Установите и настройте агент служб терминалов

1. О единой регистрации для служб терминалов
2. Прежде чем вы начнете
3. Установите агент служб терминалов
4. Настройте агент служб терминалов
5. Управление списком исключений получателей
6. Укажите программы для учетной записи пользователя Backend-Service
7. Установить уровень журнала диагностики и просмотреть сообщения журнала
8. Смотрите также

Если у вас есть несколько пользователей, которые подключаются к вашему серверу терминалов или серверу Citrix, а затем подключаются к вашей сети или Интернету, может быть трудно контролировать отдельные потоки трафика от этих пользователей на основе их имен пользователей или членства в группах. Это происходит потому, что когда один пользователь проходит аутентификацию в Firebox, устройство сопоставляет этого пользователя с IP-адресом сервера терминалов или сервера Citrix. Затем, когда другой пользователь отправляет трафик с IP-адреса сервера терминалов или сервера Citrix, в Firebox появляется сообщение о том, что этот трафик также поступил от первого пользователя, прошедшего проверку подлинности. Firebox не может определить, кто из нескольких пользователей, одновременно подключенных к вашему серверу терминалов или серверу Citrix, генерировал какой-либо определенный трафик.

Если ваше устройство работает с Fireware v11.0 – v11.3.x, поддержка служб терминалов недоступна и параметры конфигурации не отображаются.

Чтобы убедиться, что ваши пользователи правильно идентифицированы, вы должны:

1. Установите агент служб терминалов WatchGuard на свой сервер терминалов (2012 или более позднюю версию) или сервер Citrix.
   Информацию о совместимости операционной системы см. В заметках о выпуске версии Fireware на вашей Firebox.
2. Настройте Firebox для аутентификации пользователей на портале аутентификации через порт 4100.
3. Включите настройки служб терминалов в файле конфигурации Firebox.

После выполнения этих параметров конфигурации, когда каждый пользователь сервера терминалов или сервера Citrix проходит проверку подлинности в своей Firebox, устройство отправляет агенту служб терминалов (агенту TO) идентификатор сеанса пользователя для каждого пользователя, который входит в систему. Агент служб терминалов также известен как Агент TO (владелец трафика). Агент служб терминалов отслеживает трафик, генерируемый отдельными пользователями (владельцами трафика), и сообщает идентификатор сеанса пользователя на устройство для каждого потока трафика, генерируемого клиентом сервера терминалов или сервера Citrix. Затем ваше устройство может правильно идентифицировать каждого пользователя и применять правильные политики безопасности к трафику для каждого пользователя на основе имен пользователей или групп.

Для получения дополнительной информации о том, как включить ваш Firebox для аутентификации пользователей через порт 4100, см. Настройте ваш Firebox в качестве сервера аутентификации а также О политике проверки подлинности WatchGuard (WG-Auth) ,

Когда вы используете агент служб терминалов, ваш Firebox может применять политики, основанные на именах пользователей или групп, только для трафика, который аутентифицирован. Если трафик поступает на устройство без информации об идентификаторе сеанса, устройство управляет трафиком так же, как оно управляет любым другим трафиком, для которого у него нет имени пользователя, сопоставленного с IP-адресом. Если в вашем файле конфигурации есть политика, которая может обрабатывать трафик с этого IP-адреса, устройство использует эту политику для обработки трафика. Если нет политики, соответствующей исходному IP-адресу трафика, устройство использует необработанные правила пакетов для обработки трафика.

Для получения дополнительной информации о том, как настроить параметры для необработанных пакетов, см. О необработанных пакетах ,

Если вы используете агент служб терминалов, ваш Firebox не сможет автоматически перенаправлять пользователей на портал аутентификации.

Чтобы ваша Firebox мог правильно обрабатывать системный трафик с сервера терминалов или сервера Citrix, агент служб терминалов использует специальную учетную запись пользователя с именем Backend-Service , которая является частью агента служб терминалов. Агент служб терминалов идентифицирует трафик, генерируемый системными процессами (вместо трафика пользователя), с помощью учетной записи пользователя Backend-Service. Вы можете добавить этого пользователя в список авторизованных пользователей и групп в конфигурации Firebox, а затем использовать его в политике, чтобы разрешить трафик на сервер и с него. Например, вы можете добавить настраиваемую политику фильтрации пакетов, аналогичную исходящей политике по умолчанию. Настройте политику для использования протокола TCP-UDP и разрешения трафика от учетной записи пользователя Backend-Service к Any-External .

В Fireware v11.11.2 и выше учетная запись пользователя Backend-Service автоматически добавляется при включении служб терминалов в настройках глобальной аутентификации служб терминалов в Firebox. Если вы используете более раннюю версию Fireware, вы должны добавить этого пользователя вручную. Для получения дополнительной информации о том, как добавить учетную запись пользователя Backend-Service в конфигурацию Firebox, см. Использование пользователей и групп в политиках , Обязательно выберите Any из выпадающего списка Auth Server .

