 《分享》限制G Suite服務只能登入特定domain |       |
客戶端有在使用Google G Suite服務，
他們提出了一個特殊需求，希望同仁在公司內只能登入公司domain的Google服務，其它domain一律拒絕。
也提出了Google的說明連結，詢問Sophos XG能做達成此特殊需求？
Google的說明→ 封鎖一般使用者帳戶的存取權
客戶的需求看來要透過proxy來處理，
在過濾封包時，http的表頭中加入 X-GoogApps-<允許的特定網域> 的字串，回傳給google，
藉以達到鎖定特定domain的功能。
但XG的web proxy是 假的，即便到了V16還是一樣是假的，所以不能朝這方向來進行。
Sophos Community上的專家給了另一個方向來進行 - Web Policy。
在Web Policy裏的advanced設定中，提供了Google APPs的針對性功能 - Restrict login domains for Google Apps，
透過此功能就可以限制只有特定的domain才能登入使用Google Apps。
設定重點如下，
Chrome搭配Google App預設會走QUIC協定(UDP 80及443)，
而這QUIC不是標準HTTP與HTTPS，所以XG會擋不到。
因此在設定前，請先封鎖QUIC協定。
接著在LAN to WAN的規則中，啟用HTTP/HTTPS scan，並指定一條Web Policy。
(你知道的，要做HTTPS scan，user端必需匯入XG的CA憑證喔∼)
然後在這條Web Policy中的advanced設定裏，把允許的domain加進去。
↑例如順子自己的domain shunze.info
完成後，若使用者登入非允許domain的Gmail時，就會出現拒絕的訊息！
而使用允許的domain則能正常使用Gmail服務。
這針對性的功能恰如其份的發揮了它應有的效果，實在是太讚了∼
參考資料
Does XG support HTTP header insertion?
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2017-01-06, 17:42
