Palo Alto Networks PA-4060 - Exclusive Networks

PA – 4060 – Documentación para la preventaPágina 38 de 100Integración de usuarios no pertenecientes al dominio: Captive Portal con NTLMEn el caso de que existan usuarios que no pertenecen al dominio (como por ejemplousuarios externos trabajando temporalmente), es aún posible identificarlos comousuarios y no únicamente por su dirección IP. Para ello los cortafuegos de PAN ofrecenla posibilidad de utilizar un portal cautivo, Captive Portal, que se encarga de realizaresta tarea.El portal cautivo puede utilizar con dos modos de trabajo diferentes: Autenticación basada en NTLM Autenticación basada en página web con formulariosEn general es preferible utilizar la autenticación por NTLM, más elegante, puesto que elusuario no es presentado con ninguna página web, sino que se le solicita laautenticación directamente según se conecta a cualquier sitio.Para la autenticación basada en NTLM, se utilizan las cabeceras de autenticaciónHTTP. Es importante señalar que es necesario que el cliente utilice un navegadorcompatible con este método de trabajo, como Internet Explorer o Firefox. La siguientefigura, Figura 18, muestra el esquema general del flujo de una autenticación con NTLM:Figura 18.- Flujo general de la autenticación vía NTLMPAN-OS utiliza las cabeceras HTTP mostradas en la Figura 18, junto con unaredirección HTTP (código 302, redirección temporal) para autenticar a los usuarios.La siguiente figura, Figura 19, muestra el proceso de validación. Tal y como se observahay tres fases distintas, que se corresponden con tres conexiones TCP diferentes: lapetición original del cliente interceptada; la autenticación NTLM entre cliente y