Rubriques Connexes

# Définir les valeurs d'authentification globale au pare-feu

Lorsque vous configurez les paramètres globaux d'authentification du Firebox, vous pouvez configurer les valeurs globales pour l'authentication au pare-feu, telles que les valeurs de délai d'attente, les limites de session de connexion des utilisateurs et les paramètres de redirection vers la page d'authentification. Vous pouvez aussi activer Single Sign-On (SSO) et configurer les paramètres Terminal Services. Pour plus d'informations sur SSO et Terminal Services, consultez Activer le Single Sign-On (SSO) d'Active Directory et Configurer les paramètres Terminal Services.

Si vous configurez les limites de session de connexion utilisateurs pour des utilisateurs individuels ou des groupes, les limites définies pour un groupe et pour un utilisateur remplacent le paramètre global.

Vous pouvez aussi configurer les paramètres globaux qui s'appliquent aux comptes d'utilisateur de Gestion des périphériques.

Si votre périphérique exécute Fireware v11.0–v11.3.x, les paramètres d'authentification Terminal Services ne sont pas disponibles.

## Spécifier les paramètres d'authentification au pare-feu

Pour configurer les paramètres d'authentification au pare-feu à partir Fireware Web UI :

1. Se Connecter à Fireware Web UI.
2. Sélectionnez Authentification > Paramètres.
   La page Paramètres s'affiche.

1. Configurez les paramètres d'authentification selon la procédure décrite dans les sections suivantes.
2. Cliquez sur Sauvegarder.

Pour configurer les paramètres d'Authentification au Pare-feu, dans Policy Manager :

1. Ouvrir Policy Manager.
2. Sélectionnez Configuration > Authentification > Paramètres d'authentification.
   La boîte de dialogue Paramètres d'authentification s'ouvre avec l'onglet Authentification au pare-feu sélectionné par défaut.

1. Configurez les paramètres d'authentification selon la procédure décrite dans les sections suivantes.
2. Cliquez sur OK.

## Définir des délais d'authentification globale

Vous pouvez définir la durée pendant laquelle les utilisateurs restent authentifiés après avoir fermé leur dernière connexion authentifiée. Pour les utilisateurs authentifiés par des serveurs tiers, les délais définis par ces serveurs remplacent les délais d'authentification globale.

Les valeurs de délai d'authentification globale pour l'authentification au pare-feu ne remplacent pas les paramètres de délai d'authentification des utilisateurs individuels pour les utilisateurs de Mobile VPN with L2TP.

Délai d'expiration de la session

Durée maximale pendant laquelle l'utilisateur peut envoyer du trafic au réseau externe. Si vous entrez dans ce champ un nombre de secondes, de minutes, d'heures ou de jours égal à zéro (0), aucun délai d'expiration de la session n'est utilisé et l'utilisateur peut rester connecté aussi longtemps qu'il le souhaite.

Délai d'inactivité

Durée maximale pendant laquelle l'utilisateur peut rester authentifié tout en étant inactif (sans passer de trafic au réseau externe). Si vous entrez dans ce champ un nombre de secondes, de minutes, d'heures ou de jours égal à zéro (0), aucun délai d'inactivité ne sera défini pour la session et l'utilisateur pourra rester inactif aussi longtemps qu'il le souhaite.

Si vous réglez le Délai d'expiration de la session ou le délai d'inactivité sur 0, les utilisateurs authentifiés resteront authentifiés jusqu'à ce que le Firebox soit réinitialisé. Si votre réseau utilise le DHCP, l'adresse IP d'un utilisateur authentifié pourrait être réattribuée à un tout autre utilisateur. Si cela se produit, le nouvel utilisateur pourra se connecter à votre réseau sans authentification.

Pour plus d'informations sur les paramètres d'authentification de l'utilisateur, consultez Définir un nouvel utilisateur pour l'authentification Firebox.

## Autoriser un nombre illimité de sessions de connexion simultanées

Par défaut, l'option Autoriser des connexions simultanées d'authentification illimitées au pare-feu à partir d'un même compte est sélectionnée. Cette option permet à plusieurs utilisateurs de s'authentifier sur le serveur d'authentification en même temps. Cette option est utile pour les comptes invités ou les environnements de laboratoire.

Les paramètres globaux d'authentification pour les sessions d'utilisateur simultanées ne s'appliquent pas aux sessions de mobile VPN.

## Limiter les sessions de connexion

Pour limiter vos utilisateurs à un nombre spécifique de sessions authentifiées, sélectionnez Limiter les sessions d'utilisateur simultanées à. Si vous sélectionnez cette option, vous pouvez spécifier le nombre de fois que vos utilisateurs peuvent utiliser les mêmes informations d'identification pour se connecter à un serveur d'authentification à partir de différentes adresses IP. Lorsqu'un utilisateur authentifié essaie de s'authentifier à nouveau, vous pouvez opter soit pour la fermeture de la session du premier utilisateur lorsque la seconde session est authentifiée, soit pour le rejet de la seconde session.

1. Sélectionnez Authentification > Paramètres.
   La page Paramètres d'authentification s'affiche.
2. Sélectionnez Limiter les sessions utilisateurs simultanées à.
3. Dans la zone de texte, tapez ou sélectionnez le nombre de sessions utilisateurs simultanées autorisées.
4. Dans la liste déroulante, sélectionnez une option :
   - Rejeter les tentatives de connexion suivantes
   - Autoriser les tentatives de connexion suivantes et déconnecter la première session.

## Spécifier le serveur d'authentification par défaut sur le portail d'authentification

Quand ils se connectent sur le portail d'authentification, les utilisateurs doivent sélectionner le serveur d'authentification à utiliser pour l'authentification. Les utilisateurs peuvent choisir n'importe lequel des serveurs d'authentification que vous avez activés. Par défaut, le premier serveur dans la liste est Firebox-DB. Vous pouvez modifier ce paramètre de sorte qu'un autre serveur d'authentification activé figure en premier dans la liste des serveurs d'authentification. Cette fonction est utile si vous voulez que vos utilisateurs s'authentifient sur un serveur autre que Firebox-DB.

Pour sélectionner le serveur d'authentification par défaut :

Dans la liste déroulante Serveur d'authentification sur la page d'authentification, sélectionnez un serveur d'authentification.

Par exemple, si vous voulez que vos utilisateurs s'authentifient sur votre serveur Active Directory appelé Home AD, sélectionnez Home AD dans la liste déroulante.

Le serveur d'authentification par défaut que vous indiquez ici est également utilisé comme serveur d'authentification par défaut pour les connexions depuis l'appli FireClient lorsque la Sécurité Mobile est activée. Pour plus d'informations, consultez À propos de FireClient.

## Rediriger automatiquement les utilisateurs vers le portail d'authentification

Si vous exigez que les utilisateurs s'authentifient avant de pouvoir accéder à Internet, vous pouvez choisir d'envoyer automatiquement les utilisateurs qui ne sont pas encore authentifiés sur le portail d'authentification, ou les faire naviguer manuellement jusqu'au portail. Cela concerne uniquement les connexions HTTP et HTTPS.

Rediriger automatiquement les utilisateurs vers le portail de connexion

En activant cette case à cocher, tous les utilisateurs qui ne se sont pas encore authentifiés sont automatiquement redirigés vers le portail d'authentification lorsqu'ils essaient d'accéder à Internet. Si cette case n'est pas activée, les utilisateurs non authentifiés doivent naviguer manuellement jusqu'au portail d'authentification.

Si cette option est sélectionnée, les utilisateurs sont redirigés uniquement si la configuration du périphérique ne comprend pas de stratégie autorisant le trafic HTTP ou HTTPS à partir des adresses IP des utilisateurs. Pour vous assurer que vos utilisateurs sont automatiquement redirigés vers la page d'authentification, vous pouvez supprimer toute stratégie HTTP ou HTTPS autorisée autre que celles incluant vos utilisateurs ou groupes autorisés.

Pour plus d'informations sur l'authentification, consultez Étapes d'authentification des utilisateurs.

Rediriger le trafic envoyé à l'adresse IP du Firebox à ce nom d'hôte

Sélectionner cette case à cocher pour spécifier le nom d'hôte d'une page vers laquelle les utilisateurs sont redirigés lorsque vous choisissez de rediriger automatiquement les utilisateurs vers le portail d'authentification. Tapez le nom d'hôte dans la zone de texte.

Vérifiez que le nom d'hôte correspond au nom commun du certificat de serveur Web. Ce nom d'hôte doit être spécifié dans les paramètres DNS de votre organisation et avoir pour valeur l'adresse IP du Firebox.

Si certains utilisateurs doivent s'authentifier manuellement sur le portail d'authentification alors que vous utilisez SSO, vous pouvez ajouter une exception SSO à ces utilisateurs pour accélérer leur authentification. Pour plus d'informations sur les exceptions SSO, consultez Activer le Single Sign-On (SSO) d'Active Directory.

Les utilisateurs ne sont redirigés vers le Portail d'Authentification que si la requête HTTP ou HTTPS ne correspond pas aux stratégies de votre Firebox. Pour être sûr que les utilisateurs sont redirigés vers le Portail d'authentification, vous devez vous assurer que la configuration de votre périphérique ne comprend pas de stratégie HTTP ou HTTPS autorisant les connexions d'utilisateur et de nom d'utilisateur ou groupe d'utilisateurs de la liste De. La stratégie sortante par défaut inclut tous les ports TCP et UDP. Par conséquent, vous devez désactiver ou modifier la stratégie sortante de sorte à inclure les noms d'utilisateur ou groupes d'utilisateurs dans la liste De.

Une fois les modifications de configuration nécessaires réalisées, pour vous assurer que vos utilisateurs peuvent atteindre le Portail d'authentification, vérifiez que les utilisateurs peuvent se connecter à un serveur DNS local ou externe. Avant qu'une demande HTTP ou HTTPS puisse être complétée pour un utilisateur, ce dernier doit être en mesure de résoudre le nom DNS d'un site Web externe vers votre réseau.

## Utiliser une page de démarrage par défaut personnalisée

Quand vous cochez la case Rediriger automatiquement les utilisateurs vers la page d'authentification pour qu'ils s'authentifient avant d'accéder à Internet, le Portail d'authentification s'affiche dès qu'un utilisateur ouvre un navigateur Web. Si vous voulez que le navigateur accède à une page différente une fois vos utilisateurs connectés, définissez une redirection.

Pour spécifier une redirection :

1. Activez la case à cocher Envoyer une redirection au navigateur après l'authentification.
2. Dans la zone de texte, entrez l'URL du site Web vers lequel les utilisateurs seront redirigés.

## Définir les délais d'une session de gestion

Ces options permettent de définir la durée pendant laquelle un utilisateur connecté bénéficiant de privilèges de lecture/écriture reste authentifié avant que le Firebox ferme la session.

Délai d'expiration de la session

Durée maximale pendant laquelle l'utilisateur peut envoyer du trafic au réseau externe. Si vous réglez le nombre de secondes, de minutes, d'heures ou de jours à zéro (0), aucun délai d'expiration ne sera défini pour la session et l'utilisateur pourra rester connecté aussi longtemps qu'il le souhaite.

Délai d'inactivité

Durée maximale pendant laquelle l'utilisateur peut rester authentifié tout en étant inactif (sans passer de trafic au réseau externe). Si vous réglez le nombre de secondes, de minutes, d'heures ou de jours à zéro (0), aucun délai d'inactivité ne sera défini pour la session et l'utilisateur pourra rester inactif aussi longtemps qu'il le souhaite.

## Configurer les Paramètres de Verrouillage de Gestion de Périphérique

Vous pouvez activer le Verrouillage de Compte pour éviter les attaques en force visant à deviner les mots de passe des comptes d'utilisateur. Lorsque le Verrouillage de Compte est activé, le Firebox verrouille temporairement un compte d'utilisateur à l'issue du nombre spécifié de tentatives répétées de connexion et verrouille de manière permanente un compte d'utilisateur à l'issue du nombre spécifié de verrouillages de compte temporaires. Un compte d'utilisateur verrouillé de manière permanente ne peut être déverrouillé que par un utilisateur ayant les informations d'identification d'un Administrateur de Périphérique.

Le comte d'utilisateur admin par défaut peut être verrouillé de manière temporaire, mais pas permanente.

Pour configurer les paramètres du Verrouillage de Compte pour les comptes d'utilisateur de Gestion du Périphérique, à partir de Fireware Web UI :

1. Sélectionnez Système > Utilisateurs et Rôles.
   La page Utilisateurs et Rôles s'affiche.
2. Sélectionnez l'onglet Verrouillage de Compte.
3. Cochez la case Activer le verrouillage de compte.

1. Dans la zone de texte Nombre autorisé d'erreurs, saisissez le nombre d'erreurs de connexions qui peuvent être autorisées avant qu'un compte d'utilisateur soit verrouillé de manière temporaire.
2. Dans la zone de texte Utilisateurs verrouillés pendant, saisissez le nombre de minutes pendant lesquelles un compte reste verrouillé de manière temporaire.
3. Dans la zone de texte Verrouillages temporaires, saisissez le nombre de verrouillages temporaires autorisés avant qu'un compte soit verrouillé de manière permanente. Astuce !Le compte d'utilisateur "admin" par défaut ne peut être verrouillé de manière permanente.
4. Cliquez sur Enregistrer.

Pour configurer les paramètres du Verrouillage de Compte pour les comptes d'utilisateur de Gestion du Périphérique, à partir de Policy Manager :

1. Sélectionnez Configurer > Authentification > Paramètres d'authentification.
2. Dans la section Session de Gestion, cliquez sur Verrouillage de Compte.
   La boîte de dialogue Verrouillage de Compte s'affiche.

1. Cochez la case Activer le verrouillage de compte.
2. Dans la zone de texte Nombre autorisé d'erreurs, saisissez le nombre d'erreurs de connexions qui peuvent être autorisées avant qu'un compte d'utilisateur soit verrouillé de manière temporaire.
3. Dans la zone de texte Utilisateurs verrouillés pendant, saisissez le nombre de minutes pendant lesquelles un compte reste verrouillé de manière temporaire.
4. Dans la zone de texte Verrouillages temporaires, saisissez le nombre de verrouillages temporaires autorisés avant qu'un compte soit verrouillé de manière permanente. Astuce !Le compte d'utilisateur "admin" par défaut ne peut être verrouillé de manière permanente.
5. Cliquez sur OK.

Pour des informations sur la manière de déverrouiller un compte d'utilisateur de Gestion des périphériques verrouillé, consultez Gérer les Utilisateurs et les Rôles sur votre Firebox.

#### Voir aussi

À propos de l'authentification des utilisateurs

Configurer votre Firebox en tant que Serveur d'Authentification

À propos de Single Sign-On (SSO) avec Active Directory

Installer l'Agent WatchGuard Single Sign-On (SSO) et Event Log Monitor

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique