Důležité oznámení: |
Tento článek vám ukáže, jak nakonfigurovat ověřování uživatele pomocí IPSec site-to-site VPN pomocí RADIUS (nebo Active Directory [AD]). Díky tomu se klienti na webu A ověří pro přístup k síti pomocí ověřovacího serveru webu B.
Obsah
1) Konfigurace webu A – USG Firewall
1.1 Nastavení webu Portal
1.2 Konfigurace skupiny RADIUS
1.3 Nastavte server RADIUS
1.4 Nakonfigurujte statickou cestu pro klienty, aby dosáhli serveru RADIUS
2) Konfigurace webu B – USG Firewall
2.1 Konfigurace důvěryhodných klientů ve vzdálené podsíti
2.2 Nakonfigurujte statickou cestu pro klienty, aby dosáhli serveru RADIUS
3) Otestujte výsledek
Scénář:
Máme dva USG připojené přes VPN tunel – víme, že chceme, aby se klienti na webu A (USG60) ověřovali na vzdáleném webu B (USG40).
1) Konfigurace webu A – USG Firewall
1.1 Nastavení webu Portal
Nastavte web Portal, který musí klienti LAN2 ověřovat prostřednictvím webu Portal
1.2 Konfigurace skupiny RADIUS
Nastavte Konfigurace > Objekt > Ověření. Metoda na „skupinu RADIUS“, protože požadavek na přístup k webovému portálu klienta interně odkazuje na port RADIUS 1812
1.3 Nastavte server RADIUS
V části Konfigurace > Objekt > Server AAA > RADIUS nastavte server Radius na místní bránu Remote USG a nastavte Tajné (důležité pro další kroky na USG40).
1.4 Nakonfigurujte statickou cestu pro klienty, aby dosáhli serveru RADIUS
V části Konfigurace > Síť > Směrování > Statická cesta nastavte statickou cestu, která přesouvá provoz směřující na IP server RADIUS (IP vzdálené místní brány USG) přes rozhraní vaší místní brány. Tím zajistíte, že požadavek vašeho klienta, který dříve nastaveným objektem AAA Server nyní sahá na 192.168.1.1, bude správně předán.
2) Konfigurace webu B – USG Firewall
2.1 Konfigurace důvěryhodných klientů ve vzdálené podsíti
Nastavte v části Konfigurace > Systém > Auth. Server důvěryhodného klienta pomocí nyní vzdáleného (USG60 !) rozhraní místní brány. IP serveru je nyní IP vzdálené brány, v tomto případě 192.168.11.1, použijte tajemství, které jste dříve nastavili v nastavení serveru AAA v kroku 3.
2.2 Nakonfigurujte statickou cestu, aby se klienti dostali na server RADIUS
Přidejte v části Konfigurace > Síť > Směrování > Statické směrování statickou cestu z USG40, která posouvá provoz na vzdálenou místní bránu USG60 (192.168.11.1) přes místní bránu USG40 192.168.1.1. Tímto způsobem zajistíte, že se zpráva o přijetí RADIUS Authentication Accept Message vrátí zpět do USG60, kde USG60 brání klientovi v přístupu k internetu, dokud USG40 požadavek nepřijme.
3) Otestujte výsledek
KB-00192