Zywall usg 100 настройка dns
Обновлено: 04.07.2024
Данная статья рассчитана на пользователей бюджетных шлюзов ZyWall серии USG.
Имеем следующую задачу:
— организовать подключение к корпоративной локальной сети по средствам VPN;
— авторизация пользователей VPN под доменной учетной записью;
— собрать все это на шлюзе ZyWall USG 110;
— пользователи должны подключаются как с ноутбуков так и с мобильных телефонов.
На первый взгляд задача не казалась сложной, но когда я приступил к реализации, наткнулся на пару неприятных моментов, которые приходилось решать через службу технической поддержки.
Чтобы оградить вас от подводных камней, траты драгоценного времени, решил написать данную статью.
Итак, приступим.
Первое, что нам необходимо сделать, это определится с кругом лиц которые могут подключатся к корпоративной сети из вне. На это у меня ушло примерно минут 30 на согласование с начальством. Этим лучше не пренебрегать, так как это вопрос корпоративной безопасности.
Первый подводный камень, это закрытые системы шифрования на шлюзе, обходим следующим путем:
Подключаемся к шлюзу через SSH и включаем скрытые режимы шифрования
Вводим логин и пароль
configure terminal
crypto algorithm-hide disable
write
reboot
Следующим шагом будет подключение шлюза к AD.
Создаем пользователя в AD от имени которого шлюз будет подключатся для поиска учетных записей
например:
Name zywall
Password ZyWaLlpass
Создаем группу для VPN пользователей;
Добавляем пользователей в группу VPN.
Как это делается в AD я описывать не буду так как такого материала более чем достаточно.
Подключаемся к шлюзу через Web интерфейс.
Переходим по меню: Configuration – Object – AAA server – Add.
вносим следующие настройки:
На шлюзе задаем группу пользователей для подключения к VPN
Configuration – Object-User/Group:
user name: VPN_Users_example
User Type: ext-group-user
Group Identifier: CN=VPN,CN=Users,DC=example,DC=com
Associated AAA Server Object: dc_example
Description: VPN_Users_example
Authentication Timeout Settings: Use Default Settings (можно установить Use Manual Settings и установить свои лимиты времени)
Есть возможность сразу проверить правильность всех настроек, в нижнее поле User name вводим имя пользователя состоящего в группе VPN без домена, и нажимаем кнопку Test
Следующий подводный камень это то что пользователи должны иметь группу по умолчанию Domain Users иначе проверка пользователя не пройдет.
Создаем подсеть для удаленных пользователей:
Configuration – Object – Address – Add
Name – VPN_Subnet_exampleСоздаем псевдоним для интерфейса WAN1
Address Type – SUBNET
Network – 10.10.9.0
Netmask – 255.255.255.0
Configuration – Object – Address – Add
Name: InetWAN1
Address Type: Interface IP
Interface: wan1
Далее создаем VPN шлюз
configuration – VPN – IPSec VPN – VPN Gateway – Add
Сразу нажимаем Show Advanced Settings
General settings
Enable: true
VPN Gateway Name: L2TP_Gateway_example
My Address
My Address: Wan1
Authentication
Pre-Shared KEY: AnySharedKey (необходимо придумать свой ключ)
Phase 1 Settings
SA Life Time: 86400
Negotiation Mode: Main
нажимаем ОК и переходим дальше
Настраиваем входящие подключения VPN
Configuration – VPN – IPSec VPN – VPN Connection – Add
Сразу нажимаем Show Advanced Settings
General Settings
Enable: Tue
Connection Name: L2TP_VPN_example
Enable Replay Detection: False
Enable NetBIOS broadcast over IPSec: True
MSS Adjustment: Auto
VPN Gateway
Application Scenario: Remote Access (Server Role)
VPN Gateway: L2TP_Gateway_example
Policy
Local policy: InetWAN1
Enable GRE over IPSec: False
Phase 2 Settings
SA Life Time: 86400
Active Protocol: ESP
Encapsulation: Transport
Proposal:
3DES SHA1
3DES MD5
DES SHA1
Perfect Forvard Secrecy (PFS): None
Related Settings
Zone: IPSec_VPN
Теперь настроим подключение L2TP VPN
Configuration – VPN – L2TP VPN
Enable L2TP Over IPSec: True
VPN Connection: L2TP_VPN_example
IP Address pool: VPN_Subnet_example
Authentication Method: Default
Allowed User: VPN_Users_example
Keep Alive Timer: 60
First DNS Server :Custom Defined 10.10.10.1
Second DNS Server: Custom Defined 10.10.10.5
Жмем Apply
Настройка шлюза завершена
У пользователей создаем VPN подключение со следующими основными параметрами:
Памятка по первоначальной настройке аппаратных шлюзов ZyWALL USG.
ZyWALL USG 50, ZyWALL USG 20W.
1. Подключение по стандартному адресу 192.168.1.1 логин admin, пароль 1234.
2. При необходимости аппаратный сброс - нажать и удерживать 5 секунд кнопку RESET на задней панели.
3. Важно! Проблема -
Решение. Источник информации - Alexander A. Manaeff
а. Идем на официальный сайт, качаем и обновляем микропрограмму.
б. Включаем поддержку шифрования. Для этого используем TELNET. В Windows 7 его необходимо еще включить, т.к. по умолчании он недоступен -
Панель управления -> Программы и компоненты -> Включение или отключение компонентов Windows -> Включаем клиента TelNet.
Также необходимо включить сервер TelNet на самом шлюзе ZyWALL -
CONFIGURATION -> System -> TelNet
Выполняем в консоли команды:
вводим логин и пароль администратора
% The setting has been changed. You should reboot device to apply setting.
7. Объединение двух подсетей LAN1 и WLAN (WiFi). Делаем с помощью Bridge (моста).
Важно понимать при настройке, что такое мост и как его использовать.
Для начала читаем это - Описание функции сетевого моста (Bridge) в аппаратных шлюзах серии ZyWALL USG
Самое главное, что при объединении в мост подсетей LAN1 и WLAN создается другая подсеть с параметрами указанными в настройках моста.
Цитата из Базы знаний ZyXEL:
"Мост настраивается в веб-конфигураторе устройства в меню Configuration > Interface на закладке Bridge. Здесь можно создать 7 правил br(1-7). В мост можно объединить несколько физических интерфейсов (ge1, ge2, ge3… для ZyWALL USG 300/1000/2000 и wan1,lan1,dmz… для ZyWALL USG 20/50/100) или VLAN-интерфейсов. При объединении в мост интерфейсы теряют настройки третьего уровня: IP-адрес, маска подсети, IP-адрес шлюза, DHCP-сервер (привязка MAC-IP) и др.
Работают результирующие настройки, которые можно сделать при создании мостового интерфейса br(1-7). В один мост можно объединять несколько нетегированных физических интерфейсов (ge1, ge2, ge3… для ZyWALL USG 300/1000/2000 и wan1,lan1,dmz… для ZyWALL USG 20/50/100) и только один тегированный VLAN-интерфейс."
Читайте также: