統合ユーザーファイアウォールの設定
名前が示すように、統合ユーザーファイアウォールは、統合アクセス制御(UAC)とネットワークアクセス制御(NAC)の統合を必要とせずに、よりシンプルなユーザーファイアウォール機能を提供します。統合ユーザー ファイアウォールは、ライトウェイト ディレクトリ アクセス プロトコル (LDAP) を介してユーザー情報を収集し、ポリシーを適用することで、アクセスを許可または拒否します。
例:SRX シリーズでの統合ユーザー ファイアウォールの設定
この例では、Windows Active Directory ドメイン、LDAP ベース、キャプティブ ポータルに誘導される認証されていないユーザ、および送信元 ID に基づくセキュリティ ポリシーを設定することによって、統合ユーザ ファイアウォール機能を実装する方法を示します。キャプティブ ポータルのこの例のすべての設定は、トランスポート層セキュリティ(TLS)上にあります。
要件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
1つのSRXシリーズファイアウォール
SRXシリーズファイアウォールのJunos OSリリース12.1X47-D10以降
この機能を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
概要
統合ユーザーファイアウォール機能の一般的なシナリオでは、ドメインユーザーと非ドメインユーザーがSRXシリーズファイアウォールを介してインターネットにアクセスしたいと考えています。SRXシリーズファイアウォールは、ドメインに設定されているドメインコントローラーのイベントログを読み取って分析します。したがって、SRXシリーズファイアウォールは、Active Directoryドメインコントローラ上のドメインユーザーを検知します。Active Directory ドメインは、統合ユーザー ファイアウォールの Active Directory 認証ソースとして認証テーブルを生成します。SRXシリーズファイアウォールは、この情報を使用してポリシーを適用し、ユーザーベースまたはグループベースのアクセス制御を実現します。
非ドメインユーザーまたは非ドメインデバイス上のドメインユーザーの場合、ネットワーク管理者はキャプティブポータルを指定して、ユーザーにファイアウォール認証の送信を強制できます(SRXシリーズファイアウォールがトラフィックタイプのキャプティブポータルをサポートしている場合)。たとえば、HTTP)。ユーザーが名前とパスワードを入力してファイアウォール認証に合格すると、SRXシリーズファイアウォールはLDAPサーバーからファイアウォール認証ユーザーツーグループのマッピング情報を取得し、それに応じてユーザーに対するファイアウォールポリシー制御を適用できます。
Junos OS リリース 17.4R1 以降、アクティブディレクトリドメインコントローラでは、IPv4 アドレスに加えて IPv6 アドレスを使用できます。このサポートを示すために、この例では、ドメイン コントローラーのアドレスとして 2001:db8:0:1:2a0:a502:0:1da を使用します。
プライマリ グループは、既定の名前である Domain Users であろうと、その他の名前 (変更した場合) であろうと、統合ユーザー ファイアウォール構成では使用できません。
Active Directory (AD) で新しいユーザーが作成されると、そのユーザーはグローバル セキュリティ グループ プライマリ グループ (既定ではドメイン ユーザー) に追加されます。プライマリ グループは、すべてのユーザーが AD に属しているため、AD で作成された他のグループほど具体的ではありません。また、非常に大きくなる可能性があります。
構成
手順
CLIクイック構成
この例を素早く設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に合わせて必要な詳細を変更し、[edit]階層レベルのCLIにコマンドをコピー&ペーストし、設定モードから を入力してください commit 。
set services user-identification active-directory-access domain example.net user-group-mapping ldap base DC=example,DC=net user administrator password $ABC123 set services user-identification active-directory-access domain example.net user administrator password $ABC123 set services user-identification active-directory-access domain example.net domain-controller ad1 address 2001:db8:0:1:2a0:a502:0:1da set access profile profile1 authentication-order ldap set access profile profile1 authentication-order password set access profile profile1 ldap-options base-distinguished-name CN=Users,DC=example,DC=net set access profile profile1 ldap-options search search-filter sAMAccountName= set access profile profile1 ldap-options search admin-search distinguished-name CN=Administrator,CN=Users,DC=example,DC=net set access profile profile1 ldap-options search admin-search password $ABC123 set access profile profile1 ldap-server 192.0.2.3 set access profile profile1 ldap-server 192.0.2.3 tls-type start-tls set access profile profile1 ldap-server 192.0.2.3 tls-peer-name peername set access profile profile1 ldap-server 192.0.2.3 tls-timeout 3 set access profile profile1 ldap-server 192.0.2.3 tls-min-version v1.2 set access profile profile1 ldap-server 192.0.2.3 no-tls-certificate-check set