| Table of Contents | ||
|---|---|---|
|
Краткое описание
Все шлюзы и серверы управления Check Point работают под управлением специализированной операционной системы Gaia (на базе Linux). У нее есть веб-интерфейс (Gaia Portal) для базовой настройки (IP-адреса, маршрутизация, бэкапы) и командная строка (CLI) с двумя режимами работы: стандартным упрощенным clish и экспертным expert (полноценный bash-терминал Linux).
...
Модуль может получать информацию о пользователях через разные каналы в зависимости от архитектуры сети: Active Directory (LDAP), Captive Portal, специальных агентов устанавливаемых на компьютер пользователя или на серверы, RADIUS Accounting или собственный API.
Для взаимодействия с системой WNAM 2 необходимо настроить способ "
Система управления сетевым доступом WNAM 2 имеет возможность взаимодействия с CheckPoint двумя способами: через Identity Web API и RADIUS Accounting. Далее в документе будут рассмотрены оба способа.
Отправка данных через Identity Web API
...
Для обращения к службе Identity Web API необходимо задать список хостов, которым разрешен доступ к службе, поэтому предварительно необходимо создать объект типа "Host". Для этого нужно в меню Objects выбрать пункт New Host.
...
Настройка WNAM 2
Первоначально в WNAM 2 необходимо создать сетевое устройство CheckPiont:
...
После выполнения всех вышеуказанных действий при авторизации контекст будет передаваться в CheckPoint.
Отправка данных через RADIUS Accounting
Для использования данного способа необходимо добавить сервер WNAM 2 (или, в случае кластерной конфигурации, несколько серверов), который будет оправлять данные. Для этого нужно в меню Objects выбрать пункт New Host.
В появившемся окне нужно заполнить имя под которым он будет отображаться в системе и IP адрес. (Также возможно настроить и другие параметры, но в данном случае они значения не имеют). таким образом мы добавили хост в Check Point.
Далее необходимо настроить Identity Awareness для работы с сервером WNAM 2. По нажатию кнопки "Settings" напротив пункта RADIUS Accounting в настройках модуля Identity Awareness откроется окно настройки получения данных через RADIUS Accounting. В данном окне, в секции "Authorized RADIUS Clients" необходимо при помощи кнопки "+" добавить хост сервера WNAM 2, настроенный ранее и в поле Shared Secret указать секретный ключ.
Также в секции "Message Attributes Indicies" можно настроить RADIUS атрибуты из которых Check Point будет брать информацию об пользователе, компьютере и IP адресе. Поле с индексом рядом с полем выбора атрибута предназначено для использования совместно с атрибутами Vendor-Specific (26)
В секции "Session Management" указывается время в течении которого информация о сопоставлении будет считатьcя актуальной без повторной отправки информации.
В секции "User Directories" можно настроить источник получения информации о пользователях (например указать только одну конкретную службу каталогов). По умолчанию используются все источники.
После того как сделаны все настройки Check Point, нужно настроить WNAM2. Для этого нужно при помощи пункта меню "Объекты - Уведомления" добавить новое уведомление нажав на кнопку 
.
Пример настройки уведомления показан на скришоте:
В поле "Условие срабатывания" необходимо указать событие при котором данные будут передаваться в CheckPoint. Например "Событие эндпоинта"
В поле обработчик необходимо указать "Отправлять в RADIUS" и в появившихся полях указать настройки сервера CheckPoint - IP адрес, порт RADIUS сервра (по умолчанию 1813) и секретный ключ RADIUS, который был настроен в модуле RADIUS Accounting блэйда Identity Awareness. Также можно указать сетевое устройство, категории и местоположения.
Проверка получения информации сервером
Самый простой и эффективный способ контроля наличия сопоставления пользователя с IP адерcом при настройке Identity Awareness - команда pdp monitor.
Данныая команда выполняется из режима expert Gaia CLI. Для этого нужно зайти в Gaia clish и ввести команду expert и ввести пароль.
Для получения информации о сопоставлении по IP адресу нужно ввести команду pdp monitor ip <IP-адрес>, по имени пользователя pdp monitor user <Имя>
Пример:
| Code Block | ||||||
|---|---|---|---|---|---|---|
| ||||||
This system is for authorized use only.
Last login: Wed Jul 15 13:12:06 2026 from 10.11.12.27
gw-b933ed> expert
Enter expert password:
Warning! All configurations should be done through clish
You are in expert mode now.
[Expert@gw-b933ed:0]# pdp monitor ip 172.16.162.162
Session: 216774a3
Session UUID: {D7F7D8A5-AF8B-1282-DA30-2572C3E0FADF}
Ip: 172.16.162.162
Users:
student {e66f35b8}
LogUsername: student (student)
Groups: All Users
Roles: -
Client Type: Radius Accounting
Authentication Method: Trust
Distinguished Name: CN=student,CN=Users,DC=lab,DC=wnam,DC=ru
Connect Time: Wed Jul 15 13:23:10 2026
Next Reauthentication: Thu Jul 16 01:23:40 2026
Next Connectivity Check: -
Next Ldap Fetch: Wed Jul 15 16:39:50 2026
Packet Tagging Status: Not Active
Published Gateways: Local
************************************************************************************
[Expert@gw-b933ed:0]# |
В случае если сопоставление не обнаружено в CLI будет следующий ответ
| Code Block | ||||||
|---|---|---|---|---|---|---|
| ||||||
[Expert@gw-b933ed:0]# pdp monitor ip 172.16.162.161 no information was found for 172.16.162.161 |
Проверить работу Для проверки работы Identity Awareness со стороны CheckPoint можно с помощью команд использовать команды (выполнять в expert mode):
...