Konfigurationsbeispiel ZyWALL USG

Transkript

1 Zywall USG und User Awareness über ZyXEL OTP (One Time Password) Ziel dieser Anleitung ist es, den Internet-Zugang benutzerbasierend zu regeln. Wer über den Web-Browser (http) ins Internet gelangen will, muss sich vorher auf der Zywall USG authentifizieren. Dieses Beispiel beschränkt sich auf den Web-Zugriff. Der Mail-Verkehr funktioniert weiterhin ohne vorherige Authentifizierung. Für die Benutzeridentifikation wird ZyXEL OTP Authentication Radius Server benutzt. ZyXEL OTP-Server Konfiguration Nach der Installation des ZyXEL OTP-Servers haben Sie über den Link Zugriff auf die Administrationsseiten: admin+esn Master Schlüssel NAS-Eintrag erstellen (Netzwerk-Anschluss-Service, in diesem Falle die IP der USG): September 2008 / ATA / Seite 1 von 7

2 Über das Menü Add/Edit Goups die Gruppe radius erstellen und alle Resourcen erlauben (Allowed): Im Menü Add User einen Benutzer ssl-user erstellen: Die Gruppe radius zu den ausgewählten Gruppen hinzufügen (Selected) und die Ressource USG freigeben (Allowed), dann auf Update User klicken: September 2008 / ATA / Seite 2 von 7

3 Mit Assign dem Benutzer ssl-user einen Schlüssel (Key, z.b ) zuweisen: Über Menü Search A-Keys, den Schlüssel des Benutzers ssl-user editieren: Bestimmen Sie den OTP-Pin (entspricht dem Password auf USG-Login, 4 bis 24 Zeichen alphanumerisch): Um die Einstellungen zu übernehmen, muss der Authenex Radius Server neu gestartet werden: September 2008 / ATA / Seite 3 von 7

4 ZyXEL USG-Konfiguration Über Object > AAA Server > RADIUS unter Host die IP ( ) des ZyXEL OTP-Servers und den Athentication Port auf 1812 festlegen. Key (Passwort für Kommunikation mit Authenex Server) eintragen und Timeout auf 99 setzen. Über Objekt > Authentication Method > Radius die Regel default editieren und über [+] eine zweite Position die Gruppe Radius 'group radius' einfügen. September 2008 / ATA / Seite 4 von 7

5 Im Menü Object > User/Group > Setting werden die Standard-Einstellungen der Benutzer definiert. Damit sich ein User nicht mehrmals über die USG authentifizieren kann, limitieren wir die maximale Anzahl gleichzeitiger Anmeldungen auf 1. Nach dem Speichern der Konfiguration, wird über das Plus-Symbol eine neue Benutzerregel erstellt: So erstellen Sie eine User Policy, bei der die Authentifizierung aus dem LAN erzwungen wird: September 2008 / ATA / Seite 5 von 7

6 Die Konfiguration der USG ist somit abgeschlossen. Ab sofort muss sich ein Benutzer der sich in der LAN- Zone befindet, beim ersten Web-Zugriff authentifizieren. Beim Öffnen des Browsers erscheint dazu das Login-Fenster der USG. Voraussetzung dafür ist, dass die Zywall USG der Standart-Gateway des PCs ist. Geben Sie gemäss Ihrer Konfiguration die Benutzerdaten ein und klicken Sie auf Login: User Name: Password: One-Time Password: Der im Asas-Server definierte Benutzername Der zum Token definierte PIN Die aktuell im Token sichtbare Nummer (6 Ziffern) Nachdem man sich erfolgreich authentifiziert hat, erscheint ein Popup-Fenster, welches anzeigt, wie viel Zeit bis zu einer erzwungenen Neuanmeldung verbleibt. Dieses Fenster kann nur angezeigt werden, wenn keinen Popup-Blocker aktiv ist. Beachten Sie entsprechende Warnungen Ihres Browsers. September 2008 / ATA / Seite 6 von 7

7 Um die aktuell authentifizierten Benutzer aufzulisten, klicken Sie auf der Statusseite auf die Benutzerliste: Mit der Funktion Force Logout kann der Administrator der USG einen Benutzer manuell trennen. September 2008 / ATA / Seite 7 von 7