Configuración para la integración de Check Point con Ironchip.
Configuración de Check Point
Arquitectura Base de Check-point
Diagrama de integración con Ironchip
Para usuarios de Dominio (Active Directory)
Para esta configuración es necesario tener configurado un servidor con el plugin de Ironchip NPS.
Para usuarios de Check Point
Para esta configuración es necesario tener configurado un servidor Ironchip RADIUS Server.
Mecanismo de integración
Para usuarios de Dominio (Active Directory)
Una vez que tengamos las configuraciones previas realizadas, nos dirigimos al Smart-Console de Check-point y veremos una pantalla como la que se muestra a continuación.
Luego nos dirigimos a la parte superior derecha, justo en la pestaña de Nuevo, y hacemos clic y elegimos la opción Host.
Una vez en la pestaña de Host se desplegará una ventana como se muestra en la siguiente imagen, donde es necesario colocar los datos: Nombre, Ip y finalmente pulsamos el botón OK.
Realizada la configuración, tendremos un host correctamente creado, como se muestra en la siguiente pantalla.
El siguiente paso será configurar las propiedades del servicio de conexion de RADIUS, para ello vamos al buscador sito en la esquina superior derecha y buscamos RADIUS para hacer clic después en el protocolo dentro de la sección UDP service. Esto nos permitirá generar un nuevo servicio de RADIUS configurando las propiedades que habilitan el acceso.
En la siguiente ventana tendremos en las configuraciones generales aspectos importantes a configurar como el tipo de protocolo, el puerto, y damos OK para continuar, como se muestra en la imagen.
En la ventana también tenemos la opción de elegir configuraciones avanzadas, en las que debemos configurar parámetros como el tiempo para la conexión, que en este caso debemos colocarlo en Específico en 60, y darle OK para continuar.
Una vez que ya tenemos tanto el host como las propiedades de conexión bien establecidas, debemos ir a configurar el Servidor, para ello creamos un nuevo servicio de tipo RADIUS:
La configuración necesaria para el servidor se realiza en la siguiente interfaz:
En este caso llamamos NPS_IRONCHIP_RADIUS, en esta pestaña seleccionamos:
- Host: el host creado en el primer paso de la configuración.
- Servicio: el servicio creado en el paso anterior
- Secreto compartido: cualquiera
- Protocolo: PAP y para finalizar damos a OK.
Ahora crearemos un perfil de usuario externo que es necesario para realizar la autenticación en este tipo de mecanismo de integración.
Para ello debemos dirigirnos a la página principal del Smart-console de Check point, en las opciones que se encuentran en la zona izquierda de la pantalla, seleccionamos Manage & Settings > Mobile Access y damos clic.
En la siguiente pantalla se desplegarán las opciones para configurar un usuario y todos sus parámetros de acuerdo a las necesidades, al finalizar damos en OK para continuar.
A continuación crearemos un grupo para añadir los usuarios del dominio al grupo, para ello iremos a la parte de arriba derecha, le damos a New > More > User/Identity > User Group.
Nos abrira una ventana para configurar un grupo, le pondremos un nombre identificativo, y aremos clic en el apartado donde sale un +.
Hacemos clic en el All y le daremos a External User Profiles y seleccionamos el perfil que hemos creado previamente.
Lo siguiente será modificar las politicas de autenticación, para ello desde la pantalla principal damos clic derecho sobre Hardware, se desplegará una pantalla donde nos dirigimos al panel de la izquierda y seleccionamos: VPN Clients > Authentication. En la pantalla que se abre seleccionamos Add seguido de New, seleccionamos el tipo y le damos OK.
En la siguiente pantalla veremos las opciones de Login Option como el Nombre, también podremos asignar un nombre con el que se desplegará en la pantalla inicial, luego pulsamos en OK para continuar.
En el apartado Authentication Methods presionaremos la opción Add y dejaremos el contenido según la imagen de a continuación:
En la opción de User Directories debemos seleccionar la opción de Configuración Manual, así como la opción de perfiles de usuarios Externos.
Por último hacemos clic en la opción de radius, y los intentos de autenticación "radius_retrant_num" lo pondremos en 1, y el tiempo de espera lo pondremos en 60 "radius_retrant_timeout".
Una vez todo esté configurado podemos realizar alguna prueba de autenticación.
Para usuarios de Check point
Una vez que tengamos las configuraciones previas realizadas, nos dirigimos al Smart-Console de Check-point
Luego nos dirigimos a la parte superior derecha, justo en la pestaña de Nuevo, y hacemos clic y elegimos la opción Host.
Una vez en la pestaña de Host se desplegará una ventana como se muestra en la siguiente imagen, donde es necesario colocar los datos: Nombre, Ip y finalmente pulsamos el botón OK.
Realizada la configuración, tendremos un host correctamente creado, como se muestra en la siguiente pantalla.
El siguiente paso será configurar las propiedades del servicio de conexion de RADIUS, para ello vamos a la pestaña superior derecha de Nuevo, hacemos clic, luego elegimos más , seguidamente server y finalmente tipo RADIUS.
En la siguiente ventana tendremos en las configuraciones generales aspectos importantes a configurar como el tipo de protocolo, el puerto, y damos OK para continuar, como se muestra en la imagen.
En la ventana también tenemos la opción de elegir configuraciones avanzadas, en las que debemos configurar parametros como el tiempo para la conexión, que en este caso debemos colocarlo en Específico en 60, y darle OK para continuar.
Una vez que ya tenemos tanto el host como las propiedades de conexión bien establecidas, debemos ir a configurar el Servidor que este caso llamamos IRONCHIP_RADIUS, en esta pestaña seleccionamos:
- Host: el host creado en el primer paso de la configuración.
- Servicio: el servicio creado en el paso anterior
- Secreto compartido: cualquiera
- Protocolo: MS_CHAP2 y para finalizar damos a OK.
Lo siguiente será modificar las politicas de autenticación, para ello desde la pantalla principal damos clic derecho sobre Hardware, se desplegará una pantalla donde nos dirigimos al panel de la izquierda y seleccionamos: VPN Clients > Authentication. En la pantalla que se abre seleccionamos Add seguido de New, seleccionamos el tipo y le damos OK.
En la siguiente pantalla veremos las opciones de Login Option como el Nombre, también podremos asignar un nombre con el que se desplegará en la pantalla inicial, luego pulsamos en OK para continuar.
En la opción de Directorio de usuarios debemos seleccionar la opción de Configuración Manual, así como la opción de perfiles de usuarios Internos.
Luego en la siguiente pantalla seleccionamos las opciones correctas y volvemos hacer clic en OK.
Una vez todo esté configurado podemos realizar alguna prueba de autenticación.