USG/ATP/VPN - VPN 2FA con SMS (eCall)

La serie de cortafuegos Zyxel ofrece la posibilidad de una autenticación 2FA a través de SMS para VPN y acceso de administrador. Los usuarios locales de firewall se pueden utilizar, así como los usuarios de AD o Radius.

1. PORTAL eCall

2. Servidor de Notificación

3. Autenticación de dos factores

4. Política de seguridad

5. Instalaciones HTTPS

6. Pasarela VPN

1. PORTAL ECALL

Se puede abrir una cuenta eCall en https://portal.ecall-messaging.com/ecall/. La apertura de la cuenta se realiza en poco tiempo.

Una vez abierta la cuenta, se puede introducir la dirección del remitente del cortafuegos en Interfaces > Interfaz de correo electrónico mediante el botón "Añadir dirección". Además, debe activarse la opción "Permito el envío de mensajes por correo electrónico a través de mi cuenta eCall".

No se requiere ninguna configuración adicional.

Servidor de notificación

Configuración > Sistema > Notificación

• Servidor de correo

En primer lugar, configure un servidor de correo electrónico para el envío de correo. Normalmente, se utiliza el puerto 587 para el envío, así como seguridad TLS y STARTLS si es necesario. Por ejemplo, se puede comprobar si el servidor de correo está configurado correctamente enviando un informe diario.

• SMS

Los siguientes ajustes pueden utilizarse para eCall:

El código de país por defecto para el número de teléfono" también puede ser "0". Sin embargo, el número de teléfono del usuario debe definirse entonces con el prefijo "+xx", por ejemplo +41761234567.

• Configuración del usuario

Configuración > Objeto > Usuario/Grupo > Usuario

Se añade al usuario un número de móvil con el formato 0761234567.

Además, se activa 2FA.

Autenticación de dos factores

Configuración > Objeto > Aut. Método > Autenticación de doble factor > Acceso VPN

La función debe estar activada como requisito básico. A continuación, se determina para quién y para qué conexión debe estar activa la 2FA. "URL de enlace autorizada" es la dirección definida en el mensaje SMS. El acceso desde el exterior debe ser posible a través del puerto especificado desde el exterior. Para eCall debe utilizarse la opción "Utilizar archivo multilingüe".

El archivo de plantilla puede obtenerse y adaptarse a través del enlace de descarga.
A continuación, el archivo puede cargarse de nuevo en el cortafuegos.

El archivo debe contener el marcador de posición .

Se pueden utilizar los siguientes marcadores de posición:

Enlace de autorización Dirección URL

Usuario que se ha registrado para 2FA

Nombre del cortafuegos (Configuración > Sistema > Nombre del host)

Hora válida > Hora en la que el cliente puede autenticarse.

Política de seguridad

Configuración > Política de seguridad > Control de políticas

Debe crearse una política de seguridad para la autenticación mediante 2FA

Desde: wan

Para: ZyWALL

Origen: puede restringirse si es necesario, por ejemplo a Suiza

Servicio: Wiz_2FA (el puerto se ajusta dinámicamente cuando se cambia en el menú 2FA))

Acción: permitir

Configuración HTTPS

Configuración > Sistema > WWW > HTTPS > Control de Servicio de Usuario

Para "User Service Control", se debe permitir el acceso desde la zona "WAN" o "ALL".

Pasarela VPN

Configuración > VPN > VPN IPSec > Pasarela VPN

Para VPN IPSec (L2TP/IKEv1/IKEv2), debe activarse 2FA en la pasarela VPN.