Zyxel Firewall [Web authenticatie] - hoe web authenticatie instellen in DMZ zone

Webverificatie is een proces dat netwerkverkeer opvangt en doorstuurt naar een aanmeldpagina waar gebruikers hun verbinding moeten verifiëren. Dit zorgt ervoor dat alle aanvragen voor webpagina's eerst naar de verificatiepagina worden geleid. Zodra gebruikers zich met succes hebben geverifieerd, hebben ze toegang tot de rest van het netwerk of het internet.

De verificatiepagina wordt maar één keer per sessie getoond. Gebruikers zien deze meestal niet meer, tenzij hun sessie wordt beëindigd of ze de verbinding verbreken.

In dit artikel laten we zien hoe je webverificatie kunt gebruiken voor WIFI voor gasten in een "DMZ" met VLAN.

Opmerking: Normaal gesproken bevindt de DMZ zich tussen het externe en interne netwerk, waarbij de firewall de toegang vanuit de DMZ tot zowel het interne netwerk als externe bronnen beperkt. De firewall configuratie kan de DMZ toegang tot externe netwerken/bronnen beperken, wat diensten beïnvloedt die toegang tot het Internet of externe servers nodig hebben. Strikte verkeersfiltering: Firewalls passen strikte regels voor het filteren van verkeer toe om de veiligheid te garanderen. Bepaalde soorten verkeer of poorten kunnen worden geblokkeerd/beperkt, waardoor sommige toepassingen/services worden beïnvloed.

• Log in op de webinterface van je firewall en ga naar de sectie:
  

Eerst moeten we het VLAN toevoegen aan de Security Gateway

Configuration > Network > Interface > VLAN > Add

• Controleer of "DMZ" is toegewezen aan een poort, zo niet dan moet het worden toegewezen. In ons geval is "DMZ" toegewezen aan "poort 7".

• De volgende stap is "Webauthenticatie inschakelen".

Configuration > Web Authentication > Enable Web Authentication

• In ons voorbeeld gebruiken we de "Session Page" om gebruikers te autoriseren. Schakel hiervoor het selectievakje "Enable Session Page" in en geef een geschikt IP-adres op. Denk eraan dat het IP-adres niet mag overlappen met een van de netwerken op uw gateway of andere apparaten in uw netwerk.

Opmerking: Het is niet nodig om een "Session Page" met een gespecificeerd adres te gebruiken, omdat de gateway de gebruiker bij de eerste poging om een site te openen naar de autorisatiepagina zal leiden.

• Het is ook mogelijk om extra gebruikersgegevens te verzamelen, zoals e-mail, telefoonnummer en andere. Het standaardformulier staat op het tabblad "Gebruikersovereenkomst bestand".

• De volgende stap is het toevoegen van het web "Authentication Policy Summary". De eerste keer dat een gebruiker probeert toegang te krijgen tot een site, zal deze regel hem doorsturen naar de pagina met het authenticatieformulier

In ons voorbeeld gebruiken we webauthenticatie voor iedereen in de "DMZ", evenals een standaard vorm van authenticatie.

• Beleid inschakelen
• Maak een nieuw object voor je "vlan10".
• Geef een duidelijke beschrijving
• Specificeer de "Inkomende interface", in ons geval is dat "vlan10"
• Het authenticatieveld moet - "required" bevatten
• Forceer gebruikersauthenticatie - "Enable".
• Klik op "OK" en "Apply"(toepassen)

• Opmerking: Het is in het DMZ geval dat we https en http services moeten toestaan, van de DMZ naar de Zywall zodat de authenticatie pagina bereikt kan worden.

Go to Configuration > Object > Service > Service Group

Breng de nodige wijzigingen aan in de Service Group Rule met de naam "Default_Alow_DMZ_To_Zywall".

• De volgende stap is het aanmaken van een gebruiker waaronder je je kunt authenticeren om toegang te krijgen tot het internet voor alle leden van de "DMZ"-zone.

• Klik op "Toevoegen".

• Voer een gebruikersnaam in die gemakkelijk te begrijpen is

• Het gebruikerstype moet worden opgegeven als "gebruiker".

• Geef een veilig wachtwoord op

• Klik op "OK"

We hebben alle nodige instellingen gedaan aan de gateway-kant, laten we nu verder gaan met de switch-instellingen. Voor dit voorbeeld gebruiken we een Zyxel XGS2220 switch.

• Log in op de webinterface van uw switch en ga naar:

SWITCHING -> VLAN Setup 

Voeg de vereiste VLAN's toe, in ons geval is dat VLAN10. Voor poorten 5 tot en met 10. Poort 5 wordt getagd, onze firewall wordt op deze poort aangesloten. Poort 6 tot en met 10 zullen ongelabeld zijn, toegangspunten en pc's zullen hierop worden aangesloten.

Sla je wijzigingen op en ga naar het tabblad "VLAN Port Setup" om de vereiste PVID voor poorten 5-10 op te geven. Sla de instellingen op nadat je alle wijzigingen hebt aangebracht.

De instellingen zijn klaar. Voor de test hebben we een Zyxel NWA110AX access point aangesloten op poort 6 en een PC op poort 7.

Nu worden al onze PC's die zijn verbonden met het toegangspunt of de poorten 7-10 bij de eerste sessie doorgestuurd naar de volgende pagina wanneer ze naar een site proberen te gaan: