Zyxel Firewall [Web authentication] - hur man ställer in Web authentication i DMZ-zonen

Webbauutentisering är en process som fångar upp nätverkstrafik och omdirigerar den till en inloggningssida där användarna måste autentisera sin anslutning. Detta säkerställer att alla förfrågningar om webbsidor först skickas till autentiseringssidan. När användarna har autentiserat sig kan de komma åt resten av nätverket eller Internet.

Autentiseringssidan visas bara en gång per session. Användarna kommer vanligtvis inte att se den igen om inte deras session tar slut eller de stänger anslutningen.

I den här artikeln visar vi hur du använder webbautentisering för gäst-WIFI i en "DMZ" med VLAN.

DMZ ligger vanligtvis mellan det externa och det interna nätverket, och brandväggen begränsar åtkomsten från DMZ till både det interna nätverket och externa resurser. Brandväggskonfigurationen kan begränsa DMZ-åtkomsten till externa nätverk/resurser, vilket påverkar tjänster som kräver åtkomst till Internet eller externa servrar. Strikt trafikfiltrering: Brandväggar tillämpar strikta trafikfiltreringsregler för att garantera säkerheten. Vissa typer av trafik eller portar kan blockeras/begränsas, vilket påverkar vissa applikationer/tjänster.

• Logga in på brandväggens webbgränssnitt och gå till avsnittet:
  

Först måste vi lägga till VLAN till Security Gateway

Configuration > Network > Interface > VLAN > Add

• Kontrollera om "DMZ" är tilldelad någon port, om inte bör den tilldelas. I vårt fall är "DMZ" tilldelad till "port 7"

• Nästa steg är "Aktivera webbauutentisering"

Configuration > Web Authentication > Enable Web Authentication

• För att auktorisera användare i vårt exempel kommer vi att använda "Session Page". För att göra detta, markera rutan "Aktivera sessionssida" och ange en lämplig IP-adress. Tänk på att IP-adressen inte får överlappa med något av nätverken på din gateway eller andra enheter i ditt nätverk.

Obs: Det är inte nödvändigt att använda en "Session Page" med en angiven adress, eftersom gatewayen vid första försöket att komma åt en webbplats kommer att dirigera användaren till auktoriseringssidan.

• Det är också möjligt att samla in ytterligare användardata, t.ex. e-postadress, telefonnummer och liknande. Standardformuläret finns på fliken "Customer User Agreement File".

• Nästa steg är att lägga till webben "Authentication Policy Summary". Första gången en användare försöker komma åt en webbplats kommer denna regel att omdirigera dem till sidan med autentiseringsformuläret

I vårt exempel använder vi webbautentisering för alla i "DMZ", samt en standardform av autentisering.

• Aktivera policy
• Skapa ett nytt objekt för din "vlan10"
• Ge en tydlig beskrivning
• Ange "Incoming Interface", i vårt fall är det "vlan10"
• Autentiseringsfältet ska innehålla - "required"
• Tvinga fram användarautentisering - "Aktivera"
• Klicka på "OK" och "Tillämpa"

• Obs: Det är i DMZ-fallet som vi måste tillåta https- och http-tjänster, från DMZ till Zywall så att autentiseringssidan kan nås.

Go to Configuration > Object > Service > Service Group

Gör nödvändiga ändringar i tjänstegruppsregeln med namnet "Default_Alow_DMZ_To_Zywall"

• Nästa steg är att skapa en användare under vilken du kan autentisera dig för att komma åt Internet för alla medlemmar i "DMZ"-zonen.

Go to Configuration > Object > User/Group > User

• Klicka på "Lägg till".

• Ange ett användarnamn som är lätt att förstå

• Användartypen bör anges som "user"

• Ange ett säkert lösenord

• Klicka på "OK"

Vi har gjort alla nödvändiga inställningar på gateway-sidan, låt oss nu gå vidare till switchinställningarna. För detta exempel kommer vi att använda en Zyxel XGS2220 switch.

• Logga in på switchens webbgränssnitt och gå till:

SWITCHING -> VLAN Setup 

Lägg till önskade VLAN, i vårt fall är det VLAN10. För portarna 5 till och med 10. Port 5 kommer att vara taggad, vår brandvägg kommer att vara ansluten till denna port. Port 6 till 10 kommer att vara otaggade, accesspunkter och datorer kommer att anslutas till den.

Spara ändringarna och gå till fliken "VLAN Port Setup" för att ange önskat PVID för portarna 5-10. När du har gjort alla ändringar sparar du inställningarna.

Inställningarna är klara. För testet anslöt vi en Zyxel NWA110AX accesspunkt till port 6 och en PC till port 7.

Nu kommer alla våra datorer som är anslutna till accesspunkten eller portarna 7-10 att omdirigeras till nästa sida vid första sessionen när de försöker gå till någon webbplats: