คู่มือการทำ Authenticate 802.1X Draytek Vigor3220, AP IP-COM W63AP, Log Internet

คู่มือการทำ Authenticate 802.1X Draytek Vigor3220 + AP IP-COM W63AP + เก็บ Internet Log ด้วย NAS Zyxel NAS326

ในอุปกรณ์ VPN Firewall Router Draytek Vigor3220 มี Feature Internal RADIUS ในตัวครับ กำหนด User/Password ระยะเวลาเชื่อมต่อ กำหนด Quota และจะใช้ Protocol 802.1x นำมาใช้ในการทำ Authenticate เพื่อระบุตัวตนผู้ใช้งาน Internet ได้ครับ

ข้อดีของ 802.1x คือ User เข้าระบบด้วยการ Login เพียงครั้งเดียว ไม่เหมือน Login ผ่านพวก Web Portal, ไม่ต้องติดปัญหาเรื่อง Login เวลาผ่าน Web HTTPS ครับ, และจะดีกว่าการใช้ Wireless Security ทั่วๆไป เพราะ User/Password จะกำหนดได้ว่าใช้ได้กี่คนพร้อมกัน มีความปลอดภัยสูง


ในหัวข้อนี้จะเป็นการ Config ร่วมกับ Access Point IP-COM W63AP และส่ง Authen และ Traffic Log ไปเก็บที่ NAS Zyxel NAS326


เบื้องต้น Config Draytek Vigor3220 เพื่อเชื่อมต่อ Internet เรียบร้อยแล้วครับ คู่มือ Config Draytek Vigor3220

1. สร้าง User Profile ใน Draytek Router

Menu --> User Profile



Profile
Enable this account
Username: Username
Password: Password

Login Settings
Allow Authentication via: ไม่ต้องการให้ Account ที่สร้าง Login เข้า Draytek ได้ ให้ Disable Web, Alert Tool, Telnet

Policy
Max. Login Devices: 1 (อนุญาติให้ User นี้ Login ใช้งานพร้อมกัน)
Enable Time Quota: ระยะเวลาที่ Login ใช้งาน
Enable Data Quota: จำกัดปริมาณข้อมูลที่ใช้งาน

Other Services
Allow this profile to be used by: Internet RADIUS, Local 802.1X
Log: All




สร้างไว้ 2 ชื่อ รองรับได้ 200 Account ครับ




จัดการ Group ด้วยก็ดีครับ เผื่อใช้งานกับพวก Object ต่างๆ

2. Config Internal RADIUS

Menu Application --> RADIUS/TACACS+ --> Internal RADIUS

Enable
Authentication Port: 1812
RADIUS Client Access List
Index 1: Enable กำหนด Shared Secret (จะนำค่านี้ไปใส่ใน Access Point)

Authenticate
Method: PAP/CHAP/MS-CHAP/MS-CHAPv2

802.1X Method
Subport 802.1X Method
EAP_TTLS/PAP, EAP_TTLS/MSCHAP, EAP_TTLS/MSCHAPv2, EAP_PEAP/MSCHAPv2



User Profile
เลือก User ที่สร้างไว้



Click [OK]

3. Config Syslog ใน Draytek เพื่อส่ง Log ให้ NAS Zyxel

Menu System Maintenance --> Syslog / Mail Alert

SysLog Access Setup
Enable
Syslog Save to: Syslog Server
Server IP/Hostname: IP Address ของ NAS
Destination Port: 514
Enable syslog message: Firewall Log, User Access Log / Hotspot User Information



Click [OK]


Menu System Maintenance --> Time and Date

Time Zone: GMT +7 Bangkok



Click [OK]


เบื้องต้นผมลองทดสอบส่ง Log ให้ Program Log Server ดูก่อนครับ Download ได้จาก หัวข้อนี้ โปรแกรม Sysnet Logger เก็บข้อมูล Syslog Message, ผู้ใช้งาน Internet

4. Config NAS Zyxel เพื่อเก็บ Log

การ Config ในส่วน Inital NAS Zyxel จะไม่ขอกล่าวถึงนะครับ

Menu Control Panel --> Syslog Server



Enable Syslog Server
Share: ชื่อ Folder
Path: Folder ที่เก็บ Log File
Enable Purge Policy
Log Detection Interval: 3 เดือน (NAS จะเก็บ Log ไว้ 3 เดือน แล้วจะลบออก)



Click [Apply]

5. Config Access Point IP-COM W63AP

เชื่อมต่สาย Lan จาก PC ไปที่ Access Point, Default IP ของ AP จะเป็น 192.168.0.254 ต้อง Fix IP Address ที่ PC ด้วยครับ

การ Fix IP Address บน Windows 10 เพื่อ Config อุปกรณ์ Network


Fix IP เป็น 192.168.0.22



เปิด Browser พิมพ์ 192.168.0.254
User: admin, Password: admin




เปลี่ยน IP Address ของ Access Point ให้อยู่ในวง Network เดียวกับ Draytek Router



Click [Save]


ตัว Access Point จะ Reboot และเปลี่ยนเป็น IP ใหม่ ให้ Set IP Address ของ PC เป็น Obtail an IP address automatically



เข้าหน้า Config ของ Access Point ด้วย IP Address ที่เปลี่ยนใหม่ครับ

Menu Quick Setup

Radio Band: 2.4GHz
Working Mode: AP
SSID: ชื่อสัญญาณ WIFI
Security Mode: WPA2
Radius Server: 192.168.1.1 (IP Address ของ Draytek Router)
Radius Port: 1812
Radius Key: Shared Secret ที่กำหนดที่ Draytek Router จากข้อ 2



Click [Save]


กำหนดค่าสำหรับความถี่ 5GHz ด้วยครับ

Radio Band: 5GHz
Working Mode: AP
SSID: ชื่อสัญญาณ WIFI
Security Mode: WPA2
Radius Server: 192.168.1.1 (IP Address ของ Draytek Router)
Radius Port: 1812
Radius Key: Shared Secret ที่กำหนดที่ Draytek Router จากข้อ 2



Click [Save]

ทดสอบ Login, Log

เชื่อมต่อ WIFI ด้วย IPhone

ใน IPhone เพื่อเลือกเชื่อมต่อ Wireless จะมีหน้า User/Password ให้ใส่ง่ายๆเลย



Click [เชื่อถือ]



เชื่อมต่อเรียบร้อย




เชื่อมต่อ WIFI ด้วย Android จะมีรายละเอียดเพิ่มนิดนึง



ใบรับรองการใช้งาน CA: เลือก ไม่ตรวจสอบ
เอกลักษณ์ / รหัสผ่าน จะเป็น UserName / Password

Click [เชื่อมต่อ]

เชื่อมต่อเรียบร้อย




ตรวจสอบ User ที่ Login เข้ามาในระบบ ใน Draytek Router
Menu Diagnostics --> Authentication Information --> Authentication Information Log
Enable
Syslog Type: ALL



Login เข้าไปใน NAS Zyxel เพื่อดู Log

Menu File



เปิด File Log ขึ้นมา หน้าตา Log จะประมาณนี้ครับ




เรียบร้อยครับ