SonicWall güvenlik duvarlarında misafir ağı (guest network) kullanıcılarını internete çıkmadan önce kimlik doğrulamadan geçirmek için external captive portal özelliği kullanılır. Bu rehberde, SonicWall üzerinde external captive portal özelliğinin SignLogger ile entegre edilerek misafir kullanıcı kimlik doğrulamasının nasıl yapılandırılacağı adım adım anlatılmaktadır.
Giriş
SonicWall güvenlik duvarlarında misafir ağına bağlanan kullanıcıların SonicWall üzerinde barındırılan varsayılan giriş sayfası yerine SignLogger gibi harici bir sunucu üzerindeki kimlik doğrulama sayfasına yönlendirilmesi, external captive portal özelliği ile sağlanır. Böylece kullanıcı doğrulama ve raporlama işlemleri SignLogger platformu üzerinden merkezi olarak yürütülebilir ve misafir ağı kullanıcı hareketleri mevzuata uygun şekilde kayıt altına alınabilir. Bu döküman, SonicWall cihazı üzerinde syslog ayarlarının yapılması, misafir kullanıcılar için ayrı bir zone ve arayüz (interface) tanımlanması, RADIUS kimlik doğrulama ayarlarının yapılandırılması ve son olarak güvenlik politikalarının (policy) oluşturulması adımlarını ekran görüntüleriyle birlikte sırasıyla açıklamaktadır. Kuruluma başlamadan önce SonicWall yönetim paneline erişim yetkisine, SignLogger sunucusunun adresi ve port bilgisine, misafir ağı için ayrılacak IP bloğuna ve RADIUS sunucu adresi ile paylaşılan anahtar bilgisine sahip olmanız gerekir.
Adım 1: SignLogger Syslog Sunucusu Ayarlarının Yapılandırılması (Device > Log > Syslog)
SonicWall güvenlik duvarınızın günlük kayıtlarını SignLogger platformuna aktarabilmesi için öncelikle bir syslog sunucusu tanımlamanız gerekir. Bu adım, diğer tüm captive portal ve RADIUS ayarlarından önce yapılmalıdır; böylece ilerleyen adımlarda oluşturacağınız guest zone, interface ve policy hareketleri baştan itibaren SignLogger’a iletilir. Aşağıdaki adımları izleyin:
SonicWall yönetim panelinde Device > Log > Syslog menüsüne gidin ve Syslog Servers sekmesini açın.
Add butonuna tıklayarak yeni bir syslog sunucusu tanımlayın.
Name or IP Address alanına SignLogger sunucunuzun IP adresini girin.
Port alanına SignLogger tarafında dinlenen syslog portunu (varsayılan olarak 514) yazın.
Server Type alanında Syslog Server seçeneğinin işaretli olduğundan emin olun; ihtiyacınıza göre Syslog Format ve Syslog Facility değerlerini de düzenleyebilirsiniz.
Add butonuna tıklayarak ayarları kaydedin.
Ekran Görüntüsü 1: Device > Log > Syslog > Syslog Servers sayfası - Add Syslog Server ayarları
Ayarları kaydettikten sonra tanımladığınız sunucu, Syslog Servers listesinde görünecektir. Enable sütunundaki anahtarın açık olduğundan emin olun; aksi halde günlük kayıtları SignLogger’a iletilmez.
Ekran Görüntüsü 2: Device > Log > Syslog > Syslog Servers sayfası - Tanımlanan syslog sunucularının listesi
Adım 2: Guest Zone Oluşturma (Object > Zone)
Misafir ağı kullanıcılarının trafiğini ayrı bir güvenlik bölgesinde (zone) yönetebilmek için öncelikle bir Guest zone oluşturmanız gerekir. Aşağıdaki adımları izleyin:
SonicWall yönetim panelinde Object > Match Objects > Zones menüsüne gidin.
Add butonuna tıklayarak yeni bir zone oluşturun.
Zone adı olarak “Guest” girin.
General sekmesinde Security Type alanını Trusted olarak seçin; ihtiyaç duyarsanız Allow Interface Trust seçeneğini de işaretleyebilirsiniz.
Ekran Görüntüsü 3: Object > Match Objects > Zones sayfası - Guest zone General ayarları
Guest zone oluşturulduktan sonra, misafirlerin SignLogger üzerinden kimlik doğrulaması yapabilmesi için Guest Services ayarlarının da yapılandırılması gerekir. Aşağıdaki adımları izleyin:
Zone Settings penceresinde Guest Services sekmesine geçin ve Enable External Guest Authentication seçeneğini etkinleştirin.
Configure butonuna tıklayarak açılan pencerede Web Server 1 alanına SignLogger sunucusunun adresini girin, Protocol alanını HTTP olarak seçin ve sunucunun dinlediği portu (örneğin 8080) belirtin.
Auth Pages sekmesinden Login Page alanında kullanılacak sayfayı (örneğin SW_GUEST) seçin ve ayarları kaydedin.
Ekran Görüntüsü 4: Object > Match Objects > Zones sayfası - Guest zone Guest Services ayarları
Ekran Görüntüsü 5: Guest Services > Configure penceresi - Web Server 1 (SignLogger) ayarları
Ekran Görüntüsü 6: Guest Services > Configure penceresi - Auth Pages ayarları
Adım 3: Guest Network ve Interface Ayarlarının Yapılandırılması (Network > Interface)
Guest zone’u oluşturduktan sonra, misafir ağı trafiğinin taşınacağı arayüzü (interface) bu zone’a atamaniz gerekir. Aşağıdaki adımları izleyin:
SonicWall yönetim panelinde Network > System > Interfaces menüsüne gidin.
Misafir ağı için kullanılacak arayüzü (örneğin X0:V22) seçip Edit butonuna tıklayın.
Zone alanında Guest seçeneğini seçin.
VLAN Tag ve Parent Interface bilgilerini girin (örneğin VLAN Tag 22, Parent X0).
IP Assignment kısmında Static seçeneğini seçerek misafir ağı için ayrılan IP bloğunu girin.
OK butonuna tıklayarak ayarları kaydedin.
Ekran Görüntüsü 7: Network > System > Interfaces sayfası - Arayüz listesi
Ekran Görüntüsü 8: Network > System > Interfaces sayfası - Edit Interface (X0:V22) ayarları
Adım 4: RADIUS Kimlik Doğrulama Ayarlarının Yapılandırılması (Device > Users > Settings)
Misafir kullanıcılarının RADIUS üzerinden kimlik doğrulaması yapabilmesi için Device > Users > Settings sayfasından RADIUS sunucusu tanımlanmalı ve kimlik doğrulama yöntemi güncellenmelidir. Aşağıdaki adımları izleyin:
Device > Users > Settings sayfasına gidin ve Authentication sekmesini açın.
User authentication method alanından RADIUS + Local Users seçeneğini seçin.
Ekran Görüntüsü 9: Device > Users > Settings sayfası - Authentication ayarları (RADIUS + Local Users, RADIUS Accounting aktif)
Adım 5: Misafir Ağı için Güvenlik Kuralı Oluşturulması (Policy > Rules and Policies)
RADIUS sunucusunun IP adresi, port numarası ve zaman aşımı gibi bağlantı ayarlarını yapılandırmak için Configure RADIUS butonuna tıklayın ve aşağıdaki adımları tamamlayın:
RADIUS Servers sekmesinde Add butonuna tıklayın ve sunucu IP adresini (örn. 10.100.100.253) ve portunu (1812) girin.
General Settings sekmesinde Timeout (örn. 5 saniye) ve Retries (örn. 3) değerlerini belirleyin, ardından Periodically check RADIUS server status seçeneğini etkinleştirin.
Accounting sekmesinden RADIUS Accounting özelliğini etkinleştirerek misafir oturum kayıtlarının SignLogger’a iletilmesini sağlayın.
Misafir ağından gelen kullanıcı trafiğinin sadece internete çıkış (WAN) yapıp, iç ağ kaynaklarına erişemediği ve gerektiğinde SignLogger sunucusuna erişebildiği bir güvenlik politikası tanımlanmalıdır. Aşağıdaki adımları izleyin:
Policy > Rules and Policies > Access Rules sayfasına gidin ve Guest zone için kural listesini görüntüleyin.
Guest zone’dan WAN zone’una giden trafiği izin veren (Allow) bir kural oluşturun veya var olan kuralı düzenleyin.
Guest zone’dan LOGGERZONE’a (SignLogger sunucusunun bulunduğu zone) giden trafiği izin veren ayrı bir kural oluşturarak misafir cihazların captive portal doğrulama sayfasına ve SignLogger API’sine erişebilmesini sağlayın.
Guest zone’dan diğer iç ağ zone’larına (LAN, DMZ vb.) giden trafiği engelleyen (Deny) bir kural oluşturarak misafir ağının izole edilmesini sağlayın.
Kuralları kaydedin ve Guest zone’daki bir istemciden test bağlantısı yaparak kuralların doğru çalıştığını doğrulayın.
Sonuç
SonicWall güvenlik duvarlarında misafir ağı kullanıcıları için external captive portal ile SignLogger entegrasyonu; syslog ayarlarının yapılması, Guest zone ve interface tanımlanması, RADIUS kimlik doğrulama ayarlarının yapılandırılması ve son olarak güvenlik politikalarının oluşturulması adımlarıyla tamamlanır. Bu adımların doğru sırayla uygulanması, misafir ağı kullanıcılarının kimlik doğrulama ve internet erişim kayıtlarının eksiksiz şekilde SignLogger üzerinde tutulmasını sağlar.