用户认证 — 上网行为管理的一部分
用户,行为,流量 — 上网行为管理三要素
(1)用户认证的分类
上网用户认证 -– 三层认证 — 所有的跨网段的通信都可以属于上网行为。正对这些行 为,我们希望将行为和产生行为的人进行绑定,所以,需要进行上网用户认证。
入网用户认证 — 二层认证 — 我们的设备在接入网络中,比如插入交换机或者接入wifi 后,需要进行认证才能正常使用网络。
接入用户认证 — 远程接入 — VPN — 主要是校验身份的合法性的
(2)认证方式
本地认证— 用户信息在防火墙上,整个认证过程都在防火墙上执行
服务器认证 — 对接第三方服务器,防火墙将用户信息传递给服务器之后,服务器将认证结果返回,防火墙执行对应的动作即可
单点登录 — 和第三方服务器认证类似。
(3)认证域
认证域作用:决定认证的方式和组织结构,不同的认证域之间是或的关系。
登录名 — 作为登录凭证使用,一个认证域下不能重复
显示名 — 显示名不能用来登录,只用来区分和标识不同的用户。如果使用登录名区分,则也可以不用写显示名。显示名可以重复
账号过期时间 — 可以设定一个时间点到期,但是,如果到期前账号已登录,到期后,防火墙不会强制下线该用户
允许多人同时使用该账号登录:
私有用户 — 仅许一个人使用,第二个人使用时,将顶替到原先的登录
公有用户 — 允许多个人同时使用一个账户
IP/MAC绑定— 用户和设备进行绑定 (P地址/MAC地址)
绑定方式:
单向绑定 — 该用户只能在这个IP或者这个MAC或者这个IP/MAC下登录,但是,其他用户可以在该设备下登录
双向绑定 — 该用户只能在绑定设备下登录,并且该绑定设备也仅允许该用户登录
安全组和用户组的区别 — 都可以被策略调用,但是,用户组在调用策略后,所有用户组成员以及子用户组都会生效,而安全组仅组成员生效,子安全组不生效。
(4)认证策略
Portal— 这是一种常见的认证方式。我们一般见到的网页认证就是portal认证。我们做上网认证,仅需要流量触发对应的服务时,弹出窗口,输入用户名和密码进行认证
免认证— 需要在IP/MAC双向绑定的情况下使用,则对应用户在对应设备上登录时,就可以选择免认证,不做认证。
选择匿名认证,则登录者不需要输匿名认证 — 和免认证的思路相似,认证动作越透明越好,入用户名和密码,直接使用IP地址作为其身份进行登录。
9.防火墙的NAT和普通设备NAT
1、NAT的定义与作用
概念:
NAT(网络地址转换协议)主要用于实现位于内部网络的主机访