Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

Zyxel USG FLEX / ATP

De collector toestaan op Zyxel USG FLEX, ATP (ZLD 5.x) en USG FLEX H (uOS) met IP Exception en een uitzondering voor SSL Inspection.

Op een Zyxel USG FLEX of ATP kunnen IPS, IP Reputation en andere security services de scan van de collector tegenhouden. Met een IP Exception sluit je alleen de collector uit van die diensten. Daarna zorg je dat SSL Inspection de verbinding met het platform niet openbreekt.

Wat je nodig hebt

  • COLLECTOR_IP: het IP-adres van de collector;
  • PLATFORM_FQDN: het adres van het portaal (bijv. portal.obsolens.com).

Beide staan in het portaal onder Toegang regelen bij de collector. Kies daar Zyxel USG FLEX / ATP bij Stappen voor voor de stappen met ingevulde waarden.

Maak eerst een adresobject (host) voor COLLECTOR_IP.

ZLD (USG FLEX 100-700 en ATP, firmware 5.x)

IP Exception

  1. Ga naar Configuration > Security Service > IP Exception en klik Add.
  2. Zet Source op het adresobject voor COLLECTOR_IP.
  3. Zet Destination op any.
  4. Kies bij Service to Bypass de diensten:
    • Anti-Malware (inclusief sandboxing)
    • URL Threat Filter
    • IPS
    • IP Reputation
    • DNS Threat Filter
  5. Klik OK.

IDP/ADP (anomaly detection) staan niet in die lijst. Een aparte uitzondering voor ADP is niet bevestigd in de documentatie van de fabrikant. Grijpt ADP in bij de scan, kies dan per locatie onder Planning het scanprofiel Voorzichtig (maximaal 8 nieuwe verbindingen per seconde).

SSL Inspection

  1. Ga naar Configuration > Security Service > SSL Inspection > Exclude List.
  2. Klik bij Exclude List Address Settings op Add.
  3. Vul PLATFORM_FQDN in bij Exclude List of Certificate Identity.
  4. Klik Apply.

uOS (USG FLEX H)

  1. Maak onder Object > Address > Address een Host-object voor COLLECTOR_IP.
  2. Ga naar Security Services > IP Exception en klik Add.
  3. Kies het Host-object als bron, het doel en bij Service To Bypass de diensten die je wilt overslaan.
  4. Sla de uitzondering op.

Andere VLAN's

Scant de collector andere VLAN's of zones, controleer dan ook of er een gewone securityregel is die het verkeer van COLLECTOR_IP naar die netwerken toestaat. Zie Meerdere VLAN's scannen.

Controleren

  1. Voer op de collector obsolens-collector diagnose uit. Die meldt of SSL Inspection nog in de weg zit.
  2. Start in het portaal Nu scannen en kijk in het blok Netwerken of alle VLAN's antwoorden.
  3. Kijk in de log van de Zyxel of er nog IPS- of ADP-meldingen op COLLECTOR_IP zijn.

Bronnen

Zie ook