Поделиться через

Руководство. Интеграция единого входа Microsoft Entra с Check Point Remote Secure Access VPN

  • Статья

В этом руководстве описано, как интегрировать CHECK Point Remote Secure Access VPN с идентификатором Microsoft Entra ID. Интеграция CHECK Point Remote Secure Access VPN с идентификатором Microsoft Entra ID позволяет:

  • Управляйте идентификатором Microsoft Entra, имеющим доступ к VPN Check Point Remote Secure Access.
  • Включите автоматический вход пользователей в Check Point Remote Secure Access VPN с помощью учетных записей Microsoft Entra.
  • Управление учетными записями в одном центральном расположении.

Необходимые компоненты

Чтобы приступить к работе, потребуется следующее.

  • Подписка Microsoft Entra. Если у вас нет подписки, вы можете получить бесплатную учетную запись.
  • Подписка Check Point Remote Secure Access VPN с поддержкой единого входа (SSO).

Описание сценария

В этом руководстве описана настройка и проверка единого входа Microsoft Entra в тестовой среде.

  • Check Point Remote Secure Access VPN поддерживает единый вход, инициированный поставщиком удостоверений.

Чтобы настроить интеграцию VPN Check Point Remote Secure Access с идентификатором Microsoft Entra ID, необходимо добавить VPN Check Point Remote Secure Access из коллекции в список управляемых приложений SaaS.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.
  2. Перейдите к приложениям>Identity>Applications>Enterprise. Новое приложение.
  3. В разделе Добавить из коллекции в поле поиска введите Check Point Remote Secure Access VPN.
  4. На панели результатов выберите Check Point Remote Secure Access VPN и добавьте приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш клиент.

Кроме того, можно также использовать мастер конфигурации корпоративных приложений. В этом мастере можно добавить приложение в клиент, добавить пользователей и группы в приложение, назначить роли, а также просмотреть конфигурацию единого входа. Подробнее о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для VPN удаленного безопасного доступа Check Point

Настройте и проверьте единый вход Microsoft Entra в Check Point Remote Secure Access VPN с помощью тестового пользователя B.Simon. Для обеспечения работы единого входа необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в vpn-подключении Check Point Remote Secure Access.

Чтобы настроить и проверить единый вход Microsoft Entra в Check Point Remote Secure Access VPN, выполните следующие действия.

  1. Настройте единый вход Microsoft Entra, чтобы пользователи могли использовать эту функцию.

    1. Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra с помощью B.Simon.
    2. Назначьте тестового пользователя Microsoft Entra, чтобы разрешить B.Simon использовать единый вход Microsoft Entra.

  2. Настройка единого входа в Check Point Remote Secure Access VPN необходима, чтобы пользователи могли использовать эту функцию.

    1. Создание тестового пользователя Check Point Remote Secure Access VPN требуется для того, чтобы в Check Point Remote Secure Access VPN был создан пользователь B.Simon, связанный с представлением пользователя Microsoft Entra.

  3. Проверка единого входа позволяет убедиться в правильности конфигурации.

Настройка единого входа Microsoft Entra

Выполните следующие действия, чтобы включить единый вход Microsoft Entra.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.

  2. Перейдите к приложениям>Identity>Applications>Enterprise Check Point Remote Secure Access VPN>с единым входом.

  3. На странице Выбрать метод единого входа выберите SAML.

  4. На странице Настройка единого входа с помощью SAML щелкните значок карандаша, чтобы открыть диалоговое окно Базовая конфигурация SAML для изменения параметров.

    Edit Basic SAML Configuration

  5. На странице Базовая конфигурация SAML введите значения следующих полей.

    1. В текстовое поле Идентификатор (идентификатор сущности) введите URL-адрес в следующем формате: https://<GATEWAY_IP>/saml-vpn/spPortal/ACS/ID/<IDENTIFIER_UID>.

    2. В текстовом поле URL-адрес ответа введите URL-адрес в следующем формате: https://<GATEWAY_IP>/saml-vpn/spPortal/ACS/Login/<IDENTIFIER_UID>.

    3. В текстовом поле URL-адрес для входа введите URL-адрес в следующем формате: https://<GATEWAY_IP>/saml-vpn/

    Примечание.

    Эти значения приведены для примера. Измените их на фактические значения идентификатора и URL-адресов ответа и входа. Для получения этих значений обратитесь в службу поддержки клиента Check Point Remote Secure Access VPN. Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML".

  6. На странице Настройка единого входа с помощью SAML в разделе Сертификат подписи SAML найдите элемент XML метаданных федерации и выберите Скачать, чтобы скачать сертификат и сохранить его на компьютере.

    The Certificate download link

  7. Требуемые URL-адреса можно скопировать из раздела Настройка Check Point Remote Secure Access VPN.

    Copy configuration URLs

Создание тестового пользователя Microsoft Entra

В этом разделе описано, как создать тестового пользователя B.Simon.

  1. Войдите в Центр администрирования Microsoft Entra как минимум пользователь Администратор istrator.
  2. Перейдите ко всем пользователям удостоверений>>.
  3. Выберите "Создать пользователя>" в верхней части экрана.
  4. В свойствах пользователя выполните следующие действия.
    1. В поле "Отображаемое имя" введите B.Simon.
    2. В поле имени участника-пользователя введите username@companydomain.extensionимя пользователя. Например, B.Simon@contoso.com.
    3. Установите флажок Показать пароль и запишите значение, которое отображается в поле Пароль.
    4. Выберите Review + create (Просмотреть и создать).
  5. Нажмите кнопку создания.

Назначение тестового пользователя Microsoft Entra

В этом разделе описано, как разрешить пользователю B.Simon использовать единый вход, предоставив этому пользователю доступ к VPN Check Point Remote Secure Access.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.
  2. Перейдите к Приложениям удостоверений>Корпоративные приложения>>Check Point Remote Secure Access VPN.
  3. На странице обзора приложения выберите "Пользователи" и "Группы".
  4. Выберите Добавить пользователя или группу, а затем в диалоговом окне Добавление назначения выберите Пользователи и группы.
    1. В диалоговом окне Пользователи и группы выберите B.Simon в списке пользователей, а затем в нижней части экрана нажмите кнопку Выбрать.
    2. Если пользователям необходимо назначить роль, вы можете выбрать ее из раскрывающегося списка Выберите роль. Если для этого приложения не настроена ни одна роль, будет выбрана роль "Доступ по умолчанию".
    3. В диалоговом окне Добавление назначения нажмите кнопку Назначить.

Настройка единого входа в Check Point Remote Secure Access VPN

Настройка объекта профиля внешнего пользователя

Примечание.

Этот раздел необходим только в том случае, если вы не хотите использовать локальную службу Active Directory (LDAP).

Настройте универсальный профиль пользователя на устаревшей интеллектуальной панели мониторинга.

  1. В SmartConsole перейдите к колонкам управления и Параметры>.

  2. В разделе Мобильный доступ щелкните Настроить на интеллектуальной панели мониторинга. Откроется устаревшая интеллектуальная панель мониторинга.

  3. Перейдите в область Сетевые объекты и щелкните Пользователи.

  4. Щелкните пустое пространство правой кнопкой мыши и выберите Создать > Профиль внешнего пользователя > Сопоставить всех пользователей.

  5. Настройте свойства Профиля внешнего пользователя

    1. На странице Общие свойства

      • В поле имени внешнего профиля пользователя оставьте имя по умолчанию generic*.
      • В поле Дата окончания срока действия установите применимую дату.

    2. На странице проверки подлинности:

      • В раскрывающемся списке Схема проверки подлинности выберите undefined.

    3. На страницах Расположение, Время и Шифрование

      • Настройка других применимых параметров

    4. Щелкните OK.

  6. На верхней панели инструментов нажмите кнопку Обновить (или нажмите клавиши CTRL + S).

  7. Закройте интеллектуальную панель мониторинга.

  8. В интеллектуальной консоли установите политику контроля доступа.

Настройка VPN удаленного доступа

  1. Откройте объект применимого шлюза безопасности.

  2. На странице "Общие свойства" включите колонку ПО VPN-подключение IPSec.

  3. В дереве слева щелкните страницу VPN-подключение IPSec.

  4. В разделе Этот шлюз безопасности участвует в следующих сообществах VPN щелкните Добавить и выберите Сообщество удаленного доступа.

  5. В дереве слева нажмите VPN-клиенты > Удаленный доступ.

  6. Включите Поддерживать режим посетителя.

  7. В дереве слева нажмите VPN-клиенты > Офисный режим.

  8. Выберите параметр Разрешить офисный режим и выберите подходящий метод офисного режима.

  9. В дереве слева нажмите VPN-клиенты > Параметры портала SAML.

  10. Убедитесь, что основной URL-адрес содержит полное доменное имя шлюза. Это доменное имя должно заканчиваться DNS-суффиксом, зарегистрированным вашей организацией. Например: https://gateway1.company.com/saml-vpn

  11. Убедитесь, что сертификат является доверенным для пользовательского браузера.

  12. Щелкните OK.

Настройка объекта поставщика удостоверений

  1. Выполните следующие действия для каждого шлюза безопасности, участвующего в VPN удаленного доступа.

  2. В представлении шлюзов SmartConsole >и серверов щелкните Новый >> поставщик удостоверений пользователей или удостоверений>.

    screenshot for new Identity Provider.

  3. Выполните следующие действия на странице New Identity Provider (Новый поставщик удостоверений):

    screenshot for Identity Provider section.

    a. В поле шлюз выберите шлюз безопасности, который должен выполнять проверку подлинности SAML.

    b. В поле Служба выберите VPN удаленного доступа из раскрывающегося списка.

    c. Скопируйте значение идентификатора сущности, вставьте это значение в текстовое поле идентификатора в разделе "Базовая конфигурация SAML".

    d. Скопируйте значение URL-адреса ответа, вставьте это значение в текстовое поле URL-адреса ответа в разделе "Базовая конфигурация SAML".

    д) Выберите импорт файла метаданных, чтобы отправить скачанный XML-файл метаданных федерации.

    Примечание.

    Кроме того, можно вручную вставить значения идентификаторасущности и URL-адреса входа в соответствующие поля, а также отправить файл сертификата.

    f. Щелкните OK.

Настройка поставщика удостоверений в качестве способа проверки подлинности

  1. Откройте объект применимого шлюза безопасности.

  2. На странице VPN-клиенты > Проверка подлинности:

    a. Снимите флажок Разрешить старым клиентам подключаться к этому шлюзу.

    b. Добавьте новый объект или измените существующую область.

    screenshot for to Add a new object.

  3. Введите имя и отображаемое имя и добавьте или измените метод проверки подлинности: если параметр входа будет использоваться в GWs, участвующих в MEP, чтобы разрешить плавному пользовательскому интерфейсу имя должно начинаться с SAMLVPN_ префикса.

    screenshot about Login Option.

  4. Выберите вариант Поставщик удостоверений, нажмите зеленую кнопку + и выберите применимый объект поставщика удостоверений.

    screenshot to select the applicable Identity Provider object.

  5. В окне "Несколько вариантов входа в систему": в левой области щелкните Каталоги пользователей и выберите Настройка вручную. Существует два варианта.

    1. Если вы не хотите использовать локальную службу Active Directory (LDAP), выберите только профили внешних пользователей и нажмите кнопку OK.
    2. Если вы хотите использовать локальную службу Active Directory (LDAP), выберите только пользователей LDAP, а в качестве типа поиска LDAP выберите адрес электронной почты. Затем нажмите кнопку ОК.

    Screenshot of manual configuration.

  6. Настройте необходимые параметры в базе данных управления.

    1. Закройте интеллектуальную панель мониторинга.

    2. Подключитесь к серверу управления с помощью средства GuiDBEdit (см. sk13009).

    3. В верхней левой области перейдите в раздел Редактировать > Сетевые объекты.

    4. В верхней правой области выберите Объект шлюза безопасности.

    5. В нижней области перейдите к realms_for_blades>VPN.

    6. Если вы не хотите использовать локальную службу Active Directory (LDAP), задайте для параметра do_ldap_fetch значение false, а для параметра do_generic_fetch — значение true. Затем нажмите кнопку ОК. Если вы хотите использовать локальную службу Active Directory (LDAP), задайте для параметра do_ldap_fetch значение true, а для параметра do_generic_fetch — значение false. Затем нажмите кнопку ОК.

    7. Повторите шаги с 4 по 6 для всех применимых шлюзов безопасности.

    8. Сохраните все изменения, выбрав элементы Файл>Сохранить все.

  7. Закройте средство GuiDBEdit.

  8. У каждого шлюза безопасности и каждой колонки ПО свои параметры. Проверьте параметры для каждого шлюза безопасности и каждой колонки ПО, использующих проверку подлинности (VPN, мобильный доступ и Identity Awareness).

    • Убедитесь, что вариант Пользователи LDAP выбран только для колонок ПО, использующих протокол LDAP.

    • Убедитесь, что вариант Профили внешних пользователей выбран только для колонок ПО, не использующих протокол LDAP.

  9. Установите политику контроля доступа на каждом шлюзе безопасности.

Установка и настройка клиента VPN RA

  1. Установите VPN-клиент.

  2. Установите режим просмотра поставщика удостоверений (необязательно).

    По умолчанию клиент Windows использует встроенный браузер, а клиент macOS — Safari для проверки подлинности на портале поставщика удостоверений. Чтобы клиенты Windows использовали вместо этого Internet Explorer, сделайте следующее:

    1. На клиентском компьютере откройте обычный текстовый редактор с правами администратора.

    2. Откройте файл trac.defaults в текстовом редакторе.

      • В 32-разрядной версии Windows:

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

      • В 64-разрядной версии Windows:

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

    3. Измените значение атрибута idp_browser_mode с embedded на IE.

    4. Сохраните файл.

    5. Перезапустите службу VPN-клиента безопасности конечных точек Check Point.

    Откройте командную строку Windows от имени администратора и выполните следующие команды.

    # net stop TracSrvWrapper

    # net start TracSrvWrapper

  3. Начните проверку подлинности, запустив браузер в фоновом режиме.

    1. На клиентском компьютере откройте обычный текстовый редактор с правами администратора.

    2. Откройте файл trac.defaults в текстовом редакторе.

      • В 32-разрядной версии Windows:

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

      • В 64-разрядной версии Windows:

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • В MacOS:

        /Library/Application Support/Checkpoint/Endpoint Security/Endpoint Connect/trac.defaults

    3. Измените значение атрибута idp_show_browser_primary_auth_flow на false.

    4. Сохраните файл.

    5. Перезапустите службу VPN-клиента безопасности конечных точек Check Point.

      • На клиентах Windows откройте командную строку Windows от имени администратора и выполните следующие команды.

        # net stop TracSrvWrapper

        # net start TracSrvWrapper

      • На клиентах macOS нужно выполнить следующие команды:

        sudo launchctl stop com.checkpoint.epc.service

        sudo launchctl start com.checkpoint.epc.service

Создание тестового пользователя Check Point Remote Secure Access VPN

В данном разделе описано, как создать пользователя с именем Britta Simon в Check Point Remote Secure Access VPN. Обратитесь в техническую поддержку Check Point Remote Secure Access VPN, чтобы добавить пользователей на платформе Check Point Remote Secure Access VPN. Перед использованием единого входа необходимо создать и активировать пользователей.

Проверка единого входа

  1. Откройте VPN-клиент и нажмите Подключение к...

    screenshot for Connect to.

  2. Выберите Сайт из раскрывающегося списка и нажмите Подключиться.

    screenshot for selecting site.

  3. Во всплывающем авторизации Microsoft Entra войдите с помощью учетных данных Microsoft Entra, созданных в разделе "Создание тестового пользователя Microsoft Entra".

Следующие шаги

После настройки Check Point Remote Secure Access VPN вы можете применить функцию управления сеансом, которая в реальном времени защищает конфиденциальные данные вашей организации от кражи и несанкционированного доступа. Управление сеансом является расширением функции условного доступа. Узнайте, как применять управление сеансами с помощью приложений Defender для облака.