Avremo quindi 3 utenti di dominio ai quali dovremo assegnare policy di navigazione differenti:

Transcript

1 POLICY DI ACCESSO INTERNET E CONTENT FILTER BASATE SU UTENTI ACTIVE DIRECTORY (Firmware 2.20) Sul controller di dominio creiamo gli utenti da utilizzare per le policy sul firewall: Avremo quindi 3 utenti di dominio ai quali dovremo assegnare policy di navigazione differenti:

2 Ci appuntiamo i dati del dominio in modo da inserirli correttamente sul firewall nella sezione apposita. Nel nostro caso il nome sarà zyxeltest.dyndns.org:

3 Nel Menù Object/AAA Server/Active Directory definiamo i parametri di interfacciamento al controller di dominio. In Server Address inseriamo l ip del server. In port lasciamo 389 come da default. In Base DN inseriamo i parametri del nome domino, nel nostro caso DC=zyxeltest,DC=dyndns,DC=org. In Server Authentication nel campo Bind DN andiamo ad inserire le credenziali dell utente amministratore di dominio, nel nostro caso CN=Administrator,CN=Users,DC=zyxeltest,DC=dyndns,DC=org con relativa password. Tutti gli altri campi possono essere lasciati a default: Per verificare il corretto inserimento dei dati nel campo Configuration Validation andiamo ad inserire il nome di un utente di Active Directory per testare la connessione:

4 Il test, se tutto è stato configurato correttamente, riporterà esito positivo: Nel Menù Object/Auth. Method andiamo a modificare l Authentication Method di default dicendo al firewall di andare a fare il check degli utenti anche sull Active Directory:

5 Questo sarà il metodo di autenticazione di default: Dal Menù Object/User creiamo gli utenti da utilizzare per le policy di accesso ad internet e content filter. Avranno lo stesso nome di quelli creati sul controller di dominio, come User Type dobbiamo selezionare ext-user: così facendo l utente verrà cercato sull Active Directory insieme alla sua password. Tutti gli utenti non in possesso delle credenziali non potranno avere accesso alla rete esterna:

6 Avremo quindi i 3 utenti da utilizzare per le policy:

7 Per comodità andiamo ad inserire questi utenti all interno di un gruppo: Per far si che tutti gli utenti della lan vengano sottoposti ad autenticazione dobbiamo creare una policy di autenticazione nel menù dedicato Auth. Policy. Come source andiamo ad inserire la rete da cui proverranno le richieste (LAN1_SUBNET), destination sarà any (internet), come schedule possiamo lasciare none. In Authentication selezioniamo force. Questa policy reindirizzerà tutte le richieste http verso la pagina di login del firewall, a seguito dell inserimento di user e password verranno sbloccate le policy assegnate agli utenti. Il servizio DNS deve essere lasciato tra i servizi non sottoposti ad autenticazione:

8 Possiamo quindi creare delle regole di firewall per bloccare la navigazione a tutti e sbloccarla solo per gli utenti abilitati. Faremo delle regole LAN1 to WAN, una regola avrà Access deny per tutti:

9 L altra avrà come User l usergroup che raccoglie gli utenti abilitati a navigare, come Access allow: E fondamentale la priorità delle regole: la regola che nega tutto andrà in posizione 2, la regola che permette solo al gruppo di utenti andrà in posizione 1:

10 Create queste regole il traffico internet verrà bloccato: Possiamo quindi andare a creare delle regole di Content Filter personalizzate sul singolo utente. In assenza di una licenza di Content Filter il firewall permette di bloccare tutto il traffico ad eccezione dei siti in White List. Dal Menù Anti-X/Content Filter/Filter Profile andiamo a creare i profili personalizzati per i singoli utenti. In caso di assenza di licenza il tab Category Service lo lasciamo deconfigurato:

11 Nel tab Custom Service abilitiamo l Enable Custom Service e selezioniamo l Allow web traffic for trusted web sites only. In Trusted Web Sites inseriamo la lista di siti a cui potrà accedere il primo utente: Creiamo un secondo profilo per il secondo utente:

12 Ed un terzo per il terzo utente (inserendo l indirizzo in formato dominio.it verranno abilitati anche i domini di terzo livello, cosa che non avviene inserendo nell indirizzo il formato Avremo quindi 3 profili di Content Filter differenti:

13 Nel Menù General del Content Filter andiamo a creare le policy. Assegnamo il Filter Profile utente1 all User user1: Assegnamo il Filter Profile utente2 all User user2: Assegnamo il Filter Profile utente3 all User user3:

14 Abilitiamo il servizio di Content Filter, eventualmente diciamo di bloccare l accesso web se il traffico entrante non matcha nessuna delle policy create (Block web access when no policy is applied). Avremo quindi 3 policy di controllo, ognuna delle quali permetterà l accesso a determinati siti in base all utente: Nel momento in cui l utente andrà ad aprire il proprio browser verrà reindirizzato alla pagina di login del firewall:

15 Inserite le proprie credenziali il firewall lo riconoscerà e sbloccherà le policy a lui assegnate: Verrà attivato l accesso ad internet:

16 Potrà accedere solo ai siti nella sua White List: Avrà accesso negato a qualsiasi altro sito web: Proviamo da altro client di rete con le credenziali del secondo utente:

17 Inserite le credenziali del nuovo utente il firewall lo riconoscerà e sbloccherà le policy a lui assegnate: Verrà attivato l accesso ad internet:

18 Potrà accedere solo ai siti nella sua White List: Avrà accesso negato a qualsiasi altro sito web: