Профили клиентских сертификатов используются для проверки сертификатов, которые клиенты предоставляют при аутентификации для доступа к приложениям, сегментам сети или ресурсам.
При проверке сертификата выполняются следующие действия:
определяется имя пользователя на основе соответствующего атрибута сертификата;
проверяется цепочка доверия сертификата;
проверяется подлинность и актуальность сертификата.
способы определения имени пользователя для аутентификации.
При выборе аутентификации по сертификатам (PKI) укажите предварительно настроенный профиль клиентского сертификата. Один профиль можно использовать в различных подсистемах UserGate NGFW, например на captive-портале, веб-портале, в VPN и reverse-прокси.
Чтобы создать профиль клиентского сертификата:
В разделе Настройки ➜ UserGate ➜ Профили клиентских сертификатов нажмите Добавить и укажите значения следующих параметров.
Параметр
Описание
Название
Название профиля клиентских сертификатов
Описание
Произвольное описание профиля
Получать имя пользователя из
Выбор атрибута сертификата, из которого межсетевой экран будет извлекать имя пользователя для аутентификации:
Common-name — доменное имя или имя узла, указанное в поле Subject сертификата.
Principal name — имя пользователя определяется по значению Universal Principal Name (UPN), указанному в поле otherName расширения SAN (Subject Alternative Name).
Subject altname email — имя пользователя определяется по адресу электронной почты, указанному в параметре с префиксом email расширения SAN.
Subject altname IPv4 — источник VPN-соединения идентифицируется по IP-адресу, указанному в поле iPAddress расширения SAN (доступно в версии 7.5.0 и выше).
Если в сертификате указано несколько значений UPN или адресов электронной почты в расширении SAN, используется первое значение
Сертификаты УЦ
Сертификаты корневых и промежуточных удостоверяющих центров, участвовавших в выдаче сертификатов клиентов. Используются для проверки цепочки доверия сертификата клиента. При проверке сертификата клиента выполняется проверка его подлинности относительно каждого сертификата УЦ, указанного в списке. Сертификаты проверяются последовательно, сверху вниз
Проверка отозванных сертификатов
Списки отозванных сертификатов (CRL) содержат сведения о сертификатах, действие которых было прекращено, например в случае их компрометации. Сертификат, отозванный удостоверяющим центром, не должен использоваться для аутентификации.
Для параметра доступны следующие значения:
Не проверять — не проверять статус отзыва сертификата. Доступ предоставляется независимо от того, отозван сертификат или нет.
Вся цепочка — проверять статус отзыва всех сертификатов в цепочке доверия. Все сертификаты в цепочке должны быть действительными. В параметре Сертификаты УЦ необходимо добавить сертификаты корневого и всех промежуточных удостоверяющих центров, участвовавших в выдаче сертификатов клиентов.
Сертификат пользователя — проверять статус отзыва только сертификата клиента. В параметре Сертификаты УЦ необходимо добавить сертификат удостоверяющего центра, которым подписан сертификат клиента.
Считать валидным, если статус неизвестен — считать сертификат действительным, если его статус отзыва не удалось определить, например если NGFW не смог получить CRL. Если сертификат найден в списке отозванных сертификатов, он считается недействительным независимо от этого параметра
Тайм-аут проверки
Дополнительный параметр определяет максимальное время ожидания ответа от службы списков отозванных сертификатов о статусе сертификата. Если ответ не получен в течение указанного интервала, сертификат считается действительным. При выполнении остальных условий аутентификация по сертификату разрешается
