Zyxel Firewall [Уеб удостоверяване] - как да настроите уеб удостоверяване в DMZ зона

Уеб удостоверяването е процес, който улавя мрежовия трафик и го пренасочва към страница за вход, където потребителите трябва да удостоверят връзката си. По този начин се гарантира, че всички заявки за уеб страници първо се насочват към страницата за удостоверяване. След като потребителите успешно удостоверят автентичността си, те могат да получат достъп до останалата част от мрежата или до интернет.

Страницата за удостоверяване се показва само веднъж на сесия. Потребителите обикновено няма да я видят отново, освен ако сесията им не приключи или не затворят връзката.

В тази статия ще ви покажем как да използвате уеб удостоверяване за WIFI за гости в "DMZ" с VLAN.

Забележка: Обикновено DMZ е разположена между външната и вътрешната мрежа, като защитната стена ограничава достъпа от DMZ както до вътрешната мрежа, така и до външните ресурси. Конфигурацията на защитната стена може да ограничи достъпа от DMZ до външни мрежи/ресурси, което ще засегне услуги, изискващи достъп до интернет или външни сървъри. Строго филтриране на трафика: Защитните стени прилагат строги правила за филтриране на трафика, за да гарантират сигурността. Определени видове трафик или портове могат да бъдат блокирани/ограничени, което засяга някои приложения/услуги.

• Влезте в уеб интерфейса на защитната стена и отидете в раздела:
  

Първо, трябва да добавим VLAN към шлюза за сигурност

Configuration > Network > Interface > VLAN > Add

• Проверете дали "DMZ" е присвоен на някой порт, ако не е, трябва да бъде присвоен. В нашия случай "DMZ" е присвоен на "порт 7".

• Следващата стъпка е "Включване на уеб удостоверяване".

Configuration > Web Authentication > Enable Web Authentication

• За да оторизираме потребителите в нашия пример, ще използваме "Session Page" (Страница на сесията). За да направите това, поставете отметка в квадратчето "Enable Session Page" (Разрешаване на страницата на сесията) и посочете удобен IP адрес. Имайте предвид, че IP адресът не трябва да се припокрива с някоя от мрежите на вашия шлюз или други устройства в мрежата.

Забележка: Не е необходимо да използвате "Session Page" (Страница на сесията) с посочен адрес, тъй като при първия опит за достъп до всякакви сайтове шлюзът ще насочи потребителя към страницата за оторизация.

• Също така е възможно да се събират допълнителни данни за потребителя, като например електронна поща, телефонен номер и други. Стандартният формуляр се намира в раздела "Файл с потребителско споразумение с клиента".

• Следващата стъпка е да добавите уеб "Резюме на политиката за удостоверяване". Когато за първи път потребител се опита да получи достъп до някой сайт, това правило ще го пренасочи към страницата с формуляра за удостоверяване

В нашия пример използваме уеб удостоверяване за всички в "DMZ", както и стандартна форма на удостоверяване.

• Разрешаване на политиката
• Създайте нов обект за вашия "vlan10"
• Дайте ясно описание
• Посочете "Входящ интерфейс",в нашия случай това е "vlan10"
• Полето за удостоверяване трябва да съдържа - "required" (задължително)
• Принудително удостоверяване на потребителя - "Enable"
• Натиснете "OK" и "Apply".

• Забележка: Именно в случая с DMZ трябва да разрешим https и http услуги, от DMZ към Zywall, за да може да се достигне до страницата за удостоверяване.

Go to Configuration > Object > Service > Service Group

Направете необходимите промени в правилото на групата услуги с име "Default_Alow_DMZ_To_Zywall" (По подразбиране_Допускане_DMZ_Той)

• Следващата стъпка е да създадете потребител, под който да се удостоверявате за достъп до интернет за всички членове на зоната "DMZ".

Go to Configuration > Object > User/Group > User

• Щракнете върху "Добавяне".

• Въведете потребителско име, което е лесно за разбиране

• Типът на потребителя трябва да бъде зададен като "user" (потребител)

• Посочете сигурна парола

• Щракнете върху "OK"

Направихме всички необходими настройки от страна на шлюза, сега нека преминем към настройките на комутатора. За този пример ще използваме комутатор Zyxel XGS2220.

• Влезтев уеб интерфейса на вашия комутатор и отидете на:

SWITCHING -> VLAN Setup 

Добавете необходимите VLAN, в нашия случай това е VLAN10. За портовете от 5 до 10 включително. Порт 5 ще бъде маркиран, нашата защитна стена ще бъде свързана към този порт. Портове от 6 до 10 ще бъдат немаркирани, към тях ще бъдат свързани точки за достъп и персонални компютри.

Запазете промените и отидете в раздела "VLAN Port Setup" (Настройка на VLAN портове), за да зададете необходимия PVID за портовете 5-10. След като направите всички промени, запазете настройките.

Настройките са готови. За теста свързахме точка за достъп Zyxel NWA110AX към порт 6 и свързахме компютър към порт 7.

Сега всички наши персонални компютри, свързани към точката за достъп или портовете 7-10, ще бъдат пренасочвани към следващата страница при първата сесия, когато се опитват да отидат на някой сайт: