https://wiki.securepoint.de/api.php?action=feedcontributions&feedformat=atom&user=Chris Securepoint Wiki - Benutzerbeiträge [de] 2026-05-27T22:18:07Z Benutzerbeiträge MediaWiki 1.43.5 https://wiki.securepoint.de/index.php?title=UTM/AUTH/OTP_v11.8.8&diff=79656 UTM/AUTH/OTP v11.8.8 2021-05-06T13:48:37Z <p>Chris: /* {{#var:46|Eintragen eines Codes}} */</p> <hr /> <div>{{Set_lang}}<br /> <br /> {{#vardefine:headerIcon|spicon-utm}}<br /> {{:UTM/AUTH/OTP.lang}}<br /> <br /> &lt;/div&gt;{{DISPLAYTITLE:{{#var:display}}}}{{TOC2}}<br /> '''{{#var:head|Wichtige Hinweise bei Verwendung des OTP-Verfahrens}}'''<br /> <br /> &lt;p&gt;{{#var:2|Letzte Anpassung zur Version:}} '''11.8.8''' &lt;/p&gt;<br /> <br /> &lt;p&gt;{{cl | {{#var:neu}} | <br /> * {{#var:neu--Renegotiation}}<br /> * {{#var:4a|Angaben zum OTP-Token ergänzt}}<br /> * {{#var:4|Eingabe des Passworts und des OTP-Codes in verschiedene Formaten möglich}} | w=40px }}&lt;/p&gt;<br /> &lt;br&gt;&lt;br&gt;<br /> &lt;p&gt;{{#var:5|Vorherige Versionen:}} [[UTM/AUTH/OTP_v11.7| '''11.7''']] / [[UTM/AUTH/OTP_v11.8| '''11.8''']]&lt;/p&gt;<br /> <br /> === {{#var:6|Vorbemerkungen}} ===<br /> <br /> {{#var:7|Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.}}&lt;br&gt;<br /> <br /> {{ Hinweis | {{#var:8|Hinweis:}}}} {{#var:9|Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss {{ r |&lt;u&gt; jeder Administrator&lt;/u&gt;}} über diesen Token verfügen, um auf das Gerät zugreifen zu können.}}<br /> <br /> {{#var:10|Eine Ausnahme auf User-Basis ist nicht möglich}}&lt;br&gt;&lt;br&gt;<br /> SSL-VPN:&lt;br&gt;<br /> {{#var:11|Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.}}&lt;br&gt;&lt;br&gt;<br /> {{#var:12|Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.&lt;br&gt;<br /> Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.&lt;br&gt;&lt;br&gt;<br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.}}<br /> &lt;b&gt;<br /> &lt;p&gt;{{#var:13|Im Falle eines Ausfalls des OTP-Generators (Smartphone oder Hardware Token) kann das OTP nur generiert werden, wenn Zugriff auf den QR-Code bzw. den Secret-Code besteht. Dieser findet sich unter {{ Menu|Authentifizierung | Benutzer}} {{ Button | OTP QR-Codes drucken | P}}.}} &lt;/p&gt;&lt;/b&gt;<br /> <br /> {{ Hinweis | !! {{#var:14|Fällt der OTP-Generator für den Administrator-Zugang aus, benötigt aus man eine ausgedruckte Version des QR-Codes.}}}}&lt;br&gt;&lt;br&gt;{{ Hinweis | {{#var:15|Sollte diese nicht vorliegen, ist ein Zugriff auf die UTM nur noch mit physischem Zugang direkt am Gerät (Tastatur und Monitor an der UTM) möglich.}}}}<br /> <br /> &lt;p&gt;{{#var:16|Ausdruck dieses Codes für die Administratoren wie unter [[OTP_V11#OTP_Secret | OTP Secret]] beschrieben. Ablage in der Dokumentation.}}&lt;/p&gt;<br /> <br /> &lt;p&gt;{{ Hinweis | ! {{#var:18|Hinweis:}} }} {{#var:19|Da das OTP-Verfahren Zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.}}&lt;/p&gt;<br /> {{#var:20|Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:}}&lt;br&gt;<br /> * {{#var:21|Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen}}<br /> * {{#var:22|Über die CLI mit dem Kommando '''''system date get'''''}}<br /> * {{#var:23|Über die Root Konsole mit dem Kommando '''''date'''''}}<br /> <br /> <br /> {{#var:24|Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:}}&lt;br&gt;<br /> * {{#var:25|Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen}}<br /> * {{#var:26|Über die CLI mit dem Kommando '''''system date set date''''' anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss}}<br /> <br /> === {{#var:27|OTP - One-Time-Password}} ===<br /> <br /> &lt;p&gt;{{#var:28|Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.&lt;br&gt;<br /> In der UTM setzen wir das Zeit-Basierte-Verfahren ein (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.}}&lt;/p&gt;<br /> <br /> &lt;p&gt;{{#var:29|Um dieses 6 stellige Passwort zu generieren, wird als Token eine Smartphone App gneutzt, wie z.B. der [https://de.wikipedia.org/wiki/Google_Authenticator Google Authenticator]. Dieser ist sowohl für [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android] als auch für [https://itunes.apple.com/de/app/google-authenticator/id388497605?mt=8 iOS] Geräte verfügbar.&lt;br&gt;<br /> Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.}}<br /> <br /> === {{#var:30|OTP einrichten}} ===<br /> <br /> ==== {{#var:31|Ablauf bei Aktivierung}} ====<br /> # {{#var:32|Sicherstellen, dass die Uhrzeit der UTM und dem Token synchron läuft}}<br /> # {{#var:33|Übertragung des Geheimcodes an den Token}}<br /> # {{#var:34|Aktivieren des OTP Verfahrens auf der UTM}}<br /> # {{#var:35|Testen der Anmeldung &lt;u&gt;bevor&lt;/u&gt; die aktuelle Session beendet wurde}}<br /> {{#var:36|Ist das Verfahren aktiviert, muss sich &lt;u&gt;jeder Benutzer&lt;/u&gt; der ausgewählten Anwendungen zusätzlich per OTP anmelden.&lt;br&gt;<br /> Ausnahmen sind nicht möglich.}}&lt;/span&gt;<br /> <br /> === {{#var:37|Benutzer mit OTP einrichten}} ===<br /> {{ pt2 | {{#var:38|UTM_V115_OTPUser.png}} | {{#var:39|OTP Benutzer}}}} <br /> &lt;p&gt;{{#var:40|Zunächst werden die Benutzer unter {{ Menu |Authentifizierung| Benutzer}} wie gehabt angelegt.&lt;br&gt;<br /> Siehe dazu auch [[UTM/AUTH/Benutzerverwaltung| Benutzerverwaltung]].}}&lt;/p&gt;<br /> <br /> &lt;p&gt;{{#var:41|Der OTP-Code für diesen Benutzer kann Sie erst angezeigt werden, wenn die Eingaben zum Benutzer gespeichert wurden.&lt;br&gt;<br /> Anzeigen oder ändernmit klick auf den editieren Button {{ Button ||w}} in der Benutzer Zeile im Reiter {{ Reiter | OTP}} auf der rechten Seite.}}&lt;/p&gt;<br /> <br /> &lt;br clear=all&gt;<br /> <br /> ==== {{#var:42|Automatisches erstellen eines Codes}} ====<br /> {{ pt2 | {{#var:43|UTM_V115_OTPCode.png}} | {{#var:44|OTP Code}}}}<br /> &lt;p&gt;{{#var:45|Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.&lt;br&gt;<br /> Zum einen als QR-Code, der einfach mit der Smartphone App abfotografiert werden kann, und zum anderen in Text-Form zum eingeben über die Tastatur.&lt;br&gt;&lt;br&gt;<br /> Mit der Schaltfläche {{ Button ||r}} kann der Code neu erzeugt werden.}}<br /> <br /> &lt;br clear=all&gt;<br /> <br /> ==== {{#var:46|Eintragen eines Codes}} ====<br /> {{#var:47|Es ist auch möglich mit {{ Button ||s}} manuell einen 16-stelligen base32 oder HEX-kodierten Schlüssel einzugeben. <br /> Dieses wird zum Beispiel bei einem Hardware Token wie dem OTP c200 benötigt. Hier erhält man vom Lieferanten einen Code, der dann bei dem Benutzer hinterlegt werden muss. Beachten Sie, dass bei der Eingabe von einem HEX kodierten Schlüssel das Format und die Gültigkeitsdauer vor dem Schlüssel hinzugefügt werden muss, z.B.: <br /> '''hex(60)'''A6ABBEF26746BC7121AE1764C2863826B98DD210}}<br /> '''hex(30)'''A6ABBEF26746BC7121AE1764C2863826B98DD210<br /> <br /> {{Gallery2 | {{#var:48|UTM_V115_OTPhex.png}} | {{#var:49|OTP HEX kodiert}}<br /> | {{#var:50|UTM_V115_OTPb32.png}} | {{#var:51|OTP base32 kopdiert}}<br /> |i=3 }}<br /> <br /> &lt;br clear=all&gt;<br /> <br /> === {{#var:52|OTP Secret}} ===<br /> {{ pt2 | {{#var:53|UTM_V115_OTPpdf.png}} | {{#var:54|OTP PDF Dokument}}}}<br /> {{#var:55|Zur Weitergabe an die Benutzer besteht die Möglichkeit, die erstellten Codes auszudrucken.}}<br /> {{ Button | {{#var:56|OTP QR-Codes drucken}} | p}}<br /> <br /> {{#var:57|Es wird dann ein Dokument im PDF Format erstellt.}}<br /> <br /> &lt;br clear=all&gt;<br /> <br /> === {{#var:59|Einrichten des Google Authenticator}} ===<br /> <br /> {{#var:60|Zunächst muss der Google Authenticator aus dem App-Store heruntergeladen, installiert und geöffnet werden.}}<br /> <br /> {{ pt2 | {{#var:61|AND_GA_OTPkto.png}} | hochkant=0.85 | {{#var:62|OTP Konto hinzufügen}} }}<br /> {{#var:62|Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account. Tippen auf den Button ''Einstellungen''.}}&lt;br&gt;<br /> <br /> &lt;p&gt;{{#var:63|Im nun erscheinenden Fenster ''Konto hinzufügen'' wird im Bereich ''Konto manuell hinzufügen'' entweder ''Barcode scannen'' oder ''Schlüssel eingeben'' gewählt.}}&lt;/p&gt;<br /> <br /> &lt;p&gt;{{#var:64|Bei ''Barcode scannen'' wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens &quot;Barcode Scanner&quot; installiert, sollte sich diese noch nicht auf dem Smartphone befinden.}}&lt;/p&gt;<br /> <br /> &lt;p&gt;{{#var:65|Zum automatischen erstellen eines Kontos einfach die Kamera des Smartphonein den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code halten.}}&lt;/p&gt;<br /> &lt;br clear=all&gt;<br /> <br /> <br /> {{ pt2 | {{#var:66|AND_GA_OTPkto2.png}} | hochkant=0.85 |{{#var:67|OTP Konto manuell hinzufügen}} }}<br /> {{#var:68|Soll der QR-Code nicht gescannt werden, können die Daten unter ''Schlüssel eingeben'', manuell eingegeben werden. Es muss hierbei '''Zeitbasiert''' gewählt werden.}}<br /> <br /> &lt;br clear=all&gt;<br /> <br /> <br /> {{ pt2 | {{#var:68b|AND_GA_OTPasswd.png}} | hochkant=0.85 | {{#var:69|One-Time-Passwort}} }}<br /> {{#var:70|Im folgenden Fenster wird dann das Konto mit dem OTP-Code angezeigt. &lt;br&gt;<br /> Dieser ändert sich alle 30 Sekunden. }}<br /> <br /> {{#var:71|Die Zeitanzeige rechts gibt einen Überblick, wie lange dieses OTP-Passwort noch aktiv ist.}}<br /> &lt;br clear=all&gt;<br /> <br /> === {{#var:72|Nutzung eines Hardware Tokens}} ===<br /> {{#var:73|Auch die Nutzung eines Hardware Token ist möglich. &lt;br&gt;<br /> Dabei sollte es sich um einen [http://www.ietf.org/rfc/rfc4226.txt RFC 4226] kompatiblen Passwort Generator handeln, der auch mit mod_authn_otp nutzbar ist.}}<br /> <br /> {{pt2 | {{#var:74|UTM115_AI_OTPhex60.png}} | {{#var:75|OTP c200 HEX Code}} }}<br /> {{#var:76|Von unserer Seite wird derzeit der OTP c200 unterstützt.&lt;br&gt; Vom Lieferanten wird dazu mit seperater Post ein HEX(60) Code versendet, der wie [[OTP_V11#Benutzer_mit_OTP_einrichten | oben]] beschrieben beim Benutzer hinterlegt werden muss.}}<br /> &lt;div class=&quot;list--element__alert list--element__hint&quot;&gt;<br /> {{#var:76b|Hinweis}}<br /> &lt;/div&gt;<br /> {{#var:76c|seed-Hinweis}}<br /> <br /> <br /> {{ Hinweis | {{#var:77|Unbedingt den Token &lt;u&gt;Key&lt;/u&gt; eintragen und nicht die Token ID.}} | gelb}}&lt;br&gt;<br /> {{#var:78|Bei der ID handelt es sich um eine Seriennummer des Tokens, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen.}}<br /> &lt;br clear=all&gt;<br /> <br /> === {{#var:79|OTP überprüfen}} ===<br /> {{ pt2 | {{#var:80|UTM_V115_OTPcp.png}} | {{#var:81|OTP überprüfen}}}}<br /> {{#var:82|Mit {{ Button ||c}} kann getestet werden, ob das OTP, das über die App generiert wird, auch funktioniert.}}<br /> <br /> {{#var:83|In dem neu geöffneten Fenster wird das Passwort eingegeben, das die App zu diesem Benutzer anzeigt und auf {{ Button | OK| b}} gecklickt.}}&lt;br&gt;<br /> {{ b | {{#var:84|Bitte OTP Code eingeben}} }} &lt;code&gt;OTP Code&lt;/code&gt;<br /> <br /> {{#var:85|Wenn alles korrekt eingerichtet ist, erscheint eine entsprechende Meldung.<br /> &lt;br&gt;Info: Bei lokal angelegten Benutzern muss eine Benutzergruppe ausgewählt sein. Welche Berechtigung diese hat, ist nicht entscheidend.}}<br /> &lt;br clear=all&gt;<br /> <br /> === {{#var:86|OTP den Anwendungen zuweisen}} ===<br /> {{ pt2 | {{#var:87|UTM_v11-8_Authentifizierung_OTP.png}} | hochkant=1 |{{#var:88|OTP Anwendungen}}}}<br /> {{#var:89|Unter {{ Menu |Authentifizierung|OTP}} kann ausgewählt werden bei welchen Anwendungen sich die sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.}}&lt;br&gt;&lt;br&gt;<br /> <br /> &lt;p&gt;{{Kasten | {{#var:90|Webinterfaces}}}}&lt;/p&gt;<br /> :&lt;p&gt;{{ ButtonAus | {{#var:91|Aus}}}} {{#var:92|Administrator-Webinterface}}&lt;/p&gt;<br /> :&lt;p&gt;{{ ButtonAus | {{#var:91|Aus}} }} {{#var:93|Anwender-Webinterface}}&lt;/p&gt;<br /> <br /> <br /> &lt;p&gt;{{Kasten | {{#var:94|VPN}} }} ({{#var:95|Roadwarrior-Verbindungen}})&lt;/p&gt;<br /> :&lt;p&gt;{{ ButtonAus | {{#var:91|Aus}} }} {{#var:96|IPSec}}&lt;/p&gt;<br /> :&lt;p&gt;{{ ButtonAus | {{#var:91|Aus}} }} {{#var:97|SSL-VPN}} &lt;/p&gt;<br /> <br /> <br /> &lt;p&gt;{{Kasten |{{#var:98|Firewall}} }}&lt;/p&gt;<br /> :&lt;p&gt;{{ ButtonAus | {{#var:91|Aus}} }} {{#var:99|SSH (Konsole)}} &lt;/p&gt;<br /> <br /> &lt;br clear=all&gt;<br /> <br /> === {{#var:100|OTP benutzen}} ===<br /> ==== {{#var:101|Webinterface}} ====<br /> {{ pt2 | {{#var:102|UTM_v11-8_User-Interface_OTP-Login.png}} | {{#var:103|Login mit OTP}}}}<br /> {{#var:104|Bei einem Login auf das Administrations- oder User-Webinterface gibt es nun ein weiteres Authentifikationsfeld {{ic |&lt;big&gt;{{Button||o}}&lt;/big&gt;|Anw=UTM }} für den OTP Code.}}<br /> <br /> {{#var:105|Hier wird zusätzlich zum Benutzernamen und Passwort, der generierte Code eingetragen.}}<br /> &lt;br clear=all&gt;<br /> <br /> ==== {{#var:106|VPN}} ====<br /> <br /> {{ Hinweis | {{#var:118|Neue Option ab Version 11.8 | 11.8}} }}<br /> {{#var:119|Wenn die Gegenstelle ein separates übermitteln des OTP-Kennwortes erlaubt, kann wie folgt vorgegangen werden: Starten der SSL-VPN Verbindung auf dem Client (Unter Windows: Doppelklick auf das Schloss-Symbol in der Taskleiste)<br /> Aufbau der Verbindung mit Klick auf}} [[Datei:{{#var:120|SSL-VPN-v2 Verbindung-aufbauen.png}}|x20px]]&lt;br&gt;<br /> {{#var:121|Die Verbindung wird in drei Schritten Aufgebaut:}}<br /> {{Gallery2 | {{#var:122|SSL-VPN-v2_Benutzername.png}} | {{#var:123|Eingabe Benutzername}}<br /> | {{#var:124|SSL-VPN-v2_Kennwort.png}} | {{#var:125|Eingabe Kennwort}}<br /> | {{#var:126|SSL-VPN-v2_OTP.png}} | {{#var:127|Eingabe OTP}}<br /> | {{#var:127a|SSL-VPN-v2_Verbunden.png}} | {{#var:127b|Verbunden}}<br /> | i=4 | i4=9}}<br /> <br /> <br /> {{ Hinweis | {{#var:108|VPN mit UTM, wenn die Gegenstelle &lt;u&gt;kein&lt;/u&gt; separates übermitteln des OTP-Kennwortes erlaubt:}} | gelb}}<br /> {{Gallery2| | &lt;p&gt;{{#var:109|Wenn OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung eingesetzt wird, muss bei der Passwortabfrage der OTP-Code ohne Leerzeichen direkt hinter dem Benutzerkennwort eingetragen werden.}}&lt;/p&gt;&lt;p&gt;{{Hinweis|!!|gelb}}{{#var:109b|Diese Variante steht &lt;nicht&gt; in den Versionen 11.8.0 bis 11.8.3.4 zur Verfügung.}} &lt;/p&gt;<br /> | {{#var:110|SSL-VPN-v2_Benutzername.png}} | {{#var:111|Benutzername}}<br /> | {{#var:112|SSL-VPN-v2_Kennwort.png}}| {{#var:112b|KennwortOTP}} <br /> |i=3}}<br /> <br /> {{#var:113|Beispiel:}}<br /> {{ td | {{#var:114|Passwort:}}| insecure | w=100px}}<br /> {{ td | {{#var:115|OTP:}} | 123456 | w=100px}}<br /> {{ td | {{ b |{{#var:116|Kennwort}}}} | &lt;code&gt;insecure123456&lt;/code&gt; | w=100px}}<br /> {{#var:128|Das Speichern des Kennworts im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.}}<br /> &lt;br clear=all&gt;<br /> <br /> <br /> ==== {{#var:129|SSH-Verbindung}} ====<br /> {{ Hinweis | {{#var:118|Neue Option ab Version 11.8 | 11.8}} }}&lt;br&gt;<br /> {{ pt2 | {{#var:141|UTMv11-8_SSH-Login.png}} | {{#var:142|SSH-Login mit OTP unter PuTTY und v11.8}} }}<br /> {{#var:143|Wenn der Zugriff mit einer SSH-Konsole und OTP genutzt wird, wird der OTP-Code in einer seperaten Zeile {{ b | Pin }} abgefragt.}}<br /> &lt;br clear=all&gt;<br /> <br /> <br /> {{ Hinweis | {{#var:108|VPN mit UTM, wenn die Gegenstelle &lt;u&gt;kein&lt;/u&gt; separates übermitteln des OTP-Kennwortes erlaubt:}} | gelb}}&lt;br&gt;<br /> {{ pt2 | {{#var:132|UTMv11-7_SSH-Login.png}} | {{#var:133|SSH-Login mit OTP unter PuTTY und v11.7.15}}}}<br /> &lt;p&gt;{{#var:134|Wenn der Zugriff mit einer SSH-Konsole und OTP genutzt wird, wird der OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort eingegeben.}}&lt;br&gt;{{Hinweis|!!|gelb}}{{#var:109b|Diese Variante steht auch wieder ab Version 11.8.4 zur Verfügung.}} &lt;/p&gt;<br /> <br /> &lt;p&gt;{{#var:135|Beispiel:}}<br /> {{ td | {{#var:136|Passwort in UTM:}}| insecure | w=120px}}<br /> {{ td | {{#var:137|OTP:}} | 123456 | w=120px}}<br /> {{ td | {{ b |{{#var:138|Password}}}} | &lt;code&gt;insecure123456&lt;/code&gt; | w=120px}}<br /> <br /> &lt;br clear=all&gt;</div> Chris https://wiki.securepoint.de/index.php?title=UTM/RULE/Multi-IP&diff=60717 UTM/RULE/Multi-IP 2019-08-19T12:16:58Z <p>Chris: </p> <hr /> <div>{{Set_lang}}<br /> <br /> <br /> &lt;/div&gt;&lt;templatestyles src=&quot;Vorlage:Gallery.css&quot; /&gt;{{DISPLAYTITLE:Multi-IP}}<br /> &lt;p&gt;'''NAT mit mehreren öffentlichen IPs an einer externen Schnittstelle.'''&lt;/p&gt;<br /> <br /> {{td | Neuer Artikel | <br /> * Best Practice | w=80px}}<br /> <br /> <br /> &lt;p&gt;In diesem Artikel wird das Anlegen und Konfigurieren eines Netzwerkobjektes beschrieben, um bei Vorhandensein mehrerer öffentlicher IPs eine Portumleitung oder Portweiterleitung über einer bestimmten IP zu konfigurieren.&lt;p&gt;<br /> &lt;p&gt;{{Hinweis|!}}Eine Portumleitung oder Portweiterleitung wird nur auf die kleinste IP auf einem Netzwerkobjekt angewendet.&lt;br&gt;<br /> Um also gezielt auf eine dedizierte IP angewendet zu werden, ist es nötig, zusätzliche Netzwerkobjekte einzurichten:<br /> * Szenario:<br /> ** Zugeteiltes Netz: 198.51.100.48/29<br /> ** IP 1: 198.51.100.49/29<br /> ** IP 2: 198.51.100.50/29<br /> <br /> === Anlegen eines Neuen Netzwerkobjektes ===<br /> <br /> {{pt2 | UTM_v11.8.5_Netzwerk_Netzwerkkonfiguration_IP-Adressen.png }}<br /> Die IP-Adressen auf der Schnittstelle müssen unter {{Menu|Netzwerk | Netzwerkkonfiguration}} → {{Reiter|Netzwerkschnittstellen}} → {{Button| Schnittstelle bearbeiten| w}} → {{Reiter | IP-Adressen}} eingetragen sein<br /> &lt;br clear=all&gt;<br /> Anlegen eines neuen Netzwerkobjektes mit {{Menu | Firewall | Portfilter}} → {{Reiter | Netzwerkobjekte}} → {{Button| + Objekt hinzufügen}} <br /> &lt;br clear=all&gt;<br /> <br /> {| class=&quot;sptable&quot; style=&quot;width:auto;&quot;<br /> ! Beschriftung !! Wert !! Beschreibung !! Abbildung<br /> |- <br /> | {{b|Name}} || {{ic | external-interface-IP2 |w=x}} || Beliebiger, eindeutiger Name || rowspan=&quot;5&quot; |[[Datei:UTM_v11.8.5_Rule_Interface1.png|mini|250px]]<br /> |-<br /> | {{b|Typ}} || style=&quot;min-width: 300px;&quot; |{{Button | Statische Schnittstelle&amp;emsp; |dr}} ||<br /> |-<br /> | {{b|IP-Adresse}} || {{Button| 198.51.100.50/29&amp;emsp;|dr}} || Auswahl der zu konfigurierende IP (wird im folgenden Schritt angepasst)<br /> |-<br /> | {{b|Zone}} || {{Button | firewall-external &amp;emsp;|dr}} || <br /> |-<br /> | {{b|Gruppe}} || {{ Button |&amp;emsp;&amp;emsp;&amp;emsp;&amp;emsp; |dr}} || ggf. eine Gruppe, der diese Schnittstelle zugeordnet werden soll<br /> |-<br /> | class=&quot;Leerzeile&quot; | &lt;br/&gt;{{Button | Speichern}} und erneut aufrufen mit {{Button | |w}}<br /> |-<br /> |{{b|Adresse}} || {{ic | 198.51.100.51/'''32'''|w=x}} || {{Hinweis|!|gelb}}Ändern der Subnetzmaske ''/29'' in '''/32''', damit nur diese IP angesprochen wird! || [[Datei:UTM_v11.8.5_Rule_Interface2.png|mini|250px]]<br /> |-<br /> | class=&quot;Leerzeile&quot; | &lt;br/&gt;{{Button | Speichern}}&lt;br/&gt;{{ic|external-interface|w=x}} {{Button | |w}}<br /> |-<br /> | {{b|Adresse}} || {{ic | 198.51.100.49/32|w=x}} || Eingabe der 1. IP-Adresse auf der bestehenden Schnittstelle (Wechsel zum Suffix mit Tabulator-Taste)&lt;br/&gt;Bestehende Adresse {{ic | 0.0.0.0/0|w=x}} trifft auf alle IP-Adressen zu! || [[Datei:UTM v11.8.5 Rule Interface4.png|250px|mini]]<br /> |}<br /> &lt;br/&gt;{{Button | Speichern}}<br /> {{Hinweis|! Für jede weitere IP-Adresse muss ein weiteres eigenes Netzwerkobjekt erstellt werden! }}<br /> <br /> {{pt2 | UTM_v11.8.5_Rule_Portweiterleitung_2IPs.png | Regel für Portweiterleitung}}<br /> Unter {{Menu|Firewall|Portfilter}} → {{Reiter|Portfilter}} → {{Button|+ Regel hinzufügen}} muss eine Regel konfiguriert werden:<br /> {| class=&quot;wikitable&quot; style=&quot;width:auto;&quot;<br /> ! Beschriftung !! Wert !! Beschreibung <br /> |- <br /> | {{Kasten|Quelle}} || Internet ||<br /> |-<br /> | {{Kasten|Ziel}} || {{Kasten| internal-network| blau | c=grau }} ||Gewünschtes Ziel<br /> |-<br /> | {{Kasten|Dienst}} || {{Kasten | https | blau | c=grau }} || Gewünschter Dienst/Port. Hier: Port 8080 (https)<br /> |-<br /> | class=&quot;Leerzeile&quot; | {{Kasten|NAT}} <br /> |-<br /> | {{Kasten|Typ}} || {{Button|DESTNAT|dr}} || <br /> |-<br /> | {{Kasten|Netzwerkobjekt}} || style=&quot;min-width: 160px;&quot; |{{Button | external-interface-IP2&amp;ensp;|dr}} || Schnittstelle, die mit der gewünschten IP konfiguriert wurde<br /> |-<br /> | {{Kasten | Dienst}} || {{Button|https|dr}} || gewünschter Dienst / Port<br /> |}<br /> &lt;br/&gt;{{Button | Schließen }} → {{Button | Regeln aktualisieren | play}}</div> Chris https://wiki.securepoint.de/index.php?title=UTM/RULE/Multi-IP&diff=60714 UTM/RULE/Multi-IP 2019-08-19T12:15:35Z <p>Chris: </p> <hr /> <div>{{Set_lang}}<br /> <br /> <br /> &lt;/div&gt;&lt;templatestyles src=&quot;Vorlage:Gallery.css&quot; /&gt;{{DISPLAYTITLE:Multi-IP}}<br /> &lt;p&gt;'''NAT mit mehreren öffentlichen IPs an einer externen Schnittstelle.'''&lt;/p&gt;<br /> <br /> {{td | Neuer Artikel | <br /> * Best Practice | w=80px}}<br /> <br /> <br /> &lt;p&gt;In diesem Artikel wird das Anlegen und Konfigurieren eines Netzwerkobjektes beschrieben, um bei Vorhandensein mehrerer öffentlicher IPs eine Portumleitung oder Portweiterleitung für eine IP zu konfigurieren.&lt;p&gt;<br /> &lt;p&gt;{{Hinweis|!}}Eine Portumleitung oder Portweiterleitung wird nur auf die kleinste IP auf einem Netzwerkobjekt angewendet.&lt;br&gt;<br /> Um also gezielt auf eine dedizierte IP angewendet zu werden, ist es nötig, zusätzliche Netzwerkobjekte einzurichten:<br /> * Szenario:<br /> ** Zugeteiltes Netz: 198.51.100.48/29<br /> ** IP 1: 198.51.100.49/29<br /> ** IP 2: 198.51.100.50/29<br /> <br /> === Anlegen eines Neuen Netzwerkobjektes ===<br /> <br /> {{pt2 | UTM_v11.8.5_Netzwerk_Netzwerkkonfiguration_IP-Adressen.png }}<br /> Die IP-Adressen auf der Schnittstelle müssen unter {{Menu|Netzwerk | Netzwerkkonfiguration}} → {{Reiter|Netzwerkschnittstellen}} → {{Button| Schnittstelle bearbeiten| w}} → {{Reiter | IP-Adressen}} eingetragen sein<br /> &lt;br clear=all&gt;<br /> Anlegen eines neuen Netzwerkobjektes mit {{Menu | Firewall | Portfilter}} → {{Reiter | Netzwerkobjekte}} → {{Button| + Objekt hinzufügen}} <br /> &lt;br clear=all&gt;<br /> <br /> {| class=&quot;sptable&quot; style=&quot;width:auto;&quot;<br /> ! Beschriftung !! Wert !! Beschreibung !! Abbildung<br /> |- <br /> | {{b|Name}} || {{ic | external-interface-IP2 |w=x}} || Beliebiger, eindeutiger Name || rowspan=&quot;5&quot; |[[Datei:UTM_v11.8.5_Rule_Interface1.png|mini|250px]]<br /> |-<br /> | {{b|Typ}} || style=&quot;min-width: 300px;&quot; |{{Button | Statische Schnittstelle&amp;emsp; |dr}} ||<br /> |-<br /> | {{b|IP-Adresse}} || {{Button| 198.51.100.50/29&amp;emsp;|dr}} || Auswahl der zu konfigurierende IP (wird im folgenden Schritt angepasst)<br /> |-<br /> | {{b|Zone}} || {{Button | firewall-external &amp;emsp;|dr}} || <br /> |-<br /> | {{b|Gruppe}} || {{ Button |&amp;emsp;&amp;emsp;&amp;emsp;&amp;emsp; |dr}} || ggf. eine Gruppe, der diese Schnittstelle zugeordnet werden soll<br /> |-<br /> | class=&quot;Leerzeile&quot; | &lt;br/&gt;{{Button | Speichern}} und erneut aufrufen mit {{Button | |w}}<br /> |-<br /> |{{b|Adresse}} || {{ic | 198.51.100.51/'''32'''|w=x}} || {{Hinweis|!|gelb}}Ändern der Subnetzmaske ''/29'' in '''/32''', damit nur diese IP angesprochen wird! || [[Datei:UTM_v11.8.5_Rule_Interface2.png|mini|250px]]<br /> |-<br /> | class=&quot;Leerzeile&quot; | &lt;br/&gt;{{Button | Speichern}}&lt;br/&gt;{{ic|external-interface|w=x}} {{Button | |w}}<br /> |-<br /> | {{b|Adresse}} || {{ic | 198.51.100.49/32|w=x}} || Eingabe der 1. IP-Adresse auf der bestehenden Schnittstelle (Wechsel zum Suffix mit Tabulator-Taste)&lt;br/&gt;Bestehende Adresse {{ic | 0.0.0.0/0|w=x}} trifft auf alle IP-Adressen zu! || [[Datei:UTM v11.8.5 Rule Interface4.png|250px|mini]]<br /> |}<br /> &lt;br/&gt;{{Button | Speichern}}<br /> {{Hinweis|! Für jede weitere IP-Adresse muss ein weiteres eigenes Netzwerkobjekt erstellt werden! }}<br /> <br /> {{pt2 | UTM_v11.8.5_Rule_Portweiterleitung_2IPs.png | Regel für Portweiterleitung}}<br /> Unter {{Menu|Firewall|Portfilter}} → {{Reiter|Portfilter}} → {{Button|+ Regel hinzufügen}} muss eine Regel konfiguriert werden:<br /> {| class=&quot;wikitable&quot; style=&quot;width:auto;&quot;<br /> ! Beschriftung !! Wert !! Beschreibung <br /> |- <br /> | {{Kasten|Quelle}} || Internet ||<br /> |-<br /> | {{Kasten|Ziel}} || {{Kasten| internal-network| blau | c=grau }} ||Gewünschtes Ziel<br /> |-<br /> | {{Kasten|Dienst}} || {{Kasten | https | blau | c=grau }} || Gewünschter Dienst/Port. Hier: Port 8080 (https)<br /> |-<br /> | class=&quot;Leerzeile&quot; | {{Kasten|NAT}} <br /> |-<br /> | {{Kasten|Typ}} || {{Button|DESTNAT|dr}} || <br /> |-<br /> | {{Kasten|Netzwerkobjekt}} || style=&quot;min-width: 160px;&quot; |{{Button | external-interface-IP2&amp;ensp;|dr}} || Schnittstelle, die mit der gewünschten IP konfiguriert wurde<br /> |-<br /> | {{Kasten | Dienst}} || {{Button|https|dr}} || gewünschter Dienst / Port<br /> |}<br /> &lt;br/&gt;{{Button | Schließen }} → {{Button | Regeln aktualisieren | play}}</div> Chris https://wiki.securepoint.de/index.php?title=UTM/RULE/Multi-IP&diff=60711 UTM/RULE/Multi-IP 2019-08-19T12:15:16Z <p>Chris: </p> <hr /> <div>{{Set_lang}}<br /> <br /> <br /> &lt;/div&gt;&lt;templatestyles src=&quot;Vorlage:Gallery.css&quot; /&gt;{{DISPLAYTITLE:Multi-IP}}<br /> &lt;p&gt;'''NAT mit mehreren öffentlichen IPs an einer externen Schnittstelle.'''&lt;/p&gt;<br /> <br /> {{td | Neuer Artikel | <br /> * Best Practice | w=80px}}<br /> <br /> <br /> &lt;p&gt;In diesem Artikel wir das Anlegen und Konfigurieren eines Netzwerkobjektes beschrieben, um bei Vorhandensein mehrerer öffentlicher IPs eine Portumleitung oder Portweiterleitung für eine IP zu konfigurieren.&lt;p&gt;<br /> &lt;p&gt;{{Hinweis|!}}Eine Portumleitung oder Portweiterleitung wird nur auf die kleinste IP auf einem Netzwerkobjekt angewendet.&lt;br&gt;<br /> Um also gezielt auf eine dedizierte IP angewendet zu werden, ist es nötig, zusätzliche Netzwerkobjekte einzurichten:<br /> * Szenario:<br /> ** Zugeteiltes Netz: 198.51.100.48/29<br /> ** IP 1: 198.51.100.49/29<br /> ** IP 2: 198.51.100.50/29<br /> <br /> === Anlegen eines Neuen Netzwerkobjektes ===<br /> <br /> {{pt2 | UTM_v11.8.5_Netzwerk_Netzwerkkonfiguration_IP-Adressen.png }}<br /> Die IP-Adressen auf der Schnittstelle müssen unter {{Menu|Netzwerk | Netzwerkkonfiguration}} → {{Reiter|Netzwerkschnittstellen}} → {{Button| Schnittstelle bearbeiten| w}} → {{Reiter | IP-Adressen}} eingetragen sein<br /> &lt;br clear=all&gt;<br /> Anlegen eines neuen Netzwerkobjektes mit {{Menu | Firewall | Portfilter}} → {{Reiter | Netzwerkobjekte}} → {{Button| + Objekt hinzufügen}} <br /> &lt;br clear=all&gt;<br /> <br /> {| class=&quot;sptable&quot; style=&quot;width:auto;&quot;<br /> ! Beschriftung !! Wert !! Beschreibung !! Abbildung<br /> |- <br /> | {{b|Name}} || {{ic | external-interface-IP2 |w=x}} || Beliebiger, eindeutiger Name || rowspan=&quot;5&quot; |[[Datei:UTM_v11.8.5_Rule_Interface1.png|mini|250px]]<br /> |-<br /> | {{b|Typ}} || style=&quot;min-width: 300px;&quot; |{{Button | Statische Schnittstelle&amp;emsp; |dr}} ||<br /> |-<br /> | {{b|IP-Adresse}} || {{Button| 198.51.100.50/29&amp;emsp;|dr}} || Auswahl der zu konfigurierende IP (wird im folgenden Schritt angepasst)<br /> |-<br /> | {{b|Zone}} || {{Button | firewall-external &amp;emsp;|dr}} || <br /> |-<br /> | {{b|Gruppe}} || {{ Button |&amp;emsp;&amp;emsp;&amp;emsp;&amp;emsp; |dr}} || ggf. eine Gruppe, der diese Schnittstelle zugeordnet werden soll<br /> |-<br /> | class=&quot;Leerzeile&quot; | &lt;br/&gt;{{Button | Speichern}} und erneut aufrufen mit {{Button | |w}}<br /> |-<br /> |{{b|Adresse}} || {{ic | 198.51.100.51/'''32'''|w=x}} || {{Hinweis|!|gelb}}Ändern der Subnetzmaske ''/29'' in '''/32''', damit nur diese IP angesprochen wird! || [[Datei:UTM_v11.8.5_Rule_Interface2.png|mini|250px]]<br /> |-<br /> | class=&quot;Leerzeile&quot; | &lt;br/&gt;{{Button | Speichern}}&lt;br/&gt;{{ic|external-interface|w=x}} {{Button | |w}}<br /> |-<br /> | {{b|Adresse}} || {{ic | 198.51.100.49/32|w=x}} || Eingabe der 1. IP-Adresse auf der bestehenden Schnittstelle (Wechsel zum Suffix mit Tabulator-Taste)&lt;br/&gt;Bestehende Adresse {{ic | 0.0.0.0/0|w=x}} trifft auf alle IP-Adressen zu! || [[Datei:UTM v11.8.5 Rule Interface4.png|250px|mini]]<br /> |}<br /> &lt;br/&gt;{{Button | Speichern}}<br /> {{Hinweis|! Für jede weitere IP-Adresse muss ein weiteres eigenes Netzwerkobjekt erstellt werden! }}<br /> <br /> {{pt2 | UTM_v11.8.5_Rule_Portweiterleitung_2IPs.png | Regel für Portweiterleitung}}<br /> Unter {{Menu|Firewall|Portfilter}} → {{Reiter|Portfilter}} → {{Button|+ Regel hinzufügen}} muss eine Regel konfiguriert werden:<br /> {| class=&quot;wikitable&quot; style=&quot;width:auto;&quot;<br /> ! Beschriftung !! Wert !! Beschreibung <br /> |- <br /> | {{Kasten|Quelle}} || Internet ||<br /> |-<br /> | {{Kasten|Ziel}} || {{Kasten| internal-network| blau | c=grau }} ||Gewünschtes Ziel<br /> |-<br /> | {{Kasten|Dienst}} || {{Kasten | https | blau | c=grau }} || Gewünschter Dienst/Port. Hier: Port 8080 (https)<br /> |-<br /> | class=&quot;Leerzeile&quot; | {{Kasten|NAT}} <br /> |-<br /> | {{Kasten|Typ}} || {{Button|DESTNAT|dr}} || <br /> |-<br /> | {{Kasten|Netzwerkobjekt}} || style=&quot;min-width: 160px;&quot; |{{Button | external-interface-IP2&amp;ensp;|dr}} || Schnittstelle, die mit der gewünschten IP konfiguriert wurde<br /> |-<br /> | {{Kasten | Dienst}} || {{Button|https|dr}} || gewünschter Dienst / Port<br /> |}<br /> &lt;br/&gt;{{Button | Schließen }} → {{Button | Regeln aktualisieren | play}}</div> Chris https://wiki.securepoint.de/index.php?title=Node_cli_v11&diff=57652 Node cli v11 2019-07-08T07:30:26Z <p>Chris: /* Node */</p> <hr /> <div>==Node==<br /> <br /> {| {{prettytable}}<br /> ! Befehl !! Beschreibung !! Beispiel<br /> |-<br /> |node get|| Auflisten der Netzwerkobjekte|| node get<br /> |-<br /> |node new|| Erstellt ein neues Netzwerkobjekt|| node new name &quot;Netzwerkobjekt&quot; address &quot;172.16.3.100/24&quot; zone &quot;internal&quot;<br /> |-<br /> |node set|| Ändern eines Netzwerkobjekts|| node set id &quot;Node-ID&quot; address &quot;172.16.3.150&quot;<br /> |-<br /> |node delete|| Löschen eines Netzwerkobjektes|| node delete node delete id &quot;Note-ID&quot;<br /> |-<br /> | || ||<br /> |-<br /> |node group get|| Listet die Netzwerkgruppen mit den Netzwerkobjekten auf|| node group get<br /> |-<br /> |node group new|| Erstellt eine neue Netzwerkgruppe|| node group new name &quot;Server-grp&quot; nodes [ Netzwerkobjekt1 Netzwerkobjekt2 ]<br /> |-<br /> |node group set|| Ändert eine Netzwerkgruppe|| node group set id &quot;Gruppen-ID&quot; nodes [ Netzwerkobjekt1 Netzwerkobjket2 ]<br /> |-<br /> |node group add|| Fügt Netzwerkobjekte zu einer Netzwerkgruppe hinzu|| node group add id &quot;Gruppen-ID&quot; nodes &quot;Netzwerkobjekt&quot;<br /> |-<br /> |node group rem|| Entfernt Netzwerkobjekte aus einer Netzwerkgruppe|| node group rem id &quot;Gruppen-ID&quot; nodes &quot;Netzwerkobjekt&quot;<br /> |-<br /> |node group delete|| Löscht eine Netzwerkgruppe|| node group delete id &quot;Gruppen-ID&quot;<br /> |}</div> Chris https://wiki.securepoint.de/index.php?title=UTM/UEFI_BIOS-Update&diff=48703 UTM/UEFI BIOS-Update 2019-05-22T14:49:42Z <p>Chris: /* Das Update */</p> <hr /> <div>{{DISPLAYTITLE:UEFI BIOS Update der G3 Hardware}}<br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.2.2''' <br /> &lt;br&gt;<br /> Bemerkung: Neuer Artikel<br /> &lt;br&gt;<br /> &lt;!---Vorherige Versionen:---&gt;<br /> &lt;br&gt;<br /> == Einleitung ==<br /> Dieser Artikel beschreibt das Aktualisieren des UEFI BIOS für die Securepoint G3-Hardware. Das Image kann aus dem [https://my.securepoint.de/downloads/cat/1/ Resellerportal] heruntergeladen werden.<br /> ===Unterstütze Geräte===<br /> <br /> * Black Dwarf G3 (FWS-2251)<br /> * RC100 G3 (FWS-2251)<br /> * RC200 G3 (FWS-2251)<br /> * RC300 G3 (FWS-7820)<br /> * RC400 G3 (FWS-7820)<br /> * RC1000 G3 (FWS-7820)<br /> <br /> === Vorbereitung ===<br /> * Ein Monitor muss an der UTM angeschlossen sein<br /> * Eine Tastatur muss an der UTM angeschlossen sein<br /> * Es wird ein USB Stick mit dem UEFI BIOS Update Image benötigt. Hierfür kann das [http://download.securepoint.de/?d=imagingtool Securepoint Imaging Tool] verwendet werden.<br /> * Die UTM muss ausgeschaltet sein<br /> &lt;br&gt;<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Für Geräte mit nur einem USB-Port wird ein USB-Hub benötigt.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Weitere Informationen zu dem Update befinden sich auch auf dem Image.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> == Das Update ==<br /> <br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-red.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white&quot;&gt;Während des Firmware-Updates keine USB-Geräte entfernen..&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-red.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white&quot;&gt;Das Gerät während der Aktualisierung nicht manuell Neustarten, Ausschalten oder Stromlos machen&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> &lt;br&gt;<br /> * Der vorbereite USB-Stick muss an der UTM angeschlossen werden.<br /> * Die UTM muss eingeschaltet werden.<br /> * Mit der Taste &quot;ENTF&quot; (Standarttaste, ansonsten Bildschirmanzeige beachten) das UEFI BIOS starten.<br /> * Die Bootreihenfolge anpassen, sodass der USB-Stick an Position #1 und die interne Festplatte an Position #2 steht. Die anderen Positionen sollten deaktiviert sein.<br /> **Reiter &quot;Boot&quot;<br /> ** Menü &quot;Boot Option Priorities&quot;<br /> ** Menü &quot;Hard Drive BBS Priorities&quot;<br /> ** Mit &quot;ESC&quot;-Taste das Menü verlassen<br /> ** Im &quot;Boot&quot; Menü alle nicht benötigten Boot-Devices deaktivieren.<br /> * Das BIOS über &quot;Save &amp; Exit&quot; mit der Option &quot;Save Changes and Reset&quot; verlassen.<br /> * Die UTM bootet nun vom USB-Stick.<br /> * Nach dem erfolgreichen Bootvorgang mit dem Befehl &quot;cd&quot; in das für das Gerät benötigte Verzeichnis wechseln.<br /> &lt;br&gt;<br /> * FWS-2251<br /> ** Black Dwarf G3<br /> ** RC 100 G3<br /> ** RC 200 G3<br /> * FWS-7820<br /> ** RC 300 G3<br /> ** RC 400 G3<br /> ** RC 1000 G3<br /> &lt;br&gt;<br /> * Im entsprechenden Ordner die &quot;GO.BAT&quot; Datei ausführen. Das Firmware-Update wird nun automatisch durchgeführt und neu gestartet.<br /> * Mit der Taste &quot;ENTF&quot; (Standarttaste, ansonsten Bildschirmanzeige beachten) das UEFI BIOS starten.<br /> * Der USB-Stick kann nun entfernt werden.<br /> * Die Bootreihenfolge anpassen, sodass die interne Festplatte an Position #1 steht.<br /> **Reiter &quot;Boot&quot;<br /> ** Menü &quot;Boot Option Priorities&quot;<br /> ** Menü &quot;Hard Drive BBS Priorities&quot;<br /> ** Mit &quot;ESC&quot;-Taste das Menü verlassen<br /> * Das BIOS über &quot;Save &amp; Exit&quot; mit der Option &quot;Save Changes and Reset&quot; verlassen.<br /> &lt;br&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> [[Datei:UEFI-BIOS-SPLASH.jpg |400px|thumb|right| UTM Splash Screen nach UEFI BIOS Update]]<br /> &lt;br&gt;<br /> * Die UTM bootet nun und der neue Splash-Screen sollte angezeigt werden.<br /> &lt;br&gt;</div> Chris https://wiki.securepoint.de/index.php?title=FAQ/UTM1000001&diff=19698 FAQ/UTM1000001 2018-11-19T13:01:26Z <p>Chris: </p> <hr /> <div>Passend zu unserem HOWTO zur Filterung von Office Dokumenten finden Sie hier vorbereitete CLI Kommando Sets die entsprechende Filterregeln im Mailfilter der Securepoint UTM erzeugen.<br /> <br /> Bitte beachten Sie, dass die Syntax auf der Securepoint UTM 11.6.x basierend ist.<br /> <br /> Die mit # anfangenden Zeilen sind keine CLI Kommandos und können vorher entfernt werden. Sie können diese auch mit auf die Konsole kopieren, müssen dann die Fehler der Ausgabe entsprechend ignorieren.<br /> <br /> So verwenden Sie die CLI Kommando Sets:<br /> Melden Sie sich als Benutzer admin über ssh mit einem entsprechenden SSH Client (wie z.B. Putty) an der Securepoint UTM Firewall an. Kopieren Sie das für Sie passende Script (SMTP, POP3 oder MAILCONNECTOR) und fügen Sie dies auf der Oberfläche der UTM ein.<br /> <br /> Wenn Sie Ausnahmen für Domains einrichten wollen (wir empfehlen dies nicht zu tun), dann müssen Sie die # vor den entsprechenden Zeilen entfernen und die Liste der in eckigen Klammern stehenden Domainnamen (z.B. vertrautedomain1.tld) durch die gewünschten Ausnahmedomains ersetzen.<br /> <br /> Die hier aufgeführten CLI Kommando Sets dienen als Beispiel und haben keinen Anspruch auf Vollständigkeit bezogen auf Mime Typen, Dateierweiterungen usw. Außerdem umfassen diese keine Kundenindividuellen Besonderheiten. Die CLI Kommando Sets dürfen nur von geschultem Personal angewendet werden.<br /> <br /> <br /> '''CLI Kommando Set für SMTP<br /> '''<br /> <br /> Bitte wählen Sie dieses Script, wenn Sie E-Mails über den SMTP zustellen.<br /> <br /> &lt;pre&gt;<br /> # SMTP<br /> # REJECT Virus (spfilterset_smtp_reject_virus)<br /> mail filterng selector new name spfilterset_smtp_reject_virus binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_virus type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_virus type VIRUS operator TRUE<br /> mail filterng new selector spfilterset_smtp_reject_virus action REJECT pos 1<br /> <br /> # Reject Word by MIME (spfilterset_smtp_reject_word_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_smtp_reject_word_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_word_by_mime type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_word_by_mime type CONTENT type_arg MIME operator IS value [ application/msword application/vnd.openxmlformats-officedocument wordprocessingml.document application/vnd.openxmlformats-officedocument.wordprocessingml.template application/vnd.ms-word.document.macroEnabled.12 application/vnd.ms-word.template.macroEnabled.12 ]<br /> #mail filterng selector item new selector spfilterset_smtp_reject_word_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_smtp_reject_word_by_mime action REJECT pos 2<br /> <br /> # Reject Excel by MIME (spfilterset_smtp_reject_excel_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_smtp_reject_excel_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_excel_by_mime type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_excel_by_mime type CONTENT type_arg MIME operator IS value [ application/vnd.ms-excel application/vnd.openxmlformats-officedocument.spreadsheetml.sheet application/vnd.openxmlformats-officedocument.spreadsheetml.template application/vnd.ms-excel.sheet.macroEnabled.12 application/vnd.ms-excel.template.macroEnabled.12 application/vnd.ms-excel.addin.macroEnabled.12 application/vnd.ms-excel.sheet.binary.macroEnabled.12 ]<br /> #mail filterng selector item new selector spfilterset_smtp_reject_excel_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_smtp_reject_excel_by_mime action REJECT pos 3<br /> <br /> # Reject compressed files by MIME (spfilterset_smtp_reject_zip_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_smtp_reject_zip_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_zip_by_mime type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_zip_by_mime type CONTENT type_arg MIME operator IS value [ application/x-zip-compressed application/zip ]<br /> #mail filterng selector item new selector spfilterset_smtp_reject_zip_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_smtp_reject_zip_by_mime action REJECT pos 4<br /> <br /> # Reject Office files by extention (spfilterset_smtp_reject_office_by_ext)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_smtp_reject_office_by_ext binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_office_by_ext type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_office_by_ext type CONTENT type_arg FILENAME operator IN value [ doc dot docx docm dotx dotm docb xls xlsx xlt xlm xlsb xla xlam xll xlw ppt pot pps pptx pptm potx potm ppam ppsx ppsm sldx sldm pub ]<br /> #mail filterng selector item new selector spfilterset_smtp_reject_office_by_ext type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_smtp_reject_office_by_ext action REJECT pos 5<br /> <br /> # Reject compressed files by extention (spfilterset_smtp_reject_zip_by_ext)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_smtp_reject_zip_by_ext binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_zip_by_ext type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_zip_by_ext type CONTENT type_arg FILENAME operator IS value [ zip 7z ace arj cab zz zipx ]<br /> #mail filterng selector item new selector spfilterset_smtp_reject_zip_by_ext type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_smtp_reject_zip_by_ext action REJECT pos 6<br /> <br /> # REJECT SPAM (spfilterset_smtp_reject_spam)<br /> mail filterng selector new name spfilterset_smtp_reject_spam binop AND<br /> mail filterng selector item new selector spfilterset_smtp_reject_spam type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_reject_spam type SPAM operator IS value [ VERIFIED ]<br /> mail filterng new selector spfilterset_smtp_reject_spam action REJECT pos 7<br /> <br /> # Quarantine probably SPAM (spfilterset_smtp_quarantine_possibly_spam)<br /> mail filterng selector new name spfilterset_smtp_quarantine_possibly_spam binop AND<br /> mail filterng selector item new selector spfilterset_smtp_quarantine_possibly_spam type PROTO operator IS value [ SMTP ]<br /> mail filterng selector item new selector spfilterset_smtp_quarantine_possibly_spam type SPAM operator IS value [ SUSPECTED ]<br /> mail filterng new selector spfilterset_smtp_quarantine_possibly_spam action QUARANTINE pos 8<br /> <br /> # Activate filterng and save configuration<br /> mail filterng update<br /> system config save<br /> &lt;/pre&gt;<br /> <br /> <br /> '''CLI Kommando Set für POP3 Proxy<br /> '''<br /> <br /> Bitte wählen Sie dieses Script, wenn Sie E-Mails über den POP3 Proxy filtern.<br /> <br /> &lt;pre&gt;<br /> # POP3Proxy<br /> # Filter Virus (spfilterset_pop3_filter_virus)<br /> mail filterng selector new name spfilterset_pop3_filter_virus binop AND<br /> mail filterng selector item new selector spfilterset_pop3_filter_virus type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_filter_virus type VIRUS operator TRUE<br /> mail filterng new selector spfilterset_pop3_filter_virus action FILTER pos 1<br /> <br /> # Filter Word by MIME (spfilterset_pop3_filter_word_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_pop3_filter_word_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_pop3_filter_word_by_mime type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_filter_word_by_mime type CONTENT type_arg MIME operator IS value [ application/msword application/vnd.openxmlformats-officedocument wordprocessingml.document application/vnd.openxmlformats-officedocument.wordprocessingml.template application/vnd.ms-word.document.macroEnabled.12 application/vnd.ms-word.template.macroEnabled.12 ]<br /> #mail filterng selector item new selector spfilterset_pop3_filter_word_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_pop3_filter_word_by_mime action FILTER pos 2<br /> <br /> # Filter Excel by MIME (spfilterset_pop3_filter_excel_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_pop3_filter_excel_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_pop3_filter_excel_by_mime type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_filter_excel_by_mime type CONTENT type_arg MIME operator IS value [ application/vnd.ms-excel application/vnd.openxmlformats-officedocument.spreadsheetml.sheet application/vnd.openxmlformats-officedocument.spreadsheetml.template application/vnd.ms-excel.sheet.macroEnabled.12 application/vnd.ms-excel.template.macroEnabled.12 application/vnd.ms-excel.addin.macroEnabled.12 application/vnd.ms-excel.sheet.binary.macroEnabled.12 ]<br /> #mail filterng selector item new selector spfilterset_pop3_filter_excel_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_pop3_filter_excel_by_mime action FILTER pos 3<br /> <br /> # Filter compressed files by MIME (spfilterset_pop3_filter_zip_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_pop3_filter_zip_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_pop3_filter_zip_by_mime type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_filter_zip_by_mime type CONTENT type_arg MIME operator IS value [ application/x-zip-compressed application/zip ]<br /> #mail filterng selector item new selector spfilterset_pop3_filter_zip_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_pop3_filter_zip_by_mime action FILTER pos 4<br /> <br /> # Filter Office files by extention (spfilterset_pop3_filter_office_by_ext)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_pop3_filter_office_by_ext binop AND<br /> mail filterng selector item new selector spfilterset_pop3_filter_office_by_ext type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_filter_office_by_ext type CONTENT type_arg FILENAME operator IN value [ doc dot docx docm dotx dotm docb xls xlsx xlt xlm xlsb xla xlam xll xlw ppt pot pps pptx pptm potx potm ppam ppsx ppsm sldx sldm pub ]<br /> #mail filterng selector item new selector spfilterset_pop3_filter_office_by_ext type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_pop3_filter_office_by_ext action FILTER pos 5<br /> <br /> # Filter compressed files by extention (spfilterset_pop3_filter_zip_by_ext)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_pop3_filter_zip_by_ext binop AND<br /> mail filterng selector item new selector spfilterset_pop3_filter_zip_by_ext type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_filter_zip_by_ext type CONTENT type_arg FILENAME operator IS value [ zip 7z ace arj cab zz zipx ]<br /> #mail filterng selector item new selector spfilterset_pop3_filter_zip_by_ext type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_pop3_filter_zip_by_ext action FILTER pos 6<br /> <br /> # Quarantine SPAM (spfilterset_pop3_quarantine_spam)<br /> mail filterng selector new name spfilterset_pop3_quarantine_spam binop AND<br /> mail filterng selector item new selector spfilterset_pop3_quarantine_spam type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_quarantine_spam type SPAM operator IS value [ VERIFIED ]<br /> mail filterng new selector spfilterset_pop3_quarantine_spam action QUARANTINE pos 7<br /> <br /> # Quarantine probably SPAM (spfilterset_pop3_quarantine_possibly_spam)<br /> mail filterng selector new name spfilterset_pop3_quarantine_possibly_spam binop AND<br /> mail filterng selector item new selector spfilterset_pop3_quarantine_possibly_spam type PROTO operator IS value [ POP3 ]<br /> mail filterng selector item new selector spfilterset_pop3_quarantine_possibly_spam type SPAM operator IS value [ SUSPECTED ]<br /> mail filterng new selector spfilterset_pop3_quarantine_possibly_spam action QUARANTINE pos 8<br /> <br /> # Activate filterng and save configuration<br /> mail filterng update<br /> system config save<br /> &lt;/pre&gt;<br /> <br /> <br /> '''CLI Kommando Set für Mail-Connector<br /> '''<br /> <br /> Bitte wählen Sie dieses Script, wenn Sie E-Mails über den Mail-Connector zustellen.<br /> <br /> &lt;pre&gt;<br /> # MAIL-Connector<br /> # DROP Virus (spfilterset_mailconnector_drop_virus)<br /> mail filterng selector new name spfilterset_mailconnector_drop_virus binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_drop_virus type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_drop_virus type VIRUS operator TRUE<br /> mail filterng new selector spfilterset_mailconnector_drop_virus action DROP pos 1<br /> <br /> # Quarantine Word by MIME (spfilterset_mailconnector_quarantine_word_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_word_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_word_by_mime type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_word_by_mime type CONTENT type_arg MIME operator IS value [ application/msword application/vnd.openxmlformats-officedocument wordprocessingml.document application/vnd.openxmlformats-officedocument.wordprocessingml.template application/vnd.ms-word.document.macroEnabled.12 application/vnd.ms-word.template.macroEnabled.12 ]<br /> #mail filterng selector item new selector spfilterset_mailconnector_quarantine_word_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_mailconnector_quarantine_word_by_mime action QUARANTINE pos 2<br /> <br /> # Quarantine Excel by MIME (spfilterset_mailconnector_quarantine_excel_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_excel_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_excel_by_mime type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_excel_by_mime type CONTENT type_arg MIME operator IS value [ application/vnd.ms-excel application/vnd.openxmlformats-officedocument.spreadsheetml.sheet application/vnd.openxmlformats-officedocument.spreadsheetml.template application/vnd.ms-excel.sheet.macroEnabled.12 application/vnd.ms-excel.template.macroEnabled.12 application/vnd.ms-excel.addin.macroEnabled.12 application/vnd.ms-excel.sheet.binary.macroEnabled.12 ]<br /> #mail filterng selector item new selector spfilterset_mailconnector_quarantine_excel_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_mailconnector_quarantine_excel_by_mime action QUARANTINE pos 3<br /> <br /> # Quarantine compressed files by MIME (spfilterset_mailconnector_quarantine_zip_by_mime)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_zip_by_mime binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_zip_by_mime type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_zip_by_mime type CONTENT type_arg MIME operator IS value [ application/x-zip-compressed application/zip ]<br /> #mail filterng selector item new selector spfilterset_mailconnector_quarantine_zip_by_mime type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_mailconnector_quarantine_zip_by_mime action QUARANTINE pos 4<br /> <br /> # Quarantine Office files by extention (spfilterset_mailconnector_quarantine_office_by_ext)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_office_by_ext binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_office_by_ext type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_office_by_ext type CONTENT type_arg FILENAME operator IN value [ doc dot docx docm dotx dotm docb xls xlsx xlt xlm xlsb xla xlam xll xlw ppt pot pps pptx pptm potx potm ppam ppsx ppsm sldx sldm pub ]<br /> #mail filterng selector item new selector spfilterset_mailconnector_quarantine_office_by_ext type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_mailconnector_quarantine_office_by_ext action QUARANTINE pos 5<br /> <br /> # Quarantine compressed files by extention (spfilterset_mailconnector_quarantine_zip_by_ext)<br /> # Please adjust trusted domain - this is not recommended<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_zip_by_ext binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_zip_by_ext type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_zip_by_ext type CONTENT type_arg FILENAME operator IS value [ zip 7z ace arj cab zz zipx ]<br /> #mail filterng selector item new selector spfilterset_mailconnector_quarantine_zip_by_ext type FROM operator NOTIN value [ vertrautedomain1.tld vertrautedomain2.tld ] <br /> mail filterng new selector spfilterset_mailconnector_quarantine_zip_by_ext action QUARANTINE pos 6<br /> <br /> # Quarantin SPAM (spfilterset_mailconnector_quarantine_spam)<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_spam binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_spam type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_spam type SPAM operator IS value [ VERIFIED ]<br /> mail filterng new selector spfilterset_mailconnector_quarantine_spam action QUARANTINE pos 7<br /> <br /> # Quarantine probably SPAM (spfilterset_mailconnector_quarantine_possibly_spam)<br /> mail filterng selector new name spfilterset_mailconnector_quarantine_possibly_spam binop AND<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_possibly_spam type PROTO operator IS value [ FETCHMAIL ]<br /> mail filterng selector item new selector spfilterset_mailconnector_quarantine_possibly_spam type SPAM operator IS value [ SUSPECTED ]<br /> mail filterng new selector spfilterset_mailconnector_quarantine_possibly_spam action QUARANTINE pos 8<br /> <br /> # Activate filterng and save configuration<br /> mail filterng update<br /> system config save<br /> &lt;/pre&gt;</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Virenscanner&diff=19669 UTM/APP/HTTP Proxy-Virenscanner 2018-11-07T16:24:07Z <p>Chris: /* Securepoint Antivirus Pro */</p> <hr /> <div>{{DISPLAYTITLE:HTTP-Proxy Virenscanner}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.3.1''' <br /> &lt;br&gt;<br /> Bemerkung: Anpassung Trendmicro<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> <br /> ==Virenscannerausnahmen für lokale Virenscanner==<br /> <br /> Warum müssen die Update Server der jeweiligen Antiviren-Software im Firewall eigenen Virenscaner zur whitelist hinzugefügt werden?<br /> <br /> Bei dem Download von Viren-Signatur Updates kann es zu Fehlerkennungen kommen. Daher ist es ratsam, die Update-Server Ihres AV-Herstellers auf die Ausnahmeliste zu setzen.<br /> <br /> ==Virenscanner Ausnahmen==<br /> <br /> Diese Ausnahmen tragen Sie unter &quot;Anwendungen=&gt;Http Proxy=&gt;Virenscanner&quot; ein. Der Virenscanner arbeitet bei den Ausnahmen mit <br /> [http://de.wikipedia.org/wiki/Regul%C3%A4rer_Ausdruck Regular Expressions]. <br /> <br /> ====Securepoint Antivirus Pro====<br /> * ^[^:]*://[^\.]*\.ikarus\.at/<br /> * ^[^:]*://[^\.]*\.mailsecurity\.at/<br /> &lt;br /&gt;<br /> Für die jeweiligen HTTP Proxy Konfigurationen verwenden Sie bitte folgende [[AV/KB/HTTP_Proxy|Anleitung]].<br /> <br /> ====Eset====<br /> <br /> *^[^:]*://[^\.]*\.eset\.com/<br /> &lt;br /&gt;<br /> Zusätzlich müssen Sie beim ESET - Scanner die Update Server vom Proxy ausnehmen. Da der Scanner erst an einem Server die Datenbankunterschiede und die Lizenz abgleicht. Anschließend wird ein Update Server mitgeteilt der direkt über IP - Adresse (nicht über den Hostnamen) angesprochen wird.<br /> &lt;br /&gt;<br /> <br /> Legen Sie dazu Netzwerkobjekte in der Zone &quot;external&quot; mit folgenden IP - Adressen an:(am besten Erstellen Sie eine Gruppe wo Sie alle Netzwerkobjekte reinverschieben.)<br /> <br /> Beachten Sie bitte, dass sich die IP -Adressen ändern können! In dem fall müssen Sie den Hostnamen ''update.eset.com'' einmal auflösen und die Adressen vergleichen und gegebenfalls anpassen.<br /> <br /> *93.184.71.0/26<br /> *62.67.184.64/27<br /> *89.202.149.32/27<br /> *91.228.164.0/22<br /> *84.233.128.0/17<br /> *38.90.226.0/24<br /> &lt;br /&gt;<br /> Anschließend gehen Sie auf &quot;Anwendungen=&gt;Http Proxy=&gt;Transparenter Modus&quot; und fügen eine Regel hinzu:<br /> *Quelle: Internal Network<br /> *Ziel: Ein Netzwerkobjekt oder eine Netzwerkgruppe welche die IP - Adressen der Update Server abbildet<br /> *Type: EXCLUDE<br /> <br /> ====G-Data====<br /> <br /> *^[^:]*://[^\.]*\.gdatasecurity\.com/<br /> *^[^:]*://[^\.]*\.gdata\.de/<br /> *^[^:]*://[^\.]*\.gdatasecurity\.de/<br /> *^[^:]*://[^\]*\.lumension\.com/<br /> *^[^:]*://[^\.]*\.dedicated\.hosteurope\.de/<br /> <br /> ===== Die folgenden Informationen stammen von GData und werden ohne Gewähr zur Verfügung gestellt: =====<br /> <br /> &lt;blockquote&gt;Sehr geehrte Damen und Herren,&lt;br /&gt;<br /> &lt;br /&gt;<br /> bei GDATA Administrator 13 Endpointprotection muss man ein paar Dateien austauschen, damit die Updates wieder durch die UTM gehen.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Bitte laden Sie nachfolgende Dateien herunter.&lt;br /&gt;<br /> &lt;br /&gt;<br /> [http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/GDIUpdt.zip http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/GDIUpdt.zip]<br /> &lt;br /&gt;<br /> [http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/MMS_Neu.zip http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/MMS_Neu.zip]<br /> &lt;br /&gt;&lt;br /&gt;<br /> Bitte entpacken Sie beide Dateien.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Die Datei ''GDIUpdt.dll'' kopieren Sie in das Verzeichnis &quot;''C:\Programme (x86)\Common Files\G DATA\IUpdate''&quot; (bei älteren Betriebssystemen unter &quot;''C:\Programme\Gemeinsame Dateien\G DATA\IUpdate''&quot;) und ersetzen damit die bereits vorhandene Datei.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Wenn Sie die Datei &quot;''MMS_Neu''&quot; entpackt haben, dann haben Sie den Ordner &quot;''MMS_Neu''&quot; vorliegen. Den Inhalt dieses Ordners kopieren Sie in das Verzeichnis &quot;''C:\Programme (x86)\G DATA\G DATA AntiVirus ManagementServer''&quot; (bei älteren Betriebssystemen unter &quot;''C:\Programme\G DATA\G DATA AntiVirus ManagementServer''&quot;) und ersetzen auch hier alle Dateien.<br /> &lt;br /&gt;&lt;br /&gt;<br /> Danach starten Sie den Dienst G Data ManagementServer neu.&lt;br /&gt;<br /> &lt;/blockquote&gt;<br /> <br /> ==== G-Data Outbreak Shield====<br /> <br /> *^[^:]*://[^.]*.gdata\.ctmail\.com/<br /> <br /> ====Trendmicro====<br /> <br /> *^[^:]*://[^\.]*\.activeupdate\.trendmicro\.com/ <br /> *^[^:]*://[^\.]*\.trendmicro-g\.georedirector\.akadns\.net/ <br /> *^[^:]*://[^\.]*\.trendmicro\.com/<br /> *^[^:]*://[^\/]*\.census\.trendmicro\.com/<br /> <br /> ====McAfee Saas====<br /> <br /> *^[^:]*://vs\.mcafeeasap\.com/<br /> *^[^:]*://download\.mcafee\.com/<br /> <br /> ====Symantec====<br /> <br /> *^[^:]*://[^\/]*\.symantecliveupdate\.com/<br /> <br /> ====Avira====<br /> <br /> *^[^:]*://.*\.avira-update\.(com|net)/<br /> oder<br /> *^[^:]*://.*\.avira\.(com|net)/<br /> <br /> ====F-Secure====<br /> <br /> *^[^:]*://.*\.sp\.f-secure\.com/<br /> *^[^:]*://[^\.]*\.f-secure\.com/<br /> *^[^:]*://[^\.]*\.orsp\.f-secure\.com/<br /> <br /> ====Bitdefender====<br /> <br /> *^[^:]*://upgr-mmxiii\.cdn\.bitdefender\.net<br /> <br /> ====Microsoft Office 365====<br /> <br /> *^[^:]*://officecdn\.microsoft\.com/<br /> *^[^:]*://officecdn\.microsoft\.com\.edgesuite\.net/<br /> <br /> ====Sophos====<br /> <br /> *^[^:]*://.*\.sophosupd\.(com|net)/<br /> *^[^:]*://http\.00\.s\.sophosxl\.net/</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Virenscanner&diff=19666 UTM/APP/HTTP Proxy-Virenscanner 2018-11-07T16:23:40Z <p>Chris: /* Virenscanner Ausnahmen */</p> <hr /> <div>{{DISPLAYTITLE:HTTP-Proxy Virenscanner}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.3.1''' <br /> &lt;br&gt;<br /> Bemerkung: Anpassung Trendmicro<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> <br /> ==Virenscannerausnahmen für lokale Virenscanner==<br /> <br /> Warum müssen die Update Server der jeweiligen Antiviren-Software im Firewall eigenen Virenscaner zur whitelist hinzugefügt werden?<br /> <br /> Bei dem Download von Viren-Signatur Updates kann es zu Fehlerkennungen kommen. Daher ist es ratsam, die Update-Server Ihres AV-Herstellers auf die Ausnahmeliste zu setzen.<br /> <br /> ==Virenscanner Ausnahmen==<br /> <br /> Diese Ausnahmen tragen Sie unter &quot;Anwendungen=&gt;Http Proxy=&gt;Virenscanner&quot; ein. Der Virenscanner arbeitet bei den Ausnahmen mit <br /> [http://de.wikipedia.org/wiki/Regul%C3%A4rer_Ausdruck Regular Expressions]. <br /> <br /> ====Securepoint Antivirus Pro====<br /> * ^[^:]*://[^\.]*\.ikarus\.at/<br /> * ^[^:]*://[^\.]*\.mailsecurity\.at/<br /> <br /> Für die jeweiligen HTTP Proxy Konfigurationen verwenden Sie bitte folgende [[AV/KB/HTTP_Proxy|Anleitung]].<br /> <br /> ====Eset====<br /> <br /> *^[^:]*://[^\.]*\.eset\.com/<br /> &lt;br /&gt;<br /> Zusätzlich müssen Sie beim ESET - Scanner die Update Server vom Proxy ausnehmen. Da der Scanner erst an einem Server die Datenbankunterschiede und die Lizenz abgleicht. Anschließend wird ein Update Server mitgeteilt der direkt über IP - Adresse (nicht über den Hostnamen) angesprochen wird.<br /> &lt;br /&gt;<br /> <br /> Legen Sie dazu Netzwerkobjekte in der Zone &quot;external&quot; mit folgenden IP - Adressen an:(am besten Erstellen Sie eine Gruppe wo Sie alle Netzwerkobjekte reinverschieben.)<br /> <br /> Beachten Sie bitte, dass sich die IP -Adressen ändern können! In dem fall müssen Sie den Hostnamen ''update.eset.com'' einmal auflösen und die Adressen vergleichen und gegebenfalls anpassen.<br /> <br /> *93.184.71.0/26<br /> *62.67.184.64/27<br /> *89.202.149.32/27<br /> *91.228.164.0/22<br /> *84.233.128.0/17<br /> *38.90.226.0/24<br /> &lt;br /&gt;<br /> Anschließend gehen Sie auf &quot;Anwendungen=&gt;Http Proxy=&gt;Transparenter Modus&quot; und fügen eine Regel hinzu:<br /> *Quelle: Internal Network<br /> *Ziel: Ein Netzwerkobjekt oder eine Netzwerkgruppe welche die IP - Adressen der Update Server abbildet<br /> *Type: EXCLUDE<br /> <br /> ====G-Data====<br /> <br /> *^[^:]*://[^\.]*\.gdatasecurity\.com/<br /> *^[^:]*://[^\.]*\.gdata\.de/<br /> *^[^:]*://[^\.]*\.gdatasecurity\.de/<br /> *^[^:]*://[^\]*\.lumension\.com/<br /> *^[^:]*://[^\.]*\.dedicated\.hosteurope\.de/<br /> <br /> ===== Die folgenden Informationen stammen von GData und werden ohne Gewähr zur Verfügung gestellt: =====<br /> <br /> &lt;blockquote&gt;Sehr geehrte Damen und Herren,&lt;br /&gt;<br /> &lt;br /&gt;<br /> bei GDATA Administrator 13 Endpointprotection muss man ein paar Dateien austauschen, damit die Updates wieder durch die UTM gehen.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Bitte laden Sie nachfolgende Dateien herunter.&lt;br /&gt;<br /> &lt;br /&gt;<br /> [http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/GDIUpdt.zip http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/GDIUpdt.zip]<br /> &lt;br /&gt;<br /> [http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/MMS_Neu.zip http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/MMS_Neu.zip]<br /> &lt;br /&gt;&lt;br /&gt;<br /> Bitte entpacken Sie beide Dateien.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Die Datei ''GDIUpdt.dll'' kopieren Sie in das Verzeichnis &quot;''C:\Programme (x86)\Common Files\G DATA\IUpdate''&quot; (bei älteren Betriebssystemen unter &quot;''C:\Programme\Gemeinsame Dateien\G DATA\IUpdate''&quot;) und ersetzen damit die bereits vorhandene Datei.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Wenn Sie die Datei &quot;''MMS_Neu''&quot; entpackt haben, dann haben Sie den Ordner &quot;''MMS_Neu''&quot; vorliegen. Den Inhalt dieses Ordners kopieren Sie in das Verzeichnis &quot;''C:\Programme (x86)\G DATA\G DATA AntiVirus ManagementServer''&quot; (bei älteren Betriebssystemen unter &quot;''C:\Programme\G DATA\G DATA AntiVirus ManagementServer''&quot;) und ersetzen auch hier alle Dateien.<br /> &lt;br /&gt;&lt;br /&gt;<br /> Danach starten Sie den Dienst G Data ManagementServer neu.&lt;br /&gt;<br /> &lt;/blockquote&gt;<br /> <br /> ==== G-Data Outbreak Shield====<br /> <br /> *^[^:]*://[^.]*.gdata\.ctmail\.com/<br /> <br /> ====Trendmicro====<br /> <br /> *^[^:]*://[^\.]*\.activeupdate\.trendmicro\.com/ <br /> *^[^:]*://[^\.]*\.trendmicro-g\.georedirector\.akadns\.net/ <br /> *^[^:]*://[^\.]*\.trendmicro\.com/<br /> *^[^:]*://[^\/]*\.census\.trendmicro\.com/<br /> <br /> ====McAfee Saas====<br /> <br /> *^[^:]*://vs\.mcafeeasap\.com/<br /> *^[^:]*://download\.mcafee\.com/<br /> <br /> ====Symantec====<br /> <br /> *^[^:]*://[^\/]*\.symantecliveupdate\.com/<br /> <br /> ====Avira====<br /> <br /> *^[^:]*://.*\.avira-update\.(com|net)/<br /> oder<br /> *^[^:]*://.*\.avira\.(com|net)/<br /> <br /> ====F-Secure====<br /> <br /> *^[^:]*://.*\.sp\.f-secure\.com/<br /> *^[^:]*://[^\.]*\.f-secure\.com/<br /> *^[^:]*://[^\.]*\.orsp\.f-secure\.com/<br /> <br /> ====Bitdefender====<br /> <br /> *^[^:]*://upgr-mmxiii\.cdn\.bitdefender\.net<br /> <br /> ====Microsoft Office 365====<br /> <br /> *^[^:]*://officecdn\.microsoft\.com/<br /> *^[^:]*://officecdn\.microsoft\.com\.edgesuite\.net/<br /> <br /> ====Sophos====<br /> <br /> *^[^:]*://.*\.sophosupd\.(com|net)/<br /> *^[^:]*://http\.00\.s\.sophosxl\.net/</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Virenscanner&diff=19663 UTM/APP/HTTP Proxy-Virenscanner 2018-11-07T16:21:40Z <p>Chris: /* Securepoint Antivirus Pro */</p> <hr /> <div>{{DISPLAYTITLE:HTTP-Proxy Virenscanner}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.3.1''' <br /> &lt;br&gt;<br /> Bemerkung: Anpassung Trendmicro<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> <br /> ==Virenscannerausnahmen für lokale Virenscanner==<br /> <br /> Warum müssen die Update Server der jeweiligen Antiviren-Software im Firewall eigenen Virenscaner zur whitelist hinzugefügt werden?<br /> <br /> Bei dem Download von Viren-Signatur Updates kann es zu Fehlerkennungen kommen. Daher ist es ratsam, die Update-Server Ihres AV-Herstellers auf die Ausnahmeliste zu setzen.<br /> <br /> ==Virenscanner Ausnahmen==<br /> <br /> Diese Ausnahmen tragen Sie unter &quot;Anwendungen=&gt;Http Proxy=&gt;Virenscanner&quot; ein. Der Virenscanner arbeitet bei den Ausnahmen mit <br /> [http://de.wikipedia.org/wiki/Regul%C3%A4rer_Ausdruck Regular Expressions]. <br /> <br /> ====Securepoint Antivirus Pro====<br /> * ^[^:]*://[^\.]*\.ikarus\.at/<br /> * ^[^:]*://[^\.]*\.mailsecurity\.at/<br /> <br /> ====Eset====<br /> <br /> *^[^:]*://[^\.]*\.eset\.com/<br /> &lt;br /&gt;<br /> Zusätzlich müssen Sie beim ESET - Scanner die Update Server vom Proxy ausnehmen. Da der Scanner erst an einem Server die Datenbankunterschiede und die Lizenz abgleicht. Anschließend wird ein Update Server mitgeteilt der direkt über IP - Adresse (nicht über den Hostnamen) angesprochen wird.<br /> &lt;br /&gt;<br /> <br /> Legen Sie dazu Netzwerkobjekte in der Zone &quot;external&quot; mit folgenden IP - Adressen an:(am besten Erstellen Sie eine Gruppe wo Sie alle Netzwerkobjekte reinverschieben.)<br /> <br /> Beachten Sie bitte, dass sich die IP -Adressen ändern können! In dem fall müssen Sie den Hostnamen ''update.eset.com'' einmal auflösen und die Adressen vergleichen und gegebenfalls anpassen.<br /> <br /> *93.184.71.0/26<br /> *62.67.184.64/27<br /> *89.202.149.32/27<br /> *91.228.164.0/22<br /> *84.233.128.0/17<br /> *38.90.226.0/24<br /> &lt;br /&gt;<br /> Anschließend gehen Sie auf &quot;Anwendungen=&gt;Http Proxy=&gt;Transparenter Modus&quot; und fügen eine Regel hinzu:<br /> *Quelle: Internal Network<br /> *Ziel: Ein Netzwerkobjekt oder eine Netzwerkgruppe welche die IP - Adressen der Update Server abbildet<br /> *Type: EXCLUDE<br /> <br /> ====G-Data====<br /> <br /> *^[^:]*://[^\.]*\.gdatasecurity\.com/<br /> *^[^:]*://[^\.]*\.gdata\.de/<br /> *^[^:]*://[^\.]*\.gdatasecurity\.de/<br /> *^[^:]*://[^\]*\.lumension\.com/<br /> *^[^:]*://[^\.]*\.dedicated\.hosteurope\.de/<br /> <br /> ===== Die folgenden Informationen stammen von GData und werden ohne Gewähr zur Verfügung gestellt: =====<br /> <br /> &lt;blockquote&gt;Sehr geehrte Damen und Herren,&lt;br /&gt;<br /> &lt;br /&gt;<br /> bei GDATA Administrator 13 Endpointprotection muss man ein paar Dateien austauschen, damit die Updates wieder durch die UTM gehen.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Bitte laden Sie nachfolgende Dateien herunter.&lt;br /&gt;<br /> &lt;br /&gt;<br /> [http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/GDIUpdt.zip http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/GDIUpdt.zip]<br /> &lt;br /&gt;<br /> [http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/MMS_Neu.zip http://mirror01.gdata.de/dl_users/hotline/business/files/mms/13.0.0.162/MMS_Neu.zip]<br /> &lt;br /&gt;&lt;br /&gt;<br /> Bitte entpacken Sie beide Dateien.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Die Datei ''GDIUpdt.dll'' kopieren Sie in das Verzeichnis &quot;''C:\Programme (x86)\Common Files\G DATA\IUpdate''&quot; (bei älteren Betriebssystemen unter &quot;''C:\Programme\Gemeinsame Dateien\G DATA\IUpdate''&quot;) und ersetzen damit die bereits vorhandene Datei.&lt;br /&gt;<br /> &lt;br /&gt;<br /> Wenn Sie die Datei &quot;''MMS_Neu''&quot; entpackt haben, dann haben Sie den Ordner &quot;''MMS_Neu''&quot; vorliegen. Den Inhalt dieses Ordners kopieren Sie in das Verzeichnis &quot;''C:\Programme (x86)\G DATA\G DATA AntiVirus ManagementServer''&quot; (bei älteren Betriebssystemen unter &quot;''C:\Programme\G DATA\G DATA AntiVirus ManagementServer''&quot;) und ersetzen auch hier alle Dateien.<br /> &lt;br /&gt;&lt;br /&gt;<br /> Danach starten Sie den Dienst G Data ManagementServer neu.&lt;br /&gt;<br /> &lt;/blockquote&gt;<br /> <br /> ==== G-Data Outbreak Shield====<br /> <br /> *^[^:]*://[^.]*.gdata\.ctmail\.com/<br /> <br /> ====Trendmicro====<br /> <br /> *^[^:]*://[^\.]*\.activeupdate\.trendmicro\.com/ <br /> *^[^:]*://[^\.]*\.trendmicro-g\.georedirector\.akadns\.net/ <br /> *^[^:]*://[^\.]*\.trendmicro\.com/<br /> *^[^:]*://[^\/]*\.census\.trendmicro\.com/<br /> <br /> ====McAfee Saas====<br /> <br /> *^[^:]*://vs\.mcafeeasap\.com/<br /> *^[^:]*://download\.mcafee\.com/<br /> <br /> ====Symantec====<br /> <br /> *^[^:]*://[^\/]*\.symantecliveupdate\.com/<br /> <br /> ====Avira====<br /> <br /> *^[^:]*://.*\.avira-update\.(com|net)/<br /> oder<br /> *^[^:]*://.*\.avira\.(com|net)/<br /> <br /> ====F-Secure====<br /> <br /> *^[^:]*://.*\.sp\.f-secure\.com/<br /> *^[^:]*://[^\.]*\.f-secure\.com/<br /> *^[^:]*://[^\.]*\.orsp\.f-secure\.com/<br /> <br /> ====Bitdefender====<br /> <br /> *^[^:]*://upgr-mmxiii\.cdn\.bitdefender\.net<br /> <br /> ====Microsoft Office 365====<br /> <br /> *^[^:]*://officecdn\.microsoft\.com/<br /> *^[^:]*://officecdn\.microsoft\.com\.edgesuite\.net/<br /> <br /> ====Sophos====<br /> <br /> *^[^:]*://.*\.sophosupd\.(com|net)/<br /> *^[^:]*://http\.00\.s\.sophosxl\.net/</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-Roadwarrior_v11.7.1&diff=19642 UTM/VPN/SSL VPN-Roadwarrior v11.7.1 2018-11-05T09:24:55Z <p>Chris: /* Schritt 4 */</p> <hr /> <div>{{DISPLAYTITLE:SSL-VPN Roadwarrior}}<br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.1''' <br /> &lt;br&gt;<br /> Bemerkung: Hashverfahren auswählbar.<br /> &lt;br&gt;<br /> Vorherige Versionen: [[UTM/VPN/SSL_VPN-Roadwarrior_v11.6 | 11.6.12]], [[UTM/VPN/SSL_VPN-Roadwarrior_v11.7 | 11.7]]<br /> &lt;br&gt;<br /> <br /> == Einleitung ==<br /> Eine Roadwarrior-Verbindung verbindet einzelne Hosts mit dem lokalen Netzwerk. <br /> Dadurch kann sich beispielsweise ein Außendienstmitarbeiter mit dem Netzwerk der Zentrale verbinden. <br /> SSL-VPN benutzt zur Verschlüsselung der Verbindung den TLS/SSL Standard.<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Mit einem SSL-VPN Roadwarrior können mehrere Clients angebunden werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ==Roadwarrior konfiguration==<br /> Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: [https://192.168.175.1:11115 https://192.168.175.1:11115]) kann unter &quot;VPN&quot; und &quot;SSL-VPN&quot; eine SSL-VPN Verbindung hinzugefügt werden.<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-red.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white&quot;&gt;Für die Einrichtung des Roadwarrior wird ein Server-<br /> und ein User-Zertifikat benötigt.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===Einrichtungsassistent===<br /> ====Schritt 1====<br /> [[Datei:Utm_ssl-vpn_roadwarrior01.png |300px|thumb|right| Einrichtungsschritt 1]]<br /> &lt;br&gt;<br /> Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.<br /> *'''Roadwarrior Server'''<br /> *Site to Site Server<br /> *Site to Site Client<br /> Für die Konfiguration des Roadwarrior Servers wird dieser ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ====Schritt 2====<br /> [[Datei:Utm_ssl-vpn_roadwarrior02.png |200px|thumb|right| Einrichtungsschritt 2]]<br /> &lt;br&gt;<br /> Die Einstellung &quot;IPv6 über IPv4&quot; zu verwenden kann im Installationsschritt 2 eingeschaltet werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Schritt 3====<br /> [[Datei:Utm_ssl-vpn_roadwarrior03.png |300px|thumb|right| Einrichtungsschritt 3]]<br /> &lt;br&gt;<br /> Lokale Einstellungen für den Roadwarrior Server können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll und Port ausgewählt, ein Serverzertifikat gewählt - durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat erstellt werden - und die Servernetzwerke freigegeben werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Für jeden Benutzer sollte ein eigenes User-Zertifikat erstellt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ====Schritt 4====<br /> [[Datei:Utm_ssl-vpn_roadwarrior04.png |200px|thumb|right| Einrichtungsschritt 4]]<br /> &lt;br&gt;<br /> Im Installationsschritt 4 wird das Transfernetz für den Roadwarrior eingetragen.<br /> Das Transfernetz kann frei gewählt werden, darf aber noch nicht anderweitig auf der UTM verwendet werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ====Schritt 5====<br /> [[Datei:Utm_ssl-vpn_roadwarrior05.png |200px|thumb|right| Einrichtungsschritt 5]]<br /> &lt;br&gt;<br /> Die Benutzerauthentisierung wird im letzten Schritt ausgewählt. Danach kann der Einrichtungsassistent abgeschlossen werden.<br /> *None = Authentifizierung nur über die Zertifikate<br /> *Local = Lokale Benutzer und AD Gruppen<br /> *Radius = Radius Server<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Schritt 6====<br /> [[Datei:Utm_ssl-vpn_roadwarrior06.png |400px|thumb|right| Einrichtungsschritt 6]]<br /> &lt;br&gt;<br /> In der SSL-VPN Übersicht werden alle konfigurierten Verbindungen angezeigt.<br /> '''Achtung: Es wird lediglich ein Roadwarrior-Server benötigt, um mehrere VPN-Benutzer anzubinden!'''<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===Regelwerk===<br /> [[Datei:Utm_ssl-vpn_roadwarrior10.png|thumb|240px|Implizite Regeln]]<br /> &lt;br&gt;<br /> Unter Firewall -&gt; Implizite Regeln -&gt; VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizite Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf die WAN-Schnittstellen frei. Soll der Anwender den Client vom User-Interface herunterladen, muss dies hier zusätzlich freigegeben werden. Gegebenenfalls muss das Userinterface auf einen anderen Port gelegt werden, wenn Port 443 an einen internen Server weitergeleitet wurde.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Regeln====<br /> [[Datei:Utm ssl-vpn-rw regel.png|center|1100px|SSLVPN Regeln für eine Roadwarrior Verbindung]]<br /> &lt;br&gt;<br /> Die Regel im Portfilter muss noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone &quot;vpn-openvpn-&lt;servername&gt;&quot;. Die Roadwarrior-Clients erhalten eine IP aus diesem Netz und befinden sich in dieser Zone. Dementsprechend muss das Netzwerkobjekt für die Portfilter-Regel angelegt werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Ein Netzwerkobjekt für das Tunnelnetzwerk muss vorab erstellt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> <br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Als Dienst muss der benötigte Dienst ausgewählt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ===Benutzer und Gruppen anlegen===<br /> ====Gruppe====<br /> [[Datei:Utm_ssl-vpn_roadwarrior12.png|thumb|240px|SSL-VPN Einstellungen für die Gruppe]]<br /> &lt;br&gt;<br /> Unter Authentifizierung -&gt; Benutzer muss für die Benutzer, die auf den Roadwarrior zugreifen sollen zunächst eine '''Gruppe''' hinzugefügt werden. Die Gruppe muss die Berechtigung '''SSL-VPN''' erhalten.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Benutzer====<br /> [[Datei:Utm_ssl-vpn_roadwarrior13.png|thumb|240px|SSL-VPN Einstellungen für die Benutzer]]<br /> &lt;br&gt;<br /> Unter Authentifizierung -&gt; Benutzer muss jedem Benutzer die vorher erstelle Gruppe gegeben werden. Unter dem Reiter SSL-VPN wird der Benutzer weiter konfiguriert. Hier wird für den Benutzer die erstelle SSL-VPN Verbindung und das Client-Zertifikat ausgewählt, sowie das Remote Gateway eingetragen. Das Remote Gateway ist die Adresse der externen Schnittstelle. Diese Adresse muss von extern erreichbar sein.<br /> Wenn der Benutzer selbst die Berechtigung haben soll, den SSL-Client herunterzuladen muss unter den SSL-VPN Einstellungen der '''SSL-VPN Client Download''' aktiviert werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===SSL-VPN Verbindung als Client herstellen===<br /> Für Benutzer, die sich per SSL-VPN mit der UTM verbinden möchten, stellt die Appliance einen vorkonfigurierten SSL-VPN Client zur Verfügung. Der Client wird als normal installierbare und portable Version angeboten. Die portable Version kann zum Beispiel auf einen USB-Stick kopiert werden und somit auch an anderen Rechnern ausgeführt werden. Voraussetzung hierfür sind Administrationsrechte, da ein virtuelles TAP Device installiert und Routen gesetzt werden müssen. Die komprimierten Ordner enthalten neben den SSL-VPN Client eine Konfigurationsdatei, die CA- und Client-Zertifikate sowie einen Treiber für die virtuelle TAP-Netzwerkschnittstelle. Zum Installieren der virtuellen Tab Schnittstelle benötigt der Benutzer auf dem verwendeten Rechner Administratorrechte. Die Datei wird entweder vom Administrator der Securepoint Firewall an den Benutzer weitergereicht oder der Benutzer meldet sich an dem Userinterface der Securepoint Firewall an und lädt sich die Datei herunter.<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Die Installation muss mit Administratoren-Rechten durchgeführt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Ab Windows 10 muss der SSL-VPN Client &gt;V2 genutzt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ==== Herunterladen des SSL-VPN Clients im Userinterface====<br /> <br /> [[Datei:Utm_ssl-vpn_roadwarrior14.png|thumb|240px|User-Interface]]<br /> &lt;br&gt;<br /> Erreicht wird das Userinterface über das interne Interface der Securepoint Appliance. Ein Zugriff von externen Benutzern ist nur möglich, wenn die Implizite SSL Regeln aktiviert ist, die den Zugriff vom Internet auf das externe Interface per HTTPS erlaubt.<br /> &lt;br&gt;<br /> Nach dem Login auf das User-Interface der Firewall (im Auslieferungszustand: [https://192.168.175.1:443 https://192.168.175.1:443]) kann unter SSL-VPN Client Download der Client heruntergeladen werden.<br /> *SSL-VPN Client Installer<br /> *SSL-VPN Portable Client<br /> *Konfiguration und Zertifikat<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Die Konfiguration und Zertifikate sind in den Client Versionen bereits vorhanden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ===Hinweise===<br /> ====Verschlüsselung====<br /> Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Hashverfahren====<br /> Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====QoS====<br /> Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter &quot;Erweitert&quot; aktiviert werden.<br /> ====Search Domain====<br /> Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter &quot;Allgemein&quot; aktiviert werden.<br /> ====DNS/WINS übermitteln====<br /> Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter &quot;Erweitert&quot; aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter &quot;VPN&quot; -&gt; &quot;Globale VPN-Einstellungen&quot; gesetzt.<br /> ==== Hinweis zu vorgeschalteten Routern/Modems====<br /> Es kommt immer wieder zu Problemen mit der Stabilität der Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte auf diesen Geräten jegliche Firewall-Funktionalität [[Drittgeräte-Firewalls|deaktivieren]].<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Es muss sichergestellt werden, dass die benötigten Ports weitergeleitet werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ====IPv6 für eingehende Verbindungen====<br /> In den Einstellungen des Roadwarriorserver kann unter Allgemein -&gt; Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-S2S_v11.7&diff=18937 UTM/VPN/IPSec-S2S v11.7 2018-08-17T12:16:43Z <p>Chris: /* Konfiguration einer IPSec Site-to-Site Verbindung */</p> <hr /> <div>{{DISPLAYTITLE:IPSec Site-to-Site}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7''' <br /> &lt;br&gt;<br /> Bemerkung: Funktions- und Designanpassung<br /> &lt;br&gt;<br /> Vorherige Versionen: [[UTM/VPN/IPSec-S2S_v11.6 | 11.6.12]]<br /> &lt;br&gt;<br /> <br /> ==Einleitung==<br /> <br /> Eine Site-to-Site-Verbindung verbindet zwei Netzwerke miteinander. <br /> Beispielsweise das lokale Netzwerk einer Hauptstelle mit dem lokalen Netzwerk einer Filiale / Zweigstelle. <br /> <br /> Für das Verbinden der beiden Gegenstellen lassen sich öffentliche IP-Adressen, sowie dynamische DNS Einträge, verwenden.<br /> <br /> == Konfiguration einer IPSec Site-to-Site Verbindung ==<br /> Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann unter &quot;VPN&quot; und &quot;IPSec&quot; eine IPSec Verbindung hinzugefügt werden.<br /> &lt;div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===Einrichtungsassistent===<br /> ====Schritt 1====<br /> [[Datei:IPSec Verbindung hinzufügen.png |350px|thumb|right| Einrichtungsschritt 1]]<br /> &lt;br&gt;<br /> Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.<br /> *Roadwarrior<br /> *'''Site to Site'''<br /> Für die Konfiguration einer Site to Site Verbindung wird diese ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ====Schritt 2====<br /> [[Datei:IPSec_S2S_Schritt_2.png |350px|thumb|right| Einrichtungsschritt 2]]<br /> &lt;br&gt;<br /> Im Installationsschritt 2 wird ein Name für die Verbindung gewählt. Zudem wird die Authentifizierungsmethode ausgewählt.<br /> Hier hat man die Möglichkeit zwischen einem Pre-Shared-Key, Zertifikaten oder RSA-Schlüsseln zu wählen.<br /> Außerdem wird hier ebenfalls die IKE Version bestimmt, die genutzt werden soll.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Schritt 3====<br /> [[Datei:IPSec S2S Schritt 3.png |350px|thumb|right| Einrichtungsschritt 3]]<br /> &lt;br&gt;<br /> Lokale Einstellungen für die Site to Site Verbindung können im Schritt 3 getätigt werden.<br /> Hier wird die lokale Gateway ID eingetragen und das lokale Netzwerk, welches über die VPN-Verbindung verbunden werden soll.<br /> Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Schritt 4====<br /> [[Datei:IPSec_Schritt_4_Gegenstelle.png |350px|thumb|right| Einrichtungsschritt 4]]<br /> &lt;br&gt;<br /> Die Einstellungen für die Gegenstelle werden im Einrichtungsschritt 4 vorgenommen.<br /> Hier wird das Remote Gateway, die Remote Gateway ID sowie das lokale Netzwerk der Gegenstelle angegeben.<br /> Danach kann der Einrichtungsassistent abgeschlossen werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===Regelwerk===<br /> <br /> [[Datei:Implizierte_Regeln_VPN.png|thumb|300px|Implizierte Regeln]]<br /> &lt;br&gt;<br /> Unter Firewall -&gt; Implizierte Regeln -&gt; VPN können die Protokolle, welche für die Verbindung genutzt werden, aktiviert werden. Diese Implizierten Regeln geben die Ports, welche für IPSec Verbindungen genutzt werden, auf die WAN-Schnittstellen frei. <br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> [[Datei:Implizite_Regeln_IPSec.png|thumb|300px|Implizierte Regeln]]<br /> &lt;br&gt;<br /> Unter Implizierte Regeln -&gt; IPSec -&gt; Accept kann zudem der Ein- und Ausgehende Traffic aller IPSec-Verbindung zugelassen werden. Kein NAT für IPSec Verbindungen nimmt hierbei zusätzlich alle IPSec Verbindungen vom NAT aus.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> <br /> ==== Netzwerkobjekt anlegen ====<br /> [[Datei:IPSec_Netzwerkobjekt_anlegen.png|thumb|300px|Netzwerkobjekt]]<br /> &lt;br&gt;<br /> Sollte unter dem Punkt Implizierte Regeln -&gt; IPSec -&gt; Accept nicht aktiviert sein, so müssen Portfilterregeln erstellt werden um den Traffic zwischen den zu verbindenden Netzen zu erlauben. Dafür muss zuerst ein Netzwerkobjekt für das IPSec-Netzwerk angelegt werden.<br /> Unter Firewall -&gt; Portfilter -&gt; Netzwerkobjekte können neue Netzwerkobjekte angelegt werden.<br /> * Ein Netzwerkobjekt für das IPSec-Netzwerk wird angelegt, indem der Button Objekt hinzufügen betätigt wird.<br /> * Im Feld Name wird ein Name für das IPSec-Netzwerk eingetragen.<br /> * Als Typ wird VPN-Netzwerk gewählt und unter IP-Adresse wird die IP-Adresse des lokalen Netzwerks der gegenüberliegenden Seite eingetragen.<br /> * Als Zone wird vpn-ipsec ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ==== Portfilterregel anlegen ====<br /> [[Datei:IPSec Regel erstellen.png|thumb|350px|Portfilterregel]]<br /> &lt;br&gt;<br /> Unter Firewall -&gt; Portfilter -&gt; Regel hinzufügen kann nun eine Regel erstellt werden, um den Zugriff aus dem lokalen Netzwerk in das IPSec-Netzwerk zuzulassen.<br /> * Als Quelle wird das interne Netzwerk ausgewählt.<br /> * Als Ziel wird das IPSec-Netzwerk ausgewählt.<br /> * Als Dienst wird der gewünschte Dienst bzw. die gewünschte Dienstgruppe ausgewählt.<br /> * Falls unter den implizierten Regeln nicht schon aktiviert, wird hier noch der Eintrag NAT auf Hidenat Exclude gesetzt und als Netzwerkobjekt wird das ausgehende Interface ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Regeln und Routing====<br /> [[Datei:Utm ssl-vpn regel.png|center|1100px|SSLVPN Regeln für eine S2S Verbindung]]<br /> &lt;br&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Als Dienst muss der benötigte Dienst ausgewählt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> === Konfiguration des zweiten Gateways ===<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-red.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white&quot;&gt;Hierbei ist zu beachten, dass die IKE-Version auf beiden Seiten identisch ist.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> <br /> Auf der entfernten Appliance müssen die Einstellungen analog vorgenommen werden. <br /> * Mit Hilfe des IPSec-Assistenten wird eine neue IPSec-VPN-Verbindung angelegt.<br /> * Ein Netzwerkobjekt für das IPSec-Netzwerk wird erstellt.<br /> * Portfilterregeln werden erstellt.<br /> <br /> <br /> Die Securepoint kann IPSec-Tunnel zu Gegenstellen aufbauen, die eine korrekte IPSec-Implementierung besitzen. <br /> Dazu gehören unter anderem: Gateways die Strongswan, Openswan oder Freeswan verwenden (Astaro, IPCop, Cisco IPSec-VPN, Checkpoint usw.). <br /> Die Konfiguration der Gegenstelle muss dem Handbuch des Herstellers entnommen werden. <br /> Die Parameter müssen mit den Einstellungen auf der Securepoint UTM übereinstimmen.<br /> <br /> ===Hinweise===<br /> ====Der transparente HTTP-Proxy====<br /> Wenn von der aus dem Internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtern. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit das nicht passiert, muss ein '''Exclude''' mit der Quelle '''internal-network'''' zum Ziel '''name-vpn-netzwerk-objekt'''' und dem Protokoll '''HTTP''' erstellt werden.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/ClientlessVPN_v11.7.6&diff=16352 UTM/VPN/ClientlessVPN v11.7.6 2018-04-17T11:58:25Z <p>Chris: /* Anpassung der Registry */</p> <hr /> <div>{{DISPLAYTITLE:Clientless VPN}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.6.1''' <br /> &lt;br&gt;<br /> Bemerkung: Hinweis für Terra-Cloud Maschinen hinzugefügt<br /> &lt;br&gt;<br /> Vorherige Versionen: [[UTM/VPN/ClientlessVPN_v11.7.6 | 11.7.6]]<br /> &lt;br&gt;<br /> <br /> ==Einleitung==<br /> <br /> Das Clientless-VPN bietet die Möglichkeit sich über den Browser auf einen RDP- oder VNC-Server im Firmennetz zu verbinden. Der Benutzer meldet sich am Userinterface an, und erhält dann die Möglichkeit sich auf einen vorgegeben Server zu verbinden. Damit dies funktioniert, muss der Browser HTML5 und bei UTM Versionen vor 11.6 auch Websockets verstehen, Java oder ähnliches ist nicht nötig.<br /> <br /> ===Besonderheiten der Browser===<br /> Diese Vorgaben gelten nur für die Nutzung des Clientless VPN vor UTM Version 11.6. Ab Version 11.6 findet die Kommunikation nur noch über den Dienst https mit dem entsprechenden User Webinterface Port statt.<br /> <br /> Bei der Verwendung von Chrome, Firefox und Internet Explorer ab Version 10 wird eine native Websocket Verbindung verwendet.&lt;br&gt;<br /> Beim Firefox und IE ab V10 muss das Webserver Zertifikat auch für die RDP und VNC Verbindung einmal manuell<br /> bestätigt werden. Dafür am einfachsten eine Verbindung zu dem entsprechenden Port aufrufen:<br /> <br /> Für VNC: https://FirewallIP:2107<br /> <br /> Für RDP: https://FirewallIP:2907<br /> <br /> Beim Chrome und Internet Explorer Version 9 ist das nicht nötig, da reicht die Bestätigung des Zertifikats<br /> über den normalen https Port.<br /> <br /> Der Internet Explorer Version 9 braucht das Flashplugin um die Websockets zu emulieren. Native Websockets<br /> werden vom Internet Explorer Version 9 nicht unterstützt.<br /> <br /> Im Safari, unter Mac OSX, muss das Zertifikat des Webservers im Zertifikatsspeicher abgespeichert<br /> werden, damit der Websocket Verbindung vertraut werden kann. <br /> <br /> == Einrichtung der FW==<br /> === Clientless Host hinzufügen===<br /> [[Datei:UTM116_AI_CVPN1.png|200px|thumb|right|Server anlegen]]<br /> Der Menüpunkt zum Hinzufügen von Servern zum ''Clientless VPN'' befindet sich im Menü unter ''VPN''. Hier werden alle Server eingetragen, die den Benutzern über das Userinterface per Clientless VPN verfügbar gemacht werden sollen.<br /> <br /> Benötigt werden folgende Angaben:<br /> *Name des Host<br /> *Dienst über den auf den Host zugegriffen werden soll<br /> *IP-Adresse des Host<br /> *Port der auf dem Host für den Zugriff freigeschaltet ist<br /> *Auflösung (wählbar von 320x200 bis 1920x1080 Pixel)<br /> *Farbtiefe (16 oder 24 bit)<br /> <br /> <br /> Die Auflösung und Farbtiefe ist abhängig von den Möglichkeiten des Ziel Host und der Clients von denen über den Browser auf den Ziel Host zugegriffen werden.<br /> <br /> Die Einträge unter ''Domain'', ''Benutzername'' und ''Passwort'' sind Optional. Werden diese Felder frei gelassen, erfolgt eine Abfrage des Benutzernamens und des Passwort wenn der Host über Clientless VPN aufgerufen wird.<br /> <br /> <br /> <br /> === Zuweisen der Gruppe===<br /> [[Datei:UTM116_AI_CVPN2.png|200px|thumb|right|Gruppen Berechtigungen]]<br /> Nun können die Hosts den entsprechenden Benutzergruppe zugewiesen werden. Unter dem Menüpunkt ''Authentifizierung'' wird das Untermenü ''Benutzer'' ausgewählt. Im Reiter ''Gruppen'' kann eine neue Gruppe hinzugefügt werden, dessen Benutzer die Berechtigungen für ''Clientless VPN'' und das ''Userinterface'' erhalten müssen. <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM116_AI_CVPN3.png|200px|thumb|right|Server der Gruppe zuweisen]]<br /> Anschließend werden im jetzt zusätzlich angezeigten Reiter ''Clientless VPN'' die Server mit dem Plus Button hinzugefügt, auf die die Benutzer dieser Gruppe Zugriff haben sollen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Zugriff erlauben===<br /> [[Datei:UTM116_AI_CVPN4.png|200px|thumb|right|Gruppen Berechtigungen]]<br /> Nun muss sichergestellt werden, das sich der Clientless VPN Benutzer auch über den Browser am User Webinterface anmelden darf. Dies kann entweder durch implizite Regeln oder aber durch eine entsprechend manuell erstellte Portfilter-Regel auf das Interface geschehen.<br /> <br /> Ab Version 11.6 reicht es aus im Menü unter ''Firewall'' den Menüpunkt Implizite Regel zu wählen und im Reiter VPN die Markierung bei ''User Interface Portal'' zu setzten. Hier wird dann der unter ''Netzwerk'' im Menü ''Servereinstellungen'' eingetragene Port für das User Webinterface automatisch berücksichtigt.<br /> <br /> Bei Versionen vor 11.6 müssen die Ports des User Webinterfaces (bei Auslieferung Port 443) sowie die Socketports 2107/2907 freigegeben werden.<br /> <br /> Bei Versionen vor 11.4 muss bei einer Änderung des User Webinterface Ports manuell eine Freigabe über die Portfilterregeln erstellt werden.<br /> <br /> ==Anmelden==<br /> Die Anmeldung am Userinterface der UTM erfolgt über die Eingabe der URL <br /> https://&lt;UTM-IP&gt;<br /> im Browser wenn das User Webinterface noch auf dem Standardport 443 läuft. Sollte der User Webinterface Port geändert worden sein wird die URL durch Eingabe eines Doppelpunkt und des Port erweitert: <br /> https://&lt;UTM-IP&gt;:&lt;Port&gt;<br /> <br /> Es erscheint nun ein Button ''Clientless VPN''.<br /> [[Datei:UTM116_UI_CVPN1.png|300px|center]]<br /> <br /> <br /> Ein Klick auf Clientless-VPN öffnet den folgenden Dialog. <br /> Bei Firefox muss in den Versionen vor 11.6 erst einmal das Zertifikat auf dem Port akzeptiert werden.<br /> [[Datei:UTM116_UI_CVPN2.png|300px|center]]<br /> <br /> <br /> Mit einen Klick auf den entsprechenden Server wird die Verbindung zu diesem aufgebaut. Ist kein Benutzername und Passwort in den Servereinstellungen unter Clientless VPN hinterlegt, werden diese nun abgefragt.<br /> [[Datei:UTM116_UI_CVPN3.png|600px|center]]<br /> <br /> ==Hinweise==<br /> ===Windows 2012R2 mit aktivierten Terminaldiensten===<br /> [[Datei:GPO_network_auth.png|200px|thumb|right|Gruppenrichtlinien Editor]]<br /> Soll als RDP-Server für das Clientless VPN ein Server 2012R2 verwendet werden, scheitert der Aufbau der RDP-Verbindung an der „Authentifizierung auf Netzwerkebene“. &lt;br&gt;<br /> Bei Verwendung der Terminal-Dienste kann diese Funktion auch nicht mehr über den bekannten Weg deaktiviert werden. <br /> <br /> Allerdings ist es möglich über die GPO (Gruppenrichtlinien) die Deaktivierung der „Authentifizierung auf Netzwerkebene“ zu erzwingen.<br /> <br /> <br /> ===Anpassung der Registry===<br /> Es kann aber auch notwendig sein ein Registry Eintrag anzupassen. Dieser Muss den Wert 1 erhalten.<br /> &lt;pre&gt;Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp<br /> SecurityLayer&lt;/pre&gt;<br /> <br /> <br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Bei Terra-Cloud Maschinen kann es notwendig sein den Registry Eintrag anzupassen.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-lokal&diff=14363 UTM/APP/HTTP Proxy-Captive Portal-lokal 2017-11-20T16:31:21Z <p>Chris: /* Forward-Zone bearbeiten */</p> <hr /> <div>{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}<br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7.3''' <br /> &lt;br&gt;<br /> Bemerkung: Artikel aktualisiert.<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> <br /> ==Konfiguration des Captive-Portal==<br /> === Servereinstellungen ===<br /> [[Datei:CP_servereinstellunge.png| thumb| 350px|&lt;font size=1&gt;Servereinstellungen - FQDN &amp; DNS-Server&lt;/font&gt;]]<br /> ==== Firewallname anpassen ====<br /> Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.<br /> Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.<br /> Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.<br /> <br /> ==== DNS-Server eintragen ====<br /> Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.<br /> <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;<br /> === Zertifikate erstellen ===<br /> Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen.<br /> <br /> === ggf. Gruppe anlegen ===<br /> [[Datei:CP gruppe.png| thumb| 350px|&lt;font size=1&gt;Benutzer - Gruppe anlegen &amp; Rechte vergeben&lt;/font&gt;]]<br /> Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.<br /> &lt;br&gt;<br /> [[UTM/AUTH/Benutzerverwaltung | Hier]] wird erklärt, wie eine Benutzergruppe angelegt werden kann. <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Implizite Regeln ===<br /> [[Datei:CP Impliziete-regeln.png| thumb| 350px|&lt;font size=1&gt;Firewall - Implizite Regeln&lt;/font&gt;]]<br /> Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.&lt;br&gt;<br /> Der Schalter '''CaptivePortalPage''' öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.&lt;br&gt;<br /> Der Schalter '''CaptivePortalRedirection''' ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Einstellungen im Captive Portal ===<br /> [[Datei:CP Proxy captive auth.PNG| center| 600px|&lt;font size=1&gt;HTTP-Proxy - Captive Portal&lt;/font&gt;]]<br /> <br /> ====Captive Portal====<br /> Dieser Schalter aktiviert oder deaktviert das Captive Portal<br /> ==== Authentifizierung ====<br /> Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.<br /> <br /> ==== Zertifikat ====<br /> Bitte das oben erwähnte Zertifikat auswählen.<br /> ==== Maximale Verbindungszeit ====<br /> Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. <br /> Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.<br /> ==== Hostname der Portalseite ====<br /> Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.&lt;br&gt;<br /> Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.<br /> ==== Port der Portalseite ====<br /> Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.<br /> ==== Netzwerkobjekte ====<br /> In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.<br /> ==== Nutzungsbedingungen ====<br /> Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.&lt;br&gt;<br /> Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> === Nameserver ===<br /> Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.<br /> In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.<br /> ==== Forward-Zone hinzufügen ====<br /> Der zu vergebende Zonenname entspricht dem FQDN der Firewall. &lt;br&gt;<br /> In unserem Fall ist dies 'portal.anyideas.de'. &lt;br&gt;<br /> Als Hostname des Nameserver tragen wir den 'localhost' ein. &lt;br&gt;<br /> Das Feld der IP-Adresse kann leer gelassen werden. &lt;br&gt;<br /> [[Datei:CP_nameserver 1.png | 250px | &lt;font size=1&gt;Nameserver - Zonenname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 2.png | 250px | &lt;font size=1&gt;Nameserver - Nameserver Hostname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 3.png | 212px | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> === transparenter Proxy ===<br /> [[Datei:CP_transparenter_proxy.png| thumb| 350px|&lt;font size=1&gt;HTTP-Proxy - Transparenter Proxy&lt;/font&gt;]]<br /> Hier ist eine Regel von Nöten:<br /> http | include | wlan0-network | internet<br /> &lt;br&gt;<br /> Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> ==== Forward-Zone bearbeiten ====<br /> [[Datei:Nameserver-A.png | 250px | thumb | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:&lt;br&gt;<br /> &lt;br&gt;<br /> Name: FQDN der Firewall z.B. &quot;portal.anyideas.de'''.'''&quot;<br /> Typ: A<br /> Wert: IP der Schnittstelle (wlan0 z.B.)<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Portfilter ===<br /> [[Datei:CP_Portfilter.png | 250px | thumb | &lt;font size=1&gt;Firewall - Portfilter IP&lt;/font&gt;]]<br /> Im Portfilter müssen abschließend noch zwei Regeln anlegt werden<br /> # Quelle: captive_portal -&gt; Ziel: internet | Dienst: any | NAT: HideNAT external-interface<br /> # Quelle: wlan-0-network -&gt; Ziel: wlan-interface | Dienst: proxy<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Webfilter ===<br /> Abschließend sollte noch der Webfilter konfiguriert werden.<br /> Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.<br /> Folgende Schritte sind durchzuführen:<br /> ==== mit Authentifizierung ====<br /> # Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die neu erstellte Gruppe wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> <br /> ==== ohne Authentifizierung ====<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die Gruppe der Benutzer wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> &lt;br&gt;</div> Chris https://wiki.securepoint.de/index.php?title=UTM/RULE/Portumleitung-Intern_v11.7&diff=14360 UTM/RULE/Portumleitung-Intern v11.7 2017-11-20T16:18:35Z <p>Chris: /* Portweiterleitung aus internem Netz über externe IP auf internen Server */</p> <hr /> <div>{{DISPLAYTITLE:Portumleitung Intern}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7''' <br /> &lt;br&gt;<br /> Bemerkung: Artikelanpassung<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> == Portweiterleitung aus internem Netz über externe IP auf internen Server ==<br /> <br /> '''Hinweis! Eine Portweiterleitung aus einem internen Netzwerk über eine externe IP-Adresse ist über eine Bridge nicht möglich.'''&lt;br&gt;<br /> Abhilfe könnte hierbei die Einrichtung einer Forward-Zone im Nameserver der UTM schaffen, sofern die UTM als Nameserver für die internen Clients eingerichtet ist. In diesem Fall verweist die externe URL, die von Intern aufgerufen wird direkt auf den Internen Ziel-Server.&lt;br&gt;<br /> Eine Anleitung zum einrichten der Forward-Zone befindet sich unter [http://wiki.securepoint.de/index.php/Howtos-V11/Nameserver#Forward-Zone Forward-Zone] im Nameserver Wiki.<br /> <br /> Den meisten Unternehmen steht kein Subnetz mit externen IPs zur Verfügung. Alle Rechner sind in einem privaten Netzwerk und verstecken sich hinter der IP des Routers. Eine Port Weiterleitung wird dazu genutzt, Anfragen auf bestimmten Ports, die an die öffentliche IP des Routers gerichtet sind, zum internen Server weiterzuleiten, damit dieser so aus dem Internet erreichbar ist.<br /> <br /> In diesem Beispiel kommt die Anfrage allerdings nicht aus dem Internet, sondern direkt aus dem internen Netz über die IP der Firewall, um den Server mit der öffentlichen Domain ansprechen zu können.<br /> <br /> *'''TIPP''': Wenn aus dem internen Netz statt der IP ein DNS-Name aufgerufen UND die Firewall als Nameserver verwendet wird, ist das Anlegen eines A-Records der bessere Weg. Hier muss die Firewall lediglich den Namen zu einer internen Adresse auflösen. Die eigentliche Kommunikation geht dann nicht den Umweg über die Firewall sondern findet direkt zwischen Client und Server statt!!! Ein entsprechendes How-To finden sie [http://wiki.securepoint.de/index.php/Howtos-V11/Nameserver#Forward-Zone &quot;'''HIER'''&quot;].<br /> <br /> *Das Anlegen von Netzwerkobjekten und Diensten muss natürlich nur dann erfolgen, wenn diese in der hier beschriebenen Form noch nicht auf der Firewall vorhanden sind!<br /> <br /> <br /> *Zielsetzung: Einen internen Server aus dem internen Netz über die IP der Firewall erreichbar machen.<br /> <br /> === Konfiguration der Appliance ===<br /> ==== Netzwerkobjekt anlegen ====<br /> Für eine Portweiterleitung muss zuerst der Server als Netzwerkobjekt angelegt werden.<br /> <br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Firewall und klicken Sie im Dropdown-Menü auf den Eintrag Portfilter.<br /> #Gehen Sie im erscheinenden Dialog auf den Reiter Netzwerkobjekte und klicken Sie auf Objekt hinzufügen.<br /> #Es erscheint die Eingabemaske Netzwerkobjekt hinzufügen.<br /> #Geben Sie im Feld Name eine Bezeichnung für das Netzwerkobjekt an.<br /> #Wählen Sie als Typ den Eintrag Host.<br /> #Tragen Sie im Feld Adresse die IP-Adresse des Servers ein.<br /> #Stellen Sie im Feld Zone die Zone internal ein.<br /> #Das Feld Gruppe kann leer bleiben.<br /> #Klicken Sie auf Speichern.<br /> <br /> <br /> [[Datei:Objekt_anlegen.jpg|800px|thumb|center|Netzwerkobjekt anlegen]]<br /> <br /> <br /> ==== Firewall-Regeln für die Weiterleitung anlegen ====<br /> Damit der entsprechende Port an den Server weitergeleitet wird, muss nun die Portweiterleitung als Regel angelegt werden. <br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Firewall und klicken Sie im Dropdown-Menü auf den Eintrag Portfilter.<br /> #Im Fenster Portfilter klicken Sie auf den Button Regel hinzufügen.<br /> #Auf der Registerkarte Regel hinzufügen müssen Sie zunächst Quelle, Ziel und Dienst auswählen.<br /> #Wählen Sie in der linken Liste die Quelle internal-network und in der mittleren Liste den Ziel Server.<br /> #Als Dienst wählen Sie in der rechten Liste den Port für die Weiterleitung aus.<br /> #Die Aktion muss auf ACCEPT stehen und die Checkbox Aktiv muss markiert sein.<br /> #Zusätzlich können Sie unter Logging den Protokollierungsdienst aktivieren so wie unter Gruppe die Regel gleich einer Regelgruppe unterordnen.<br /> #Im Bereich NAT wählen Sie als Typ DESTNAT.<br /> #Als Netzwerkobjekt wird das externe Interface ausgewählt (oder das Netzwerkobjekt welches die externe IP inne hat über die Sie den Port weiterleiten möchten).<br /> #Wählen Sie als Dienst den Port aus den sie an den Server weiterleiten wollen.<br /> #Klicken Sie auf Speichern.<br /> #Klicken Sie im Dialog Portfilter auf den Button Regeln aktualisieren, damit die Änderungen wirksam werden.<br /> <br /> <br /> [[Datei:Weiterleitung intern.jpg |800px|thumb|center|Portweiterleitung]]<br /> <br /> <br /> <br /> ==== Firewall-Regeln für das Hide-NAT anlegen ====<br /> Damit der Server die Anfrage auf die öffentliche IP auf dem richtigen Weg beantwortet, muss nun ein Hide-NAT angelegt werden. Mit diesem verstecken Sie die IP des anfragenden Rechners hinter der IP der Firewall. Dies ist nötig, da sonst die Anfrage mit der internen IP des Rechners an dem Server ankommen würde und dieser dann versuchen würde, die Antwort intern zuzustellen und nicht über die Firewall. <br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Firewall und klicken Sie im Dropdown-Menü auf den Eintrag Portfilter.<br /> #Im Fenster Portfilter klicken Sie auf den Button Regel hinzufügen.<br /> #Auf der Registerkarte Regel hinzufügen müssen Sie zunächst Quelle, Ziel und Dienst auswählen.<br /> #Wählen Sie in der linken Liste die Quelle internal-network und in der mittleren Liste den Ziel Server.<br /> #Als Dienst wählen Sie in der rechten Liste den Port für die Weiterleitung aus.<br /> #Die Aktion muss auf ACCEPT stehen und die Checkbox Aktiv muss markiert sein.<br /> #Zusätzlich können Sie unter Logging den Protokollierungsdienst aktivieren so wie unter Gruppe die Regel gleich einer Regelgruppe unterordnen.<br /> #Im Bereich NAT wählen Sie als Typ HIDENAT.<br /> #Als Netzwerkobjekt wird das interne Interface ausgewählt (oder das Interface hinter dem sich der Server befindet).<br /> #Klicken Sie auf Speichern.<br /> #Klicken Sie im Dialog Portfilter auf den Button Regeln aktualisieren, damit die Änderungen wirksam werden.<br /> <br /> <br /> [[Datei:Hide NAT.jpg |800px|thumb|center|Hide-NAT]]<br /> <br /> *Nachdem der letzte Einrichtungsschritt absolviert wurde, ist die Portweiterleitung aktiv.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-S2S_v11.7&diff=14287 UTM/VPN/IPSec-S2S v11.7 2017-09-22T13:50:19Z <p>Chris: /* Konfiguration einer IPSec Site-to-Site Verbindung */</p> <hr /> <div>{{DISPLAYTITLE:IPSec Site-to-Site}}<br /> <br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7''' <br /> &lt;br&gt;<br /> Bemerkung: Funktions- und Designanpassung<br /> &lt;br&gt;<br /> Vorherige Versionen: [[UTM/VPN/IPSec-S2S_v11.6 | 11.6.12]]<br /> &lt;br&gt;<br /> <br /> ==Einleitung==<br /> <br /> Eine Site-to-Site-Verbindung verbindet zwei Netzwerke miteinander. <br /> Beispielsweise das lokale Netzwerk einer Hauptstelle mit dem lokalen Netzwerk einer Filiale / Zweigstelle. <br /> <br /> Für das Verbinden der beiden Gegenstellen lassen sich öffentliche IP-Adressen, sowie dynamische DNS Einträge, verwenden.<br /> <br /> == Konfiguration einer IPSec Site-to-Site Verbindung ==<br /> Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann unter &quot;VPN&quot; und &quot;IPSec&quot; eine IPSec Verbindung hinzugefügt werden.<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-red.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white&quot;&gt;Ab der UTM Version 11.7 muss für eine IPSec Site to Site Verbindung das Perfect Forward Secrecy (PFS) aktiviert sein.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===Einrichtungsassistent===<br /> ====Schritt 1====<br /> [[Datei:IPSec Verbindung hinzufügen.png |350px|thumb|right| Einrichtungsschritt 1]]<br /> &lt;br&gt;<br /> Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.<br /> *Roadwarrior<br /> *'''Site to Site'''<br /> Für die Konfiguration einer Site to Site Verbindung wird diese ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> ====Schritt 2====<br /> [[Datei:IPSec_S2S_Schritt_2.png |350px|thumb|right| Einrichtungsschritt 2]]<br /> &lt;br&gt;<br /> Im Installationsschritt 2 wird ein Name für die Verbindung gewählt. Zudem wird die Authentifizierungsmethode ausgewählt.<br /> Hier hat man die Möglichkeit zwischen einem Pre-Shared-Key, Zertifikaten oder RSA-Schlüsseln zu wählen.<br /> Außerdem wird hier ebenfalls die IKE Version bestimmt, die genutzt werden soll.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Schritt 3====<br /> [[Datei:IPSec S2S Schritt 3.png |350px|thumb|right| Einrichtungsschritt 3]]<br /> &lt;br&gt;<br /> Lokale Einstellungen für die Site to Site Verbindung können im Schritt 3 getätigt werden.<br /> Hier wird die lokale Gateway ID eingetragen und das lokale Netzwerk, welches über die VPN-Verbindung verbunden werden soll.<br /> Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Schritt 4====<br /> [[Datei:IPSec_Schritt_4_Gegenstelle.png |350px|thumb|right| Einrichtungsschritt 4]]<br /> &lt;br&gt;<br /> Die Einstellungen für die Gegenstelle werden im Einrichtungsschritt 4 vorgenommen.<br /> Hier wird das Remote Gateway, die Remote Gateway ID sowie das lokale Netzwerk der Gegenstelle angegeben.<br /> Danach kann der Einrichtungsassistent abgeschlossen werden.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ===Regelwerk===<br /> <br /> [[Datei:Implizierte_Regeln_VPN.png|thumb|300px|Implizierte Regeln]]<br /> &lt;br&gt;<br /> Unter Firewall -&gt; Implizierte Regeln -&gt; VPN können die Protokolle, welche für die Verbindung genutzt werden, aktiviert werden. Diese Implizierten Regeln geben die Ports, welche für IPSec Verbindungen genutzt werden, auf die WAN-Schnittstellen frei. <br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> [[Datei:Implizite_Regeln_IPSec.png|thumb|300px|Implizierte Regeln]]<br /> &lt;br&gt;<br /> Unter Implizierte Regeln -&gt; IPSec -&gt; Accept kann zudem der Ein- und Ausgehende Traffic aller IPSec-Verbindung zugelassen werden. Kein NAT für IPSec Verbindungen nimmt hierbei zusätzlich alle IPSec Verbindungen vom NAT aus.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> <br /> ==== Netzwerkobjekt anlegen ====<br /> [[Datei:IPSec_Netzwerkobjekt_anlegen.png|thumb|300px|Netzwerkobjekt]]<br /> &lt;br&gt;<br /> Sollte unter dem Punkt Implizierte Regeln -&gt; IPSec -&gt; Accept nicht aktiviert sein, so müssen Portfilterregeln erstellt werden um den Traffic zwischen den zu verbindenden Netzen zu erlauben. Dafür muss zuerst ein Netzwerkobjekt für das IPSec-Netzwerk angelegt werden.<br /> Unter Firewall -&gt; Portfilter -&gt; Netzwerkobjekte können neue Netzwerkobjekte angelegt werden.<br /> * Ein Netzwerkobjekt für das IPSec-Netzwerk wird angelegt, indem der Button Objekt hinzufügen betätigt wird.<br /> * Im Feld Name wird ein Name für das IPSec-Netzwerk eingetragen.<br /> * Als Typ wird VPN-Netzwerk gewählt und unter IP-Adresse wird die IP-Adresse des lokalen Netzwerks der gegenüberliegenden Seite eingetragen.<br /> * Als Zone wird vpn-ipsec ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ==== Portfilterregel anlegen ====<br /> [[Datei:IPSec Regel erstellen.png|thumb|350px|Portfilterregel]]<br /> &lt;br&gt;<br /> Unter Firewall -&gt; Portfilter -&gt; Regel hinzufügen kann nun eine Regel erstellt werden, um den Zugriff aus dem lokalen Netzwerk in das IPSec-Netzwerk zuzulassen.<br /> * Als Quelle wird das interne Netzwerk ausgewählt.<br /> * Als Ziel wird das IPSec-Netzwerk ausgewählt.<br /> * Als Dienst wird der gewünschte Dienst bzw. die gewünschte Dienstgruppe ausgewählt.<br /> * Falls unter den implizierten Regeln nicht schon aktiviert, wird hier noch der Eintrag NAT auf Hidenat Exclude gesetzt und als Netzwerkobjekt wird das ausgehende Interface ausgewählt.<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> ====Regeln und Routing====<br /> [[Datei:Utm ssl-vpn regel.png|center|1100px|SSLVPN Regeln für eine S2S Verbindung]]<br /> &lt;br&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-yellow.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;&quot;&gt;Als Dienst muss der benötigte Dienst ausgewählt werden.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> === Konfiguration des zweiten Gateways ===<br /> &lt;div&gt;<br /> &lt;div style=&quot;display: flex;padding-right:10px;float:left;&quot;&gt; [[Datei:alert-red.png]] &lt;/div&gt;<br /> &lt;div style=&quot;display: flex;&quot;&gt;&lt;span style=&quot;background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white&quot;&gt;Hierbei ist zu beachten, dass die IKE-Version auf beiden Seiten identisch ist.&lt;/span&gt;&lt;/div&gt;<br /> &lt;/div&gt;<br /> &lt;div style=&quot;clear: both;&quot;&gt;&lt;/div&gt;<br /> <br /> <br /> Auf der entfernten Appliance müssen die Einstellungen analog vorgenommen werden. <br /> * Mit Hilfe des IPSec-Assistenten wird eine neue IPSec-VPN-Verbindung angelegt.<br /> * Ein Netzwerkobjekt für das IPSec-Netzwerk wird erstellt.<br /> * Portfilterregeln werden erstellt.<br /> <br /> <br /> <br /> Hierfür muss die Phase 1 der IPSec Verbindung dahingehend bearbeitet werden, dass die Option 'Route Over' die Route zum richtigen Gateway enthält.<br /> Dies ist notwendig, weil sonst für die UTM nicht ersichtlich ist, über welches Netz die IPSec-Verbindung geroutet werden soll.<br /> <br /> Die Securepoint kann IPSec-Tunnel zu Gegenstellen aufbauen, die eine korrekte IPSec-Implementierung besitzen. <br /> Dazu gehören unter anderem: Gateways die Strongswan, Openswan oder Freeswan verwenden (Astaro, IPCop, Cisco IPSec-VPN, Checkpoint usw.). <br /> Die Konfiguration der Gegenstelle muss dem Handbuch des Herstellers entnommen werden. <br /> Die Parameter müssen mit den Einstellungen auf der Securepoint UTM übereinstimmen.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-extern&diff=12187 UTM/APP/HTTP Proxy-Captive Portal-extern 2017-04-25T13:41:54Z <p>Chris: /* Forward-Zone bearbeiten */</p> <hr /> <div>{{DISPLAYTITLE:Captive Portal mit einem käuflich erworbenen Zertifikat}}<br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7''' <br /> &lt;br&gt;<br /> Bemerkung: Neue Funktion in der UTM<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> ==Konfiguration des Captive-Portal==<br /> === Servereinstellungen ===<br /> [[Datei:CP_servereinstellunge.png| thumb| 350px|&lt;font size=1&gt;Servereinstellungen - FQDN &amp; DNS-Server&lt;/font&gt;]]<br /> ==== Firewallname anpassen ====<br /> Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.<br /> Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.<br /> Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.<br /> <br /> ==== DNS-Server eintragen ====<br /> Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.<br /> <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;<br /> === Zertifikate importieren ===<br /> Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.<br /> Grundsätzlich bestehen hier zwei Optionen:<br /> * Ein Zertifikat für einen FQDN<br /> ** in diesem Fall wäre der Common Name des Zertifikats 'portal.anyideas.de'<br /> * Ein Wildcardzertifikat<br /> ** in diesem Fall wäre der Common Name des Zertifikats '*.anyideas.de'<br /> <br /> Im ersten Schritt muss die, zusammen mit dem Zertifikat zur Verfügung gestellte CA, in die UTM importiert werden.&lt;br&gt;<br /> Anschließend wird der gleiche Schritt für das eigentliche Zertifikat wiederholt.<br /> <br /> Mit dem Tool ''openssl'' und den folgenden Befehlen können Zertifikate konvertiert werden:<br /> * X509 zu PEM<br /> openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem<br /> * DER zu PEM<br /> openssl x509 -inform der -in certificate.cer -out certificate.pem<br /> * P7B zu PEM<br /> openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem<br /> * PFX zu PEM<br /> openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes<br /> <br /> === ggf. Gruppe anlegen ===<br /> [[Datei:CP gruppe.png| thumb| 350px|&lt;font size=1&gt;Benutzer - Gruppe anlegen &amp; Rechte vergeben&lt;/font&gt;]]<br /> Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.<br /> &lt;br&gt;<br /> [[UTM/AUTH/Benutzerverwaltung | Hier]] wird erklärt, wie eine Benutzergruppe angelegt werden kann. <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Implizite Regeln ===<br /> [[Datei:CP Impliziete-regeln.png| thumb| 350px|&lt;font size=1&gt;Firewall - Implizite Regeln&lt;/font&gt;]]<br /> Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.&lt;br&gt;<br /> Der Schalter '''CaptivePortalPage''' öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.&lt;br&gt;<br /> Der Schalter '''CaptivePortalRedirection''' ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Einstellungen im Captive Portal ===<br /> [[Datei:CP Proxy captive auth.PNG| center| 600px|&lt;font size=1&gt;HTTP-Proxy - Captive Portal&lt;/font&gt;]]<br /> <br /> ====Captive Portal====<br /> Dieser Schalter aktiviert oder deaktviert das Captive Portal<br /> ==== Authentifizierung ====<br /> Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.<br /> <br /> ==== Zertifikat ====<br /> Bitte das oben erwähnte Zertifikat auswählen.<br /> ==== Maximale Verbindungszeit ====<br /> Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. <br /> Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.<br /> ==== Hostname der Portalseite ====<br /> Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.&lt;br&gt;<br /> Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.<br /> ==== Port der Portalseite ====<br /> Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.<br /> ==== Netzwerkobjekte ====<br /> In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.<br /> ==== Nutzungsbedingungen ====<br /> Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.&lt;br&gt;<br /> Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> === transparenter Proxy ===<br /> [[Datei:CP_transparenter_proxy.png| thumb| 350px|&lt;font size=1&gt;HTTP-Proxy - Transparenter Proxy&lt;/font&gt;]]<br /> Hier ist eine Regel von Nöten:<br /> http | include | wlan0-network | internet<br /> &lt;br&gt;<br /> Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Nameserver ===<br /> Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.<br /> In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.<br /> ==== Forward-Zone hinzufügen ====<br /> Der zu vergebende Zonenname entspricht dem FQDN der Firewall. &lt;br&gt;<br /> In unserem Fall ist dies 'portal.anyideas.de'. &lt;br&gt;<br /> Als Hostname des Nameserver tragen wir den 'localhost' ein. &lt;br&gt;<br /> Das Feld der IP-Adresse kann leer gelassen werden. &lt;br&gt;<br /> [[Datei:CP_nameserver 1.png | 250px | &lt;font size=1&gt;Nameserver - Zonenname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 2.png | 250px | &lt;font size=1&gt;Nameserver - Nameserver Hostname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 3.png | 212px | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> ==== Forward-Zone bearbeiten ====<br /> [[Datei:Nameserver-A.png | 250px | thumb | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:&lt;br&gt;<br /> &lt;br&gt;<br /> Name: FQDN der Firewall<br /> Typ: A<br /> Wert: IP der Schnittstelle (wlan0 z.B.)<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Portfilter ===<br /> [[Datei:CP_Portfilter.png | 250px | thumb | &lt;font size=1&gt;Firewall - Portfilter IP&lt;/font&gt;]]<br /> Im Portfilter müssen abschließend noch zwei Regeln anlegt werden<br /> # Quelle: captive_portal -&gt; Ziel: internet | Dienst: any | NAT: HideNAT external-interface<br /> # Quelle: wlan-0-network -&gt; Ziel: wlan-interface | Dienst: proxy<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Webfilter ===<br /> Abschließend sollte noch der Webfilter konfiguriert werden.<br /> Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.<br /> Folgende Schritte sind durchzuführen:<br /> ==== mit Authentifizierung ====<br /> # Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die neu erstellte Gruppe wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> <br /> ==== ohne Authentifizierung ====<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die Gruppe der Benutzer wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> &lt;br&gt;</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-lokal&diff=12186 UTM/APP/HTTP Proxy-Captive Portal-lokal 2017-04-25T13:34:13Z <p>Chris: /* Forward-Zone bearbeiten */</p> <hr /> <div>{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}<br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7''' <br /> &lt;br&gt;<br /> Bemerkung: Neue Funktion in der UTM<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> ==Konfiguration des Captive-Portal==<br /> === Servereinstellungen ===<br /> [[Datei:CP_servereinstellunge.png| thumb| 350px|&lt;font size=1&gt;Servereinstellungen - FQDN &amp; DNS-Server&lt;/font&gt;]]<br /> ==== Firewallname anpassen ====<br /> Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.<br /> Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.<br /> Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.<br /> <br /> ==== DNS-Server eintragen ====<br /> Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.<br /> <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;<br /> === Zertifikate erstellen ===<br /> Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen.<br /> <br /> === ggf. Gruppe anlegen ===<br /> [[Datei:CP gruppe.png| thumb| 350px|&lt;font size=1&gt;Benutzer - Gruppe anlegen &amp; Rechte vergeben&lt;/font&gt;]]<br /> Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.<br /> &lt;br&gt;<br /> [[UTM/AUTH/Benutzerverwaltung | Hier]] wird erklärt, wie eine Benutzergruppe angelegt werden kann. <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Implizite Regeln ===<br /> [[Datei:CP Impliziete-regeln.png| thumb| 350px|&lt;font size=1&gt;Firewall - Implizite Regeln&lt;/font&gt;]]<br /> Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.&lt;br&gt;<br /> Der Schalter '''CaptivePortalPage''' öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.&lt;br&gt;<br /> Der Schalter '''CaptivePortalRedirection''' ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Einstellungen im Captive Portal ===<br /> [[Datei:CP Proxy captive auth.PNG| center| 600px|&lt;font size=1&gt;HTTP-Proxy - Captive Portal&lt;/font&gt;]]<br /> <br /> ====Captive Portal====<br /> Dieser Schalter aktiviert oder deaktviert das Captive Portal<br /> ==== Authentifizierung ====<br /> Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.<br /> <br /> ==== Zertifikat ====<br /> Bitte das oben erwähnte Zertifikat auswählen.<br /> ==== Maximale Verbindungszeit ====<br /> Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. <br /> Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.<br /> ==== Hostname der Portalseite ====<br /> Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.&lt;br&gt;<br /> Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.<br /> ==== Port der Portalseite ====<br /> Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.<br /> ==== Netzwerkobjekte ====<br /> In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.<br /> ==== Nutzungsbedingungen ====<br /> Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.&lt;br&gt;<br /> Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> === transparenter Proxy ===<br /> [[Datei:CP_transparenter_proxy.png| thumb| 350px|&lt;font size=1&gt;HTTP-Proxy - Transparenter Proxy&lt;/font&gt;]]<br /> Hier ist eine Regel von Nöten:<br /> http | include | wlan0-network | internet<br /> &lt;br&gt;<br /> Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Nameserver ===<br /> Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.<br /> In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.<br /> ==== Forward-Zone hinzufügen ====<br /> Der zu vergebende Zonenname entspricht dem FQDN der Firewall. &lt;br&gt;<br /> In unserem Fall ist dies 'portal.anyideas.de'. &lt;br&gt;<br /> Als Hostname des Nameserver tragen wir den 'localhost' ein. &lt;br&gt;<br /> Das Feld der IP-Adresse kann leer gelassen werden. &lt;br&gt;<br /> [[Datei:CP_nameserver 1.png | 250px | &lt;font size=1&gt;Nameserver - Zonenname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 2.png | 250px | &lt;font size=1&gt;Nameserver - Nameserver Hostname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 3.png | 212px | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> ==== Forward-Zone bearbeiten ====<br /> [[Datei:Nameserver-A.png | 250px | thumb | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:&lt;br&gt;<br /> &lt;br&gt;<br /> Name: FQDN der Firewall<br /> Typ: A<br /> Wert: IP der Schnittstelle (wlan0 z.B.)<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Portfilter ===<br /> [[Datei:CP_Portfilter.png | 250px | thumb | &lt;font size=1&gt;Firewall - Portfilter IP&lt;/font&gt;]]<br /> Im Portfilter müssen abschließend noch zwei Regeln anlegt werden<br /> # Quelle: captive_portal -&gt; Ziel: internet | Dienst: any | NAT: HideNAT external-interface<br /> # Quelle: wlan-0-network -&gt; Ziel: wlan-interface | Dienst: proxy<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Webfilter ===<br /> Abschließend sollte noch der Webfilter konfiguriert werden.<br /> Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.<br /> Folgende Schritte sind durchzuführen:<br /> ==== mit Authentifizierung ====<br /> # Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die neu erstellte Gruppe wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> <br /> ==== ohne Authentifizierung ====<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die Gruppe der Benutzer wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> &lt;br&gt;</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-lokal&diff=12185 UTM/APP/HTTP Proxy-Captive Portal-lokal 2017-04-25T13:07:43Z <p>Chris: /* Forward-Zone bearbeiten */</p> <hr /> <div>{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}<br /> == Informationen ==<br /> Letze Anpassung zur Version: '''11.7''' <br /> &lt;br&gt;<br /> Bemerkung: Neue Funktion in der UTM<br /> &lt;br&gt;<br /> Vorherige Versionen: -<br /> &lt;br&gt;<br /> ==Konfiguration des Captive-Portal==<br /> === Servereinstellungen ===<br /> [[Datei:CP_servereinstellunge.png| thumb| 350px|&lt;font size=1&gt;Servereinstellungen - FQDN &amp; DNS-Server&lt;/font&gt;]]<br /> ==== Firewallname anpassen ====<br /> Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.<br /> Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.<br /> Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.<br /> <br /> ==== DNS-Server eintragen ====<br /> Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.<br /> <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;<br /> === Zertifikate erstellen ===<br /> Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen.<br /> <br /> === ggf. Gruppe anlegen ===<br /> [[Datei:CP gruppe.png| thumb| 350px|&lt;font size=1&gt;Benutzer - Gruppe anlegen &amp; Rechte vergeben&lt;/font&gt;]]<br /> Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.<br /> &lt;br&gt;<br /> [[UTM/AUTH/Benutzerverwaltung | Hier]] wird erklärt, wie eine Benutzergruppe angelegt werden kann. <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Implizite Regeln ===<br /> [[Datei:CP Impliziete-regeln.png| thumb| 350px|&lt;font size=1&gt;Firewall - Implizite Regeln&lt;/font&gt;]]<br /> Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.&lt;br&gt;<br /> Der Schalter '''CaptivePortalPage''' öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.&lt;br&gt;<br /> Der Schalter '''CaptivePortalRedirection''' ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Einstellungen im Captive Portal ===<br /> [[Datei:CP Proxy captive auth.PNG| center| 600px|&lt;font size=1&gt;HTTP-Proxy - Captive Portal&lt;/font&gt;]]<br /> <br /> ====Captive Portal====<br /> Dieser Schalter aktiviert oder deaktviert das Captive Portal<br /> ==== Authentifizierung ====<br /> Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.<br /> <br /> ==== Zertifikat ====<br /> Bitte das oben erwähnte Zertifikat auswählen.<br /> ==== Maximale Verbindungszeit ====<br /> Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. <br /> Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.<br /> ==== Hostname der Portalseite ====<br /> Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.&lt;br&gt;<br /> Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.<br /> ==== Port der Portalseite ====<br /> Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.<br /> ==== Netzwerkobjekte ====<br /> In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.<br /> ==== Nutzungsbedingungen ====<br /> Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.&lt;br&gt;<br /> Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> === transparenter Proxy ===<br /> [[Datei:CP_transparenter_proxy.png| thumb| 350px|&lt;font size=1&gt;HTTP-Proxy - Transparenter Proxy&lt;/font&gt;]]<br /> Hier ist eine Regel von Nöten:<br /> http | include | wlan0-network | internet<br /> &lt;br&gt;<br /> Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Nameserver ===<br /> Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.<br /> In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.<br /> ==== Forward-Zone hinzufügen ====<br /> Der zu vergebende Zonenname entspricht dem FQDN der Firewall. &lt;br&gt;<br /> In unserem Fall ist dies 'portal.anyideas.de'. &lt;br&gt;<br /> Als Hostname des Nameserver tragen wir den 'localhost' ein. &lt;br&gt;<br /> Das Feld der IP-Adresse kann leer gelassen werden. &lt;br&gt;<br /> [[Datei:CP_nameserver 1.png | 250px | &lt;font size=1&gt;Nameserver - Zonenname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 2.png | 250px | &lt;font size=1&gt;Nameserver - Nameserver Hostname&lt;/font&gt;]]<br /> [[Datei:CP_nameserver 3.png | 212px | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> ==== Forward-Zone bearbeiten ====<br /> [[Datei:Nameserver-A.png | 250px | thumb | &lt;font size=1&gt;Nameserver - Nameserver IP&lt;/font&gt;]]<br /> Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:&lt;br&gt;<br /> &lt;br&gt;<br /> Name: FQDN der Firewall<br /> Typ: A<br /> Wert: IP der Schnittstelle<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Portfilter ===<br /> [[Datei:CP_Portfilter.png | 250px | thumb | &lt;font size=1&gt;Firewall - Portfilter IP&lt;/font&gt;]]<br /> Im Portfilter müssen abschließend noch zwei Regeln anlegt werden<br /> # Quelle: captive_portal -&gt; Ziel: internet | Dienst: any | NAT: HideNAT external-interface<br /> # Quelle: wlan-0-network -&gt; Ziel: wlan-interface | Dienst: proxy<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> === Webfilter ===<br /> Abschließend sollte noch der Webfilter konfiguriert werden.<br /> Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.<br /> Folgende Schritte sind durchzuführen:<br /> ==== mit Authentifizierung ====<br /> # Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die neu erstellte Gruppe wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> <br /> ==== ohne Authentifizierung ====<br /> # Anwendungen | Webfilter | Profil hinzufügen<br /> # Die Gruppe der Benutzer wählen<br /> # neu generierten Regelsatz bearbeiten<br /> ## URL des internen Webserver hinzufügen<br /> ## Aktion auf 'blockieren' stellen<br /> &lt;br&gt;</div> Chris https://wiki.securepoint.de/index.php?title=Datei:Nameserver-A.png&diff=12184 Datei:Nameserver-A.png 2017-04-25T13:05:26Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-UMTS1.png&diff=9706 Datei:Mobile-UMTS1.png 2016-12-13T08:52:13Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-UMTS.png&diff=9705 Datei:Mobile-UMTS.png 2016-12-13T08:50:57Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-LTE.png&diff=9704 Datei:Mobile-LTE.png 2016-12-13T08:50:12Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-Provider.png&diff=9702 Datei:Mobile-Provider.png 2016-12-13T08:43:27Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-Carrier.png&diff=9692 Datei:Mobile-Carrier.png 2016-12-13T08:36:06Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-PIN.png&diff=9688 Datei:Mobile-PIN.png 2016-12-13T08:31:23Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-Zonen.png&diff=9685 Datei:Mobile-Zonen.png 2016-12-13T08:01:37Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-Modem.png&diff=9684 Datei:Mobile-Modem.png 2016-12-13T07:59:59Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-Step1.png&diff=9683 Datei:Mobile-Step1.png 2016-12-13T07:57:50Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=Datei:Mobile-hinzufuegen.png&diff=9682 Datei:Mobile-hinzufuegen.png 2016-12-13T07:40:54Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=UTM/NET/Mobile_Provider&diff=9681 UTM/NET/Mobile Provider 2016-12-13T07:34:38Z <p>Chris: Die Seite wurde neu angelegt: „=== 1.1.2: UMTS/LTE Provider === Bei der UMTS oder LTE Einrichtung muss der passende APN gewählt werden. Die Carrier stehen in einem Dropdown-Menü zur Auswah…“</p> <hr /> <div>=== 1.1.2: UMTS/LTE Provider ===<br /> Bei der UMTS oder LTE Einrichtung muss der passende APN gewählt werden. Die Carrier stehen in einem Dropdown-Menü zur Auswahl. Im Folgenden finden Sie eine Liste der Providerdaten im Überblick.<br /> <br /> {| {{prettytable}}<br /> |-<br /> |'''Name des Tarifs'''<br /> |'''Access Point Name (APN)'''<br /> |'''Benutzername'''<br /> |'''Passwort'''<br /> |-<br /> |'''Vodafone APN-Einstellungen'''<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |-<br /> |Vodafone Websessions APN<br /> |event.vodafone.de<br /> |vf<br /> |vf<br /> |-<br /> |Vodafone Mobile Connect &amp;amp; Mobook APN<br /> |web.vodafone.de<br /> |vf<br /> |vf<br /> |-<br /> |APN Vodafone Prepaid Surfsticks<br /> |event.vodafone.de<br /> |vf<br /> |vf<br /> |-<br /> |'''T-Mobile APN-Einstellungen'''<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |-<br /> |» T-Mobile – Variante 1<br /> |internet.t-mobile<br /> |t-mobile<br /> |tm<br /> |-<br /> |» T-Mobile – Variante 2<br /> |internet.t-d1.de<br /> |internet<br /> |t-d1<br /> |-<br /> |» T-Mobile, Congstar, Penny, ja! mobil, usw<br /> |internet.t-mobile oder&lt;br&gt;<br /> Smartsites.t-mobile (Komplettarif)<br /> |t-mobile<br /> |tm<br /> |-<br /> |'''o2 APN-Einstellungen'''<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |-<br /> |» O2 go &amp;amp; Fonic<br /> |internet<br /> |frei lassen<br /> |frei lassen<br /> |-<br /> |» O2 per Tchibo Surf-Stick<br /> |webmobil<br /> |frei lassen<br /> |frei lassen<br /> |-<br /> |» Klarmobil APN Einstellungen<br /> |internet.mobilcom<br /> |frei lassen<br /> |frei lassen<br /> |-<br /> |'''E-Plus APN-Einstellungen'''<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |&lt;br&gt;<br /> |-<br /> |» E-Plus, Aldi Talk, BASE, Blau<br /> |internet.eplus.de<br /> |eplus<br /> |internet<br /> |-<br /> |» Aldi Talk Tagesflatrate<br /> |tagesflat.eplus.de<br /> |eplus<br /> |internet<br /> |-<br /> |» Simyo<br /> |internet.eplus.de<br /> |simyo<br /> |simyo<br /> |-<br /> |» Blau.de<br /> |internet.eplus.de<br /> |blau<br /> |blau<br /> |}</div> Chris https://wiki.securepoint.de/index.php?title=UTM/AUTH/OTP_v11.7&diff=9503 UTM/AUTH/OTP v11.7 2016-12-02T14:53:19Z <p>Chris: /* OTP überprüfen */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11.5}}<br /> <br /> <br /> &lt;span style=color:red&gt;&lt;b&gt;Wichtige Hinweise bei Verwendung des OTP-Verfahrens&lt;/b&gt;&lt;br&gt;&lt;/span&gt;<br /> <br /> Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.&lt;br&gt;<br /> <br /> &lt;span style=color:red&gt;Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss &lt;u&gt;&lt;b&gt;jeder&lt;/b&gt; Administrator&lt;/u&gt; über diesen Token verfügen, um auf das Gerät zugreifen zu können.&lt;br&gt;&lt;/span&gt;<br /> Eine Ausnahme auf User-Basis ist nicht möglich&lt;br&gt;&lt;br&gt;<br /> SSL-VPN:&lt;br&gt;<br /> Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.&lt;br&gt;&lt;br&gt;<br /> Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.&lt;br&gt;<br /> Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.&lt;br&gt;&lt;br&gt;<br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |&lt;span style=color:red&gt;&lt;b&gt;Achtung!&lt;br&gt;<br /> Denken Sie bitte daran, dass im Falle eines Ausfalls des Smartphones, das OTP nicht mehr generiert werden kann und Sie keinen Zugriff auf die ausgewählten Funktionen der UTM haben.&lt;br&gt;<br /> Sollte sich dieses auch auf die Administration der UTM beziehen, müssten Sie diese Firewall komplett neu aufsetzen.&lt;br&gt;&lt;br&gt;<br /> |}<br /> <br /> Am besten drucken Sie sich diesen Code für die Administratoren wie unter [[OTP_V11#OTP_Secret | OTP Secret]] beschrieben aus und legen Sie zu Ihrer Dokumentation.&lt;/b&gt;<br /> <br /> &lt;span style=color:red&gt;Da das OTP-Verfahren Zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.&lt;br&gt;&lt;/span&gt;<br /> Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:&lt;br&gt;<br /> *Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date get'''''<br /> *Über die Root Konsole mit dem Kommando '''''date'''''<br /> <br /> <br /> Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:&lt;br&gt;<br /> * Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date set date''''' anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss<br /> <br /> <br /> =OTP - One-Time-Password=<br /> <br /> Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.&lt;br&gt;<br /> In der UTM setzen wir das Zeit-Basierte-Verfahren ein (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.<br /> <br /> Um dieses 6 stellige Passwort zu generieren, nutzen wir als Token eine Smartphone App wie den [https://de.wikipedia.org/wiki/Google_Authenticator Google Authenticator]. Diese ist sowohl für [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android] als auch für [https://itunes.apple.com/de/app/google-authenticator/id388497605?mt=8 iOS] Geräte verfügbar.&lt;br&gt;<br /> Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.<br /> <br /> ==OTP einrichten==<br /> <br /> ===&lt;span style=color:red&gt;Ablauf bei Aktivierung===<br /> 1. Stellen Sie sicher, dass die Uhrzeit der UTM und dem Token synchron läuft&lt;br&gt;<br /> 2. Übertragen Sie den Geheimcode an den Token&lt;br&gt;<br /> 3. Aktivieren Sie das OTP Verfahren auf der UTM&lt;br&gt;<br /> 4. Testen Sie die Anmeldung &lt;u&gt;bevor&lt;/u&gt; die aktuelle Session beendet wurde&lt;br&gt;&lt;br&gt;<br /> Ist das Verfahren aktiviert, muss sich &lt;u&gt;jeder Benutzer&lt;/u&gt; der ausgewählten Anwendungen zusätzlich per OTP anmelden.&lt;br&gt;<br /> Ausnahmen sind nicht möglich.&lt;/span&gt;<br /> <br /> ===Benutzer mit OTP einrichten===<br /> [[Datei:UTM_V115_OTPUser.png|250px|thumb|right|OTP Benutzer]]<br /> Zunächst legen Sie Ihre Benutzer unter Authentifizierung Benutzer wie gehabt an. Siehe dazu auch [[Benutzerverwaltung| Benutzerverwaltung]].<br /> <br /> Den OTP-Code für diesen Benutzer erhalten Sie erst, wenn die Eingaben zum Benutzer gespeichert wurden.&lt;br&gt;<br /> Um diesen zu sehen oder zu ändern, klicken Sie auf den editieren Button in der Benutzer Zeile und wechseln Sie auf den Reiter ''OTP'' auf der rechten Seite.&lt;br&gt;<br /> <br /> <br /> <br /> <br /> <br /> ====Automatisches erstellen eines Code====<br /> [[Datei:UTM_V115_OTPCode.png|250px|thumb|right|OTP Code]]<br /> Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.&lt;br&gt;<br /> Zum einen als QR-Code, den Sie einfach mit der Smartphone App abfotografieren können, und zum anderen in Text-Form zum eingeben über die Tastatur. <br /> <br /> Diesen Code können Sie ändern, indem Sie über den Button [[Datei:UTM_V115_AktB.png|20px]] automatische einen neuen Code erzeugen lassen.<br /> <br /> <br /> <br /> <br /> <br /> ====Eintragen eines Code====<br /> Weiterhin können Sie über [[Datei:UTM_V115_PB.png|20px]] manuell einen 16-stelligen base32 oder HEX kodierten Schlüssel eingeben. Dieses wird zum Beispiel benötigt, wenn Sie über einen Hardware Token wie dem OTP c200 vom Lieferanten einen Code erhalten, den Sie dann bei dem Benutzer hinterlegen. Beachten Sie, dass bei der Eingabe von einem HEX kodierten Schlüssel das Format und die Gültigkeitsdauer vor dem Schlüssel hinzugefügt werden muss, z.B. '''hex(60)'''A6ABBEF26746BC7121AE1764C2863826B98DD210.<br /> <br /> [[Datei:UTM_V115_OTPb32.png|250px|thumb|center|OTP base32 kopdiert]]<br /> [[Datei:UTM_V115_OTPhex.png|250px|thumb|center|OTP HEX kodiert]]<br /> <br /> ===OTP Secret===<br /> [[Datei:UTM_V115_OTPpdf.png|250px|thumb|right|OTP PDF Dokument]]<br /> Zur Weitergabe an die Benutzer haben Sie die Möglichkeit, die erstellten Codes auszudrucken. Klicken Sie dazu einfach auf [[Datei:UTM_V115_OTPCdr.png|120px]]<br /> <br /> Es wird dann ein Dokument im PDF Format erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Einrichten des Google Authenticator===<br /> <br /> Zunächst laden Sie sich den Google Authenticator aus dem App-Store herunter, installieren und öffen diesen.<br /> <br /> Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account, tippen Sie auf den Button ''Einstellungen''.&lt;br&gt;<br /> [[Datei:AND_GA_OTPkto.png|250px|thumb|right|OTP Konto hinzufügen]]<br /> Im nun erscheinenden Fenster ''Konto hinzufügen'' wählen Sie im Bereich ''Konto manuell hinzufügen'' entweder ''Barcode scannen'' oder ''Schlüssel eingeben''.<br /> <br /> <br /> <br /> Wenn Sie sich für ''Barcode scannen'' entscheiden, wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens &quot;Barcode Scanner&quot; installiert, sollte sich diese noch nicht bei Ihnen auf dem Smartphone befinden.&lt;br&gt;<br /> <br /> <br /> <br /> Ansonsten halten Sie die Kamera des Smartphone einfach in den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code und es wird automatisch ein Konto erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPkto2.png|250px|thumb|right|OTP Konto manuell hinzufügen]]<br /> <br /> Möchten Sie den QR-Code nicht abscannen, tippen Sie auf ''Schlüssel eingeben'', tragen Sie den Benutzernamen und den Code ein, wählen Sie Zeitbasiert und klicken auf Hinzufügen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPasswd.png|250px|thumb|right|One-Time-Passwort]]<br /> Im folgenden Fenster sehen Sie dann das Konto mit dem OTP-Code. &lt;br&gt;<br /> Dieser ändert sich alle 30 Sekunden. <br /> <br /> Die Zeitanzeige rechts gibt ihnen einen Überblick wie lange dieses OTP-Passwort noch aktiv ist.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Nutzung eines Hardware Token===<br /> Auch die Nutzung eines Hardware Token ist möglich. &lt;br&gt;<br /> Dabei sollte es sich um einen [http://www.ietf.org/rfc/rfc4226.txt RFC 4226] kompatiblen Passwort Generator handeln, der auch mit mod_authn_otp nutzbar ist.<br /> <br /> [[Datei:UTM115_AI_OTPhex60.png|250px|thumb|right|OTP c200 HEX Code]]<br /> Von unserer Seite wird derzeit der OTP c200 unterstützt.&lt;br&gt; Vom Lieferanten erhalten Sie einen HEX(60) Code, den Sie wie [[OTP_V11#Benutzer_mit_OTP_einrichten | oben]] beschrieben beim Benutzer hinterlegen.<br /> <br /> <br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |Achten Sie darauf, hier den Token Key einzutragen und nicht die Token ID.&lt;br&gt;<br /> Bei der ID handelt es sich eher um eine Seriennummer des Token, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen. Dieser wird Ihnen in der Regel auch immer separat zugestellt.<br /> |}<br /> <br /> <br /> <br /> <br /> ===OTP überprüfen===<br /> [[Datei:UTM_V115_OTPcp.png|250px|thumb|right|OTP überprüfen]]<br /> Um zu testen ob das OTP, das über die App generiert wird, auch funktioniert, klicken Sie unter ''Benutzer Bearbeiten'' im Abschnitt &quot;OTP&quot; auf den Button [[Datei:UTM_V115_OTPPB.png|20px]]<br /> <br /> In dem neu geöffneten Fenster geben Sie das Passwort ein, welches ihnen die App zu diesem Benutzer anzeigt und klicken auf [[Datei:UTM_V115_OTPokB.png|30px]]<br /> <br /> <br /> [[Datei:UTM_V115_OTPcpb.png|250px|thumb|right|OTP korrekt]]<br /> Wenn alles korrekt eingerichtet ist, erscheint eine entsprechende Meldung.<br /> &lt;br&gt;Info: Bei lokal angelegten Benutzern muss eine Benutzergruppe ausgewählt sein. Welche Berechtigung diese hat, ist nicht entscheidend.<br /> <br /> ===OTP den Anwendungen zuweisen===<br /> [[Datei:UTM_V115_OTPanw.png|250px|thumb|right|OTP Anwendungen]]<br /> Wechseln Sie über ''Authentifizierung'' zum Menüpunkt ''OTP''.&lt;br&gt;<br /> Hier wählen Sie die Anwendung aus, über die sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.<br /> Dieses kann bei folgenden Anmeldungen zum Einsatz kommen:<br /> <br /> ;Webinterfaces<br /> *Administrator-Webinterface<br /> *Anwender-Webinterface<br /> <br /> ;VPN Roadwarrior-Verbindungen<br /> *IPSec<br /> *SSL-VPN <br /> <br /> ;Firewall<br /> *SSH Konsole<br /> <br /> <br /> <br /> <br /> ===OTP benutzen===<br /> ====Webinterface====<br /> [[Datei:UTM_V115_OTPUlog.png|250px|thumb|right|Login mit OTP]]<br /> Bei einem Login auf das Administrations- oder User-Webinterface erhalten Sie nun ein weiteres Authentifikationsfeld mit der Bezeichnung ''OTP Code:''. <br /> <br /> Hier tragen Sie zusätzlich zum Benutzernamen und Passwort, den in der App generierten Code ein.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ====VPN====<br /> [[Datei:UTM_SSLCL_Kab.png|250px|thumb|right|SSL_VPN Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung einsetzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345<br /> <br /> <br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> <br /> ====Konsole====<br /> [[Datei:UTM SSH Login.png|250px|thumb|right|SSH Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSH-Konsole nutzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345</div> Chris https://wiki.securepoint.de/index.php?title=UTM/AUTH/OTP_v11.7&diff=9502 UTM/AUTH/OTP v11.7 2016-12-02T14:52:28Z <p>Chris: /* OTP überprüfen */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11.5}}<br /> <br /> <br /> &lt;span style=color:red&gt;&lt;b&gt;Wichtige Hinweise bei Verwendung des OTP-Verfahrens&lt;/b&gt;&lt;br&gt;&lt;/span&gt;<br /> <br /> Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.&lt;br&gt;<br /> <br /> &lt;span style=color:red&gt;Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss &lt;u&gt;&lt;b&gt;jeder&lt;/b&gt; Administrator&lt;/u&gt; über diesen Token verfügen, um auf das Gerät zugreifen zu können.&lt;br&gt;&lt;/span&gt;<br /> Eine Ausnahme auf User-Basis ist nicht möglich&lt;br&gt;&lt;br&gt;<br /> SSL-VPN:&lt;br&gt;<br /> Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.&lt;br&gt;&lt;br&gt;<br /> Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.&lt;br&gt;<br /> Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.&lt;br&gt;&lt;br&gt;<br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |&lt;span style=color:red&gt;&lt;b&gt;Achtung!&lt;br&gt;<br /> Denken Sie bitte daran, dass im Falle eines Ausfalls des Smartphones, das OTP nicht mehr generiert werden kann und Sie keinen Zugriff auf die ausgewählten Funktionen der UTM haben.&lt;br&gt;<br /> Sollte sich dieses auch auf die Administration der UTM beziehen, müssten Sie diese Firewall komplett neu aufsetzen.&lt;br&gt;&lt;br&gt;<br /> |}<br /> <br /> Am besten drucken Sie sich diesen Code für die Administratoren wie unter [[OTP_V11#OTP_Secret | OTP Secret]] beschrieben aus und legen Sie zu Ihrer Dokumentation.&lt;/b&gt;<br /> <br /> &lt;span style=color:red&gt;Da das OTP-Verfahren Zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.&lt;br&gt;&lt;/span&gt;<br /> Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:&lt;br&gt;<br /> *Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date get'''''<br /> *Über die Root Konsole mit dem Kommando '''''date'''''<br /> <br /> <br /> Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:&lt;br&gt;<br /> * Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date set date''''' anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss<br /> <br /> <br /> =OTP - One-Time-Password=<br /> <br /> Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.&lt;br&gt;<br /> In der UTM setzen wir das Zeit-Basierte-Verfahren ein (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.<br /> <br /> Um dieses 6 stellige Passwort zu generieren, nutzen wir als Token eine Smartphone App wie den [https://de.wikipedia.org/wiki/Google_Authenticator Google Authenticator]. Diese ist sowohl für [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android] als auch für [https://itunes.apple.com/de/app/google-authenticator/id388497605?mt=8 iOS] Geräte verfügbar.&lt;br&gt;<br /> Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.<br /> <br /> ==OTP einrichten==<br /> <br /> ===&lt;span style=color:red&gt;Ablauf bei Aktivierung===<br /> 1. Stellen Sie sicher, dass die Uhrzeit der UTM und dem Token synchron läuft&lt;br&gt;<br /> 2. Übertragen Sie den Geheimcode an den Token&lt;br&gt;<br /> 3. Aktivieren Sie das OTP Verfahren auf der UTM&lt;br&gt;<br /> 4. Testen Sie die Anmeldung &lt;u&gt;bevor&lt;/u&gt; die aktuelle Session beendet wurde&lt;br&gt;&lt;br&gt;<br /> Ist das Verfahren aktiviert, muss sich &lt;u&gt;jeder Benutzer&lt;/u&gt; der ausgewählten Anwendungen zusätzlich per OTP anmelden.&lt;br&gt;<br /> Ausnahmen sind nicht möglich.&lt;/span&gt;<br /> <br /> ===Benutzer mit OTP einrichten===<br /> [[Datei:UTM_V115_OTPUser.png|250px|thumb|right|OTP Benutzer]]<br /> Zunächst legen Sie Ihre Benutzer unter Authentifizierung Benutzer wie gehabt an. Siehe dazu auch [[Benutzerverwaltung| Benutzerverwaltung]].<br /> <br /> Den OTP-Code für diesen Benutzer erhalten Sie erst, wenn die Eingaben zum Benutzer gespeichert wurden.&lt;br&gt;<br /> Um diesen zu sehen oder zu ändern, klicken Sie auf den editieren Button in der Benutzer Zeile und wechseln Sie auf den Reiter ''OTP'' auf der rechten Seite.&lt;br&gt;<br /> <br /> <br /> <br /> <br /> <br /> ====Automatisches erstellen eines Code====<br /> [[Datei:UTM_V115_OTPCode.png|250px|thumb|right|OTP Code]]<br /> Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.&lt;br&gt;<br /> Zum einen als QR-Code, den Sie einfach mit der Smartphone App abfotografieren können, und zum anderen in Text-Form zum eingeben über die Tastatur. <br /> <br /> Diesen Code können Sie ändern, indem Sie über den Button [[Datei:UTM_V115_AktB.png|20px]] automatische einen neuen Code erzeugen lassen.<br /> <br /> <br /> <br /> <br /> <br /> ====Eintragen eines Code====<br /> Weiterhin können Sie über [[Datei:UTM_V115_PB.png|20px]] manuell einen 16-stelligen base32 oder HEX kodierten Schlüssel eingeben. Dieses wird zum Beispiel benötigt, wenn Sie über einen Hardware Token wie dem OTP c200 vom Lieferanten einen Code erhalten, den Sie dann bei dem Benutzer hinterlegen. Beachten Sie, dass bei der Eingabe von einem HEX kodierten Schlüssel das Format und die Gültigkeitsdauer vor dem Schlüssel hinzugefügt werden muss, z.B. '''hex(60)'''A6ABBEF26746BC7121AE1764C2863826B98DD210.<br /> <br /> [[Datei:UTM_V115_OTPb32.png|250px|thumb|center|OTP base32 kopdiert]]<br /> [[Datei:UTM_V115_OTPhex.png|250px|thumb|center|OTP HEX kodiert]]<br /> <br /> ===OTP Secret===<br /> [[Datei:UTM_V115_OTPpdf.png|250px|thumb|right|OTP PDF Dokument]]<br /> Zur Weitergabe an die Benutzer haben Sie die Möglichkeit, die erstellten Codes auszudrucken. Klicken Sie dazu einfach auf [[Datei:UTM_V115_OTPCdr.png|120px]]<br /> <br /> Es wird dann ein Dokument im PDF Format erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Einrichten des Google Authenticator===<br /> <br /> Zunächst laden Sie sich den Google Authenticator aus dem App-Store herunter, installieren und öffen diesen.<br /> <br /> Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account, tippen Sie auf den Button ''Einstellungen''.&lt;br&gt;<br /> [[Datei:AND_GA_OTPkto.png|250px|thumb|right|OTP Konto hinzufügen]]<br /> Im nun erscheinenden Fenster ''Konto hinzufügen'' wählen Sie im Bereich ''Konto manuell hinzufügen'' entweder ''Barcode scannen'' oder ''Schlüssel eingeben''.<br /> <br /> <br /> <br /> Wenn Sie sich für ''Barcode scannen'' entscheiden, wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens &quot;Barcode Scanner&quot; installiert, sollte sich diese noch nicht bei Ihnen auf dem Smartphone befinden.&lt;br&gt;<br /> <br /> <br /> <br /> Ansonsten halten Sie die Kamera des Smartphone einfach in den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code und es wird automatisch ein Konto erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPkto2.png|250px|thumb|right|OTP Konto manuell hinzufügen]]<br /> <br /> Möchten Sie den QR-Code nicht abscannen, tippen Sie auf ''Schlüssel eingeben'', tragen Sie den Benutzernamen und den Code ein, wählen Sie Zeitbasiert und klicken auf Hinzufügen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPasswd.png|250px|thumb|right|One-Time-Passwort]]<br /> Im folgenden Fenster sehen Sie dann das Konto mit dem OTP-Code. &lt;br&gt;<br /> Dieser ändert sich alle 30 Sekunden. <br /> <br /> Die Zeitanzeige rechts gibt ihnen einen Überblick wie lange dieses OTP-Passwort noch aktiv ist.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Nutzung eines Hardware Token===<br /> Auch die Nutzung eines Hardware Token ist möglich. &lt;br&gt;<br /> Dabei sollte es sich um einen [http://www.ietf.org/rfc/rfc4226.txt RFC 4226] kompatiblen Passwort Generator handeln, der auch mit mod_authn_otp nutzbar ist.<br /> <br /> [[Datei:UTM115_AI_OTPhex60.png|250px|thumb|right|OTP c200 HEX Code]]<br /> Von unserer Seite wird derzeit der OTP c200 unterstützt.&lt;br&gt; Vom Lieferanten erhalten Sie einen HEX(60) Code, den Sie wie [[OTP_V11#Benutzer_mit_OTP_einrichten | oben]] beschrieben beim Benutzer hinterlegen.<br /> <br /> <br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |Achten Sie darauf, hier den Token Key einzutragen und nicht die Token ID.&lt;br&gt;<br /> Bei der ID handelt es sich eher um eine Seriennummer des Token, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen. Dieser wird Ihnen in der Regel auch immer separat zugestellt.<br /> |}<br /> <br /> <br /> <br /> <br /> ===OTP überprüfen===<br /> [[Datei:UTM_V115_OTPcp.png|250px|thumb|right|OTP überprüfen]]<br /> Um zu testen ob das OTP, das über die App generiert wird, auch funktioniert, klicken Sie unter ''Benutzer Bearbeiten'' im Abschnitt &quot;OTP&quot; auf den Button [[Datei:UTM_V115_OTPPB.png|20px]]<br /> <br /> In dem neu geöffneten Fenster geben Sie das Passwort ein, welches ihnen die App zu diesem Benutzer anzeigt und klicken auf [[Datei:UTM_V115_OTPokB.png|30px]]<br /> <br /> <br /> [[Datei:UTM_V115_OTPcpb.png|250px|thumb|right|OTP korrekt]]<br /> Wenn alles korrekt eingerichtet ist, erscheint eine entsprechende Meldung.<br /> Info: Bei lokal angelegten Benutzern muss eine Benutzergruppe ausgewählt sein. Welche Berechtigung diese hat, ist nicht entscheidend.<br /> <br /> ===OTP den Anwendungen zuweisen===<br /> [[Datei:UTM_V115_OTPanw.png|250px|thumb|right|OTP Anwendungen]]<br /> Wechseln Sie über ''Authentifizierung'' zum Menüpunkt ''OTP''.&lt;br&gt;<br /> Hier wählen Sie die Anwendung aus, über die sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.<br /> Dieses kann bei folgenden Anmeldungen zum Einsatz kommen:<br /> <br /> ;Webinterfaces<br /> *Administrator-Webinterface<br /> *Anwender-Webinterface<br /> <br /> ;VPN Roadwarrior-Verbindungen<br /> *IPSec<br /> *SSL-VPN <br /> <br /> ;Firewall<br /> *SSH Konsole<br /> <br /> <br /> <br /> <br /> ===OTP benutzen===<br /> ====Webinterface====<br /> [[Datei:UTM_V115_OTPUlog.png|250px|thumb|right|Login mit OTP]]<br /> Bei einem Login auf das Administrations- oder User-Webinterface erhalten Sie nun ein weiteres Authentifikationsfeld mit der Bezeichnung ''OTP Code:''. <br /> <br /> Hier tragen Sie zusätzlich zum Benutzernamen und Passwort, den in der App generierten Code ein.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ====VPN====<br /> [[Datei:UTM_SSLCL_Kab.png|250px|thumb|right|SSL_VPN Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung einsetzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345<br /> <br /> <br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> <br /> ====Konsole====<br /> [[Datei:UTM SSH Login.png|250px|thumb|right|SSH Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSH-Konsole nutzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345</div> Chris https://wiki.securepoint.de/index.php?title=UTM/AUTH/OTP_v11.7&diff=9501 UTM/AUTH/OTP v11.7 2016-12-02T14:51:58Z <p>Chris: /* OTP überprüfen */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11.5}}<br /> <br /> <br /> &lt;span style=color:red&gt;&lt;b&gt;Wichtige Hinweise bei Verwendung des OTP-Verfahrens&lt;/b&gt;&lt;br&gt;&lt;/span&gt;<br /> <br /> Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.&lt;br&gt;<br /> <br /> &lt;span style=color:red&gt;Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss &lt;u&gt;&lt;b&gt;jeder&lt;/b&gt; Administrator&lt;/u&gt; über diesen Token verfügen, um auf das Gerät zugreifen zu können.&lt;br&gt;&lt;/span&gt;<br /> Eine Ausnahme auf User-Basis ist nicht möglich&lt;br&gt;&lt;br&gt;<br /> SSL-VPN:&lt;br&gt;<br /> Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.&lt;br&gt;&lt;br&gt;<br /> Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.&lt;br&gt;<br /> Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.&lt;br&gt;&lt;br&gt;<br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |&lt;span style=color:red&gt;&lt;b&gt;Achtung!&lt;br&gt;<br /> Denken Sie bitte daran, dass im Falle eines Ausfalls des Smartphones, das OTP nicht mehr generiert werden kann und Sie keinen Zugriff auf die ausgewählten Funktionen der UTM haben.&lt;br&gt;<br /> Sollte sich dieses auch auf die Administration der UTM beziehen, müssten Sie diese Firewall komplett neu aufsetzen.&lt;br&gt;&lt;br&gt;<br /> |}<br /> <br /> Am besten drucken Sie sich diesen Code für die Administratoren wie unter [[OTP_V11#OTP_Secret | OTP Secret]] beschrieben aus und legen Sie zu Ihrer Dokumentation.&lt;/b&gt;<br /> <br /> &lt;span style=color:red&gt;Da das OTP-Verfahren Zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.&lt;br&gt;&lt;/span&gt;<br /> Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:&lt;br&gt;<br /> *Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date get'''''<br /> *Über die Root Konsole mit dem Kommando '''''date'''''<br /> <br /> <br /> Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:&lt;br&gt;<br /> * Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date set date''''' anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss<br /> <br /> <br /> =OTP - One-Time-Password=<br /> <br /> Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.&lt;br&gt;<br /> In der UTM setzen wir das Zeit-Basierte-Verfahren ein (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.<br /> <br /> Um dieses 6 stellige Passwort zu generieren, nutzen wir als Token eine Smartphone App wie den [https://de.wikipedia.org/wiki/Google_Authenticator Google Authenticator]. Diese ist sowohl für [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android] als auch für [https://itunes.apple.com/de/app/google-authenticator/id388497605?mt=8 iOS] Geräte verfügbar.&lt;br&gt;<br /> Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.<br /> <br /> ==OTP einrichten==<br /> <br /> ===&lt;span style=color:red&gt;Ablauf bei Aktivierung===<br /> 1. Stellen Sie sicher, dass die Uhrzeit der UTM und dem Token synchron läuft&lt;br&gt;<br /> 2. Übertragen Sie den Geheimcode an den Token&lt;br&gt;<br /> 3. Aktivieren Sie das OTP Verfahren auf der UTM&lt;br&gt;<br /> 4. Testen Sie die Anmeldung &lt;u&gt;bevor&lt;/u&gt; die aktuelle Session beendet wurde&lt;br&gt;&lt;br&gt;<br /> Ist das Verfahren aktiviert, muss sich &lt;u&gt;jeder Benutzer&lt;/u&gt; der ausgewählten Anwendungen zusätzlich per OTP anmelden.&lt;br&gt;<br /> Ausnahmen sind nicht möglich.&lt;/span&gt;<br /> <br /> ===Benutzer mit OTP einrichten===<br /> [[Datei:UTM_V115_OTPUser.png|250px|thumb|right|OTP Benutzer]]<br /> Zunächst legen Sie Ihre Benutzer unter Authentifizierung Benutzer wie gehabt an. Siehe dazu auch [[Benutzerverwaltung| Benutzerverwaltung]].<br /> <br /> Den OTP-Code für diesen Benutzer erhalten Sie erst, wenn die Eingaben zum Benutzer gespeichert wurden.&lt;br&gt;<br /> Um diesen zu sehen oder zu ändern, klicken Sie auf den editieren Button in der Benutzer Zeile und wechseln Sie auf den Reiter ''OTP'' auf der rechten Seite.&lt;br&gt;<br /> <br /> <br /> <br /> <br /> <br /> ====Automatisches erstellen eines Code====<br /> [[Datei:UTM_V115_OTPCode.png|250px|thumb|right|OTP Code]]<br /> Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.&lt;br&gt;<br /> Zum einen als QR-Code, den Sie einfach mit der Smartphone App abfotografieren können, und zum anderen in Text-Form zum eingeben über die Tastatur. <br /> <br /> Diesen Code können Sie ändern, indem Sie über den Button [[Datei:UTM_V115_AktB.png|20px]] automatische einen neuen Code erzeugen lassen.<br /> <br /> <br /> <br /> <br /> <br /> ====Eintragen eines Code====<br /> Weiterhin können Sie über [[Datei:UTM_V115_PB.png|20px]] manuell einen 16-stelligen base32 oder HEX kodierten Schlüssel eingeben. Dieses wird zum Beispiel benötigt, wenn Sie über einen Hardware Token wie dem OTP c200 vom Lieferanten einen Code erhalten, den Sie dann bei dem Benutzer hinterlegen. Beachten Sie, dass bei der Eingabe von einem HEX kodierten Schlüssel das Format und die Gültigkeitsdauer vor dem Schlüssel hinzugefügt werden muss, z.B. '''hex(60)'''A6ABBEF26746BC7121AE1764C2863826B98DD210.<br /> <br /> [[Datei:UTM_V115_OTPb32.png|250px|thumb|center|OTP base32 kopdiert]]<br /> [[Datei:UTM_V115_OTPhex.png|250px|thumb|center|OTP HEX kodiert]]<br /> <br /> ===OTP Secret===<br /> [[Datei:UTM_V115_OTPpdf.png|250px|thumb|right|OTP PDF Dokument]]<br /> Zur Weitergabe an die Benutzer haben Sie die Möglichkeit, die erstellten Codes auszudrucken. Klicken Sie dazu einfach auf [[Datei:UTM_V115_OTPCdr.png|120px]]<br /> <br /> Es wird dann ein Dokument im PDF Format erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Einrichten des Google Authenticator===<br /> <br /> Zunächst laden Sie sich den Google Authenticator aus dem App-Store herunter, installieren und öffen diesen.<br /> <br /> Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account, tippen Sie auf den Button ''Einstellungen''.&lt;br&gt;<br /> [[Datei:AND_GA_OTPkto.png|250px|thumb|right|OTP Konto hinzufügen]]<br /> Im nun erscheinenden Fenster ''Konto hinzufügen'' wählen Sie im Bereich ''Konto manuell hinzufügen'' entweder ''Barcode scannen'' oder ''Schlüssel eingeben''.<br /> <br /> <br /> <br /> Wenn Sie sich für ''Barcode scannen'' entscheiden, wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens &quot;Barcode Scanner&quot; installiert, sollte sich diese noch nicht bei Ihnen auf dem Smartphone befinden.&lt;br&gt;<br /> <br /> <br /> <br /> Ansonsten halten Sie die Kamera des Smartphone einfach in den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code und es wird automatisch ein Konto erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPkto2.png|250px|thumb|right|OTP Konto manuell hinzufügen]]<br /> <br /> Möchten Sie den QR-Code nicht abscannen, tippen Sie auf ''Schlüssel eingeben'', tragen Sie den Benutzernamen und den Code ein, wählen Sie Zeitbasiert und klicken auf Hinzufügen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPasswd.png|250px|thumb|right|One-Time-Passwort]]<br /> Im folgenden Fenster sehen Sie dann das Konto mit dem OTP-Code. &lt;br&gt;<br /> Dieser ändert sich alle 30 Sekunden. <br /> <br /> Die Zeitanzeige rechts gibt ihnen einen Überblick wie lange dieses OTP-Passwort noch aktiv ist.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Nutzung eines Hardware Token===<br /> Auch die Nutzung eines Hardware Token ist möglich. &lt;br&gt;<br /> Dabei sollte es sich um einen [http://www.ietf.org/rfc/rfc4226.txt RFC 4226] kompatiblen Passwort Generator handeln, der auch mit mod_authn_otp nutzbar ist.<br /> <br /> [[Datei:UTM115_AI_OTPhex60.png|250px|thumb|right|OTP c200 HEX Code]]<br /> Von unserer Seite wird derzeit der OTP c200 unterstützt.&lt;br&gt; Vom Lieferanten erhalten Sie einen HEX(60) Code, den Sie wie [[OTP_V11#Benutzer_mit_OTP_einrichten | oben]] beschrieben beim Benutzer hinterlegen.<br /> <br /> <br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |Achten Sie darauf, hier den Token Key einzutragen und nicht die Token ID.&lt;br&gt;<br /> Bei der ID handelt es sich eher um eine Seriennummer des Token, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen. Dieser wird Ihnen in der Regel auch immer separat zugestellt.<br /> |}<br /> <br /> <br /> <br /> <br /> ===OTP überprüfen===<br /> [[Datei:UTM_V115_OTPcp.png|250px|thumb|right|OTP überprüfen]]<br /> Um zu testen ob das OTP, das über die App generiert wird, auch funktioniert, klicken Sie unter ''Benutzer Bearbeiten'' im Abschnitt &quot;OTP&quot; auf den Button [[Datei:UTM_V115_OTPPB.png|20px]]<br /> <br /> In dem neu geöffneten Fenster geben Sie das Passwort ein, welches ihnen die App zu diesem Benutzer anzeigt und klicken auf [[Datei:UTM_V115_OTPokB.png|30px]]<br /> <br /> <br /> [[Datei:UTM_V115_OTPcpb.png|250px|thumb|right|OTP korrekt]]<br /> Wenn alles korrekt eingerichtet ist, erscheint eine entsprechende Meldung.<br /> <br /> Info: Bei lokal angelegten Benutzern muss eine Benutzergruppe ausgewählt sein. Welche Berechtigung diese hat, ist nicht entscheidend.<br /> <br /> ===OTP den Anwendungen zuweisen===<br /> [[Datei:UTM_V115_OTPanw.png|250px|thumb|right|OTP Anwendungen]]<br /> Wechseln Sie über ''Authentifizierung'' zum Menüpunkt ''OTP''.&lt;br&gt;<br /> Hier wählen Sie die Anwendung aus, über die sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.<br /> Dieses kann bei folgenden Anmeldungen zum Einsatz kommen:<br /> <br /> ;Webinterfaces<br /> *Administrator-Webinterface<br /> *Anwender-Webinterface<br /> <br /> ;VPN Roadwarrior-Verbindungen<br /> *IPSec<br /> *SSL-VPN <br /> <br /> ;Firewall<br /> *SSH Konsole<br /> <br /> <br /> <br /> <br /> ===OTP benutzen===<br /> ====Webinterface====<br /> [[Datei:UTM_V115_OTPUlog.png|250px|thumb|right|Login mit OTP]]<br /> Bei einem Login auf das Administrations- oder User-Webinterface erhalten Sie nun ein weiteres Authentifikationsfeld mit der Bezeichnung ''OTP Code:''. <br /> <br /> Hier tragen Sie zusätzlich zum Benutzernamen und Passwort, den in der App generierten Code ein.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ====VPN====<br /> [[Datei:UTM_SSLCL_Kab.png|250px|thumb|right|SSL_VPN Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung einsetzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345<br /> <br /> <br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> <br /> ====Konsole====<br /> [[Datei:UTM SSH Login.png|250px|thumb|right|SSH Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSH-Konsole nutzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345</div> Chris https://wiki.securepoint.de/index.php?title=UTM/AUTH/OTP_v11.7&diff=8567 UTM/AUTH/OTP v11.7 2016-04-21T12:35:31Z <p>Chris: /* Eintragen eines Code */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11.5}}<br /> <br /> <br /> &lt;span style=color:red&gt;&lt;b&gt;Wichtige Hinweise bei Verwendung des OTP-Verfahrens&lt;/b&gt;&lt;br&gt;&lt;/span&gt;<br /> <br /> Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.&lt;br&gt;<br /> <br /> &lt;span style=color:red&gt;Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss &lt;u&gt;&lt;b&gt;jeder&lt;/b&gt; Administrator&lt;/u&gt; über diesen Token verfügen, um auf das Gerät zugreifen zu können.&lt;br&gt;&lt;/span&gt;<br /> Eine Ausnahme auf User-Basis ist nicht möglich&lt;br&gt;&lt;br&gt;<br /> SSL-VPN:&lt;br&gt;<br /> Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.&lt;br&gt;&lt;br&gt;<br /> Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.&lt;br&gt;<br /> Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.&lt;br&gt;&lt;br&gt;<br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |&lt;span style=color:red&gt;&lt;b&gt;Achtung!&lt;br&gt;<br /> Denken Sie bitte daran, dass im Falle eines Ausfalls des Smartphones, das OTP nicht mehr generiert werden kann und Sie keinen Zugriff auf die ausgewählten Funktionen der UTM haben.&lt;br&gt;<br /> Sollte sich dieses auch auf die Administration der UTM beziehen, müssten Sie diese Firewall komplett neu aufsetzen.&lt;br&gt;&lt;br&gt;<br /> |}<br /> <br /> Am besten drucken Sie sich diesen Code für die Administratoren wie unter [[OTP_V11#OTP_Secret | OTP Secret]] beschrieben aus und legen Sie zu Ihrer Dokumentation.&lt;/b&gt;<br /> <br /> &lt;span style=color:red&gt;Da das OTP-Verfahren Zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.&lt;br&gt;&lt;/span&gt;<br /> Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:&lt;br&gt;<br /> *Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date get'''''<br /> *Über die Root Konsole mit dem Kommando '''''date'''''<br /> <br /> <br /> Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:&lt;br&gt;<br /> * Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date set date''''' anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss<br /> <br /> <br /> =OTP - One-Time-Password=<br /> <br /> Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.&lt;br&gt;<br /> In der UTM setzen wir das Zeit-Basierte-Verfahren ein (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.<br /> <br /> Um dieses 6 stellige Passwort zu generieren, nutzen wir als Token eine Smartphone App wie den [https://de.wikipedia.org/wiki/Google_Authenticator Google Authenticator]. Diese ist sowohl für [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android] als auch für [https://itunes.apple.com/de/app/google-authenticator/id388497605?mt=8 iOS] Geräte verfügbar.&lt;br&gt;<br /> Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.<br /> <br /> ==OTP einrichten==<br /> <br /> ===&lt;span style=color:red&gt;Ablauf bei Aktivierung===<br /> 1. Stellen Sie sicher, dass die Uhrzeit der UTM und dem Token synchron läuft&lt;br&gt;<br /> 2. Übertragen Sie den Geheimcode an den Token&lt;br&gt;<br /> 3. Aktivieren Sie das OTP Verfahren auf der UTM&lt;br&gt;<br /> 4. Testen Sie die Anmeldung &lt;u&gt;bevor&lt;/u&gt; die aktuelle Session beendet wurde&lt;br&gt;&lt;br&gt;<br /> Ist das Verfahren aktiviert, muss sich &lt;u&gt;jeder Benutzer&lt;/u&gt; der ausgewählten Anwendungen zusätzlich per OTP anmelden.&lt;br&gt;<br /> Ausnahmen sind nicht möglich.&lt;/span&gt;<br /> <br /> ===Benutzer mit OTP einrichten===<br /> [[Datei:UTM_V115_OTPUser.png|250px|thumb|right|OTP Benutzer]]<br /> Zunächst legen Sie Ihre Benutzer unter Authentifizierung Benutzer wie gehabt an. Siehe dazu auch [[Benutzerverwaltung| Benutzerverwaltung]].<br /> <br /> Den OTP-Code für diesen Benutzer erhalten Sie erst, wenn die Eingaben zum Benutzer gespeichert wurden.&lt;br&gt;<br /> Um diesen zu sehen oder zu ändern, klicken Sie auf den editieren Button in der Benutzer Zeile und wechseln Sie auf den Reiter ''OTP'' auf der rechten Seite.&lt;br&gt;<br /> <br /> <br /> <br /> <br /> <br /> ====Automatisches erstellen eines Code====<br /> [[Datei:UTM_V115_OTPCode.png|250px|thumb|right|OTP Code]]<br /> Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.&lt;br&gt;<br /> Zum einen als QR-Code, den Sie einfach mit der Smartphone App abfotografieren können, und zum anderen in Text-Form zum eingeben über die Tastatur. <br /> <br /> Diesen Code können Sie ändern, indem Sie über den Button [[Datei:UTM_V115_AktB.png|20px]] automatische einen neuen Code erzeugen lassen.<br /> <br /> <br /> <br /> <br /> <br /> ====Eintragen eines Code====<br /> Weiterhin können Sie über [[Datei:UTM_V115_PB.png|20px]] manuell einen 16-stelligen base32 oder HEX kodierten Schlüssel eingeben. Dieses wird zum Beispiel benötigt, wenn Sie über einen Hardware Token wie dem OTP c200 vom Lieferanten einen Code erhalten, den Sie dann bei dem Benutzer hinterlegen. Beachten Sie, dass bei der Eingabe von einem HEX kodierten Schlüssel das Format und die Gültigkeitsdauer vor dem Schlüssel hinzugefügt werden muss, z.B. '''hex(60)'''A6ABBEF26746BC7121AE1764C2863826B98DD210.<br /> <br /> [[Datei:UTM_V115_OTPb32.png|250px|thumb|center|OTP base32 kopdiert]]<br /> [[Datei:UTM_V115_OTPhex.png|250px|thumb|center|OTP HEX kodiert]]<br /> <br /> ===OTP Secret===<br /> [[Datei:UTM_V115_OTPpdf.png|250px|thumb|right|OTP PDF Dokument]]<br /> Zur Weitergabe an die Benutzer haben Sie die Möglichkeit, die erstellten Codes auszudrucken. Klicken Sie dazu einfach auf [[Datei:UTM_V115_OTPCdr.png|120px]]<br /> <br /> Es wird dann ein Dokument im PDF Format erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Einrichten des Google Authenticator===<br /> <br /> Zunächst laden Sie sich den Google Authenticator aus dem App-Store herunter, installieren und öffen diesen.<br /> <br /> Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account, tippen Sie auf den Button ''Einstellungen''.&lt;br&gt;<br /> [[Datei:AND_GA_OTPkto.png|250px|thumb|right|OTP Konto hinzufügen]]<br /> Im nun erscheinenden Fenster ''Konto hinzufügen'' wählen Sie im Bereich ''Konto manuell hinzufügen'' entweder ''Barcode scannen'' oder ''Schlüssel eingeben''.<br /> <br /> <br /> <br /> Wenn Sie sich für ''Barcode scannen'' entscheiden, wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens &quot;Barcode Scanner&quot; installiert, sollte sich diese noch nicht bei Ihnen auf dem Smartphone befinden.&lt;br&gt;<br /> <br /> <br /> <br /> Ansonsten halten Sie die Kamera des Smartphone einfach in den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code und es wird automatisch ein Konto erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPkto2.png|250px|thumb|right|OTP Konto manuell hinzufügen]]<br /> <br /> Möchten Sie den QR-Code nicht abscannen, tippen Sie auf ''Schlüssel eingeben'', tragen Sie den Benutzernamen und den Code ein, wählen Sie Zeitbasiert und klicken auf Hinzufügen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPasswd.png|250px|thumb|right|One-Time-Passwort]]<br /> Im folgenden Fenster sehen Sie dann das Konto mit dem OTP-Code. &lt;br&gt;<br /> Dieser ändert sich alle 30 Sekunden. <br /> <br /> Die Zeitanzeige rechts gibt ihnen einen Überblick wie lange dieses OTP-Passwort noch aktiv ist.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Nutzung eines Hardware Token===<br /> Auch die Nutzung eines Hardware Token ist möglich. &lt;br&gt;<br /> Dabei sollte es sich um einen [http://www.ietf.org/rfc/rfc4226.txt RFC 4226] kompatiblen Passwort Generator handeln, der auch mit mod_authn_otp nutzbar ist.<br /> <br /> [[Datei:UTM115_AI_OTPhex60.png|250px|thumb|right|OTP c200 HEX Code]]<br /> Von unserer Seite wird derzeit der OTP c200 unterstützt.&lt;br&gt; Vom Lieferanten erhalten Sie einen HEX(60) Code, den Sie wie [[OTP_V11#Benutzer_mit_OTP_einrichten | oben]] beschrieben beim Benutzer hinterlegen.<br /> <br /> <br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |Achten Sie darauf, hier den Token Key einzutragen und nicht die Token ID.&lt;br&gt;<br /> Bei der ID handelt es sich eher um eine Seriennummer des Token, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen. Dieser wird Ihnen in der Regel auch immer separat zugestellt.<br /> |}<br /> <br /> <br /> <br /> <br /> ===OTP überprüfen===<br /> [[Datei:UTM_V115_OTPcp.png|250px|thumb|right|OTP überprüfen]]<br /> Um zu testen ob das OTP, das über die App generiert wird, auch funktioniert, klicken Sie unter ''Benutzer Bearbeiten'' im Abschnitt &quot;OTP&quot; auf den Button [[Datei:UTM_V115_OTPPB.png|20px]]<br /> <br /> In dem neu geöffneten Fenster geben Sie das Passwort ein, welches ihnen die App zu diesem Benutzer anzeigt und klicken auf [[Datei:UTM_V115_OTPokB.png|30px]]<br /> <br /> <br /> [[Datei:UTM_V115_OTPcpb.png|250px|thumb|right|OTP korrekt]]<br /> Wenn alles korrekt eingerichtet ist, erscheint eine entsprechende Meldung.<br /> <br /> <br /> <br /> <br /> <br /> <br /> ===OTP den Anwendungen zuweisen===<br /> [[Datei:UTM_V115_OTPanw.png|250px|thumb|right|OTP Anwendungen]]<br /> Wechseln Sie über ''Authentifizierung'' zum Menüpunkt ''OTP''.&lt;br&gt;<br /> Hier wählen Sie die Anwendung aus, über die sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.<br /> Dieses kann bei folgenden Anmeldungen zum Einsatz kommen:<br /> <br /> ;Webinterfaces<br /> *Administrator-Webinterface<br /> *Anwender-Webinterface<br /> <br /> ;VPN Roadwarrior-Verbindungen<br /> *IPSec<br /> *SSL-VPN <br /> <br /> ;Firewall<br /> *SSH Konsole<br /> <br /> <br /> <br /> <br /> ===OTP benutzen===<br /> ====Webinterface====<br /> [[Datei:UTM_V115_OTPUlog.png|250px|thumb|right|Login mit OTP]]<br /> Bei einem Login auf das Administrations- oder User-Webinterface erhalten Sie nun ein weiteres Authentifikationsfeld mit der Bezeichnung ''OTP Code:''. <br /> <br /> Hier tragen Sie zusätzlich zum Benutzernamen und Passwort, den in der App generierten Code ein.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ====VPN====<br /> [[Datei:UTM_SSLCL_Kab.png|250px|thumb|right|SSL_VPN Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung einsetzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345<br /> <br /> <br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> <br /> ====Konsole====<br /> [[Datei:UTM SSH Login.png|250px|thumb|right|SSH Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSH-Konsole nutzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345</div> Chris https://wiki.securepoint.de/index.php?title=UTM/AUTH/OTP_v11.7&diff=8566 UTM/AUTH/OTP v11.7 2016-04-21T12:34:50Z <p>Chris: /* Eintragen eines Code */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11.5}}<br /> <br /> <br /> &lt;span style=color:red&gt;&lt;b&gt;Wichtige Hinweise bei Verwendung des OTP-Verfahrens&lt;/b&gt;&lt;br&gt;&lt;/span&gt;<br /> <br /> Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.&lt;br&gt;<br /> <br /> &lt;span style=color:red&gt;Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss &lt;u&gt;&lt;b&gt;jeder&lt;/b&gt; Administrator&lt;/u&gt; über diesen Token verfügen, um auf das Gerät zugreifen zu können.&lt;br&gt;&lt;/span&gt;<br /> Eine Ausnahme auf User-Basis ist nicht möglich&lt;br&gt;&lt;br&gt;<br /> SSL-VPN:&lt;br&gt;<br /> Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.&lt;br&gt;&lt;br&gt;<br /> Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.&lt;br&gt;<br /> Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.&lt;br&gt;&lt;br&gt;<br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |&lt;span style=color:red&gt;&lt;b&gt;Achtung!&lt;br&gt;<br /> Denken Sie bitte daran, dass im Falle eines Ausfalls des Smartphones, das OTP nicht mehr generiert werden kann und Sie keinen Zugriff auf die ausgewählten Funktionen der UTM haben.&lt;br&gt;<br /> Sollte sich dieses auch auf die Administration der UTM beziehen, müssten Sie diese Firewall komplett neu aufsetzen.&lt;br&gt;&lt;br&gt;<br /> |}<br /> <br /> Am besten drucken Sie sich diesen Code für die Administratoren wie unter [[OTP_V11#OTP_Secret | OTP Secret]] beschrieben aus und legen Sie zu Ihrer Dokumentation.&lt;/b&gt;<br /> <br /> &lt;span style=color:red&gt;Da das OTP-Verfahren Zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.&lt;br&gt;&lt;/span&gt;<br /> Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:&lt;br&gt;<br /> *Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date get'''''<br /> *Über die Root Konsole mit dem Kommando '''''date'''''<br /> <br /> <br /> Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:&lt;br&gt;<br /> * Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen<br /> *Über die CLI mit dem Kommando '''''system date set date''''' anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss<br /> <br /> <br /> =OTP - One-Time-Password=<br /> <br /> Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.&lt;br&gt;<br /> In der UTM setzen wir das Zeit-Basierte-Verfahren ein (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.<br /> <br /> Um dieses 6 stellige Passwort zu generieren, nutzen wir als Token eine Smartphone App wie den [https://de.wikipedia.org/wiki/Google_Authenticator Google Authenticator]. Diese ist sowohl für [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android] als auch für [https://itunes.apple.com/de/app/google-authenticator/id388497605?mt=8 iOS] Geräte verfügbar.&lt;br&gt;<br /> Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.<br /> <br /> ==OTP einrichten==<br /> <br /> ===&lt;span style=color:red&gt;Ablauf bei Aktivierung===<br /> 1. Stellen Sie sicher, dass die Uhrzeit der UTM und dem Token synchron läuft&lt;br&gt;<br /> 2. Übertragen Sie den Geheimcode an den Token&lt;br&gt;<br /> 3. Aktivieren Sie das OTP Verfahren auf der UTM&lt;br&gt;<br /> 4. Testen Sie die Anmeldung &lt;u&gt;bevor&lt;/u&gt; die aktuelle Session beendet wurde&lt;br&gt;&lt;br&gt;<br /> Ist das Verfahren aktiviert, muss sich &lt;u&gt;jeder Benutzer&lt;/u&gt; der ausgewählten Anwendungen zusätzlich per OTP anmelden.&lt;br&gt;<br /> Ausnahmen sind nicht möglich.&lt;/span&gt;<br /> <br /> ===Benutzer mit OTP einrichten===<br /> [[Datei:UTM_V115_OTPUser.png|250px|thumb|right|OTP Benutzer]]<br /> Zunächst legen Sie Ihre Benutzer unter Authentifizierung Benutzer wie gehabt an. Siehe dazu auch [[Benutzerverwaltung| Benutzerverwaltung]].<br /> <br /> Den OTP-Code für diesen Benutzer erhalten Sie erst, wenn die Eingaben zum Benutzer gespeichert wurden.&lt;br&gt;<br /> Um diesen zu sehen oder zu ändern, klicken Sie auf den editieren Button in der Benutzer Zeile und wechseln Sie auf den Reiter ''OTP'' auf der rechten Seite.&lt;br&gt;<br /> <br /> <br /> <br /> <br /> <br /> ====Automatisches erstellen eines Code====<br /> [[Datei:UTM_V115_OTPCode.png|250px|thumb|right|OTP Code]]<br /> Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.&lt;br&gt;<br /> Zum einen als QR-Code, den Sie einfach mit der Smartphone App abfotografieren können, und zum anderen in Text-Form zum eingeben über die Tastatur. <br /> <br /> Diesen Code können Sie ändern, indem Sie über den Button [[Datei:UTM_V115_AktB.png|20px]] automatische einen neuen Code erzeugen lassen.<br /> <br /> <br /> <br /> <br /> <br /> ====Eintragen eines Code====<br /> Weiterhin können Sie über [[Datei:UTM_V115_PB.png|20px]] manuell einen 16-stelligen base32 oder HEX kodierten Schlüssel eingeben. Dieses wird zum Beispiel benötigt, wenn Sie über einen Hardware Token wie dem OTP c200 vom Lieferanten einen Code erhalten, den Sie dann bei dem Benutzer hinterlegen. Beachten Sie, dass bei der Eingabe von einem HEX kodierten Schlüssel das Format und die Gültigkeitsdauer vor dem Schlüssel hinzugefügt werden muss, z.B. '''hex(60)'''A6ABBEF26746BC7121AE1764C2863826B98DD210<br /> <br /> [[Datei:UTM_V115_OTPb32.png|250px|thumb|center|OTP base32 kopdiert]]<br /> [[Datei:UTM_V115_OTPhex.png|250px|thumb|center|OTP HEX kodiert]]<br /> <br /> ===OTP Secret===<br /> [[Datei:UTM_V115_OTPpdf.png|250px|thumb|right|OTP PDF Dokument]]<br /> Zur Weitergabe an die Benutzer haben Sie die Möglichkeit, die erstellten Codes auszudrucken. Klicken Sie dazu einfach auf [[Datei:UTM_V115_OTPCdr.png|120px]]<br /> <br /> Es wird dann ein Dokument im PDF Format erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Einrichten des Google Authenticator===<br /> <br /> Zunächst laden Sie sich den Google Authenticator aus dem App-Store herunter, installieren und öffen diesen.