Remote-Management. ZyXEL USG Firewall-Serie ab Firmware Version Knowledge Base KB-3517 Dezember Studerus AG

Größe: px

Ab Seite anzeigen:

Download "Remote-Management. ZyXEL USG Firewall-Serie ab Firmware Version Knowledge Base KB-3517 Dezember Studerus AG"

Marie Kurzmann
vor 7 Jahren
Abrufe

1 Remote-Management ZyXEL USG Firewall-Serie ab Firmware Version 4.10 Knowledge Base KB-3517 Dezember 2015 Studerus AG

Für Wartungsaufgaben bietet die USG zudem eine serielle Schnittstelle an.

2 REMOTE-MANAGEMENT Die USG stellt verschiedene Zugangsarten für die Konfiguration und die Fernwartung bereit. Die Web-Oberfläche wird standardmässig über eine HTTPS-, die Kommandozeile über eine SSH- Verbindung verschlüsselt und gesichert. Für Wartungsaufgaben bietet die USG zudem eine serielle Schnittstelle an. Zugriff auf das WebGUI per HTTP/HTTPS Ein Zugriff über den Browser auf die WAN- oder LAN-IP-Adresse nimmt die USG über Port 80 ( oder Port 443 ( entgegen. Der Benutzername und das Passwort für das Administrator-Konto lauten standardmässig admin und. Erster Überblick mit dem Dashboard Nach erfolgreichem Login zeigt die USG mit dem individualisierbaren Dashboard die wichtigsten Systemparameter. Die Widgets lassen sich nach Bedarf neu arrangieren oder auch ausblenden. Die Einstellungen speichert der Browser als Cookie, für eine Rückstellung der Ansicht genügt das Leeren des Browser-Caches. Remote-Management 2 KB-3517 / SRU

) Die kontextsensitive Hilfe liefert ausführliche Hilfestellungen zu sämtlichen Bereichen der Konfiguration. 1 2 3 5 4 3.

3 Die Komponenten der Konfigurationsoberfläche 2.) Die Konsole bietet einen simplen Ersatz für ein lokal installiertes SSH-Terminal. Voraussetzung: aktuelle Java-Version. 1.) Die kontextsensitive Hilfe liefert ausführliche Hilfestellungen zu sämtlichen Bereichen der Konfiguration ) Das CLI-Fenster zeigt live die zum WebGUI äquivalenten CLI-Befehle an. 4.) Die Widget-Settings blenden einzelne Widgets aus- oder ein. 5.) Das Menüsystem der USG erlaubt den einfachen Wechsel zwischen den Konfigurationsseiten und den Monitorseiten. Remote-Management 3 KB-3517 / SRU

4 Configuration > System > WWW Server Port für die HTTPS-Verbindung. Der Redirect leitet HTTP-Anfragen auf das HTTPS-Interface um. Der HTTP-Redirect benötigt den HTTP- Dienst, um Anfragen überhaupt annehmen zu können. Server Port für die HTTP-Verbindung. Werden die Ports 80 oder 443 per NAT/Virtual-Server weitergeleitet, hat die Weiterleitung Priorität und die HTTP- und HTTPS-Dienste der USG sind über das WAN-Interface von extern nicht mehr erreichbar. Die Ports lassen sich dementsprechend versetzen, beispielsweise auf Port 4443 für die HTTPS-Verbindung. Der Aufruf im Browser muss entsprechend um die abweichende Portadresse erweitert werden: Remote-Management 4 KB-3517 / SRU

Werden die Ports 80 oder 443 per NAT/Virtual-Server weitergeleitet, hat die Weiterleitung Priorität und die HTTP- und HTTPS-Dienste der USG sind über das WAN-Interface von

5 Zertifikatsfehler, Erstellen eines neuen Zertifikats Den Zugriff per HTTP-Protokoll leitet die USG automatisch auf HTTPS um. So ist sichergestellt, dass die Verbindung zwischen Browser und USG nur verschlüsselt stattfindet und keine sensiblen Daten wie Benutzernamen und Passwörter im Klartext übertragen werden. Weder das für die HTTPS-Verbindung zugestellte Default-Zertifikat noch der darin enthaltene Aussteller sind dem Browser bekannt. Der Browser weist während dem Verbindungsaufbau mit einem Zertifikats-Fehler auf diesen Umstand hin: Um ein für die HTTPS-Verbindung gültiges Zertifikat zu erstellen, müssen die Zeit und die IP-Adresse der USG korrekt konfiguriert sein. Über die Objekt-Verwaltung erstellen wir ein neues Zertifikat: Configuration > Object > Certificate Remote-Management 5 KB-3517 / SRU

Weder das für die HTTPS-Verbindung zugestellte Default-Zertifikat noch der darin enthaltene Aussteller sind dem Browser bekannt.

6 Configuration > Object > Certificate > My Certificates Setting > Add Name des neu erstellten Zertifikates. IP-Adresse des Interfaces, welches dem Browser das Zertifikat beim Verbindungsaufbau zustellt. Soll das Zertifikat für mehrere Interfaces Gültigkeit haben, bietet sich der Einsatz eines Domänen-Namens an. Wichtiger Hinweis: Ab Firmware-Version 4.15 steht als Key Type der sicherere Secure Hash Algorithm SHA-2 zur Verfügung. Für aktuelle Browser sollte mindestens SHA-256 mit einer Schlüssellänge von 2048 Bits verwendet werden. Ein selbstsigniertes Zertifikat wird nicht durch eine öffentliche Signierungsinstanz beglaubigt und muss manuell lokal verteilt werden. Nach dem Öffnen des neu erstellten Zertifikates steht die Option für das Speichern zur Verfügung. Das Zertifikat mit der Dateiendung *.cer gespeichert, erleichtert den späteren Import. Remote-Management 6 KB-3517 / SRU

Soll das Zertifikat für mehrere Interfaces Gültigkeit haben, bietet sich der Einsatz eines Domänen-Namens an. Wichtiger Hinweis: Ab Firmware-Version 4.

7 Der Weg zum Import des Zertifikates variiert je nach Betriebssystem. Auch Applikationen können in der Nutzung abweichen. Während der Internet Explorer auf betriebssystemebene importierte Zertifikate berücksichtigt, nutzen andere Browser wie beispielsweise der Firefox einen eigenen Zertifikats-Speicher. Verfügt das Zertifikat über die Dateiendung *.cer genügt unter Windows ein Doppelklick auf die Datei, um den Importassistenten zu starten. Jeder Rechner mit dem Zertifikat im Zertifikatspeicher Vertrauenswürdige Stammzertifizierungsstelle kann nach dem Import ohne weitere Fehlermeldung auf die USG zugreifen. Remote-Management 7 KB-3517 / SRU

Zertifikats-Speicher. Verfügt das Zertifikat über die Dateiendung *.cer genügt unter Windows ein Doppelklick auf die Datei, um den Importassistenten zu starten.

8 Remote-Management 8 KB-3517 / SRU

9 Damit die USG beim Verbindungsaufbau auch tatsächlich unser neues Zertifikat liefert, muss dieses unter WWW als Server Certificate für die HTTPS-Verbindungen ausgewählt sein. Configuration > System > WWW Legt fest, welches Zertifikat beim Verbindungsaufbau auf das WebGUI dem Browser zugestellt wird. Nach einem Logout und Aktualisieren der Ansicht attestiert der Browser eine beglaubigte, zertifikatsbasierend verschlüsselte HTTPS-Verbindung: Remote-Management 9 KB-3517 / SRU

Configuration > System > WWW Legt fest, welches Zertifikat beim Verbindungsaufbau auf das WebGUI dem Browser zugestellt

SSH-Konsole Die Konsole (CLI, Command Line Interface) bietet den vollständigen Zugriff auf sämtliche Konfigurations- und Informations-Optionen der USG. Standardmässig ist der SSH-Dienst aktiv.

10 SSH-Konsole Die Konsole (CLI, Command Line Interface) bietet den vollständigen Zugriff auf sämtliche Konfigurations- und Informations-Optionen der USG. Standardmässig ist der SSH-Dienst aktiv. Die Verbindung erstellt ein geeignetes Programm, beispielsweise das einfach anzuwendende und für diverse Betriebssysteme frei verfügbare PuTTY ( Configuration > System > SSH Da im SSH-Verbindungsaufbau PuTTY das Zertifikat prüft, zeigt der erste Verbindungsversuch einen Warnhinweis auf das noch unbekannte Zertifikat. Nach einmaligem Akzeptieren eines gültigen Zertifikates wird dieses im PuTTY eigenen Cache abgelegt und die Meldung somit später auch nicht mehr angezeigt. Remote-Management 10 KB-3517 / SRU

Die Verbindung erstellt ein geeignetes Programm, beispielsweise das einfach anzuwendende und für diverse Betriebssysteme frei verfügbare PuTTY (http://www.chiark.greenend.org.

11 Der Login erfolgt mit gleichem Benutzername und Passwort wie im WebGUI. Telnet-Konsole Telnet stellt das unverschlüsselte Pendant zu SSH dar und ist aus Sicherheitsgründen auf der USG per Default deaktiviert. Da auf aktuellen Betriebssystemen der Telnet-Client zudem erst nachinstalliert werden muss, macht der Einsatz heute kaum mehr Sinn. Configuration > System > SSH Serielle Konsole Die serielle Schnittstelle ist nicht auf einen funktionierenden Netzwerkstack angewiesen. Entsprechend kann die USG auch bereits den Startvorgang vollständig protokolieren. Selbst wenn die Firmware nur noch fehlerhaft vorliegt, lässt sich über den Debug-Mode ein Recovery-Prozess anstossen. Für die Verbindung benötigt man ein Terminal-Programm mit Unterstützung für die serielle Schnittstelle. Tera Term und XTerm sind zwei verbreitete Vertreter, aber auch das bereits für SSH eingesetzte PuTTY bringt diese Voraussetzung mit. Remote-Management 11 KB-3517 / SRU

Da auf aktuellen Betriebssystemen der Telnet-Client zudem erst nachinstalliert werden muss, macht der Einsatz heute kaum mehr Sinn.

12 Die Verbindungsparameter lauten: , n, 8, 1 (Baud, Parität, Datenbits, Stoppbits). Unter Serial line muss die eingesetzte serielle Schnittstelle des Rechners ausgewählt sein. Nach abgeschlossenem Startvorgang steht über die serielle Schnittstelle die gewohnte Konsole mit dem vollständigen Funktionsumfang des CLI bereit. Schliesst man sich beispielsweise unbedacht mit einer allzu restriktiven Firewall-Regel vom System aus, deaktivieren die Befehle configure terminal und no Firewall active die Firewall auch ohne Zugriff auf das WebGUI. Remote-Management 12 KB-3517 / SRU

Nach abgeschlossenem Startvorgang steht über die serielle Schnittstelle die gewohnte Konsole mit dem vollständigen Funktionsumfang des CLI

Ähnliche Dokumente

SSL-Inspection mit Content-Filter. ZyXEL USG Firewall-Serie ab Firmware Version 4.10. Knowledge Base KB-3506 Juni 2014.

SSL-Inspection mit Content-Filter ZyXEL USG Firewall-Serie ab Firmware Version 4.10 Knowledge Base KB-3506 Juni 2014 Studerus AG SSL-INSPECTION MIT CONTENT-FILTER Content-Filter und HTTPS-Websites Der