Wechseln zu:Navigation, Suche
Wiki

UTM/APP/HTTP Proxy-Captive Portal-lokal: Unterschied zwischen den Versionen

Aus Securepoint Wiki
KKeine Bearbeitungszusammenfassung
 
(12 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}
{{set_lang}}
= Servereinstellungen =
[[Datei:CP_servereinstellunge.png| thumb| 350px|<font size=1>Servereinstellungen - FQHN & DNS-Server</font>]]
== FQHN anpassen ==
Der Firewallname sollte als FQHN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.
Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, achten Sie bitte explizit auf den Eintrag Nameserver.


== DNS-Server eintragen ==
{{#vardefine:headerIcon|spicon-utm}}
Als primären Nameserver tragen Sie bitte den Localhost (hier 127.0.0.1) ein. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.
<br><br><br><br><br>


= Zertifikate erzeugen =
Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.
Wenn Sie diesen Weg gehen wollen folgen Sie bitte [http://wiki.securepoint.de/index.php?title=Captive_Portal_extern|dieser] Anleitung.


= ggf. Gruppe anlegen =
{{var | local-cert
[[Datei:CP gruppe.png| thumb| 350px|<font size=1>Benutzer - Gruppe anlegen & Rechte vergeben</font>]]
| Lokales Zertifikat erzeugen
Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen 'HTTP-Proxy' erstellt werden. Die Gruppe kann auf Wunsch und bestehender Integration in ein Active Directory auch auf einen im AD zu generierende Gruppe gemappt werden.
| Generate local certificate }}
<br><br><br><br><br><br><br><br><br><br><br><br><br>
{{var | öocal-cert--text
| Die Landingpage des Captive Portals ist eine HTTPS-Website. Damit ein Browser diese Seite als Vertrauenswürdig einstufen kann, wird ein Zertifikat benötigt.
| The landing page of the captive portal is an HTTPS website. A certificate is required for a browser to classify this page as trustworthy. }}
{{var | local-cert--list-ca
| Unter {{Menu| Authentifizierung | Zertifikate | CA}} muss eine CA angelegt sein
| At {{Menu| Authentication | Certificates | CA}} a CA must be created }}
{{var | local-cert--list-CS
| Unter {{Menu| Authentifizierung | Zertifikate | Zertifikate}} muss ein '''Server-'''Zertifikat angelegt werden.
| At {{Menu| Authentication | Certificates | Certificates}} a '''Server-''' certificate must be created. }}
{{var | local-cert--list-hint
| Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann.
| A separate certificate should be created for the captive portal so that it can be revoked if necessary without affecting other connections or applications. }}
{{var | link-cert
| Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen.
| How to create a certificate on the UTM can be read [[UTM/AUTH/Zertifikate | here]]. }}


= Implizite Regeln =
[[Datei:CP Impliziete-regeln.PNG| thumb| 350px|<font size=1>Firewall - Implizite Regeln</font>]]
Bitte kontrollieren Sie an diesem Punkt ob die impliziten Regeln beide aktiviert sind.
Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.
Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.
<br><br><br><br><br><br><br><br><br><br>


= Captive Portal =
</div>{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}{{Select_lang}}{{TOC2}}
[[Datei:CP Proxy captive auth.PNG| thumb| 550px|<font size=1>HTTP-Proxy - Captive Portal</font>]]
{{:UTM/APP/HTTP_Proxy-Captive_Portal_extern-lokal}}
== Captive Portal ==
Dieser Schalter aktiviert oder deaktviert das Captive Portal
== Authentifizierung ==
Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.
== Zertifikat ==
Bitte das oben erwähnte Zertifikat auswählen.
== Maximale Verbindungszeit ==
Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.
Ist der Timer auf 0 wird der Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.
== Hostname der Portalseite ==
Dieser sollte, bei einem Zertifikat für einen FQHN, dem Common Name des Zertifikats entsprechen.<br>
Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.
== Port der Portalseite ==
Hier kann, wenn gewünscht ein Port für den Redirect spezifiziert werden.
Netzwerkobjekte
In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.
== Nutzungsbedingungen ==
Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.<br>
Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.
<br><br>


