Andreb am 10. März 2025 um 15:02 Uhr

2025-03-10T15:02:18Z

← Nächstältere Version		Version vom 10. März 2025, 17:02 Uhr
Zeile 6:		Zeile 6:
	\| HTTP-Proxy und Windowsupdates		\| HTTP-Proxy und Windowsupdates
	\| HTTP-Proxy and Windows Updates }}		\| HTTP-Proxy and Windows Updates }}
	{{~~var3~~ \| head		{{var \| head
	\| Windows Updates durch den HTTP-Proxy und den Webfilter		\| Windows Updates durch den HTTP-Proxy und den Webfilter
	\| Windows updates through the HTTP-Proxy and the webfilter }}		\| Windows updates through the HTTP-Proxy and the webfilter }}
Zeile 69:		Zeile 69:
	\| Virenscanner		\| Virenscanner
	\| Virus scanner }}		\| Virus scanner }}
	{{var \| Virenscanner ~~Whitelist~~--Bild		{{var \| Virenscanner Allowlist--Bild
	\| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Virenscanner.png		\| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Virenscanner.png
	\| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Virenscanner-en.png }}		\| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Virenscanner-en.png }}
	{{var \| Virenscanner ~~Whitelist~~		{{var \| Virenscanner Allowlist
	\| Virenscanner ~~Whitelist~~		\| Virenscanner Allowlist
	\| Virus scanner ~~whitelist~~ }}		\| Virus scanner allowlist }}
	{{var \| HTTP-Proxy		{{var \| HTTP-Proxy
	\| HTTP-Proxy		\| HTTP-Proxy
	\| HTTP Proxy }}		\| HTTP Proxy }}
	{{var \| Virenscanner--desc		{{var \| Virenscanner--desc
	\| <p>Genau wie die Updates der lokalen Virenscanner, mögen auch die Microsoft Update Pakete nicht von einem Virenscanner überprüft werden.</p> <p>Daher müssen hier auch noch die URLs der Microsoft Update-Server in die Webseiten-~~Whitelist~~ des ~~Virenscanner~~ hinzugefügt werden. Zu beachten ist an dieser Stelle, dass es sich hierbei um reguläre Ausdrücke~~, sogenannte~~ Regular Expressions, handelt, bei der einige Zeichen zusätzliche Bedeutungen haben. Diese Sonderbedeutungen werden mit einem Backslash \ vor dem Zeichen entfernt ~~werden~~. Zum Beispiel kann ein Punkt ein Platzhalter für jedes beliebige Zeichen sein.</p>		\| <p>Genau wie die Updates der lokalen Virenscanner, mögen auch die Microsoft Update Pakete nicht von einem Virenscanner überprüft werden.</p> <p>Daher müssen hier auch noch die URLs der Microsoft Update-Server in die Webseiten-Allowlist des Virenscanners hinzugefügt werden. Zu beachten ist an dieser Stelle, dass es sich hierbei um reguläre Ausdrücke - Regular Expressions - handelt, bei der einige Zeichen zusätzliche Bedeutungen haben. Diese Sonderbedeutungen werden mit einem Backslash \ vor dem Zeichen entfernt. Zum Beispiel kann ein Punkt ein Platzhalter für jedes beliebige Zeichen sein.</p>
	\| <p>Just like the updates of the local virus scanners, the Microsoft update packages do not like to be checked by a virus scanner.</p> <p>This is why the URLs of the Microsoft update servers must also be added to the ~~whitelist~~ of the virus scanner. It should be noted at this point that these are regular expressions, in which some characters have additional meanings. These special meanings are removed with a backslash \ in front of the character. For example, a dot can be a placeholder for any character.</p> }}		\| <p>Just like the updates of the local virus scanners, the Microsoft update packages do not like to be checked by a virus scanner.</p> <p>This is why the URLs of the Microsoft update servers must also be added to the allowlist of the virus scanner. It should be noted at this point that these are regular expressions, in which some characters have additional meanings. These special meanings are removed with a backslash \ in front of the character. For example, a dot can be a placeholder for any character.</p> }}
	{{var \| Szenario 2: Standard Proxy mit Authentifizierung über NTLM		{{var \| Szenario 2: Standard Proxy mit Authentifizierung über NTLM
	\| Szenario 2: Standard Proxy mit Authentifizierung über NTLM		\| Szenario 2: Standard Proxy mit Authentifizierung über NTLM

Lauritzl am 21. März 2024 um 09:23 Uhr

2024-03-21T09:23:45Z

Änderungen zeigen

Lauritzl am 4. März 2024 um 19:42 Uhr

2024-03-04T19:42:31Z

Änderungen zeigen

Lauritzl: Die Seite wurde neu angelegt: „{{lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | HTTP-Proxy und Windowsupdates | }} {{var | head | Windows Updates durch den HTTP-Proxy und den Webfilter | }} {{var | Einleitung | Einleitung | Introduction }} {{var | Einleitung--desc |
Für Windows-Updates werden einige Microsoft-Server aufgerufen, die die einzelnen Dateien zur Verfügung stellen. Ist ein Windows-Client direkt mit dem Internet verbunden stellt dieses ke…“

2024-01-29T10:52:51Z

Die Seite wurde neu angelegt: „{{lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | HTTP-Proxy und Windowsupdates | }} {{var | head | Windows Updates durch den HTTP-Proxy und den Webfilter | }} {{var | Einleitung | Einleitung | Introduction }} {{var | Einleitung--desc | Für Windows-Updates werden einige Microsoft-Server aufgerufen, die die einzelnen Dateien zur Verfügung stellen. Ist ein Windows-Client direkt mit dem Internet verbunden stellt dieses ke…“

Neue Seite

{{lang}}

{{#vardefine:headerIcon|spicon-utm}}

{{var | display
| HTTP-Proxy und Windowsupdates
| }}
{{var | head
| Windows Updates durch den HTTP-Proxy und den Webfilter
| }}
{{var | Einleitung
| Einleitung
| Introduction }}
{{var | Einleitung--desc
| Für Windows-Updates werden einige Microsoft-Server aufgerufen, die die einzelnen Dateien zur Verfügung stellen. Ist ein Windows-Client direkt mit dem Internet verbunden stellt dieses kein Problem dar, da es keine Regeln gibt, die Webseitenaufrufe Reglementieren.
In einer Netzwerkumgebung können diese fehlenden Regeln aber schnell negative Auswirkungen haben, so dass es ratsam ist, den Datenverkehr über den Portfilter und die Proxys zu filtern und so Schadsoftware so wenig Angriffsfläche wie möglich zu bieten und sich auszubreiten.
Eine gute Firewall Konfiguration zeichnet sich dadurch aus, dass jeder Client nur die Freigaben bekommt, wie er auch wirklich benötigt. Das bedeutet für die meisten Benutzer, die auf Webseiten im Internet zugreifen, dass diese über den HTTP-Proxy geleitet werden, so dass Webseiten aufrufe über den Webfilter geregelt und die Datenpakete auf Viren gescannt werden.
Windows verwendet ein Systemkonto um sich mit den Microsoft-Servern zu verbinden und die Updates herunter zu laden. Hierbei ist es weder möglich einen Proxy einzutragen noch eine Authentifizierung gegenüber dem HTTP-Proxy anzuwenden.
In der folgenden Dokumentation stellen wir drei Szenarien dar, die das Windowsupdate über den HTTP-Proxy und den Webfilter zulassen, wenn in den Windows Interneteinstellungen, beziehungsweise den einzelnen Anwendungen, die UTM als Proxy eingetragen wird, diese also nicht als transparenter Proxy dazwischen steht.
| }}
{{var | Szenario 1: Standard Proxy ohne Authentifizierung
| Szenario 1: Standard Proxy ohne Authentifizierung
| }}
{{var | Standard Proxy ohne Authentifizierung
| Standard Proxy ohne Authentifizierung
| }}
{{var | Webfilter
| Webfilter
| }}
{{var | Webfilter Regel erstellen--Bild
| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Regelsatz hinzufuegen.png
| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Regelsatz hinzufuegen-en.png }}
{{var | Webfilterregel
| Webfilterregel
| }}
{{var | Regelsatz hinzufügen
| Regelsatz hinzufügen
| }}
{{var | Anwendungen
| Anwendungen
| }}
{{var | Regelsatz kopieren
| Regelsatz kopieren
| }}
{{var | Webfilter Regel erstellen--desc
| In diesem Fall wird der HTTP-Proxy im transparenten Modus für die Systemkonten der Clients genutzt, in dem im '''Webfilter''' nur die für das Windows-Update benötigten Webseiten freigegeben werden. Diese werden folgendermaßen in einer '''Webfilterregel''' eingetragen: 
*'''*windowsupdate.microsoft.com/*'''
*'''*update.microsoft.com/*'''
*'''*.windowsupdate.com/*'''
*'''*download.microsoft.com/*'''
*'''*test.stats.update.microsoft.com/*'''
*'''www.msftncsi.com/ncsi*''' 
*'''*ntservicepack.microsoft.com/*'''
*'''*.delivery.mp.microsoft.com/*'''
 
Die Sterne vor und nach den URLs sind Wildcards. Nachdem diese URLs über das URL Feld des Regelsatzes hinzugefügt wurden, werden diese auf ‘‘zulassen‘‘ geschaltet. Als letzten Eintrag in der Liste wird in das URL Feld zwei Sterne ** eingetragen und die Regel wird auf ‘‘blockieren‘‘ geschaltet. Damit werden alle URLs Blockiert, die nicht vor der letzten Regel im Regelsatz als zugelassen eingetragen sind. Dieser Regelsatz wird abgespeichert und in unserem Beispiel dem Profil der Netzwerkgruppe ''internal-networks'' hinzugefügt.
| }}
{{var | Webfilter Regel Übersicht--Bild
| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Uebersicht.png
| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Uebersicht-en.png }}
{{var | Webfilterprofil mit Regel
| Webfilterprofil mit Regel
| }}
{{var | Webfilter Regel Übersicht--desc
| Der Regelsatz ‘‘security‘‘ kann in diesem Profil entfernt werden, da alle anderen URLs ja durch diesem Regelsatz ohnehin nicht zugelassen werden. 
Das Menü für den Webfilter befindet sich unter dem Menüpunkt Anwendungen. 
Ebenfalls unter Anwendungen wird das Menü '''HTTP-Proxy''' aufgerufen. 
Hier muss zunächst überprüft werden ob der Transparente Modus aktiviert ist und es eine Regel gibt, mit der Datenpakete, die von der Quelle ''internal-network'', mit dem Ziel ''internet'' und dem Protokoll ''HTTP'' über den Proxy leiten soll.
| }}
{{var | Virenscanner
| Virenscanner
| }}
{{var | Virenscanner Whitelist--Bild
| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Virenscanner.png
| UTM v12.6 HTTP_Proxy-Windows Szenario 1 Virenscanner-en.png }}
{{var | Virenscanner Whitelist
| Virenscanner Whitelist
| }}
{{var | HTTP-Proxy
| HTTP-Proxy
| HTTP Proxy }}
{{var | Virenscanner--desc
| Genau wie die Updates der lokalen Virenscanner, mögen auch die Microsoft Update Pakete nicht von einem Virenscanner überprüft werden. 
Daher müssen hier auch noch die URLs der Microsoft Update-Server in die Webseiten-Whitelist des Virenscanner hinzugefügt werden. Zu beachten ist an dieser Stelle, dass es sich hierbei um reguläre Ausdrücke, sogenannte Regular Expressions, handelt, bei der einige Zeichen zusätzliche Bedeutungen haben. Diese Sonderbedeutungen werden mit einem Backslash \ vor dem Zeichen entfernt werden. Zum Beispiel kann ein Punkt ein Platzhalter für jedes beliebige Zeichen sein. 
Die regulären Ausdrücke für die Microsoft URLs im '''Virenscanner''' lauten folgendermaßen: 
*'''^[^:]*://[^\.]*\.windowsupdate\.microsoft\.com/'''
*'''^[^:]*://[^\.]*\.update\.microsoft\.com/'''
*'''^[^:]*://[^\.]*\.download\.microsoft\.com/'''
*'''^[^:]*://[^\.]*\.windowsupdate\.com/''' 
| }}
{{var | Szenario 2: Standard Proxy mit Authentifizierung über NTLM
| Szenario 2: Standard Proxy mit Authentifizierung über NTLM
| }}
{{var | Standard Proxy mit Authentifizierung über NTLM
| Standard Proxy mit Authentifizierung über NTLM
| }}
{{var | Authentifizierungsausnahme
| Authentifizierungsausnahme
| }}
{{var | Authentifizierungsausnahme--Bild
| UTM v12.6 HTTP_Proxy-Windows Szenario 2 Authentifizierungsausnahme.png
| UTM v12.6 HTTP_Proxy-Windows Szenario 2 Authentifizierungsausnahme-en.png }}
{{var | Webfilterprofil mit Regel
| Webfilterprofil mit Regel
| }}
{{var | Authentifizierungsausnahme--desc
| Der Webfilter und Virenscanner wird hierbei genauso konfiguriert wie im Szenario 1, zusätzlich werden aber '''Authentifizierungsausnahmen''' benötigt, da sich das Windows Systemkonto gegenüber dem Proxy nicht authentifizieren kann. Daher müssen die aufgerufenen URLs auch hier wieder definiert werden. Auch das geschieht hier wieder mit regulären Ausdrücken: 
*'''.*\.update\.microsoft\.com'''
*'''.*\.windowsupdate\.microsoft\.com'''
*'''.*\.windowsupdate\.com'''
*'''.*\.download\.microsoft\.com'''
*'''www\.msftncsi\.com'''
 
Da an dieser Stelle nicht mehr auf das Protokoll HTTP oder HTTPS geschaut wird, fallen diese Ausdrücke etwas kürzer aus als beim Virenscanner.
| }}
{{var | Szenario 3: Standard Proxy mit Authentifizierung über NTLM und Einsatz des SSL-Interception
| Szenario 3: Standard Proxy mit Authentifizierung über NTLM und Einsatz des SSL-Interception
| }}
{{var | Standard Proxy mit Authentifizierung über NTLM und SSL-Interception
| Standard Proxy mit Authentifizierung über NTLM und SSL-Interception
| }}
{{var | SSL-Interception
| SSL-Interception
| }}
{{var | SSL-Interception--Bild
| UTM v12.6 HTTP_Proxy-Windows Szenario 3 SSL-Interception.png
| UTM v12.6 HTTP_Proxy-Windows Szenario 3 SSL-Interception-en.png }}
{{var | SSL-Interception Ausnahmen
| SSL-Interception Ausnahmen
| }}
{{var | SSL-Interception--desc
| Wenn der '''SSL-Interception''' zum Einsatz kommt, um auch die verschlüsselten Datenpakete auf Schadsoftware zu überprüfen, müssen auch hier die Microsoft Server als '''Ausnahmen für SSL-Interception''' hinterlegt werden. 
Dazu werden die selben Ausdrücke wie auch schon bei der Authentifizierungsausnahme verwendet. 
*'''.*\.update\.microsoft\.com'''
*'''.*\.windowsupdate\.microsoft\.com'''
*'''.*\.windowsupdate\.com'''
*'''.*\.download\.microsoft\.com'''
*'''www\.msftncsi\.com'''
 
Der Webfilter, Virenscanner und die Authentifizierungsausnahme wird hier natürlich genauso eingerichtet wie auch schon in den Szenarien 1 und 2.
| }}

----
{{var |
|
| }}
</div>

UTM/KB/APP/HTTP Proxy-Windows.lang - Versionsgeschichte

Andreb am 10. März 2025 um 15:02 Uhr

Lauritzl am 21. März 2024 um 09:23 Uhr

Lauritzl am 4. März 2024 um 19:42 Uhr