Palomuuri [USG/USGFLEX/VPN/ATP] - Varmenne- tai HSTS-ongelma Hotspot-ratkaisussa

Oletusarvoisesti USG / ZyWALL / ATP-sarjassa on epäluotettava varmenne, ja Hotspot-käyttäjän (vieras) on napsautettava varmenneilmoitusta jatkaaksesi / ohittaaksesi varmenneilmoituksen nähdäksesi ehkä kirjautumissivun tiedot. Tässä artikkelissa kuvataan tunnetuin skenaario siitä, miten tämä voidaan kattaa.

Ratkaisu

Sinun on ostettava varmenne, jossa on FQDN-nimi eli "hotspot.hotelname.de" (yleensä halpa Domain verified -tyyppinen varmenne riittää).

Tuo varmenne ja yksityinen avain palomuurilaitteeseen osoitteessa

• Vaihda kohdassa System -> WWW varmenne ladattavaksi.

Voit päättää, haluatko pitää "Redirect HTTP to HTTPS" -toiminnon aktiivisena vai et. Molemmat voivat lopulta toimia.

Lisää DNS-asetuksiin A-tunniste, joka vastaa haluamaasi: WAN-IP:n ja FQDN-nimen välillä
Käytä WAN-IP:tä vain, jos tätä IP:tä ei käytetä NAT:ssa HTTP/HTTPS-porttia varten ja jos se on staattinen IP, muuten käytä LAN-IP:tä, mutta WAN on suositeltava.

• Varmista, että LAN-aliverkossasi (Hotspot-käyttäjille) on ZyWALL ensimmäisenä DNS-palvelimena FQDN:n saamiseksi.

Näillä parhaiden käytäntöjen määrityksillä voimme tukea jopa 80 % kaikista asiakkaista / matkapuhelimista, jotka voivat välttää HTTPS-ongelman tai HSTS-ongelman, mutta myös tällä ratkaisulla on joitakin rajoituksia.

Rajoitukset ja vinkit ja niksit

Rajoitukset, jos asiakas eli Android-puhelin, iPhone, Mac, Windows 10 .. .. .. ei voi tukea Hotspot Detection -ominaisuutta (vanhemmat versiot, ohjelmiston estämät...).

• Jos verkkosivusto ei tue HSTS-varmenteen varoitusta, varoitus ponnahtaa edelleen, mutta se voidaan ohittaa.
• Jos verkkosivusto tukee HSTS (google, facebook..) se näyttää varmenteen varoituksen ja estää sen (ei voi jatkaa tästä), siinä tapauksessa asiakkaan on käytävä 6.6.6.6.6 IP määritetty täällä käyttää sitä.

• Voit kokeilla poistaa "Redirect HTTP to HTTPS" -toiminnon käytöstä ja katsoa, toimiiko se paremmin.

• Walled Garden -luettelo joillekin tunnetuille HSTS-sivuille voi auttaa sulkemaan joitakin sivuja ensin Web-Authin ulkopuolelle (ei todennusta) ja antamaan asiakkaiden todennuksen, kun he vierailevat sivulla, jolla ei ole HSTS:ää (Hotspot-lisenssi vaaditaan).

Esim:

• *.google.com
• *.facebook.com
• * toimii jokerimerkkinä

Huomautus : Heti kun uusi RFC-standardi on käytössä, seuraamme tilannetta ja päivitämme ohjelmistoversioitamme, jotta voimme tarjota parhaan ratkaisun, joka on saatavilla markkinoilla, voit seurata sitä täältä: http://www.rfc-editor.org/info/rfc7710.

Tässä artikkelissa kuvataan, miten Let's Encrypt -varmenteita voidaan käyttää USG-laitteessa.