Все шлюзы и серверы управления Check Point работают под управлением специализированной операционной системы Gaia (на базе Linux). У нее есть веб-интерфейс (Gaia Portal) для базовой настройки (IP-адреса, маршрутизация, бэкапы) и командная строка (CLI) с двумя режимами работы: стандартным упрощенным clish и экспертным expert (полноценный bash-терминал Linux).
В Check Point используется модульная архитектура Software Blades (программные блейды). Шлюз безопасности (SG) это единая платформа, на которой по принципу конструктора могут включаться (лицензироваться) нужные функции-модули, например Firewall & IPsec VPN, Application Control & URL Filtering, IPS (Intrusion Prevention System), Anti-Bot & Antivirus, SandBlast (Emulation & Extraction) и другие.
Для обогащения данных в Check Point используется модуль (Blade) Identity Awareness, который дает возможность использовать правила доступа на основе учетных записей и групп безопасности Active Directory (LDAP), распознавать устройства пользователя, использовать в логировании вместо IP адресов имена пользователей.
Установка Identity Awareness Blade производится при помощи Check Point Smart Console. Скачать его можно либо напрямую с сайта Check Point, но удобнее всего зайти в Check Point Gaia Portal по ссылке https://<IP_сервера> и на вкладке Overview нажать ссылку Download Now! (или Download SmartConsole в меню Maintenance).
В процессе установки мастер предложит выбрать способы и источники получения данных: Active Directory, Captive portal, Агенты терминального сервера. Остальные источники данных необходимо настраивать через окно настройки.
Модуль может получать информацию о пользователях через разные каналы в зависимости от архитектуры сети: Active Directory (LDAP), Captive Portal, специальных агентов устанавливаемых на компьютер пользователя или на серверы, RADIUS Accounting или собственный API.
Система управления сетевым доступом WNAM 2 имеет возможность взаимодействия с CheckPoint двумя способами: через Identity Web API и RADIUS Accounting. Далее в документе будут рассмотрены оба способа.
Для обращения к службе Identity Web API необходимо задать список хостов, которым разрешен доступ к службе, поэтому предварительно необходимо создать объект типа "Host". Для этого нужно в меню Objects выбрать пункт New Host.
В появившемся окне нужно заполнить имя под которым он будет отображаться в системе и IP адрес. (Также возможно настроить и другие параметры, но в данном случае они значения не имеют). таким образом мы добавили хост в Check Point.
Для работы Identity Web API необходимо включить его в настройках блэйда Identity Awareness и по нажатию кнопки "Settings" задать параметры:
В секции Client Access Permissions через какие интерфейсы будет доступен API (по умолчанию - все).
В секции Authorized Clients нужно добавить хосты с которых будет доступно использование API и указать секретный ключ API или использовать сгенерированный ключ.
В секции Authentication Settings указываются источники информации о пользователях
Первоначально в WNAM 2 необходимо создать сетевое устройство CheckPiont:
Параметры сетевого устройства
Далее в правиле авторизации необходимо добавить компонент "Отправка контекста":
В появившейся секции выбрать сетевое устройство CheckPoint созданное в предыдущем шаге^
После выполнения всех вышеуказанных действий при авторизации контекст будет передаваться в CheckPoint.
Для использования данного способа необходимо добавить сервер WNAM 2 (или, в случае кластерной конфигурации, несколько серверов), который будет оправлять данные. Для этого нужно в меню Objects выбрать пункт New Host.
В появившемся окне нужно заполнить имя под которым он будет отображаться в системе и IP адрес. (Также возможно настроить и другие параметры, но в данном случае они значения не имеют). таким образом мы добавили хост в Check Point.
Далее необходимо настроить Identity Awareness для работы с сервером WNAM 2. По нажатию кнопки "Settings" напротив пункта RADIUS Accounting в настройках модуля Identity Awareness откроется окно настройки получения данных через RADIUS Accounting. В данном окне, в секции "Authorized RADIUS Clients" необходимо при помощи кнопки "+" добавить хост сервера WNAM 2, настроенный ранее и в поле Shared Secret указать секретный ключ.
Также в секции "Message Attributes Indicies" можно настроить RADIUS атрибуты из которых Check Point будет брать информацию об пользователе, компьютере и IP адресе. Поле с индексом рядом с полем выбора атрибута предназначено для использования совместно с атрибутами Vendor-Specific (26)
В секции "Session Management" указывается время в течении которого информация о сопоставлении будет считатьcя актуальной без повторной отправки информации.
В секции "User Directories" можно настроить источник получения информации о пользователях (например указать только одну конкретную службу каталогов). По умолчанию используются все источники.
После того как сделаны все настройки Check Point, нужно настроить WNAM2. Для этого нужно при помощи пункта меню "Объекты - Уведомления" добавить новое уведомление нажав на кнопку 
.
Пример настройки уведомления показан на скришоте:
В поле "Условие срабатывания" необходимо указать событие при котором данные будут передаваться в CheckPoint. Например "Событие эндпоинта"
В поле обработчик необходимо указать "Отправлять в RADIUS" и в появившихся полях указать настройки сервера CheckPoint - IP адрес, порт RADIUS сервра (по умолчанию 1813) и секретный ключ RADIUS, который был настроен в модуле RADIUS Accounting блэйда Identity Awareness. Также можно указать сетевое устройство, категории и местоположения.
Самый простой и эффективный способ контроля наличия сопоставления пользователя с IP адерcом при настройке Identity Awareness - команда pdp monitor.
Данныая команда выполняется из режима expert Gaia CLI. Для этого нужно зайти в Gaia clish и ввести команду expert и ввести пароль.
Для получения информации о сопоставлении по IP адресу нужно ввести команду pdp monitor ip <IP-адрес>, по имени пользователя pdp monitor user <Имя>
Пример:
This system is for authorized use only.
Last login: Wed Jul 15 13:12:06 2026 from 10.11.12.27
gw-b933ed> expert
Enter expert password:
Warning! All configurations should be done through clish
You are in expert mode now.
[Expert@gw-b933ed:0]# pdp monitor ip 172.16.162.162
Session: 216774a3
Session UUID: {D7F7D8A5-AF8B-1282-DA30-2572C3E0FADF}
Ip: 172.16.162.162
Users:
student {e66f35b8}
LogUsername: student (student)
Groups: All Users
Roles: -
Client Type: Radius Accounting
Authentication Method: Trust
Distinguished Name: CN=student,CN=Users,DC=lab,DC=wnam,DC=ru
Connect Time: Wed Jul 15 13:23:10 2026
Next Reauthentication: Thu Jul 16 01:23:40 2026
Next Connectivity Check: -
Next Ldap Fetch: Wed Jul 15 16:39:50 2026
Packet Tagging Status: Not Active
Published Gateways: Local
************************************************************************************
[Expert@gw-b933ed:0]# |
В случае если сопоставление не обнаружено в CLI будет следующий ответ
[Expert@gw-b933ed:0]# pdp monitor ip 172.16.162.161 no information was found for 172.16.162.161 |
Для проверки работы Identity Awareness со стороны CheckPoint можно использовать команды (выполнять в expert mode):
pdp monitor all — выводит полный список всех активных пользователей, их IP-адресов и способов авторизации.
pdp monitor ip <IP-адрес> — показывает детальную информацию о сессии авторизации для конкретного IP-адреса.
pdp monitor user <Имя_пользователя> — ищет все активные сессии по имени конкретного пользователя.
pdp status — показывает общую информацию о работе процесса PDP (активен ли блейд, сколько сессий открыто).
pecli show all — выводит состояние локальной базы данных пользователей на шлюзе, полученной от сервера управления (PEP).
pecli show throughput — отображает статистику производительности и пропускной способности модуля Identity Awareness.