Logo FEN
Zostań naszym partnerem

Kategoria: Urządzenia sieciowe

Opublikowane w

Jak działa sieć mesh, czyli o pracy routerów Synology RT2600ac oraz MR2200ac

Urządzenia trafiły w moje ręce na początku pandemii COVID-19, cel: sprawdzić jak całość spisuje się w dobie home office, oraz czy konfiguracja całego systemu jest na tyle intuicyjna, że nie będzie stanowić problemu dla normalnego użytkownika domowego.

Wygląd

Jeden i drugi router otrzymujemy w brązowym kartonie z kolorową naklejką prezentującą model. Na kartonie znajdują się także czarne nadruki przedstawiające wszystkie najważniejsze funkcjonalności sprzętu. W kartonach oprócz głównych bohaterów znajdują się także instrukcja szybkiej instalacji, zasilacze sieciowe a w przypadku RT2600ac również przykręcane anteny oraz przewód sieciowy.

RT2600ac jest zdecydowanie największym routerem z jakim kiedykolwiek miałem do czynienia. Wiele osób przyzwyczajonych jest wręcz do mikroskopijnych i okrojonych w funkcjonalności urządzeń dostępnych w każdym większym markecie. Tutaj trzeba jednak znaleźć trochę więcej miejsca bo nie postawimy go wszędzie. Co jeżeli miejsca nie znajdziemy? Ściana. Tak, router można zawiesić na ścianie, na spodzie posiada specjalnie przygotowane do tego otwory. Co ciekawe, nóżki urządzenia są zamocowane na stałe i to w mojej ocenie może stanowić pewien problem przy próbie powieszenia RT2600ac. Szkoda, że w zestawie nie ma elementu, który pozwoliłby na postawienie urządzenia w pionie. Na froncie urządzenia są oczywiście diody informujące o trybach pracy i rodzajach połączeń a także złącze na kartę pamięci SD. Z tyłu natomiast sporo portów: aż 5 złączy RJ-45 (cztery LAN i jedno WAN), port USB 3.0, gniazdo zasilania, otwór pozwalający na resetowanie urządzenia i przycisk power. Na bocznych panelach urządzenia są także przyciski WiFi, WPS, eject oraz port USB 3.0 na przykład na pendrive’a

MR2200ac nie jest dużo mniejszy jednak zdecydowanie bardziej ustawny – nie zajmują tak dużej powierzchni, ponieważ stoi „w pionie”, tak jak ramka ze zdjęciem. Nie posiada on dodatkowych otworów do zawieszenia ale w sumie nie musi, jest dużo bardziej zgrabny i mieści się wszędzie. Na froncie widoczne są diody informujące o mocy sygnału, natomiast z tyłu znajduje się port USB, dwa złącza RJ-45 (jeden WAN, drugi LAN), trzy przyciski – power, WPS oraz WiFi a także dziurka pozwalająca na zresetowanie ustawień routera i oczywiście gniazdo do zasilacza.

Pierwsze uruchomienie

Nie będę ukrywał – tutaj na początku pojawił się pewien problem. Mój egzemplarz testowy RT2600ac miał zapisane dane logowania poprzedniego użytkownika. Pierwszy reset i nic. Drugi, trzeci i chyba czwarty i dopiero zaskoczyło. Nie mam pojęcia dlaczego, w instrukcji oraz na stronie producenta również nie znalazłem nic na ten temat. Wniosek nasuwa się sam: musiałem zrobić coś źle 🙂

Po zresetowaniu i podłączeniu urządzenia do sieci przechodzę krok dalej – to chyba ten etap, którego wszyscy się boją. Dam radę czy nie dam rady i będę musiał wzywać informatyka i wydawać kolejne pieniądze? Dasz radę. Zgodnie z instrukcją w przeglądarce wpisujemy router.synology.com i logujemy się za pomocą ustalonych odgórnie danych – działają one tylko gdy urządzenie jest świeżo wyjęte z pudełka lub we właściwy sposób zresetowane (tak, ja miałem tutaj drobny problem).

Po krótkiej konfiguracji łącza jesteśmy zalogowani i możemy zagłębić się w kolejne opcje SRM a tych jest zdecydowanie dużo. Jeżeli miałeś do czynienia z DSM (Disk Station Manager) instalowanym na NASach Synology z pewnością zauważysz podobieństwo z SRM.

Dla wielu użytkowników teraz zaczną się schody i pytanie: co dalej? Pulpit SRM wygląda prawie jak system Windows, więc obsługa już wydaje się łatwiejsza – nie trzeba znać tutaj żadnych komend i poleceń. Jest jedna różnica – klikamy jeden raz 🙂

Wszystkie funkcje jakie oferuje RT2600ac opisane są po kliknięciu na ikonę „Pomoc SRM” (to ta u dołu ekranu ze znakiem zapytania). Wiele opisów wyda się być oczywistych, na przykład opis funkcjonalności pulpitu SRM bądź opis samego logowania. Jest tu jednak również sporo innych opisów dotyczących wielu przydatnych funkcji. Dostępne są następujące zakładki:

  • przejdź do pulpitu – opis podstawowych ustawień, konfiguracja i personalizacja pulpitu oraz opis czym tak naprawdę jest SRM;
  • monitorowanie stanu sieci – opis szczegółów na temat stanu sieci – użycie Internetu, procesora i pamięci a także konfiguracja różnego rodzaju powiadomień;
  • konfiguracja połączeń sieciowych – opis procesu zakładania połączenia sieciowego i zarządzania nim. Można tutaj skonfigurować także dodatkowe ustawienia, na przykład konfiguracja WPS;
  • sterowanie połączonymi urządzeniami – tutaj opisane są opcje pozwalające na kontrolowanie dostępu połączonych do Internetu urządzeń oraz zarządzanie ich ruchem sieciowym;
  • zabezpieczenia sieciowe – bardzo ważny dla wszystkich rozdział – to tutaj opisano jak zabezpieczyć sieć. Poruszona została między innymi konfiguracja zapory sieciowej oraz opcje automatycznego blokowania;
  • zarządzanie przechowywaniem i drukarkami – tutaj opisane zostały funkcje zarządzania urządzeniami pamięci masowej za pośrednictwem SRM, na przykład monitorowanie informacji o pamięci masowej lub konfiguracja drukarki;
  • zarządzanie ustawieniami dodatkowymi – w tej zakładce zdefiniowane są dodatkowe ustawienia zwiększające poziom bezpieczeństwa i wydajności – dostęp do nich można uzyskać poprzez Centrum sieciowe i Panel sterowania;
  • rozwiązywanie problemów z połączeniem sieciowym – tutaj opisano możliwość wybudzania urządzeń podłączonych do routera Synology za pomocą funkcji Wake On LAN. Dodatkowo opisano możliwości rozwiązywania problemów z siecią;
  • Centrum Pakietów – pakiety Synology to nic innego jak dodatkowe aplikacje, które można pobrać i z nich korzystać. Opisano tutaj sposób instalacji lub zakupu pakietów (niektóre są płatne), zarządzanie pakietami oraz samą konfigurację Centrum Pakietów – automatyczne aktualizacje, powiadomienia, itp.;
  • File Station – samo File Station to nic innego jak narzędzie do zarządzania plikami, które pozwala użytkownikom SRM na dostęp do folderów przez Internet. Poruszono kwestie związane z wyświetlaniem atrybutów i uprawnień, udostępnianiem, wyszukiwaniem, odczytywaniem i modyfikowaniem plików;
  • Doradca ds. zabezpieczeń – brzmi jak nazwa stanowiska dla nowego pracownika w firmie? 🙂 Doradca to taki wirtualny asystent, który sprawdza ustawienia i zaleca zmiany mające na celu zapewnienie bezpieczeństwa urządzenia Synology Router;
  • Centrum Pomocy – jeżeli wszystkie opisy zawodzą możemy skontaktować się z centrum wsparcia Synology;
  • Centrum logów – z tego miejsca możemy zarządzać logami – monitorować ich objętość, określać miejsca docelowe ich archiwizacji, itp.
  • warunki i zasady – tutaj jest pakiety informacji na temat licencjonowania oraz informacje prawne od Synology.

Jak widać na powyższym zrzucie ekranu, u dołu jest jeszcze zakładka dotycząca samych pakietów. Ja mam „fabrycznie” zainstalowane jedynie Safe Access. Jak sama nazwa wskazuje jest to aplikacja dotycząca bezpiecznego dostępu do sieci, można ustalać czasowość dostępu do sieci, tworzyć konta użytkowników, itp. Nie ma sensu opisywać pakietów – to tak jakbym miał opisać wszystkie aplikacje ze sklepu Play dla Androida 😉

Najważniejsze funkcje

Wszystkie elementy dotyczące konfiguracji routera są dostępne w Centrum sieciowym. To bardzo fajne rozwiązanie, pozwalające na zachowanie wszystkich funkcji dotyczących sieci w jednym miejscu, nie trzeba niczego szukać po całym SRM.

Funkcjonalności podzielone zostały na zakładki, pierwszą z nich jest Status. Można tutaj sprawdzić stan pasma internetowego, aktywne sieci, adresację LAN i WAN. W Liście urządzeń oczywiście widać wszystkie podłączone urządzenia, jednak oprócz tego można tutaj monitorować, do której sieci WiFi lub połączenia przewodowego podłączeni są użytkownicy oraz ile danych przesyłają. Zakładka Pamięć i Procesor informuje o dostępnych zasobach.

Kolejna zakładka to Łączność bezprzewodowa i tutaj chyba wszystko jest jasne – dostępne są w niej wszystkie informacje na temat WiFi. Tutaj można na przykład skonfigurować sieci WiFi dla pasm 2,4 oraz 5 GHz z odrębnymi zabezpieczeniami. Można też ustawić czasowość danej sieci, która będzie działać tylko w wybranym przez nas przedziale czasowym. Podobnie jest w przypadku konfiguracji sieci dla gości – poza czasowością, można tez ograniczyć dostęp, nadać odrębne hasła i odseparować podłączonych sporadycznie klientów. Fajną opcją jest sposób udostępniania sieci – aplikacja potrafi wygenerować kod QR, który możemy udostępniać dalej dla naszych gości. Dodatkowo istnieje możliwość skorzystania z funkcji WiFi Protected Setup i połączenie z siecią za pomocą przycisku WPS lub poprzez kod PIN.

Szczegóły na temat sieci LAN znajdziemy z kolei w zakładce Sieć lokalna, w której można skonfigurować adresacje routera, serwer DHCP, serwer DHCP dla gości a także funkcje związane VOIP i IPTV.

Dzięki zakładce Przekierowanie portów możemy otworzyć dostęp do routera oraz hostów w sieci LAN przy użyciu portów TCP i UDP. Ponadto router RT2600ac obsługuje także port triggering pozwalający na automatyczne przekierowanie portów.

Ostatnia zakładka, o której wspomnę przed konfiguracją sieci mesh to Tryby działania. Tutaj można wybrać czy router ma działać jak router czy może jak punkt dostępowy lub wzmacniacz bezprzewodowy. Więcej na ten temat można znaleźć w Pomocy SRM.

A co z za słabym zasięgiem?

Tutaj z pomocą przychodzi nam wspomniany wcześniej MR2200ac. Aby stworzyć system mesh wystarczy rozszerzyć istniejącą sieć WiFi routera RT2600ac przy wykorzystaniu przynajmniej jednego MR2200ac. Możliwe jest także skonfigurowanie sieci składającej się z wielu routerów MR2200ac. Co najważniejsze w przypadku sieci mesh mamy do czynienia z jedną siecią a zatem nie następują żadne przestoje związane z przełączaniem sieci na przykład w momencie przemieszczania się z urządzeniem. Przykładowo w bardzo dużym domu posiadamy sieć stworzoną z urządzenia RT2600ac oraz dwóch MR2200ac rozstawionych równomiernie zgodnie z poniższymi zaleceniami:

Na naszym laptopie ściąga się film a akurat musimy przejść z punktu A do punktu B przenosząc laptopa ze sobą. Czy coś się stanie? Oczywiście, że nie, właśnie za sprawą jednej sieci.

Teoria teorią ale przejdźmy do praktyki. Czy przygotowanie mesh jest trudne? Nie jest. I myślę, że nie będzie kłamstwem jak napiszę, że to była najprostsza rzecz do wykonania przy całej zabawie zestawem od Synology. Wyjmujemy MR2200ac z pudełka, wybieramy miejsce gdzie sprzęt będzie stał, podłączamy go do prądu i włączamy. Ja akurat korzystałem z aplikacji, którą ściągnąłem na smartfon – wystarczyło dosłownie kliknięcie i chwila cierpliwości, router-matka RT2600ac sam wszystko zrobił i już po chwili można było cieszyć się ultra szybką i stabilną siecią mesh w domowym zaciszu.

Jak to wygląda przy standardowej obsłudze z poziomu komputera? Równie łatwo. Szukamy zakładki Punkt WiFi i klikamy na Dodaj:

Pojawia się komunikat:

Klikamy na Następne, upewniamy się, że MR2200ac jest podłączony do prądu, włączony a dioda miga na niebiesko i potwierdzamy ten fakt klikając na Punkty WiFi gotowe.

Chwilę czekamy i gotowe, sieć mesh śmiga aż miło 😉

Warto wspomnieć również o pewnej ciekawostce a zarazem niesamowitym ułatwieniu obsługi urządzeń sieciowych Synology. Na urządzenia mobilne oparte na systemie Android oraz iOS możemy pobrać aplikację pozwalającą na zarządzanie sprzętem zdalnie na przykład bezpośrednio ze smartfona.

Powyżej widać część funkcjonalności aplikacji mobilnej SRM. Dostępny jest między innymi podgląd ogólnego stanu sieci, schemat działających w sieci punktów dostępowych oraz podgląd podłączonych do sieci urządzeń i ruch jaki generują.

Aplikacja oferuje funkcje:

  • Zdalne zarządzanie – zarządzaj routerem z dowolnego miejsca,
  • Mapa sieci – łatwo przeglądaj stan swojego systemu Mesh Wi-Fi,
  • Sieć dla gości – utwórz nową sieć oddzieloną od podstawowej sieci Wi-Fi,
  • Monitor ruchu – nadzoruj ruch w czasie rzeczywistym wszystkich podłączonych urządzeń,
  • Priorytety urządzeń – określ priorytety urządzeń w Internecie,
  • Bezpieczny dostęp – ciesz się zaawansowaną kontrolą rodzicielską i funkcjami bezpieczeństwa.

