IPSec HTTP-Verbindungen

HTTP-/HTTPS-Verbindungen über IPSec-VPN

Letzte Anpassung zur Version: 12.6.4

Neu:

Aktualisierung zum Redesign des Webinterfaces

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

02.2023 11.7 11.7

Einleitung

HTTP-/HTTPS-Anfragen werden bei aktivierten Transparenten Modus vom HTTP-Proxy abgefangen und verarbeitet. (

Für https-Anfragen muss zusätzlich die SSL-Interception aktiviert sein.)
Dabei muss der HTTP-Proxy nicht in den Einstellungen des Clients konfiguriert sein.

Ist der HTTP-/HTTPS-Server (Ziel der HTTP-/HTTPS-Anfrage) über eine VPN-Verbindung erreichbar, müssen diese Verbindungen vom Transparenten Modus ausgenommen werden, oder der HTTP-/HTTPS-Proxy für die Nutzung der VPN-Verbindung angepasst werden. Dies kann entweder über eine Ausnahmeregel für den Transparenten Modus erfolgen, oder durch das Setzen der ausgehenden IP-Adresse des HTTP-/HTTPS-Proxys.

Szenario 1: Transparente Ausnahme Regel

Anwendungen HTTP-Proxy Bereich Transparenter Modus Schaltfläche Transparente Regel hinzufügen
Soll eine VPN-Verbindung vom Transparenten Modus ausgenommen werden, wird im Reiter Transparenter Modus eine Regel hinzugefügt.

Beschriftung	Wert	Beschreibung	Transparente Regel hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenHTTP-Proxy
Protokoll:	HTTP HTTPS	Für Default-Einstellungen wird HTTP ausgewählt
Typ:	Exclude	Es wird Exclude ausgewählt
Quelle:	internal-network	Das interne Netzwerk internal-network wird ausgewählt
Ziel:	Ziel-IPSec-Netz	Das Netzwerkobjekt auswählen, welches über die IPSec-Verbindung zum HTTP-Server erreichbar ist
Auf Speichern und schließen klicken, damit diese Einstellungen übernommen werden kann. Existiert auch eine Include-Regel für HTTPS muss zusätzlich auch eine Exclude-Regel für HTTPS angelegt werden

Szenario 2: Ausgehende Proxy Adresse

Soll der HTTP-Proxy für die Nutzung der VPN-Verbindung angepasst werden, wird auf Bereich Allgemein gewechselt. Unter

Allgemein

wird folgendes eingetragen:

Beschriftung	Wert	Beschreibung	HTTP-Proxy UTMbenutzer@firewall.name.fqdnAnwendungen HTTP-Proxy Log
Ausgehende IP-Adresse:	192.168.112.1	Interne IP-Adresse der Firewall eintragen. Diese IP sollte in dem Subnetz liegen, welches in der Phase 2 des IPSec Tunnel definiert ist.
Auf Speichern und schließen klicken, damit diese Einstellungen übernommen werden kann.

Vor- und Nachteile beider Szenarien

Szenario 1: Transparente Ausnahme Regel

Vorteil:

Der HTTP Verkehr wird geroutet, das Netz der Gegenstelle sieht die IP Adresse des Clients

Nachteil:

Der Virenscanner im HTTP-Proxy wird für diese Verbindung nicht verwendet

Szenario 2: Ausgehende Proxy Adresse

Vorteil:

Der HTTP Aufruf kann vom Virenscanner nach Schadcode gescannt werden

Nachteil:

Das Netz der Gegenstelle, sieht als IP-Adresse nur die des Proxys
Wenn es Rule und / oder Source Routen für das Netzwerk gibt, ist der HTTP-Proxy ebenfalls von diesen betroffen