USG FLEX H Series [Защитна стена] - Как да разреша HTTPS достъп до уеб графичния интерфейс от WAN?

В тази статия ще направите кратко въведение в защитения HTTPS достъп до уеб графичния интерфейс за управление на вашето устройство от серията Security USG FLEX H през глобалната мрежа.

Отказ от отговорност! Тази статия предлага общ преглед на серията и може да не се прилага еднакво за всеки модел, версия на софтуера/фирмуера. Преди да закупите или използвате устройството, моля, консултирайте се със специфичната за модела/версията документация или се обърнете към техническата поддръжка за точна информация.

Забележка: Предоставяйте достъп само до IP адресите, изброени в края на статията, ако това бъде поискано от техническата поддръжка.

Разрешаване на отдалечен достъп през обектите по подразбиране

• Първоначалната стъпка е да добавите протокола HTTPS, за да разрешите достъпа от глобалната мрежа.

Преминете към раздела в лявото меню:

Object > Service > Service Group > Default_Allow_WAN_To_ZyWALL > Edit (Редактиране)

• Изберете протокола HTTPS от списъка и използвайте съответния бутон, за да го преместите в Allowed (Разрешено), както е показано на фигурата по-долу.

• Много е важно да не забравяте да натиснете бутона"Apply" (Приложи), след като направите промени в настройките на устройството

След това можете да получите достъп до Вашето устройство за сигурност през неговия WAN интерфейс. Но силно препоръчваме да промените порта и да ограничите достъпа до устройството само от определени доверени IP адреси.

Най-добра практика за сигурен достъп

• Промяна на HTTPS порта

Отидете в > Система > Настройки > Административни настройки

• Променете HTTPS порта. Например 8443
• След това, моля, кликнете върху"Apply" (Приложи) в долната част на страницата.

• Създаване на отделен обект за отдалечен достъп

Много е важно да не забравяте да натиснете бутона "Приложи", след като направите промени в настройките на устройството.

• Създаване на отделно правило за отдалечен достъп

• Име:"Вашето име на правило" (Съвет: Използвайте "Говорещи имена")
• От:"WAN"
• До:"ZyWall"
• Услуга:"Вашият HTTPS обект"
• Действие:"allow"
• Щракнете върху"Apply"

Ограничаване на достъпа

Много е важно да се осигури максимална сигурност на локалната мрежа и затова е необходимо да се ограничи достъпът до уеб интерфейса. Един от начините да постигнете това е да разрешите достъп само до определени доверени IP адреси.

Отидете в > Обект > Адрес > Добавяне

• Първо трябва да създадем обект с доверен IP адрес.
• Ако Вашият доверен партньор няма статичен публичен IP адрес, можете да използвате обекти с FQDN с DDNS. (Същата процедура, но изберете FQDN вместо Host)

Забележка: Ще поддържаме обекта FQDN през третото тримесечие на 2024 г.

• Име:"Име на обекта" (Съвет: Използвайте "Говорещи имена")
• Тип на адреса:"HOST"
• IP адрес:"Trusted IP"
• Щракнете върху"Apply" (Приложи)

Ако имате няколко адреса и като цяло за опростяване на администрирането, е необходимо да създадете "Address Group" (Адресна група), за да добавите няколко IP адреси/FQDN, без да създавате нова политика за сигурност за всеки

Отидете на > Обект > Адрес > Група адреси > Добавяне

• Име:"Вашето име на групата" (Съвет: Използвайте "Говорещи имена")
• Тип на адреса: Изберете"Address" (Ако използвате FQDN -> "FQDN")
• Списък на членовете: Изберете обекта(ите), който(ито) сте създали преди това
• Щракнете върху стрелката"->".
• Щракнете върху"Apply" (Приложи)

• Сега трябва да добавим нашата група като източник за политиката за сигурност, която създадохме по-рано

Go to > Security Policy > Policy Control

• Изберете желаната политика и щракнете върху "Редактиране".

• Източник: Изберете IP Group/FQDN Group
• Щракнете върху"Приложи" в долната част на страницата

Други типове

Можете също така да блокирате цяла държава или регион, като използвате нашата функция GeoIP:
Как да използвате функцията GeoIP

Отдалечен достъп за целите на поддръжката

В случай че някой от нашите агенти поиска отдалечен достъп, можете да ограничите достъпа до нашите официални публични IP адреси: (HQ)
1.161.171.96
61.222.75.14
61.220.247.157
61.220.247.158
61.220.247.160
(поддръжка на Campus DE)
93.159.250.200