Lauritzl am 15. April 2021 um 17:24 Uhr

2021-04-15T17:24:26Z

← Nächstältere Version		Version vom 15. April 2021, 19:24 Uhr
Zeile 1:		Zeile 1:
			{{Archivhinweis\|UTM/APP/Captive Portal}}
	{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}		{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}
	== Informationen ==		== Informationen ==

Lauritzl: Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}} == Informationen == Letzte Anpassung zur Version: '''11.7.3'''
Bemerkung: Artikel…“

2021-04-15T17:06:01Z

Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}} == Informationen == Letzte Anpassung zur Version: '''11.7.3''' Bemerkung: Artikel…“

Neue Seite

{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}
== Informationen ==
Letzte Anpassung zur Version: '''11.7.3'''
 
Bemerkung: Artikel aktualisiert.
 
Vorherige Versionen: -
 

==Konfiguration des Captive-Portal==
=== Servereinstellungen ===
[[Datei:CP_servereinstellunge.png| thumb| 350px|Servereinstellungen - FQDN & DNS-Server]]
==== Firewallname anpassen ====
Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.
Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.

==== DNS-Server eintragen ====
Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.

 
 
=== Zertifikate erstellen ===
Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen.

=== ggf. Gruppe anlegen ===
[[Datei:CP gruppe.png| thumb| 350px|Benutzer - Gruppe anlegen & Rechte vergeben]]
Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.
 
[[UTM/AUTH/Benutzerverwaltung | Hier]] wird erklärt, wie eine Benutzergruppe angelegt werden kann.
 

=== Implizite Regeln ===
[[Datei:CP Impliziete-regeln.png| thumb| 350px|Firewall - Implizite Regeln]]
Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind. 
Der Schalter '''CaptivePortalPage''' öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können. 
Der Schalter '''CaptivePortalRedirection''' ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.
 

=== Einstellungen im Captive Portal ===
[[Datei:CP Proxy captive auth.PNG| center| 600px|HTTP-Proxy - Captive Portal]]

====Captive Portal====
Dieser Schalter aktiviert oder deaktviert das Captive Portal
==== Authentifizierung ====
Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.

==== Zertifikat ====
Bitte das oben erwähnte Zertifikat auswählen.
==== Maximale Verbindungszeit ====
Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.
Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.
==== Hostname der Portalseite ====
Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen. 
Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.
==== Port der Portalseite ====
Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
==== Netzwerkobjekte ====
In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.
==== Nutzungsbedingungen ====
Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen. 
Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.
 

=== Nameserver ===
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.
In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.
==== Forward-Zone hinzufügen ====
Der zu vergebende Zonenname entspricht dem FQDN der Firewall. 
In unserem Fall ist dies 'portal.anyideas.de'. 
Als Hostname des Nameserver tragen wir den 'localhost' ein. 
Das Feld der IP-Adresse kann leer gelassen werden. 
[[Datei:CP_nameserver 1.png | 250px | Nameserver - Zonenname]]
[[Datei:CP_nameserver 2.png | 250px | Nameserver - Nameserver Hostname]]
[[Datei:CP_nameserver 3.png | 212px | Nameserver - Nameserver IP]]
 

=== transparenter Proxy ===
[[Datei:CP_transparenter_proxy.png| thumb| 350px|HTTP-Proxy - Transparenter Proxy]]
Hier ist eine Regel von Nöten:
http | include | wlan0-network | internet
 
Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.
 

==== Forward-Zone bearbeiten ====
[[Datei:Nameserver-A.png | 250px | thumb | Nameserver - Nameserver IP]]
Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu: 
 
Name: FQDN der Firewall z.B. "portal.anyideas.de'''.'''"
Typ: A
Wert: IP der Schnittstelle (wlan0 z.B.)
 

=== Portfilter ===
[[Datei:CP_Portfilter.png | 250px | thumb | Firewall - Portfilter IP]]
Im Portfilter müssen abschließend noch zwei Regeln anlegt werden
# Quelle: captive_portal -> Ziel: internet | Dienst: any | NAT: HideNAT external-interface
# Quelle: wlan-0-network -> Ziel: wlan-interface | Dienst: proxy
 

=== Webfilter ===
Abschließend sollte noch der Webfilter konfiguriert werden.
Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.
Folgende Schritte sind durchzuführen:
==== mit Authentifizierung ====
# Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.
# Anwendungen | Webfilter | Profil hinzufügen
# Die neu erstellte Gruppe wählen
# neu generierten Regelsatz bearbeiten
## URL des internen Webserver hinzufügen
## Aktion auf 'blockieren' stellen

==== ohne Authentifizierung ====
# Anwendungen | Webfilter | Profil hinzufügen
# Die Gruppe der Benutzer wählen
# neu generierten Regelsatz bearbeiten
## URL des internen Webserver hinzufügen
## Aktion auf 'blockieren' stellen

UTM/APP/HTTP Proxy-Captive Portal lokal v11.7.3 - Versionsgeschichte

Lauritzl am 15. April 2021 um 17:24 Uhr

Lauritzl: Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}} == Informationen == Letzte Anpassung zur Version: '''11.7.3''' Bemerkung: Artikel…“

Lauritzl: Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}} == Informationen == Letzte Anpassung zur Version: '''11.7.3'''
Bemerkung: Artikel…“