Check Point

Esta guía explica cómo proteger el acceso remoto de Check Point con la autenticación de Ironchip mediante RADIUS. Hay dos opciones de servidor RADIUS, y la configuración en Check Point es la misma para las dos: un servidor NPS para los usuarios del dominio (Active Directory) o el Ironchip RADIUS server para los usuarios propios de Check Point.

Requisitos

• Para usuarios del dominio (Active Directory): un servidor NPS con el plugin de Ironchip.
• Para usuarios propios de Check Point: el Ironchip RADIUS server instalado y una aplicación de tipo API key configurada.
• Acceso a la Smart Console de Check Point.

Arquitectura

Escenario base de Check Point:

Integración con Ironchip:

Configuración en Check Point

Crear el host

1. Abre la Smart Console de Check Point.

   

2. En la parte superior derecha, haz clic en New y elige Host.

   

3. Escribe un nombre para el host en Enter Object Name y, en IPv4 address, la IP del equipo donde se ejecuta el servidor RADIUS (el servidor NPS o el Ironchip RADIUS server). Haz clic en OK.

   

   Se crea el host.

   

Crear el servicio RADIUS

1. En el buscador de la esquina superior derecha, busca RADIUS y clona el protocolo de la sección UDP service. Así generas un nuevo servicio RADIUS con las propiedades que habilitan el acceso.

2. En la pestaña General, ponle un nombre al servicio (por ejemplo, Ironchip_Protected_Protocol), comprueba que el protocolo y el puerto coinciden con los de tu servidor RADIUS y haz clic en OK.

   

3. En la pestaña Advanced, en Virtual session timeout, elige Specific con valor 60, deja desmarcada Enable aggressive aging y haz clic en OK.

   

Crear el servidor RADIUS

1. Con el host y el servicio ya creados, crea un servidor RADIUS: en la parte superior derecha, ve a New > More > Server > RADIUS….

   

2. Ponle un nombre descriptivo y configúralo en la ventana siguiente. En este ejemplo se llama NPS_IRONCHIP_RADIUS.

   

   • Host: el host creado en el primer paso.
   • Service: el servicio creado en el paso anterior.
   • Shared secret: una cadena segura que debe coincidir con la configurada en NPS o en el Ironchip RADIUS server.
   • Protocol: PAP.

3. Haz clic en OK.

Configurar Mobile Access

Crea un perfil de usuario externo (External User Profile), necesario para autenticar usuarios que no están registrados internamente en Check Point.

1. En la página principal de la Smart Console, en el menú de la izquierda, ve a Manage & Settings > Mobile Access y haz clic en Configure in SmartDashboard….

   

2. En SmartDashboard, en el panel Users de la parte inferior izquierda, crea un nuevo External User Profile. Configura sus parámetros según tu dominio y haz clic en OK.

   

3. Crea un grupo para los usuarios del dominio. En la parte superior derecha ve a New > More > User/Identity > User Group.

   

4. Ponle un nombre identificativo y haz clic en el icono +.

   

5. Haz clic en All, después en External User Profiles y selecciona el perfil que has creado.

   

   

Configurar las políticas de seguridad

1. Ve a Security Policies > VPN Communities, haz clic derecho sobre Remote Access y elige Edit.

   

2. En la pestaña Participating Gateways, haz clic en + y selecciona tu cortafuegos.

   

3. En la pestaña Participant User Groups, haz clic en + y selecciona el grupo que has creado.

   

4. En la pantalla principal, abre el gateway que tiene configurada la VPN y, en el panel izquierdo, selecciona VPN Clients > Authentication.

5. Haz clic en Add y después en New, selecciona el tipo y haz clic en OK.

6. En las opciones de Login Option, escribe un nombre (por ejemplo, NPS_IRONCHIP_ACCESS o RADIUS_IRONCHIP_ACCESS). Puedes rellenar también Comment y Display Name, que es el nombre que se muestra en la pantalla inicial. Haz clic en OK.

7. En Authentication Methods, haz clic en Add, elige RADIUS como método y selecciona el servidor RADIUS que has creado. Haz clic en OK.

8. En User Directories, selecciona Manual configuration y habilita la autenticación solo para External user profiles.

Ajustar las propiedades globales

1. En la parte superior izquierda, haz clic en Global Properties.

   

2. Ve al último apartado, Advanced, y haz clic en Configure.

   

3. Despliega Firewall-1, haz clic en Authentication y establece au_connect_timeout en 60.

   

4. Haz clic en RADIUS, establece radius_retrant_num en 1 y radius_retrant_timeout en 60.

   

Comprobación

Cuando todo esté configurado, haz una prueba de autenticación desde el cliente VPN con un usuario que tenga acceso. Elige el método de inicio de sesión que has creado (aparece con su Display Name) e introduce tus credenciales: después se te pedirá que te autentiques con Ironchip.

Problemas frecuentes

• La autenticación falla porque se agota el tiempo de espera: Ironchip espera la respuesta del usuario, así que los tiempos tienen que ser largos. Comprueba Virtual session timeout (60), au_connect_timeout (60), radius_retrant_timeout (60) y radius_retrant_num (1).
• El servidor RADIUS rechaza la petición: comprueba que el secreto compartido es el mismo en Check Point y en NPS o en el Ironchip RADIUS server, y que el host del servidor RADIUS tiene la IP correcta.