Administration à distance. Série firewall ZyXEL USG à partir de la version de firmware Knowledge Base KB-3517 Août 2014.

Transcription

1 Administration à distance Série firewall ZyXEL USG à partir de la version de firmware 4.10 Knowledge Base KB-3517 Août 2014 Studerus AG

2 ADMINISTRATION À DISTANCE L USG propose différents types d accès pour la configuration et l administration à distance. L interface web est chiffrée et sécurisée en standard par le biais d une connexion HTTPS, la ligne de commandes via SSH. Pour les travaux de maintenance, l USG propose en plus une interface série. Accès au WebGUI via HTTP/HTTPS Un accès via navigateur web sur l adresse IP WAN ou LAN est accepté par l USG via son port 80 ( ou son port 443 ( Le nom d utilisateur et le mot de passe pour le compte administrateur sont par admin et Premier aperçu avec le tableau de bord Après une connexion réussie, l USG montre les principaux paramètres de système à l aide du tableau de bord individualisé. Selon les besoins, il est possible d arranger ou de masquer les widgets. Le navigateur enregistre les paramétrages en tant que cookie, pour réinitialiser l aperçu, il suffit de vider le cache du navigateur. Administration à distance 2 KB-3517 / SRU

3 Les composants de la surface de configuration 2.) La console fournit un remplacement simple pour un terminal SSH installé en local. Condition : version Java actuelle. 1.) L aide sensible au contexte fournit des aides précieuses dans tous les domaines de la configuration ) La fenêtre CLI affiche en live les commandes CLI équivalentes du WebGUI 4.) Les paramétrages des widgets affichent ou masquent les widgets. 5.) Le système de menu de l USG permet un changement simple entre les pages de configuration et les pages de contrôle. Administration à distance 3 KB-3517 / SRU

4 Configuration > System > WWW Port serveur pour la connexion HTTPS Le Redirect transfère les requêtes http vers l interface HTTPS Le HTTP-Redirect nécessite le service http pour pouvoir accepter les requêtes Port serveur pour la connexion HTTP Si les ports 80 ou 443 sont transférés par serveur NAT/Virtual, le transfert est prioritaire et les services http et HTTPS de l USG ne sont plus accessibles de l extérieur via l interface WAN. Les ports peuvent être déviés en conséquence, par exemple sur le port 4443 pour la connexion HTTPS. L appel sur le navigateur doit être étendu en conséquence avec l adresse de port de déviation : Administration à distance 4 KB-3517 / SRU

5 Erreur de certificat, établissement d un nouveau certificat L USG transfère automatiquement l accès par protocole HTTP vers HTTPS. Cela garantit que la connexion entre le navigateur et l USG n a désormais lieu que de manière chiffrée et que les données sensibles telles que le nom d utilisateur et le mot de passe ne sont pas transmises en texte clair. Ni le certificat par défaut attribué pour la connexion HTTPS, ni l exposant inclut dedans ne sont connus par le navigateur. Pendant l établissement de la connexion, le navigateur informe de ce statut avec une erreur de certificat : Pour créer un certificat valable pour la connexion HTTPS, l horloge et l adresse IP de l USG doivent être configurées correctement. Nous créons un nouveau certificat par le biais de l administration d objets : Configuration > Object > Certificate Administration à distance 5 KB-3517 / SRU

6 Configuration > Object > Certificate > My Certificates Setting > Add Nom du certificat nouvellement créé. Adresse IP de l interface que le certificat attribue au navigateur lors de l établissement de la connexion. Si le certificat doit être valable pour plusieurs interfaces, on peut utiliser un nom de domaine. Remarque importante: Le Key Type plus sûr de Secure Hash Algorithm SHA-2 est disponible à partir de la version 4.15 du micro logiciel. Un navigateur récent requit d une clé minimale de 2048 Bits. Un certificat signé soi-même n est pas authentifié par une instance publique de signatures et doit être distribué manuellement en local. Après l ouverture du certificat nouvellement créé, on trouve l option pour l enregistrement. Le certificat enregistré avec la terminaison *.cer simplifie l import ultérieur. Administration à distance 6 KB-3517 / SRU

7 La méthode d import du certificat varie selon les systèmes d exploitation. Même les applications peuvent varier dans leur utilisation. Tandis qu Internet Explorer tient compte des certificats importés au niveau du système d exploitation, d autres navigateurs tels que Firefox par exemple utilisent leur propre mémoire de certificats. Si le certificat dispose d une terminaison en *.cer, il suffit sous Windows de double-cliquer sur le fichier pour démarrer l assistant d import. Chaque ordinateur avec le certificat en mémoire Autorité de certification racine digne de confiance peut accéder à l USG après l import, sans autre message d erreur. Administration à distance 7 KB-3517 / SRU

8 Administration à distance 8 KB-3517 / SRU

9 Pour que l USG puisse aussi effectivement fournir notre nouveau certificat lors de l établissement de la connexion, celui-ci doit être sélectionné dans WWW comme Server Certificate pour les connexions HTTPS. Configuration > System > WWW Détermine quel certificat est attribué au navigateur lors de l établissement de la connexion sur le WebGUI. Après un logout et l actualisation de l aperçu, le navigateur atteste une connexion HTTPS authentifiée, chiffrée et basée sur un certificat : Administration à distance 9 KB-3517 / SRU

10 Console SSH La console (CLI, Command Line Interface) propose l accès complet à toutes les options de configuration et d information de l USG. En standard, le service SSH est activé. La connexion établit un programme approprié, par exemple PuTTY, disponible gratuitement pour divers systèmes d exploitation et facile à utiliser ( Configuration > System > SSH Comme PuTTY vérifie le certificat lors de l établissement de la connexion SSH, la première tentative de connexion affiche une alerte sur le certificat encore inconnu. Après une seule acceptation d un certificat valable, celui-ci est placé dans le cache de PuTTY et le message n est plus affiché ultérieurement. Administration à distance 10 KB-3517 / SRU

11 Le login se fait avec le même nom d utilisateur et le même mot de passe que dans le WebGUI. Console Telnet Telnet représente l alternative non chiffrée de SSH et est désactivée par défaut sur l USG pour des raisons de sécurité. Comme sur les systèmes d exploitation actuels il faut d abord installer le client Telnet, son utilisation n a pratiquement plus de sens aujourd hui. Configuration > System > SSH Console série L interface série ne dépend pas d un stack réseau qui fonctionne. En conséquence, l USG peut aussi établir un protocole complet du processus de démarrage. Même si le firmware n existe plus que de manière erronée, on peut démarrer un processus de rétablissement avec le mode Debug. Pour la connexion, on a besoin d un programme terminal avec l aide du port série. Tera Term et XTerm sont deux représentants communs, mais PuTTY, qu on utilise déjà pour SSH, répond aussi à cette condition préalable. Administration à distance 11 KB-3517 / SRU

12 Les paramètres de connexion sont : , n, 8, 1 (Baud, parité, bits de données, bits de stop). Dans Serial line il faut désélectionner l interface série utilisée de l ordinateur. Lorsque le processus de démarrage est terminé, la console habituelle avec toutes les fonctions du CLI est disponible sur l interface série. Si par exemple on s exclut du système avec une règle de firewall trop restrictive, les commandes configure terminal et no Firewall active désactivent le firewall sans avoir à accéder au WebGUI. Administration à distance 12 KB-3517 / SRU