Controlar el acceso a la red mediante la autenticación de identidad de dispositivo

Por varios motivos, es posible que desee controlar el acceso a los recursos de red en función de la identidad del dispositivo del usuario en lugar de la identidad del usuario. Por ejemplo, es posible que no conozca la identidad del usuario. Puede permitir que los usuarios usen sus propios dispositivos (BYOD) para acceder a los recursos de red y no desea usar la autenticación de portal cautivo. Es posible que algunas empresas tengan conmutadores más antiguos que no admitan 802.1 o que no tengan un sistema de control de acceso a la red (NAC). La característica de autenticación de identidad de dispositivo de firewall de usuario integrada se diseñó para ofrecer una solución a estas y otras situaciones similares al permitirle controlar el acceso a la red en función de los atributos del dispositivo del usuario.

Fundamentalmente, el dispositivo recibe u obtiene la información de identidad del dispositivo de la fuente de autenticación de la misma manera que obtiene la información de identidad del usuario, dependiendo de la fuente de autenticación. Si Microsoft Windows Active Directory es el origen de autenticación, el dispositivo recupera la información del dispositivo del controlador de dominio de Active Directory. En el caso de sistemas de control de acceso a la red (NAC) de terceros, el dispositivo recibe la información del origen de autenticación a través de la API de servicios web RESTful que el dispositivo le expone para este fin. Después de que el dispositivo obtiene la información de identidad del dispositivo, crea una entrada para él en la tabla de autenticación de identidad del dispositivo.

El propósito de obtener la información del dispositivo e ingresarla en la tabla de autenticación de identidad del dispositivo es controlar el acceso de los usuarios a los recursos de red en función de la identidad del dispositivo. Para que esto ocurra, también debe configurar directivas de seguridad que identifiquen el dispositivo, en función del perfil de identidad del dispositivo especificado, y especificar la acción que se debe realizar en el tráfico que se emite desde ese dispositivo.

En términos generales, el proceso en el que la información de identidad del dispositivo se obtiene y almacena en la tabla de información de identidad del dispositivo implica las siguientes acciones por parte del dispositivo:

• Obtener la información de identidad del dispositivo.

  Según el origen de autenticación, el dispositivo utiliza uno de los dos métodos siguientes para obtener la información de identidad del dispositivo:

  • Active Directory: para Active Directory, el dispositivo puede extraer la información del dispositivo del registro de eventos del controlador de dominio y, a continuación, conectarse al servidor LDAP de Active Directory para obtener los nombres de los grupos a los que pertenece el dispositivo. El dispositivo utiliza la información que obtuvo del registro de eventos para localizar la información del dispositivo en el directorio LDAP.

  • Sistemas NAC de terceros: estos sistemas de autenticación utilizan el servicio POST de la API de servicios web RESTful, denominada API web. El dispositivo implementa la API y se expone a los sistemas de autenticación para permitirles enviar la información de identidad del dispositivo al firewall de la serie SRX.

    La API tiene una estructura XML formal y restricciones que el origen de autenticación debe cumplir para enviar esta información al dispositivo.

• Crear una entrada para el dispositivo en la tabla de autenticación de identidad del dispositivo.

  Después de que el firewall de la serie SRX obtiene la información de identidad del dispositivo, crea una entrada para él en la tabla de autenticación de identidad del dispositivo. La tabla de autenticación de identificación de dispositivo es independiente de la tabla de autenticación de Active Directory o de cualquiera de las otras tablas de autenticación local usadas para orígenes de autenticación de terceros. Además, a diferencia de las tablas de autenticación de usuario local que son específicas de una fuente o característica de autenticación, la tabla de autenticación de identidad de dispositivo contiene información de identidad de dispositivo para todas las fuentes de autenticación. Sin embargo, solo un origen de autenticación, como Active Directory, puede estar activo a la vez. El firewall de la serie SRX permite usar solo la fuente de autenticación a la vez para restringir la demanda del sistema para procesar información.

La característica de autenticación de identidad de dispositivo admite varios tipos de sistemas de autenticación, como Active Directory o un origen de autenticación de terceros. Es decir, la característica de autenticación de identidad de dispositivo proporciona una solución genérica que almacena la información de identidad del dispositivo en la misma tabla, independientemente del origen de autenticación.

A partir de Junos OS versión 17.4R1, la serie SRX admite direcciones IPv6 para la autenticación de firewall de usuario (UserFW). La tabla de identidad de dispositivo puede incluir entradas con direcciones IPv6 cuando Active Directory es el origen de autenticación.

La figura 1 muestra la comunicación entre la serie SRX y un origen de autenticación NAC de terceros que se usa para la autenticación de identidad del dispositivo. El firewall de la serie SRX recibe la información de identidad del dispositivo del sistema NAC y la almacena en su tabla de autenticación de identidad de dispositivo local. Una política de seguridad que especifica un perfil de identidad de dispositivo es aplicable a uno o más dispositivos. Si un dispositivo coincide con el perfil de identidad del dispositivo y otras partes de la política de seguridad, la política de seguridad se aplica al tráfico que se emite desde ese dispositivo.

Figura 1: Uso de un sistema de control de acceso a la red (NAC) de terceros para la autenticación de identidad de dispositivos

El uso de un perfil de identidad de dispositivo en una política de seguridad es opcional.

Si no se especifica ningún perfil de identidad de dispositivo en el campo origen-usuario-usuario-perfil de la política de seguridad, se asume "cualquiera" perfil. Sin embargo, no puede usar la palabra clave "any" en el campo fuente-usuario-perfil-usuario de una política de seguridad. Es una palabra clave reservada.

La identidad del dispositivo consiste esencialmente en la dirección IP del dispositivo, su nombre, su dominio y los grupos a los que pertenece el dispositivo.

Por ejemplo, el siguiente resultado muestra información sobre el dispositivo, a la que se hace referencia desde el perfil de identidad del dispositivo.

En este ejemplo se muestra que la tabla de autenticación de identidad de dispositivo contiene entradas para dos dispositivos. Para cada entrada, muestra la dirección IP del dispositivo, el nombre asignado al dispositivo y los grupos a los que pertenece el dispositivo. Tenga en cuenta que ambos dispositivos pertenecen al grupo grp4.

El perfil de identidad de dispositivo es una colección de atributos que son características de un grupo específico de dispositivos, o de un dispositivo específico, según los atributos configurados en el perfil. El motor de reenvío de paquetes del dispositivo asigna la dirección IP de un dispositivo al perfil de identidad del dispositivo.

Un perfil de identidad de dispositivo especifica el nombre del dispositivo y la información que incluye la dirección IP del dispositivo, los grupos a los que pertenece el dispositivo y los atributos del dispositivo que se denominan colectivamente atributos de host.

Cuando el tráfico de un dispositivo llega al firewall de la serie SRX o al dispositivo de la serie NFX, el dispositivo obtiene la dirección IP del dispositivo del primer paquete del tráfico y la utiliza para buscar en la tabla de autenticación de identidad del dispositivo una entrada de identidad de dispositivo coincidente. A continuación, hace coincidir ese perfil de identidad de dispositivo con una política de seguridad cuyo source-end-user-profile campo especifica el nombre del perfil de identidad del dispositivo. Si se encuentra una coincidencia, la política de seguridad se aplica al tráfico que se emite desde el dispositivo.

El mismo perfil de identidad de dispositivo también se puede aplicar a otros dispositivos que comparten los mismos atributos. Sin embargo, para que se aplique la misma política de seguridad, el dispositivo y su tráfico deben coincidir con todos los demás campos de la política de seguridad.

Un perfil de identidad de dispositivo debe contener el nombre de dominio. Puede contener más de un conjunto de atributos, pero debe contener al menos uno. Considere los siguientes dos conjuntos de atributos que pertenecen al perfil llamado marketing-main-alice.

El perfil contiene el siguiente conjunto de atributos:

• alice-T430, como nombre del dispositivo.

• MARKETING y WEST-COAST, como los grupos a los que pertenece el dispositivo.

• example.net como el nombre del dominio al que pertenece.

El perfil también los siguientes atributos que caracterizan al dispositivo:

• portátil, como la categoría del dispositivo (device-category)

• Lenovo, como proveedor de dispositivos (device-vendor)

• ThinkPad T430, como el tipo de dispositivo (tipo de dispositivo)

En casos como el perfil marketing-main-alice que incluye el nombre dado al dispositivo, el perfil se aplica exclusivamente a ese dispositivo.

Sin embargo, ahora supongamos que se configuró otro perfil llamado marketing-west-coast-T430 y que contiene los mismos atributos que el perfil marketing-main-alice con una excepción: el nombre dado al dispositivo en el perfil marketing-main-alice no se incluyó como atributo en el perfil marketing-west-coast-T430. En este caso, los atributos contenidos en el perfil ahora forman un perfil de grupo. La aplicación del perfil se amplía para incluir todos los dispositivos Lenovo ThinkPad T430 (que son portátiles) que se ajustan al resto de características, o atributos, definidos en el perfil.

Los dispositivos están cubiertos por el perfil si todos los demás atributos coinciden: dispositivos que pertenecen a los grupos MARKETING o WEST-COAST, que el perfil marketing-west-coast-T430 especifica como sus grupos, o a ambos grupos, coinciden con el perfil.

Como se mencionó anteriormente, un perfil de identidad de dispositivo puede contener más de un grupo. Un dispositivo también puede pertenecer a más de un grupo.

Para ilustrar aún más, tenga en cuenta que el perfil de identidad del dispositivo de grupo llamado marketing-west-coast-T430 también se aplica al dispositivo llamado alice-T430 porque ese dispositivo pertenece a los grupos MARKETING y WEST-COAST y coincide con todos los demás atributos definidos en el perfil. Por supuesto, el perfil de identidad del dispositivo marketing-main-alice todavía se aplica al dispositivo llamado alice-T430. Por lo tanto, el dispositivo llamado alice-T430 pertenece al menos a dos grupos y está cubierto por al menos dos perfiles de identidad de dispositivo.

Supongamos que se definió otro perfil llamado marketing-human-resources con todos los atributos del perfil de identidad del dispositivo marketing-west-coast-T430 pero con estas diferencias: el nuevo perfil de identidad del dispositivo incluye un grupo llamado HUMAN-RESOURCES y no incluye el grupo llamado WEST-COAST. Sin embargo, contiene el grupo MARKETING.

Dado que el dispositivo llamado alice-T430 pertenece al grupo MARKETING, que permanece como un grupo en el perfil de recursos humanos de marketing, el dispositivo alice-T430 también coincide con el perfil de identidad del dispositivo de recursos humanos de marketing. Ahora el dispositivo alice-T430 coincide con tres perfiles. Si los nombres de cualquiera de estos perfiles se especifican en el perfil de usuario final de origen de una política de seguridad y el dispositivo alice-T430 coincide con todos los demás campos del perfil de seguridad, la acción de ese perfil se aplica al tráfico desde ese dispositivo.

Los ejemplos anteriores de perfiles de identidad de dispositivo ilustran los siguientes puntos:

• Se puede definir un perfil para identificar solo un dispositivo o se puede definir para que se aplique a muchos dispositivos.

• Un perfil de identidad de dispositivo puede contener más de un grupo al que pertenece un dispositivo determinado.

• Un dispositivo puede coincidir con más de un perfil de identidad de dispositivo si coincide con las características o atributos, incluido al menos uno de los grupos, configurados para el perfil.

El uso flexible de los perfiles de identidad de dispositivo se hará evidente cuando configure directivas de seguridad diseñadas para incluir el campo origen-usuario-perfil-usuario, en particular cuando desee que la acción de la política se aplique a varios dispositivos.

El firewall de la serie SRX proporciona los atributos de política de identidad de dispositivo predefinidos que se configuran mediante la API de servicios web RESTful de terceros, que utilizan los sistemas NAC o LDAP de Active Directory.

• identidad del dispositivo

• categoría de dispositivo

• proveedor de dispositivos

• tipo de dispositivo

• sistema operativo del dispositivo

• device-os-version

Estos atributos se especifican valores en un perfil de identidad de dispositivo.

En esta sección se describe cómo los dispositivos de las series SRX y NFX tratan los atributos y perfiles de identidad de los dispositivos. También proporciona números de escala independientes y dependientes del dispositivo para estas entidades.

Las siguientes características de atributo y perfil se aplican a su uso en todos los dispositivos compatibles de las series SRX y NFX.

• La longitud máxima de las siguientes entidades es de 64 bytes: nombres de perfil de identidad de dispositivo (denominados en la CLI como end-user-profile) nombres de atributo, valores de atributo.

• No puede superponer valores en un rango si configura más de un rango de valores digitales para el mismo atributo.

• Cuando el dispositivo hace coincidir un perfil de identidad de dispositivo con una política de seguridad, se tienen en cuenta todos los atributos del perfil. Así es como se tratan:

  • Si el perfil de identidad del dispositivo contiene varios valores para un atributo, los valores de ese atributo se tratan individualmente. Se dice que son ORed.

    Para que la política de seguridad se aplique al dispositivo, se deben cumplir las siguientes condiciones. El dispositivo debe coincidir:

    • Uno de los valores de cada atributo que tiene varios valores.

    • El resto de los valores de atributo especificados en el perfil de identidad del dispositivo.

    • Los valores del campo de política de seguridad.

  • Todos los atributos individuales que tienen un solo valor se tratan por separado y se consideran juntos como una colección de valores, es decir, se les aplica la operación AND. El dispositivo utiliza sus criterios estándar de coincidencia de políticas para controlar estos atributos.