<br /> <br /> Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account, tippen Sie auf den Button ''Einstellungen''.&lt;br&gt;<br /> [[Datei:AND_GA_OTPkto.png|250px|thumb|right|OTP Konto hinzufügen]]<br /> Im nun erscheinenden Fenster ''Konto hinzufügen'' wählen Sie im Bereich ''Konto manuell hinzufügen'' entweder ''Barcode scannen'' oder ''Schlüssel eingeben''.<br /> <br /> <br /> <br /> Wenn Sie sich für ''Barcode scannen'' entscheiden, wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens &quot;Barcode Scanner&quot; installiert, sollte sich diese noch nicht bei Ihnen auf dem Smartphone befinden.&lt;br&gt;<br /> <br /> <br /> <br /> Ansonsten halten Sie die Kamera des Smartphone einfach in den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code und es wird automatisch ein Konto erstellt.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPkto2.png|250px|thumb|right|OTP Konto manuell hinzufügen]]<br /> <br /> Möchten Sie den QR-Code nicht abscannen, tippen Sie auf ''Schlüssel eingeben'', tragen Sie den Benutzernamen und den Code ein, wählen Sie Zeitbasiert und klicken auf Hinzufügen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:AND_GA_OTPasswd.png|250px|thumb|right|One-Time-Passwort]]<br /> Im folgenden Fenster sehen Sie dann das Konto mit dem OTP-Code. &lt;br&gt;<br /> Dieser ändert sich alle 30 Sekunden. <br /> <br /> Die Zeitanzeige rechts gibt ihnen einen Überblick wie lange dieses OTP-Passwort noch aktiv ist.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Nutzung eines Hardware Token===<br /> Auch die Nutzung eines Hardware Token ist möglich. &lt;br&gt;<br /> Dabei sollte es sich um einen [http://www.ietf.org/rfc/rfc4226.txt RFC 4226] kompatiblen Passwort Generator handeln, der auch mit mod_authn_otp nutzbar ist.<br /> <br /> [[Datei:UTM115_AI_OTPhex60.png|250px|thumb|right|OTP c200 HEX Code]]<br /> Von unserer Seite wird derzeit der OTP c200 unterstützt.&lt;br&gt; Vom Lieferanten erhalten Sie einen HEX(60) Code, den Sie wie [[OTP_V11#Benutzer_mit_OTP_einrichten | oben]] beschrieben beim Benutzer hinterlegen.<br /> <br /> <br /> <br /> {|<br /> |-<br /> |[[Datei:UMA20_AHB_hinweispic.png|50px]]<br /> |Achten Sie darauf, hier den Token Key einzutragen und nicht die Token ID.&lt;br&gt;<br /> Bei der ID handelt es sich eher um eine Seriennummer des Token, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen. Dieser wird Ihnen in der Regel auch immer separat zugestellt.<br /> |}<br /> <br /> <br /> <br /> <br /> ===OTP überprüfen===<br /> [[Datei:UTM_V115_OTPcp.png|250px|thumb|right|OTP überprüfen]]<br /> Um zu testen ob das OTP, das über die App generiert wird, auch funktioniert, klicken Sie unter ''Benutzer Bearbeiten'' im Abschnitt &quot;OTP&quot; auf den Button [[Datei:UTM_V115_OTPPB.png|20px]]<br /> <br /> In dem neu geöffneten Fenster geben Sie das Passwort ein, welches ihnen die App zu diesem Benutzer anzeigt und klicken auf [[Datei:UTM_V115_OTPokB.png|30px]]<br /> <br /> <br /> [[Datei:UTM_V115_OTPcpb.png|250px|thumb|right|OTP korrekt]]<br /> Wenn alles korrekt eingerichtet ist, erscheint eine entsprechende Meldung.<br /> <br /> <br /> <br /> <br /> <br /> <br /> ===OTP den Anwendungen zuweisen===<br /> [[Datei:UTM_V115_OTPanw.png|250px|thumb|right|OTP Anwendungen]]<br /> Wechseln Sie über ''Authentifizierung'' zum Menüpunkt ''OTP''.&lt;br&gt;<br /> Hier wählen Sie die Anwendung aus, über die sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.<br /> Dieses kann bei folgenden Anmeldungen zum Einsatz kommen:<br /> <br /> ;Webinterfaces<br /> *Administrator-Webinterface<br /> *Anwender-Webinterface<br /> <br /> ;VPN Roadwarrior-Verbindungen<br /> *IPSec<br /> *SSL-VPN <br /> <br /> ;Firewall<br /> *SSH Konsole<br /> <br /> <br /> <br /> <br /> ===OTP benutzen===<br /> ====Webinterface====<br /> [[Datei:UTM_V115_OTPUlog.png|250px|thumb|right|Login mit OTP]]<br /> Bei einem Login auf das Administrations- oder User-Webinterface erhalten Sie nun ein weiteres Authentifikationsfeld mit der Bezeichnung ''OTP Code:''. <br /> <br /> Hier tragen Sie zusätzlich zum Benutzernamen und Passwort, den in der App generierten Code ein.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ====VPN====<br /> [[Datei:UTM_SSLCL_Kab.png|250px|thumb|right|SSL_VPN Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung einsetzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345<br /> <br /> <br /> Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.<br /> <br /> <br /> ====Konsole====<br /> [[Datei:UTM SSH Login.png|250px|thumb|right|SSH Login mit OTP]]<br /> Wenn Sie das OTP im Zusammenhang mit einer SSH-Konsole nutzen, tragen Sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.<br /> <br /> {|<br /> |Beispiel:<br /> |-<br /> |Passwort:|| insecure<br /> |-<br /> |OTP:|| 12345<br /> |}<br /> <br /> Eingabe in der Passwortzeile: insecure12345</div> Chris https://wiki.securepoint.de/index.php?title=UTM/NET/Bridge-WLAN_11.7&diff=8020 UTM/NET/Bridge-WLAN 11.7 2015-11-25T10:03:53Z <p>Chris: /* Bridge-Interface einrichten */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> <br /> ==Bridging mit WLAN==<br /> Seit der Version 11.2.5.2 ist es möglich, Schnittstellen durch eine Bridge zu verbinden, sodass diese wie ein Netzwerk dargestellt werden kann.&lt;br&gt;<br /> Häufigster Anwendungsfall ist das Bridging des Internen Netzwerkes mit dem WLAN Netzwerk, welches wir in diesem Wiki beschreiben.<br /> <br /> '''&lt;span style=&quot;color:red;&quot;&gt;Achtung! Administrieren Sie die Firewall nicht über eine Schnittstelle, die sie zum Bridge-Interface hinzufügen möchten. Wenn Sie Konfiguration z.B. über die DMZ vornehmen möchten, müssen Sie vorher das Netz unter Netzwerk -&gt; Servereinstellungen -&gt; Administration hinzufügen oder eine Regel: &quot;dmz-network -&gt; dmz-interface -&gt; administration -&gt; ACCEPT&quot; erstellen.&lt;/span&gt;'''<br /> <br /> <br /> ===Bridge-Interface einrichten===<br /> [[Datei:UTM11_AI_Netkonf.png|250px|thumb|right|Netzwerkkonfiguration 1]]<br /> Im ersten Schritt entfernen sie alle IP-Adressen von den Schnittstellen die sie für die Bridge verwenden möchten und legen ein Bridge Interface an. Dazu wählen sie in der Menüleiste den Eintrag Netzwerk und Netzwerkkonfiguration aus. <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM11_AI_InterfaceIP.png|250px|thumb|right|IP-Adresse Entfernen]]<br /> [[Datei:UTM11_AI_Netkonfbb.png|250px|thumb|right|Netzwerkkonfiguration 2]]<br /> Zum entfernen der IP Adressen klicken sie auf den Button [[Datei:UTM11_AI_NTeditB.png|20px]] und anschließend auf IP-Adressen und klicken auf den Button [[Datei:UTM11_AI_MinusB.png|20px]] hinter der IP-Adresse. Anschließend klicken sie auf [[Datei:UTM11_AI_SaveB.png|60px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Im Bereich Netzwerkschnittstellen klicken sie nun in der unten stehenden Leiste auf [[Datei:UTM11_AI_BridgeB.png|60px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM11_AI_BAS1spn.png|200px|thumb|right|Bridgeassistent 1]]<br /> Im Step 1 tragen sie den Namen der Bridge-Schnittstelle und die IP Adresse mit der entsprechenden Subnetzmaske ein. Weiterhin können sie hier das [http://de.wikipedia.org/wiki/Spanning_Tree_Protocol Spanning Tree Protokoll] aktivieren. [[Datei:UTM11_AI_WeiterB.png|50px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM11_AI_BAS2.png|200px|thumb|right|Bridgeassistent 2]]<br /> Im Step 2 wählen sie die Schnittstellen aus, die gebridged werden sollen. Mit der Taste Steuerung und Mausklick können sie diese Markieren. In unserem Beispiel eth1 und wlan0.[[Datei:UTM11_AI_WeiterB.png|50px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM11_AI_BAS3.png|200px|thumb|right|Bridgeassistent 3]]<br /> Im letzten Step markieren sie schließlich noch die Zonen, die mit dem Bridge-Interface verknüpft werden sollen. In unserem Beispiel internal und firewall-internal.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Abschließend klicken sie auf [[Datei:UTM11_AI_FertigB.png|50px]]<br /> [[Datei:UTM11_AI_Netkonfpb.png|250px|thumb|right|Netzwerkkonfiguration 3]]<br /> <br /> ===Netzwerkobjekte anpassen===<br /> <br /> [[Datei:UTM11_AI_NTObj.png|250px|thumb|right|Netzwerkobjekte]]<br /> Nach Einrichtung der Schnittstellen müssen sie nun die Netzwerkobjekte anpassen. Klicken sie in der Menüleiste auf Firewall und Portfilter.<br /> <br /> Im Bereich Netzwerkobjekte schauen sie nach den Objekten, die in unserem Beispiel schon für internal-network und wlan angelegt worden sind und ändern dort die IP-Adressen und/oder die Zonen. Dieses geschieht einfach mit einem Klick auf [[Datei:UTM11_AI_NTeditB.png|20px]]<br /> <br /> Die betroffenen Objekte, die in der Spalte Adresse die Schnittstelle eingetragen haben, müssen sie auf die Schnittstelle bridge0 ändern. In unserem Beispiel sind das die Objekte internal-interface und internal-network, welche im Auslieferzustand auf eth1 stehen. Sollten sie schon Objekte für WLAN angelegt haben, müssen sie diese ebenfalls anpassen oder können diese löschen.<br /> <br /> <br /> ===Portfilterregel einrichten===<br /> <br /> [[Datei:UTM11_AI_NTObjadd.png|100px|thumb|right|Netzwerkobjekt all-internal]]<br /> Zum Abschluss benötigen sie noch eine Portfilterregel, damit die beiden Schnittstellen auch über die Firewall verbunden werden.&lt;br&gt; Dazu legen sie ein Netzwerkobjekt an, welches als IP-Adresse 0.0.0.0/0 bekommt und mit der Zone internal verknüpft wird.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Wechseln sie in den Bereich Portfilter und klicken sie auf [[Datei:UTM11_AI_AddRuleB.png|80px]] und legen sie eine Regel an, bei der die Quelle und das Ziel, das von Ihnen angelegte Objekt ist mit dem Dienst &quot;any&quot; und Aktion &quot;ACCEPT&quot;.<br /> <br /> [[Datei:UTM11_AI_BrRule.png|900px]]<br /> <br /> <br /> Nach einem klick auf [[Datei:UTM11_AI_AktRuleB.png|100px]] ist die einrichtung der Bridge abgeschlossen.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-Roadwarrior-iOS_11.7&diff=8009 UTM/VPN/SSL VPN-Roadwarrior-iOS 11.7 2015-11-11T12:34:37Z <p>Chris: </p> <hr /> <div>[[Kategorie:UTMv11]]<br /> <br /> Da es immer wieder Probleme mit IPSec- und L2TP-VPN durch doppelt genattete Verbindungen oder gesperrte Ports im Zusammenhang mit Mobilen Geräten gibt und seit Anfang des Jahres eine OpenVPN App auch für iOS existiert bei der ein Jailbreak des Gerätes nicht notwendig ist, haben wir dieses zum Anlass genommen, diese Konfiguration in einem Wiki zu beschreiben.<br /> <br /> <br /> ''&lt;span style=&quot;color:red;&quot;&gt;&lt;b&gt;Achtung! Leider ergibt sich aus der Kombination iOS9 + OpenVPN Connect 1.0.5 ein Problem, sodass sich die Verbindung nicht herstellen lässt. Bis dies nicht in der App mit einer Aktualisierung behoben ist, ist es nicht möglich eine Verbindung herzustellen. &lt;/b&gt;&lt;/span&gt;''&lt;br&gt;<br /> Die Fehlermeldung im Log lautet:&lt;br&gt;<br /> TLS_ERROR: BIO read tls_read_plaintext error: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number<br /> <br /> ==Vorbereitungen==<br /> Voraussetzung ist natürlich die Einrichtung eines OpenVPN Roadwarrior auf der Securepoint Firewall wie in dem schon bestehenden [[V11_OpenVPN_Roadwarrior|OpenVPN Roadwarrior-Wiki]] beschrieben.<br /> <br /> [[Datei:UTMV11_UI_SSL_Dwl.png|250px|thumb|right|Download der Konfigurationsdateien]]<br /> Zuerst laden sie sich die Konfiguration des gewünschten SSL-VPN Benutzers von der Securepoint UTM herunter und entpacken die ZIP Datei.<br /> <br /> [[Datei:OVPN_KonfDat1.png|250px|thumb|right|Bearbeiten der Konfigurationsdatei]]<br /> [[Datei:OVPN_KonfDat2.png|250px|thumb|right|Hinzufügen der Zertifikate]]<br /> Dieses erzeugt einen Ordner in dem sie unter /data/config/ vier Dateien finden:<br /> * openvpn.ovpn<br /> * cert.pem<br /> * cert.key<br /> * ca.pem<br /> <br /> <br /> Die Zertifikate müssen nun in die openvpn.ovpn Datei eingefügt werden.<br /> Dazu öffnen sie die Dateien mit einem Editor:<br /> <br /> In der Konfigurations-Datei openvpn.ovpn entfernen sie die folgenden Zeilen <br /> ca ca.pem<br /> cert cert.pem<br /> key cert.key<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> und kopieren den Inhalt der drei Zertifikat-Dateien unter die letzte Zeile der Konfiguration<br /> in der Form:<br /> <br /> &lt;ca&gt;<br /> -----BEGIN CERTIFICATE-----<br /> -----END CERTIFICATE-----<br /> &lt;/ca&gt;<br /> <br /> &lt;cert&gt;<br /> -----BEGIN CERTIFICATE-----<br /> -----END CERTIFICATE-----<br /> &lt;/cert&gt;<br /> <br /> &lt;key&gt;<br /> -----BEGIN PRIVATE KEY-----<br /> -----END PRIVATE KEY-----<br /> &lt;/key&gt;<br /> <br /> <br /> Nun speichern sie die Änderungen in der Datei ab und wenden sich dem iPad zu.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Konfiguration auf dem iPad===<br /> [[Datei:iPad_pic1.png|250px|thumb|right|iPad mit OpenVPN App]]<br /> Wechseln sie auf ihrem iPad in den App Store, laden sie sich die OpenVPN App herunter [https://itunes.apple.com/de/app/openvpn-connect/id590379981?mt=8 (OpenVPN Connect)] und öffnen diese.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:iPad_pic2.png|250px|thumb|right|Importieren der openvpn.ovpn Datei]]<br /> Importieren sie die angepasste openvpn.ovpn Datei z.B. per iTunes.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:iPad_pic3.png|250px|thumb|right|Auswahl des VPN-Profils]]<br /> Öffnen sie die Verbindung indem sie auf den Profilnamen hinter dem Zahnrad tippen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:iPad_pic4.png|250px|thumb|right|Eingabe Benutzername und Kennwort]]<br /> Tragen sie unter User ID und Password die Daten ein, die für diesen Benutzer auf der Securepoint UTM hinterlegt sind.<br /> <br /> Mit Aktivierung des Button ''Save‘‘ können sie diese Daten Speichern. Denken sie aber daran, dass dann jeder der dieses Gerät auch die VPN Verbindung aktivieren kann.<br /> <br /> Um die Verbindung herzustellen, aktivieren sie den Button ‘‘Connection‘‘.<br /> <br /> Natürlich muss vorher eine Internetverbindung per UMTS oder WLAN aufgebaut werden.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:iPad_pic5.png|250px|thumb|right|OpenVPN Connect]]<br /> Der ‘‘Status‘‘ wechselt von Disconnected zu Connected und oben in der Statusanzeige erscheint das Symbol [[Datei:iPad_VPNsym.png|25px]].<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Damit ist die Verbindung zur Securepoint UTM hergestellt.</div> Chris https://wiki.securepoint.de/index.php?title=Clientlessvpn_cli_v11&diff=7859 Clientlessvpn cli v11 2015-10-15T09:01:30Z <p>Chris: /* Clientless VPN */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11}}<br /> =Clientless VPN=<br /> <br /> {| {{prettytable}}<br /> !Befehl !! Beschreibung !! Beispiel<br /> |-<br /> |clientlessvpn list ||Listet die angelegten clientless VPN's auf ||clientlessvpn list<br /> |-<br /> |clientlessvpn get ||Zeigt einzelne clientless VPN's an ||clientlessvpn get id &quot;5&quot; '''oder''' clientlessvpn get name &quot;Server1&quot;<br /> |-<br /> |clientlessvpn set ||Ändert clientless VPN Einstellungen&lt;br&gt;type = rdp '''oder''' vnc ||clientlessvpn set id &quot;5&quot; '''oder''' clientlessvpn set name &quot;Server1&quot; server &quot;192.168.19.15&quot; type &quot;rdp&quot; port &quot;3389&quot; username &quot;user1&quot; password &quot;geheim&quot; geometry &quot;1024x600@24&quot;<br /> |-<br /> |clientlessvpn new ||Erstellt ein neues clientless VPN&lt;br&gt;type = rdp '''oder''' vnc&lt;br&gt;username und passwort sind optional ||clientlessvpn new name &quot;Server1&quot; server &quot;192.168.19.15&quot; type &quot;rdp&quot; port &quot;3389&quot; username &quot;user1&quot; password &quot;geheim&quot; videomode &quot;1024x600@24&quot;<br /> |-<br /> |clientlessvpn delete ||Löscht ein clientless VPN ||clientlessvpn delete id &quot;5&quot; '''oder''' clientlessvpn delete name &quot;Server1&quot;<br /> |-<br /> |clientlessvpn group get ||Zeigt die clientless VPN Gruppen an ||clientlessvpn group get<br /> |-<br /> |clientlessvpn group set ||Ändert eine clientless VPN Gruppen Einstellungen ||clientlessvpn group set id &quot;3&quot;<br /> |-<br /> |clientlessvpn group new ||Erstellt eine neue clientless VPN Gruppe ||clientlessvpn group new id &quot;3&quot; group_oid &quot;155&quot; id_cvpn &quot;1&quot; enabled &quot;1&quot;<br /> |-<br /> |clientlessvpn group delete ||Löscht eine clientless VPN Gruppe ||clientlessvpn group delete id &quot;3&quot;<br /> |}</div> Chris https://wiki.securepoint.de/index.php?title=Clientlessvpn_cli_v11&diff=7857 Clientlessvpn cli v11 2015-10-13T15:24:07Z <p>Chris: /* Clientless VPN */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11}}<br /> =Clientless VPN=<br /> <br /> {| {{prettytable}}<br /> !Befehl !! Beschreibung !! Beispiel<br /> |-<br /> |clientlessvpn list ||Listet die angelegten clientless VPN's auf ||clientlessvpn list<br /> |-<br /> |clientlessvpn get ||Zeigt einzelne clientless VPN's an ||clientlessvpn get id &quot;5&quot; '''oder''' clientlessvpn get name &quot;Server1&quot;<br /> |-<br /> |clientlessvpn set ||Ändert clientless VPN Einstellungen&lt;br&gt;type = rdp '''oder''' vnc ||clientlessvpn set id &quot;5&quot; '''oder''' clientlessvpn set name &quot;Server1&quot; server &quot;192.168.19.15&quot; type &quot;rdp&quot; port &quot;3389&quot; username &quot;user1&quot; password &quot;geheim&quot; geometry &quot;1024x600@24&quot;<br /> |-<br /> |clientlessvpn new ||Erstellt ein neues clientless VPN&lt;br&gt;type = rdp '''oder''' vnc&lt;br&gt;username und passwort sind optional ||clientlessvpn new name &quot;Server1&quot; server &quot;192.168.19.15&quot; type &quot;rdp&quot; port &quot;3389&quot; username &quot;user1&quot; password &quot;geheim&quot; videomode &quot;1024x600@24&quot;<br /> |-<br /> |clientlessvpn delete ||Löscht ein clientless VPN ||clientlessvpn delete id &quot;5&quot; '''oder''' clientlessvpn delete name &quot;Server1&quot;<br /> |-<br /> |clientlessvpn group get ||Zeigt die clientless VPN Gruppen an ||clientlessvpn group get<br /> |-<br /> |clientlessvpn group set ||Ändert eine clientless VPN Gruppen Einstellungen ||clientlessvpn group set id &quot;3&quot;<br /> |-<br /> |clientlessvpn group new ||Erstellt eine neue clientless VPN Gruppe&lt;br&gt;enabled = on '''oder''' off ||clientlessvpn group new group_oid &quot;3&quot; cvpn_id &quot;5&quot; enabled &quot;on&quot;<br /> |-<br /> |clientlessvpn group delete ||Löscht eine clientless VPN Gruppe ||clientlessvpn group delete id &quot;3&quot;<br /> |}</div> Chris https://wiki.securepoint.de/index.php?title=UTM/CLI/User_v11&diff=7856 UTM/CLI/User v11 2015-10-13T15:19:37Z <p>Chris: /* Kommandos */</p> <hr /> <div>[[Kategorie:UTMv11]]<br /> {{lowercase title}} <br /> {{v11}}<br /> <br /> ==user==<br /> <br /> ===Berechtigungen und Attribute===<br /> <br /> {| {{prettytable}}<br /> !''user group permissions''||<br /> |-<br /> |ADMIN||<br /> |-<br /> |VPN_PPTP||<br /> |-<br /> |VPN_L2TP||<br /> |-<br /> |MAILFILTER_ADMIN||<br /> |-<br /> |HTTP_PROXY||<br /> |-<br /> |WEB_USER||<br /> |-<br /> |VPN_OPENVPN||<br /> |-<br /> |MAIL_RELAY||<br /> |-<br /> |IPSEC_XAUTH||<br /> |-<br /> |VPN_CLIENTLESS||<br /> |-<br /> |style=&quot;background:#FFCBCB&quot; | || style=&quot;background:#FFCBCB&quot; | <br /> |-<br /> !''user attribute''!! ''user group attribute''<br /> |-<br /> |mailfilter_download_attachments_filtered|| mailfilter_download_attachments_filtered<br /> |-<br /> |mailfilter_email_addresses|| mailfilter_email_addresses<br /> |-<br /> |openvpn_certificate|| openvpn_certificate<br /> |-<br /> |openvpn_client_download|| openvpn_client_download<br /> |-<br /> |openvpn_gateway|| openvpn_gateway<br /> |-<br /> |openvpn_name|| openvpn_name<br /> |-<br /> |openvpn_redirectgateway|| openvpn_redirectgateway<br /> |-<br /> |password_change||<br /> |-<br /> |password_chars_case||<br /> |-<br /> |password_chars_numbers||<br /> |-<br /> |password_chars_special||<br /> |-<br /> |password_length||<br /> |-<br /> |vpn_l2tp_ip||<br /> |-<br /> |vpn_openvpn_ip||<br /> |-<br /> |vpn_pptp_ip||<br /> |-<br /> |wake_on_lan_hosts|| wake_on_lan_hosts<br /> |}<br /> <br /> ===Kommandos===<br /> <br /> {| {{prettytable}}<br /> !Befehl!! Beschreibung!! Beispiel<br /> |-<br /> |style=&quot;background:#FFCBCB&quot; | || style=&quot;background:#FFCBCB&quot; | || style=&quot;background:#FFCBCB&quot; |<br /> |-<br /> !''User''|| ||<br /> |-<br /> |user who|| Zeigt an, welcher Benutzer verbunden und eingeloggt ist || user who <br /> |-<br /> |user get|| Zeigt alle oder einzelne Benutzer an|| user get name &quot;benutzer1&quot;<br /> |-<br /> |user set|| Ändert Benutzereinstellungen|| user set id &quot;183&quot; groups &quot;vpn-benutzer&quot;<br /> |-<br /> |user new|| Erstellt einen neuen Benutzer|| user new name &quot;benutzer2&quot; password &quot;insecure&quot; groups &quot;ssl-user&quot;<br /> |-<br /> |user delete|| Löscht einen Benutzer|| user delete id &quot;193&quot;<br /> |-<br /> |user check|| Überprüft ob ein Benutzer Mitglied einer bestimmten Gruppe ist|| user check name &quot;benutzer1&quot; groups &quot;vpn-user&quot;<br /> |-<br /> |user attribute get|| Zeigt die Attribute eines oder aller Benutzer an|| user attribute get name &quot;benutzer1&quot;<br /> |-<br /> |user attribute set|| Ändert die Attribute des Benutzers|| user attribute set name &quot;admin&quot; attribute &quot;password_change&quot; value &quot;1&quot; <br /> |-<br /> |style=&quot;background:#FFCBCB&quot; | || style=&quot;background:#FFCBCB&quot; | || style=&quot;background:#FFCBCB&quot; |<br /> |-<br /> !''User Group''|| ||<br /> |-<br /> |user group get|| Zeigt die Benutzergruppen an|| user group get<br /> |-<br /> |user group new|| Erstellt eine neue Benutzergruppe|| user group new name &quot;proxy-user&quot; permission &quot;HTTP_PROXY&quot;<br /> |-<br /> |user group set|| Ändert die Einstellungen einer Benutzergruppe|| user group set id &quot;194&quot; permission &quot;WEB_USER,VPN_CLIENTLESS&quot;<br /> |-<br /> |user group delete|| Löscht eine Benutzergruppe|| user group delete id &quot;194&quot;<br /> |-<br /> |user group attribute get|| Zeigt die Attribute der Benutzergruppen|| user group attribute get <br /> |}</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/Netmap_11.7&diff=7393 UTM/VPN/Netmap 11.7 2015-07-22T13:36:20Z <p>Chris: /* Vorbereitungen */</p> <hr /> <div>{{v11.5}}<br /> <br /> ===NATten von kompletten Subnetzen mit NETMAP===<br /> Sollten auf beiden Seiten einer VPN Verbindung die selben Subnetze eingesetzt werden, ist es normalerweise nicht möglich diese Verbindung einzurichten.&lt;br&gt;<br /> Weiterhin kann es passieren, dass Sie verschiedene Gegenstellen haben, hinter denen die selben Netzwerke eingerichtet sind.&lt;br&gt; <br /> Mit dem NAT-Typ NETMAP und Hilfsnetzwerken (Mapnetz) die auf keinen der zu verbindenden Gegenstellen eingerichtet sind, können sie diese Verbindung trotzdem erstellen, ohne auf eine der Seiten das Subnetz komplett zu ändern.<br /> <br /> ===Vorbereitungen===<br /> Zur Nutzung der NETMAP Funktion sind folgende Bedingungen zu beachten:<br /> *Die Subnetze der am NETMAP beteiligten Objekte müssen alle die gleiche Größe haben, zum Beispiel alle /24.<br /> *Alle beteiligten Objekte müssen eine definierte Netzwerk IP-Adresse eingetragen haben. Es dürfen also keine Schnittstellen ausgewählt werden.<br /> [[Datei:UTM115_AI_PFNOinaddr.png|250px|thumb|right|Netzwerkobjekt auf Adresse umstellen]]<br /> Überprüfen Sie das Netzwerkobjekt Ihres Internen Netzwerkes und stellen Sie dieses gegebenenfalls auf Adresse um indem Sie den Radio-Button vor ''Adresse'' aktivieren und die Netzwerk-Adresse mit der entsprechenden Subnetzmaske in das Feld eintragen. In diesem Beispiel haben wir auf beiden Seiten das Netzwerk 172.16.3.0/24.<br /> <br /> ===Zentrale und Filiale haben das selbe Subnetz===<br /> [[Datei:Netmap_sz1.png|800px|center]]<br /> &lt;br&gt;<br /> In diesem Fall muss das Mapping auf '''beiden Seiten''' der Verbindung eingerichtet werden.<br /> <br /> ====Netzwerkobjekte erstellen====<br /> Erstellen Sie in der Zentrale zwei Netzwerkobjekte mit Netzwerken, die weder in der Zentrale noch in der Filiale eingerichtet sind.<br /> [[Datei:UTM115_AI_PFNOnmrn.png|250px|thumb|right|Netzwerkobjekt Mapnetz Remote]]<br /> Das Netzwerkobjekt für das Mapnetz der Filiale muss sich in der Zone vpn-ipsec befinden und erhält in unserem Beispiel die Netzwerkadresse 10.0.2.0/24.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM115_AI_PFNOnmln.png|250px|thumb|right|Netzwerkobjekt Mapnetz Lokal]]<br /> Das Netzwerkobjekt für das Mapnetz auf der Zentrale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Auf der Seite der Filale erstellen Sie ebenfalls zwei Objekte, nur das dort das Netzwerk 10.0.1.0/24, das Mapnetz der Zentrale, sich in der Zone vpn-ipsec befindet und das Netzwerk 10.0.2.0/24 als Mapnetz der Filiale mit der Zone des internen Netzwerkes angelegt wird.<br /> <br /> <br /> ====NETMAP Regel anlegen====<br /> [[Datei:UTM115_AI_PFRnetmap.png|250px|thumb|right|NETMAP Portfilterregel]]<br /> Legen Sie nun anhand der Netzwerkobjekte eine Portfilterregel an. &lt;br&gt;<br /> Auf der Seite der Zentrale:<br /> <br /> &lt;p&gt;&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Quelle:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Internes Netzwerk&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Ziel:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Mapnetz der Filiale&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Dienst:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Ist hier nicht relevant, nehmen Sie einfach den ''icmp-echo-req''&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;NAT-Typ:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;NETMAP&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;NAT-Netzwerkobjekt:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Mapnetz der Zentrale&lt;/p&gt;<br /> <br /> Auf der Seite der Filiale:<br /> <br /> &lt;p&gt;&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Quelle:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Internes Netzwerk&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Ziel:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Mapnetz der Zentrale&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Dienst:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Ist hier nicht relevant, nehmen Sie einfach den ''icmp-echo-req''&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;NAT-Typ:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;NETMAP&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;NAT-Netzwerkobjekt:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Mapnetz der Filiale&lt;/p&gt;<br /> <br /> ====VPN-Verbindung anlegen====<br /> [[Datei:UTM115_AI_IPSecasiS4.png|250px|thumb|right|Phase2 mit Mapnetzen]]<br /> Legen Sie die VPN Verbindung an wie im Wiki [http://wiki.securepoint.de/index.php/IPSec_Site_to_Site_v11#VPN-Verbindung_anlegen VPN-Verbindung anlegen] beschrieben, achten Sie aber darauf, dass sie in ''Step 4 Subnetze'' die Map-Netzwerke eintragen.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Mehrere Filialen haben das selbe Subnetz===<br /> [[Datei:Netmap_sz2.png|800px|center]]<br /> &lt;br&gt;<br /> Hierbei wir das Mapping nur auf den Filialen eingerichtet, die das selbe Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale benötigen Sie kein Mapping wenn das interne Netz der Zentrale sich von denen der Filiale unterscheidet.<br /> <br /> ====Netzwerkobjekte erstellen====<br /> Erstellen Sie in der '''Filiale''' zwei Netzwerkobjekte. Eines für das Mapnetz der Filiale mit einem Netzwerk, das weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt wird. &lt;br&gt;<br /> Das zweite Objekt als ganz normales IPSec-Netzwerkobjekt der Zentrale<br /> .<br /> [[Datei:UTM115_AI_PFNOnmln.png|250px|thumb|right|Netzwerkobjekt Mapnetz Lokal]]<br /> Das Netzwerkobjekt für das Mapnetz auf der Filiale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Datei:UTM115_AI_PFNOipsecrn.png|250px|thumb|right|Netzwerkobjekt IPSec-Netz]]<br /> Das Netzwerkobjekt für das Netz der Gegenstelle muss sich in der Zone vpn-ipsec befinden und erhält in unserem Beispiel die Netzwerkadresse 172.31.0.0/24.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ====NETMAP Regel anlegen====<br /> [[Datei:UTM115_AI_PFRnetmap2.png|250px|thumb|right|NETMAP Portfilterregel]]<br /> Legen Sie nun anhand der Netzwerkobjekte in der '''Filiale''' eine Portfilterregel an.<br /> <br /> &lt;p&gt;&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Quelle:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Internes Netzwerk&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Ziel:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;IPSec-Netz der Zentrale&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Dienst:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;Ist hier nicht relevant, nehmen Sie einfach den ''icmp-echo-req''&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;NAT-Typ:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&amp;#9;&lt;/span&gt;NETMAP&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;NAT-Netzwerkobjekt:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Mapnetz der Filiale&lt;/p&gt;<br /> <br /> <br /> <br /> <br /> ====VPN-Verbindung anlegen====<br /> [[Datei:UTM115_AI_IPSecasiS4.png|250px|thumb|right|Phase2 mit Mapnetzen]]<br /> Legen Sie die VPN Verbindung an wie im Wiki [http://wiki.securepoint.de/index.php/IPSec_Site_to_Site_v11#VPN-Verbindung_anlegen VPN-Verbindung anlegen] beschrieben. &lt;br&gt;<br /> Achten Sie darauf, dass sie in ''Step 4 Subnetze'' auf der Filial-Seite das Netmap-Netzwerk als Lokales Netzwerk eintragen und auf der Seite der Zentrale dieses als Remote-Netzwerk.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> ===Portfilterregeln===<br /> Nachdem Sie mit der NETMAP Regel die beiden Netzwerke gemappt haben, benötigen Sie nun noch Portfilterregeln die den Datenverkehr regeln.<br /> <br /> Entweder Sie nutzen in den Impliziten Regeln unter IPSEC die Option ''Accept'', dann werden Regeln im Hintergrund angelegt, die alle Dienste für alle Rechner auf beiden Seiten zulassen. Diese ist im Auslieferzustand aktiviert.<br /> [[Datei:UTM115_AI_PFRnmvpn.png|250px|thumb|right|Portfilterregel VPN-Verbindung]]<br /> Sicherer und professioneller ist es allerdings, nur die Dienste zuzulassen, die auch benötigt werden. Dazu deaktivieren Sie die Option Accept in den Impliziten Regeln und legen Portfilterregeln manuell an. Als Netzwerkobjekt für das VPN Netz nutzen Sie das Mapnetz-Objekt der VPN Gegenstelle. Zum Beispiel:<br /> <br /> &lt;p&gt;&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Quelle:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Mapnetz der VPN Gegenstelle&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Ziel:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&amp;#9;&lt;/span&gt;Internes Netzwerk&lt;br&gt;<br /> &lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;Dienst:&lt;span style=&quot;white-space:pre&quot;&gt;&amp;#9;&lt;/span&gt;ms-rdp&lt;/p&gt;<br /> <br /> Hierfür benötigen Sie kein NAT vom Typ NETMAP mehr.<br /> <br /> ===Wie erreiche ich die Hosts der Gegenstelle===<br /> Da Sie auf beiden Seiten der VPN Verbindung die selben Netwerke benutzen, müssen Sie die Hosts der Gegenstelle mit der gemappten IP-Adresse ansprechen.<br /> <br /> In unserem Beispiel bedeutet dies folgendes:&lt;br&gt;<br /> Einen Rechner mit der IP-Adresse 172.16.3.10 in der Filiale sprechen Sie von der Zentrale aus mit der IP-Adresse 10.0.2.10 an.&lt;br&gt;<br /> Einen Rechner mit der IP-Adresse 172.16.3.120 in der Zentrale sprechen Sie von der Filiale aus mit der IP-Adresse 10.0.1.120 an.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/Nameserver&diff=7207 UTM/APP/Nameserver 2015-05-13T12:54:40Z <p>Chris: /* Einleitung */</p> <hr /> <div>{{v11}}<br /> == Einleitung ==<br /> Ein Nameserver ist ein Server, der Namensauflösung anbietet. Namensauflösung ist das Verfahren, das es ermöglicht, Namen von Rechnern bzw. Diensten in eine Adresse (IP) aufzulösen (z.B.: securepoint.de in 62.116.166.66). Des Weiteren kann in der V11 eine Namensauflösung an einen anderen Nameserver weitergeleitet werden oder aus einer IP Adresse auf einen bestimmten Namen geschlossen werden (Reverse Lookup). Zusätzlich gibt es die Funktion &quot;DNS Forwarding&quot; die es erlaubt alle DNS Anfragen an einen bestimmten Nameserver weiterzuleiten.<br /> <br /> Um die Einstellungen die der Nameserver der V11 bietet, besser verstehen zu können, folgt nun eine &quot;Typ Beschreibung&quot;, der Typen die bei der Einrichtung auswählbar sind:<br /> <br /> * Beschreibung der Typen<br /> <br /> - NS<br /> - A<br /> - AAAA<br /> - TXT<br /> - PTR<br /> - MX<br /> - CNAME<br /> <br /> Im weiteren Verlauf wird genauer auf die Einrichtung folgender Punkte der V11 eingegangen:<br /> <br /> * Anlegen einer Forward-Zone<br /> * Anlegen einer Reverse-Zone<br /> * Anlegen einer Relay-Zone<br /> * Anlegen eines DNS Forwardings<br /> <br /> <br /> Beachten Sie, dass aus dem jeweiligen Netz immer eine Regeln für DNS auf das entsprechende Interface vorhanden ist.<br /> <br /> <br /> === Beschreibung der Typen ===<br /> ==== NS ====<br /> Ein NS oder besser gesagt, NS-RR (Name Server Resource Record) ist ein Datensatz eines DNS Servers und kann zwei unterschiedliche Funktionen erfüllen:<br /> <br /> * Er definiert, welche Nameserver für diese Zone offiziell zuständig sind.<br /> * Er verkettet Zonen zu einem Zonen-Baum (Delegation).<br /> <br /> In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist. Ist zum Bsp. die Firewall selbst zuständig muss hier &quot;localhost&quot; ausgewählt/eingegeben werden. <br /> <br /> <br /> ==== A ====<br /> Mit einem A-RR (A Resource Record) wird einem DNS-Namen eine IPv4-Adresse zugeordnet.<br /> <br /> <br /> ==== AAAA ====<br /> Mit einem AAAA Resource Record („quad-A“) wird einem DNS-Namen eine IPv6-Adresse zugeordnet. Es handelt sich damit um die IPv6-Entsprechung zum A Resource Record.<br /> <br /> <br /> ==== TXT ====<br /> Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden. TXT Records können unter anderem zum Tunneln über DNS eingesetzt werden.<br /> <br /> <br /> ==== PTR ====<br /> PTR Resource Records ordnen im Domain Name System einer gegebenen IP-Adresse einen oder mehrere Hostname(s) zu. Sie stellen damit gewissermaßen das Gegenstück zur klassischen Zuordnung einer oder mehrerer IP-Adresse(n) zu einem gegebenen Hostname per A- oder AAAA Resource Record dar.<br /> <br /> PTR Resource Records sind ein zentrales Element des Reverse DNS. Sie werden üblicherweise ausschließlich verwendet<br /> <br /> * in der in-addr.arpa-Zone (für den Reverse-Lookup von IPv4-Adressen),<br /> * in der Zone ip6.arpa (für den Reverse-Lookup von IPv6-Adressen)[1] sowie<br /> * in anderen Zonen für Hostnames, auf die ein CNAME Resource Record aus einer der vorgenannten Zonen zeigt.<br /> <br /> <br /> ==== MX ====<br /> Der MX Resource Record (MX-RR) einer Domain ist ein Eintrag im Domain Name System, der sich ausschließlich auf den Dienst E-Mail (SMTP) bezieht.<br /> <br /> Ein MX-Record sagt aus, unter welchem Fully Qualified Domain Name (FQDN) der Mail-Server zu einer Domäne oder Subdomäne erreichbar ist. Es ist üblich, für eine Domäne mehrere MX-Records zu definieren mit unterschiedlichen Prioritäten, so dass bei Ausfall eines Mail-Servers ein anderer die E-Mails entgegennehmen kann. Dies erhöht die Wahrscheinlichkeit, dass eine Mail trotzdem an die Empfängerdomain zugestellt werden kann.<br /> <br /> <br /> ==== CNAME ====<br /> Ein CNAME Resource Record (CNAME RR) ist im Domain Name System dazu vorgesehen, einer Domänen einen weiteren Namen zuzuordnen. Die Abkürzung &quot;CNAME&quot; steht für canonical name (canonical = anerkannt, bezeichnet also den primären, quasi echten Namen).<br /> <br /> Im einfachsten Fall verweist der Name eines CNAME Resource Records auf den Namen eines A Resource Records und/oder eines AAAA Resource Records. Die Namen dieser Resource Records verweisen auf eine IP-Adresse. Beim Wechsel einer IP-Adresse muss dann für mehrere Namen nur ein einziger Resource Record geändert werden.<br /> <br /> Ein NS Resource Record, MX Resource Record oder PTR Resource Record darf nicht auf einen CNAME Resource Record verweisen. Umgekehrt darf ein PTR Resource Record aber durchaus nur über einen CNAME Resource Record zugänglich sein. Der Name eines CNAME Resource Records darf nicht als Name anderer Resource Records verwendet werden, da er stellvertretend für alle Resource Records des Ziels steht.<br /> <br /> <br /> <br /> <br /> <br /> === Forward-Zone ===<br /> Eine Foward-Zone wird zur Umsetzung von Domainnamen in IP-Adressen verwendet. Diese Umsetzung ist sowohl in IPv4 (A) als auch in IPv6 (AAAA) möglich. In dem folgenden Einrichtungsbeispiel wird das Anlegen eines A-RR, für eine öffentliche Domain erklärt. Wird der DNS der Firewall zur Auflösung verwendet, soll eine private IP aus dem internen Netz zurückgegeben werden. <br /> <br /> Diese Einstellung wird unter anderem dann benötigt, wenn aus dem internen Netz eine Domain aufgerufen wird, dessen öffentliche IP die der Firewall ist. Ohne diesen Eintrag würde man eine komplizierte Portweiterleitung benötigen, so allerdings kann die Anfrage ohne Umwege direkt an den Server gestellt werden. <br /> <br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> <br /> ==== A-RR anlegen ====<br /> Im nächsten Schritt wird der A-RR angelegt.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Forward-Zone hinzufügen.<br /> #Tragen Sie im Step 1 die gewünschte Domain in das Feld Zonenname ein.<br /> #Tragen Sie im Step 2 unter Nameserver Hostname &quot;localhost&quot; ein. <br /> #Der Step 3 kann durch klicken auf den Button Fertig übersprungen werden.<br /> #Bearbeiten Sie durch einen Klick auf den Schraubenschlüssel die angelegte Zone.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Eintrag hinzufügen.<br /> #Tragen Sie in das Feld &quot;Name&quot; die gewünschte Domain ein. An die Domain wird ein Punkt &quot;.&quot; angehängt!<br /> #Als Typ wählen Sie &quot;A&quot;.<br /> #In das Feld Wert tragen Sie die interne IP des Servers ein auf den die Domain verweisen soll.<br /> #Klicken Sie auf Hinzufügen.<br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Step_1_A-RR.jpg‎|800px|thumb|center|Step 1 ]]<br /> [[Datei:Step2.jpg|800px|thumb|center|Step 2]]<br /> [[Datei:A-RR_anlegen.jpg|800px|thumb|center|Anlegen des A-RR]]<br /> <br /> *Nun ist das Anlegen des A-RR fertig und die Firewall setzt auf Anfrage die Domain auf die gewünschte Private IP um!<br /> <br /> <br /> ==== A-RR testen ====<br /> Um das Umsetzten des zuvor angelegten A-RR zu testen können sie von extern eine DNS-Anfrage in Form eines nslookup schicken oder sie nutzen die eigenen Netzwerktools der Firewall.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken sie im Dropdown-Menü auf Netzwerkwerkzeuge.<br /> #Klicken Sie im erscheinenden Dialog auf den Host.<br /> #Wählen Sie als Abfragetyp &quot;A&quot; aus.<br /> #Tragen Sie im Feld Hostname ihre Domain ein.<br /> #Verwenden Sie im Feld Nameserver die 127.0.0.1<br /> #Klicken Sie auf Senden.<br /> <br /> [[Datei:A-RR_testen.jpg|800px|thumb|center|A-RR testen]]<br /> <br /> *Im unteren Fenster löst er, wenn alles richtig eingerichtet wurde, die Domain auf die korrekte IP-Adresse auf.<br /> <br /> <br /> <br /> === Reverse-Zone ===<br /> Reverse DNS lookup (rDNS) bezeichnet eine DNS-Anfrage, bei der zu einer IP-Adresse der Name ermittelt werden soll. Als RR-Typen sind nur PTR Resource Records zulässig. Bei einem PTR-RR steht links eine IP-Adresse und rechts ein Name – im Gegensatz zum A Resource Record, wo links ein Name und rechts eine IP-Adresse steht.<br /> <br /> Genutzt wird ein rDNS lookup häufig im Zusammenhang mit Spamfiltern. Viele Spam-Mails werden von Fake-Domainen versendet. Der Empfänger kann anhand einer Rückauflösung der IP festzustellen ob die Domain auch wirklich zu der ankommenden IP gehört, ist dies nicht der Fall wird die Mail abgewiesen.<br /> <br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> ==== PTR-RR anlegen ====<br /> Im nächsten Schritt wird der PTR-RR angelegt.<br /> <br /> Zum Verständnis hier eine kurze Beschreibung:<br /> <br /> Da es extrem zeitaufwändig wäre, bei einer inversen Anfrage den gesamten Domänen-Baum nach der gewünschten IPv4-Adresse zu durchsuchen wurde eine eigenständige Domäne für inverse Zugriffe gebildet, die in-addr.arpa-Domäne. Unterhalb dieser Domäne existieren lediglich drei Subdomänen-Ebenen, so dass maximal drei Schritte zur Auflösung einer IPv4-Adresse erforderlich sind.<br /> Die unmittelbaren Subdomänen von in-addr.arpa haben als Label eine Zahl zwischen 0 und 255 und repräsentieren die erste Komponente einer IPv4-Adresse. (Beispiel: 64.in-addr.arpa oder 192.in-addr.arpa).<br /> Die nächste Ebene im Baum repräsentiert die zweite Komponente einer IPv4-Adresse (Beispiel: 27.64.in-addr.arpa. enthält die IPv4-Adressen 64.27.x.y) und die unterste Ebene schließlich die dritte Komponente (Beispiel: 125.27.64.in-addr.arpa enthält alle bekannten IPv4-Adressen des Netzes 64.27.125.0/24 – also z. B. 64.27.125.60). <br /> <br /> Wie aus den Beispielen ersichtlich ist, enthält ein reverser Name die IP-Adresskomponenten in umgekehrter Reihenfolge. Diese Struktur ermöglicht ein Verfeinern des reversen Adressraums in mehreren Schritten. In unserem folgenden Einrichtungsbeispiel werden wir mit dem letzten Adressraum (/24) arbeiten.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Reverse-Zone hinzufügen.<br /> #Tragen Sie im Step 1 das gewünschte Subnetz ein, indem sich die IP-Adresse zu der gewünschten Domain befindet.<br /> #Tragen Sie im Step 2 unter Nameserver &quot;localhost&quot; ein und klicken sie auf Fertig. <br /> <br /> Der Zonenname bildet sich automatisch wie im oberen Beispiel beschrieben.<br /> <br /> #Bearbeiten Sie durch einen Klick auf den Schraubenschlüssel die angelegte Zone.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Eintrag hinzufügen.<br /> #Tragen Sie in das Feld &quot;Name&quot;, die letzte Zahl der Host-IP ein, die zu der gewünschten Domain gehört (In unserem Beispiel die &quot;60&quot;.)<br /> #Als Typ wählen Sie &quot;PTR&quot;.<br /> #In das Feld Wert tragen Sie die Domain ein auf die die IP-Adresse zeigen soll. An die Domain wird ein Punkt &quot;.&quot; angehängt!<br /> #Klicken Sie auf Hinzufügen.<br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Step1-PTR.jpg |800px|thumb|center|Step 1]]<br /> [[Datei:Step2-PTR.jpg|800px|thumb|center|Step 2]]<br /> [[Datei:PTR-anlegen.jpg|800px|thumb|center|PTR anlegen]]<br /> <br /> *Nun ist das Anlegen des PTR-RR fertig und die Firewall setzt auf Anfrage die IP auf die gewünschte Domain um!<br /> <br /> ==== PTR-RR testen ====<br /> Um das Umsetzten des zuvor angelegten PTR-RR zu testen, können Sie von extern eine rDNS-Anfrage in Form eines nslookup schicken oder sie nutzen die eigenen Netzwerktools der Firewall.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken sie im Dropdown-Menü auf Netzwerkwerkzeuge.<br /> #Klicken Sie im erscheinenden Dialog auf den Host.<br /> #Wählen Sie als Abfragetyp &quot;PTR&quot; aus.<br /> #Tragen Sie im Feld Hostname die IP ein.<br /> #Verwenden Sie im Feld Nameserver die 127.0.0.1<br /> #Klicken Sie auf Senden.<br /> <br /> [[Datei:PTR-testen.jpg|800px|thumb|center|PTR-RR testen]]<br /> <br /> *Im unteren Fenster wird, wenn alles richtig eingerichtet wurde, zu der IP-Adresse die richtige Domain aufgelöst.<br /> <br /> <br /> === Relay-Zone ===<br /> Eine Relay-Zone ist für das Weiterleiten von Anfragen, die zu einer bestimmten Domain gehören zuständig. Hierzu ein Beispiel.:<br /> <br /> Die Firewall wird im internen Netz von allen Clients als Nameserver verwendet. Zusätzlich ist im internen Netz ein Nameserver integriert der für die interne Domänenverwaltung zuständig ist. Möchte nun ein Client einen internen Namen auflösen (z.B.: uma.test.local) wird diese DNS-Anfrage an die Firewall gestellt. Durch eine Weiterleitung aller Anfragen auf &quot;test.local&quot; an den internen Nameserver können diese ohne Probleme von selbigem aufgelöst werden. Anfragen die nicht zur internen Domain gehören, löst die Firewall weiterhin selbst auf.<br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> <br /> ==== Relay anlegen ====<br /> Im nächsten Schritt wird das Relay angelegt.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Relay-Zone hinzufügen.<br /> #Tragen Sie im erscheinenden Dialog die gewünschte Domain in das Feld Zonenname ein. Wählen sie als Typ Relay und tragen die in das Feld IP-Adresse die Adresse des entfernten Nameservers ein. <br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Relayzone.jpg|800px|thumb|center|Anlegen der Relay-Zone]]<br /> <br /> *Nun ist das Anlegen der Relay-Zone fertig und die Firewall leitet alle Anfragen auf die Domain an den gewünschten Nameserver weiter!<br /> <br /> <br /> === DNS Forwarding ===<br /> Ein DNS Forwarding wird dazu Verwendet um ALLE DNS Anfragen die an den Nameserver der Firewall gestellt werden an eine andere IP weiterzuleiten.<br /> <br /> ==== Domainweiterleitung anlegen ====<br /> Anlegen einer Domainweiterleitung<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Tab DNS Forwarding.<br /> #Klicken sie auf Domainweiterleitung hinzufügen.<br /> #Tragen sie die gewünschte IP-Adresse ein, an den die DNS Anfragen geschickt werden sollen.<br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:DNSWeiterleitung.jpg|800px|thumb|center|Anlegen eines DNS Forwardings]]<br /> <br /> *Die Domainweiterleitung ist nun angelegt und die DNS Anfragen werden an die gewünschte IP weitergeleitet.<br /> <br /> <br /> <br /> <br /> === Domainweiterleitung durch einen IPSec-Tunnel ===<br /> Bei weilen ist es Nötig interne Domainanfragen an einen entfernten Nameserver weiter zu leiten, der sich in einem IPSec-Netz befindet. Hier ist zu beachten das standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentlich IP wird aber nicht in einen IPSec-Tunnel geroutet. <br /> <br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> <br /> ==== Relay anlegen ====<br /> Im nächsten Schritt wird das Relay angelegt.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Relay-Zone hinzufügen.<br /> #Tragen Sie im erscheinenden Dialog die gewünschte Domain in das Feld Zonenname ein. Wählen sie als Typ Relay und tragen die in das Feld IP-Adresse die Adresse des entfernten Nameservers ein. <br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Relay-zone-ipsec.png|800px|thumb|center|Anlegen der Relay-Zone]]<br /> <br /> *Nun ist das Anlegen der Relay-Zone fertig und die Firewall leitet alle Anfragen auf die Domain an den gewünschten Nameserver weiter!<br /> <br /> <br /> <br /> ==== Netzwerkobjekt anlegen ====<br /> Klicken Sie auf der Navigationsleise auf den Punkt Firewall und wählen Sie den Eintrag Portfilter vom Dropdownmenü. Anschließen wählen Sie im Fenster den Tab Netzwerkobjekte. <br /> <br /> Folgende Objekte sind vorkonfiguriert: <br /> <br /> external-interface, internal-interface, Internet, internal-network, dmz1-interface, dmz1-network<br /> <br /> # Legen Sie ein Netzwerkobjekt für das IPSec Netzwerk an, indem Sie auf den Button Objekt hinzufügen klicken.<br /> # Tragen Sie im Feld Name eine Bezeichnung für das IPSec-Netzwerk ein<br /> # Wählen Sie als Typ VPN-Netzwerk und tragen Sie unter IP-Adresse die IP-Adresse des IPSec Netzwerkes ein.<br /> # Als Zone wählen Sie vpn-ipsec aus.<br /> # Sichern Sie die Einstellungen mit dem Button Speichern. <br /> <br /> <br /> [[Datei:netzwerkobjekt_iüpsec_object.png|none|thumb|300px|Netzwerkobjekt]]<br /> <br /> <br /> <br /> ==== Regel erstellen ====<br /> Im letzten Schritt muss eine Firewallregel, mit einem Hide-NAT angelegt werden. Diese bewirkt das die DNS-Weiterleitung auch in den Tunnel, und nicht direkt in das Internet, geht.<br /> <br /> # Gehen Sie in der Navigationsleiste auf den Punkt Firewall und klicken Sie im Dropdownmenü auf den Eintrag Portfilter.<br /> # Klicken Sie im Portfilterdialog auf den Button Regel hinzufügen.<br /> # Wählen Sie in der Liste Quelle das Netzwerkobjekt external-interface, in der Liste Ziel das IPSec-Netzwerk und als Dienst den Eintrag domain-udp.<br /> # Wählen Sie in der Liste NAT, bei TYP &quot;HIDENAT&quot; und als Netzwerkobjekt &quot;internal-interface&quot;.<br /> # Als Aktion muss der Eintrag ACCEPT gewählt werden.<br /> # Die Checkbox Aktiv muss ebenfalls aktiviert sein.<br /> # Wählen Sie im Feld Logging zwischen den Protokollierungsmethoden NONE, MEDIUM und ALL.<br /> # Unter Kommentar können Sie eine Beschreibung oder Notizen zu der Regel hinzufügen.<br /> # Beim Überfahren der Netzwerkobjekte mit der Maus, wird Ihnen die zugehörigen Netzwerkobjekte und deren IP-Adressen und Zonen angezeigt.<br /> # Klicken Sie auf Speichern.<br /> <br /> [[Datei:Regel-hidenat-ext-über-int.png|800px|thumb|center|Anlegen der Regel]]<br /> <br /> <br /> * Mit dieser Regel werden nun alle Domain-UDP-Anfragen die über die Firewall an den entfernten Nameserver gestellt werden, über die IP des internen Interfaces genatet und können somit in den IPSec-Tunnel geleitet werden.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/Nameserver&diff=7206 UTM/APP/Nameserver 2015-05-13T12:54:27Z <p>Chris: /* Einleitung */</p> <hr /> <div>{{v11}}<br /> == Einleitung ==<br /> Ein Nameserver ist ein Server, der Namensauflösung anbietet. Namensauflösung ist das Verfahren, das es ermöglicht, Namen von Rechnern bzw. Diensten in eine Adresse (IP) aufzulösen (z.B.: securepoint.de in 62.116.166.66). Des Weiteren kann in der V11 eine Namensauflösung an einen anderen Nameserver weitergeleitet werden oder aus einer IP Adresse auf einen bestimmten Namen geschlossen werden (Reverse Lookup). Zusätzlich gibt es die Funktion &quot;DNS Forwarding&quot; die es erlaubt alle DNS Anfragen an einen bestimmten Nameserver weiterzuleiten.<br /> <br /> Um die Einstellungen die der Nameserver der V11 bietet, besser verstehen zu können, folgt nun eine &quot;Typ Beschreibung&quot;, der Typen die bei der Einrichtung auswählbar sind:<br /> <br /> * Beschreibung der Typen<br /> <br /> - NS<br /> - A<br /> - AAAA<br /> - TXT<br /> - PTR<br /> - MX<br /> - CNAME<br /> <br /> Im weiteren Verlauf wird genauer auf die Einrichtung folgender Punkte der V11 eingegangen:<br /> <br /> * Anlegen einer Forward-Zone<br /> * Anlegen einer Reverse-Zone<br /> * Anlegen einer Relay-Zone<br /> * Anlegen eines DNS Forwardings<br /> <br /> Beachten Sie, dass aus dem jeweiligen Netz immer eine Regeln für DNS auf das entsprechende Interface vorhanden ist.<br /> <br /> <br /> === Beschreibung der Typen ===<br /> ==== NS ====<br /> Ein NS oder besser gesagt, NS-RR (Name Server Resource Record) ist ein Datensatz eines DNS Servers und kann zwei unterschiedliche Funktionen erfüllen:<br /> <br /> * Er definiert, welche Nameserver für diese Zone offiziell zuständig sind.<br /> * Er verkettet Zonen zu einem Zonen-Baum (Delegation).<br /> <br /> In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist. Ist zum Bsp. die Firewall selbst zuständig muss hier &quot;localhost&quot; ausgewählt/eingegeben werden. <br /> <br /> <br /> ==== A ====<br /> Mit einem A-RR (A Resource Record) wird einem DNS-Namen eine IPv4-Adresse zugeordnet.<br /> <br /> <br /> ==== AAAA ====<br /> Mit einem AAAA Resource Record („quad-A“) wird einem DNS-Namen eine IPv6-Adresse zugeordnet. Es handelt sich damit um die IPv6-Entsprechung zum A Resource Record.<br /> <br /> <br /> ==== TXT ====<br /> Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden. TXT Records können unter anderem zum Tunneln über DNS eingesetzt werden.<br /> <br /> <br /> ==== PTR ====<br /> PTR Resource Records ordnen im Domain Name System einer gegebenen IP-Adresse einen oder mehrere Hostname(s) zu. Sie stellen damit gewissermaßen das Gegenstück zur klassischen Zuordnung einer oder mehrerer IP-Adresse(n) zu einem gegebenen Hostname per A- oder AAAA Resource Record dar.<br /> <br /> PTR Resource Records sind ein zentrales Element des Reverse DNS. Sie werden üblicherweise ausschließlich verwendet<br /> <br /> * in der in-addr.arpa-Zone (für den Reverse-Lookup von IPv4-Adressen),<br /> * in der Zone ip6.arpa (für den Reverse-Lookup von IPv6-Adressen)[1] sowie<br /> * in anderen Zonen für Hostnames, auf die ein CNAME Resource Record aus einer der vorgenannten Zonen zeigt.<br /> <br /> <br /> ==== MX ====<br /> Der MX Resource Record (MX-RR) einer Domain ist ein Eintrag im Domain Name System, der sich ausschließlich auf den Dienst E-Mail (SMTP) bezieht.<br /> <br /> Ein MX-Record sagt aus, unter welchem Fully Qualified Domain Name (FQDN) der Mail-Server zu einer Domäne oder Subdomäne erreichbar ist. Es ist üblich, für eine Domäne mehrere MX-Records zu definieren mit unterschiedlichen Prioritäten, so dass bei Ausfall eines Mail-Servers ein anderer die E-Mails entgegennehmen kann. Dies erhöht die Wahrscheinlichkeit, dass eine Mail trotzdem an die Empfängerdomain zugestellt werden kann.<br /> <br /> <br /> ==== CNAME ====<br /> Ein CNAME Resource Record (CNAME RR) ist im Domain Name System dazu vorgesehen, einer Domänen einen weiteren Namen zuzuordnen. Die Abkürzung &quot;CNAME&quot; steht für canonical name (canonical = anerkannt, bezeichnet also den primären, quasi echten Namen).<br /> <br /> Im einfachsten Fall verweist der Name eines CNAME Resource Records auf den Namen eines A Resource Records und/oder eines AAAA Resource Records. Die Namen dieser Resource Records verweisen auf eine IP-Adresse. Beim Wechsel einer IP-Adresse muss dann für mehrere Namen nur ein einziger Resource Record geändert werden.<br /> <br /> Ein NS Resource Record, MX Resource Record oder PTR Resource Record darf nicht auf einen CNAME Resource Record verweisen. Umgekehrt darf ein PTR Resource Record aber durchaus nur über einen CNAME Resource Record zugänglich sein. Der Name eines CNAME Resource Records darf nicht als Name anderer Resource Records verwendet werden, da er stellvertretend für alle Resource Records des Ziels steht.<br /> <br /> <br /> <br /> <br /> <br /> === Forward-Zone ===<br /> Eine Foward-Zone wird zur Umsetzung von Domainnamen in IP-Adressen verwendet. Diese Umsetzung ist sowohl in IPv4 (A) als auch in IPv6 (AAAA) möglich. In dem folgenden Einrichtungsbeispiel wird das Anlegen eines A-RR, für eine öffentliche Domain erklärt. Wird der DNS der Firewall zur Auflösung verwendet, soll eine private IP aus dem internen Netz zurückgegeben werden. <br /> <br /> Diese Einstellung wird unter anderem dann benötigt, wenn aus dem internen Netz eine Domain aufgerufen wird, dessen öffentliche IP die der Firewall ist. Ohne diesen Eintrag würde man eine komplizierte Portweiterleitung benötigen, so allerdings kann die Anfrage ohne Umwege direkt an den Server gestellt werden. <br /> <br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> <br /> ==== A-RR anlegen ====<br /> Im nächsten Schritt wird der A-RR angelegt.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Forward-Zone hinzufügen.<br /> #Tragen Sie im Step 1 die gewünschte Domain in das Feld Zonenname ein.<br /> #Tragen Sie im Step 2 unter Nameserver Hostname &quot;localhost&quot; ein. <br /> #Der Step 3 kann durch klicken auf den Button Fertig übersprungen werden.<br /> #Bearbeiten Sie durch einen Klick auf den Schraubenschlüssel die angelegte Zone.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Eintrag hinzufügen.<br /> #Tragen Sie in das Feld &quot;Name&quot; die gewünschte Domain ein. An die Domain wird ein Punkt &quot;.&quot; angehängt!<br /> #Als Typ wählen Sie &quot;A&quot;.<br /> #In das Feld Wert tragen Sie die interne IP des Servers ein auf den die Domain verweisen soll.<br /> #Klicken Sie auf Hinzufügen.<br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Step_1_A-RR.jpg‎|800px|thumb|center|Step 1 ]]<br /> [[Datei:Step2.jpg|800px|thumb|center|Step 2]]<br /> [[Datei:A-RR_anlegen.jpg|800px|thumb|center|Anlegen des A-RR]]<br /> <br /> *Nun ist das Anlegen des A-RR fertig und die Firewall setzt auf Anfrage die Domain auf die gewünschte Private IP um!<br /> <br /> <br /> ==== A-RR testen ====<br /> Um das Umsetzten des zuvor angelegten A-RR zu testen können sie von extern eine DNS-Anfrage in Form eines nslookup schicken oder sie nutzen die eigenen Netzwerktools der Firewall.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken sie im Dropdown-Menü auf Netzwerkwerkzeuge.<br /> #Klicken Sie im erscheinenden Dialog auf den Host.<br /> #Wählen Sie als Abfragetyp &quot;A&quot; aus.<br /> #Tragen Sie im Feld Hostname ihre Domain ein.<br /> #Verwenden Sie im Feld Nameserver die 127.0.0.1<br /> #Klicken Sie auf Senden.<br /> <br /> [[Datei:A-RR_testen.jpg|800px|thumb|center|A-RR testen]]<br /> <br /> *Im unteren Fenster löst er, wenn alles richtig eingerichtet wurde, die Domain auf die korrekte IP-Adresse auf.<br /> <br /> <br /> <br /> === Reverse-Zone ===<br /> Reverse DNS lookup (rDNS) bezeichnet eine DNS-Anfrage, bei der zu einer IP-Adresse der Name ermittelt werden soll. Als RR-Typen sind nur PTR Resource Records zulässig. Bei einem PTR-RR steht links eine IP-Adresse und rechts ein Name – im Gegensatz zum A Resource Record, wo links ein Name und rechts eine IP-Adresse steht.<br /> <br /> Genutzt wird ein rDNS lookup häufig im Zusammenhang mit Spamfiltern. Viele Spam-Mails werden von Fake-Domainen versendet. Der Empfänger kann anhand einer Rückauflösung der IP festzustellen ob die Domain auch wirklich zu der ankommenden IP gehört, ist dies nicht der Fall wird die Mail abgewiesen.<br /> <br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> ==== PTR-RR anlegen ====<br /> Im nächsten Schritt wird der PTR-RR angelegt.<br /> <br /> Zum Verständnis hier eine kurze Beschreibung:<br /> <br /> Da es extrem zeitaufwändig wäre, bei einer inversen Anfrage den gesamten Domänen-Baum nach der gewünschten IPv4-Adresse zu durchsuchen wurde eine eigenständige Domäne für inverse Zugriffe gebildet, die in-addr.arpa-Domäne. Unterhalb dieser Domäne existieren lediglich drei Subdomänen-Ebenen, so dass maximal drei Schritte zur Auflösung einer IPv4-Adresse erforderlich sind.<br /> Die unmittelbaren Subdomänen von in-addr.arpa haben als Label eine Zahl zwischen 0 und 255 und repräsentieren die erste Komponente einer IPv4-Adresse. (Beispiel: 64.in-addr.arpa oder 192.in-addr.arpa).<br /> Die nächste Ebene im Baum repräsentiert die zweite Komponente einer IPv4-Adresse (Beispiel: 27.64.in-addr.arpa. enthält die IPv4-Adressen 64.27.x.y) und die unterste Ebene schließlich die dritte Komponente (Beispiel: 125.27.64.in-addr.arpa enthält alle bekannten IPv4-Adressen des Netzes 64.27.125.0/24 – also z. B. 64.27.125.60). <br /> <br /> Wie aus den Beispielen ersichtlich ist, enthält ein reverser Name die IP-Adresskomponenten in umgekehrter Reihenfolge. Diese Struktur ermöglicht ein Verfeinern des reversen Adressraums in mehreren Schritten. In unserem folgenden Einrichtungsbeispiel werden wir mit dem letzten Adressraum (/24) arbeiten.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Reverse-Zone hinzufügen.<br /> #Tragen Sie im Step 1 das gewünschte Subnetz ein, indem sich die IP-Adresse zu der gewünschten Domain befindet.<br /> #Tragen Sie im Step 2 unter Nameserver &quot;localhost&quot; ein und klicken sie auf Fertig. <br /> <br /> Der Zonenname bildet sich automatisch wie im oberen Beispiel beschrieben.<br /> <br /> #Bearbeiten Sie durch einen Klick auf den Schraubenschlüssel die angelegte Zone.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Eintrag hinzufügen.<br /> #Tragen Sie in das Feld &quot;Name&quot;, die letzte Zahl der Host-IP ein, die zu der gewünschten Domain gehört (In unserem Beispiel die &quot;60&quot;.)<br /> #Als Typ wählen Sie &quot;PTR&quot;.<br /> #In das Feld Wert tragen Sie die Domain ein auf die die IP-Adresse zeigen soll. An die Domain wird ein Punkt &quot;.&quot; angehängt!<br /> #Klicken Sie auf Hinzufügen.<br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Step1-PTR.jpg |800px|thumb|center|Step 1]]<br /> [[Datei:Step2-PTR.jpg|800px|thumb|center|Step 2]]<br /> [[Datei:PTR-anlegen.jpg|800px|thumb|center|PTR anlegen]]<br /> <br /> *Nun ist das Anlegen des PTR-RR fertig und die Firewall setzt auf Anfrage die IP auf die gewünschte Domain um!<br /> <br /> ==== PTR-RR testen ====<br /> Um das Umsetzten des zuvor angelegten PTR-RR zu testen, können Sie von extern eine rDNS-Anfrage in Form eines nslookup schicken oder sie nutzen die eigenen Netzwerktools der Firewall.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken sie im Dropdown-Menü auf Netzwerkwerkzeuge.<br /> #Klicken Sie im erscheinenden Dialog auf den Host.<br /> #Wählen Sie als Abfragetyp &quot;PTR&quot; aus.<br /> #Tragen Sie im Feld Hostname die IP ein.<br /> #Verwenden Sie im Feld Nameserver die 127.0.0.1<br /> #Klicken Sie auf Senden.<br /> <br /> [[Datei:PTR-testen.jpg|800px|thumb|center|PTR-RR testen]]<br /> <br /> *Im unteren Fenster wird, wenn alles richtig eingerichtet wurde, zu der IP-Adresse die richtige Domain aufgelöst.<br /> <br /> <br /> === Relay-Zone ===<br /> Eine Relay-Zone ist für das Weiterleiten von Anfragen, die zu einer bestimmten Domain gehören zuständig. Hierzu ein Beispiel.:<br /> <br /> Die Firewall wird im internen Netz von allen Clients als Nameserver verwendet. Zusätzlich ist im internen Netz ein Nameserver integriert der für die interne Domänenverwaltung zuständig ist. Möchte nun ein Client einen internen Namen auflösen (z.B.: uma.test.local) wird diese DNS-Anfrage an die Firewall gestellt. Durch eine Weiterleitung aller Anfragen auf &quot;test.local&quot; an den internen Nameserver können diese ohne Probleme von selbigem aufgelöst werden. Anfragen die nicht zur internen Domain gehören, löst die Firewall weiterhin selbst auf.<br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> <br /> ==== Relay anlegen ====<br /> Im nächsten Schritt wird das Relay angelegt.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Relay-Zone hinzufügen.<br /> #Tragen Sie im erscheinenden Dialog die gewünschte Domain in das Feld Zonenname ein. Wählen sie als Typ Relay und tragen die in das Feld IP-Adresse die Adresse des entfernten Nameservers ein. <br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Relayzone.jpg|800px|thumb|center|Anlegen der Relay-Zone]]<br /> <br /> *Nun ist das Anlegen der Relay-Zone fertig und die Firewall leitet alle Anfragen auf die Domain an den gewünschten Nameserver weiter!<br /> <br /> <br /> === DNS Forwarding ===<br /> Ein DNS Forwarding wird dazu Verwendet um ALLE DNS Anfragen die an den Nameserver der Firewall gestellt werden an eine andere IP weiterzuleiten.<br /> <br /> ==== Domainweiterleitung anlegen ====<br /> Anlegen einer Domainweiterleitung<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Tab DNS Forwarding.<br /> #Klicken sie auf Domainweiterleitung hinzufügen.<br /> #Tragen sie die gewünschte IP-Adresse ein, an den die DNS Anfragen geschickt werden sollen.<br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:DNSWeiterleitung.jpg|800px|thumb|center|Anlegen eines DNS Forwardings]]<br /> <br /> *Die Domainweiterleitung ist nun angelegt und die DNS Anfragen werden an die gewünschte IP weitergeleitet.<br /> <br /> <br /> <br /> <br /> === Domainweiterleitung durch einen IPSec-Tunnel ===<br /> Bei weilen ist es Nötig interne Domainanfragen an einen entfernten Nameserver weiter zu leiten, der sich in einem IPSec-Netz befindet. Hier ist zu beachten das standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentlich IP wird aber nicht in einen IPSec-Tunnel geroutet. <br /> <br /> <br /> ==== Nameserver der Firewall festlegen ====<br /> Im ersten Schritt muss der Nameserver der Firewall festgelegt werden.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Netzwerk und klicken Sie im Dropdown-Menü auf Server Einstellungen.<br /> #Tragen Sie im Feld &quot;Primärer Nameserver&quot; als IP die &quot;127.0.0.1&quot; (localhost) ein.<br /> #Klicken Sie auf Speichern<br /> <br /> [[Datei:Nameserver.jpg|800px|thumb|center|Nameserver IP]]<br /> <br /> <br /> ==== Relay anlegen ====<br /> Im nächsten Schritt wird das Relay angelegt.<br /> <br /> #Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.<br /> #Klicken Sie im erscheinenden Dialog auf den Button Relay-Zone hinzufügen.<br /> #Tragen Sie im erscheinenden Dialog die gewünschte Domain in das Feld Zonenname ein. Wählen sie als Typ Relay und tragen die in das Feld IP-Adresse die Adresse des entfernten Nameservers ein. <br /> #Klicken Sie auf Speichern.<br /> <br /> [[Datei:Relay-zone-ipsec.png|800px|thumb|center|Anlegen der Relay-Zone]]<br /> <br /> *Nun ist das Anlegen der Relay-Zone fertig und die Firewall leitet alle Anfragen auf die Domain an den gewünschten Nameserver weiter!<br /> <br /> <br /> <br /> ==== Netzwerkobjekt anlegen ====<br /> Klicken Sie auf der Navigationsleise auf den Punkt Firewall und wählen Sie den Eintrag Portfilter vom Dropdownmenü. Anschließen wählen Sie im Fenster den Tab Netzwerkobjekte. <br /> <br /> Folgende Objekte sind vorkonfiguriert: <br /> <br /> external-interface, internal-interface, Internet, internal-network, dmz1-interface, dmz1-network<br /> <br /> # Legen Sie ein Netzwerkobjekt für das IPSec Netzwerk an, indem Sie auf den Button Objekt hinzufügen klicken.<br /> # Tragen Sie im Feld Name eine Bezeichnung für das IPSec-Netzwerk ein<br /> # Wählen Sie als Typ VPN-Netzwerk und tragen Sie unter IP-Adresse die IP-Adresse des IPSec Netzwerkes ein.<br /> # Als Zone wählen Sie vpn-ipsec aus.<br /> # Sichern Sie die Einstellungen mit dem Button Speichern. <br /> <br /> <br /> [[Datei:netzwerkobjekt_iüpsec_object.png|none|thumb|300px|Netzwerkobjekt]]<br /> <br /> <br /> <br /> ==== Regel erstellen ====<br /> Im letzten Schritt muss eine Firewallregel, mit einem Hide-NAT angelegt werden. Diese bewirkt das die DNS-Weiterleitung auch in den Tunnel, und nicht direkt in das Internet, geht.<br /> <br /> # Gehen Sie in der Navigationsleiste auf den Punkt Firewall und klicken Sie im Dropdownmenü auf den Eintrag Portfilter.<br /> # Klicken Sie im Portfilterdialog auf den Button Regel hinzufügen.<br /> # Wählen Sie in der Liste Quelle das Netzwerkobjekt external-interface, in der Liste Ziel das IPSec-Netzwerk und als Dienst den Eintrag domain-udp.<br /> # Wählen Sie in der Liste NAT, bei TYP &quot;HIDENAT&quot; und als Netzwerkobjekt &quot;internal-interface&quot;.<br /> # Als Aktion muss der Eintrag ACCEPT gewählt werden.<br /> # Die Checkbox Aktiv muss ebenfalls aktiviert sein.<br /> # Wählen Sie im Feld Logging zwischen den Protokollierungsmethoden NONE, MEDIUM und ALL.<br /> # Unter Kommentar können Sie eine Beschreibung oder Notizen zu der Regel hinzufügen.<br /> # Beim Überfahren der Netzwerkobjekte mit der Maus, wird Ihnen die zugehörigen Netzwerkobjekte und deren IP-Adressen und Zonen angezeigt.<br /> # Klicken Sie auf Speichern.<br /> <br /> [[Datei:Regel-hidenat-ext-über-int.png|800px|thumb|center|Anlegen der Regel]]<br /> <br /> <br /> * Mit dieser Regel werden nun alle Domain-UDP-Anfragen die über die Firewall an den entfernten Nameserver gestellt werden, über die IP des internen Interfaces genatet und können somit in den IPSec-Tunnel geleitet werden.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/APP/Reverse_Proxy_v11.7&diff=7073 UTM/APP/Reverse Proxy v11.7 2015-03-18T11:30:04Z <p>Chris: /* ACLs - Zugriffsrechte */</p> <hr /> <div>{{v11}}<br /> =Reverse Proxy=<br /> <br /> ==Webinar==<br /> {{#ev:youtube|qYLUkJY8sAI|500| auto}}<br /> <br /> ==Einleitung==<br /> Mit einem Reverse-Proxy können Sie aus dem Internet heraus, den Zugriff auf die &quot;internen&quot; Webserver steuern. Im Gegensatz zu einer Portweiterleitung, könne über den Reverse-Proxy dedizierte Filterregeln erstellt werden. Zudem kann bei nur einer öffentlich IP, mehrere interne Webserver anhand der Domäne angesprochen werden. <br /> <br /> Ein weiteres Highlight bietet das Load-Balancing. Server können zu Gruppen zusammen gefasst werden, auf die die Anfragen dann mit dem gewählten Algorithmus (z.B. Round-Robin) verteilt werden.<br /> <br /> ==Ziel==<br /> Ziel dieses Howtos ist es über den Reverse-Proxy auf einen internen Webserver zuzugreifen.<br /> <br /> * Webserver-IP: 172.16.0.91<br /> * Externe-IP: 192.168.6.19<br /> * Domäne: web.test.local -&gt; 192.168.6.19<br /> <br /> ==Vorüberlegungen==<br /> '''Achtung:'''<br /> Planen Sie auch https an einen Webserver über den Reverse-Proxy weiterzuleiten, so müssen Sie zuerst den Port des Webinterfaces umlegen. Gehen Sie dazu auf &quot;Extras -&gt; Erweiterte Einstellungen&quot; und ändern den Port auf z.B: 4443 ab. <br /> <br /> * Damit Sie danach noch auf das Userinterface zugreifen können, benötigen Sie dann natürlich eine entsprechende Regel.<br /> <br /> <br /> <br /> Für https benötigt der Reverse-Proxy natürlich ein Zertifikat damit er die verschlüsselte Verbindung entgegen-nehmen kann.<br /> <br /> * Gehen Sie dazu auf &quot;Authentifizierung -&gt; Zertifikate&quot; und erstellen ein neues Zertifikat. '''Wichtig:''' der Name des Zertifikates muss so benannt werden wie die Domäne, bei uns also web.test.local.<br /> <br /> =Einrichtung=<br /> <br /> ==Netzwerkobjekte== <br /> Als ersten benötigen wir ein Netzwerkobjekt mit der IP des Webservers:<br /> <br /> * Melden Sie sich an der Appliance an<br /> * Gehen Sie auf Firewall -&gt; Portfilter -&gt; Netzwerkobjekte<br /> * Klicken Sie auf &quot;Hinzufügen&quot; und füllen Sie die Felder entsprechend aus.<br /> <br /> <br /> [[Datei:Utm-reverseproxy1.png‎|center|]]<br /> <br /> ==Portfilter==<br /> <br /> * Legen Sie nun entsprende Regeln an, die den Zugriff auf das externe Interface freigeben.<br /> <br /> <br /> [[Datei:Utm-reverseproxy2.png‎|center|]]<br /> <br /> ==Reverse Proxy==<br /> ===Einleitung===<br /> Nun ist es an der Zeit mit der Konfiguration des Reverse-Proxys zu beginnen! Damit Sie verstehen warum das in Gruppen aufgeteilt ist, möchte ich noch mal das Prinzip erläutern.<br /> <br /> Ein Portforwarding ermöglicht nur eine 1:1 Beziehung, der Port wird immer an den einen Server durchgeschleift. Bei einem Reverse-Proxy ist das anders, hier gibt es die Beziehungen:<br /> <br /> * 1:1 - Eine Domäne/IP : Ein Server<br /> * 1:N - Eine Domäne/IP : Mehrere Server (Load Balancing)<br /> * N:1 - Mehrere Domänen/IPs : Ein Server<br /> * N:M - Mehrere Domänen/IPs : Mehrere Server (Load Balancing)<br /> <br /> Nun ist auch klar warum sich die Server in Gruppen befinden, Sie können, müssen aber nicht mehrer Objekte in diese Gruppen legen.<br /> <br /> ===Servergruppen===<br /> * Gehen Sie dazu auf &quot;Anwendungen -&gt; Reverse-Proxy&quot;.<br /> * Fügen Sie ein Servergruppe hinzu.<br /> * In dieser Gruppe fügen wir nun unseren Server ein. Der Anmeldename und das Passwort sind Optional und dienen zur Authentifizierung am Zielserver, wenn dies aktiv sein sollte.<br /> <br /> [[Datei:Utm-reverseproxy3.png‎|center|]]<br /> <br /> ===ACLs - Zugriffsrechte===<br /> Über ACLs lassen sich die Zugriffsrechte dediziert zuweisen. Die folgenden Optionen stehen zur Auswahl:<br /> <br /> * req_header: Filter auf den Header des Clients (Es könnte z.B. der Browser bestimmt werden)<br /> * src: Gibt die Quell IP des Clients an (87.139.55.127/255.255.255.255)<br /> * dstdomain: Gibt die Domäne/IP des Ziel-Servers an (web.test.local oder 192.168.6.19)<br /> * srcdomain: Gibt die Domäne des Absenders an (securepoint.de)<br /> * srcdom_regex: Regex auf die Domäne (securepoint)<br /> * proto: Protokoll (http, https)<br /> * time: Zeitangabe (M T W H F 9:00-17:00)<br /> <br /> <br /> Days of the Week<br /> <br /> S - Sunday<br /> M - Monday<br /> T - Tuesday<br /> W - Wednesday<br /> H - Thursday<br /> F - Friday<br /> A - Saturday<br /> D - All weekdays<br /> <br /> [[Datei:Utm-reverseproxy4.png‎|center|]]<br /> <br /> <br /> * Wir wollen das der Server sowohl über die IP, als auch den Namen erreichbar ist.<br /> * Dazu fügen wir 2 Einträge hinzu, beide vom Typ &quot;dstdomain&quot; mit den entsprechenden Werten.<br /> <br /> <br /> [[Datei:Utm-reverseproxy5.png‎|center|]]<br /> <br /> ===SITES===<br /> Hier können nun die Zuweisungen von den ACLs, der Aktion &quot;Allow/Deny&quot;, der Reihenfolge, den Verteilungsalgorithmus sowie der Bandbreite für dem Server erfolgen.<br /> <br /> Die ACLs werden der Reihenfolge nach abgearbeitet, ich kann sie entweder zulassen &quot;Allow&quot; oder verweigern &quot;Deny&quot;. Die ACLs vom Typ &quot;Deny&quot; sollten in der Reihenfolge vor den &quot;Allow&quot; ACLs kommen. <br /> <br /> [[Datei:Utm-reverseproxy6.png‎|center|]]<br /> <br /> ===Allg. Einstellungen===<br /> Hier kann festgelegt werden ob HTTP/HTTPS oder beides verwendet werden soll, die Ports sowie das Zertifikat für den entsprechenden Server.<br /> <br /> [[Datei:Utm-reverseproxy7.png‎|center|]]</div> Chris https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-S2E_v11.8&diff=7015 UTM/VPN/IPSec-S2E v11.8 2015-02-25T12:55:46Z <p>Chris: /* Erstellung der native IPSec Verbindung mit dem Assistenten */</p> <hr /> <div>[[kategorie:UTMv11]]<br /> <br /> ==Einleitung==<br /> <br /> Ein VPN verbindet einen oder mehrere Rechner oder Netzwerke miteinander, indem es ein anderes Netzwerk, z. B. das Internet, als Transportweg nutzt. Das kann z. B. der Rechner eines Mitarbeiters zu Hause oder einer Filiale sein, der mit dem Netzwerk der Zentrale über das Internet verbunden ist. Diese Verbindungsstruktur wird auch Site-to-End oder Roadwarrior genannt. <br /> <br /> Für den Benutzer sieht das VPN wie eine normale Netzwerkverbindung zum Zielrechner aus. Den tatsächlichen Übertragungsweg sieht er nicht. Das VPN stellt dem Benutzer eine virtuelle IP-Verbindung zur Verfügung, die durch eine tatsächliche getunnelt wird. Die über diese Verbindung übertragenen Datenpakete werden am Clienten verschlüsselt und vom Securepoint Server wieder entschlüsselt und umgekehrt. <br /> <br /> Die beiden Gegenstellen müssen nicht über eine feste IP-Adresse verfügen, damit sie per VPN verbunden werden können. Es können auch von beiden Gegenstellen dynamische IP-Adressen verwendet werden. Außerdem können die Netzwerke miteinander verbunden werden, wenn eine der Gegenstellen eine feste IP-Adresse hat und die andere eine dynamische.<br /> Zur Übersicht der möglichen Szenarien lesen sie bitte die Seite [[IPSec Arten| mögliche IPSec Verbindungen]].<br /> <br /> In dieser Schritt für Schritt Anleitung wird Konfiguration einer Site-to-End Verbindung gezeigt. Der gewählte Verbindungstyp ist native IPSec. Zur Erstellung der Konfiguration wird das Administrations-Webinterface benutzt.<br /> <br /> Für native IPSec Verbindungen benötigen Sie ein separates Client Programm. Das Betriebssystem Microsoft Windows ab Version 7 beinhaltet schon einen Client für natives IPSec.<br /> <br /> ==Erstellung der native IPSec Verbindung mit dem Assistenten==<br /> <br /> Wählen Sie in der Navigationsleiste des Administrations-Webinterface den Punkt '''VPN''' und in dem Dropdownmenü den Eintrag '''IPSec'''. Es öffnet sich das Fenster '''IPSec''' in dem alle angelegten IPSec-Verbindungen aufgelistet sind.<br /> Für die neue Roadwarrior Verbindung klicken Sie auf die Schaltfläche '''+ Roadwarrior''' im unteren rechten Bereich des Fensters.<br /> Es öffnet sich das Fenster '''IPSec Roadwarrior hinzufügen'''. Hierbei handelt es sich um einen Assistenten, der Sie mit fünf Schritten durch den Erstellungsvorgang führt.<br /> <br /> ====Schritt 1 - Name und Typ====<br /> [[Datei:ipsec_wizard_step1.png|right|thumb|300px|Name angeben und Typ auswählen]]<br /> * Geben Sie im Feld '''Namen''' eine Bezeichnung für die VPN Verbindung an.<br /> * Wählen Sie aus dem Dropdownmenü '''Verbindungstyp''' den Eintrag '''IKEv1 - Native'''.<br /> * Klicken Sie dann auf '''Weiter'''.<br /> &lt;br /&gt;&lt;br /&gt;<br /> &lt;br /&gt;&lt;br /&gt;<br /> &lt;br /&gt;&lt;br /&gt;<br /> <br /> ====Schritt 2 - Verschlüsselung====<br /> [[Datei:ipsec_wizard_step2.png|right|thumb|300px|Verschlüsselung]]<br /> In diesem Schritt werden die Verschlüsselungsparameter abgefragt. Sie können die voreingestellten Parameter übernehmen. Höhere Sicherheit erreichen Sie aber durch folgende Werte.<br /> * Im Feld '''Verschlüssselung''' ist '''3des''' voreingestellt. Hier sollten Sie einen '''aes''' Eintrag wählen.<br /> * Im Feld '''Authentifizierung''' ist '''md5''' voreingestellt. Hier sollten Sie einen '''sha''' Eintrag wählen.<br /> * Die '''Diffie-Hellman Group''' Einstellung '''modp1024''' kann beibehalten werden.<br /> &lt;br /&gt;&lt;br /&gt;<br /> <br /> ====Schritt 3 - Authentifizierung====<br /> [[Datei:ipsec_wizard_step3_psk.png|left|thumb|230px|PSK]]<br /> [[Datei:ipsec_wizard_step3_cert.png|center|thumb|230px|Zertifikat]]<br /> [[Datei:ipsec_wizard_step3_rsa.png|right|thumb|230px|RSA Key]]<br /> &lt;br /&gt;<br /> In diesem Schritt können Sie eine Authentifizierungsart wählen. Angeboten werden '''Pre-Shared-Key''' (PSK), '''x.509 Zertifikat''' und '''RSA-Schlüssel'''.<br /> Bei dem PSK Verfahren wird ein Kennwort benutzt, welches beiden VPN-Verbindungsstellen bekannt sein muss.<br /> Bei der Zertifikat Methode authentifiziert sich der Roadwarrior durch ein Zertifikat, welches durch die Appliance ausgestellt worden ist und an den Roadwarrior weitergegeben wird.<br /> RSA-Schlüssel ist ein asymmetrisches Schlüsselpaar. Die Appliance stellt ein Schlüsselpaar her, das aus einem privaten und einem öffentlichen Schlüssel besteht. Der öffentliche Schlüssel wird dem Verbindungspartner übergeben.<br /> * Wählen Sie die gewünschte Authentifizierungsmethode aus.<br /> * Für die PSK Methode geben Sie das Kennwort in das Textfeld ein.<br /> * Für das Zertifikatverfahren wählen Sie ein Zertifikat aus der Dropdownliste aus.<br /> * Für die RSA Methode wählen Sie den Schlüssel, den die Appliance und der Roadwarrior verwenden. Benutzen Sie dafür die Dropdownfelder.<br /> <br /> ====Schritt 4 - Gateway IDs====<br /> [[Datei:ipsec_wizard_step4.png|right|thumb|300px|Gateways]]<br /> Die Gateway IDs des lokalen und entfernten Gateways gehen mit in die Authentifizierung ein, daher müssen Sie diese hier auswählen.<br /> * Wählen Sie im Dropdownfeld '''Local Gateway ID''' die Schnittstelle aus, über die die VPN Verbindung hergestellt wird. Dies ist meistens das externe Interface '''eth0'''. Durch den Button mit dem Stift können Sie auch Werte eingeben, die nicht in der Auswahlliste eingetragen sind.<br /> * Wählen Sie im Dropdownfeld '''Remote Gateway ID''' die Auswahl '''0.0.0.0''' , da es sich bei Roadwarrior meistens um eine dynamische IP-Adresse handelt.<br /> * Klicken Sie '''Weiter'''. <br /> &lt;br /&gt;<br /> <br /> ====Schritt 5 - Regelwerk====<br /> Wichtig ist, dass unter Firewall -&gt; Implizierte Regeln die für IPSec notwendigen Protokolle freigeschaltet werden:<br /> <br /> [[Datei:Ipsec-xauth-implizierte-regeln.png|200px|thumb|center|implizierte Regeln]]<br /> <br /> ====Schritt 6 - Zusätzliche Daten====<br /> [[Datei:ipsec_wizard_step5.png|right|thumb|300px|IP-Adressen]]<br /> * Tragen Sie im Feld '''Lokales Netzwerk''' das Netzwerk ein, mit dem sich der Roadwarrior verbindet.<br /> * Weisen Sie dem Roadwarrior eine IP-Adresse im Netzwerk zu. Benutzen Sie dazu das Feld '''Roadwarrior IP-Adresse'''.<br /> * Klicken Sie '''Fertig'''.<br /> &lt;br /&gt;&lt;br /&gt;&lt;br /&gt;&lt;br /&gt;<br /> <br /> Die neu angelegte Roadwarrior Verbindung wird nun der Übersicht des Fensters '''IPSec''' angezeigt. Über die Schaltflächen '''Phase 1''' und '''Phase 2''' können Sie die Einstellungen der Verbindung einsehen und ggf. ändern.<br /> <br /> Dem Roadwarrior müssen Sie zur Einrichtung der Verbindung auf seinem System die Einwahl IP-Adresse bzw. den Hostnamen mitteilen und die Authentifizierungsdaten (PSK, Zertifikate, PSE Key) übergeben.</div> Chris https://wiki.securepoint.de/index.php?title=UTM/AUTH/Zertifikate_v11.7&diff=6501 UTM/AUTH/Zertifikate v11.7 2014-11-13T10:55:48Z <p>Chris: /* Zertifikate löschen */</p> <hr /> <div>[[kategorie:UTMv11]]<br /> {{v11}}<br /> ==Allgemeines==<br /> <br /> Von der Securepoint Firewall werden digitale Zertifikate für die Authentifikation bei VPN-Verbindungen benutzt. Die Zertifikate entsprechen dem x.509 Standard.<br /> Zertifikate sollen die Identität des Inhabers bescheinigen. Sie werden von der Securepoint Appliance ausgestellt und von der Appliance eigenen CA (Certification Authority; auch Stammzertifikat genannt) signiert. Diese Signierung bestätigt die Echtheit des Zertifikats. So kann der Benutzer sicher sein, dass das Zertifikat wirklich von der Appliance ausgestellt wurde.<br /> Die CA selbst ist ebenfalls ein Zertifikat, welches zuerst auf der Apliance erstellt werden muss, damit man Zertifikate erstellen kann, denn Zertifikate müssen bei der Erstellung mit der CA signiert werden.<br /> <br /> Um das Zertifikat eindeutig zuordnen zu können, wird aus den einzelnen Angaben, die bei der Erstellung des Zertifikats gesetzt werden müssen, ein Distinguished Name (DN) generiert.<br /> Dazu gehören:<br /> *Name des Zertifikats (CN) Common Name<br /> *Land (CO) Country<br /> *Bundesland/Region (ST) State<br /> *Ort (LO) Location<br /> *Firma (OR) Organisation <br /> *Abteilung (OU) Organisation Unit<br /> *E-Mail (email-address)<br /> <br /> Es kann noch ein Alias angegeben werden, um die Eindeutigkeit zu verstärken. Dieser Alias ist entweder eine E-Mail-Adresse, ein DNS Name oder eine IP-Adresse.<br /> Von mancher VPN Software wird dieser Alias für eine einwandfreie Funktionalität verlangt (z.B. Windows 7 IPSec Client).<br /> <br /> Außerdem muss noch ein Gültigkeitszeitraum angegeben werden, dessen Anfangs- und Ablaufzeitpunkt sich aus Uhrzeit und Datum zusammensetzt. Die Zeitspanne der Gültigkeit ist nicht vorgeschrieben und kann den eigenen Bedürfnissen angepasst werden. Nach Ablauf dieser Zeitspanne, kann das Zertifikat nicht mehr verwendet werden.<br /> <br /> Es kann noch ein Flag gesetzt werden, welches das Zertifikat als Serverzertifikat kennzeichnet. Dieses wird von OpenVPN für den Server verlangt. OpenVPN benötigt für eine Seite immer ein Serversystem mit Server Zertifikat auch bei Site-to-Site Verbindungen. Andere VPN Protokolle verlangen diese Kennzeichnung nicht.<br /> <br /> &lt;div align=&quot;right&quot;&gt;[[#top|&lt;font size=1&gt;zum Anfang&lt;/font&gt;]]&lt;/div&gt;<br /> <br /> ==Zertifikatserstellung auf der Appliance==<br /> <br /> Im Folgenden wird gezeigt, wie Sie im Webinterface der Securepoint Appliance Zertifikate erstellen.<br /> <br /> ===CA erstellen===<br /> <br /> *Klicken Sie auf der Navigationsleise auf den Punkt ''Authentifizierung'' und wählen Sie den Eintrag ''Zertifikate'' vom Dropdownmenü.&lt;br/&gt;Es öffnet sich der Dialog ''Zertifikate'' auf der Registerkarte ''CA''.<br /> [[Datei:UTMV11_Z_CA.png|thumb|&lt;font size=&quot;1&quot;&gt;CA anlegen&lt;/font&gt;]]<br /> *Klicken Sie auf ''+CA hinzufügen''.&lt;br/&gt;Es öffnet sich der Dialog ''CA hinzufügen''. <br /> *Tragen Sie im Feld ''Common Name'' einen eindeutigen Namen ein.<br /> *Wählen Sie aus dem Dropdownfeld ''Schlüssellänge'' die Schlüssellänge für das Zertifikat aus.. <br /> *Tragen Sie in den Feldern ''Gültig seit'' und ''Gültig bis'', den Zeitraum ein, in der die CA gültig ist. Die Angaben sind in Datum und Uhrzeit zu machen. Beachten Sie, dass mit der Gültigkeit der CA auch die Gültigkeit der mit dieser CA signierten Zertifikate ausläuft. Das Datum ist im folgenden Format anzugeben JJJJ/MM/TT. Wenn Sie mit der Maus in das Eingabefeld klicken, öffnet sich automatisch ein Kalender, auf dem Sie das Datum und die Uhrzeit auswählen können.<br /> *Wählen Sie die Landeskennung und tragen Sie das Bundesland, den Ort, den Namen der Firma, der Abteilung und eine E-Mail-Adresse ein. <br /> *Klicken Sie dann auf ''Speichern''. <br /> &lt;br&gt;<br /> &lt;br /&gt;<br /> &lt;div align=&quot;right&quot;&gt;[[#top|&lt;font size=1&gt;zum Anfang&lt;/font&gt;]]&lt;/div&gt;<br /> <br /> ===Server- und Nutzerzertifikat erstellen===<br /> <br /> Nachdem die CA angelegt ist, können Sie Zertifikate für die Appliance und Zertifikate für Nutzer anlegen. <br /> <br /> *Wechseln Sie auf die Registerkarte ''Zertifikate'' und klicken Sie auf den Button ''+ Zertifikat hinzufügen''.&lt;br/&gt;Es öffnet sich der Dialog ''Zertifikat hinzufügen''. <br /> *Geben Sie im Feld ''Common Name'' einen Namen für das Zertifikat an.<br /> *Wählen Sie aus dem Dropdownfeld die Schlüssellänge für das Zertifikat.<br /> *Wählen Sie aus dem Dropdownfeld die CA aus, mit der das neue Zertifikat signiert werden soll.<br /> *Sie haben jetzt die Möglichkeit für die nächsten Eingaben die Werte aus der CA zu übernehmen. Klicken Sie dafür auf die Schaltfläche ''Werte aus CA laden''.&lt;br/&gt;Nutzen Sie diese Möglichkeit nicht, müssen Sie noch folgende Werte eingeben:&lt;br/&gt;<br /> **Tragen Sie mit den Felder ''Gültig seit'' und ''Gültig bis'' die Gültigkeit des Zertifikats ein. Diese muss dem Zeitraum der CA entsprechen oder innerhalb des Zeitraums der CA liegen. <br /> **Wählen sie im Feld ''Land'' die Landeskennung aus dem Dropdownfeld.<br /> **Geben Sie im Feld ''Staat'' die Region oder das Bundesland an.<br /> **Geben Sie im Feld ''Stadt'' die Stadt an.<br /> **Tragen Sie im Feld ''Organisation'' Ihre Firma oder Organisation ein.<br /> **Tragen Sie im Feld ''Abteilung'' die Unterstruktur ein.<br /> **Im Feld ''E-Mail'' tragen Sie eine E-Mail-Adresse ein.<br /> *Für ein Serverzertifikat wählen Sie im Feld ''Alias'' den Eintrag ''DNS'' aus dem Dropdownfeld und tragen in dem erscheinenden Feld den Hostnamen des Servers ein. <br /> *Aktivieren Sie die Checkbox ''Serverzertifikat''. <br /> *Für ein Nutzerzertifikat wählen Sie als Alias ''Keine'' aus. die Checkbox ''Serverzertifikat'' bleibt deaktiviert. <br /> *Klicken Sie auf ''Speichern''. <br /> <br /> [[Datei:UTMV11_Z_Srv_c.png|left|thumb|&lt;font size=&quot;1&quot;&gt;Serverzertifikat anlegen&lt;/font&gt;]]<br /> [[Datei:UTMV11_Z_RW_c.png|right|thumb|&lt;font size=&quot;1&quot;&gt;Roadwarriorzertifikat anlegen&lt;/font&gt;]]<br /> <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> &lt;br /&gt;<br /> &lt;div align=&quot;right&quot;&gt;[[#top|&lt;font size=1&gt;zum Anfang&lt;/font&gt;]]&lt;/div&gt;<br /> <br /> ==Zertifikate exportieren==<br /> <br /> Zertifikate können in zwei Formaten für den externen Gebrauch exportiert werden.<br /> Das PEM Format ist ein Base64 kodiertes Format, welches den öffentlichen und privaten Schlüssel in einer Datei beinhaltet. Die beiden Schlüssel sind mit den Bezeichnungen ''Begin Certificate'' und ''End Certificate'' und ''Begin Private Key'' und ''End Private Key'' gekennzeichnet. Die Datei hat die Endung ''.pem''. Die CA muss separat exportiert werden. <br /> Das PKCS#12 Format exportiert nicht nur das Zertifikat, sondern auch die zugehörige CA in einer Kennwort gesicherten Datei. Die Datei hat die Endung ''.p12''.<br /> <br /> Für SSL VPN mit dem Securepoint Client wird das PEM Format benutzt.<br /> Möchten Sie die VPN Clients von Microsoft Windows 7 nutzen, müssen Sie PKCS#12 benutzen. Zum Import der Zertifikate lesen Sie die entsprechende [[VPN Client und Zertifikatsverwaltung#Importieren der Zertifikate| Anleitung]] in dieser Wiki.<br /> <br /> ===Export im PEM Format===<br /> [[Datei:Export_pem.png|thumb|450px|&lt;font size=&quot;1&quot;&gt;Export im PEM Format&lt;/font&gt;]]<br /> *Wechseln Sie In der Zertifikatsverwaltung auf die Registerkarte ''Zertifikate''.<br /> *Wählen Sie das zu exportierende Zertifikat aus.<br /> *Klicken Sie in der entsprechenden Zeile auf die Schaltfläche mit dem Disketten-Symbol und der Bezeichnung ''PEM''.&lt;br/&gt;Es öffnet sich der Speicherdialog des Browsers.<br /> *Klicken Sie auf ''Datei speichern''.&lt;br/&gt;Das Zertifikat wird auf Ihrem Rechner gespeichert. Der Dateiname entspricht dem Zertifikatsnamen.<br /> &lt;br&gt;<br /> [[Datei:Export_pem_CA.png|thumb|450px|&lt;font size=&quot;1&quot;&gt;Export CA im PEM Format&lt;/font&gt;]]<br /> *Wechseln Sie auf die Registerkarte CA.<br /> *Wählen Sie das zugehörige Stammzertifikat.<br /> *Klicken Sie in der entsprechenden Zeile auf die Schaltfläche mit dem Disketten-Symbol und der Bezeichnung ''PEM''.&lt;br/&gt;Es öffnet sich der Speicherdialog des Browsers.<br /> *Klicken Sie auf ''Datei speichern''.&lt;br/&gt;Auch die CA wird auf Ihrem Rechner gespeichert. Der Dateiname entspricht dem CA-Namen.<br /> Wie beim Zertifikat ist in der Datei der CA auch der private Schlüssel enthalten. Dieser sollte vor der Weitergabe der Daten aus der Datei gelöscht werden.<br /> <br /> ===Export im PKCS#12 Format===<br /> [[Datei:Export_pkcs12.png|thumb|450px|&lt;font size=&quot;1&quot;&gt;Export im PKCS#12 Format&lt;/font&gt;]]<br /> Der Export entspricht dem vorherig beschriebenem Vorgang. Hier muss die Schaltfläche mit dem Disketten-Symbol und der Bezeichnung ''PKCS12'' benutzt werden. Es muss nur das Zertifikat exportiert werden. Die exportierte Datei beinhaltet schon die CA.<br /> [[Datei:Export_pkcs12_kennwort.png|thumb|&lt;font size=&quot;1&quot;&gt;Kennwort für PKCS12 angeben&lt;/font&gt;]]<br /> Da die Datei verschlüsselt abgespeichert wird, werden Sie zur Eingabe eines Kennwortes aufgefordert.<br /> &lt;br /&gt;&lt;br /&gt;<br /> &lt;br /&gt;&lt;br /&gt;<br /> &lt;br /&gt;&lt;br /&gt;<br /> &lt;br /&gt;<br /> &lt;div align=&quot;right&quot;&gt;[[#top|&lt;font size=1&gt;zum Anfang&lt;/font&gt;]]&lt;/div&gt;<br /> <br /> ==Zertifikate widerrufen==<br /> <br /> Sollen Zertifikate nicht mehr genutzt werden, obwohl der Gültigkeitszeitraum noch aktiv ist, werden die Zertifikate nicht gelöscht, sondern widerrufen. Die widerrufenen Zertifikate verbleiben weiterhin im System, sind aber als ungültig erklärt und werden nicht mehr akzeptiert. Sie werden in der Zertifikatsverwaltung unter der Registerkarte ''Widerrufen'' geführt. Gleichzeitig wird es in der Zertifikatssperrliste auf der Registerkarte ''CRL'' (Certificate Revocation List) aufgenommen.<br /> Die Sperrliste wird gleichzeitig mit der CA angelegt. Wird ein Zertifikat widerrufen, wird es in der Liste als ungültig hinterlegt, die der signierenden CA entspricht. Die Sperrliste kann ebenfalls exportiert werden, um auf andere Systeme geladen zu werden, damit diese die widerrufenen Zertifikate ebenfalls nicht akzeptieren.<br /> [[Datei:Revoke_cert.png|thumb|450px|&lt;font size=&quot;1&quot;&gt;Zertifikat widerrufen&lt;/font&gt;]]<br /> *Zum Widerrufen eines Zertifikats, wechseln Sie auf die Registerkarte ''Zertifikate''.<br /> *Klicken Sie in der Zeile des Zertifikats auf den Button mit dem Abfalleimer-Symbol.<br /> *Bestätigen Sie die Sicherheitsabfrage (Einmal widerrufene Zertifikate können nicht wiederhergestellt werden.).</div> Chris https://wiki.securepoint.de/index.php?title=SPDyn&diff=5832 SPDyn 2014-05-09T13:35:35Z <p>Chris: /* FRITZ!BOX */</p> <hr /> <div>__TOC__<br /> <br /> == Was ist SPDNS? ==<br /> SPDNS ist ein Dienst mit dem Maschinen, die nur über eine dynamische IP verfügen, per Hostname erreichbar gemacht werden können. Dadurch sind zum Beispiel Administration und VPN-Einwahl möglich, ohne dass die aktuelle IP-Adresse erst vor Ort erfragt werden muss.<br /> <br /> == Unterstützt der Server die Verwendung von IPv6-Adressen? ==<br /> Seit dem 12.05.2014 nimmt der Server auch Updates von IPv6-Adressen an. Vorraussetzung ist, dass für den jeweiligen Hostnamen ein AAAA-Record angelegt wurde.<br /> <br /> == Wie lautet die Update-URL ?==<br /> <br /> Die Update-URL für [https://www.spdns.de SPDNS] lautet: <br /> &lt;code&gt;<br /> update.spdns.de/nic/update?hostname=&lt;domain&gt;&amp;myip=&lt;ipaddr&gt;<br /> &lt;/code&gt;&lt;br /&gt;&lt;br /&gt;<br /> Der Update-Server ist sowohl über Port 80/tcp (Plaintext HTTP), als auch auf Port 443/tcp (HTTPS) erreichbar. Sofern der Client es unterstützt, empfehlen wir die Verwendung des HTTPS-Servers, da die Zugangsdaten hier nicht unverschlüsselt übertragen werden.<br /> Sowohl die Securepoint UTM v11, als auch die UTM v11 verwenden ausschließlich den HTTPS-Update-Server.<br /> <br /> == Update-Tokens ==<br /> Ein Update-Token ist ein spezielles Passwort, das ausschließlich die Aktualisierung des Hosts erlaubt, für den es erzeugt wurde. Weitere Informationen finden sich in einem [[SPDNS_Update-Tokens|eigenen Artikel]].<br /> <br /> == SPDNS-Account in einer Securepoint UTM v10 eintragen ==<br /> {{v10}}<br /> Die DynDNS-Einstellungen finden Sie im Menü ''Netzwerk -&gt; Netzwerkkonfiguration -&gt; DynDNS''. &lt;br&gt;<br /> Dort haben Sie die Möglichkeit bis zu 5 DynDNS-Accounts einzutragen. &lt;br&gt;<br /> <br /> Eine beispielhafte Konfiguration:&lt;br&gt;<br /> [[Datei:sp_utm_dyndns.png|311px|center]]<br /> <br /> == SPDNS-Account in einer Securepoint UTM v11 eintragen ==<br /> {{v11}}<br /> Die DynDNS-Einstellungen finden Sie im Menü &quot;Netzwerk&quot; -&gt; &quot;Netzwerk-Konfiguration&quot;. Klicken Sie dort im Tab &quot;Schnittstellen&quot; auf das Schraubenschlüssel-Symbol neben dem Interface, für das Sie den DynDNS-Namen konfigurieren wollen. Es öffnet sich ein neues Fenster, in dem Sie auf dem Tab &quot;DynDNS&quot; die entsprechenden Einstellungen vornehmen können.<br /> <br /> Eine beispielhafte Konfiguration:&lt;br&gt;<br /> [[Datei:Dyndns-v11.png|305px|center]]<br /> <br /> == Verwendung mit Fremdhardware ==<br /> === ddclient ===<br /> '''Hinweis''': ddclient unterstüzt das Update per SSL erst ab Version 3.7.0. Ab dieser Version kann die Zeile &quot;ssl=yes&quot; einkommentiert werden.<br /> <br /> ==== Geräte mit öffentlicher IP ====<br /> Wenn das Gerät auf einem Interface direkt die öffentliche IP verwendet, kann die folgende Konfiguration verwendet werden:<br /> &lt;pre&gt;<br /> # Configuration file for ddclient generated by debconf<br /> #<br /> # /etc/ddclient.conf<br /> <br /> protocol=dyndns2<br /> use=if, if=eth0<br /> server=update.spdns.de<br /> #ssl=yes<br /> login=$USERNAME<br /> password='$PASSWORD'<br /> $HOSTNAME<br /> &lt;/pre&gt;<br /> <br /> ==== Geräte in einem privaten Netz ====<br /> Ist der ddclient auf einem Gerät im internen Netzwerk installiert, muss die öffentliche IP vorher von einem [[SPDNS_FAQ#Wie ermittle ich meine öffentliche IP|Server im Internet]] abgefragt werden. Das kann mit der folgenden Konfiguration realisiert werden:<br /> &lt;pre&gt;<br /> # Configuration file for ddclient generated by debconf<br /> #<br /> # /etc/ddclient.conf<br /> <br /> protocol=dyndns2<br /> use=web, web=checkip.spdns.de<br /> server=update.spdns.de<br /> #ssl=yes<br /> login=$USERNAME<br /> password='$PASSWORD'<br /> $HOSTNAME1,$HOSTNAME2<br /> &lt;/pre&gt;<br /> <br /> === DDWRT ===<br /> Eine Anleitung zur Konfiguration findet sich auf [http://fr32k.de/wiki/router/ddns_spdns fr32k.de]<br /> <br /> === inadyn ===<br /> '''ACHTUNG''': inadyn unterstützt zum gegenwärtigen Zeitpunkt (05.04.2014) kein Update der IP über eine SSL-Verbindung!<br /> &lt;pre&gt;<br /> inadyn -u $USERNAME -p $PASSWORD -a $HOSTNAME --dyndns_server_name update.spdns.de --dyndns_server_url /nic/update? --ip_server_name checkip.spdns.de:80 / <br /> &lt;/pre&gt;<br /> <br /> === FRITZ!BOX ===<br /> Die DynDNS-Einstellungen finden Sie im Menü ''Erweiterte Einstellungen -&gt; Internet -&gt; Freigaben -&gt; Dynamic DNS''.&lt;br&gt;<br /> Für die Verwendung des [https://www.spdns.de Securepoint Dynamic DNS Service], wählen Sie als Dynamic DNS-Anbieter &quot;Benutzerdefiniert&quot; aus und tragen folgende URL als Update-URL ein: <br /> &lt;br /&gt;&lt;code&gt;<br /> update.spdns.de/nic/update?hostname=&lt;domain&gt;&amp;myip=&lt;ipaddr&gt;<br /> &lt;/code&gt;&lt;br /&gt;&lt;br /&gt;<br /> '''ACHTUNG''': die spitzen Klammern sind keine Platzhalter, sondern müssen genau so eingegeben werden.<br /> <br /> Ab der FRITZ!OS Version 05.50 unterstützt die Fritzbox das Update auch über SSL. Die Update-URL ändert sich dann wie folgt:<br /> &lt;br /&gt;&lt;code&gt;&lt;nowiki&gt;<br /> https://update.spdns.de/nic/update?hostname=&lt;domain&gt;&amp;myip=&lt;ipaddr&gt;<br /> &lt;/nowiki&gt;&lt;/code&gt;<br /> <br /> Eine beispielhafte Konfiguration:&lt;br&gt;<br /> [[Datei:FritzBox-spDNS.jpeg|500px|center]]<br /> <br /> Ergänzen Sie die weiteren Felder ''Domainname'' mit Ihrem Hostname, ''Benutzername'' mit Ihrem SPDNS-Login sowie ''Kennwort'' und ''Kennwortbestätigung'' mit Ihrem SPDNS-Kennwort. &lt;br&gt;<br /> <br /> === OpenWRT ===<br /> '''Hinweis''': Standardmäßig unterstützt OpenWRT zum gegenwärtigen Zeitpunkt (08.05.2014) nur Updates über den HTTP-Server. Informationen zum Aktivieren des Udpates über SSL finden sich im [http://wiki.openwrt.org/doc/howto/ddns.client OpenWRT Wiki].<br /> <br /> Das Feld ''Custom Update-URL'' muss wie folgt befüllt werden (der Text in eckigen Klammern muss '''genau so''' übernommen werden):&lt;br /&gt;<br /> &lt;code&gt;http://[USERNAME]:[PASSWORD]@update.spdns.de/nic/update?hostname=[DOMAIN]&amp;myip=[IP]&lt;/code&gt;<br /> <br /> Beispiel-Konfiguration:<br /> [[Datei:Spdns-openwrt.png]]<br /> <br /> == Was bedeutet das Symbol vor dem Hostnamen auf der Profilseite? ==<br /> Dieses Symbol zeigt den Status des [[SPDNS_Update-Tokens|Update-Tokens]] für diesen Host an:<br /> {| {{prettytable}}<br /> |-<br /> ! Symbol<br /> ! Erklärung<br /> |-<br /> | [[Datei:Bullet_black.png]]<br /> | Für diesen Host kann kein Token generiert werden. Das ist der Fall, wenn dieser Host weder ein A- noch ein AAAA-Record ist.<br /> |-<br /> | [[Datei:Bullet_red.png]]<br /> | Für diesen Host ist kein aktives Token vorhanden. Eine Aktualisierung der IP kann nur mit den Zugangsdaten des User-Accounts erfolgen.<br /> |-<br /> | [[Datei:Error.png]]<br /> | Für diesen Host existiert ein aktives Token, dieses wurde aber bisher nicht verwendet.<br /> |-<br /> | [[Datei:Bullet_green.png]]<br /> | Für diesen Host existiert ein aktives Token, welches auch bereits mindestens einmal für ein Update verwendet wurde.<br /> |}<br /> <br /> == Welche Rückgabecodes schickt der Server beim Update einer IP? ==<br /> {| {{Prettytable}} cellpadding=&quot;5&quot;<br /> |- style=&quot;background-color:#e0e0e0;&quot;<br /> ! width=&quot;20%&quot; | Rückgabecode<br /> ! width=&quot;50%&quot; | Erklärung<br /> |-<br /> |&lt;code&gt;abuse&lt;/code&gt;||Der Host kann nicht aktualisiert werden, da er aufgrund vorheriger fehlerhafter Updateversuche gesperrt ist.<br /> |-<br /> |&lt;code&gt;badauth&lt;/code&gt;||Ein ungültiger Benutzername und/oder ein ungültiges Kennwort wurde eingegeben.<br /> |-<br /> |&lt;code&gt;good&lt;/code&gt;||Die Hostname wurde erfolgreich auf die neue IP aktualisiert.<br /> |-<br /> |&lt;code&gt;!yours&lt;/code&gt;||Der angegebene Host kann nicht unter diesem Benutzer-Account verwendet werden.<br /> |-<br /> |&lt;code&gt;notfqdn&lt;/code&gt;||Der angegebene Host ist kein [[Glossar#FQDN|FQDN]].<br /> |-<br /> |&lt;code&gt;numhost&lt;/code&gt;||Es wurde versucht, mehr als 20 Hosts in einer Anfrage zu aktualisieren.<br /> |-<br /> |&lt;code&gt;nochg&lt;/code&gt;||Die IP hat sich zum letzten Update nicht geändert. Werden innerhalb eines kurzen Zeitraumes weiterhin Updateversuche dieses Hosts vorgenommen, wird dieser für eine bestimmte Zeitspanne keine Updates mehr entgegen nehmen können.<br /> |}<br /> <br /> == Wie können mehr als 5 Hosts über einen Account verwaltet werden? ==<br /> <br /> Zunächst haben Sie die Möglichkeit bis zu 5 Hosts zu verwalten.&lt;br&gt;<br /> Sind diese 5 Hosts erreicht, können Sie weitere Hosts beantragen. &lt;br&gt;<br /> Klicken Sie hierfür auf den Button '''Request additional hosts'''/'''Weitere Hosts beantragen'''. &lt;br&gt;<br /> <br /> <br /> [[Datei:Spdns_request_additional_hosts.png|500px|center]]<br /> <br /> ==Welche Variablen können in der Update-URL angegeben werden?==<br /> {| {{prettytable}}<br /> ! Parameter-Name<br /> ! Beispiel<br /> ! Erklärung<br /> |- <br /> | hostname<br /> | &lt;code&gt;beispiel1.spdns.de&lt;/code&gt; oder&lt;br /&gt;&lt;code&gt;beispiel1.spdns.de,beispiel2.spdns.de&lt;/code&gt;<br /> | Ein einzelner FQDN oder eine komma-separierte Liste (max 20 Einträge) von FQDNs die aktualisiert werden sollen<br /> |- <br /> | myip<br /> | &lt;code&gt;192.2.0.1&lt;/code&gt; oder &lt;br /&gt;&lt;code&gt;2001:868:100:901:53::1&lt;/code&gt;<br /> | Genau eine IP-Adresse, mit der die Hosts aktualisiert werden sollen<br /> |- <br /> | user<br /> | &lt;code&gt;spdnsUser1&lt;/code&gt;<br /> | &lt;b&gt;[Optional]&lt;/b&gt; Der Name eines Benutzers, der diesen Host aktualisieren kann.&lt;br /&gt;Wenn [[SPDNS_Update-Tokens|Update-Tokens]] verwendet werden, kommt hier ebenfalls der Hostname hin.<br /> |- <br /> | pass<br /> | &lt;code&gt;geheimesP4ssw0rt&lt;/code&gt;<br /> | &lt;b&gt;[Optional]&lt;/b&gt; Das Passwort eines Benutzers, der diesen Host aktualisieren kann.&lt;br /&gt;Wenn [[SPDNS_Update-Tokens|Update-Tokens]] verwendet werden, ist das der Platz für das Token.<br /> |}<br /> <br /> *Der &lt;code&gt;user&lt;/code&gt;- und &lt;code&gt;pass&lt;/code&gt;-Parameter sind nur dann zu verwenden, wenn keine [http://en.wikipedia.org/wiki/Basic_access_authentication HTTP Basic-Auth] durchgeführt wird. Fehlen sowohl der &lt;code&gt;Authorization&lt;/code&gt;-Header, als auch die &lt;code&gt;user&lt;/code&gt;/&lt;code&gt;pass&lt;/code&gt;-Kombination schlägt das Update mit dem &lt;code&gt;badauth&lt;/code&gt; Return-Code fehl.<br /> *Ein vorhandener &lt;code&gt;Authorization&lt;/code&gt;-Header überschreibt evtl als Parameter übergebene Username/Passwort Kombinationen<br /> *Befindet sich die im Parameter &lt;code&gt;myip&lt;/code&gt; übergebene IP in einem privaten Subetz (10.0.0.0/8, 172.16.0.0/20 oder 192.168.0.0/16), wird das Update-Skript stattdessen die für den Verbindungsaufbau verwendete öffentliche IP zum Update verwenden. Dieses Verhalten wird nur aktiviert, wenn sowohl der &lt;code&gt;myip&lt;/code&gt;-Parameter, als auch die Client-IP der HTTP-Verbindung eine IPv4-Adresse ist.<br /> <br /> == Wie ermittle ich meine öffentliche IP? ==<br /> Um die öffentliche IP eines Gerätes zu vermitteln, stellen wir den Host [http://checkip.spdns.de checkip.spdns.de] zur Verfügung. Dieser ist auch erreichbar unter [http://myip.spdns.de myip.spdns.de] und [http://getip.spdns.de getip.spdns.de].<br /> <br /> Die Ausgabe der IP erfolgt entweder als Plaintext (das ist der Standard), JSON oder XML.<br /> <br /> Die Plaintext-Seite zeigt immer nur die eine IP-Adresse an, von der die Verbindung zu unserem Server aufgebaut wurde.<br /> <br /> Bei der JSON/XML-Ausgabe werden unter Umständen mehrere IP-Adressen angezeigt, je nachdem ob die Verbindung durch einen oder mehrere Proxies erfolgt.<br /> <br /> Die Header werden dabei in der folgenden Reihenfolge ausgewertet (weiter vorne in der Liste = höhere Priorität):<br /> * Vom Server erkannte Quell-IP<br /> ** REMOTE_ADDR &gt; HTTP_CLIENT_IP<br /> * Vom Client gesendete Header: <br /> ** HTTP_X_FORWARDED_FOR &gt; HTTP_X_FORWARDED &gt; HTTP_X_CLUSTER_CLIENT_IP &gt; HTTP_FORWARDED_FOR &gt; HTTP_FORWARDED<br /> <br /> Die vom Client gesendeten Header werden nur angezeigt, aber ansonsten vom Update-Server ignoriert. Anders verhält es sich bei der REMOTE_ADDR.<br /> <br /> Wenn versucht wird, einen Hostnamen so zu aktualisieren, dass er er auf eine private IP zeigt, wird der Update-Server stattdessen die erkannte öffentliche IP des Clients verwenden.<br /> Das ermöglicht die Verwendung unseres Dienstes auch mit Clients, die keine Möglichkeit haben, ihre öffentliche IP vor dem Update selber festzustellen.<br /> <br /> '''ACHTUNG:''' Auch wenn ein Update von einem solchen Client funktioniert, &quot;weiß&quot; dieser Client vermutlich nicht, wann sich seine öffentliche IP ändert und wird den Host nach einem 24h-Reconnect nicht automatisch aktualisieren. Im Allgemeinen reicht dann ein manueller oder über einen Cronjob gesteuerter Neustart des Dyndns-Clients.<br /> <br /> === Ausgabe als JSON-Objekt ===<br /> Beim Aufruf von [http://checkip.spdns.de/json http://checkip.spdns.de/json] werden die gefundenen IP-Adressen nach folgendem Schema mit dem MIME-Type &lt;code&gt;application/json&lt;/code&gt; ausgegeben:<br /> &lt;pre&gt;<br /> {<br /> &quot;ipinfo&quot;:[{<br /> &quot;ip&quot;:&quot;192.0.0.1&quot;,<br /> &quot;source&quot;:&quot;REMOTE_ADDR&quot;<br /> },{<br /> &quot;ip&quot;:&quot;10.0.0.1&quot;,<br /> &quot;source&quot;:&quot;HTTP_X_FORWARDED_FOR&quot;<br /> },{<br /> &quot;ip&quot;:&quot;10.0.0.2&quot;,<br /> &quot;source&quot;:&quot;HTTP_X_FORWARDED_FOR&quot;<br /> }]<br /> }<br /> &lt;/pre&gt;<br /> <br /> === Ausgabe als XML ===<br /> Beim Aufruf von [http://checkip.spdns.de/xml http://checkip.spdns.de/xml] werden die gefundenen IP-Adressen nach folgendem Schema mit dem MIME-Type &lt;code&gt;text/xml&lt;/code&gt; ausgegeben:<br /> &lt;pre&gt;<br /> &lt;ipinfo&gt;<br /> &lt;ip ip=&quot;192.0.0.1&quot; source=&quot;REMOTE_ADDR&quot;/&gt;<br /> &lt;ip ip=&quot;10.0.0.1&quot; source=&quot;HTTP_X_FORWARDED_FOR&quot;/&gt;<br /> &lt;ip ip=&quot;10.0.0.2&quot; source=&quot;HTTP_X_FORWARDED_FOR&quot;/&gt;<br /> &lt;/ipinfo&gt;<br /> &lt;/pre&gt;<br /> <br /> == Logmeldungen auf der Webseite ==<br /> === Ungültiger Hostname: $HOSTNAME ===<br /> '''Kategorie''': &lt;span style=&quot;color: red&quot;&gt;Fehler&lt;/span&gt;&lt;br&gt;<br /> '''Ursache''': Die Zugangsdaten für den Account waren korrekt, aber der angegebene Host existiert nicht oder der Benutzer hat keine Berechtigung zum Aktualisieren dieses Hosts&lt;br /&gt;<br /> '''Lösung''': Tragen Sie in Ihrem Dyndns-Client den korrekten Hostnamen ein.<br /> <br /> === Die Aktualisierung war erfolgreich. Es wurde die gleiche IP erneut gesetzt ===<br /> '''Kategorie''': &lt;span style=&quot;color: #ABAB55&quot;&gt;Warnung&lt;/span&gt;&lt;br&gt;<br /> '''Ursache''': Es erfolgte eine Aktualisierung des Hostnamens, dabei wurde aber wieder die gleiche IP verwendet, wie vorher.&lt;br /&gt;<br /> '''Lösung''': Es ist keine Aktion des Nutzers notwendig, solange diese Meldung nicht zu oft erscheint. Die Richtlinie ist hier, dass nicht mehr als ein Update je 30 Minuten erfolgen sollte. Wird diese Meldung zu oft erzeugt, werden weitere Update-Versuche dieses Hosts für eine bestimmte Zeit unterbunden.<br /> <br /> === Bitte verwenden Sie als Update-Server in Ihrem Client &quot;update.spdns.de&quot; (Aktuelle Einstellung: $SOME_OTHER_HOST) ===<br /> '''Kategorie''': &lt;span style=&quot;color: #ABAB55&quot;&gt;Warnung&lt;/span&gt;&lt;br&gt;<br /> '''Ursache''': Ihr Dyndns-Client hat den Host erfolgreich aktualisiert, aber sich dabei nicht zum korrekten Update-Server verbunden.&lt;br /&gt;<br /> '''Lösung''': Im Dyndns-Client muss als Update-Server &quot;update.spdns,de&quot; angegeben werden.&lt;br /&gt;<br /> '''HINWEIS''': Sobald wir auch die Aktualisierung von IPv6-Adressen (AAAA-Records) zulassen, wird diese Meldung zur Kategorie &lt;span style=&quot;color: red&quot;&gt;Fehler&lt;/span&gt;. Eine Aktualisierung von Hosts ist dann nur noch über eine der folgenden Hostnamen möglich:<br /> <br /> * update.spdns.de (IPv4/IPv6) ''[bevorzugter Server]''<br /> * update4.spdns.de (IPv4)<br /> * update6.spdns.de (IPv6)<br /> * login.spdns.de (IPv4/IPv6)<br /> * members.spdns.de (IPv4/IPv6)</div> Chris https://wiki.securepoint.de/index.php?title=Datei:FritzBox-spDNS.jpeg&diff=5831 Datei:FritzBox-spDNS.jpeg 2014-05-09T13:34:44Z <p>Chris: </p> <hr /> <div></div> Chris https://wiki.securepoint.de/index.php?title=KB_UTMV11_AD_Join_nicht_m%C3%B6glich&diff=5162 KB UTMV11 AD Join nicht möglich 2013-11-27T16:35:42Z <p>Chris: Die Seite wurde neu angelegt: „{{v11}} kategorie:UTMv11 === Netbois Name wurde nicht korrekt eingetragen === Bei dem Versuch mit der UTM dem AD beizutreten erhalten Sie einen &quot;CLI Err…“</p> <hr /> <div>{{v11}}<br /> <br /> [[kategorie:UTMv11]]<br /> <br /> === Netbois Name wurde nicht korrekt eingetragen ===<br /> <br /> Bei dem Versuch mit der UTM dem AD beizutreten erhalten Sie einen &quot;CLI Error unknown error&quot;&lt;br&gt;<br /> <br /> Der häufigste Fehler ist das Nicht- oder Falsch-Ausfüllen der Netbios-Arbeitsgruppe unter:&lt;br&gt;&lt;br&gt;<br /> Authentifizierung -&gt; Externe Authentifizierung -&gt; Active Directory -&gt; Arbeitsgruppe.<br /> &lt;br&gt;&lt;br&gt;<br /> Bitte beachten Sie, dass dieses Feld immer ausgefüllt sein muss.<br /> &lt;br&gt;<br /> &lt;br&gt;&lt;br&gt;<br /> <br /> === Die interne Zone kann nicht aufgelöst werden ===<br /> <br /> Die Firewall muss als Nameserver angegeben werden um die interne Zone aufzulösen. Tragen Sie unter:&lt;br&gt;&lt;br&gt;<br /> <br /> Netzwerk -&gt; Servereinstellungen -&gt; Primärer Nameserver: 127.0.0.1 ein.&lt;br&gt;&lt;br&gt;<br /> <br /> Desweiteren legen Sie eine Relay-Zone an. Ihre Domain wird an Ihren Server weitergeleitet.<br /> <br /> [[Datei:ADDNS.png|400px|thumb|center|Relay]]<br /> <br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> === Uhrzeit stimmt mit PDC nicht überein ===<br /> <br /> Überprüfen Sie die Uhrzeit auf der Firewall und Ihrem Primary Domain Controller. Tragen Sie unter:&lt;br&gt;&lt;br&gt;<br /> <br /> Netzwerk -&gt; Servereinstellungen -&gt; NTP-Server&lt;br&gt;<br /> Ihren PDC ein.<br /> &lt;br&gt;&lt;br&gt;&lt;br&gt;<br /> <br /> <br /> === Kommunikation zum PDC ===<br /> <br /> Stellen Sie sicher, dass die Kommunikation zum PDC gewährleistet ist. Überprüfen können Sie dies, indem Sie unter:&lt;br&gt;&lt;br&gt;<br /> Netzwerk -&gt; Netzwerkwerkzeuge -&gt; Ping &lt;br&gt;<br /> einen Ping auf Ihren PDC senden.</div> Chris