07사용자 인증과 세션 관리사용자 인증과 세션 관리

인증은 사용자가 자신이 주장하는 그 사람인지 확인 하는 단계입니다. SmartDashboard에 정의된 사용자는 다음 인증 방식 중 하나 이상 으로 Security Gateway에 인증합니다.

RADIUS·SecurID를 게이트웨이에서 쓰도록 구성하는 자세한 방법은 R82 Security Management Administration Guide 를 참고하세요.

게이트웨이에 설정되어 있지 않은 인증 방식으로 인증을 시도한 사용자는, 그 게이트웨이를 통한 자원 접근이 거부 됩니다.

구버전 클라이언트는 R77.30 이하 Security Gateway에서 쓰던 것과 같은 로그인 옵션 으로 접속합니다. 클라이언트를 대부분 또는 전부 다중 로그인 옵션 지원 버전으로 올렸다면, 구버전 클라이언트의 접속을 막을 수 있습니다. 막고 나면 다중 로그인 옵션을 지원하는 클라이언트만 게이트웨이에 접속할 수 있습니다.

기본값으로는 Mobile Access > Authentication의 Allow older clients to connect to this gateway(구버전 클라이언트의 이 게이트웨이 접속 허용) 가 선택되어 있습니다. 이 옵션을 해제하면 구버전 클라이언트가 차단됩니다.

또, 다중 로그인 옵션을 지원하는 신버전 클라이언트가 구버전용으로 정의된 인증 설정으로 접속하게 할지 도 선택할 수 있습니다.

신버전 클라이언트의 인증 방식 설정

신버전 클라이언트가 구버전용 인증 방식을 쓰지 못하게 막으려면 다음과 같이 합니다.

반대로 신버전 클라이언트가 구버전용 인증 설정으로 접속하게 허용하려면, Allow newer clients that support Multiple Login options to use this authentication method 를 선택합니다.

구버전 클라이언트의 인증 설정

R80.10 이상 Security Gateway에 구버전 클라이언트가 접속하도록 허용하려면 다음과 같이 합니다.

구버전 클라이언트의 인증 방식을 바꾸려면 다음과 같이 합니다.

사용 사례 1 — 인증서를 쓰는 2단계 인증

게이트웨이에 인증서를 1차 요소로 쓰는 2단계 인증 을 다음 두 가지 방법으로 구성할 수 있습니다.

인증서를 포함하는 새 다중 인증 로그인 옵션을 만들려면:

내장 기본 Login Option인 Cert_Username_Password를 쓰려면:

사용 사례 2 — 게이트웨이에서 사용자가 로그인 옵션 고르기

Login Option이 둘 이상 구성되어 있고 사용자가 다중 로그인 옵션을 지원하는 클라이언트로 접속하면, 로그인할 때 쓸 Login Option을 사용자가 직접 선택 합니다.

Mobile Access와 IPsec VPN 모두에 여러 로그인 옵션 을 구성할 수 있습니다. 옵션은 게이트웨이마다, 지원되는 Software Blade마다, 일부 클라이언트 유형마다 다르게 둘 수 있으며, 사용자는 지원되는 클라이언트로 그중 하나를 골라 로그인합니다. 어떤 클라이언트가 새 다중 로그인 옵션을 지원하는지는 sk111583 을 참고하세요.

구성한 각 로그인 옵션은 여러 Security Gateway와 Mobile Access·IPsec VPN Software Blade에서 함께 쓸 수 있는 전역 객체 입니다.

Multiple Login Options 구성하기

로그인 옵션은 다음 위치에서 구성할 수 있습니다.

Mobile Access Portal·Capsule Workspace 같은 Mobile Access 클라이언트용으로 선택한 로그인 옵션 은 Mobile Access > Authentication 페이지의 Multiple Authentication Client Settings 표에 표시됩니다. Endpoint Security VPN·Check Point Mobile for Windows·SecuRemote 같은 VPN 클라이언트용 로그인 옵션 은 VPN Clients > Authentication 페이지의 같은 표에 표시됩니다.

Mobile Access 클라이언트용 다중 로그인 옵션을 구성하려면:

로그인 옵션에 클라이언트 지정하기

Mobile Access > Authentication 페이지에서 만든 로그인 옵션은 Mobile Access Portal, Capsule Workspace, 또는 둘 다 에서 쓸 수 있게 지정할 수 있습니다. 선택한 클라이언트에만 그 로그인 옵션이 보입니다.

Customize Display Settings — 로그인 화면 문구 다듬기

사용자가 어떤 정보를 입력해야 하는지 분명히 이해하도록 설명형 값 을 넣습니다. 이 필드들은 모두 같은 언어여야 하지만, 꼭 영어일 필요는 없 습니다.

Certificate Parsing — 인증서에서 사용자명 뽑기

로그인 옵션으로 Personal Certificate 를 선택하면, 게이트웨이가 인증서를 파싱하기 위해 LDAP 서버에 어떤 정보를 보낼지 도 구성할 수 있습니다. 기본값은 DN 이며, 대신 사용자의 이메일 주소나 일련번호(serial number) 를 쓰도록 설정할 수 있습니다.

인증서 파싱 방식을 바꾸려면:

로그인 옵션 삭제하기

로그인 옵션을 영구히 삭제하려면:

모든 인증 설정 한눈에 보기

모든 Security Gateway와 그 인증 설정을 보려면:

이 절은 제3자 Identity Provider를 SAML 프로토콜로 연결해 인증 방식으로 쓰는 방법을 설명합니다. 이때 Mobile Access 게이트웨이와 Mobile Access Portal이 Service Provider 역할을 합니다.

SAML 인증 처리 흐름

아래 예시 다이어그램에서 Service Provider는 Mobile Access 게이트웨이와 Mobile Access Portal 이고, Identity Provider는 Okta 입니다.

SAML 구성 절차

1. Mobile Access Software Blade 구성

2. Legacy SmartDashboard에서 generic 사용자 프로필 구성

External User Profile 은 Identity Provider가 인증하는 모든 사용자를 대표 합니다.

3. Identity Provider 객체 구성

New Identity Provider 창이 열립니다.

SmartConsole이 위 두 필드를 바탕으로 다음 필드의 값을 자동 생성 합니다. - Identifier (Entity ID) — Service Provider(여기서는 Security Gateway)를 고유하게 식별하는 URL입니다. - Reply URL — SAML assertion이 전송되는 URL입니다.

4. Identity Provider를 인증 방식으로 구성

SAML Identity Provider 객체를 인증 방식으로 쓰려면 인증 설정을 구성해야 합니다.

5. 선택 사항: 그룹 권한 부여(Authorization) 구성

파트 A — Identity Tag 구성

SAML 응용에 구성한 각 그룹마다, SmartConsole에 그에 대응하는 Identity Tag 객체를 만들어야 합니다. Identity Tag의 값은 제공된 그룹의 값 또는 Object ID와 똑같아야 합니다.

파트 B — 그룹 권한 부여 동작 구성

Security Gateway는 그룹에 권한을 부여하는 방식을 여러 가지로 둘 수 있습니다. 권한 부여는 두 가지 종류의 그룹을 다룹니다.

권한 부여 동작은 다음과 같이 설정할 수 있습니다.

권한 부여 동작은 Security Gateway에서 보고 바꿀 수 있습니다.

구성된 권한 부여 동작 보기 — Mobile Access 게이트웨이/각 Cluster Member에서 Expert mode로 Check Point Registry의 해당 값을 살핍니다.

ckp_regedit -p SOFTWARE/Checkpoint/Ex_Groups "<Realm Name>"

권한 부여 동작 구성하기 — Mobile Access 게이트웨이/각 Cluster Member에서 Expert mode로 Check Point Registry의 해당 값을 바꿉니다.

ckp_regedit -a SOFTWARE/Checkpoint/Ex_Groups "<Realm Name>" -n {0 | 1 | 2 | 3}

6. Access Control Policy 설치

다중 인증(Multi-factor authentication)은 둘 이상의 서로 다른 방식으로 사용자를 인증하는 체계입니다. 요소를 하나보다 많이 쓰면 인증의 확실성이 더 높아집니다. DynamicID 는 그 한 가지 선택지입니다.

1차 인증을 성공적으로 통과한 사용자에게 추가 자격 증명인 DynamicID 일회용 비밀번호(OTP) 를 요구합니다. OTP는 SMS 또는 이메일 로 휴대전화 같은 모바일 통신 기기에 보냅니다. DynamicID는 모든 Mobile Access·IPsec VPN 클라이언트에서 지원 됩니다.

DynamicID는 어떻게 동작하나

사용자는 설정된 전화번호나 이메일 주소로 받은 일회용 비밀번호를 입력하고, 그러면 Mobile Access Portal로 들어옵니다.

User Portal 로그인 화면에는 I didn't get the verification code(인증 코드를 못 받았어요) 링크가 표시됩니다. 사용자가 짧은 시간 안에 SMS나 이메일로 인증 코드를 받지 못하면, 이 버튼을 클릭해 인증 코드를 다시 보내는 옵션 을 받을 수 있습니다.

관리자는 사용자가 목록에서 전화번호나 이메일 주소를 고르게 할 수 있습니다. 이때 전화번호 일부 자릿수만 드러납니다. 사용자는 목록에서 올바른 전화번호나 이메일 주소를 골라 Send 를 클릭해 인증 코드를 다시 받습니다. 기본값으로 사용자는 포털에서 잠기기 전까지 메시지를 세 번 다시 요청할 수 있습니다.

Match Word 기능 — 여러 메시지를 받을 수 있는 상황에서 사용자가 올바른 DynamicID 인증 코드를 식별 하게 해 줍니다. 사용자에게 로그인 페이지에서 match word를 보여 주고, 같은 단어가 올바른 메시지에도 들어 있게 합니다. SMS 메시지를 여러 개 받으면, 같은 match word가 든 것으로 올바른 메시지를 가려낼 수 있습니다.

SMS 서비스 공급자

SMS 서비스 공급자는 Gateway Properties > Network Management > Proxy 에서 구성합니다.

SMS 서비스 공급자에 접근하려면 Security Gateway에서 프록시 설정을 구성합니다.

어떤 공급자를 쓰든, 사용자에게 SMS 메시지가 가도록 하려면 공급자에게서 받은 유효한 계정 정보 를 Mobile Access에 구성해야 합니다.

DynamicID 인증 적용 범위(Granularity)

DynamicID 다중 인증을 Security Gateway 로그인의 필수 조건 으로 만들 수도 있고, 지정한 응용에 접근할 때만 필수로 만들 수도 있습니다. 이 유연함으로 보안 등급을 다르게 둘 수 있습니다.

DynamicID 인증은 Mobile Access Portal·Capsule Workspace 중 한쪽 또는 양쪽에 필요한 로그인 옵션의 일부가 될 수 있습니다.

SMS·이메일용 DynamicID 기본 구성

DynamicID 2단계 인증의 기본 구성 흐름은 다음과 같습니다.

1. SMS 공급자 자격 증명 및/또는 이메일 설정 얻기

SMS 서비스 공급자에게서 다음 설정을 받습니다.

2. Phone Directory(전화번호부) 구성

기본 전화번호·이메일 검색 방식은, 게이트웨이가 먼저 LDAP account unit의 사용자 레코드 에서 전화번호나 이메일 주소를 찾고, 그다음 로컬 Security Gateway의 phone directory 에서 찾는 것입니다. 구성된 전화번호가 실제로 이메일 주소이면, SMS 대신 이메일을 보냅니다. 이 검색 방식은 Two-Factor Authentication with DynamicID - Advanced 창의 Phone Number or Email Retrieval 영역에서 바꿀 수 있습니다.