En la Tabla 1 se muestran los valores de escala independientes de la plataforma utilizados en la función de autenticación de identidad del dispositivo.

La Tabla 2 muestra los valores de escala dependientes de la plataforma utilizados en la función de autenticación de identidad del dispositivo.

Los siguientes cambios en los perfiles de identidad del dispositivo y su uso en las políticas de seguridad no hacen que el dispositivo realice un análisis de sesión:

• Actualizaciones de un perfil al que se hace referencia en una política de seguridad.

• Actualizaciones de la configuración del perfil.

• Actualizaciones de atributos que se realizan a través de la API de servicios web RESTful, que utilizan los sistemas NAC, o LDAP de Active Directory.

A diferencia de otras tablas de autenticación local, la tabla de autenticación de identidad del dispositivo no contiene información sobre un usuario, sino sobre el dispositivo del usuario. Además, a diferencia de las tablas de autenticación de usuarios, no contiene información sobre los dispositivos autenticados por una fuente de autenticación. Más bien, sirve como un repositorio de información de identidad del dispositivo para todos los dispositivos, independientemente de su origen de autenticación. Por ejemplo, puede contener entradas para dispositivos autenticados por Active Directory u orígenes de autenticación NAC de terceros.

Una entrada de tabla de autenticación de identidad de dispositivo contiene las siguientes partes:

• La dirección IP del dispositivo.

• Nombre del dominio al que pertenece el dispositivo.

• Los grupos a los que está asociado el dispositivo.

• La identidad del dispositivo.

  La identidad del dispositivo es, en realidad, la de un perfil de identidad de dispositivo (denominado en la CLI como end-user-profile). Este tipo de perfil contiene un grupo de atributos que caracterizan a un dispositivo individual específico o a un grupo específico de dispositivos, por ejemplo, un tipo específico de computadora portátil.

A partir de Junos OS 17.4R1, el firewall de la serie SRX admite direcciones IPv6 para la autenticación del módulo de firewall de usuario (UserFW). Esta característica permite que el tráfico IPv6 coincida con cualquier política de seguridad configurada para la identidad de origen. Anteriormente, si se configuraba una política de seguridad para la identidad de origen y se especificaba "cualquiera" para su dirección IP, el módulo UserFW ignoraba el tráfico IPv6.

Las direcciones IPv6 son compatibles con los siguientes orígenes de autenticación:

• Tabla de autenticación de Active Directory

• Identidad del dispositivo con autenticación de Active Directory

• Tabla de autenticación local

• Tabla de autenticación de firewall

Las entradas de identidad de dispositivo de la tabla de autenticación de identidad de dispositivo cambian cuando se producen determinados eventos: cuando expira la entrada de autenticación de usuario a la que está asociada la entrada de identidad de dispositivo, cuando se producen cambios en la política de seguridad con respecto a hacer referencia a un grupo al que pertenece el dispositivo, cuando el dispositivo se agrega o se elimina de grupos, o cuando se eliminan los grupos a los que pertenece y ese cambio se realiza en el servidor LDAP de Windows Active Directory.

• Cuando expira la entrada de identidad de usuario a la que está asociada una entrada de identidad de dispositivo

  Cuando el dispositivo genera una entrada para un dispositivo en la tabla de autenticación de identidad de dispositivo, asocia esa entrada con una entrada de identidad de usuario en una tabla de autenticación local para el origen de autenticación específico que autenticó al usuario del dispositivo, como Active Directory. Es decir, vincula la entrada de identidad del dispositivo en la tabla de autenticación de identidad del dispositivo a la entrada para el usuario del dispositivo en la tabla de autenticación de usuario.

  Cuando la entrada de autenticación de usuario con la que está asociada la entrada de identidad de dispositivo caduca y se elimina de la tabla de autenticación de usuario, la entrada de identidad de dispositivo se elimina silenciosamente de la tabla de autenticación de identidad de dispositivo. Es decir, no se emite ningún mensaje para informarle de este evento.

• Cuando se producen cambios en la política de seguridad con respecto a hacer referencia a un grupo al que pertenece el dispositivo

  Para controlar el acceso a los recursos de red en función de la identidad del dispositivo, cree un perfil de identidad de dispositivo al que puede hacer referencia en una directiva de seguridad. Además de otros atributos, un perfil de identidad de dispositivo contiene los nombres de grupos. Cuando una política de seguridad hace referencia a un perfil de identidad de dispositivo, los grupos que contiene se denominan grupos interesados.

