Descripción general de la autenticación de usuario de firewall

Un usuario de firewall es un usuario de red que debe proporcionar un nombre de usuario y una contraseña para la autenticación al iniciar una conexión a través del firewall. Junos OS permite a los administradores restringir y permitir que los usuarios del firewall accedan a recursos protegidos (diferentes zonas) detrás de un firewall en función de su dirección IP de origen y otras credenciales.

Junos OS también admite los tipos de usuario administrador y protocolo punto a punto (PPP).

Después de definir los usuarios del firewall, puede crear una directiva que requiera que los usuarios se autentiquen a través de uno de estos tres esquemas de autenticación:

• Pass-through authentication: un host o un usuario de una zona intenta acceder a recursos de otra zona. Debe utilizar un cliente FTP, un cliente Telnet, un cliente HTTP o un cliente HTTPS para tener acceso a la dirección IP del recurso protegido y autenticarse por el firewall. El dispositivo utiliza FTP, Telnet, HTTP o HTTPS para recopilar información de nombre de usuario y contraseña, y el tráfico posterior del usuario o host se permite o se deniega en función del resultado de esta autenticación. Cuando el dispositivo utiliza un servidor HTTPS y una vez finalizada la autenticación, el tráfico posterior del usuario siempre finaliza independientemente de si la autenticación se realiza correctamente o no.

  Nota:

  A partir de Junos OS versión 12.1X44-D10 y Junos OS versión 17.3R1, se introduce la compatibilidad con la autenticación basada en HTTPS para los firewalls de gama alta de la serie SRX. No se admite en dispositivos de sucursal de la serie SRX. Para los dispositivos de sucursal, debe utilizar la autenticación basada en HTTP.

  Nota:

  A partir de Junos OS versión 19.1R1, la autenticación de usuario de firewall de paso a través se admite en dispositivos NFX150.

• Pass-through with web-redirect authentication: este método de autenticación se puede utilizar para solicitudes de cliente HTTP o HTTPS. Al configurar la autenticación de firewall para utilizar la autenticación PassThrough para solicitudes de cliente HTTP y HTTP, puede utilizar la característica de redireccionamiento web para dirigir las solicitudes del usuario al servidor Web interno del dispositivo. El servidor web envía una respuesta HTTP o HTTPS de redirección al sistema cliente dirigiéndole a volver a conectarse al servidor web para la autenticación del usuario. La interfaz a la que llega la solicitud del cliente es la interfaz a la que se envía la respuesta de redirección.

  Nota:

  Por motivos de seguridad, en las directivas de seguridad que configure para la autenticación paso a través de HTTP, se recomienda usar la redirección web en lugar de la autenticación paso a través directa. El navegador web puede proporcionar seguridad al incluir automáticamente credenciales para solicitudes posteriores al servidor web de destino.

  El uso de esta función permite una experiencia de inicio de sesión de usuario más rica. Por ejemplo, en lugar de un mensaje emergente que le pide al usuario que ingrese su nombre de usuario y contraseña, a los usuarios se les presenta la página de inicio de sesión en un navegador. La habilitación web-redirect tiene el mismo efecto que si el usuario escribiera la dirección IP de autenticación web en un explorador cliente. En ese sentido, web-redirect proporciona una experiencia de autenticación perfecta; el usuario no necesita conocer la dirección IP de la fuente de autenticación web, sino solo la dirección IP del recurso al que intenta acceder. Una vez que el usuario se ha autenticado, el tráfico de la dirección IP del usuario puede pasar por el web-redirect método.

  Se muestra un mensaje para informar al usuario sobre la autenticación correcta. Después de una autenticación correcta, el navegador inicia la URL de destino original del usuario sin necesidad de volver a escribir la URL.

  Se muestra el siguiente mensaje:

• Autenticación web: los usuarios intentan conectarse, mediante HTTP o HTTPS, a una dirección IP del dispositivo habilitada para la autenticación web; en este escenario, no utilice HTTP o HTTPS para obtener la dirección IP del recurso protegido. Se le pedirá el nombre de usuario y la contraseña que verifica el dispositivo. El tráfico posterior del usuario o host al recurso protegido se permite o deniega en función del resultado de esta autenticación.