Utiliser le pare-feu en mode basé sur l'utilisateur avec un serveur RADIUS

Dans cet article, nous allons démontrer comment utiliser la gestion des utilisateurs avec un serveur RADIUS et définir différentes politiques pour différents comptes d'utilisateurs. Avec cette configuration, les clients LAN sont obligés de se connecter à Internet avec leur compte utilisateur. L'administrateur peut établir différentes règles pour différents comptes d'utilisateurs. Par exemple, nous pouvons créer une règle interdisant l'accès au site Facebook pour la plupart des employés ; en revanche, les utilisateurs ayant un compte RH peuvent accéder à Internet sans aucune limitation.

Ce document utilise VigorAP comme serveur RADIUS en exemple.

Sur le serveur RADIUS (VigorAP)

1. Activez la fonctionnalité du serveur RADIUS dans "RADIUS Setting >> RADIUS server".

2. Créez des profils d'utilisateurs : entrez l'identifiant et le mot de passe, puis cliquez sur le bouton Ajouter pour créer le compte.

3. Configurez le client d'authentification : les clients d'authentification sont les hôtes qui auront la permission d'envoyer des paquets d'authentification 802.1X au VigorAP. Entrez l'adresse IP du client et la clé secrète, puis cliquez sur le bouton Ajouter pour ajouter un nouveau client.

Sur le routeur Vigor :

1. Allez à "User Management >> User Profile page", activez le mode basé sur l'utilisateur et cliquez sur OK.

2. Définissez un filtre de pare-feu qui permet aux paquets du serveur IP de passer : allez à "Firewall >> Filter Setup", cliquez sur Set 2, puis sur une règle disponible.

Cochez la case Vérifier pour activer la règle de filtre.

Entrez un commentaire.

Définissez la Direction comme LAN/DMZ/RT/VPN -> WAN.

Cliquez sur Éditer pour définir l'Adresse IP source comme l'adresse IP du serveur.

a) Sélectionnez le Type d'Adresse comme Adresse Unique.

b) Entrez l'adresse IP du serveur dans l'Adresse de début.

c) Cliquez sur OK pour enregistrer.

Sélectionnez Pass Immediately comme filtre.

Cliquez sur OK pour enregistrer la règle.

Note : Si vous cochez Vérifier pour activer la règle de filtre, cela rend cette règle une règle active. Cela signifie que tous les paquets vérifient s'ils correspondent à la règle d'abord. Mais avec cette configuration IP, seuls les paquets provenant de l'adresse IP du serveur passeront. Les autres paquets qui ne correspondent pas à l'adresse IP nécessiteront une authentification utilisateur, et la règle de pare-feu appliquée aux comptes utilisateurs correspondants prendra effet.

4. Définissez une règle de pare-feu pour bloquer Facebook : allez à "Firewall >> Filter Setup page", cliquez sur Set 2, puis sur une règle disponible.

Entrez des commentaires.

Pour le filtre, sélectionnez Pass Immediately.

Sélectionnez URL Content Filter, Web Content Filter et DNS Filter comme les filtres que nous configurons pour bloquer Facebook. Consultez Bloquer un site par URL Content Filter et DNS Filter et Bloquer les sites de réseaux sociaux par Web Content Filter pour plus de détails.

Cliquez sur OK pour enregistrer la règle.

Note : Ne cochez pas Vérifier pour activer la règle de filtre, cela fait que cette règle est une règle inactive. Cela signifie qu'elle sera une politique que nous pouvons appliquer à un compte utilisateur spécifique.

5. Créez un compte d'utilisateur pour les employés : allez à "User Management >> User Profile page", cliquez sur un profil disponible pour ajouter un compte.

Activez ce compte.

Entrez le nom d’utilisateur identique au nom d’utilisateur du serveur RADIUS.

Sélectionnez Radius.

Définissez la Politique comme celle bloquant Facebook créée dans l'étape précédente.

Cliquez sur OK pour enregistrer.

6. Créez un compte d'utilisateur pour les RH : allez à "User Management >> User Profile page", cliquez sur un profil disponible pour ajouter un compte.

Activez ce compte.

Entrez le nom d’utilisateur identique au nom d’utilisateur du serveur RADIUS.

Sélectionnez Radius.

Définissez la Politique par défaut.

Cliquez sur OK pour enregistrer.

Finalement, les clients LAN devront se connecter lorsqu'ils essaient d'accéder à Internet. Si ils se connectent avec le compte employé, ils ne pourront pas accéder à Facebook.

Lors de la connexion avec un compte RH, Facebook fonctionne correctement.

Captures d'écran