Авторизация пользователей

В статье представлена общая информация об особенностях авторизации пользователей в Ideco NGFW.

Название службы раздела Авторизация: ideco-auth-backend. Список служб для других разделов доступен по ссылке.

Авторизация - необходимое условие для доступа пользователя в интернет. Для работы в пределах локальной сети авторизация не требуется.

Для доступа сетевого устройства (хоста) в интернет через NGFW с возможностью контроля его трафика оно должно быть авторизовано на NGFW под учетной записью пользователя.

Особенности авторизации пользователей в Ideco NGFW:

• Количество приобретенных по лицензии учетных записей ограничивает число авторизованных пользователей;

• Сессия авторизации учетной записи привязана к IP-адресам хостов на протяжении действия сессии;

• Неавторизованный на NGFW хост не имеет доступа во внешние сети;

• Сессии авторизации пользователя, не проявляющего активность, завершаются по тайм-ауту и могут быть заняты новыми сессиями пользователей.

Для настройки автоматической авторизации пользователей при входе в систему воспользуйтесь статьей.

Общая информация

Все виды авторизации на Ideco NGFW являются IP-based (работают на основе IP-адреса хоста), и любая сессия авторизации привязана к IP-адресу хоста, с которого она установлена.

Под одной пользовательской учетной записью возможна одновременная авторизация до пяти устройств. При авторизации шестого устройства будет автоматически разорвана первая сессия. Например:

При авторизации по VPN

Если при авторизации первой сессии использовался VPN, включая Ideco Client, то при попытке входа в шестую сессию пользователь будет авторизован, а первая сессия будет автоматически разорвана.

При авторизации по IP, MAC, IP+MAC, WEB, NTLM, Ideco Agent, Log, Kerberos

Если в первой сессии использовались методы авторизации IP, MAC, IP+MAC, WEB, NTLM, Ideco Agent, Log, Kerberos, то в шестой сессии пользователь проходит авторизацию. При этом статус первой сессии в разделе Авторизованные пользователи будет обозначаться иконкой . Это означает, что сессия вышла за пределы лицензии и будет автоматически разорвана.

Если разорвать шестую сессию, то первая сессия снова станет активной, а иконка исчезнет.

Пользователь автоматически разавторизуется при неактивности (отсутствии соединений с интернетом) в течение указанного в настройках времени (кроме подключений по VPN).

Трафик может генерировать и сама операционная система без участия пользователя (например, телеметрия Windows). Из-за этого таймаут для пользователя будет постоянно сбрасываться.

Время автоматической разавторизации можно изменить с помощью настройки Тайм-аут отключения в разделе Пользователи -> Авторизация:

Для применения нового тайм-аута отключения требуется перезагрузка Ideco NGFW.

Также можно авторизовать пользователей, которые подключаются по VPN с помощью протоколов IPsec IKEv2, SSTP, L2TP IPsec, PPTP. Инструкция по запуску PowerShell скриптов представлена в статье.