USG/ATP/VPN - VPN 2FA med SMS (eCall)

Zyxels firewall-serie giver mulighed for 2FA-godkendelse via SMS til VPN og administratoradgang. Lokale firewall-brugere kan bruges, såvel som AD- eller Radius-brugere.

1. PORTAL eCall

2. Notifikationsserver

3. To-faktor-godkendelse

4. Sikkerhedspolitik

5. HTTPS indstillinger

6. VPN-gateway

1. ECALL-PORTAL

En eCall-konto kan åbnes på https://portal.ecall-messaging.com/ecall/. Åbningen af kontoen sker på kort tid.

Når kontoen er åbnet, kan firewallens afsenderadresse indtastes under Interfaces > E-mail interface via knappen "Add address". Derudover skal indstillingen "Jeg tillader, at der sendes beskeder via e-mail gennem min eCall-konto." aktiveres.

Bare så du ved det, er der ikke behov for yderligere indstillinger.

Notifikationsserver

Konfiguration > System > Notifikation

• Mailserver

Først skal du konfigurere en e-mailserver til afsendelse af mails. Normalt bruges port 587 til afsendelse samt TLS-sikkerhed og STARTLS, hvis det er nødvendigt. Om mailserveren er sat korrekt op, kan f.eks. kontrolleres ved at sende en daglig rapport.

• SMS

Følgende indstillinger kan bruges til eCall:

Standardlandekoden for telefonnummer" kan også være "0". Brugerens telefonnummer skal dog i så fald defineres med præfikset "+xx", f.eks. +41761234567.

• Brugerindstillinger

Konfiguration > Objekt > Bruger/Gruppe > Bruger

Et mobilnummer i formatet 0761234567 tilføjes til brugeren.

Derudover er 2FA aktiveret.

To-faktor-godkendelse

Konfiguration > Objekt > Auth. Metode > To-faktor-godkendelse > VPN-adgang

Funktionen skal være slået til som et grundlæggende krav. Efterfølgende bestemmes det, for hvem og hvilken forbindelse 2FA skal være aktiv. "Authorized Link URL" er den adresse, der er defineret i SMS-beskeden. Adgang udefra skal være mulig via den angivne port udefra. For eCall skal indstillingen "Use Multilingual file" anvendes.

Skabelonfilen kan hentes og tilpasses via downloadlinket.
Filen kan derefter indlæses på firewallen igen.

Filen skal indeholde pladsholderen .

Følgende pladsholdere kan bruges:

Autorisationslink URL-adresse

Bruger, der har registreret sig til 2FA

Firewallens navn (Konfiguration > System > Værtsnavn)

Gyldig tid > Tid, hvor klienten kan autentificere sig selv.

Sikkerhedspolitik

Konfiguration > Sikkerhedspolitik > Politikstyring

Der skal oprettes en sikkerhedspolitik for autentificering med 2FA

Fra: wan

Til: ZyWALL

Kilde: kan begrænses om nødvendigt, f.eks. til Schweiz

Tjeneste: Wiz_2FA (port justeres dynamisk, når den ændres i 2FA-menuen))

Handling: Tillad

HTTPS indstillinger

Konfiguration > System > WWW > HTTPS > Kontrol af brugertjenester

For "User Service Control" skal adgang fra zonen "WAN" eller "ALL" være tilladt.

VPN-gateway

Konfiguration > VPN > IPSec VPN > VPN-gateway

For IPSec VPN (L2TP/IKEv1/IKEv2) skal 2FA være aktiveret i VPN-gatewayen.