LDAP에 전화번호나 이메일 주소 구성하기 — 사용자가 LDAP로 인증한다면, 각 사용자마다 전화번호나 이메일 주소를 정의해 LDAP에 번호 목록을 구성합니다. 기본값으로 Mobile Access는 Telephones 탭의 Mobile 필드 를 씁니다. 구성된 전화번호가 실제로 이메일 주소이면 SMS 대신 이메일을 보냅니다.

각 Security Gateway에 전화번호나 이메일 주소 구성하기 — 각 Mobile Access Security Gateway에 번호·이메일 목록을 구성합니다. Mobile Access 클러스터라면 각 Cluster Member마다 디렉터리를 구성합니다.

Security Gateway에 전화번호 목록을 구성하려면:

<Username or Full DN> <Phone number or Email address>

$CPDIR/conf/dynamic_id_users_info.lst 에 사용자와 전화번호·이메일을 적는 예:

bob +044-888-8888
jane.tom@domain.com
CN=tom,OU=users,O=example.com +044-7777777
CN=mary,OU=users,O=example.com +mary@domain.com

여러 전화번호 구성하기 — 사용자가 인증 코드를 다시 받을 때 여러 전화번호 중에서 고르게 할 수 있습니다. Security Gateway의 $CPDIR/conf/dynamic_id_users_info.lst 파일을 편집합니다(없으면 만듭니다).

For example: user_a 917-555-5555 603-444-4444

3. SmartDashboard에서 DynamicID 기본 구성 수행

모든 모바일 기기에 2단계 인증을 필수로 만들도록 Authentication 설정을 구성합니다.

다음 표는 SMS Provider and Email Settings 필드에 쓰는 파라미터를 설명합니다. SMS나 이메일을 보낼 때 이 파라미터 값이 자동으로 채워집니다.

모든 Security Gateway용 DynamicID 설정을 SmartDashboard에서 구성하기:

   mail:TO=$EMAIL;SMTPSERVER=smtp.example.com;FROM=sslvpn@example.com;BODY=$RAWMESSAGE
   

컴퓨터·기기가 DynamicID를 쓰도록 Mobile Access Security Gateway 구성하기:

4. DynamicID 2단계 인증 테스트

DynamicID 고급 구성

이 절은 DynamicID의 고급 설정을 설명합니다. 기본 설정은 앞의 "SMS·이메일용 DynamicID 기본 구성" 절을 참고하세요.

모든 Security Gateway용 전역 설정을 구성하려면:

특정 Security Gateway용 설정을 구성하려면:

다음 해당 설정을 구성합니다.

1) Dynamic ID Authentication Enforcement(인증 강제 수준) — 다음 중 해당 옵션을 선택합니다.

2) DynamicID Message(메시지) — Message text to be sent to the user 필드에 해당 텍스트를 입력합니다. 기본 메시지 텍스트는 "Mobile Access DynamicID one time password:" 입니다. 메시지에는 사용자 이름을 넣거나 OTP 입력을 안내하기 위한 다음 템플릿 필드를 쓸 수 있습니다.

예: $NAME, use the verification code $CODE to enter the portal.

3) DynamicID Settings — 다음 값을 구성합니다.

4) Display User Details(사용자 상세 표시) — 기본값으로는 SMS가 전송된 전화번호를 보여 주지 않습니다. 바꾸려면 In the portal, display the phone number or email address that received the DynamicID 를 선택합니다.

5) Country Code(국가 코드) — LDAP 서버나 Security Gateway 로컬 파일에 저장된 전화번호가 0 으로 시작하면 기본 국가 코드가 붙습니다. 바꾸려면 Default country code for phone numbers that do not include country code 필드에 해당 값을 입력합니다.

6) Phone Number or Email Retrieval(전화번호·이메일 검색) — 다음 중 해당 옵션을 선택합니다.

설정한 뒤 OK 를 클릭하고, Access Control 정책을 설치합니다.

인증 코드 재전송과 Match Word 구성

DynamicID 문제 해결(troubleshooting)과 match word 기능은 Database Tool(GuiDBEdit Tool) 또는 dbedit 으로 구성합니다(sk13301 참고).

편집할 GuiDBEdit 테이블은, SmartDashboard의 Mobile Access Gateway Properties > Authentication에서 구성한 Two-Factor Authentication with SMS One Time Password(OTP) 설정에 따라 다릅니다.

구성할 수 있는 DynamicID 기능과 GuiDBEdit에서의 편집 위치는 다음과 같습니다.

메시지 재전송 횟수 구성 — GuiDBEdit에서 다음 속성을 편집합니다.

GuiDBEdit에서 값을 편집한 뒤:

메시지 재전송 횟수 구성(CLI)

기본값으로 사용자는 I didn't get the verification code 링크를 클릭해 인증 코드 메시지를 세 번 다시 요청할 수 있고, 그 뒤에는 Mobile Access Portal에서 잠깁니다. 재전송 가능 횟수는 Mobile Access CLI에서 Expert mode로 cvpnd_settings 명령으로 구성합니다.

인증 코드 메시지 재전송 횟수를 5회로 바꾸려면, Security Gateway에서 Expert mode로 다음을 실행합니다.

cvpnd_settings set smsMaxResendRetries 5

5 를 다른 숫자로 바꾸면 재시도 횟수를 달리 설정할 수 있습니다. 변경 후에는 cvpnrestart 명령을 실행해 설정을 적용합니다. Mobile Access Security Gateway가 클러스터의 일부라면 각 Cluster Member에 같은 변경 을 적용해야 합니다.

Security Gateway별 2단계 인증

응용별 2단계 인증

응용별로 2단계 인증을 구성하려면:

SMS 공급자 인증서·프로토콜 바꾸기

기본값으로는 SMS 공급자와 통신할 때 보안(https) 프로토콜 을 쓰기를 권장합니다. Mobile Access는 또 미리 정의된 신뢰할 수 있는 CA 묶음 으로 공급자 서버 인증서를 검증합니다.

SMS 공급자가 신뢰되지 않는 서버 인증서 를 쓴다면 다음 중 하나를 할 수 있습니다.

SMS 공급자가 비보안 HTTP 프로토콜 로 동작한다면, $CVPNDIR/conf/cvpnd.C 파일을 편집해 SmsWebClientProcArgs 값을 ("") 로 바꿉니다.

Image-based RADIUS 는 Mobile Access Portal 인증의 2차 인증 요소 로 쓰며, Mobile Access가 제3자 인증 서비스와 통합 되게 해 줍니다.

이 인증 요소의 이미지는 격자(grid)에 무작위 숫자가 배열된 패턴 입니다. 인증할 때 사용자는 미리 정해 둔 패턴에 해당하는 위치의 숫자 들을 고릅니다.

Image-Based RADIUS 구성

Mobile Access에서 image-based RADIUS를 인증 요소로 쓰려면, SmartConsole로 RADIUS 인증을 구성해야 합니다.

SmartConsole에서 Mobile Access 인증 요소를 구성하려면:

Security Gateway에서 Image-Based RADIUS 켜기

Image-based RADIUS를 켜려면, 이를 인증 요소로 쓰는 각 Mobile Access Security Gateway에서 $CVPNDIR/conf/cvpnd.C 파일을 편집합니다.

:isImageBasedRadiusEnabled (false)
:ImageBasedRadiusRealmNames (
)
:ImageBasedRadiusURL ("")

Remote Access VPN 클라이언트를 RADIUS 서버에서 MS-CHAPv2 프로토콜과 UPN(<username>@<domain>) 으로 인증하도록 켜려면 다음과 같이 합니다.

   ckp_regedit -p SOFTWARE/Checkpoint/VPN1 | grep --color RADIUS_MSCHAPV2_UPN
   

   ckp_regedit -a SOFTWARE/Checkpoint/VPN1 RADIUS_MSCHAPV2_UPN -n 1
   

이 명령은 즉시 적용되며 재시작이 필요 없 습니다.

이 기능을 끄려면:

   ckp_regedit -a SOFTWARE/Checkpoint/VPN1 RADIUS_MSCHAPV2_UPN -n 0
   

reCAPTCHA 서비스는 고급 위험 분석 엔진과 적응형 CAPTCHA 로 자동화 소프트웨어가 악용 행위를 하지 못하게 막습니다. 악의적 로그인을 막으면서도 인증된 사용자는 수월하게 통과시킵니다.

Security Gateway에 Google reCAPTCHA v2 를 구성하면, 잘못된 로그인 시도가 여러 번 일어났을 때 사용자에게 reCAPTCHA를 띄웁니다. reCAPTCHA는 사용자가 실패 시도 최대 횟수에 도달 했을 때 챌린지로 나타납니다.

Google에 Mobile Access를 reCAPTCHA로 등록

Mobile Access에서 reCAPTCHA를 쓰려면 Mobile Access Portal의 FQDN을 reCAPTCHA에 등록 해야 합니다. 방법은 Google reCAPTCHA 사이트의 안내를 참고합니다.

Mobile Access Portal에 reCAPTCHA 추가

reCAPTCHA는 Security Gateway를 직접 수동 구성 해야 합니다. reCAPTCHA를 켜려면 Security Gateway에 다음이 필요합니다.

FQDN이 아니라 IP 주소로 포털에 접속하면 FQDN 링크로 리디렉트 됩니다.

Security Gateway를 수동 구성하려면 $CVPNDIR/conf/cvpnd.C 파일을 편집합니다.

파일에는 다음이 보입니다.

:isCaptchaEnabled (false)
:isCaptchaEnabledForRelogin (false)
:captchaFailOpen (false)
:captchaPenaltyTimeInSeconds (1800)
:captchaFailedAttemptsThreshold (2)
:reCaptchaSiteKey ()
:reCaptchaSecret ()
:isCaptchaSettingsVerifierEnabled (false)

reCAPTCHA 챌린지를 받으면 일부 자바스크립트가 브라우저로 다운로드됩니다.

Security Gateway의 메인 Legacy Authentication 페이지에서 블레이드의 인증을 구성하면, 사용자가 인증을 시도할 때 게이트웨이가 표준 방식 으로 사용자를 찾습니다. 검색 순서는 다음과 같습니다.

Mobile Access 정책을 구성하려면:

Mobile Access Portal 동시 로그인

한 사용자가 두 곳에서 동시에 Mobile Access에 로그인하는 것은 잠재적 보안 문제입니다. 동시 로그인 방지(Simultaneous login prevention) 는 한 번보다 많이 로그인한 원격 사용자를 게이트웨이가 자동으로 끊게 해 줍니다.

동시 로그인 방지가 켜져 있고 같은 인증 정보로 두 다른 컴퓨터에서 로그인하면, 나중 로그인만 정당한 것 으로 보고 앞선 세션은 로그아웃됩니다.

동시 로그인 방지 구성

동시 로그인 방지는 SmartDashboard의 Mobile Access 탭에서 Additional Settings > Session 을 선택해 구성합니다. 옵션은 다음과 같습니다.

동시 로그인 추적

동시 로그인 이벤트를 추적하려면, Additional Settings > Session 페이지의 Tracking 영역에서 All Events 를 선택합니다.

게이트웨이가 사용자를 끊으면, 두 로그인의 연결 정보를 모두 담은 로그 를 기록합니다. 모든 끊김·연결 이벤트는 트래픽 로그에 대응 항목을 만듭니다. 동시 로그인과 관련된 authentication status 필드의 값 은 다음과 같습니다.

동시 로그인 관련 이슈

동시 로그인과 관련해 다음 이슈가 생길 수 있습니다.

Endpoint Connect — Endpoint Connect 사용자에게는 Mobile Access가 동시 로그인을 막지 않습니다. 이는 "User can have several simultaneous logins to the portal" 옵션과 같습니다. Endpoint Connect 사용자는 같은 사용자 이름의 다른 사용자를 로그아웃시킬 수 없고, 같은 사용자 이름의 다른 사용자에게 로그아웃당하지도 않습니다.

SecureClient Mobile — User can have only a single simultaneous login to the portal 을 선택하고 Inform user before disconnecting previous sessions 를 선택하지 않은 경우, SecureClient Mobile 사용자는 다른 사용자에게 로그오프당할 수 있고, 다른 사용자를 로그오프할 수도 있습니다. 다만 Inform user before disconnecting his previous session 옵션은 동작하지 않 습니다. 그 사용자들에게는 메시지를 보낼 수 없기 때문입니다. 이 사용자는 로그오프당할 수는 있지만, 다른 사용자를 로그오프할 수는 없습니다.

그 밖의 이슈

세션 타임아웃

인증 후 원격 사용자는 로그아웃하거나 세션이 종료될 때까지 Mobile Access 세션 안에서 작업합니다. 보안 모범 사례에서는 보안 원격 자원의 오용을 막기 위해 활성·비활성 Mobile Access 세션의 길이를 제한 하라고 권합니다.

Mobile Access는 두 종류의 세션 타임아웃을 제공하며, 둘 다 SmartDashboard의 Mobile Access 탭에서 Additional Settings > Session 을 선택해 구성합니다.

Capsule 클라이언트의 경우:

Mobile Profile 창이 열립니다. 6. Security 탭을 엽니다. 7. Access Settings 영역에서 Session timeout 필드에 해당 값을 구성합니다(예: "2 Hours"). 8. OK 를 클릭합니다. 9. 정책을 설치합니다.

Roaming(로밍)

Roaming 옵션은 사용자가 활성 세션 동안 IP 주소를 바꿀 수 있게 해 줍니다.

Tracking(추적)

Mobile Access를 구성해 로그인 시도, 로그아웃, 타임아웃, 활동 상태, 라이선스 만료 경고 를 포함한 세션 활동을 로그로 남길 수 있습니다.

인증 자격 증명 보호

같은 컴퓨터에서 여러 사용자가 Mobile Access Portal에 접근 하는 것은 보안 위험이 될 수 있습니다. Mobile Access Portal에 로그인한 사용자가 새 브라우저 창을 열면 앞선 세션의 접근 권한을 그대로 얻 을 수 있고, 그러면 다시 로그인하지 않고도 곧장 Mobile Access Portal로 들어갈 수 있습니다.

인증 자격 증명을 남에게 도용당하지 않도록, 브라우저 사용을 마치면 로그오프하거나 모든 브라우저 창을 닫 으라고 사용자에게 권하세요.

조직이 사용자 관리에 Microsoft Active Directory(AD) 를 쓴다면, 다음 비밀번호 설정으로 사용자가 끊김 없이 원격 접근 하게 할 수 있습니다.

비밀번호 만료 경고

관리자는 SmartDashboard를 구성해 비밀번호가 만료되기 전에 바꾸라 고 사용자에게 알릴 수 있습니다. 이는 사용자가 자원에 끊김 없이 접근하게 하는 효율적인 방법입니다(sk33404 참고).

만료된 비밀번호 다루기

비밀번호는 다음 경우에 만료됩니다.

그러면 Mobile Access나 VPN 클라이언트 포털에 들어가려고 새 비밀번호를 입력하고 확인 해야 합니다.

만료 후 비밀번호 변경 구성

만료 후 비밀번호 변경은 R71 이상 Security Gateway 에서 구성할 수 있습니다. LDAP 서버가 LDAP over SSL로 동작 하도록 구성되어 있는지 확인하세요.

만료 후 비밀번호 변경을 켜려면:

LDAP·사용자 관리에 관한 자세한 내용은 R82 Security Management Administration Guide 를 참고하세요.

세션 가시성·관리 소개

Session Visibility and Management Utility 가 켜져 있으면, 사용자가 R77.30 이상 Security Gateway에 원격 접속할 때마다 그 데이터가 SQL 데이터베이스에 기록 됩니다. 이 데이터베이스에 이 유틸리티로 쿼리를 실행할 수 있습니다. 유틸리티로 할 수 있는 일은 다음과 같습니다.

주요 명령은 아래에 설명합니다. 구성 XML 파일을 편집해 사용자 정의 명령 을 만들 수도 있습니다(고급 구성은 sk104644 참고).

다음 Check Point 클라이언트는 이 유틸리티에서 완전히 지원 됩니다.

다음 클라이언트는 지원되지만 세션을 끊을 수는 없 습니다.

Security Gateway에서 유틸리티 켜기

기본값으로 Session Visibility and Management Utility는 꺼져 있 습니다.

유틸리티를 켜거나 끄려면:

   RAsession_util on
   

끄려면 다음을 실행합니다.

   RAsession_util off
   

열린 세션 수 보기

구문:

RAsession_util show sessions_num

Remote Access 사용자 끊기

구문:

RAsession_util terminate {all | byuser <user> | bysession_id <id> | custom <SQL constraint>}

예:

RAsession_util terminate all
RAsession_util terminate byuser james_wilson
RAsession_util terminate bysession_id 521bd4788
RAsession_util terminate custom "src_ip='1.1.1.1'"

사용자 데이터 보기

구문:

RAsession_util show users {all | byname <user_name> | where <where_clause>}

예:

RAsession_util show users all
RAsession_util show users byuser "james_wilson"
RAsession_util show users where "client_name='Mobile Access Portal'"

마지막 명령은 Mobile Access Portal로 접속한 모든 사용자를 보여 줍니다.

Constraint(조건) 쓰기

기본 정의와 다른 사용자를 끊거나 그 데이터를 보려면 constraint 를 씁니다. 먼저 Remote Access 세션에 대한 Check Point 스키마에 익숙해진 뒤, 필드 이름이나 유형으로 일치하는 사용자에게 terminate 나 show users 명령을 실행합니다.

유효한 constraint 필드를 보려면:

RAsession_util show scheme

예 — 클라이언트가 Mobile Access Portal인 사용자에 대해 주어진 필드들을 보여 주며, 결과를 생성 시간순으로 정렬합니다.

RAsession_util show custom -FIELDS "session_id,user_name,client_name,browser_name,machine_name,os_name" -WHERE "client_name='Mobile Access Portal'" -ORDERBY "creation_time"

예 — 클라이언트 유형이 Capsule Workspace인 경우 주어진 필드들을 보여 줍니다.

RAsession_util show custom -FIELDS "user_name,sessionid,client_ver,client_build_number,os_name,os_ver,device_type" -WHERE "client_name='Capsule Workspace'"

Session Visibility and Management 명령

SCHEME

SESSION_OP

  SESSION_OP <Operation_type> <Sql_constraint [list_of_parameters]>
  

예:

SESSION_OP terminate "username='James Wilson'"

SESSION_OP terminate "username=$1 and srcip=$2" "James Wilson,192.0.2.10"

SELECT

  SELECT <-FIELDS <fields>> [-WHERE <where_clause> [list_of_parameters]] [-GROUPBY <group_by_fields>] [-ORDERBY <order_by_fields>] [-LIMIT <limit_size> [-OFFSET <offset_number>]]
  

예:

SELECT -FIELDS "login name,clientname,sessionid" -WHERE "loginname='aa'" -ORDERBY "clientname"