USG/ATP/VPN - VPN 2FA cu SMS (eCall)

Seria de firewall-uri Zyxel oferă posibilitatea unei autentificări 2FA prin SMS pentru VPN și acces administrativ. Pot fi utilizați atât utilizatori locali ai firewall-ului, cât și utilizatori AD sau Radius.

1. PORTAL eCall

2. Server de notificare

3. Autentificare cu doi factori

4. Politica de securitate

5. Configurații HTTPS

6. Gateway VPN

1. PORTAL ECALL

Un cont eCall poate fi deschis la https://portal.ecall-messaging.com/ecall/. Deschiderea contului se face într-un timp scurt.

După ce contul a fost deschis, adresa de expeditor a firewall-ului poate fi introdusă la Interfețe > Interfață e-mail prin intermediul butonului "Adăugare adresă". În plus, trebuie activată opțiunea "Permitem trimiterea de mesaje prin e-mail prin intermediul contului meu eCall.".

Ca să știți, nu sunt necesare alte setări suplimentare.

Server de notificare

Configurație > Sistem > Notificare

• Server de e-mail

În primul rând, configurați un server de e-mail pentru trimiterea de mesaje. De obicei, portul 587 este utilizat pentru trimitere, precum și securitatea TLS și STARTLS, dacă este necesar. De exemplu, dacă serverul de e-mail este configurat corect poate fi verificat prin trimiterea unui raport zilnic.

• SMS

Următoarele setări pot fi utilizate pentru eCall:

Codul de țară implicit pentru numărul de telefon" poate fi și "0". Cu toate acestea, numărul de telefon al utilizatorului trebuie să fie definit apoi cu prefixul "+xx", de exemplu +41761234567.

• Setări utilizator

Configurație > Obiect > Utilizator/Grup > Utilizator

Utilizatorului i se adaugă un număr de telefon mobil în formatul 0761234567.

În plus, se activează 2FA.

Autentificare cu doi factori (Two-factor Authentication)

Configurație > Obiect > Obiect > Auth. Method > Two-factor Authentication > Two-factor Authentication > VPN Access

Funcția trebuie să fie activată ca cerință de bază. Ulterior, se stabilește pentru cine și pentru ce conexiune trebuie să fie activată 2FA. "Authorized Link URL" este adresa definită în mesajul SMS. Accesul din exterior trebuie să fie posibil prin portul specificat din exterior. Pentru eCall trebuie utilizată opțiunea "Use Multilingual file" (Utilizare fișier multilingv).

Fișierul șablon poate fi obținut și adaptat prin intermediul linkului de descărcare.
Fișierul poate fi apoi încărcat din nou pe firewall.

Fișierul trebuie să conțină semnul de poziție .

Se pot utiliza următoarele caractere de poziție:

Authorization Link URL Adresa URL

Utilizatorul care s-a înregistrat pentru 2FA

numele firewall-ului (Configuration > System > Host Name)

Valid Time > Timpul valabil > Timpul în care clientul se poate autentifica.

Politica de securitate

Configuration > Security Policy (Configurație > Politică de securitate > Policy Control)

Trebuie creată o politică de securitate pentru autentificarea prin 2FA

De la: wan

To: ZyWALL

Sursă: poate fi restricționată dacă este necesar, de exemplu în Elveția

Serviciu: Wiz_2FA (portul se ajustează dinamic atunci când este modificat în meniul 2FA))

Acțiune: permite

HTTPS Einstellungen

Configurație > Sistem > WWW > HTTPS > HTTPS > Control serviciu utilizator

Pentru "User Service Control", trebuie să fie permis accesul din zona "WAN" sau "ALL".

Gateway VPN

Configurație > VPN > IPSec VPN > VPN Gateway

Pentru VPN IPSec (L2TP/IKEv1/IKEv2), 2FA trebuie să fie activat în gateway-ul VPN.