[Çözüldü] Sophos Active Directory ve Captive Portal hk

https://vimeo.com/215275522

Hocam bu videodan esinlenerek bir dener misiniz?

https://community.sophos.com/products/xg-firewall/f/authentication/92256/using-ad-authentication-for-captive-portal

burda da aynı soruyu sormuşlar.

Sonucu paylaşabilir misiniz?

Merhaba;

Active directory ile kullanıcı doğrulaması yaparak, internet trafiğini kontrol altına almak istiyorsunuz anladığım kadarıyla.

İlk olarak -Authentication->Services->Firewall authentication methods- altında -Authentication server list- içerisinden eşitlediğiniz domain controller ın seçili olduğunu ve -Selected authentication server- kısmında bu domain controller ın ilk sırada yer aldığını kontrol etmenizi öneririm.

Domain controller üzerinde STAS kurulu olmalı ve -Authentication->STAS->Collector- altında STAS ın yüklü olduğu domain controller tanımlı olmalı.

Bu arada AD kullanıcılarının sophos -Authentication->Users- altında görünmesi için DC tarafından onaylanmış bir oturum açmaları gerekiyor. SOPHOS ve DC arasındaki bağlantıyı DC üzerindeki STAS programı sağlıyor ancak bu durumu SOPHOS XG win anlayabilmesi için yukarıda belirttiğim gibi  SOPHOS -Authentication->STAS->Collector- altında STAS ın kurulu olduğu DC bin bilgileri tanımlanmalı.

Kullanıcıları gruplayarak ya da tek tek seçerek kurallar uygulayabilirsin. Ancak bence olması gereken AD de yetki grupları oluşturarak bu gruplar üzerinden SOPHOS da kural yazmak.

Örneğin; AD üzerinde FW_ ile başlayan gruplar oluşturabilirsiniz. (FW_Engelli, FW_Serbest, FW_Yonetici, FW_xyz,..) ve bu grupları SOPHOS ile eşitleyebilirsiniz. -Authentication->Services- kısmına tanımladığınız DC nin manage sütunundaki import linkini kullanarak bu FW_ ile başlayan grupları SOPHOS a aktarabilirsiniz.

Daha sonra bu grupları -Authentication->Groups- altında göreceksiniz.

Bu grupların altınada farklı internet yetkileri vermek istediğiniz kullanıcıları ekleyin. Burada dikkat etmeniz gerek ÇOK ÖNEMLİ bir durum var. FW_ ile başlayan gruplara eklediğiniz kullanıcılar SADECE bir adet FW_ ile başlayan grubun üyesi olabilir. Yani bir kullanıcı file server yapısındaki gibi eş zamanlı birden fazla  gruba üye olamaz. FW_Yonetici grubunda olan A kullanıcısı aynı zamanda FW_Serbest grubunda olamaz, kullanıcı ya FW_Yonetici ya da FW_Serbest grubunda olmalıdır, her iki grup da bu kullanıcı için uygun değilse, yeni bir grup oluşturulabilir ya da sadece o kullanıcı için bir kural yazılabilir. Bir kullanıcıyı birden fazla FW_ ile başlayan yetki grubuna eklerseniz, her grubun ayrı kuralı olduğundan kullanıcının internet çıkışında sorunlar olacaktır.  

Sophos üzerinde kullanıcı ya da kullanıcı gruplarına Web filter uygulamanın iki yolu, Application filter uygulamanın tek yolu vardır. 

Kullanıcılar için web filtreleme -Web->Policies- altın altında yapılabileceği gibi -firewall->Lan TO Wan- kuralı oluşturularak da uygulanabilir. Application filter sadece -firewall-> altına yazacağınız kural üzerine uygulayabilirsiniz.

ya da

AD kullanıcısı dışındaki ya da daha doğrusu Authentication dışında kalan herhangi bir kullanıcıya izin vermeden sadece bu kullanıcılarla internet çıkışı sağlamak için Firewall LAN to WAN kuralını aşağıdaki gibi oluşturarak uygun sırada tutmalısınız. 

Çıkış kuralını yukarıdaki gibi oluşturduktan sonra kuralınızın başındaki ikonun farklı olduğunu göreceksiniz. Yukarıdaki 2. ekran görüntüsünde kullanıcı seçimi yapıyorsunuz, bu kısımda ANY yerine FW_ ile başlayan grupları seçerek kuralınızı oluşturursanız, o kurak sadece o grup için geçerli olacaktır.

LAN TO WAN çıkışını sadece kimlik doğrulaması yapan kullanıcılara açmak için, yukarıda ekran görüntüleri olan örnek kuralın altına LAN TO WAN Deny kuralı yazmanız gerekir.

Cevaplar için teşekkür ederim bu gün deneyip buradan tekrar dönüş yapacağım

meselemi harfiyen çözdü teşekkür ederim. şimdi biraz kurcalayıp captive portal girişlerini kısıtlamaya çalışacağım

@mustafatasci eline sağlık, makale olmuş resmen, bence bunu makale olarak yayınlamak lazım.

Selamlar @hakanuzuner hocam,

Keyifle yazarız, teşekkür ederim.

tamam ama resimleri karalama lütfen 🙂 

Ama production resimleri ya o 🙂

Makalede en güzel resimleri ekleriz :))

Selam hocam sophos captive portal kısmında en son sertifika sorunu vardı bu durum çözüldü mü ? 

Gönderen: Mustafa TAŞCI

Ama production resimleri ya o 🙂

Makalede en güzel resimleri ekleriz :))

ben gizleme demiyorum bak, "karalama" diyorum yani benim makalelere bak nasıl gizlemişim, ya buzluyorum ya da daha estetik bir çözüm buluyorum. 

Merhaba, konuyu tekrar canlandırmak olacak ama bir sıkıntım var söylenenleri harfiyen yaptım oldu ancak başka bir sıkıntı var ben captive portalı aktif ettikten bir süre sonra (ortalama 45 dk - 1 saat ) tüm bilgisayarlarda 1-2 dk internet gidiyor tekrar geliyor nerede hata yapıyor olabilirim kullandığım sophos cihazı xg310 bağlantı sayım max 80-90