーセッションに対して生成されたセッションログが表示されます。ログ出力:
セッションオープンの開始時とセッション終了時に表示されるユーザー名user1を表示します。
ユーザー名をログに書き込む原因となったセキュリティポリシー設定では、ゾーンtrustをソースゾーンとして指定しています。ゾーンの信頼は、送信元IDログ用に設定されています。
ユーザーのリクエストトラフィック、ポリシー一致基準、NAT設定から取得した情報が含まれます。
Active Directoryデータベースから取得されたユーザーに関するID情報が含まれます。この情報には、ユーザーが属するグループを示す "MyCompany/Administrator" のロール パラメーターが含まれています。
このシナリオでは、ユーザーがジュニパーネットワークスのjunos-ftpサービスへのアクセスを要求しました。このサービスもログに記録されます。 表1は 、ソースIDログ機能設定に固有のログの部分を示しています。
セッション作成 これは、セッション設定情報を記録するログの最初のセクションを開始するセッション開始です。 ユーザー名user1は、セッション作成ログ記録の開始時に表示されます。 |
user1 RT_FLOW_SESSION_CREATE |
セッション作成の後には、セキュリティポリシータプルに一致するユーザーのトラフィックに基づいてセッションを定義する標準情報が続きます。 |
|
送信元アドレス、送信元ポート、宛先アドレス、宛先ポート。 |
source-address="198.51.100.13/24" source-port="635" destination-address="198.51.100.10/24" destination-port="51" |
アプリケーションサービス これは、ユーザーがアクセスを要求し、セキュリティポリシーで許可されたアプリケーションサービスです。 |
サービス名="junos-ftp" |
送信元ゾーン、宛先ゾーン ログのさらに下にはゾーン仕様があり、定義どおり、trustをソースゾーンとして、untrustを宛先ゾーンとして示しています。 |
source-zone-name="trust" destination-zone-name="untrust" |
セッションの終了 これはセッション終了の開始であり、セッションの破棄と終了をカバーするログレコードの 2 番目の部分を開始します。 ユーザー名 user1 は、セッション終了レコードの先頭に表示されます。 |
user1 RT_FLOW - RT_FLOW_SESSION_CLOSE |
ユーザーID情報がログに記録されたことを確認する
目的
統合ユーザーファイアウォールは、ソースIDとして設定されたグループをMicrosoftドメインコントローラからのみ収集することに注意してください。ソースIDを設定せずにゾーンベースのユーザーID機能を使用する場合、ログにはユーザー名のみが含まれます。つまり、グループ情報は記録されません。その場合、ログの「roles=」セクションには「N/A」と表示されます。次の例では、ソース ID タプルが使用され、「roles=」セクションにユーザー「管理者」が属するグループの長いリストが表示されていることを前提としています。
アクション
ログ情報を表示します。
出力例
コマンド名
<14>1 2015-01-19T15:03:40.482+08:00 user1 RT_FLOW - RT_FLOW_SESSION_CREATE [user@host2636 192.0.2.123 source-address=”198.51.100.13“ source-port=”635” destination-address=”198.51.100.10” destination-port=”51” service-name=”junos-ftp” nat-source-address=”203.0.113.10” nat-source-port=”12349” nat-destination-address ="198.51.100.13" nat-destination-port="3522" nat-rule-name="None" dst-nat-rule-name="None" protocol-id="6" policy-name="appfw-policy1" source-zone-name="trust" destination-zone-name="untrust" session-id-22="12245" username="MyCompany/Administrator " roles="administrators, Users, Enterprise Admins, Schema Admins, ad, Domain Users, Group Policy Creator Owners, example-team, Domain Admins" packet-incoming-interface="ge-0/0/0.1" application="UNKNOWN" nested-application="UNKNOWN" encrypted="UNKNOWN"] session created 192.0.2.1/21 junos-ftp 10.1.1.12/32898->10.3.1.10/21 junos-ftp 10.1.1.1/547798->10.1.2.10/21 None None 6 appfw-policy1 trust untrust 20000025 MyCompany/Administrator (administrators, Users, Enterprise Admins, Schema Admins, ad, Domain Users, Group Policy Creator Ownersexample-team, Domain Admins) ge-0/0/0.0 UNKNOWN UNKNOWN UNKNOWN <14>1 2015-01-19T15:03:59.427+08:00 user1 RT_FLOW - RT_FLOW_SESSION_CLOSE [user@host2636 192.0.2.123 reason="idle Timeout” source-address=”198.51.100.13“ source-port=”635”" destination-address=”198.51.100.10” destination-port=”51" service-name="junos-ftp" nat-source-address="203.0.113.10" nat-source-port="12349" nat-destination-address ="198.51.100.13" "nat-destination-port="3522" src-nat-rule-name="None" dst-nat-rule-name="None" protocol-id="6" policy-name="appfw-policy1" source-zone-name="trust" destination-zone-name="untrust"session-id-32="20000025" packets-from-client="3" bytes-from-client="180" packets-from-server="0" bytes-from-server="0" elapsed-time="19" application="INCONCLUSIVE" nested-application="INCONCLUSIVE" username=" J “MyCompany /Administrator” roles="administrators, Users, Enterprise Admins, Schema Admins, ad, Domain Users, Group Policy Creator Owners, example-team, Domain Admins" packet-incoming-interface="ge-0/0/0.1" encrypted="UNKNOWN"] session closed idle Timeout: 111.1.1.10/1234>10.1.1.11/21 junos-ftp 10.1.1.12/32898->10.3.1.10/21 1 None None 6 appfw-policy1 trust untrust 20000025 3(180) 0(0) 19 INCONCLUSIVE INCONCLUSIVE MyCompany/Administrator (administrators, Users, Enterprise Admins, Schema Admins, ad, Domain Users, Group Policy Creator Owners, example-team, Domain Admins) ge-0/0/0.1 UNKNOWN
ファイアウォールのIDソースとしてActive Directoryを設定する
表2に 、ファイアウォールでアクティブディレクトリをアイデンティティソースとして設定する手順を示します。
| 設定ステップ |
コマンド |
|---|---|
| ステップ1:認証テーブルを設定する アクティブディレクトリ認証テーブルを設定できます。 優先度オプションを設定できます。 |
認証テーブル
認証テーブルの優先度
|
| ステップ2:タイムアウトを設定する 認証テーブル内のエントリに対して、有効な認証エントリと無効な認証エントリのタイムアウトを設定できます。デフォルトの 認証テーブルエントリのタイムアウト情報を表示できます。 |
有効な認証エントリー
無効な認証エントリ
タイムアウト情報の表示
|
| 手順 3: Windows イベント ログの検証と統計情報を構成する 認証テーブルがIPアドレスとユーザー情報を取得していることを確認できます。 イベントログの読み取りに関する統計情報を確認できます。 WMICへのバックアップとしてファイアウォール認証を設定できます |
Windowsイベントログの検証
Windowsイベントログの統計
WMICへのバックアップとしてのファイアウォール認証
|
| 手順 4: ドメイン PC プローブを構成する オンデマンドプローブはデフォルトで有効になっています。オンデマンドプローブを無効にすることができます。オンデマンドプローブが無効になっている場合、手動プローブを使用できます。 プローブタイムアウト値を設定できます。デフォルトのタイムアウトは 10 秒です。 プローブの統計情報を表示できます。 |
オンデマンドプローブを無効にする
手動プローブを有効にする
プローブタイムアウト値
プローブ統計情報の表示
|
| ステップ5:LDAPサーバーのステータスと統計を設定する LDAP接続ステータスを確認できます。 LDAPサーバーに対して行われたクエリ数を確認できます。 |
LDAPサーバーのステータス
LDAPサーバー統計情報
|
NFXデバイス上のIDソースとしてActive Directoryを設定する
統合ユーザーファイアウォール機能の一般的なシナリオでは、ドメインユーザーはNFXデバイスを介してインターネットにアクセスしたいと考えています。デバイスは、ドメインに設定されたドメインコントローラのイベントログを読み取り、分析します。したがって、デバイスはActive Directoryドメインコントローラ上のドメインユーザーを検出します。Active Directoryドメインは、統合ユーザーファイアウォールのActive Directory認証ソースとして認証テーブルを生成します。デバイスは、この情報を使用してポリシーを適用し、ユーザーベースまたはグループベースのアクセス制御を実現します。
Active Directory(AD)で新しいユーザーが作成されると、ユーザーはグローバルセキュリティグループプライマリグループ(デフォルトではドメインユーザー)に追加されます。プライマリグループは、すべてのユーザーが属しているため、ADで作成された他のグループよりも具体的ではありません。また、非常に大きくなる可能性があります。
統合ユーザーファイアウォール設定では、ドメインユーザーというデフォルト名でも、変更した場合は別の名前でも、プライマリグループを使用することはできません。
Windows Active Directoryドメインを確立し、別のセキュリティポリシーを設定するには:
設定が正常に機能していることを確認するには:
show services user-identification active-directory-access domain-controller statusコマンドを入力して、少なくとも1つのドメインコントローラーが設定され、接続されていることを確認します。
show services user-identification active-directory-access user-group-mapping statusコマンドを入力して、LDAPサーバーがユーザーからグループへのマッピング情報を提供していることを確認します。
show services user-identification active-directory-access active-directory-authentication-table allコマンドを入力して、認証テーブルエントリーを確認します。各ドメインのIPアドレス、ユーザー名、グループが表示されます。
show services user-identification active-directory-access statistics ip-user-mappingコマンドを入力してIPとユーザーのマッピングを確認します。クエリと失敗したクエリの数が表示されます。
show services user-identification active-directory-access statistics ip-user-probeコマンドを入力して、IPプローブが発生していることを確認します。
show services user-identification active-directory-access statistics user-group-mappingコマンドを入力して、ユーザーとグループのマッピングが照会されていることを確認します。