# Check Point

> Proteger la VPN de acceso remoto de Check Point con Ironchip por RADIUS, con un servidor NPS para usuarios del dominio o con el Ironchip RADIUS server.

URL: https://docs.ironchip.com/identidad/integraciones/red/check-point/

Esta guía explica cómo proteger el acceso remoto de **Check Point** con la autenticación de Ironchip mediante [RADIUS](https://docs.ironchip.com/identidad/protocolos/radius/). Hay dos opciones de servidor RADIUS, y la configuración en Check Point es la misma para las dos: un servidor [NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/) para los usuarios del dominio (Active Directory) o el [Ironchip RADIUS server](https://docs.ironchip.com/identidad/integraciones/red/radius-server/) para los usuarios propios de Check Point.

## Requisitos

- Para usuarios del dominio (Active Directory): un servidor [NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/) con el plugin de Ironchip.
- Para usuarios propios de Check Point: el [Ironchip RADIUS server](https://docs.ironchip.com/identidad/integraciones/red/radius-server/) instalado y una aplicación de tipo API key configurada.
- Acceso a la **Smart Console** de Check Point.

## Arquitectura

Escenario base de Check Point:

[Imagen: Diagrama del escenario base de Check Point sin Ironchip]

Integración con Ironchip:

[Imagen: Diagrama de la integración de Check Point con Ironchip]

## Configuración en Check Point

### Crear el host

1. Abre la **Smart Console** de Check Point.

   [Imagen: Pantalla principal de la Smart Console de Check Point]

2. En la parte superior derecha, haz clic en **New** y elige **Host**.

   [Imagen: Menú New con la opción Host]

3. Escribe un nombre para el host en **Enter Object Name** y, en **IPv4 address**, la IP del equipo donde se ejecuta el servidor RADIUS (el servidor NPS o el Ironchip RADIUS server). Haz clic en **OK**.

   [Imagen: Ventana de creación del host con nombre e IP]

   Se crea el host.

   [Imagen: Host creado en la Smart Console]

### Crear el servicio RADIUS

1. En el buscador de la esquina superior derecha, busca **RADIUS** y clona el protocolo de la sección **UDP service**. Así generas un nuevo servicio RADIUS con las propiedades que habilitan el acceso.
2. En la pestaña **General**, ponle un nombre al servicio (por ejemplo, `Ironchip_Protected_Protocol`), comprueba que el **protocolo** y el **puerto** coinciden con los de tu servidor RADIUS y haz clic en **OK**.

   [Imagen: Propiedades generales del servicio RADIUS: nombre, protocolo y puerto]

3. En la pestaña **Advanced**, en **Virtual session timeout**, elige **Specific** con valor `60`, deja desmarcada **Enable aggressive aging** y haz clic en **OK**.

   [Imagen: Pestaña Advanced del servicio UDP con Virtual session timeout en 60 segundos]

### Crear el servidor RADIUS

1. Con el host y el servicio ya creados, crea un servidor RADIUS: en la parte superior derecha, ve a **New > More > Server > RADIUS...**.

   [Imagen: Creación de un nuevo servidor RADIUS]

2. Ponle un nombre descriptivo y configúralo en la ventana siguiente. En este ejemplo se llama `NPS_IRONCHIP_RADIUS`.

   [Imagen: Configuración del servidor RADIUS NPS_IRONCHIP_RADIUS]

   - **Host**: el host creado en el primer paso.
   - **Service**: el servicio creado en el paso anterior.
   - **Shared secret**: una cadena segura que debe coincidir con la configurada en NPS o en el Ironchip RADIUS server.
   - **Protocol**: `PAP`.

3. Haz clic en **OK**.

### Configurar Mobile Access

Crea un perfil de usuario externo (**External User Profile**), necesario para autenticar usuarios que no están registrados internamente en Check Point.

1. En la página principal de la Smart Console, en el menú de la izquierda, ve a **Manage & Settings > Mobile Access** y haz clic en **Configure in SmartDashboard...**.

