Zyxel Firewall [Uwierzytelnianie sieciowe] - jak skonfigurować uwierzytelnianie sieciowe w strefie DMZ?

Uwierzytelnianie sieciowe to proces, który przechwytuje ruch sieciowy i przekierowuje go na stronę logowania, na której użytkownicy muszą uwierzytelnić swoje połączenie. Zapewnia to, że wszystkie żądania stron internetowych są najpierw kierowane do strony uwierzytelniania. Po pomyślnym uwierzytelnieniu użytkownicy mogą uzyskać dostęp do pozostałej części sieci lub Internetu.

Strona uwierzytelniania jest wyświetlana tylko raz na sesję. Użytkownicy zwykle nie zobaczą jej ponownie, chyba że ich sesja wygaśnie lub zamkną połączenie.

W tym artykule pokażemy, jak korzystać z uwierzytelniania sieciowego dla gości WIFI w "DMZ" z VLAN.

Uwaga: Zazwyczaj DMZ znajduje się pomiędzy siecią zewnętrzną i wewnętrzną, a firewall ogranicza dostęp z DMZ zarówno do sieci wewnętrznej, jak i zasobów zewnętrznych. Konfiguracja zapory może ograniczać dostęp DMZ do zewnętrznych sieci/zasobów, wpływając na usługi wymagające dostępu do Internetu lub zewnętrznych serwerów. Ścisłe filtrowanie ruchu: Zapory sieciowe stosują ścisłe reguły filtrowania ruchu w celu zapewnienia bezpieczeństwa. Niektóre rodzaje ruchu lub porty mogą być blokowane/ograniczane, wpływając na niektóre aplikacje/usługi.

• Zaloguj się do interfejsu internetowego zapory i przejdź do sekcji:
  

Najpierw musimy dodać sieć VLAN do Security Gateway

• Sprawdź, czy "DMZ" jest przypisany do jakiegokolwiek portu, jeśli nie, powinien zostać przypisany. W naszym przypadku "DMZ" jest przypisany doportu 7.

• Następnym krokiem jest "Włącz uwierzytelnianie sieciowe".

• Aby autoryzować użytkowników w naszym przykładzie, użyjemy "Stronysesji". Aby to zrobić, zaznacz pole "Enable Session Page" i określ dogodny adres IP. Należy pamiętać, że adres IP nie może pokrywać się z żadną z sieci na bramie lub innych urządzeniach w sieci.

Uwaga: Korzystanie ze "Stronysesji" z określonym adresem nie jest konieczne, ponieważ przy pierwszej próbie uzyskania dostępu do jakiejkolwiek witryny brama przekieruje użytkownika na stronę autoryzacji.

• Możliwe jest również zbieranie dodatkowych danych użytkownika, takich jak adres e-mail, numer telefonu i inne. Standardowy formularz znajduje się w zakładce "Customer User Agreement File".

• Następnym krokiem jest dodanie "Podsumowania zasad uwierzytelniania". Za pierwszym razem, gdy użytkownik spróbuje uzyskać dostęp do dowolnej witryny, ta reguła przekieruje go na stronę formularza uwierzytelniania

W naszym przykładzie używamy uwierzytelniania internetowego dla wszystkich w "DMZ", a także standardowej formy uwierzytelniania.

• Włączanie zasad
• Utwórz nowy obiekt dla "vlan10".
• Podaj jasny opis
• Określ "Interfejs przychodzący", w naszym przypadku jest to "vlan10"
• Pole uwierzytelniania powinno zawierać - "wymagane"
• Wymuś uwierzytelnianie użytkownika - "Włącz"
• Kliknij "OK" i "Zastosuj"

• Uwaga: W przypadku DMZ musimy zezwolić na usługi https i http z DMZ do Zywall, aby można było uzyskać dostęp do strony uwierzytelniania.

Wprowadź niezbędne zmiany w regule grupy usług o nazwie "Default_Alow_DMZ_To_Zywall".

• Następnym krokiem jest utworzenie użytkownika, pod którym można się uwierzytelnić, aby uzyskać dostęp do Internetu dla wszystkich członków strefy "DMZ".

• Kliknij "Dodaj".

• Wprowadź łatwą do zrozumienia nazwę użytkownika

• Typ użytkownika powinien być określony jako "user".

• Podaj bezpieczne hasło

• Kliknij"OK"

Dokonaliśmy wszystkich niezbędnych ustawień po stronie bramy, teraz przejdźmy do ustawień przełącznika. W tym przykładzie użyjemy przełącznika Zyxel XGS2220.

• Zaloguj siędo interfejsu internetowego przełącznika i przejdź do strony:

Dodaj wymagane sieci VLAN, w naszym przypadku jest to VLAN10. Dla portów od 5 do 10 włącznie. Port 5 będzie tagowany, nasz firewall będzie podłączony do tego portu. Porty od 6 do 10 nie będą tagowane, będą do nich podłączone punkty dostępowe i komputery PC.

Zapisz zmiany i przejdź do zakładki "VLAN Port Setup", aby określić wymagany PVID dla portów 5-10. Po wprowadzeniu wszystkich zmian zapisz ustawienia.

Ustawienia są gotowe. Do testu podłączyliśmy punkt dostępowy Zyxel NWA110AX do portu 6 i podłączyliśmy komputer do portu 7.

Teraz wszystkie nasze komputery podłączone do punktu dostępowego lub portów 7-10 zostaną przekierowane do następnej strony przy pierwszej sesji, gdy spróbują przejść do dowolnej witryny: