Despliegue de dispositivos administrados por el cliente (en las instalaciones)
"Configuración de los despliegues de Juniper Secure Edge" y "Agregar servicios de directorio" son obligatorios para los clientes que utilizan despliegues en las instalaciones y en Secure Edge.
Servidor JIMS
El servidor JIMS está configurado de forma predeterminada para la conexión de host local. Una vez configurado, solo puede editar el puerto del servidor JIMS y la velocidad máxima de datos del servidor.
También se puede configurar un nuevo servidor JIMS. Para agregar un nuevo servidor JIMS, siga los pasos a continuación:
- Haga clic en Agregar para agregar un nuevo servidor JIMS.
- Ingrese la dirección IP o el nombre de dominio completo (FQDN) del servidor.
- Dé una descripción.
- Ingrese el nombre de usuario y la contraseña para fines de autenticación.
- Seleccione el tipo de servidor JIMS en el menú desplegable.
- Anule la selección de TLS solo si realiza la solución de problemas.
- JIMS configura automáticamente la identidad, el puerto de servidor JIMS y la velocidad máxima de datos. Cambiar el certificado digital para el servidor local de JIMS en la Configuración > General está en desuso; Esta opción ya no se admite.
Servicios de directorio
Debe configurar al menos un servidor de directorios para que el recopilador de JIMS recopile usuarios, dispositivos y pertenencias a grupos. Actualmente, solo se admite Active Directory.
Si tiene previsto utilizar varios servidores de directorios con las mismas credenciales, puede crear una plantilla para reducir la entrada de cada servidor de directorios.
Para agregar un nuevo servidor de directorios:
- Haga clic en Agregar para agregar un nuevo servidor de directorios.
- Opcionalmente, use una plantilla ya creada para preconfigurar las credenciales.
- El origen está seleccionado de forma predeterminada.
- Proporcione una descripción.
- Introduzca el nombre de host del servidor o la dirección IP del servidor.
- Introduzca el ID de inicio de sesión y la contraseña para fines de autenticación.
- Seleccione Conexión TLS si desea cifrar la comunicación entre JIMS y el servidor de directorios.
Productores de identidad
Puede configurar Identity Producers para recopilar eventos de estado de usuario y dispositivo. JIMS utiliza esta información para proporcionar asignaciones de direcciones IP a nombres de usuario. JIMS también proporciona nombres de dispositivo con nombres de dominio a los puntos de aplicación (firewalls de la serie SRX).
Los productores de identidad tienen 3 pestañas/opciones. Seleccione la opción adecuada para su implementación en función de la información proporcionada en la sección Productores de identidad .
Agregar origen de evento
Para agregar una nueva fuente de eventos:
- Haga clic en Agregar para agregar nuevas fuentes de eventos.
- Utilice una plantilla ya creada para preconfigurar las credenciales.
- Seleccione el tipo de origen (controlador de dominio o servidor de Exchange).
- Proporcione una descripción opcional.
- Introduzca el nombre de host del servidor o la dirección IP del servidor.
- Ingrese el ID de inicio de sesión y la contraseña. Debe ser la cuenta de servicio recién creada con privilegios limitados.
- Ingrese el tiempo de recuperación del historial de eventos de inicio. Esto garantiza que JIMS haya recopilado datos históricos antes del uso en producción.
Agregar sonda de PC
Para agregar una nueva sonda de PC:
- Haga clic en Agregar para agregar una nueva sonda de PC.
- Ingrese el ID de inicio de sesión y la contraseña. Esta es la cuenta de servicio recién creada con privilegios limitados.
- Proporcione una descripción opcional.
- Después de proporcionar los detalles, puede mover el orden de los nombres de usuario en la secuencia en la que desea que se ejecuten.
Agregar fuente de syslog
Para agregar un nuevo origen de syslog:
- Haga clic en Agregar para agregar una nueva fuente de Syslog.
- Si lo desea, utilice una configuración base ya creada.
- Introduzca la dirección IP o el FQDN del servidor (cliente Syslog).
- Proporcione una descripción opcional.
- Haga clic en Agregar para definir las expresiones regulares coincidentes.
Filtros
El servidor JIMS le permite filtrar por:
-
Filtros IP: proporcionan el inicio y el final del intervalo IP.
-
Filtros de eventos/grupos: introduzca el usuario o dispositivo que desea incluir en los informes. Los filtros de grupo se aplican a todos los firewalls de la serie SRX en su red. Especifique también el dominio.
-
Filtros DN: introduzca el filtro DN. Se recomienda usar expresiones regulares.
Configuración
El menú Configuración consta de dos pestañas:
Registro
En la sección Registro , escriba los siguientes detalles:
General
En la sección General , escriba los siguientes detalles:
Puntos de cumplimiento
Agregar puntos de cumplimiento en la interfaz de usuario de JIMS
Debe configurar los puntos de cumplimiento (dispositivos SRX/NFX), de lo contrario, no podrá extraer información del usuario, del dispositivo y del grupo para aplicar políticas que tengan en cuenta la identidad (firewall de usuario).
Si tiene muchos puntos de cumplimiento con el mismo ID de cliente y secreto de cliente, puede crear una plantilla para reducir la entrada de cada uno de ellos.
Para agregar un nuevo punto de cumplimiento:
- Haga clic en Agregar.
- Opcionalmente, use una plantilla ya creada para preconfigurar las credenciales.
- Ingrese la dirección IP SRX.
- Si tiene varios puntos de cumplimiento dentro de una subred, puede ingresar una subred coincidente que los cubra todos.
- Proporcione una descripción opcional.
- Active los informes IPv6 como IPv6, ya que se utilizan en su organización. Esto agrega registros duplicados en la tabla de autenticación en el punto de cumplimiento.
- Escriba el ID de cliente y el secreto de cliente utilizados para este dispositivo.
- Se aplica la vida útil del token. Esta vida útil se puede cambiar/ajustar.
Configurar JIMS en Junos
- Configuración de JIMS con firewall de la serie SRX
- Configuración del origen de autenticación de identidad del dispositivo (perfil del usuario final)
- Configuración de la política de firewall para que coincida con la identidad de origen.
Configuración de JIMS con firewall de la serie SRX
Siga estos pasos para configurar JIMS con el firewall de la serie SRX:
-
Configure la dirección FQDN/IP del servidor JIMS principal/secundario.
[edit services user-identification] user@host# set identity-management connection primary address [fqdn/ip-address] user@host# set identity-management connection secondary address [fqdn/ip-address]
-
Configure el ID de cliente y el secreto de cliente que el dispositivo de la serie SRX proporciona al servidor primario o secundario de JIMS como parte de su autenticación.
[edit services user-identification] user@host# set identity-management connection primary client-id [client-id] user@host# set identity-management connection primary client-secret [client-secret] user@host# set identity-management connection secondary client-id [client-id] user@host# set identity-management connection secondary client-secret [client-secret]
-
Opcionalmente, configure la instancia de enrutamiento o la IP de origen que se debe utilizar para llegar a los servidores JIMS.
[edit services user-identification] user@host# set identity-management connection primary source [ip-address] user@host# set identity-management connection primary routing-instance [routing-instance-name]
Nota:También puede configurar el punto de cumplimiento para validar el certificado del servidor JIMS; para ello, consulte la sección avanzada.
-
Configure la cantidad máxima de elementos de identidad de usuario que el dispositivo acepta en un lote en respuesta a la consulta.
[edit services user-identification] user@host# set identity-management batch-query items-per-batch [number-of-items-per-batch]
-
Configure el intervalo en segundos después del cual el dispositivo emite una solicitud de consulta para las identidades de usuario recién generadas.
[edit services user-identification] user@host# set identity-management batch-query query-interval [query-interval]
-
Configure los dominios de Active Directory de interés para el firewall de la serie SRX. Puede especificar hasta veinte nombres de dominio para el filtro.
[edit services user-identification] user@host# set identity-management filter domain [domain-name]
-
Configure el nombre de la libreta de direcciones para incluir el filtro IP.
[edit services user-identification] user@host# set identity-management filter include-ip address-book [address-book-name]
-
Para configurar el conjunto de direcciones al que se hace referencia, el nombre de archivo de la opción de rastreo, el tamaño del archivo de rastreo, el nivel de salida de depuración y la administración de identidades de rastreo para todos los módulos, utilice los siguientes comandos de forma adecuada:
[edit services user-identification] user@host# set identity-management filter include-ip address-set [address-set] user@host# set identity-management traceoptions file [file-name] user@host# set identity-management traceoptions file [file-size] user@host# set identity-management traceoptions level all user@host# set identity-management traceoptions flag all
Configuración del origen de autenticación de identidad del dispositivo (perfil del usuario final)
Especifique la identidad del dispositivo, el origen de la autenticación y la política de seguridad. El dispositivo obtiene la información de identidad del dispositivo para los dispositivos autenticados del origen de autenticación. El dispositivo busca en la tabla de autenticación de identidad de dispositivo una coincidencia cuando el tráfico que se emite desde el dispositivo de un usuario llega al dispositivo. Si encuentra una coincidencia, el dispositivo busca una política de seguridad coincidente. Si encuentra una política de seguridad coincidente, la acción de la política de seguridad se aplica al tráfico.
Siga estos pasos para configurar el origen de autenticación de identidad del dispositivo:
-
Especifique el origen de autenticación de identidad del dispositivo.
[edit services user-identification] user@host# set device-information authentication-source network-access-controller
-
Configure el perfil de identidad del dispositivo y el nombre de dominio al que pertenece el dispositivo.
[edit services user-identification] user@host# set device-information end-user-profile profile-name [profile-name] domain-name [domain-name]
-
Configure la cadena de identidad del dispositivo del atributo del nombre de perfil.
[edit services user-identification] user@host# set device-information end-user-profile profile-name [profile-name] attribute device-identity string [string-value]
Configuración de la política de firewall para que coincida con la identidad de origen.
Siga estos pasos para configurar una o varias políticas de firewall que controlen el acceso en función de la identidad.
-
Cree una dirección de origen o de destino para una política de seguridad y configure la aplicación o el servicio para que coincida con la política.
[edit security] user@host# set policies from-zone untrust to-zone trust policy name match source-address any user@host# set policies from-zone untrust to-zone trust policy name match destination-address any user@host# set policies from-zone untrust to-zone trust policy name match application any
-
Defina un nombre de usuario o un nombre de rol (grupo) que JIMS envía al dispositivo. Por ejemplo: "jims-dom1.local\user1".
[edit security] user@host# set policies from-zone untrust to-zone trust policy name match source-identity username or group
-
Permita el paquete si la política coincide.
[edit security] user@host# set policies from-zone untrust to-zone trust policy name then permit
-
Para configurar la hora de inicio de sesión y la hora de cierre de sesión, utilice los siguientes comandos:
[edit security] user@host# set policies from-zone untrust to-zone trust policy name then log session-init user@host# set policies from-zone untrust to-zone trust policy name then log session-close
[edit security policies from-zone LAN to-zone FINANCE policy FinanceAUTH] user@host# set match source-address any user@host# set match destination-address Payroll user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user user@host# set then permit firewall-authentication user-firewall web-redirect user@host# set then permit firewall-authentication user-firewall web-redirect-to-https user@host# set then log session-init user@host# set then log session-close