security policies from-zone trust to-zone untrust policy p1 match source-address any set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application any set security policies from-zone trust to-zone untrust policy p1 match source-identity unauthenticated-user set security policies from-zone trust to-zone untrust policy p1 match source-identity unknown-user set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall access-profile profile1 set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall domain example.net set security policies from-zone trust to-zone untrust policy p2 match source-address any set security policies from-zone trust to-zone untrust policy p2 match destination-address any set security policies from-zone trust to-zone untrust policy p2 match application any set security policies from-zone trust to-zone untrust policy p2 match source-identity “example.net\user1” set security policies from-zone trust to-zone untrust policy p2 then permit set security user-identification authentication-source active-directory-authentication-table priority 125
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。
Windows Active Directory ドメインの確立、キャプティブ ポータルの設定、および別のセキュリティ ポリシーの設定を行うには、このセクションのステップを実行します。
設定が完了すると、トラフィックが到着すると、SRXシリーズファイアウォールがユーザーファイアウォールプロセスに相談し、ユーザーファイアウォールプロセスがActive Directory認証ソースに問い合わせて、ソースが認証テーブルにあるかどうかを判断します。ユーザーファイアウォールが認証エントリにヒットした場合、SRXシリーズファイアウォールはステップ4で設定されたポリシーをチェックして、さらなるアクションを実行します。ユーザファイアウォールが認証エントリにヒットしない場合、SRXシリーズファイアウォールはステップ3で設定されたポリシーをチェックして、ユーザにキャプティブポータルの実行を強制します。
LDAP ベース識別名を構成します。
[edit services user-identification] user@host# set active-directory-access domain example.net user-group-mapping ldap base DC=example,DC=net user administrator password $ABC123
ドメイン名、ドメインのユーザー名とパスワード、およびドメイン内のドメイン コントローラーの名前と IP アドレスを構成します。
[edit services user-identification] user@host# set active-directory-access domain example.net user administrator password $ABC123 user@host# set active-directory-access domain example.net domain-controller ad1 address 2001:db8:0:1:2a0:a502:0:1da
-
アクセスプロファイルを設定し、認証順序とLDAPオプションを設定します。
[edit access profile profile1] user@host# set authentication-order ldap user@host# set authentication-order password user@host# set ldap-options base-distinguished-name CN=Users,DC=example,DC=net user@host# set ldap-options search search-filter sAMAccountName= user@host# set ldap-options search admin-search distinguished-name CN=Administrator,CN=Users,DC=example,DC=net user@host# set ldap-options search admin-search password $ABC123 user@host# set ldap-server 192.0.2.3 user@host# set ldap-server 192.0.2.3 tls-type start-tls user@host# set ldap-server 192.0.2.3 tls-peer-name peername user@host# set ldap-server 192.0.2.3 tls-timeout 3 user@host# set ldap-server 192.0.2.3 tls-min-version v1.2 user@host# set ldap-server 192.0.2.3 no-tls-certificate-check
no-tls-certificate-checkオプションが設定されている場合、SRXシリーズファイアウォールはサーバーの証明書の検証を無視し、チェックせずに証明書を受け入れます。 ソースアイデンティティ「unauthenticated-user」と「unknown-user」のポリシーを設定し、ファイアウォール認証キャプティブポータルを有効にします。認証ソースが設定されていない場合、ソース ID を構成する必要があり、切断されます。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user user@host# set then permit firewall-authentication user-firewall access-profile profile1 user@host#set then permit firewall-authentication user-firewall domain example.net
