NEXT-GEN USG: Filtri Web

Transcript

1 NEXT-GEN USG: Filtri Web

2 Content-Filter & Single Sign On Guida alla configurazione Content-Filter con policy di accesso basate su utenti lactive directory e SSO con USG con firmware ZLD 4.1

3 Configurazione AD In questo scenario configureremo le policy di accesso internet ed il Content Filter basato su utenti active directory con SSO. Andiamo a configurare l AD e l Auth. Method sul firewall. Per la guida completa seguire il Manuale di configurazione Active Directory

4 Configurazione AD Creiamo un gruppo Active Directory che racchiuderà gli utenti a cui bloccheremo l accesso e quello per l utente con accesso libero, sempre facendo riferimento alla guida di configurazione Active Directory/SSO.

5 Web Auth Per far funzionare l autenticazione SSO andiamo su Web Authentication. Come source andiamo ad inserire la rete da cui proverranno le richieste (LAN1_SUBNET), destination sarà any (internet), come schedule possiamo lasciare none. In Authentication selezioniamo SSO/force. Questa policy reindirizzerà tutte le richieste http verso la pagina di login del firewall solo per gli utenti non di dominio. Gli utenti già loggati al dominio sui PC avranno accesso automatico. Il servizio DNS deve essere lasciato tra i servizi non sottoposti ad autenticazione. Impostiamo anche gli eventuali bypass (unnecessary) ad esempio per i server

6 Dalla casella SSO andiamo ad inserire i parametri di collegamento all Agent installato sul server: - Listen Port: Porta di ascolto (lasciamo 2158 come default) - Agent PreShare Key: Password impostata in fase di aggiunta USG nell Agent - Primary Agent Address: Indirizzo ip del server sui cui è installato l Agent - Primary Agent Port: Anche qui possiamo lasciare come default 2158 SSO

7 Creazione Policy Content-Filter Ora possiamo creare i profili Content- Filter. Andiamo su UTM Profile > Content Filter e, da Profile Management, clicchiamo su Add

8 Category Service In Category Service (attivabile se abbiamo la licenza attiva) creiamo il profilo per bloccare il traffico per gli utenti AD. Impostiamo quindi il Block sulle Managed Web Pages e in Managed Categories andiamo a selezionare le voci che ci interessano In questo modo bloccheremo tutte le categorie di siti

9 Custom Service In Custom Service possiamo creare delle eccezioni. In Trusted Web Sites possiamo inserire i siti che bypassano il content filter. Possiamo usare il carattere jolly * Ad esempio inserendo verrano abilitati tutti i siti zyxel come e così via.

10 Category Service Creiamo anche un profilo libero per il gruppo Marketing dove lasciamo tutto in Pass ma attiviamo il log per tenere traccia della navigazione

11 SSL Inspection Le seguenti impostazioni su SSL INSPECTION sono valide solo a partire da USG110. Se lavorate su USG40/40W ed USG60/60W queste impostazioni non possono essere applicate in quanto non hanno le funzionalità di SSL Inspection

12 SSL Inspection Dal menù SSL Insepction andiamo ad abilitare il controllo delle connessioni cifrate. Questo permetterà all USG di decifrare le connessioni protette, come le HTTPS, e quindi applicare il content filter anche alle connessioni in HTTPS. Dobbiamo quindi solo aggiungere un profilo impostando il block sulle voci

13 Creazione Security Policy Andiamo quindi ad applicare il profilo content-filter bloccato per il dominio Andiamo sul menù Security Policy > Policy Control e aggiungiamo una nuova regola in direzione LAN1 to WAN come User impostiamo il gruppo adusers (utenti di dominio). Nella scheda UTM Profile abilitiamo il Content Filter selezionando il profilo bloccato creato in precedenza e il profilo di controllo ssl.

14 Creazione Security Policy Allo stesso modo creiamo il profilo per la navigazione libera degli utenti nel gruppo Marketing.

15 Check Users Ora accediamo sui pc con le credenziali di dominio. Sul Domain Controller noteremo che l Agent ha riconosciuto i client e li ha comunicati all USG. In Monitor > Login Users noteremo che gli utenti di dominio sono identificato come SSO nel loro gruppi di appartenenza.

16 Da un utente del gruppo Uffici potremo navigare tranne sulle varie categorie bloccate. Se accediamo a Facebook il traffico verrà intercettato dalla regola numero 2 delle Security Policy che blocca solo per il gruppo Uffici Test

17 Per gli utente del gruppo AD Marketing invece la navigazione sarà libera e verrà applicata la policy numero 1 dedicata a quel gruppo AD. Test