Podsumowując, urządzenia Synology to prawdziwa magia dla niezaawansowanego użytkownika domowego. Osobiście byłem kilkukrotnie zaskoczony funkcjami, jakie oferuje oprogramowanie i chyba całą magią jest właśnie soft, który potrafi idealnie „ogarnąć” rozstawione urządzenia. Całość jest bardzo intuicyjna i podstawowa obsługa nie stanowi żadnego problemu. Reszta tak naprawdę zależy już od nas, naszych potrzeb i pomysłów, które możemy zrealizować przy pomocy Centrum Pakietów. Jedyną barierą może być cena, niestety nie jest to najtańszy sprzęt dostępny na rynku ale biorąc pod uwagę jego możliwości ceny są jak najbardziej uczciwe.

Urządzenia Synology RT2600ac oraz MR2200ac dostępne są w sklepach internetowych naszych partnerów, zapraszam do zapoznania się z ofertami.

Opublikowane w

Darmowe narzędzie do planowania Wi-Fi od Cambium Networks – tutorial wideo!

Planowanie sieci bezprzewodowych to jedno z ciekawszych i wymagających zadań z którym wielokrotnie się spotkałem w swojej pracy. Dużo zależy od środowiska, dla którego planujemy rozmieszczenie punktów dostępowych, danych jakie uda nam się zebrać lub uzyskać od klienta, ale i rozwiązań z jakimi pracujemy. Znacznym ułatwieniem jest wykorzystanie dedykowanych do planowania narzędzi, najlepsze z jakiego miałem okazje korzystać, uwzględniającym wiele parametrów jest Ekahau Site Survey. Oprogramowanie sporo kosztuje, ale jest warte swojej ceny, jeżeli dużo planujecie, a później weryfikujecie zasięgi lub audytujecie zrealizowane wdrożenia.

Jeżeli nie jesteście jeszcze na etapie, gdzie Ekahau ma szansę się zwrócić w przyzwoitym okresie czasu lub Wi-Fi wdrażacie sporadycznie, rozwiązaniem może okazać się Wi-Fi Designer, oprogramowanie udostępniane bezpłatnie przez Cambium Networks, producenta dostępnego w ofercie FEN. Wi-Fi Designer pozwala zaplanować sieć w oparciu o punkty dostępowe, serii Xirrus oraz wybrane modele serii cnPilot.

Zapraszam do zapoznania się z krótkim tutorialem wideo, na którym pokazuje, jak zaplanować prostą sieć w oparciu o to rozwiązanie:

Wi-Fi Designer znajdziecie w tym miejscu, nie jest to jednak jedyne narzędzie udostępniane przez Cambium, więcej tutaj.

W przypadku pytań o Cambium Networks i ofertę FEN zapraszamy do kontaktu.

Opublikowane w

NACVIEW – polski system do administracji siecią

NACVIEW to system typu NAC (Network Access Control), który poza głównym zadaniem związanym z kontrolą dostępu do sieci zapewnia wiele dodatkowych funkcjonalności. Między innymi, umożliwia pełny wgląd w infrastrukturę sieci, dostarczając szczegółowych informacji na temat użytkowników i ich urządzeń. Pozwala też na segmentację sieci, zarządzanie adresacją IP oraz integrację z zewnętrznymi rozwiązaniami takimi jak firewalle, programy antywirusowe czy też SIEM i MDM. Daje także możliwość zautomatyzowania reakcji na zagrożenia, dzięki czemu podejrzane urządzenia mogą być natychmiastowo izolowane od reszty elementów sieci.

Narzędzie bezpieczeństwa dla wszystkich – z potrzeby i konieczności

Mnogość funkcji systemu NACVIEW sprawia, że produkt trafia do najróżniejszych branż, spełniając ich rosnące potrzeby, które wynikają zarówno z większej świadomości na temat bezpieczeństwa danych i zagrożeń w sieci, jak również z ogromnego przyrostu urządzeń IoT (ang. Internet of Things) oraz trendu BYOD (ang. Bring Your Own Device). Co więcej, powstają coraz to nowsze przepisy prawne, które wymagają od firm i instytucji odpowiedniego zabezpieczenia sieci. Posiadanie takiego produktu jak NACVIEW staje się więc rozsądnym rozwiązaniem, zabezpieczającym nie tylko sieć, ale również… portfel – przed karą finansową za niestosowanie się do przepisów.

Jedna platforma do kompleksowego zarządzania nawet najbardziej złożoną siecią

Obecne środowiska sieciowe są znacznie bardziej złożone niż w przeszłości, dlatego informacje dostarczane przez system NACVIEW są szczególnie użyteczne dla administratorów sieci. Wiedza na temat wszystkich urządzeń i zdarzeń autoryzacji w postaci przejrzystych wykresów i statystyk w jednej zintegrowanej konsoli to znaczne ułatwienie pracy.

Widoczność sieci kluczowym aspektem jej ochrony

W środowiskach ze zmieniającymi się adresami IP trudno jest określić, które urządzenie lub użytkownik może być odpowiedzialny za naruszenie bezpieczeństwa. NACVIEW dostarcza szczegółowych informacji o każdym adresie IP, dzięki czemu żaden użytkownik nie pozostanie w sieci anonimowy. System może śledzić wszystkie podłączone punkty końcowe poprzez ciągłe monitorowanie sieci i dostarczyć informacji o punktach końcowych korzystających z danych zasobów w przeszłości.

Wykrywanie kolizji sieci dzięki usłudze IPAM

Zarządzanie przestrzenią adresów IP oraz niezbędnymi usługami takimi jak DNS i DHCP z jednej zintegrowanej konsoli to znaczne ułatwienie pracy dla administratorów. Moduł IPAM w systemie NACVIEW umożliwia uproszczone dodawanie nowego urządzenia lub zmianę parametrów sieciowych dla obecnych urządzeń.

Weryfikacja bezpieczeństwa urządzeń końcowych

Jedną z najważniejszych rzeczy dla bezpieczeństwa punktu końcowego jest zastosowanie najnowszej poprawki bezpieczeństwa systemu operacyjnego. NACVIEW w sposób ciągły monitoruje urządzenia końcowe i izoluje niezaktualizowane urządzenia od sieci. System NAC działa inaczej od typowego oprogramowania do zarządzania punktami końcowymi, ponieważ sterowanie działa na poziomie sieci, do której dostało się urządzenie końcowe. Dzięki kontroli sieci, administratorzy mogą wprowadzić surowe polityki dostępu, których użytkownicy nie mogą ominąć.

Bezpieczny i wygodny dostęp dla gości

Realizacja dostępu gościnnego to jedna z dodatkowych usług oferowanych przez system. Administrator do dyspozycji ma między innymi konta czasowe, aplikację NACVIEW Assistant, która automatycznie skonfiguruje użytkownikowi dostęp do sieci na jego urządzeniu oraz Captive Portal z opcją rejestracji przez sponsora lub logowaniem przez media społecznościowe.

Monitoring – baczne oko na urządzenia sieciowe

NACVIEW stale monitoruje urządzenia sieciowe, dzięki czemu ciągle mamy aktualny podgląd w sytuację na przełączniku, gdzie możemy między innymi: sprawdzić wykorzystanie pamięci oraz procesora, porównać aktualną konfigurację przełącznika z historyczną konfiguracją, zlokalizować dawno nieużywane porty lub przejrzeć zdarzenia sprzętowe.

Kontrolowany punkt widzenia

NACVIEW to ciekawa opcja wyboru dla nawet najbardziej wymagających klientów. Rozwiązanie zapewnia możliwość łatwej integracji zarówno z innymi systemami bezpieczeństwa, jak i bazami danych oraz usługami katalogowymi już działającymi u klienta końcowego. Jego ogromną zaletą jest brak specjalnego licencjonowania wersji rozproszonej, HA, czy agentów. Dodatkowym atutem jest duża elastyczność producenta w kontekście dodawania nowych funkcjonalności, także na życzenie klienta pod konkretny projekt. Biorąc pod uwagę także fakt, że NACVIEW jest jedynym polskim systemem typu NAC, to nie bez znaczenia jest oferowane wsparcie w języku polskim oraz możliwość przeprowadzenia wspólnej prezentacji systemu dla klienta końcowego oraz wsparcie przy wdrożeniu.Jeżeli interesują Ciebie rozwiązania NACVIEW, zapraszamy do kontaktu na adres sales@fen.pl

Opublikowane w

Media konwerter światłowód na skrętkę – Planet GT-805A – prezentacja

Transkrypcja nagrania:

Media konwerter planet, model GT-805A.
Jest to wersja niezarządzalna, występuje też wersja GT-905A, która jest wersją zarządzalną.

Z tyłu ma on zasilanie do podpięcia, a z przodu port miniGBIC. Jest to o tyle ciekawe i uniwersalne rozwiązanie, że możemy podpiąć jakiegokolwiek miniGBICa i przesłać sygnał na 300 metrów czy nawet na 120 kilometrów, w zależności od naszych potrzeb. Wykorzystujemy wkładkę w zależności od wymagań..

Z boku mamy port lanowy. Diody wskazują stan połączenia oraz czy urządzenie jest zasilane czy nie. Pomiędzy diodami a portem LAN znajdziemy przełącznik funkcji LFP.

Funkcja LFP ma za zadanie sprawdzić, czy nie zostało przerwane połączenie po przewodzie LAN, ethernetowym, zwykłym miedzianym. Jeżeli nastąpiło, to automatycznie przerywa przesyłanie sygnału po światłowodzie.

Mamy gotowy miniGBIC do podłączenia, również firmy Planet. Podłączam wkładkę w slot, podłączam zasilanie, widzimy, że zasilanie działa. Podłączamy port lanowy i podłączam patchcord światłowodowy.

Po chwili widać, że jest połączenie do drugiego media konwertera, który jest położony obok. Drugi media konwerter został podpięty do Internetu, a pierwszy do komputera i przesyłany jest do niego sygnał.
Robimy szybki test ping, pokazujący, że sygnał działa prawidłowo.

Jest to jeden ze sposobów i modeli, mamy wiele urządzeń: media konwertery dwuportowe, redundantne, przesyłające sygnał nie tylko po światłowodzie, ale również po zwykłej bęcce.

Wszystkie modele można sprawdzić na stronie planet.fen.pl

Link do przedstawionego produktu:

Planet GT-905A: https://b2b.fen.pl/produkt/planet-gt-905a.html

Planet GT-805A: https://b2b.fen.pl/produkt/planet-gt-805a.html

Opublikowane w

Jak stworzyć sieć dla gości z pomocą UTM Sophos

Co wspólnego Sophos XG Firewall ma z gościnnym HotSpotem? Czyli jak stworzyć niekoniecznie bezprzewodową, profesjonalną sieć dla gości.

O HotSpot-ach słów kilka

Od pewnego czasu przymierzaliśmy się w FENie do zmiany sposobu uwierzytelniania w naszej sieci dla gości, do tej pory korzystaliśmy z rozwiązania które spełniało swoje zadanie, ale nie do końca spełniało nasze oczekiwania, chociażby w zakresie kompatybilności z wieloma platformami czy zarządzaniem. Generalnie wybierając rozwiązanie do obsługi sieci dla gości nie ma rozwiązania uniwersalnego w zakresie uwierzytelniania, bo każda organizacja ma nieco inne wymagania i potrzeby.

Wymagania podyktowane mogą być różnymi czynnikami, inne wymagania będzie miał hotel, który może sprzedawać taki dostęp na zasadzie usługi, a inne firma o profilu handlowym, gdzie dostęp do sieci gościnnej ma za zadanie ułatwić kontakt z odwiedzającym nas partnerem, umilić mu czas oczekiwania na skompletowanie zamówienia lub spotkanie.  Nie bez znaczenia jest sposób w jaki chcemy decydować o dostępie, bo sieć dla gości może być zupełnie otwarta, oczywiście umieszczona w osobnym VLANie, z dostępem tylko do Internetu, często z ograniczonym pasmem i odpowiednimi politykami filtrowania przeglądanych stron czy wykorzystywanych aplikacji. Jeżeli boimy się, że naszą sieć dla gości „zaleją” użytkownicy z zewnątrz lub stanie się źródłem Internetu dla mieszkańców okolicznych domów, w końcu mostek wifi z anteną panelową na znanym portalu aukcyjnym można kupić za niecałe 100 pln, a podłączenie się zajmuje kilka minut,  to możemy zastosować różnorodne mechanizmy uwierzytelniania i dziś chciałbym opisać niektóre z nich.

Tryb Client Bridge w mostku Planet WNAP-7320 jako przykład podłączenia z zewnątrz do otwartej sieci dla gości

Jednym z założeń jakie przyjęliśmy podejmując decyzję o zmianie sposobu uwierzytelniania w sieci dla gości była możliwość wykorzystania tego co już mamy, czyli mechanizmów dostępnych w wykorzystywanym kontrolerze wifi lub na bramie sieciowej. Zastosowanie sieci otwartej nie wchodziło w grę, po pierwsze nie chcieliśmy stać się lokalnym providerem wifi dla sąsiadów, po drugie rozwiązanie takie byłoby niebezpieczne dla innych użytkowników naszej sieci dla gości.

Rozwiązanie spotykane czasami w hotelach polegające na oklejeniu korytarzy kartkami z hasłem WPA-PSK albo WPA2-PSK uznaliśmy za mało eleganckie, pomijając fakt, że aktualnie takie hasełko można sobie zamówić na predefiniowanym szablonie i oprawić.

Przykład szablonu z hasłem WPA-PSK do zabezpieczenia dostępu do sieci w hotelu/pensjonacie.
Źródło: http://www.eleganceandenchantment.com/

Jak się wkrótce okazało, pomysł wykorzystania mechanizmów uwierzytelniania na poziomie kontrolera wifi też został szybko porzucony, bo jedyne co można było uzyskać, to logowanie nazwą użytkownika i hasłem przez Captive portal, czyli stronę, która pojawia się użytkownikowi sieci dla gości po otwarciu przeglądarki internetowej. W wypadku kontrolera nazwę użytkownika i hasło razem z czasem ważności konta należało wprowadzić przez interfejs www kontrolera. Kontroler ma wbudowaną bazę użytkowników, ale aby użytkownika do niej dodać trzeba nadać uprawnienia administracyjne osobie, która będzie tych użytkowników tworzyć.

Takie rozwiązanie uznaliśmy za niebezpieczne i niewygodne, nie chcieliśmy procesu tworzenia kont dla gości przerzucać na administratorów. Drugim problemem tego typu uwierzytelniania była dystrybucja tych kont dla samych gości, kontroler nie jest wyposażony w żaden mechanizm eksportu czy drukowania danych logowania. Kolejnym urządzeniem na liście do sprawdzenia była nasza brama sieciowa.

Ręczne dodawanie użytkowników – gości na poziomie kontrolera sieci bezprzewodowej. Brak możliwości eksportu.

Co XG Firewall ma wspólnego z HotSpotem?

W firmie wykorzystujemy jako bramę Sophos XG Firewall, jest to platforma UTM która powstała w wyniku połączenia dwóch rozwiązań. Pierwszym z nich jest Sophos UTM, stale rozwijana platforma wywodząca się z firmy Astaro, bardzo popularna na rynku niemieckim ale również u nas. Drugim rozwiązaniem są firewalle firmy Cyberoam, indyjski producent, na naszym rynku od kilku lat, rozwiązania znane ze swojej wydajności i z nowatorskiego podejścia do uwierzytelniania użytkowników, w Cyberoam tożsamość użytkownika to zawsze była 8 warstwa modelu sieciowego i jedno z ważniejszych kryteriów, które można wykorzystać przy definiowaniu reguł zapory sieciowej i filtrowania ruchu.

Wynikiem połączenia obu rozwiązań jest system operacyjny SF-OS, który w aktualnej wersji 16 łączy w sobie większość funkcjonalności platformy UTM i Cyberoam. Do pełni szczęścia brakuje mu jeszcze Sandstorma, czyli naszej platformy sandbox, pozwalającej podejrzane pliki wysyłać do chmury aby zdetonować je na prawdziwym systemie operacyjnym i dowiedzieć się czy nie zawierają szkodliwej zawartości. Sandstorm na platformę XG zbliża się jednak wielkimi krokami, ale o szczegółach innym razem.

Główny panel monitorowania sieci XG Firewall v16.

Wracając do tematu uwierzytelniania, XG Firewall ze względu na połączenie w nim możliwości dwóch systemów operacyjnych oferuje kilka mechanizmów które mogliśmy wykorzystać w wypadku sieci dla gości:

1. Captive Portal – baza użytkowników lokalna lub wyniesiona(AD, LDAP, eDirectory itp.). Problem w tym trybie mieliśmy ten sam który opisywałem w wypadku kontrolera wifi, bo ktoś tymi użytkownikami musi zarządzać. Mimo swojej wady dla naszego przypadku, jest to rozwiązanie  dla sieci w których nie chcemy wpuszczać np. prywatnych urządzeń pracowników do sieci firmowej, ale jednocześnie dajemy im możliwość zalogowania się do sieci dla gości swoimi firmowym kontem. Stanowi to  rozwiązanie problemu BYOD (Bring Your Own Device), bo jednocześnie pozwalamy pracownikom korzystać z sieci, ale nie musimy zarządzać oddzielnie kontami dla ich urządzeń prywatnych, czy je specjalnie konfigurować.

Zewnętrzne bazy danych wspierane przez XG Firewall.

2. Captive Portal – uwierzytelnianie SMS. Jeden z ciekawszych mechanizmów, użytkownikowi pojawia się Captive Portal na którym musi wprowadzić swój numer telefonu. Firewall spięty z zewnętrzną bramką SMS wysyła na podany numer dane do uwierzytelnienia. Fajna sprawa bo jednoznacznie identyfikujemy kto się dołączał do naszej sieci, wadą tego rozwiązania jest fakt, że musimy wykupić pakiet SMSów u zewnętrznego operatora(koszty niewielkie ale jednak), pozwalamy też dołączyć się dowolnemu użytkownikowi posiadającemu ważny nr telefonu, również sąsiadom. Z powodzeniem można by ją wykorzystać w sieci hotelowej, urzędzie czy szpitalu. Dając bezpłatny dostęp do Internetu dla klientów oferujemy wartość dodaną, przy czym możemy jednoznacznie zidentyfikować użytkownika po jego numerze telefonu.

3. HotSpot – Terms of use Acceptance. Strona na której użytkownik musi zaakceptować regulamin zanim uzyska dostęp do zasobów. Rozwiązanie zbyt otwarte jak dla nas, ale mogłoby się sprawdzić np. w muzeum w którym dostęp byłby zapewniony tylko dla określonych aplikacji i do określonych serwerów i tak naprawdę nie interesowałoby nikogo kto do sieci się podłącza.

4. HotSpot – Password of the Day. Zasada działania mechanizmu jest następująca, codziennie o określonej przez admina godzinie, automatycznie tworzone jest hasło obowiązujące danego dnia. Hasło nie dość że generowane automatycznie przez XG Firewall może być wysłane na wskazany adres email. Nawiązując do wcześniej wspomnianego oklejonego korytarza, rozwiązanie tego typu jest bardziej bezpieczne, nawet jeżeli ktoś miałby je codziennie drukować aby ustawić w ramce na ladzie w recepcji, ponieważ hasło jest cyklicznie zmieniane,. Automatyczne wysyłanie hasła na email to też sposób aby rozpropagować je w ramach organizacji dla większej ilości osób.

Tworzenie HotSpot z mechanizmem Password of the Day.

5. HotSpot – Vouchery. Funkcjonalność voucherów pozwala wygenerować zbiór kodów za pomocą których użytkownicy w danej sieci dla gości są uwierzytelniani. Kod użytkownik wprowadza na stronie do logowania którą podobnie jak w pozostałych przypadkach można spersonalizować.

Spersonalizowana strona do logowania HotSpot-voucher.

Vouchery czy jak kto woli kupony z kodem dostępu tworzone są na poziomie tzw. User Portalu, czyli portalu dedykowanego dla użytkowników, a nie dla administratorów. Dzięki temu oddzielamy rolę administracji samym firewallem od roli tworzenia kuponów, przy czym osobę która będzie miała uprawnienie do generowania voucherów możemy wskazać, korzystając z uwierzytelniania w zewnętrznej bazie(np. AD) lub tworząc mu konto lokalne.

Sam voucher oferuje różne rodzaje ograniczeń:

  • ważność od pierwszego zalogowania, np. 2 dni od kiedy użytkownik zalogował się po raz pierwszy
  • rzeczywisty czas dostępu, np. 1 h do wykorzystania
  • ilość przesłanych danych, np. 100 MB do wykorzystania

Kod pojawiający się na voucherze jest dynamicznie generowany przez XG Firewall, przewidziano również możliwość generowania kodów QR dla urządzeń mobilnych oraz drukowania wielokrotności voucherów na jednej kartce wybranego formatu. Stworzony voucher można wyeksportować do formatu PDF i wydrukować lub same kody wyeksportować do formatu CSV.

Przykład spersonalizowanego voucheru

Jakie są plusy wykorzystania voucherów? Można je wygenerować wcześniej, udostępnić w formacie elektronicznym lub wydrukować i położyć w salce konferencyjnej, na ladzie w recepcji albo w pokojowym hotelu. Mamy znacznie większą kontrolę nad czasem wykorzystania, ilością pobieranych danych, jeżeli tylko chcemy możemy wprowadzić identyfikację użytkownika przed udostępnieniem mu voucheru np. w trakcie przyjmowania nowego gościa notując przypisany mu nr voucheru.

Zarówno na stronie do logowania jak i samym voucherze możemy dodać logo organizacji albo wprowadzić szczegółową instrukcję jak do sieci się dołączyć. Tworzeniem voucherów można zarządzać z dowolnego miejsca,  z  którego pozwolimy na dostęp do User Portalu.

