USG / USG FLEX / ATP / VPN - Come consentire l'accesso alla GUI Web HTTPS dalla WAN?

Questo articolo fornisce una panoramica concisa sull'abilitazione dell'accesso sicuro HTTPS alla GUI Web di gestione del dispositivo di sicurezza attraverso la WAN. Per procedere, collegarsi alla GUI Web utilizzando l'indirizzo IP del dispositivo e accedere con l'account Amministratore e la relativa password.

Consentire l'accesso remoto agli oggetti predefiniti:

Configuration > Object > Service > Service Group > Default_Allow_WAN_To_ZyWALL > Edit

Scegliere HTTPS, fare clic sulla freccia contrassegnata e quindi su "OK".

Ora è possibile accedere al dispositivo di sicurezza attraverso la sua interfaccia WAN.

Ad esempio, https://5.234.65.17

Buone pratiche per un accesso sicuro:

In generale, è buona norma proteggere ulteriormente l'accesso remoto tramite WAN per evitare il gioco sporco di malintenzionati. Vediamo come fare.

Cambiare la porta HTTPS:

Configuration > System > WWW > Service Control

Cambiare la porta HTTPS con un'altra.

Ad esempio 8443

Successivamente, fare clic su "Applica" in fondo alla pagina.

Creare un oggetto separato per l'accesso remoto

Configuration > Object > Service > Service > Add

Ora è necessario creare un nuovo oggetto separato per la porta del servizio HTTPS.

1. Nome: "Nome del servizio".
2. Protocollo IP: TCP
3. Porta iniziale: "Porta HTTPS del passo precedente".
4. Fare clic su "OK".

Creare una regola separata per l'accesso remoto

Configuration > Security Policy > Policy Control > Policy > Add

Ora è necessario creare una nuova regola separata:

1. Nome: "Il vostro nome di regola" (consiglio: usate "Nomi parlanti")
2. Da: WAN
3. A: ZyWall
4. Servizio: "Il vostro oggetto HTTPS"
5. Azione: consentire
6. Fare clic su "OK".

Limitare l'accesso

Ora possiamo e dobbiamo limitare l'accesso all'interfaccia Web. Un modo per farlo è quello di consentire solo alcuni indirizzi IP affidabili.

Configuration > Object > Address/Geo IP > Address > Add

Per prima cosa, è necessario creare un oggetto con un IP attendibile.

Se il peer attendibile non dispone di un IP pubblico statico, è possibile utilizzare oggetti FQDN con un DDNS.

(Stessa procedura, scegliendo FQDN invece di Host).

1. Nome: "Nome dell'oggetto" (consiglio: usare "Nomi parlanti")
2. Tipo di indirizzo: OSPITE
3. Indirizzo IP: IP attendibile
4. Fare clic su "OK".

Configuration > Object > Address/Geo IP > Address Group > Add

Ora dobbiamo creare un Gruppo per l'Oggetto per aggiungere più IP/FQDN senza creare un nuovo Criterio di sicurezza per ciascuno.

1. Nome: "Il vostro nome di gruppo" (consiglio: usare "Nomi parlanti")
2. Tipo di indirizzo: Scegliere "Indirizzo" (se si usa FQDN -> "FQDN")
3. Elenco membri: Scegliere l'oggetto o gli oggetti creati in precedenza
4. Fare clic sulla freccia "->
5. Fare clic su "OK".

Configuration > Security Policy > Policy Control > Policy > Choose Policy > Edit

Ora dobbiamo aggiungere il nostro gruppo come origine per il criterio di sicurezza creato in precedenza.

1. Origine: Scegliere il Gruppo IP/Gruppo FQDN
2. Fare clic su "OK".
3. Fare clic su "Applica" in fondo alla pagina.

Altri tipi

È anche possibile bloccare un intero Paese o una regione utilizzando la funzione GeoIP:

Come utilizzare la funzione Geo-IP

Accesso remoto per scopi di supporto

Nel caso in cui uno dei nostri agenti richieda un accesso remoto, è possibile limitare l'accesso ai nostri IP pubblici ufficiali:

(HQ)
118.163.48.105
1.161.171.96
1.161.154.129
(Supporto Campus DE)
93.159.250.200