Wichtiger Hinweis: |
Dieser Artikel bietet eine kurze Einführung in den sicheren HTTPS-Zugriff auf die Web-GUI der Security USG FLEX H Series Geräte über das WAN.
Haftungsausschluss! Dieser Artikel bietet einen allgemeinen Überblick über die Serie und gilt möglicherweise nicht einheitlich für jedes Modell und jede Software-/Firmware-Version. Bitte konsultieren Sie vor dem Kauf oder der Verwendung des Geräts die modell-/versionsspezifische Dokumentation oder wenden Sie sich an den technischen Support, um genaue Informationen zu erhalten.
Hinweis: Gewähren Sie nur den am Ende des Artikels aufgeführten IP-Adressen Zugriff, wenn Sie vom technischen Support dazu aufgefordert werden.
Erlauben des Fernzugriffs über die Standardobjekte
- Der erste Schritt besteht darin, das HTTPS-Protokoll hinzuzufügen, um den Zugriff über das WAN zu ermöglichen.
Navigieren Sie zu dem Abschnitt im linken Menü:
Objekt > Dienst > Dienstgruppe > Default_Allow_WAN_To_ZyWALL > Bearbeiten- Wählen Sie das HTTPS-Protokoll aus der Liste aus und verschieben Sie es mit der entsprechenden Schaltfläche auf Erlaubt, wie in der folgenden Abbildung dargestellt.
- Vergessen Sie nicht, nach der Änderung der Geräteeinstellungen auf die Schaltfläche "Übernehmen" zu klicken.
Sie können dann über die WAN-Schnittstelle auf Ihr Sicherheitsgerät zugreifen. Wir empfehlen Ihnen jedoch dringend, den Port zu ändern und den Zugriff auf Ihr Gerät nur von bestimmten vertrauenswürdigen IP-Adressen aus zuzulassen.
Best Practice für einen sicheren Zugang
-
Ändern des HTTPS-Ports
Gehen Sie zu > System > Einstellungen > Verwaltungseinstellungen- Bitte ändern Sie den HTTPS-Port. Z.B. 8443
- Danach klicken Sie bitte auf "Übernehmen" am unteren Rand der Seite.
-
Erstellen eines separaten Objekts für den Fernzugriff
Es ist sehr wichtig, dass Sie nicht vergessen, die Schaltfläche "Übernehmen" zu drücken, nachdem Sie Änderungen an den Geräteeinstellungen vorgenommen haben.
- Erstellen einer separaten Regel für den Fernzugriff
- Name: "Ihr Regelname" (Tipp: Verwenden Sie "sprechende Namen")
- Von: "WAN"
- An: "ZyWall"
- Dienst: "Ihr HTTPS-Objekt"
- Aktion: "zulassen"
- Klicken Sie auf "Übernehmen"
Einschränkung des Zugriffs
Es ist sehr wichtig, ein Höchstmaß an Sicherheit für das lokale Netzwerk zu gewährleisten, und daher ist es notwendig, den Zugriff auf die Webschnittstelle zu beschränken. Eine Möglichkeit, dies zu erreichen, besteht darin, nur bestimmte vertrauenswürdige IP-Adressen zuzulassen.
Gehen Sie zu > Objekt > Adresse > Hinzufügen- Zunächst müssen wir ein Objekt mit einer vertrauenswürdigen IP-Adresse erstellen.
- Wenn Ihr vertrauenswürdiger Peer keine statische öffentliche IP hat, können Sie FQDN-Objekte mit einem DDNS verwenden. (Gleiches Verfahren, wählen Sie FQDN anstelle von Host)
Hinweis: Wir werden das FQDN-Objekt im Jahr 2024 Q3 unterstützen.
- Name: "Name des Objekts" (Hinweis: Verwenden Sie "Sprechende Namen")
- Adress-Typ: "HOST"
- IP-Adresse: "Vertrauenswürdige IP"
- Klicken Sie auf "Übernehmen".
Wenn Sie mehrere Adressen haben und um die Verwaltung zu vereinfachen, ist es notwendig, eine "Adressgruppe" zu erstellen, um mehrere IPs/FQDNs hinzuzufügen, ohne für jede eine neue Sicherheitsrichtlinie zu erstellen
Gehen Sie zu > Objekt > Adresse > Adressgruppe > Hinzufügen- Name: "Ihr Gruppenname" (Tipp: Verwenden Sie "sprechende Namen")
- Adresstyp: Wählen Sie "Adresse" (Wenn Sie FQDN verwenden -> "FQDN")
- Mitgliederliste: Wählen Sie das/die Objekt(e), die Sie zuvor erstellt haben.
- Klicken Sie auf den "->" -Pfeil
- Klicken Sie auf "Übernehmen".
- Nun müssen wir unsere Gruppe als Quelle für die Sicherheitsrichtlinie hinzufügen, die wir zuvor erstellt haben
Go to > Security Policy > Policy Control
- Wählen Sie die gewünschte Richtlinie aus und klicken Sie auf "Bearbeiten".
- Quelle: Wählen Sie die IP-Gruppe/FQDN-Gruppe
- Klicken Sie auf "Anwenden" am unteren Rand der Seite
Andere Typen
Sie können auch ein komplettes Land oder eine Region mit unserer GeoIP-Funktion blockieren:
So verwenden Sie die Geo-IP-Funktion
Fernzugriff für Support-Zwecke
Für den Fall, dass einer unserer Agenten um Fernzugriff bittet, können Sie den Zugriff auf unsere offiziellen öffentlichen IPs beschränken:
(HQ)
61.222.75.14
61.220.247.157
61.220.247.158
61.220.247.160
(Unterstützung Campus DE)
93.159.250.200