Zyxel Firewall [Webgodkendelse] - hvordan opsætter man webgodkendelse i DMZ-zonen?

Webgodkendelse er en proces, der opfanger netværkstrafik og omdirigerer den til en login-side, hvor brugerne skal godkende deres forbindelse. Det sikrer, at alle anmodninger om websider først sendes til autentificeringssiden. Når brugerne er blevet godkendt, kan de få adgang til resten af netværket eller internettet.

Godkendelsessiden vises kun én gang pr. session. Brugere vil normalt ikke se den igen, medmindre deres session udløber, eller de lukker forbindelsen.

I denne artikel vil vi vise dig, hvordan du bruger webautentifikation til gæste-WIFI i en "DMZ" med VLAN.

Bemærk: DMZ er typisk placeret mellem det eksterne og det interne netværk, hvor firewallen begrænser adgangen fra DMZ til både det interne netværk og eksterne ressourcer. Firewallkonfigurationen kan begrænse DMZ-adgangen til eksterne netværk/ressourcer, hvilket påvirker tjenester, der kræver adgang til internettet eller eksterne servere. Streng trafikfiltrering: Firewalls anvender strenge trafikfiltreringsregler for at sikre sikkerheden. Visse typer trafik eller porte kan blokeres/begrænses, hvilket påvirker nogle applikationer/services.

• Log ind på din firewalls webinterface, og gå til afsnittet:
  

Først skalvi tilføje VLAN til Security Gateway

Configuration > Network > Interface > VLAN > Add

• Tjek, om "DMZ" er tildelt en port, hvis ikke skal den tildeles. I vores tilfælde er "DMZ" tildelt "port 7".

• Det næste trin er "Aktivér webgodkendelse".

Configuration > Web Authentication > Enable Web Authentication

• For at godkende brugere i vores eksempel vil vi bruge "Session Page". For at gøre dette skal du markere afkrydsningsfeltet "Enable Session Page" og angive en passende IP-adresse. Husk, at IP-adressen ikke må overlappe med nogen af netværkene på din gateway eller andre enheder i dit netværk.

Bemærk: Det er ikke nødvendigt at bruge en "Session Page" med en specificeret adresse, for ved første forsøg på at få adgang til en hjemmeside, vil gatewayen dirigere brugeren til autorisationssiden.

• Det er også muligt at indsamle yderligere brugerdata som e-mail, telefonnummer og andet. Standardformularen findes på fanen "Customer User Agreement File".

• Det næste trin er at tilføje web-"Authentication Policy Summary". Første gang en bruger forsøger at få adgang til et websted, vil denne regel omdirigere dem til siden med godkendelsesformularen

I vores eksempel bruger vi webautentificering til alle i "DMZ" samt en standard form for autentificering.

• Aktivér politik
• Opret et nyt objekt til dit "vlan10"
• Giv en klar beskrivelse
• Angiv "Incoming Interface", i vores tilfælde er det "vlan10"
• Autentificeringsfeltet skal indeholde - "krævet"
• Tving brugerautentificering - "Aktiver"
• Klik på "OK" og "Anvend"

• Bemærk: Det er i DMZ-tilfældet, at vi er nødt til at tillade https- og http-tjenester fra DMZ til Zywall, så godkendelsessiden kan nås.

Go to Configuration > Object > Service > Service Group

Foretag de nødvendige ændringer i servicegruppereglen med navnet "Default_Alow_DMZ_To_Zywall"

• Det næste skridt er at oprette en bruger, som du kan autentificere dig under for at få adgang til internettet for alle medlemmer af "DMZ"-zonen.

Go to Configuration > Object > User/Group > User

• Klik på "Tilføj".

• Indtast et brugernavn, der er let at forstå

• Brugertypen skal angives som "bruger".

• Angiv en sikker adgangskode

• Klik på "OK"

Vi har foretaget alle de nødvendige indstillinger på gateway-siden, så lad os nu gå videre til switch-indstillingerne. I dette eksempel vil vi bruge en Zyxel XGS2220-switch.

• Log ind på din switches webinterface, og gå til:

SWITCHING -> VLAN Setup 

Tilføj de nødvendige VLAN'er, i vores tilfælde er det VLAN10. For port 5 til og med 10. Port 5 vil være tagget, vores firewall vil være forbundet til denne port. Port 6 til 10 vil være untagged, access points og pc'er vil være forbundet til den.

Gem dine ændringer, og gå til fanen "VLAN Port Setup" for at angive det nødvendige PVID for port 5-10. Når du har foretaget alle ændringer, skal du gemme indstillingerne.

Indstillingerne er færdige. Til testen tilsluttede vi et Zyxel NWA110AX access point til port 6 og en pc til port 7.

Nu vil alle vores pc'er, der er forbundet til access pointet eller port 7-10, blive omdirigeret til næste side ved den første session, når de forsøger at gå ind på et websted: