• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

基于用户的安全策略生效的过程(以某局点不能生效为例解释)

2022-01-04 发表
  • -1关注 ,258浏览
粉丝:9人 关注:2人

组网及说明

如图所示,用户想做基于用户的安全策略,用户是用portal认证,用户存放于radius上。同时,radius上的用户在ladp上也有一份,FW通过用户导入将这部分的用户也在FW上保留了一份(此处如果没有LADP,那么用户可以自己在FW创建,总的来说,就是不管用户怎么来的,FW上必须有一份)


问题描述

假设上述的一份用户是:A/B/C三个用户,也就是说,radius上有ABC,本地也创建了三个用户ABC;

现场的配置是(以A用户为例):

# local-user A class network 

 authorization-attribute user-role network-operator 

 identity-group KKK 

#

# user-group KKK

  identity-member user A

#

安全策略中(想阻断这A用户):

rule 2601 name MMM

source-zone DMZ  

user-group KKK


过程分析

现场在接口下使能了portal,用户的输入是用inode的客户端。

(1)用户在inode中输入了A的用户名字

(2)FW收到报文以后直接转发portal服务器,portal认证服务器将这个用户的流量信息(证书、IP、MAC,用户名)加工成一个认证报文发给FW,

(3)FW收到以后转发给radius,radius认证用户名,名字认证成功就返回成功报文,不成功及返回不成功报文给FW。

(4)FW收到识别的结果转发给portal,portal转发给FW,然后FW再给终端,成功就上线,不成功就不能上线。

具体的过程可以参考配置指导的详细的解释。


现场当天在输入A用户的时候,勾线了证书,然会也是会上线成功,但是按照上面的安全策略的配置,应该是阻断上网的,但实际上没有阻断,正常上网。

分析原因:

上面的过程的细化:

(1)FW收到inode输入的流量以后,实际上FW的portal模块就打开了,当portal服务器发给FW经过加工以后的认证报文以后,这个用户的信息(证书、IP、MAC、用户名)就存在了portal了。

(2)后续的inode报的流量过来以后,认证成功以后上线。A用户的访问外网的流量,受限到达了FW,FW的用户识别模块会用poratl模块的数据和本地的用户对比(前面说过,本地的用户可以自己创建,也可以LADP上同步),如果比对成功,就会存在本地,生成一个表,说明这个是用户识别模块识别了的用户;然后这个表会被安全策略调用。有这个表策略才会能有调用的对象。

(3)现场不成功的原因是:流量中有证书,用户识别模块对比的时候,本地的用户只用用户名,没有证书的信息,所以失败。

解决方法

暂时不用勾选证书,后续版本优化。

0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作