Zyxel Firewall [Autenticación web] - cómo configurar la autenticación web en la zona DMZ

La autenticación web es un proceso que captura el tráfico de red y lo redirige a una página de inicio de sesión en la que los usuarios deben autenticar su conexión. Esto garantiza que todas las solicitudes de páginas web se dirijan primero a la página de autenticación. Una vez que los usuarios se autentican correctamente, pueden acceder al resto de la red o a Internet.

La página de autenticación sólo se muestra una vez por sesión. Por lo general, los usuarios no la volverán a ver a menos que finalice su sesión o cierren la conexión.

En este artículo, le mostraremos cómo utilizar la autenticación Web para WIFI de invitados en una "DMZ" con VLAN.

Nota: Normalmente, la DMZ está situada entre las redes externa e interna, con el cortafuegos restringiendo el acceso desde la DMZ tanto a la red interna como a los recursos externos. La configuración del cortafuegos puede restringir el acceso de la DMZ a redes/recursos externos, afectando a servicios que requieren acceso a Internet o a servidores externos. Filtrado estricto del tráfico: Los cortafuegos aplican reglas estrictas de filtrado de tráfico para garantizar la seguridad. Ciertos tipos de tráfico o puertos pueden ser bloqueados/restringidos, afectando a algunas aplicaciones/servicios.

• Inicie sesión en la interfaz web de su cortafuegos y vaya a la sección:
  

En primer lugar, tenemos que añadir la VLAN a la puerta de enlace de seguridad

Configuration > Network > Interface > VLAN > Add

• Comprueba si "DMZ" está asignado a algún puerto, si no es así debería asignarse. En nuestro caso "DMZ" está asignado al "puerto 7".

• El siguiente paso es "Habilitar Autenticación Web".

Configuration > Web Authentication > Enable Web Authentication

• Para autorizar a los usuarios en nuestro ejemplo, utilizaremos la "Página de Sesión". Para ello, marque la casilla "Habilitar página de sesión" y especifique una dirección IP conveniente. Tenga en cuenta que la dirección IP no debe solaparse con ninguna de las redes de su pasarela u otros dispositivos de su red.

Nota: No es necesario utilizar una "Página de Sesión" con una dirección especificada, ya que en el primer intento de acceder a cualquier sitio, la pasarela dirigirá al usuario a la página de autorización.

• También es posible recoger datos adicionales del usuario, como correo electrónico, número de teléfono y otros. El formulario estándar se encuentra en la pestaña "Archivo de Acuerdo de Usuario del Cliente".

• El siguiente paso es añadir la Web "Resumen de la Política de Autenticación". La primera vez que un usuario intente acceder a cualquier sitio, esta regla le redirigirá a la página del formulario de autenticación

En nuestro ejemplo, usamos autenticación web para todos en la "DMZ", así como una forma estándar de autenticación.

• Habilitar política
• Cree un nuevo objeto para su "vlan10".
• Dé una descripción clara
• Especifique la "Incoming Interface", en nuestro caso es "vlan10"
• El campo de autenticación debe contener - "required"
• Forzar autenticación de usuario - "Activar"
• Haga clic en "Aceptar" y "Aplicar".

• Nota: Es en el caso de la DMZ donde necesitamos permitir servicios https y http, desde la DMZ al Zywall para que se pueda acceder a la página de autenticación.

Go to Configuration > Object > Service > Service Group

Realice los cambios necesarios en la regla de grupo de servicios denominada "Default_Alow_DMZ_To_Zywall".

• El siguiente paso es crear un usuario bajo el cual se puede autenticar para acceder a Internet para todos los miembros de la zona "DMZ".

Go to Configuration > Object > User/Group > User

• Haga clic en "Añadir".

• Introduzca un nombre de usuario que sea fácil de entender

• El tipo de usuario debe especificarse como "usuario"

• Proporcione una contraseña segura

• Haga clic en "Aceptar"

Hemos realizado todas las configuraciones necesarias en el lado del gateway, ahora pasemos a la configuración del switch. Para este ejemplo utilizaremos un switch Zyxel XGS2220.

• Inicie sesión en la interfaz web de su conmutador y vaya a:

SWITCHING -> VLAN Setup 

Añade las VLANs requeridas, en nuestro caso es la VLAN10. Para los puertos 5 a 10 inclusive. El puerto 5 será etiquetado, nuestro firewall estará conectado a este puerto. Los puertos 6 a 10 serán no etiquetados, puntos de acceso y PCs estarán conectados a ellos.

Guarda los cambios y ve a la pestaña "VLAN Port Setup" para especificar el PVID requerido para los puertos 5 a 10. Una vez realizados todos los cambios, guarde la configuración.

La configuración está hecha. Para la prueba, conectamos un punto de acceso Zyxel NWA110AX al puerto 6 y conectamos un PC al puerto 7.

Ahora todos nuestros PCs conectados al punto de acceso o a los puertos 7-10 serán redirigidos a la siguiente página en la primera sesión cuando intenten ir a cualquier sitio: