NEXT-GEN USG
Single Sign-On su USG
Windows Server 2008 e superiori Client SSO ZyXEL, scaricabile da ftp://ftp.zyxel.com/sso_agent/software/sso%20agent_1.0.3.zip già installato sul server Struttura Active Directory già presente Prerequisiti Attributi Active Directory già estratti (utility ADSIEdit di Windows Server)
Configurazione AD su USG Per usare le funzionalità SSO dei nuovi Next Generation Gateway è prima necessario impostare le opzioni relative all autenticazione su Active Directory. Per fare questo andiamo nel menù Object > AAA Server e dalla scheda Active Directory aggiungiamo il server impostando i parametri di configurazione. Nel nostro esempio il dominio è ZYXEL_IT.local e Administrator come Amministratore di dominio - Server Address: Indirizzo IP del Domani Controller - Port: lasciare 389 di default a meno che non siano stati modificati i parametri sul server - Base DN: DC=ZYXEL_IT,DC=local - Bind DN: CN=Administrator, CN=Users, DC=ZYXEL_IT,DC=local - Password: Relative all account Admin di dominio Gli altri parametri non li modifichiamo. N:B: Base DN e Bind DN devono essere ricavati direttamente dal server, usando ad esempio ADSIEdit
Configurazione AD su USG Una volta inseriti i parametri possiamo fare un test di funzionamento. Al fondo del popup di configurazione è presente la Configuration Validation. Inseriamo uno username di dominio e premiamo test. Se tutto è stato configurato correttamente apparirà un popup con i risultati della ricerca
Configurazione Auth Method su USG Dal menù Object > Auth. Method dobbiamo andare ad aggiungere al metodo di default il group ad. In questo modo diremo all USG di cercare gli utenti prima nell AD e, se non trovati, nel database locale.
Creazione Gruppi AD su SUG E possibile creare dei gruppi su USG che puntano direttamente a dei gruppi creati direttamente sull AD. L USG potrà ricevere dal Server gli utenti del gruppo ed applicare eventuali policy. Per configurare i gruppi AD andiamo sul menù Object > User/Group e aggiungiamo un nuovo utente: - User Name: deve essere uguale al nome del gruppo AD - User Type: ext-group-user - Group identifier: identificativo AD del gruppo in questo formato CN=Marketing,CN=Users,DC=ZYXEL_IT,DC =local perché in questo caso Marketing è il gruppo AD - Associated AAA Server: l AAA Server di riferimento creato in precedenza.
Test gruppo AD Per verificare la correttezza della configurazione nel campo Configuration Validation inseriamo un utente che fa parte del gruppo ed otterremo OK come risposta. Proviamo un utente che non è membro del gruppo e, correttamente, otterremo come risposta <user> does not belong to this group.
Plugin Single Sign-On
Configurazione Agent SSO su AD Verificare di avere l ultima release del client SSO installato su Windows Server. AL momento di redigere la guida la più recente è la 1.0.3 Le videate successive sono uguali per Windows Server 2008 e superiori. Windows Server 2003 e 2003 R2 non sono supportati
Configurazione Agent SSO su AD Cliccando col tasto destro sull icona dell agent SSO (evidenziata in rosso) si apre il menù contestuale: - Enable/Disable ZyXEL SSO Agent: Abilita o disabilita l Agent - Configure ZyXEL SSO Agent: Per configurare i parametri - Log: Per leggere i Log dell Agent - Logon User lists: Lista utenti loggati al dominio - Diagnostic tools: Strumenti di diagnostica e verifica - Change service setting: Modificare l utente con diritti amministrativi che può dialogare con l AD - Help: Guida per l uso dell Agent
Configurazione Agent SSO su AD Cliccando sulla voce Configure ZyXEL SSO Agent si aprirà il menù di configurazione. Adesso clicchiamo sul pulsante Configure (evidenziato in rosso)
Configurazione Agent SSO su AD La schermata di configurazione parametri AD è molto simile a quella già vista sull USG. Infatti dovremo inserire gli stessi parametri - Server Address: Indirizzo IP del Domani Controller - Port: lasciare 389 di default a meno che non siano stati modificati i parametri sul server - Base DN: DC=ZYXEL_IT,DC=local - Bind DN: CN=Administrator, CN=Users, DC=ZYXEL_IT,DC=local - Password: Relative all account Admin di dominio Gli altri parametri non li modifichiamo. Anche qui in Configuration Validation possiamo inserire un utente ad e premere test. Avremo il risultato riportato sotto: Diamo OK per salvare e tornare alla precedente videata
Configurazione Agent SSO su AD Tornati alla pagina di configurazione possiamo ora premere sul pulsante ADD(evidenziato in rosso) per aggiungere il firewall di riferimento
Configurazione Agent SSO su AD Nella finestra di popup ci vengono richiesti i seguenti dati: - Gateway IP: Indirizzo IP del Firewall - Gateway Port: Lasciamo 2158 - Description: Breve descrizione - PreShareKey: Password di sincronizzazione con il firewall Impostati i parametri premiamo OK.
Configurazione Agent SSO su AD Tornati alla pagina di configurazione dobbiamo soltanto attivare la spunta su Active (evidenziato in rosso) e dare l OK e confermare il salvataggio dati, come da immagine sotto:
Configurazione Agent SSO su AD Abbiamo quasi terminato, dobbiamo solo abilitare l Agent. Faccia click col tasto desto sull icona ZyXEL SSO Agent nella system Tray e clicchiamo sulla voce Enable ZyXEL SSO Agent Un popup di notifica ci informerà della corretta attivazione dell Agent. Noteremo anche che l icona ha cambiato colore e l omino ora è arancione per indicare che l Agent è in ascolto delle connessioni.
Configurazione GPO su Dominio Sul Server bisogna creare delle policy di dominio per abilitare le richieste echo e WMI sui pc di dominio, altrimenti l Agent non potrà comunicare coi PC. Dalle Policy GPO selezioniamo il dominio col tasto desto e clicchiamo su Create a GPO in this domain and Link it here e diamole un nome identificativo
Configurazione GPO su Dominio Facciamo click col tasto destro sulla nuova regola GPO create e selezioniamo Edit. Su questo popup selezioniamo Computer Configuration >Polices >Administrative Templates >Network >Network Connections >Windows Firewall > Domain Profile e Standard profile. Facciamo doppio click sulla regola Windows Firewall: Allow ICMP exceptions
Configurazione GPO su Dominio Abilitiamo la regola e selezioniamo la voce Allow inbound echo request e diamo OK per applicare la configurazione. L operazione va fatta sia per il Domain Profile che per lo Standard Profile
Configurazione GPO su Dominio Configuriamo adesso i firewall dei PC di dominio per accettare il controllo remoto WMI Sempre dalla stessa videata delle policy GPO andiamo su Computer Configuration > Policies > Windows Settings > Security Settings Windows Firewall with advanced Security Ora col tasto destro facciamo click su Inbound/Outbound Rules, e facciamo click su New Rule
Configurazione GPO su Dominio Selelezioniamo l opzione Predefined e dalla tendina selezioniamo Windows Management Instrumentation (WMI). Clicchiamo su Next e nella schermata successiva selezioniamo tutte le opzioni
Configurazione GPO su Dominio Selezioniamo Allow the Connection e premiamo Finish per salvare la regola. Ripetiamo il passaggio anche per le Outbound rules.
Configurazione GPO su Dominio Sui computer di dominio apriamo una shell dos e diamo il comando gpupdate /force per far acquisire ai client le nuove Policy.
Configurazione Firewall Domain Controller Dobbiamo ora autorizzare il Firewall del Windows Server ad accettare le richieste della porta 2158 dall USG (Porta usata dall SSO Agent). Quindi andiamo su Administrative Tool > Windows Firewall with Advanced Security. Su Inbound Rules facciamo click col tasto destro e su New Rule
Configurazione Firewall Domain Controller Selezioniamo Port e diamo Next. Alla videata successiva selezioniamo TCP e su Specific local ports inseriamo 2158 (quella dello ZyXEL SSO Agent)
Web Authentication su USG
Web Autentication SSO Settings Per usare il sistema SSO è necessario attivare la Web Authentication. La abilitiamo dal menù Web Authentication spuntando la casella Enable Web Authentication.
Web Autentication SSO Settings Dalla casella SSO andiamo ad inserire i parametri di collegamento all Agent installato sul server: - Listen Port: Porta di ascolto (lasciamo 2158 come default) - Agent PreShare Key: Password impostata in fase di aggiunta USG nell Agent - Primary Agent Address: Indirizzo ip del server sui cui è installato l Agent - Primary Agent Port: Anche qui possiamo lasciare come default 2158
Web Autentication SSO Settings Torniamo su Web Authentication per definire le policy di accesso in Web Authentication Policy Summary. Il Server sarà in bypass in quanto dovrà accedere ad internet per gli aggiornamenti e per i record DNS. Per la LAN1 attiveremo l autenticazione SSO
Web Autentication SSO Settings La policy andrà configurata come segue: - Source Address: LAN1_SUBNET - Destination Address: Any (ovvero internet) - Authentication: required. Quindi i client dovranno autenticarsi per uscire. Chi non è autenticato non può navigare. Avendo l AD per sfruttare l SSO, e quindi il riconoscimento automatico degli utenti di dominio dovremo abilitare la spunta Single Sign-on. Gli utenti che si connettono alla rete ma non fanno parte del dominio, per via del Force User Authentication, dovranno loggarsi sul firewall per navigare. Utile per gli ospiti.
Test di funzionamento SSO Agent Accediamo quindi al dominio con un PC. Sul Server, tramite l Agent SSO su Logon User Lists possiamo verificare che l utente è stato acquisito correttamente Sull USG da Monitor > System Status > Login Users potremo verificare l avvenuto riconoscimento dell account in SSO. L utente MKTG1, di dominio, è riconosciuto nel suo gruppo Marketing, oltre che come ad-users. In funzione di questo potrà quindi navigare senza doversi riautenticare sul firewall.
Policy di Security basate su SSO
Policy control Sull USG possiamo a questo punto andare a discriminare in maniera del tutto trasparente utenti/gruppi di dominio per fare policy di accesso internet e filtraggio diversificate in base agli utenti.
Thank You!