USG / USG FLEX / ATP / VPN - Hvordan tillate HTTPS Web GUI-tilgang fra WAN?

Denne artikkelen gir en kortfattet oversikt over hvordan du aktiverer sikker HTTPS-tilgang til det grafiske brukergrensesnittet for administrasjon av sikkerhetsenheten via WAN. For å gå videre kobler du til det grafiske brukergrensesnittet på nettet ved hjelp av enhetens IP-adresse og logger på med administratorkontoen og det tilhørende passordet.

Tillater ekstern tilgang via standardobjekter:

Configuration > Object > Service > Service Group > Default_Allow_WAN_To_ZyWALL > Edit

Velg HTTPS, klikk på den markerte pilen og deretter på "OK".

Du kan nå få tilgang til sikkerhetsenheten via WAN-grensesnittet.

F.eks. https://5. 234.65.17

Beste praksis for sikker tilgang:

Det er et generelt godt råd å sikre fjerntilgangen over WAN ytterligere for å hindre at uærlige aktører kan gjøre noe galt. Vi tar en titt på hvordan du gjør det.

Endring av HTTPS-porten:

Configuration > System > WWW > Service Control

Vennligst endre HTTPS-porten til noe annet.

F.eks. 8443

Deretter klikker du på "Apply" nederst på siden.

Opprette et eget objekt for ekstern tilgang

Configuration > Object > Service > Service > Add

Nå må vi opprette et nytt og separat objekt for HTTPS-tjenesteporten.

1. Gi det et navn: "Ditt tjenestenavn"
2. IP-protokoll: TCP
3. Startport: "HTTPS-port fra forrige trinn"
4. Klikk på "OK"

Opprette en egen regel for ekstern tilgang

Configuration > Security Policy > Policy Control > Policy > Add

Nå må vi opprette en ny/separat regel:

1. Navn: "Ditt regelnavn" (Råd: Bruk "Talende navn")
2. Fra: WAN
3. Til: ZyWall
4. Tjeneste "Ditt HTTPS-objekt"
5. Handling: Tillat
6. Klikk på "OK"

Begrense tilgangen

Vi kan og bør nå begrense tilgangen til webgrensesnittet. En måte å oppnå dette på er ved å bare tillate visse betrodde IP-adresser.

Configuration > Object > Address/Geo IP > Address > Add

Først må vi opprette et objekt med en klarert IP-adresse.

Hvis den betrodde motparten ikke har en statisk offentlig IP, kan du bruke FQDN-objekter med DDNS.

(Samme prosedyre, men velg FQDN i stedet for Host)

1. Name (Navn): "Objektets navn" (Råd: Bruk "Talende navn")
2. Type adresse: HOST
3. IP-adresse: IP Address: Pålitelig IP
4. Klikk på "OK"

Configuration > Object > Address/Geo IP > Address Group > Add

Nå må vi opprette en gruppe for objektet for å legge til flere IP-er/FQDN-er uten å opprette en ny sikkerhetspolicy for hver av dem.

1. Navn: "Ditt gruppenavn" (Råd: Bruk "Talende navn")
2. Type adresse: Velg "Adresse" (hvis du bruker FQDN -> "FQDN")
3. Medlemsliste: Velg objektet/objektene du har opprettet tidligere
4. Klikk på "->"-pilen
5. Klikk på "OK"

Configuration > Security Policy > Policy Control > Policy > Choose Policy > Edit

Nå må vi legge til gruppen vår som en kilde for sikkerhetspolicyen vi opprettet tidligere.

1. Kilde: Velg IP-gruppe/FQDN-gruppe
2. Klikk på "OK"
3. Klikk på "Apply" nederst på siden.

Andre typer

Du kan også blokkere et helt land eller en region ved hjelp av GeoIP-funksjonen:

Slik bruker du Geo-IP-funksjonen

Ekstern tilgang for supportformål

Hvis en av våre agenter ber om ekstern tilgang, kan du begrense tilgangen til våre offisielle offentlige IP-er:

(HOVEDKONTOR)
118.163.48.105
1.161.171.96
1.161.154.129
(Support Campus DE)
93.159.250.200