   [Imagen: Activación de Mobile Access en Manage & Settings]

2. En SmartDashboard, en el panel **Users** de la parte inferior izquierda, crea un nuevo **External User Profile**. Configura sus parámetros según tu dominio y haz clic en **OK**.

   [Imagen: Perfil de usuario externo (External User Profile)]

3. Crea un grupo para los usuarios del dominio. En la parte superior derecha ve a **New > More > User/Identity > User Group**.

   [Imagen: Menú New > More > User/Identity > User Group]

4. Ponle un nombre identificativo y haz clic en el icono **+**.

   [Imagen: Ventana del grupo de usuarios con el botón +]

5. Haz clic en **All**, después en **External User Profiles** y selecciona el perfil que has creado.

   [Imagen: Lista All con la opción External User Profiles]

   [Imagen: Selección del perfil externo creado]

### Configurar las políticas de seguridad

1. Ve a **Security Policies > VPN Communities**, haz clic derecho sobre **Remote Access** y elige **Edit**.

   [Imagen: Menú contextual de Remote Access en VPN Communities]

2. En la pestaña **Participating Gateways**, haz clic en **+** y selecciona tu cortafuegos.

   [Imagen: Pestaña Participating Gateways con el cortafuegos seleccionado]

3. En la pestaña **Participant User Groups**, haz clic en **+** y selecciona el grupo que has creado.

   [Imagen: Pestaña Participant User Groups con el grupo seleccionado]

4. En la pantalla principal, abre el gateway que tiene configurada la VPN y, en el panel izquierdo, selecciona **VPN Clients > Authentication**.
5. Haz clic en **Add** y después en **New**, selecciona el tipo y haz clic en **OK**.
6. En las opciones de **Login Option**, escribe un nombre (por ejemplo, `NPS_IRONCHIP_ACCESS` o `RADIUS_IRONCHIP_ACCESS`). Puedes rellenar también **Comment** y **Display Name**, que es el nombre que se muestra en la pantalla inicial. Haz clic en **OK**.
7. En **Authentication Methods**, haz clic en **Add**, elige **RADIUS** como método y selecciona el servidor RADIUS que has creado. Haz clic en **OK**.
8. En **User Directories**, selecciona **Manual configuration** y habilita la autenticación solo para **External user profiles**.

### Ajustar las propiedades globales

1. En la parte superior izquierda, haz clic en **Global Properties**.

   [Imagen: Acceso a Global Properties en la Smart Console]

2. Ve al último apartado, **Advanced**, y haz clic en **Configure**.

   [Imagen: Apartado Advanced con el botón Configure]

3. Despliega **Firewall-1**, haz clic en **Authentication** y establece `au_connect_timeout` en `60`.

   [Imagen: Parámetro au_connect_timeout en 60 dentro de Authentication]

4. Haz clic en **RADIUS**, establece `radius_retrant_num` en `1` y `radius_retrant_timeout` en `60`.

   [Imagen: Parámetros radius_retrant_num y radius_retrant_timeout]

## Comprobación

Cuando todo esté configurado, haz una prueba de autenticación desde el cliente VPN con un usuario que tenga acceso. Elige el método de inicio de sesión que has creado (aparece con su **Display Name**) e introduce tus credenciales: después se te pedirá que te autentiques con Ironchip.

## Problemas frecuentes

- **La autenticación falla porque se agota el tiempo de espera**: Ironchip espera la respuesta del usuario, así que los tiempos tienen que ser largos. Comprueba `Virtual session timeout` (`60`), `au_connect_timeout` (`60`), `radius_retrant_timeout` (`60`) y `radius_retrant_num` (`1`).
- **El servidor RADIUS rechaza la petición**: comprueba que el secreto compartido es el mismo en Check Point y en NPS o en el Ironchip RADIUS server, y que el host del servidor RADIUS tiene la IP correcta.