Andreb (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
Andreb (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
||
| Zeile 51: | Zeile 51: | ||
| {{b|{{#var:Ausnahmen mit SNI abgleichen}}:}} <br><small>{{#var:Ausnahmen mit SNI abgleichen--cap}}</small> || {{ButtonAus|{{#var:Aus}} }} || {{#var:Ausnahmen mit SNI abgleichen--desc}} | | {{b|{{#var:Ausnahmen mit SNI abgleichen}}:}} <br><small>{{#var:Ausnahmen mit SNI abgleichen--cap}}</small> || {{ButtonAus|{{#var:Aus}} }} || {{#var:Ausnahmen mit SNI abgleichen--desc}} | ||
|- | |- | ||
| {{b|{{#var:Ausnahmen}}:}} || {{cb|<nowiki>^[^:]*://[^\.]*\.ttt-point\.de/</nowiki>|-|-}}<br><small>{{#var:Vordefiniert im Globalen Konfigurationsprofil}}</small>{{cb|<nowiki>.*\.ikarus\.at</nowiki>|-|-}}{{cb|<nowiki>.*\.mailsecurity\.at</nowiki>|-|-}} {{cb|<nowiki>.*91\.212\.136\..*</nowiki>|-|-}} || {{#var:Ausnahmen--desc}} | | {{b|{{#var:Ausnahmen}}:}} || {{cb|<nowiki>^[^:]*://[^\.]*\.ttt-point\.de/</nowiki>|-|-}}<br><small>{{#var:Vordefiniert im Globalen Konfigurationsprofil}}</small><br>{{cb|<nowiki>.*\.ikarus\.at</nowiki>|-|-}}{{cb|<nowiki>.*\.mailsecurity\.at</nowiki>|-|-}} {{cb|<nowiki>.*91\.212\.136\..*</nowiki>|-|-}} || {{#var:Ausnahmen--desc}} | ||
|- class=noborder | |- class=noborder | ||
| colspan=3 |<br>{{h-4| {{#var:Ausnahmen für Zertifikatsverifizierung}} | {{Reiter| {{#var:Ausnahmen für Zertifikatsverifizierung}} }} }}<br><small>{{#var:nur bei aktivierter Zertifikatsverifizierung}}</small> | | colspan=3 |<br>{{h-4| {{#var:Ausnahmen für Zertifikatsverifizierung}} | {{Reiter| {{#var:Ausnahmen für Zertifikatsverifizierung}} }} }}<br><small>{{#var:nur bei aktivierter Zertifikatsverifizierung}}</small> | ||
Version vom 21. November 2025, 14:48 Uhr
Konfiguration der SSL-Interception im HTTP-Proxy
Letzte Anpassung zur Version: 14.1.1 (11.2025)
Neu:
- Layout-Anpassung des User Interfaces
- Aktualisierung zum Redesign des Webinterfaces
Dieser Artikel bezieht sich auf eine Beta-Version
Bestandteil des HTTP-Proxys
SSL-Interception
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnAnwendungenHTTP-Proxy  Reiter SSL-Interception
|
|---|---|---|---|
| Aktiviert: | Die SSL-Interception ist ausgeschaltet | ||
| Bei Aktivierung werden vom Webfilter blockierte Verbindungen abgefangen. Dadurch wird das Problem umgangen, daß es Seiten gibt, die ein Unterbrechen der Verschlüsselung nicht tolerieren (z.B. Banking-Software), ohne das man dafür extra eine Ausnahme definieren muss. | |||
| Aktiviert die SSL-Interception | |||
| SNI validieren: Nur im globalen Konfigurationsprofil Wird an zusätzliche Konfigurationsprofile vererbt |
Ja | Bei Aktivierung wird eine sich ggf. im ClientHello des TLS-Handshake befindliche SNI geprüft. Dabei wird der enthaltene Hostname aufgelöst und die Adressen im Ergebnis mit der Zieladresse des abgefangenen Requests abgeglichen. Bei Nichtübereinstimmung wird die Verbindung geschlossen. Ohne Server Name Indication Validierung können Clients die SNI beliebig manipulieren, um den Webfilter zu passieren. Diese Einstellung sollte nur als eine letzte Möglichkeit betrachtet werden, wenn es unmöglich scheint, die DNS-Einstellungen zwischen Clients des HTTP-Proxy und der UTM zu vereinheitlichen. Verwenden Client und UTM unterschiedliche DNS-Server, kann es dabei zu false-positives kommen.
| |
| Nicht erkannte Protokolle erlauben: | Ja | Wenn dieser Schalter deaktiviert ist, werden nicht erkannte Protokolle blockiert. | |
| CA-Zertifikat: | CA-SSL-Interception | Hier muss eine CA ausgewählt werden, die die Verbindung nach dem entschlüsseln (und scannen) wieder verschlüsseln kann. Der Public-Key der CA muss auf allen Client Rechnern, die SSL-Interception nutzen sollen, installiert werden. Herunterladen kann hier direkt mit erfolgen. | |
| Der Public-Key sollte auf den Clients, die die SSL-Interception nutzen sollen installiert werden, um Zertifikatsfehler zu vermeiden | |||
| Zertifikatsverifizierung: nicht bei Nur Webfilter basiert Nur im globalen Konfigurationsprofil Wird an zusätzliche Konfigurationsprofile vererbt |
Ein | Sollte unbedingt aktiviert werden! Damit überprüft der HTTP-Proxy, ob das Zertifikat der aufgerufenen Seite vertrauenswürdig ist. Da der Browser nur noch das lokale Zertifikat sieht, ist eine Überprüfung durch den Browser nicht mehr möglich. | |
Ausnahmen für SSL-Interception Ausnahmen für SSL-Interception nicht bei Nur Webfilter basiert | |||
| Aktiviert: | Aus | Es besteht die Möglichkeit Ausnahmen im Format der Regular Expressions zu definieren. Da hier aber nur https ankommen kann, wird hier, anders als bei dem Virenscanner, nicht auf Protokolle gefiltert. Neue Ausnahmen fügt man direkt im Eingabefeld ein. Eine Ausnahme für www.securepoint.de würde also lauten:
.*\.securepoint\.de" | |
| Ausnahmen mit SNI abgleichen: Verfügbar, wenn SNI validieren aktiv ist. |
Aus | Wendet die Server Name Indication Validierung nur auf aktivierte Ausnahmen für SSL-Interception an. | |
| Ausnahmen: | ^[^:]*://[^\.]*\.ttt-point\.de/ Vordefiniert im Globalen Konfigurationsprofil: .*\.ikarus\.at.*\.mailsecurity\.at .*91\.212\.136\..* |
Ausnahmen bestimmen, hier für ttt-point.de | |
Ausnahmen für Zertifikatsverifizierung Ausnahmen für Zertifikatsverifizierung nur bei aktivierter Zertifikatsverifizierung | |||
| Aktiviert: | Aus | Hier können Ausnahmen für die Zertifikatsverifizierung im Regex-Format hinzugefügt werden.
| |