13. ZTA VPN#

ZTA VPN 是一款 ShareTech 開發的、讓你在外面也能安全連回公司內網的登入程式。即使身處家中或外地，也能正常使用 ERP 或其他僅限內網存取的系統。資料會經過加密處理，避免在傳輸過程中被攔截或解讀，提升資訊安全性。

此外，系統管理員可以依照需求設定使用者的連線權限，包括可使用的資源、連線時段與頻寬限制等，強化整體控管效率。ZTA VPN 使用方式簡便，只要從公司伺服器下載程式與憑證，安裝後就能連線。

13.1. Clinet to Site 設定#

此頁面提供 ZTA VPN 的基本設定，包括啟用、介面、連線設定、憑證資訊等。

* 表示該設定變更後需重新下載憑證才能使用新設定

【服務狀態/啟用】：ZTA VPN 服務預設為關閉，勾選啟用後，ZTA VPN 服務才會開始運作。

【本機使用的介面】：防火牆上提供 ZTA VPN 服務的介面，可以是 WAN、LAN、或是其他自訂的介面。

【Client連線設定 * 】：設定登入程式提供連線的IP位址或網域名稱。

【本機使用通訊埠 * 】：防火牆開放ZTA VPN服務對外的通訊埠。同時使用TCP和UDP。

【同時最大連線數】：最多可以讓幾個人同時使用 ZTA VPN，預設值是 20。

【連線逾時】：逾時無法完成連線檢查時，將主動移除通道，重新建立連線。

【兩步驟驗證有效時間】：同一連線登入成功後，於有效時間內自動重新連線時可跳過驗證碼檢查。0 表示不啟用。

【VPN IP 範圍】：ZTA VPN 用戶端取得的 IP 位址範圍， VPN IP 範圍不可與內部的網段相同。

【DNS Server】：ZTA VPN 用戶連線成功後配發的 DNS 伺服器。

• Client 路由設定

當 ZTA VPN 用戶撥上來之後，NG-UTM 要分配哪些內部路由讓使用者使用，也就是說 ZTA VPN 撥接成功之後，並不是可以任意到內部任何一個網段。

【開放遠端上網】：勾選後，ZTA VPN 用戶端可以透過 UTM 上網。反之，則只能存取內部網段。

【Push Route】：將指定的網段，在裝置連線vpn時設定到路由表中。

Tip

常見使用情況：

非遠端上網的情況下，加入使用者要連線的防火牆內部網段。
使用者要透過 ZTA VPN 連線到防火牆上 IPsec VPN 的遠端網段。

• 憑證資訊/憑證設定

ZTA VPN 用戶端使用的憑證是由 ZTA Server 簽發，伺服器要簽發憑證時需要填入一些資訊，憑證機制再利用這些資訊製作憑證給使用者。

每個欄位都必須輸入最少一個文字，不可為空白，如果更改這個欄位的任何一個字元，每個使用者的憑證都需要重新下載。

13.1.1. Client 列表#

新增一個 ZTA VPN 用戶前，要先於上網認證增加一個認證群組，並選擇群組成員，請參考上網認證中使用者群組說明。

使用者可以從以下網址下載 ZTA VPN 用戶端或是只下載憑證。

https:// [網路介面 IP 位址或網域] : [網路介面及路由 > 網路介面 > HTTPS Port] /ztavpn.php

Note

要開放下載連結的IP需要啟用在介面位址 / PPPoE 撥接的 管理IP

• 新增認證群組

在 Client 列表下方點選前往新增認證群組：

【註解】：任何可以描述此 ZTA VPN 用戶端的文字，例如：ZTAVPN-TEST。

【認證群組】：顯示已在上網認證中新增且尚未被套用過的群組。

【連線成功時顯示訊息之網址】：當 ZTA VPN 撥接成功後，自動轉向哪一個網頁。若沒有設定，則依使用者瀏覽器預設的網址。

• 查看已建立的群組

若有已建立的群組，可以點選圖示進入查看群組內的帳號和設定帳號的資訊。

【使用者帳號】：列出群組中的所有使用者帳號。

【憑證】：可以註銷或重新取得憑證。

【下載軟體/憑證】：可以在此下載 ZTA VPN 用戶端或是憑證提供使用者使用。

【使用者固定IP位址】：裝置連線後，會固定取得這個 IP 位址。

【使用者固定MAC位址】：限制只有這個 MAC 位址的裝置可以連線。

【啟動】：決定帳號是否啟用。

【編輯】：使用編輯來設定固定IP / MAC位址。

13.1.2. 頁面設定#

頁面設定提供管理者自訂 ZTA VPN 相關的介面。

• Client 下載頁面設定

這裡是使用者在下載 ZTA VPN 用戶端時，會看到的介面。

可以調整：

內容區塊文字顏色
主體區塊文字顏色
背景區塊顏色
內容區塊文字

• 公告欄設定

當使用者登入 ZTA VPN 時，會看到一個公告欄，管理者可以在這裡設定公告內容。

13.1.3. 連線狀態#

這裡可以看到目前 ZTA VPN Clinet to Site 連線設定與狀態。

• 拒絕連線設定

【啟動拒絕連線紀錄】：啟動後，連線記錄中會產生伺服器拒絕連線的紀錄和原因。反之，只會做成功登入和登出的紀錄。封鎖

【登入失敗次數超過多少暫時封鎖】：登入失敗超過一定次數後暫時封鎖，建議設定3次，避免未知IP攻擊跟嘗試猜測密碼。

【多久解除被暫時封鎖的 IP】：暫時不鎖多久後解除，建議時間10分鐘以上。

【登入失敗次數超過多少永久封鎖】：暫時封鎖累積次數超過幾次以上就永久封鎖，建議設定3次。

【封鎖IP】：如有封鎖IP，可點擊連結查看，並即時解除。

• 使用者列表 使用者列表可以看到以下資訊

帳號
狀態
來源IP
本機取得IP
MAC
最後連線時間/已連線時間
本機使用的介面

【剔除】：將已連線的使用者從伺服器端斷線

13.1.4. 連線記錄#

每一個 ZTA VPN 的連線在 NG-UTM 中都有詳細的紀錄。管理者可以根據不同條件來查詢

13.1.5. ZTA VPN Clinet 設定#

ZTA-VPN 目前僅支援 Windows 11 以上的作業系統

可到 https:// [網路介面 IP 位址或網域] : [網路介面及路由 > 網路介面 > HTTPS Port] /ztavpn.php 登入並下載。

如果已經有下載過可以透過ZTA VPN Client 程式直接下載。

輸入帳密後即可連線撥接，如有啟用兩步驟驗證可在驗證碼輸入 Google Authenticator 驗證碼。

連線成功後畫面如下，Tunnel 資訊可得知撥接後的IP與相關資訊。

13.2. Site to Site 設定#

Site to Site VPN，主要用途在於企業總公司與分公司之間的通訊連線，功能類似IPec VPN，但速度更優於IPSEC且可透過其他分點跳板上網。

13.2.1. 基本設定#

當設備角色為VPN Sever端點需啟用通訊埠開放，此設定用來交換建立連線時的加密設定相關資料。

Tip

設備角色為VPN Client 可以不開啟，但這樣訊息交換就只會是單向而非雙向。

【通訊埠開放】：是否啟用通訊不開放。

【通訊埠】：使用的的通訊PORT，建議 1024 之後的TCP，需注意是否與其他功能衝突。

【開放連線介面】：開放界面讓其他Site進來存取資料，建議開放需要的WAN界面即可。

【來源 IP 白名單】：只允許信任的IP連線，空白代表不限制，建議如果其他SITE點為固定IP，填入SITE點IP可增加安全性。

13.2.2. VPN SERVER#

VPN SERVER 細分為Tunnel Mode與 Mesh Mode，如果分點數大於2且分點之間需要互相溝通，建議選用Mesh Mode。

• Tunnel Mode

【名稱】：通道名稱，自定義以容易方便辨識為主

【啟動】：是否啟動

【VPN 模式】：通道模式選擇。

【本地端位址】：Client過來連線時，要連線那個IP。

【通道介面位址】：通道建立時，產生虛擬界面所使用的IP。

【通道埠】：通道連線使用的PORT，Server 與 Clinet 設定上建議一致。

【MTU】：單一封包最大傳輸單元，預設1500。

【辨識碼】：通道連線時辨識碼，需填入到Clinet的辨識碼設定一樣。

【本地端網路】：0.0.0.0/1,128.0.0.0/1，因需要當跳版，因此不可改，後續可以透過管制條例限定連線範圍。

Tip

通道介面位址設定需注意，不可與內部或其他分點內部區段衝突。
VPN 通訊(埠) : 驗證連線與交換端點資訊使用
VPN 通道(埠) : 實際端點間傳輸封包流量使用

• Mesh Mode

若為 Mesh mode，需在畫面下方建立每個 Client 的設定。

【名稱】：分點通道名稱，自定義以容易方便辨識為主

【辨識碼】：通道連線時辨識碼，需填入到Clinet的辨識碼設定一樣。

【遠端通道 IP】：通道建立時，產生虛擬界面所使用的IP，需與【通道介面位址】搭配且同區段

【遠端網路】：分點的內部區段位置

Tip

Mesh Model無法跳板使用。

通道介面位址設定需注意，不可與內部或其他分點內部區段衝突。

13.2.3. VPN Clinet#

【名稱】：通道名稱，自定義以容易方便辨識為主

【啟動】：是否啟動

【伺服器位址】：VPN Server IP位置。

【伺服器通訊埠】：VPN Server 基本設定基本設定上設定的通訊埠。

【辨識碼】：通道連線時辨識碼，需Server的辨識碼設定一樣。

【本地端位址】：提供給Server建立連線的IP。

【通道埠】：通道連線使用的PORT，Server 與 Clinet 設定上建議一致。

【MTU】：單一封包最大值，預設1500。