特定のユーザーを有効にする 2 つ目のポリシーを構成します。
[edit security policies from-zone trust to-zone untrust policy p2] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity “example.net\user1” user@host# set then permit
ポリシーステートメントでソースアイデンティティを指定する場合は、ドメイン名とバックスラッシュをグループ名またはユーザー名の先頭に追加します。組み合わせを引用符で囲みます。
Active Directory 認証テーブルを統合ユーザー ファイアウォール情報取得の認証ソースとして設定し、ユーザー情報テーブルをチェックする順序を指定します。
[edit security] user@host#
set user-identification authentication-source active-directory-authentication-table priority 125Active Directory 認証テーブルを統合ユーザ ファイアウォール情報取得の認証ソースとして設定し、 コマンドを使用して
set security user-identification authentication-source active-directory-authentication-table priority valueユーザ情報テーブルをチェックする順序を指定する必要があります。このオプションのデフォルト値は 125 です。すべての認証ソースのデフォルトの優先度は次のとおりです。
ローカル認証: 100
統合ユーザー ファイアウォール: 125
ユーザーロールファイアウォール:150
統合アクセス コントロール(UAC):200
このフィールド
priorityは、アクティブディレクトリ認証テーブルのソースを指定します。値セットは、ユーザーロールを取得するために、サポートされているさまざまな認証テーブルの中から検索するためのシーケンスを決定します。これらは現在サポートされている唯一の値であることに注意してください。0 から 65,535 までの任意の値を入力できます。アクティブディレクトリ認証テーブルのデフォルトの優先度は125です。つまり、優先度の値を指定しなくても、Active Directory 認証テーブルは値 125 (統合ユーザー ファイアウォール) のシーケンスから検索されます。各認証テーブルには、固有の優先度値が割り当てられます。値が小さいほど、優先度が高くなります。たとえば、優先度 120 のテーブルは、優先度 200 のテーブルよりも先に検索されます。テーブルの優先度値を 0 に設定すると、テーブルが無効になり、検索シーケンスから優先度の値が削除されます。
詳細については、 アクティブディレクトリ認証テーブルについて を参照してください。
(オプション)ユーザーを認証するためのPKIおよびSSLフォワードプロキシの設定
手順
必要に応じて、ドメイン以外のユーザーについては、公開キー基盤 (PKI) を構成して、トラフィックの整合性、機密性、および信頼性を検証できます。PKI には、認証局 (CA) によって発行されたデジタル証明書、証明書の有効期間と有効期限、証明書の所有者と発行者に関する詳細、およびセキュリティ ポリシーが含まれます。
非ドメインユーザーまたは非ドメインマシン上のドメインユーザーの場合、管理者はキャプティブポータルを指定して、ユーザーにファイアウォール認証を強制します(SRXシリーズファイアウォールがトラフィックタイプのキャプティブポータルをサポートしている場合)。ユーザーが名前とパスワードを入力してファイアウォール認証に合格すると、SRXシリーズファイアウォールはファイアウォール認証ユーザー/グループ情報を取得し、それに応じてユーザーを制御するためのユーザーファイアウォールポリシーを適用できます。キャプティブポータルに加えて、IPアドレスまたはユーザー情報がイベントログから利用できない場合、ユーザーはWindows PCに再度ログインしてイベントログエントリを生成できます。その後、システムはそれに応じてユーザーの認証エントリを生成します。
SRXシリーズファイアウォールがHTTP経由でユーザーを認証できるようにするには、SSL転送プロキシを設定し、有効にする必要があります。ローカル証明書を生成し、SSL ターミネーションプロファイルを追加し、SSL プロキシープロファイルを追加し、セキュリティーポリシーで SSL プロキシープロファイルを参照する必要があります。SSLフォワードプロキシが有効になっていない場合、SRXシリーズファイアウォールはHTTPSを使用しているユーザーを認証できませんが、HTTP、FPT、およびTelnetを使用しているユーザーに対しては、期待どおりに認証を実行できます。
PKI を生成して SSL 転送プロキシを有効にするには、次の手順を実行します。
ローカル・デジタル証明書の PKI 公開鍵と秘密鍵のペアを生成します。
user@host# request security pki generate-key-pair certificate-id ssl-inspect-ca size 2048 type rsa
指定された識別名の自己署名証明書を手動で生成します。
user@host# request security pki local-certificate generate-self-signed certificate-id ssl-inspect-ca domain-name www.mycompany.net subject "CN=www.mycompany.com,OU=IT,O=MY COMPANY,L=Sunnyvale,ST=CA,C=US" email security-admin@mycompany.net
SSL 終端サービスに使用するアクセス プロファイルを定義します。このオプションは、SRX5400、SRX5600、および SRX5800 デバイスでのみ使用できます。
user@host# set services ssl termination profile for_userfw server-certificate ssl-inspect-ca
読み込まれた証明書を SSL プロキシ プロファイルで root-ca として構成します。このオプションは、SRX5400、SRX5600、および SRX5800 デバイスでのみ使用できます。
user@host# set services ssl proxy profile ssl-inspect-profile root-ca ssl-inspect-ca
ignore-server-auth-failureCA リスト全体をインポートせず、セッションをドロップしたくない場合は、 オプションを指定します。このオプションは、SRX5400、SRX5600、および SRX5800 デバイスでのみ使用できます。user@host# set services ssl proxy profile ssl-inspect-profile actions ignore-server-auth-failure
セキュリティポリシーにSSLターミネーションプロファイルを追加します。このオプションは、SRX5400、SRX5600、および SRX5800 デバイスでのみ使用できます。
user@host# set security policies from-zone untrust to-zone trust policy p1 then permit firewall-authentication user-firewall ssl-termination-profile for_userfw
結果
設定モードから、 コマンドを入力して show services user-identification active-directory-access 統合ユーザファイアウォールの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show services user-identification active-directory-access
domain example.net {
user {
administrator;
password "$ABC123"; ## SECRET-DATA
}
domain-controller ad1 {
address 2001:db8:0:1:2a0:a502:0:1da;
}
user-group-mapping {
ldap {
base DC=example,DC=net;
user {
administrator;
password "$ABC123"; ## SECRET-DATA
}
}
}
}
設定モードから、 コマンドを入力して show security policies ポリシー設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show security policies
from-zone trust to-zone untrust {
policy p1 {
match {
source-address any;
destination-address any;
application any;
source-identity [ unauthenticated-user unknown-user ];
}
then {
permit {
firewall-authentication {
user-firewall {
access-profile profile1;
domain example.net;
}
}
}
}
}
policy p2 {
match {
source-address any;
destination-address any;
application any;
source-identity “example.net\user1”;
}
then {
permit;
}
}
}
設定モードから、 コマンドを入力して show access profile profile1 アクセスプロファイルの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show access profile profile1
authentication-order [ ldap password ];
ldap-options {
base-distinguished-name CN=Users,DC=example,DC=net;
search {
search-filter sAMAccountName=;
admin-search {
distinguished-name CN=Administrator,CN=Users,DC=example,DC=net;
password "$ABC123"; ## SECRET-DATA
}
}
}
ldap-server {
192.0.2.3 {
tls-type start-tls;
tls-timeout 3;
tls-min-version v1.2;
no-tls-certificate-check;
tls-peer-name peername;
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
検証
設定が正常に機能していることを確認します。
- ドメイン コントローラへの接続の確認
- LDAP サーバーの検証
- 認証テーブル エントリの検証
- IPからユーザーへのマッピングの検証
- IP プローブ カウントの検証
- ユーザーからグループへのマッピングクエリの検証
ドメイン コントローラへの接続の確認
目的
少なくとも 1 つのドメイン コントローラーが構成され、接続されていることを確認します。
アクション
動作モードから コマンド show services user-identification active-directory-access domain-controller status を入力します。
意味
ドメイン コントローラーが接続または切断されていることが表示されます。
LDAP サーバーの検証
目的
LDAP サーバーがユーザーからグループへのマッピング情報を提供していることを確認します。
アクション
動作モードから コマンド show services user-identification active-directory-access user-group-mapping status を入力します。
意味
LDAP サーバーのアドレス、ポート番号、および状況が表示されます。
認証テーブル エントリの検証
目的
ユーザーが属するグループと、ドメイン内のユーザー、グループ、および IP アドレスが表示されます。
アクション
動作モードから コマンド show services user-identification active-directory-access active-directory-authentication-table all を入力します。
意味
ドメインごとに、IP アドレス、ユーザー名、およびグループが表示されます。
IPからユーザーへのマッピングの検証
目的
イベント ログがスキャンされていることを確認します。
アクション
動作モードから コマンド show services user-identification active-directory-access statistics ip-user-mapping を入力します。
意味
クエリと失敗したクエリの数が表示されます。
IP プローブ カウントの検証
目的
IP プローブが発生していることを確認します。
アクション
動作モードから コマンド show services user-identification active-directory-access statistics ip-user-probe を入力します。
意味
IP プローブと失敗した IP プローブの数が表示されます。
NFX デバイスでの統合ユーザー ファイアウォールの設定
統合ユーザー ファイアウォール機能の一般的なシナリオでは、ドメイン ユーザーは NFX デバイスを介してインターネットにアクセスしたいと考えています。デバイスは、ドメインに設定されているドメイン コントローラーのイベント ログを読み取って分析します。したがって、デバイスは Active Directory ドメイン コントローラー上のドメイン ユーザーを検出します。Active Directory ドメインは、統合ユーザー ファイアウォールの Active Directory 認証ソースとして認証テーブルを生成します。デバイスはこの情報を使用してポリシーを適用し、ユーザーベースまたはグループベースのアクセス制御を実現します。
Active Directory (AD) で新しいユーザーが作成されると、そのユーザーはグローバル セキュリティ グループ プライマリ グループ (既定ではドメイン ユーザー) に追加されます。プライマリ グループは、すべてのユーザーが AD に属しているため、AD で作成された他のグループほど具体的ではありません。また、非常に大きくなる可能性があります。
プライマリ グループは、既定の名前である Domain Users であろうと、その他の名前 (変更した場合) であろうと、統合ユーザー ファイアウォール構成では使用できません。
Windows Active Directory ドメインを確立し、別のセキュリティ ポリシーを構成するには、次の手順を実行します。
設定が正しく機能していることを確認するには、次の手順に従います。
コマンドを入力して show services user-identification active-directory-access domain-controller status 、少なくとも 1 つのドメイン コントローラーが構成され、接続されていることを確認します。
コマンドを入力して show services user-identification active-directory-access user-group-mapping status 、LDAP サーバーがユーザーからグループへのマッピング情報を提供していることを確認します。
コマンドを入力して、認証テーブルのエントリーを検証します show services user-identification active-directory-access active-directory-authentication-table all 。ドメインごとに、IP アドレス、ユーザー名、およびグループが表示されます。
コマンドを入力して show services user-identification active-directory-access statistics ip-user-mapping 、IPからユーザーへのマッピングを検証します。クエリと失敗したクエリの数が表示されます。
コマンドを入力して show services user-identification active-directory-access statistics ip-user-probe 、IP プローブが発生していることを確認します。
コマンドを入力して show services user-identification active-directory-access statistics user-group-mapping 、ユーザーからグループへのマッピングが照会されていることを確認します。
関連項目
例:認証されていないユーザーや不明なユーザーに対して Web リダイレクトを使用するための SRX シリーズファイアウォール上の統合ユーザーファイアウォールの設定
この例では、認証されていないユーザーと不明なユーザーに対して Web リダイレクトを使用して、http 経由で認証ページにリダイレクトする方法を示します。
要件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
1つのSRXシリーズファイアウォール
SRXシリーズファイアウォールのJunos OSリリース15.1X49-D70以降
この機能を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
概要
fwauthアクセスプロファイルは、パススルートラフィックのリクエストを web-redirect HTTP webauth(JWEB httpdサーバー内)にリダイレクトします。認証が成功すると、fwauthはユーザーファイアウォールのファイアウォール認証を作成します。
構成
CLIクイック構成
この例を迅速に設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから を入力します commit 。
set system services web-management http set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication http set security policies from-zone trust to-zone untrust policy p1 match source-address any set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application any set security policies from-zone trust to-zone untrust policy p1 match source-identity unauthenticated-user set security policies from-zone trust to-zone untrust policy p1 match source-identity unknown-user set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall access-profile profile1 web-redirect set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall domain ad03.net
手順
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 設定モードでのCLIエディターの使用を参照してください。
HTTP ベースのリソースへのアクセスを要求する認証されていないユーザーに対して Web リダイレクトを使用するように統合ユーザーファイアウォールを構成するには:
HTTP トラフィックの Web 管理サポートを有効にします。
[edit system services] user@host# set system services web-management http
インターフェイスを設定し、IPアドレスを割り当てます。ge-0/0/1インターフェイスでWeb認証を有効にします。
[edit interfaces] user@host# set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication http
認証されていないユーザーまたは不明なユーザーをソース ID として指定するセキュリティ ポリシーを構成します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user
Junos OS 17.4R1以降では、送信元アドレスを設定する際に、IPv4アドレスに加えてIPv6アドレスを割り当てることができます。IPv6送信元アドレスを設定するには、[セキュリティポリシーの編集元ゾーンの信頼からゾーンの信頼解除ポリシーポリシー名一致ソースアドレス]階層レベルで を発行
anyまたはany-IPv6コマンドします。アクション として を使用してユーザー ファイアウォールのファイアウォール
web-redirect認証を許可するセキュリティ ポリシーを構成し、ユーザーに対して事前に構成されたアクセス プロファイルを指定します。[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall access-profile profile1 web-redirect
ドメイン名を指定するセキュリティポリシーを設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall domain ad03.net
結果
設定モードから、 コマンドを入力して show system services 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show system services
web-management {
http {
port 123;
}
}
設定モードから、 コマンドを入力して show interfaces 、統合されたユーザファイアウォールの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 192.0.2.0/24 {
web-authentication http;
}
}
}
}
設定モードから、 コマンドを入力して show security policies 、統合されたユーザファイアウォールの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show security policies
from-zone trust to-zone untrust {
policy p1 {
match {
source-address any;
destination-address any;
application any;
source-identity unauthenticated-user;
source-identity unknown-user;
}
then {
permit {
firewall-authentication {
user-firewall {
access-profile profile1;
web-redirect;
domain ad03.net;
}
}
}
}
}
}
設定モードから、 コマンドを入力して show security policies ポリシー設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
デバイスの設定が完了したら、設定モードから を入力します commit 。
検証
設定を確認します。
目的
構成が正しいことを確認します。
アクション
動作モードから コマンド show security policies を入力します。
サンプル出力
user@host> show security policies
Default policy: permit-all
From zone: PCzone, To zone: Tunnelzone
Policy: p1, State: enabled, Index: 4, Scope Policy: 0, Sequence number: 1
Source addresses: any
Destination addresses: any
Applications: junos-ftp, junos-tftp, junos-dns-tcp, junos-dns-udp
Action: permit
意味
アクションとしてWebリダイレクトを使用したユーザーファイアウォールのファイアウォール認証を許可するセキュリティポリシーを表示します。
例:SRXシリーズファイアウォール上の統合ユーザーファイアウォールを構成して、Web-Redirect-to-HTTPSを使用して認証されていないユーザーおよび不明なユーザーを認証する
この例では、認証されていない不明なユーザーがHTTPSサイトにアクセスしようとする場合、httpsへのweb-redirect-to-httpsを使用して、SRXシリーズファイアウォールの内部Web認証サーバーを介して認証できるようにする方法を示しています。
また、web-redirect-https を使用して、HTTP サイトにアクセスしようとするユーザーを認証することもできますが、この例では示されていません。
要件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
1つのSRXシリーズファイアウォール
SRXシリーズファイアウォールのJunos OSリリース15.1X49-D70以降
概要
web-redirect-https機能を使用すると、ユーザーのブラウザーをSRXシリーズサービスゲートウェイの内部HTTPS Web認証サーバーにリダイレクトして認証することにより、HTTPまたはHTTPSリソースへのアクセスを試みる未知のユーザーや認証されていないユーザーを安全に認証できます。つまり、Web認証サーバーはクライアントシステムにHTTPS応答を送信し、ブラウザをリダイレクトしてユーザー認証のためにWebauthサーバーに接続します。クライアントの要求が到着するインターフェイスは、リダイレクト応答が送信されるインターフェイスです。 この場合、HTTPSは、ユーザーのトラフィックではなく、認証プロセスを保護します。
ユーザーが認証されると、認証が成功したことをユーザーに通知するメッセージが表示されます。ブラウザーはリダイレクトされ、HTTP サイトか HTTPS サイトかにかかわらず、ユーザーの元のリンク先 URL を起動するようにリダイレクトされ、ユーザーはその URL を再入力する必要はありません。次のメッセージが表示されます。
Redirecting to the original url, please wait.
ユーザーのターゲットリソースが HTTPS URL である場合、このプロセスを成功させるには、該当するセキュリティポリシーで参照される SSL 終了プロファイルが構成に含まれている必要があります。ターゲットが HTTP URL の場合、SSL 終了プロファイルは必要ありません。
この機能を使用すると、より豊かなユーザー ログイン エクスペリエンスが可能になります。たとえば、ユーザーにユーザー名とパスワードの入力を求めるポップアップ プロンプトの代わりに、ブラウザーにログイン ページが表示されます。web-redirect-https を使用すると、ユーザーがクライアント ブラウザーで Web 認証の IP アドレスを入力したのと同じ効果があります。その意味で、Web-redirect-httpsはシームレスな認証エクスペリエンスを提供します。ユーザーは、Web 認証ソースの IP アドレスを知る必要はなく、アクセスしようとしているリソースの IP アドレスだけを知ることができます。
統合ユーザー ファイアウォールの場合、セキュリティ ポリシー構成ステートメントには source-identity タプルが含まれており、セキュリティ ポリシーを適用するユーザーのカテゴリー(この場合は認証されていないユーザーや不明なユーザー)を指定できます。送信元アドレス タプルの値として "any" を指定すると、送信元アイデンティティ タプル値が一致を制御できます。
セキュリティ上の理由から、認証には、サポートされている Web リダイレクトではなく、web-redirect-https を使用することをお勧めします。Web リダイレクト認証機能は、認証プロセスに HTTP を使用しますが、この場合、認証情報はプレーンテキストで送信されるため、読み取り可能です。
この例では、ユーザーが https://mymailsite.com などの HTTPS リソースにアクセスしようとしていることを前提としています。
構成
手順
CLIクイック構成
この例を迅速に設定するには、以下のコマンドをテキストファイルにコピーし、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから を入力します commit 。
set system services web-management https pki-local-certificate my-test-cert set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication https set security policies from-zone trust to-zone untrust policy p1 match source-address any set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application any set security policies from-zone trust to-zone untrust policy p1 match source-identity unauthenticated-user set security policies from-zone trust to-zone untrust policy p1 match source-identity unknown-user set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall domain mydomain.net set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall access-profile profile1 web-redirect-to-https set security policies from-zone trust to-zone untrust policy p1 then permit firewall-authentication user-firewall ssl-termination-profile my-ssl-profile set services ssl termination profile my-ssl-profile server-certificate my-test-cert set access profile profile1 ldap-server 198.51.100.0/24 tls-type start-tls set access profile profile1 ldap-server 198.51.100.0/24 tls-peer-name peer1 set access profile profile1 ldap-server 198.51.100.0/24 tls-timeout 3 set access profile profile1 ldap-server 198.51.100.0/24 tls-min-version v1.1
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 設定モードでのCLIエディターの使用を参照してください。
HTTPS ベースのリソースへのアクセスを要求する認証されていないユーザーまたは不明なユーザーに対して web-redirect-to-https を設定するには、次のステートメントを入力します。
HTTPS トラフィックの Web 管理サポートを有効にします。
[edit system services] user@host# set system services web-management https pki-local-certificate my-test-cert
この例は HTTPS ユーザー トラフィックに適用されますが、トラフィックが HTTP URL サイトへの認証済みユーザーに対しても web-redirect-to-https 認証をサポートしていることに注意してください (その特定のシナリオはここでは示されていません)。その場合、SSL ターミネーション プロファイルは必要ありません。
インターフェイスを設定し、IPアドレスを割り当てます。ge-0/0/1インターフェイスでWeb認証を有効にします。
[edit interfaces] user@host# set interfaces ge-0/0/1 unit 0 family inet address 192.0.2.0/24 web-authentication https
source-identity タプル値として unauthenticate-user と unknown-user を指定するセキュリティ ポリシーを設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any user@host# set match source-identity unauthenticated-user user@host# set match source-identity unknown-user
Junos OS 17.4R1以降では、送信元アドレスを設定する際に、IPv4アドレスに加えてIPv6アドレスを割り当てることができます。IPv6送信元アドレスを設定するには、[セキュリティポリシーの編集元ゾーンの信頼からゾーンの信頼解除ポリシーポリシー名一致送信元アドレス]階層レベルで または
anyコマンドを発行しますany-IPv6。アクション として を使用したユーザー ファイアウォールのファイアウォール
web-redirect-to-https認証を許可するセキュリティ ポリシーを構成し、ユーザーに対して事前に構成されたアクセス プロファイルを指定します。[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall access-profile profile1 web-redirect-to-https
セキュリティポリシーのドメイン名を設定します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall domain mydomain.net
使用する SSL ターミネーションプロファイルを参照するようにセキュリティポリシーを設定します。
実装に必要なサービスを提供する適切な SSL 終了プロファイルが既存にある場合は、それを使用できます。それ以外の場合は、手順 7 に従って作成します。
[edit security policies from-zone trust to-zone untrust policy p1] user@host# set then permit firewall-authentication user-firewall ssl-termination-profile my-ssl-profile
SSL終端サービスに使用するプロファイルを指定します。
[edit services] user@host# set ssl termination profile my-ssl-profile server-certificate my-cert-type
TLS タイプを定義して、StartTLS 経由で LDAP を構成します。
[edit access] user@host# set profile profile1 ldap-server 198.51.100.0/24 tls-type start-tls
認証するピア ホスト名を設定します。
[edit access] user@host# set access profile profile1 ldap-server 198.51.100.0/24 tls-peer-name peer1
TLS ハンドシェークのタイムアウト値を指定します。3 秒から 90 秒まで入力できます。
[edit access] user@host# set access profile profile1 ldap-server 198.51.100.0/24 tls-timeout 3
接続で有効になっている最小プロトコル バージョンとして TLS バージョン (v1.1 と v1.2 がサポートされています) を指定します。
[edit ] user@host# set access profile profile1 ldap-server 198.51.100.0/24 tls-min-version v1.1
結果
設定モードから、 コマンドを入力して show system services 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show system services
web-management {
https {
pki-local-certificate my-test-cert;
}
設定モードから、 コマンドを入力して show services ssl 、統合されたユーザファイアウォールの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show services ssl
termination {
profile my-ssl-profile {
server-certificate my-cert-type;
}
}
設定モードから、 コマンドを入力して show interfaces 、統合されたユーザファイアウォールの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 192.0.2.0/24 {
web-authentication {
https;
}
}
}
}
設定モードから、 コマンドを入力して show security policies 、統合されたユーザファイアウォールの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show security policies
from-zone trust to-zone untrust {
policy p1 {
match {
source-address any;
destination-address any;
application any;
source-identity unauthenticated-user;
source-identity unknown-user;
}
then {
permit {
firewall-authentication {
user-firewall {
access-profile profile1;
web-redirect-to-https;
domain mydomain.net;
ssl-termination-profile my-ssl-profile;
}
}
}
}
}
設定モードから、 コマンドを入力して show access profile profile1 アクセスプロファイルの設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
user@host# show access profile profile1
ldap-server {
198.51.100.0/24 {
tls-type start-tls;
tls-timeout 3;
tls-min-version v1.1;
tls-peer-name peer1;
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。