ZYXEL Firewall (USG y VPN)

GUÍA DE CONFIGURACIÓN

El objetivo del siguiente manual es una descripción de la configuración necesaria en los equipos Zyxel USG y VPN (a partir de modelo 100) para la integración con Octopus Platform

1- Requerimientos previos

• Si en la instalación existe un firewall que bloquee el tráfico se deberá permitir el acceso libre a ciertos dominios e IPs para habilitar la autenticación de los usuarios.

  • Servidores Radius:

    • Primario: <IP_Radius_1> puertos 1812 y 1813 UDP

    • Secundario: <IP_Radius_2> puertos 1812 y 1813 UDP

  • Servidor Splash Portal: 

    • Dominio <dominio_captive_portal> puertos 80 y 443 TCP

• Para el funcionamiento de la configuración de los módulos Guest y Enterprise, previamente será necesario contratar las licencias de la plataforma Octopus con los respectivos módulos.

2- Configuración módulo Guest

2.1 Radius Server

Incluir los servidores radius externos de la plataforma Wifi, para ello acceder a Configuration > Object > AAA Server y acceder a la pestaña RADIUS. Una vez dentro hacer click en Add para añadir un nuevo Servidor Radius y configurar los siguientes parámetros:

• Name: Radius_Guest

• Authentication Server Settings

  • Server Address: <IP_Radius_1>

  • Authentication Port: 1812

  • Backup Server Address: <IP_Radius_2>

  • Backup Authentication Port: 1812

  • Key: <Secret>

• Accounting Server Settings

  • Server Address: <IP_Radius_1>

  • Accounting Port: 1813

  • Backup Server Address: <IP_Radius_2>

  • Backup Accounting Port: 1813

  • Key: <Secret>

  • Enable Accounting Interim update: habilitar esta opción

  • Interim Interval: 10

• General Server Settings

  • Timeout: 5

  • NAS Identifier: ZYXEL

Open

Una vez añadido el Servidor Radius acceder a Configuration > Object > Auth. Method para añadir un nuevo método de Authentication asociado al Servidor Radius añadido. Tras hacer click en Add configurar los siguientes parámetros:

• Name: AuthMethod_Guest

• Method List: añadir el servidor Radius creado anteriormente, Radius_Guest

Open

2.2 Walled Garden

Con licencia Hotspot

Para añadir los dominios a los que el usuario tendrá acceso libre antes de validarse en el portal ir a Configuration > Hotspot > Walled Garden y en la pestaña General habilitar la opción Enable Walled Garden.

Open

Tras habilitar esta opción en la pestaña Domain/IP Base se deben añadir los dominios, para ello hacer click en Add y configurar cada una de las entradas.

Open

Sin Licencia Hotspot

Para añadir los dominios a los que el usuario tendrá acceso libre antes de validarse en el portal ir a Configuration > Object > Address/Geo IP y en la pestaña Address crear una entrada (Add) por cada uno de los dominios que queramos añadir con un nombre identificativo.

• Name: Nombre identificativo

• Address Type: FQDN

• FQDN: dominio o subdominio completo 

Open

Una vez añadidas las entradas de los dominios en Address hay que agruparlas creando un grupo en la pestaña Address Group. Para ello pulsaremos el botón Add.

• Name: Nombre identificativo de la lista, WalledGarden_Group, por ejemplo.

• Address Type: FQDN

• Member List: Seleccionar todos los elementos que nos interese de la lista de la izquierda y pasarlos a la columna de la derecha con la flecha que indica ese sentido.

 

 

 

 

Pulsar en OK cuando se hayan añadido todos los dominios al grupo

Open

2.3 Captive Portal

A continuación configurar el Portal Cautivo externo para ello ir a Configuration > Web Authentication y acceder a la pestaña Authentication Type. Una vez dentro pulsar en Add y configurar los siguientes parámetros:

• Type: Web Portal

• Profile Name: Guest_Portal

• Marcar la opción: External Web Portal

  • Login URL: http://<dominio_captive_portal>/login/hotspot/zywall

  • Welcome URL: Para que aplique la configuración de la landing configurada en la plataforma, hay que introducir la URL de redirección que se encuentra en el apartado WLAN de la Localización de Octopus Platform.

    • Formato de la URL:<protocol://domain-portal>/login/hotspot/landing/wifiarea /WIFIAREA_ID/WLAN_ID

    • Sustituir:

      • Protocol: http o https. Debe ser el mismo protocolo que se utiliza en Login URL

      • domain-portal: El mismo dominio_captive_portal que se utiliza en Login URL

Open

Una vez añadido hacer click en Apply para salvar los cambios e ir a la ventana General. En esta pestaña configurar:

• Enable Web Authentication: marcar esta casilla para habilitar el portal cautivo.

Open

Por último dentro de Web Authentication Policy Summary hacer click en Add para añadir una nueva policy con la siguiente configuración:

• Enable Policy: activar esta opción

• Incoming Interface: Seleccionar la interfaz al que queremos aplicar el portal cautivo.

• Source Address: any

• Destination Address: any

• Authentication: required

• Single Sign-on: desactivar esta casilla

• Force User Authentication: activar esta opción

• Authentication Type: Guest_Portal

Open

Posteriormente, también desde Web Authentication Policy Summary, añadir una entrada para los walled garden:

• Enable Policy: activar esta opción

• Incoming Interface: Seleccionar la interfaz al que queremos aplicar el portal cautivo.

• Source Address: any

• Destination Address: WalledGarden_Group, o nombre de Address Group que se haya creado anteriormente.

• Schedule: none

• Authentication: unneccesary

Open

Pulsar el botón Apply para que se guarde correctamente la configuración realizada. Posteriormente entran en el submenú: Configuration > System > WWW

• Habilitar las opciones HTTP y HTTPS

• Deshabilitar la opción "Redirect HTTP to HTTPS"

Open

• En la sección Authentication seleccionar en la parte inferior la siguiente configuración: Client Authentication Method: AuthMethod

Open

2.4 Listado MACs Autorizadas

Para que la validación de los usuarios funcione correctamente es necesario identificar los NAS que podrán realizar peticiones de autenticación al Servidor Radius. En este caso se debe añadir la dirección MAC del equipo ZyWALL 110. Para encontrar esta dirección MAC ir al Dashboard y en el widget Device Information se puede obtener la dirección MAC del equipo.

Open

2.5 Configuraciones adicionales

Idle Timeout

Para terminar toda la configuración es necesario activar el Idle-Timeout para que los usuarios sean olvidados de la red tras un cierto tiempo de inactividad. Para ello ir ir a Configuration > Object > User/Group y acceder a la pestaña Setting. Dentro de la sección Miscellaneous Settings activar la casilla Enable user idle detection y configurar 15 minutos como User idle timeout.

Open

Aplicar configuración a WLAN

El primer paso será asociar el interfaz al SSID donde se quiere aplicar la configuración, para ello acceder a Configuration > Object > AP Profile y seleccionar la pestaña SSID. Una vez dentro hacer click en en Add para añadir un nuevo SSID profile y configurar los siguientes parámetros:

• VLAN ID: indicar la vlan asociada al portal cautivo.

Open

 

Para desplegar la configuración en los Access Points, dirigirse a Configuration > Wireless >AP Management y acceder a la pestaña AP Group. Seleccionar el grupo donde queremos añadir el SSID Invitados:

• Radio 1 Setting: Seleccionar el SSID Profile creado anteriormente en el listado.

• Radio 2 Setting: Seleccionar el SSID Profile creado anteriormente en el listado.

Open

3- Configuración módulo Enterprise

Para poder integrar las configuraciones de este módulo con la plataforma, es necesario contratar el Módulo Enterprise de Octopus Platform

3.1 Configuración funcionalidades “Access Profiles” plataforma Octopus Wifi

A través de la plataforma Octopus es posible configurar una serie de atributos reply de los paquetes Access-Accept, agrupados en los llamados Access Profile. Estos Access Profile, permite activar una serie de funcionalidades en el Zyxel. Aunque están disponibles los dictionarys radius más comunes y propietarios de Zyxel, a continuación se lista algunos considerados como más interesantes:

Configuración Filter-ID

Acceder a Object > AAA Server > Radius y seleccionar en User Login Settings > Group Membership Attibute Filter-ID. Después ir a Object > User/Group > User y crear una nueva entrada con la configuración:

• User-Name: El que consideremos para identificarlo.

• User-Type: ext-group-user.

• Group Identifier: Dato muy importante porque será lo que hay que configurar en el radius y el que habría que devolver en el atributo Filter-ID.

• Associated AAA Server Object: radius.

Open

Ejemplo de configuración de un Access Profile con los atributos anteriormente explicados:

Open