Для получения дополнительной информации о том, как добавить политику, см. Добавить политики в вашу конфигурацию ,

Убедитесь, что обновления на вашем сервере терминалов или сервере Citrix запланированы для запуска под учетной записью пользователя системы, локальной службы или сетевой службы. Агент служб терминалов распознает эти учетные записи пользователей как учетную запись Backend-Service и разрешает трафик. Если вы планируете запускать обновления от имени другой учетной записи, этот пользователь должен вручную пройти аутентификацию на портале приложений, чтобы сервер получал обновления. Если этот пользователь не аутентифицирован на портале аутентификации, трафик не разрешается, и сервер не получает обновления.

Агент служб терминалов не может контролировать трафик ICMP, NetBIOS или DNS. Это также не управляет трафиком к порту 4100 для Аутентификации Firebox. Чтобы контролировать эти типы трафика, вы должны добавить определенные политики в ваш файл конфигурации Firebox, чтобы разрешить трафик.

Поддержка служб терминалов недоступна, если ваш Firebox находится в режиме моста или является членом активного / активного FireCluster.

О единой регистрации для служб терминалов

Решение служб терминалов WatchGuard также поддерживает функцию единого входа с агентом служб терминалов. Когда пользователь входит в домен, агент служб терминалов собирает информацию о пользователе (учетные данные пользователя, группы пользователей и имя домена) из события входа пользователя в систему Windows и отправляет ее в Firebox. Затем устройство создает сеанс аутентификации для пользователя и отправляет идентификатор сеанса пользователя агенту служб терминалов, чтобы пользователю не приходилось вручную проходить аутентификацию на портале аутентификации. Когда пользователь выходит из системы, агент служб терминалов автоматически отправляет информацию о выходе из системы на устройство, и устройство закрывает аутентифицированный сеанс для этого пользователя.

Параметр единого входа для агента служб терминалов не использует какие-либо компоненты решения WatchGuard для единого входа (агент единого входа, клиент единого входа, монитор журнала событий, монитор Exchange). Вам не нужно устанавливать какие-либо компоненты единого входа в WatchGuard, чтобы использовать параметр единого входа для агента служб терминалов.

Служба единого входа в службы терминалов позволяет пользователям войти в систему один раз и автоматически получить доступ к вашей сети без дополнительных шагов аутентификации. Благодаря единому входу в систему для служб терминалов пользователям не нужно вручную проходить аутентификацию на портале аутентификации. Однако пользователи, вошедшие в систему через терминальные службы, могут по-прежнему вручную проходить аутентификацию с другими учетными данными. Аутентификация вручную всегда отменяет аутентификацию единого входа с агентом служб терминалов.

Хотя агент служб терминалов не взаимодействует с компонентами решения WatchGuard Single Sign-On, если вы используете компоненты решения WatchGuard Single Sign-On и агент служб терминалов, WatchGuard рекомендует добавить любые серверы терминалов, которые вы используете с агент служб терминалов в список исключений единого входа. Дополнительные сведения см. В разделе « Определение исключений единого входа » в разделе. Включить единый вход Active Directory (SSO) ,

Прежде чем вы начнете

Перед установкой агента служб терминалов на сервер терминалов или сервер Citrix убедитесь, что:

• Операционная система сервера - Windows Server 2012 или более поздняя.
• Службы терминалов или службы удаленных рабочих столов включены на вашем сервере
• Порты 4131–4134 открыты

Установите агент служб терминалов

Агент служб терминалов можно установить на сервере терминалов или сервере Citrix с 32-разрядной или 64-разрядной операционной системой. Существует одна версия установщика агента служб терминалов для обеих операционных систем.

Чтобы установить агент служб терминалов на свой сервер:

1. Перейти к Центр загрузки программного обеспечения WatchGuard ,
2. Найдите страницу загрузки программного обеспечения для вашего Firebox.
3. Загрузите последнюю версию установщика агента служб терминалов и скопируйте его на сервер, на котором установлены службы терминалов, или сервер Citrix.
4. Запустите установщик.
   Откроется мастер TO Agent.
5. Чтобы запустить мастер, нажмите Далее .
6. Завершите работу мастера, чтобы установить агент служб терминалов на свой сервер.
7. Перезагрузите ваш сервер терминалов или сервер Citrix.

Настройте агент служб терминалов

После установки агента служб терминалов на сервере терминалов или сервере Citrix вы можете использовать инструмент TO Settings для настройки параметров агента служб терминалов.

1. Выберите Пуск> Все программы> WatchGuard> TO Agent> Set Tool .
   Откроется диалоговое окно «Настройки агента TO» с выбранной вкладкой «Список исключений получателей».

1. Чтобы настроить параметры агента служб терминалов, следуйте инструкциям в следующих разделах.
2. Нажмите Закрыть .

Управление списком исключений получателей

Поскольку агенту служб терминалов не нужно отслеживать трафик, который не контролируется Firebox, вы можете указать один или несколько IP-адресов назначения или диапазон IP-адресов назначения для трафика, который вам не нужен агент служб терминалов. контролировать. Обычно это трафик, который не проходит через ваш Firebox, такой как трафик, который не включает учетную запись пользователя (к которой не применяются политики аутентификации), трафик в вашей сетевой интрасети или трафик на сетевые принтеры.

Вы можете добавлять, редактировать и удалять пункты назначения для трафика, который вы не хотите отслеживать агентом служб терминалов.

Чтобы добавить пункт назначения:

1. Выберите вкладку « Список исключений получателей ».
2. Нажмите Добавить .
   Откроется диалоговое окно Add Destination Exception.

1. В раскрывающемся списке « Выберите тип» выберите параметр:
   • IP-адрес хоста
   • Сетевой IP-адрес
   • Диапазон IP-адресов
2. Если вы выбираете IP-адрес хоста , введите IP-адрес для исключения.
   Если вы выбираете Сетевой IP-адрес , введите Сетевой адрес и Маску для исключения.
   Если вы выберете Диапазон IP-адресов , введите Исключительный IP-адрес начала диапазона и Конечный IP-адрес диапазона.
3. Нажмите Добавить .
   Указанная вами информация появится в списке исключений получателей.
4. Чтобы добавить дополнительные адреса в список исключений получателей , повторите шаги 4–7.

Чтобы изменить пункт назначения в списке:

1. Из списка исключений адресатов выберите пункт назначения.
2. Нажмите Изменить .
   Откроется диалоговое окно «Исключение получателя».
3. Обновите информацию о месте назначения.
4. Нажмите ОК .

Чтобы удалить пункт назначения из списка:

1. Из списка исключений адресатов выберите пункт назначения.
2. Нажмите Удалить .
   Выбранный адрес будет удален из списка.

Укажите программы для учетной записи пользователя Backend-Service

Агент служб терминалов идентифицирует трафик, генерируемый системными процессами, с помощью учетной записи пользователя Backend-Service. По умолчанию это включает трафик от программ SYSTEM, Network Service и Local Service. Вы также можете указать другие программы с расширением EXE, которые вы хотите, чтобы агент служб терминалов связывал с учетной записью Backend-Service, чтобы они разрешались через ваш брандмауэр. Например, clamwin.exe, SoftwareUpdate.exe, Safari.exe или ieexplore.exe.

Чтобы указать программы для агента служб терминалов, которые будут связаны с учетной записью пользователя Backend-Service:

1. Выберите вкладку Backend-Service .

1. Нажмите Добавить .
   Откроется диалоговое окно «Открыть».
2. Найдите и выберите программу с расширением EXE.
   Путь к программе появится в списке Backend-Service.
3. Чтобы удалить программу из списка Backend-Service , выберите программу и нажмите « Удалить» .
   Путь к программе удаляется из списка.

Установить уровень журнала диагностики и просмотреть сообщения журнала

Можно настроить уровень журнала диагностики для агента служб терминалов (агента TO) и приложений TO Set Tool. Сообщения журнала, создаваемые каждым приложением, сохраняются в текстовом файле.

Размер файла журнала ограничен 10 МБ. Когда максимальный размер файла журнала составляет 10 МБ, он сжимается в формате GZIP до размера приблизительно 1 МБ и перемещается в папку архива, которая является подпапкой в ​​каталоге \ LOGS для вашего экземпляра агента TO. В папке архива может быть не более 30 сжатых файлов. Когда достигается максимум 30 файлов и в папку добавляется новый сжатый файл GZIP, самый старый файл GZIP удаляется, чтобы освободить место для нового файла.

Чтобы просмотреть сообщения журнала, сгенерированные для агента TO или инструмента Set Set, вы можете открыть файл журнала для каждого приложения на вкладке « Уровень журнала диагностики ».

1. Выберите вкладку « Уровень журнала диагностики ».

1. В раскрывающемся списке « Установить уровень журнала диагностики» выберите приложение:
   • TOAgent (это агент служб терминалов.)
   • Установить инструмент
2. Переместите ползунок « Настройки», чтобы установить уровень журнала диагностики для выбранного приложения.
3. Чтобы просмотреть доступные файлы журнала для выбранного приложения, нажмите « Просмотреть журнал» .
   Откроется текстовый файл с доступными сообщениями журнала для выбранного приложения.
4. Чтобы настроить параметры и просмотреть сообщения журнала для другого приложения, повторите шаги 2–4.

Подробные инструкции о том, как выполнить настройку служб терминалов для вашей Firebox, см. В разделе Настройка параметров служб терминалов ,

Смотрите также

Настройка параметров служб терминалов

Настройте проверку подлинности Active Directory

Установить значения глобальной аутентификации брандмауэра

Установите уровень журнала диагностики

Похожие

Комментарии