Niejednokrotnie przekonałem się o tym, że najprostsze rozwiązania bywają najlepsze, i tak było również w tym przypadku. Wybraliśmy vouchery z ograniczeniem czasowym, tj. ważności od pierwszego zalogowania użytkownika. Dalsza część artykułu poświęcona jest konfiguracji tego trybu uwierzytelniania.

Integracja istniejącej sieci WiFi z funkcjonalnością HotSpot na XG Firewall

W naszym wypadku mieliśmy już działającą sieć wifi pracującą na kontrolerze, ale gdybym miał tworzyć sieć od nowa wykorzystalibyśmy wbudowane możliwości XG Firewalla, który oprócz funkcjonalności HotSpotów posiada w pełni funkcjonalny kontroler sieci bezprzewodowej, z automatycznym wykrywaniem i aktualizacją punktów dostępowych, dynamicznym planowaniem kanałów, możliwością grupowania AP, wsparciem 802.11r czyli szybkim roamingiem czy szerokim wachlarzem mechanizmów bezpieczeństwa włączając w to WPA i WPA2 Enterprise.

Jak to bywa w wypadku rozwiązań z centralnym zarządzaniem, do kontrolera Sophos(XG Firewall) musielibyśmy jednak kupić punkty dostępowe Sophos, czyli wiązałoby się to koniecznością wymiany wszystkich APeków, a te które mamy jeszcze szkoda by było złomować.

Proces integracji z istniejącym kontrolerem i konfigurację Firewalla XG podzieliłem na kilka etapów:

  • Stworzenie dedykowanego vlanu dla gości, rozpropagowanie go w sieci i dopięcie istniejącego SSID
  • Stworzenie HotSpotu na XG Firewall powiązanego z VLANem dla gości
  • Personalizacja HotSpotu
  • Stworzenie reguł firewalla
  • Przygotowanie voucherów

Dla chętnych polecam rejestrację na stronie:

https://secure2.sophos.com/en-us/products/unified-threat-management/free-trial/xg-demo.aspx

Jest to online demo na którym można samemu zapoznać się z interfejsem konfiguracyjnym Firewalla XG i zobaczyć jak to co będę opisywał w dalszej części wygląda w rzeczywistości.

Dedykowany VLAN dla gości

Nowy vlan jest w XG traktowany jako podinterfejs wirtualny istniejącego interfejsu fizycznego. W naszej sieci korzystamy z klasycznego rozwiązania router on a stick, czyli jeden z interfejsów fizycznych XG jest dołączony do portu typu Trunk na zarządzanym przełączniku i nim przenoszona jest większość wykorzystywanych przez nas VLANów 802.1q. Warto wspomnieć, że XG jest firewallem strefowym, dzięki czemu możemy prościej zarządzać ruchem przechodzącym pomiędzy różnymi interfejsami fizycznymi czy wirtualnymi nie tylko na podstawie adresu sieciowego ale również na podstawie nazwy strefy. W naszym wypadku dodałem na tym etapie dwie konfiguracje. Pierwsza to dedykowana strefa, dzięki temu jestem pewny, że reguły stworzone dla innych stref nie będą dotyczyły naszej sieci dla gości, tworząc strefę mamy też możliwość określenia jakie usługi świadczone będą w danej strefie przez XG Firewall.

Tworzenie strefy na XG Firewall

Dodanie strefy wymaga: nadania jej nazwy, określenia typu strefy (LAN lub DMZ), określenia usług jakie będą świadczone w danej strefie przez XG Firewall(u nas jak można zauważyć na powyższym rysunku były to tylko uwierzytelnianie klientów i Captive Portal oraz DNS, potrzebny żeby można było rozwiązać nazwę domenową strony na którą użytkownik próbuje wejść i go przekierować).

Drugim elementem było dodanie VLANu, w tym wypadku wybieramy nasz interfejs który pełni rolę Trunk’a do przełącznika, podajemy tag 802.1q, wskazujemy strefę do której nasz interfejs będzie przypisany (nowo stworzona strefa dla gości) oraz nadajemy mu adresację.

Dodanie podinterfejsu VLAN na XG Firewall

Co mamy do tej pory, stworzony VLAN, z adresacją dedykowaną do sieci dla gości oraz w dedykowanej strefie, gdybyśmy nie chcieli spinać tego z siecią bezprzewodową to już można by było korzystać z dedykowanej sieci dla gości np. na przełączniku w salce konferencyjnej, trzeba by się tylko upewnić że VLAN został rozpropagowany w sieci, a porty przełącznika w salce tagują ruch właśnie do niego. To ważna informacja ponieważ funkcjonalność HotSpot w XG Firewall którą będziemy dopiero konfigurować można wykorzystać na wiele sposobów, z punktami dostępowymi Sophos, z rozwiązaniem bezprzewodowym firmy trzeciej(nasz przypadek) ale również z siecią przewodową np.  na gniazdach umieszczonych w pokojach hotelowych.

Nie będę opisywał konfiguracji VLANów na przełącznikach czy rozwiązaniu WiFi z którego korzystamy, bo w każdym wypadku będzie to wyglądało inaczej jeżeli chodzi o komendy czy interfejsy, ale zasada będzie taka sama. Co zatem trzeba zapamiętać, stworzony VLAN, musi zostać dopięty do Waszego rozwiązania, czy to kontrolera wifi(pewnie jako port trunkowy), czy wolno stojących punktów dostępowych(trunk lub access w zależności od tego czy APeki potrafią mapować ruch z SSID do VLANu) czy chociażby do przełącznika dostępowego (porty w trybie access), jak to mamy zrobione, możemy przystąpić do dalszej konfiguracji. U nas wyglądało to tak, z portu A na XG firewall wchodzimy do portu w trybie trunk na przełączniku i z tego przełącznika znowu portem w trybie trunk do kontrolera wifi, w którym SSID: Konsorcjum_FEN_Guest zostało zmapowane do rozpropagowanego vlanu o nr 4.

Nasz HotSpot

Kolejnym krokiem jest dodanie sieci HotSpot, zarządzanie całym modułem Wireless Protection w XG jest dostępne przez zakładkę Protect->Wireless.  Jak wspomniałem wcześniej nasze urządzenie ma rozbudowane możliwości w zakresie obsługi sieci bezprzewodowych, ale z naszej perspektywy potrzebne będą tylko trzy zakładki z tej grupy.

Zaczynamy od zakładki HotSpot, tu po dodaniu nowej sieci definiuje się takie parametry jak: nazwa HotSpotu, interfejs sieciowy na którym HotSpot ma działać(u nas dla przypomnienia to vlan 4, dla gości), na tym poziomie możemy też przypisać filtry dozwolonych aplikacji, stron www, polisę IPS dla ruchu oraz QoS(żeby goście nie „zjedli” nam całego dostępnego pasma).

Konfiguracja HotSpot, interfejsy i polityki.

W naszym przypadku mamy już stworzone polityki zarówno do filtrowania aplikacji, www jak i polisy IPS, które przypisałem do naszego HotSpota. Oczywiście konstrukcja polityk i to czy będą bardziej czy mniej restrykcyjne zależy tak naprawdę od tego co chcemy osiągnąć i jakie polityki bezpieczeństwa ma nasza organizacja.

XG Firewall zarówno dla HotSpota jak i dla pozostałych sieci znacznie ułatwia tworzenie takich reguł ponieważ zarówno aplikacje jak i strony www są już skategoryzowane, a definiując swoją regułę możemy skorzystać z gotowych szablonów(czyli zestawów reguł) lub stworzyć szablon na podstawie wybranych kategorii.

Przykład gotowego szablonu i polityk ograniczających dostęp do wybranych stron www w miejscu pracy.

Podobnie wygląda kwestia definiowania polityk dla aplikacji, możemy wybrać gotowy szablon lub stworzyć go zupełnie od nowa.

Szablony do filtrowania aplikacji.

W przypadku sieci dla gości istotne jest ograniczenie pasma użytkownikom. W XG możemy ograniczać ruch per użytkownik lub grupa użytkowników zarówno w dół jak i w górę. Z pomocą w konfiguracji znowu przychodzą predefiniowane szablony.

Predefiniowane szablony Traffic Shaping – QoS.

U nas stanęło na Moderate Limited Rule, gotowym szablonie ograniczającym ruch per użytkownik do 512 kB/s, ale oczywiście można tworzyć również swoje reguły. Reguła ograniczająca pasmo może być definiowana dla oby kierunków ruchu, indywidualnie lub dla grup.

Tworzenie własnej reguły Traffic Shaping – QoS.

Ciekawym rozwiązaniem może być zastosowanie reguł tzw. Schedule wise , czyli zależnych od aktualnego czasu(dnia tygodnia i godziny), dzięki nim możemy stworzyć inne reguły dla godzin pracy firmy i np. weekendów. Reguły Traffic Shaping w XG możemy też powiązać z konkretnym ruchem www lub aplikacjami, tak aby ograniczyć pasmo dla konkretnych usług.

Gdy wybraliśmy interfejs na którym HotSpot ma działać i przypisaliśmy ograniczenia, przechodzimy do właściwych ustawień HotSpotu.

Ustawienia HotSpot.

Zaczynamy od wyboru czy przekierowujemy użytkowników na stronę szyfrowaną SSL, ustawienie Redirect to HTTPS. Ma to swoje zalety, ponieważ w takim wypadku dane wprowadzane na stronie przez użytkownika(czyli nasz kod z voucheru) będą szyfrowane i nikt ich nie podsłucha, z drugiej jednak strony decydując się na HTTPS musimy się upewnić, aby na urządzenie wgrać certyfikat podpisany przez zaufane CA, któremu będą z kolei ufały przeglądarki, inaczej korzystanie z HotSpotu przez naszych gości będzie wymagało zaakceptowania certyfikatu niezaufanego, co staje się coraz trudniejsze z każdą aktualizacją obecnie wykorzystywanych przeglądarek.

Następnie wybieramy tryb HotSpotu, o trybach już pisałem, dla przypomnienia odsyłam do wcześniejszej części artykułu, jedna uwaga, tryby opisywane jako Captive Portal w XG (punkty 1 i 2 w opisie metod uwierzytelniania konfigurowane są w innej zakładce i nie będą szczegółowo omawiane w tym artykule). My zdecydowaliśmy się na Vouchery. Gdy już wybierzemy tryb, określamy definicje Voucherów (Voucher Definitions) jakie mają być dostępne dla osoby która będzie je generowała. Definicje mogą uwzględniać, czas ważności od pierwszego zalogowania (Validity Period), czas wykorzystania(Time quota) lub ilość danych (Data volume).

Definicja Voucheru.

U nas osoby generujące vouchery dostały do dyspozycji kilka ustawień, 8 godzin, 1 dzień, 2 dni (pod kątem różnego rodzaju szkoleń które prowadzimy na miejscu). Oczywiście nic nie stoi na przeszkodzie aby czas ten skrócić lub wydłużyć, wszystko zależy od tego na ile chcemy pozwolić gościom w naszej sieci. Szablony predefiniowanych voucherów możemy też modyfikować lub dodawać w dedykowanej zakładce HotSpot Voucher Definition.

Poza definicją czasu ważności voucheru możemy określić na ilu urządzeniach dany voucher może zostać wykorzystany (Devices per voucher), przecież coraz częściej oprócz laptopa zabieramy ze sobą smartfon lub tablet, które też lubią mieć dostęp do sieci Internet, alternatywnie ten sam voucher może wykorzystać kilka osób podczas spotkania.

W kolejnym kroku definiujemy użytkowników którzy będę mogli generować vouchery (Administrative Users), jeżeli XG jest spięty z zewnętrzną bazą (w naszym wypadku AD), możemy po prostu wybrać użytkowników z listy, jeżeli jednak nie dysponujemy połączeniem do zewnętrznej bazy możemy użytkowników dodać do lokalnej bazy XG.

Regulamin i przekierowanie po logowaniu.

W trybie vouchera również możemy użytkownikom wyświetlić regulamin do zaakceptowania (Users have to accept terms of use), aby upewnić się, że zgadzają się na warunki korzystania z naszej sieci dla gości. Po zaznaczeniu opcji, po prostu wpisujemy tekst w polu Terms of Use.

Gdy użytkownik poprawnie się uwierzytelnił możemy przekierować go na wybraną przez siebie stronę (parametr Redirect to URL after login), u nas przekierowanie następuje na www.fen.pl

Personalizacja HotSpotu

Strona, która wyświetla się użytkownikom w trakcie logowania do sieci HotSpot standardowo jest w języku angielskim, XG oferuje jednak możliwości jej personalizacji. Dostępne są 2 tryby Basic oraz Full. W trybie Basic dodajemy do strony swoje logo, system może je automatycznie skalować, a także tytuł i tekst, który ma się wyświetlać na stronie, dla większości przypadków tryb ten będzie wystarczający.

Personalizacja strony logowania.

W trybie Full mamy możliwość zmodyfikowania pliku HTML oraz pliku stylu CSS a także dodanie swoich własnych grafik. Żeby z niego skorzystać w pierwszej kolejności pobieramy szablony z zakładki HotSpot Settings.

Pobranie szablonów voucheru oraz strony logowania.

Dostępne są dwa rodzaje szablonów, Login Page Template(strona logowania) oraz voucher template. Szablon strony logowania zawiera plik HTML oraz formularz stylów CSS, można je edytować i wgrać z powrotem do danego HotSpota korzystając z wcześniej wspomnianego trybu personalizacji pełnej. Szablon Voucheru występuje w formacie PDF, można go albo otworzyć edytorem PDF, albo stworzyć swój szablon od podstaw i wyeksportować go do PDF w wersji nie wyższej niż 1.5. Więcej o personalizacji voucheru można znaleźć tutaj: https://community.sophos.com/kb/pl-pl/122794

Ważne jest to aby voucher zawierał odpowiednie znaczniki które zostaną automatycznie podmienione przez XG firewall w momencie generowania voucheru np.:

<?code?>  – zostanie automatycznie podmieniony na wygenerowany dynamicznie kod voucheru

<?validity?> – zostanie automatycznie podmieniony na czas ważności kodu

Każdy szablon musi zawierać również zestaw wszystkich znaków które zostały użyte w znacznikach na voucherze w następującym formacie:

<?abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!”#$%&'()*+-./:;=@^_`{|}~?>

Ciąg znaków zostanie automatycznie usunięty w trakcie generowania voucheru dlatego nie należy się obawiać, że pozostanie na voucherze po jego wygenerowaniu.

Przykład spersonalizowanego voucheru przed wgraniem do XG Firewall.

Reguły Firewalla

Mamy stworzonego HotSpota, do zakończenia konfiguracji pozostało nam zdecydować do jakich segmentów sieci chcemy wpuszczać użytkowników z sieci gościnnej. W momencie tworzenia HotSpota XG tworzy automatycznie obiekt który skupia użytkowników zalogowanych do naszej sieci dla gości (w dalszej części ten obiekt występuje na zrzutach jako ##Konsorcjum_FEN_Guest) oraz jedną regułę sieciową w której dopuszcza ruch z sieci HotSpot do sieci WAN oraz przypisuje wybrane w HotSpocie polityki filtrowania www, aplikacji i QoS.

Jeżeli nie chcemy dopuścić ruchu z sieci dla gości do innych segmentów naszej sieci lokalnej, to ustawienie będzie wystarczające, jeżeli jednak chcemy dopuścić ruch np. do jakiegoś wewnętrznego serwera, należy utworzyć dodatkową regułę na Firewallu. W naszym przypadku konieczne było dodanie wyjątku dla urządzeń do bezprzewodowej transmisji wideo, czyli wyświetlania przez wifi obrazu z monitora czy smartfona bezpośrednio na projektorze. Wykorzystywane przez nas urządzenia do transmisji wePresent standardowo znajdują się w innym vlanie, ponieważ są wykorzystywane głównie przez pracowników.

Żeby osiągnąć zamierzony efekt w pierwszej kolejności należało pogrupować wePresenty po adresach IP w jeden zbiór. W tym celu tworzymy grupę IP Host w zakładce Hosts and Services(rys. 20).

Grupowanie urządzeń.

Następnie należało utworzyć regułę która dopuści ruch (Action Accept) z sieci Konsorcjum_FEN_Guest(obiekt ##Konsorcjum_FEN_Guest) czyli  po zalogowaniu użytkownika do wskazanego zbioru(obiekt wePresent). Ponieważ reguły filtrowania stron, aplikacji i QoS zostały już zaaplikowane na domyślnej regule dostępu z LAN ->WAN w tym wypadku wystarczają nam pola standardowe (rys. 21), jak strefa i sieć źródłowa, strefa i sieć docelowa. Jeżeli chcielibyśmy politykę uczynić dokładniejszą można by było również w tym wypadku zastosować ograniczenia pod kątem określonych usług czy czasu obowiązywania reguły.

Reguła firewalla dopuszczająca ruch do urządzeń bezprzewodowej transmisji wideo.

Generowanie voucherów

Jak wspomniałem w XG vouchery generowane są na tzw. User Portalu, jest to miejsce w którym użytkownicy korzystający z XG standardowo mogą pobrać klienta czy konfigurację do klienta VPN (XG ma wbudowane funkcjonalności serwera VPN SSL i IPSec), sprawdzić swoją skrzynkę kwarantanny(wbudowane funkcjonalności Email Protection) oraz między innymi wygenerować Voucher dla użytkowników gości. Z User Portalu nie ma dostępu do ustawień administracyjnych firewalla. User portal dostępny jest w XG standardowo również na innym porcie(443) niż portal administracyjny (4444).

Logowanie do User Portalu.

Po zalogowaniu i wybraniu zakładki HotSpots (rys. 22) osoba odpowiedzialna za generowanie voucheru określa, dla jakiego HotSpota generuje Voucher(parametr Hotspot), jaki ma to być typ Voucheru (HotSpot Voucher Definition) z wcześniej predefiniowanej listy, ile voucherów chce wygenerować (Amount) i opcjonalnie czy vouchery mają być automatycznie wyeksportowane do PDF(Print), jaki format ma mieć strona (Page Size), ile voucherów ma się zmieścić na zadanym formacie(Vouchers per page), ponieważ system je automatycznie skaluje oraz czy do voucheru ma zostać dodany kod QR. Po kliknięciu Create Vouchers kupony zostają wygenerowane i pobrane w formacie PDF na lokalny komputer administratora.

Alternatywnie  utworzone vouchery można przejrzeć i wyeksportować w późniejszym terminie do PDF lub CSV.

Generowanie voucherów na User Portalu.

W wyniku otrzymujemy pobrany przez przeglądarkę plik PDF, gotowy do wycięcia. Wystarczy wysłać go na drukarkę i pociąć, dla ułatwienia dołączone są linie po których należy wyciąć vouchery. Oczywiście nic nie stoi na przeszkodzie żeby mieć jeden voucher na stronę i nic nie wycinać, ale wtedy warto byłoby zmniejszyć format strony.

Przykładowy zestaw wygenerowanych voucherów.

Mając ważny voucher wystarczy dołączyć się do sieci wifi która u nas nazywa się Konsorcjum_FEN_Guest, po otwarciu przeglądarki użytkownik zostaje przekierowany na stronę pokazaną na rys. 7, na niej wprowadzamy kod ze swojego voucheru i zatwierdzamy przyciskiem login. Jeżeli wprowadzony kod jest poprawny użytkownikowi wyświetlony jest ekran potwierdzający poprawne zalogowanie wraz ze statusem wykorzystanego voucheru.

Poprawne zalogowanie i stan wykorzystania voucheru.

Użytkownik może tą stronę dodać do zakładek w przeglądarce aby sprawdzić stan wykorzystania voucheru w późniejszym terminie. Po chwili gość zostaje przekierowany na stronę www.fen.pl i może normalnie korzystać z sieci.  Gdy upłynie czas ważności voucheru, lub osoba odpowiedzialna za tworzenie voucheru usunie dany voucher z bazy, gość traci dostęp do sieci i strona logowania jest mu wyświetlana ponownie.

Podsumowanie

Łatwość edycji szablonów i fakt, że odwiedza nas wielu dostawców i partnerów z różnych rejonów świata, sprawiły, że mamy zarówno vouchery w wersji PL jaki EN. Na miejscu w salce konferencyjnej gdzie do tej pory stały: drukarka fiskalna połączona kablem szeregowym ze sterownikiem wifi, na którym trzeba było wybrać odpowiednią kombinację klawiszy aby wygenerować ticket i przesłać do dedykowanej bramy umieszczonej w serwerowni, stanęło pudełko z wydrukowanymi voucherami.

Zaczynając konfigurację nie wiedziałem na 100 % czy nowe rozwiązanie będzie lepsze od poprzedniego, patrząc na to z perspektywy czasu, myślę, że to bardzo dobra zmiana. Pozbyliśmy się trzech urządzeń, uprościliśmy schemat sieci, bo wykorzystujemy jedną bramę i jeden interfejs zarządzania. Ruch z sieci dla gości został odseparowany wirtualnie dzięki VLANom, ale jednocześnie mamy możliwość dołączenia się do wybranych zasobów z innych VLANów co nie było możliwe do tej pory. Zyskaliśmy filtrowanie stron www i aplikacji z których nie korzystaliśmy w sieci gościnnej. Zarządzanie voucherami w końcu jest dostępne z dowolnego miejsca, więc nawet gdyby się skończyły łatwo możemy z drugiej lokalizacji je wygenerować i wysłać na drukarkę w siedzibie głównej, a nie tłumaczyć np. przez telefon co wcisnąć na sterowniku żeby gość mógł dołączyć się do naszej sieci.

Sophos XG Firewall, okazuje się świetnym rozwiązaniem które poza wszystkimi funkcjonalnościami bezpieczeństwa może zostać z powodzeniem wykorzystany jako brama dostępowa w sieciach gościnnych, przewodowych jak i bezprzewodowych, integrując się bezproblemowo z rozwiązaniami firm trzecich w różnych środowiskach.

Przejdź do treści