Аутентификация на веб-прокси¶
Traffic Inspector Next Generation поддерживает ряд методов аутентификации пользователей на веб-прокси:
Аутентификация по локальной базе пользователей
Аутентификация через LDAP в службе каталогов
Аутентификация через NTLM в службе каталогов Microsoft AD
Аутентификация через Kerberos в службе каталогов Microsoft AD
Аутентификация через RADIUS
Аутентификация по ваучерам / картам
Смешанная аутентификация (базовый метод аутентификации + привязка к IP/MAC-адресам)
Двухфакторная аутентификация по локальной базе пользователей
Метод Локальная база использует базу пользователей, хранящуюся на самом устройстве Traffic Inspector Next Generation.
Для LDAP поддерживаются службы каталогов:
Mictosoft AD
Novell eDirectory
OpenLDAP
Примечание
Для NTLM и Kerberos поддерживается только Mictosoft AD.
NTLM и Kerberos обеспечивают Single Sign On.
Примечание
SSO-аутентификация избавляет доменного пользователя от повторных запросов на прохождение аутентификации. Пользователь вводит доменный логин / пароль всего один раз - при логоне в операционную систему. При последующем обращении в Интернет через прокси Traffic Inspector Next Generation, аутентификация происходит прозрачно и автоматически.
Дополнительно, в Traffic Inspector реализован функционал смешанной аутентификации. Смысл смешанной аутентификации заключается в том, что в настройках Traffic Inspector Next Generation аккаунт пользователя привязывается к определенному IP-адресу или MAC-адресу. Пользователю нужно авторизоваться не только с правильным логином / паролем, но и с разрешенного IP/MAC-адреса.
Двухфакторная аутентификация - расширенная аутентификация, в рамках которой пользователь вводит не только свой постоянный пароль от локальной учетной записи, но и ограниченный по сроку действия одноразовый пароль (Time-based One-Time Password).
Двухфакторная аутентификация позволяет надежнее защитить доступ к ресурсу, чем традиционная аутентификация.
Примечание
Ни один из методов аутентификации недоступен, если настраивается режим прозрачного HTTP-прокси и/или режим перехвата SSL.
Аутентификация по локальной базе пользователей¶
Локальная база пользователей хранится на самом устройстве TING.
Метод Локальная база требует наполнения локальной базы пользователей. Поддерживаются учетные записи пользователей и группы пользователей.
Группа служит для логической группировки нескольких пользователей. Права пользователя наследуются от группы, поэтому группы – это способ упростить управления набором пользователей.
Создадим группу пользователей proxyusers и разрешим пользователям в этой группе работать с веб-прокси Traffic Inspector Next Generation.
Создание группы в локальной базе
Для создания группы пользователей пройдите в раздел Система -> Доступ –> Группы и нажмите на иконку +.
На открывшейся странице, укажите название группы и произвольный комментарий.
Нажмите кнопку Сохранить.
Назначение прав на локальную группу
Кликните на иконку Карандаш напротив ранее созданной группы.
Назначьте группе proxyusers права для работы с веб-прокси:
Нажмите Сохранить.
Создание пользователя в локальной базе
Для создания пользователей пройдите в раздел Система -> Доступ –> Пользователи и нажмите на иконку +.
На открывшейся странице, задайте имя пользователя, пароль и членство в ранее созданной группе proxyusers. Остальные настройки можно оставить как есть.
Включение аутентификации по локальной базе в веб-прокси
Пройдите в Службы -> Веб-прокси -> Администрирование, вкладка Forward Proxy, пункт меню Authentication Settings. В поле Метод аутентификации должен быть выбран метод Локальная база.
После осуществления данных настроек локальный пользователь user, имеющий членство в локальной группе proxyusers, может аутентифицироваться на веб-прокси и получить доступ к сети Интернет.
Смешанная аутентификация¶
Функионал привязки по IP/MAC-адресу позволяет реализовать смешанную аутентификацию, когда пользователь должен использовать логин / пароль с определенного IP-адреса, MAC-адреса, или сочетания IP-адреса и MAC-адреса.
Функионал привязки по IP/MAC-адресу является универсальным и работает с любым типом аутентификации, включенным в настройках веб-прокси.
Осуществим привязку пользователя user к IP-адресу 192.168.1.10 и MAC-адресу 68-05-CA-1C-A6-0A. После осуществления данных настроек пользователь user сможет аутентифицироваться на веб-прокси, только если будет проводить аутентификацию с IP-адреса 192.168.1.10 и MAC-адреса 68-05-CA-1C-A6-0A.
Установка плагина os-proxy-ipcheck
Для поддержки смешанной аутентификации нужно установить плагин os-proxy-ipcheck.
Пройдите в раздел Система -> Прошивка -> Обновления. На вкладке Плагины нажмите на кнопку + напротив плагина os-proxy-ipcheck для его установки.
После установки плагина os-proxy-ipcheck, в разделе Службы -> Веб-прокси появляется подраздел Привязка пользователя к IP/MAC.
Создание привязки к адресу
Пройдите в раздел Служба -> Сервисы -> Веб-прокси -> Привязка пользователя к IP/MAC**.
Для активации возможности привязки к IP-адресу, установите флаг Включить привязку пользователей к IP.
Для активации возможности привязки к IP-адресу, установите флаг Включить привязку пользователей к MAC.
Для создания привязки, нажмите на иконку +.
В открывшемся окне, укажите нужного пользователя, IP-адрес и MAC-адрес, к которым осуществляется привязка.
Нажмите Сохранить изменения.