Identity-Based Firewall (IBF)

Einrichtung Identity-Based Firewall (IBF) für SSL-VPN

Bemerkung

Neue Funktion in 11.8

Mit der 11.8 ist es möglich Benutzer-Gruppen automatisch als Netzwerkobjekte verfügbar zu machen.
Diese Funktion ist zunächst mit SSL-VPN-Benutzer-Gruppen möglich.

Einführung

Bisher mussten unter → Firewall →Portfilter Netzwerkobjekte einzelne Hosts oder Netzwerke mit IP-Adresse als Netzwerkobjekte angelegt werden und konnten dann zu Netzwerkgruppen zusammengefügt werden. Jetzt ist es möglich, Netzwerkobjekte auf Grundlage von Benutzergruppen automatisch zu erstellen und so identitätsbasierte Portfilter-Regeln einzusetzen.
Wenn die Benutzer durch ein AD oder LDAP authentifiziert werden, wird der Verwaltungsaufwand deutlich reduziert.

Gruppen konfigurieren

Gruppen hinzufügen

Dies erfolgt unter → Authentifizierung →Benutzer Gruppen

Entweder wird eine neu Gruppe erstellt + Gruppe hinzufügen oder eine bestehende Gruppe wird bearbeitet.

Berechtigungen

Gruppenname: Road-Warrior Eingabe eines aussagekräftigen Namens

Ein

Userinterface

Ein

SSL-VPN

Hier können für die gesamte Gruppe Einstellungen für das SSL-VPN konfiguriert werden.
Alle Benutzer verwenden das gleiche Zertifikat, wenn die Gruppeneinstellungen verwendet werden!
SSL-VPN Einstellungen einzelner Benutzer überschreiben die Gruppeneinstellungen.

Beschriftung:	Wert	Beschreibung:	Gruppe hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungBenutzer SSL-VPN Einstellungen der Gruppe
Client im Userinterface herunterladbar:	Nein	Wenn aktiviert, dann kann der VPN-Client im Userinterface heruntergeladen werden
SSL-VPN Verbindung:	RW-Securepoint	Auswahl der gewünschten Verbindung (Angelegt unter VPN SSL-VPN )
Client-Zertifikat:	cs-sslvpn-rw(1)	Auswahl des Zertifikats für diese Gruppe (Angelegt unter Authentifizierung Zertifikate Bereich Zertifikate) Es können auch ACME-Zertifikate genutzt werden.
Remote Gateway:	192.168.175.1	IP-Adresse des Gateways, auf dem sich die SSL-VPN-Clients einwählen. Freie Eingabe oder Auswahl per Dropdown-Menü.
Redirect Gateway:	Aus	Anfragen zu Zielen außerhalb des lokalen Netzwerks (und damit auch des VPNs) werden vom Gateway des VPN-Users in der Regel direkt ins Internet geleitet. Bei Aktivierung des Buttons Ein wird das lokale Gateway umgeleitet auf die UTM. Dadurch profitieren auch diese Pakete vom Schutz der UTM. Diese Einstellung verändert die Konfigurationsdatei für den VPN-Client.
Im Paketfilter verfügbar:	Nein	Durch Aktivierung Ja dieser Option können im Paketfilter Regeln für diese Gruppe erstellt werden. Damit lässt sich der Zugriff für Benutzer, die Mitglied dieser über SSL-VPN verbundenen Gruppe sind, steuern.

Portfilter mit SSL-VPN-Gruppe

Portfilter konfigurieren

→ Firewall →Portfilter + Regel hinzufügen

Aktiv

Ein

Aktion

(Default)

Logging

Gruppe

Quelle

Hier kann jetzt die zuvor angelegte SSL-VPN-Gruppe als Netzwerkobjekt direkt ausgewählt werden

Ziel

Zielnetzwerkobjekt

Dienst

Auswahl des benötigten Dienstes oder einer Dienstegruppe

Hinzufügen und schließen

‣ Regeln aktualisieren

Ergebnis

Der angelegte Portfilter ist nun für alle Benutzer gültig, die sich in der Gruppe Road-Warrior befinden.