  Un grupo cumple los requisitos para ser considerado grupo interesado si una política de seguridad hace referencia a él, es decir, si está incluido en un perfil de identidad de dispositivo especificado en el source-end-user-deviccampo e de una política de seguridad. Si se incluye un grupo en un perfil de identidad de dispositivo que no se usa actualmente en una política de seguridad, no se incluye en la lista de grupos interesados. Un grupo puede entrar y salir de la lista de grupos a los que hacen referencia las políticas de seguridad.

• Cuando se agrega o quita un dispositivo de un grupo o se elimina un grupo

  Para mantener actualizadas las entradas de identidad del dispositivo en la tabla de autenticación de identidad de dispositivo local, las series SRX o NFX supervisan el registro de eventos de Active Directory en busca de cambios. Además de determinar si un dispositivo ha cerrado sesión en la red, puede determinar los cambios en cualquier grupo al que pertenezca el dispositivo. Cuando se producen cambios en los grupos a los que pertenece un dispositivo, es decir, cuando se agrega o quita un dispositivo de un grupo o se elimina el grupo, el dispositivo modifica el contenido de las entradas del dispositivo afectado en su propia tabla de autenticación de identidad de dispositivo para reflejar los cambios realizados en el servidor LDAP de Microsoft Windows Active Directory.

La tabla de autenticación de identidad del dispositivo se actualiza en función de los cambios realizados en los grupos con los que el dispositivo está asociado en el servidor LDAP, como se ilustra en la tabla 3.

El demonio UserID del dispositivo serie SRX o NFX Series es informado de los cambios. El hecho de que un grupo al que pertenece un dispositivo se especifique o no en una política de seguridad influye en la información que se almacena en las entradas de la tabla de autenticación de identidad del dispositivo afectado. La tabla 4 muestra la actividad que se produce cuando se agrega o elimina un grupo del LDAP de Active Directory.

En la tabla 5 se detalla el contenido de las entradas de autenticación de dispositivos para varios dispositivos afectados por la eliminación de un grupo.

El dispositivo sigue las reglas estándar para hacer coincidir el tráfico con las políticas de seguridad. El siguiente comportamiento se refiere al uso de un perfil de identidad de dispositivo en una directiva de seguridad para determinar una coincidencia:

• El uso de un perfil de identidad de dispositivo en una política de seguridad es opcional.

  • Si no se especifica ningún perfil de identidad de dispositivo en el campo origen-usuario-usuario-perfil any , se asume el perfil.

  • No puede utilizar la palabra clave any en el source-end-user-profile campo de una política de seguridad.

    Si usa el campo origen-usuario-usuario final en una política de seguridad, debe hacer referencia a un perfil específico. El dispositivo desde el que se emite el intento de acceso debe coincidir con los atributos del perfil.

• Solo se puede especificar un perfil de identidad de dispositivo en una única política de seguridad.

• Una revancha de la directiva de seguridad se desencadena cuando se cambia el source-end-user-profile valor del campo de la política de seguridad. No se activa ninguna revancha cuando se cambia el valor de un atributo de un perfil.

La API de servicios web RESTful permite enviar la información de identidad del dispositivo al dispositivo serie SRX o NFX en una estructura XML formal. Permite que su solución NAC se integre con el dispositivo y le envíe eficientemente la información del dispositivo. Debe cumplir con la estructura formal y las restricciones en el envío de información al dispositivo mediante la API.

Los siguientes requisitos garantizan que los datos enviados desde el servicio NAC no se vean comprometidos:

• La implementación de la API está restringida a procesar solo solicitudes HTTP/HTTPS POST. Cualquier otro tipo de solicitud que reciba genera un mensaje de error.

• El demonio de API analiza y procesa las solicitudes HTTP/HTTPS solo desde la siguiente URL dedicada:

• El contenido HTTP/HTTPS que su solución NAC publica en el firewall de la serie SRX debe tener el formato correcto de manera coherente. El formato XML correcto indica una falta de compromiso y garantiza que la información de identidad del usuario no se pierda.

Las siguientes restricciones y limitaciones de tamaño de datos se aplican a los datos publicados en el dispositivo de las series SRX o NFX:

• El sistema de autenticación NAC debe controlar el tamaño de los datos que publica. De lo contrario, el demonio de API web no podrá procesarlo. El demonio de API web puede procesar un máximo de 2 megabytes de datos.

• Las siguientes limitaciones se aplican a los datos XML para la información de rol y postura del dispositivo. El demonio de API web descarta los datos XML que se le envían y que superan estas cantidades (es decir, los datos de desbordamiento):

  • El dispositivo puede procesar un máximo de 209 roles.

  • El dispositivo solo admite un tipo de postura con seis posibles símbolos o valores de postura. La información de identidad de un usuario individual solo puede tener un token de postura.