= transparenter Proxy =
[[Datei:CP_transparenter_proxy.png| thumb| 350px|<font size=1>HTTP-Proxy - Transparenter Proxy</font>]]
Hier sind zwei Regeln von Nöten:
# http | include | wlan0-network | internet
# http | exclude | wlan0-network | internal-network
Die erste Regel erlaubt den Zugriff auf das Internet.<br>
Die zweite Regel verhindert den Zugriff auf ggf. im internen Netz vorhandene Webserver.
<br><br><br><br><br><br><br><br><br><br>


= Nameserver =
=== {{#var:local-cert| Lokales Zertifikat erzeugen }} ===
Wenn der Firewallname nicht auf einen FQHN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.
<p>{{#var:öocal-cert--text| Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. }} </p>
In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der autoritative DHCP-Server ist und sich selbst als primären DNS-Server propagiert.
* {{#var:local-cert--list-ca| Unter {{Menu| Authentifizierung | Zertifikate | CA}} muss eine CA angelegt sein }}
== Forward-Zone hinzufügen ==
* {{#var:local-cert--list-CS| Unter {{Menu| Authentifizierung | Zertifikate | Zertifikate}} muss ein '''Server-'''Zertifikat angelegt werden. }} {{Info | {{#var:local-cert--list-hint| Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann. }}}}
Der zu vergebende Zonenname entspricht dem FQDN der Firewall. <br>
In unserem Fall ist dies 'portal.anyideas.de'.  <br>
Als Hostname des Nameserver tragen wir den 'localhost' ein.  <br>
Das Feld der IP-Adresse kann leer gelassen werden. <br>
[[Datei:CP_nameserver 1.png | 250px | <font size=1>Nameserver - Zonenname</font>]]
[[Datei:CP_nameserver 2.png | 250px | <font size=1>Nameserver - Nameserver Hostname</font>]]
[[Datei:CP_nameserver 3.png | 220px | <font size=1>Nameserver - Nameserver IP</font>]]
<br><br>
== Forward-Zone bearbeiten ==
[[Datei:CP_nameserver 4.png | 250px | thumb | <font size=1>Nameserver - Nameserver IP</font>]]
Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:<br>
Name: FQHN der Firewall <br>
Typ: A <br>
Wert: @ <br>
<br><br><br><br><br><br><br><br><br><br>


= Portfilter =
{{#var:link-cert| Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen. }}
Im Portfilter müssen abschließend noch zwei Regeln anlegt werden
 
# Quelle: captive_portal -> Ziel: internet | Dienst: any | NAT: HideNAT external-interface
 
# Quelle: wlan-0-network -> Ziel: wlan-interface | Dienst: proxy
----
[[Datei:CP_Portfilter.png | 250px | thumb | <font size=1>Firewall - Portfilter IP</font>]]
 
<br><br><br><br><br><br><br><br><br><br>
{{:UTM/APP/HTTP_Proxy-Captive_Portal_extern-lokal2}}
= Checkliste =

Aktuelle Version vom 11. Februar 2020, 11:46 Uhr

































De.png
En.png
Fr.png







































Konfiguration des Captive-Portal

Letzte Anpassung zur Version: 11.8.7


Neu:

  • Artikel aktualisiert
  • Übersetzung auf englisch
  • Regel für HTTPS mit SLL-Interception hinzugefügt

Vorherige Versionen: -

Servereinstellungen

Servereinstellungen - FQDN & DNS-Server

Menü → Netzwerk →Servereinstellungen Reiter Servereinstellungen

Firewallname anpassen

Der Firewallname sollte als FQDN definiert sein. (Im Beispiel portal.anyideas.de)
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.

Firewall
Firewallname portal.anyideas.de FQDN-konformer Firewallname

DNS-Server eintragen

Als primärer Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangenheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.

DNS-Server
Primärer Nameserver 127.0.0.1 Localhost
Sekundärer Nameserver 8.8.8.8 Möglicher Nameserver: google-public-dns-a.google.com



Lokales Zertifikat erzeugen

Die Landingpage des Captive Portals ist eine HTTPS-Website. Damit ein Browser diese Seite als Vertrauenswürdig einstufen kann, wird ein Zertifikat benötigt.

  • Unter → Authentifizierung →ZertifikateReiter CA muss eine CA angelegt sein
  • Unter → Authentifizierung →ZertifikateReiter Zertifikate muss ein Server-Zertifikat angelegt werden.
    Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann.

Wie ein Zertifikat auf der UTM erstellt werden kann, ist hier zu lesen.


UTM/APP/HTTP Proxy-Captive Portal extern-lokal2

Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-lokal&oldid=69017“