ZyXEL NXC

GUÍA DE CONFIGURACIÓN

El objetivo del siguiente manual es una descripción de la configuración necesaria en el equipamiento NXC2500 de ZyXEL para la integración con Octopus Platform

1- Requerimientos previos

• Si en la instalación existe un firewall que bloquee el tráfico se deberá permitir el acceso libre a ciertos dominios e IPs para habilitar la autenticación de los usuarios.

  • Servidores Radius:

    • Primario: <IP_Radius_1> puertos 1812 y 1813 UDP

    • Secundario: <IP_Radius_2> puertos 1812 y 1813 UDP

  • Servidor Splash Portal: 

    • Dominio <dominio_captive_portal> puertos 80 y 443 TCP

• Para el funcionamiento de la configuración de los módulos Guest y Enterprise, previamente será necesario contratar las licencias de la plataforma Octopus con los respectivos módulos.

2- Configuración módulo Guest

2.1 Configuración WLAN

El primer paso es crear un nuevo SSID o modificar uno ya existente, para ello acceder a Configuration > Object > AP Profile y seleccionar la pestaña SSID. Una vez dentro hacer click en Add para añadir un nuevo SSID profile y configurar los siguientes parámetros:

• Profile Name: WiFi_GUEST

• SSID: indicar SSID que radiarán los APs.

• VLAN ID: indicar la vlan asociada al SSID.

Open

2.2 Radius Server

A continuación hay que incluir el Servidor Radius. Para ello acceder a Configuration > Object > AAA Server y acceder a la pestaña RADIUS. Hacer click en Add para añadir un nuevo Servidor Radius y configurar:

• Name: RADIUS

• Authentication Server Settings

  • Server Address: <IP_Radius_1>

  • Authentication Port: 1812

  • Backup Server Address: <IP_Radius_2>

  • Backup Authentication Port: 1812

  • Key: <Secret>

Open

 

• Accounting Server Settings

  • Server Address: <IP_Radius_1>

  • Accounting Port: 1813

  • Backup Server Address: <IP_Radius_2>

  • Backup Authentication Port: 1813

  • Key: <Secret>

  • Accounting Interim Update: habilitar esta opción

  • Interim Interval: 10

• General Server Settings:

  • Timeout: 5

  • NAS Identifier: ZYXEL

Open

 

Una vez añadido el Servidor Radius acceder a Configuration > Object > Auth. Method para añadir un nuevo método de Authentication asociado al Servidor Radius añadido. Hacer click en Add configurar los siguientes parámetros:

• Name: WIFI

• Method List: añadir el servidor Radius creado anteriormente, group RADIUS

Open

2.3 Captive Portal

A continuación hay que configurar el Portal Cautivo externo para ello ir a Configuration > Captive Portal y acceder a la pestaña Captive Portal. Una vez dentro configurar los siguientes parámetros:

• Enable Captive Portal: marcar esta casilla para habilitar el portal cautivo.

• External Web Portal: seleccionar esta opción.

  • Login URL: https://<dominio_captive_portal>/login/hotspot/zyxel

• Authenticated Method: seleccionar el método de autenticación creado anteriormente WIFI

Open

Tras realizar estos cambios hacer click en el botón Apply para que se guarde correctamente la configuración realizada.

2.4 Walled Garden

En este caso no es posible incluir dominios en el walled garden por lo que es necesario realizarlo añadiendo las direcciones IP. Para ello ir a Configuration > Object > Address y hacer click en Add para añadir cada una de las direcciones IP necesarias.

Open

2.5 Authentication Policy

Una vez añadidas las direcciones IP a las que el usuario tendrá libre acceso es necesario crear una Authenticaion Policy que asocie dichas IPs a una determinada regla. Para ello ir a Configuration > Captive Portal y acceder a la pestaña Redirect on AP.A continuación añadir un nuevo Authentication Policy Rule para cada una de las direcciones IP utilizadas anteriormente con la siguiente configuración:

• General Settings

  • Enable Policy: Activar esta casilla.

  • Profile Name: Añadir cada uno de las Policy Rule creadas

• Accounting Server Settings

  • SSID: any

  • Source Address: any

  • Destination Address: WIFI

  • Schedule: none

  • Authentication: unnecessary

Open

Tras añadir todas las Policy Rule es necesario añadir una regla que bloquee el acceso al resto de direcciones. Para ello añadir una nueva regla con la siguiente configuración:

• General Settings

  • Enable Policy: Activar esta casilla.

  • Profile Name: BLOCK

• Accounting Server Settings

  • SSID: any

  • Source Address: any

  • Destination Address: any

  • Schedule: none

  • Authentication: force

Open

Por último añadir un nuevo Authentication Policy Group que contenga las Policy Rule creadas anteriormente. Para ello realizar la siguiente configuración:

• General Settings

  • Profile Name: WIFI

• Añadir cada uno de las reglas creadas anteriormente. En este caso es importante que la regla denominada BLOCK se encuentre en la última posición de la lista.

Open

Tras realizar todos estos cambios hacer click en el botón Apply para que se guarde correctamente toda la configuración realizada.

2.6 Access Point

Para finalizar será necesario asociar todos los Profiles creados anteriormente al AP Group asociado a los APs de la instalación. Para ello ir a Configuration > Wireless >AP Management y acceder a la pestaña AP Group. Una vez dentro de esta pestaña de configuración añadir un nuevo AP Group o seleccionar uno ya existente para modificarlo configurando los siguientes parámetros:

• General Settings

  • Group Name: Nombre del AP Group

• Radio 1 Setting:

  • Seleccionar el SSID Profile creado anteriormente, en este caso WIFI_GUEST

• Radio 2 Setting:

  • Seleccionar el SSID Profile creado anteriormente, en este caso WIFI_GUEST

Open

 

• Portal Redirect on AP

  • Policy Group: Seleccionar el Policy Group creado anteriormente, en este caso WIFI

  • Skip authentication to provide contingency access while controller is unreachable: deshabilitar esta opción

Open

 

2.7 Listado MACs Autorizadas

Para que la validación de los usuarios funcione correctamente es necesario identificar los NAS que podrán realizar peticiones de autenticación al Servidor Radius. En este caso se deben añadir todas las direcciones MAC de los Access Point que radiarán el SSID configurado. Para poder obtener estas direcciones MAC fácilmente ir a Monitor > Wireless > AP Information y buscar la columna en la que aparece la MAC de cada uno de los APs.

Open

 

3- Configuración módulo Enterprise

Para poder integrar las configuraciones de este módulo con la plataforma, es necesario contratar el Módulo Enterprise de Octopus Platform

3.1 Configuración funcionalidades “Access Profiles” plataforma Octopus Wifi

A través de la plataforma Octopus es posible configurar una serie de atributos reply de los paquetes Access-Accept, agrupados en los llamados Access Profile. Estos Access Profile, permite activar una serie de funcionalidades en el Zyxel. Aunque están disponibles los dictionarys radius más comunes y propietarios de Zyxel, a continuación se lista algunos considerados como más interesantes:

Ejemplo de configuración de un Access Profile con los atributos anteriormente explicados:

Open