UTM/APP/Reverse Proxy: Unterschied zwischen den Versionen

← Zum vorherigen Versionsunterschied

Aktuelle Version vom 21. Oktober 2026, 07:12 Uhr

Thumbnail for — Securepoint OpenWeb Reverse Proxy

Ziel dieser Anleitung ist es, über den Reverse-Proxy auf einen internen Webserver zuzugreifen

Letzte Anpassung zur Version: 14.2.0 (07.2026)

Neu:

Beta Nur für Teilnehmer am Beta-Channel:

Netzwerkobjekte können durchsucht werden

ACL-Argumente werden jetzt auf Zulässigkeit geprüft
Hinweis zu den aktuellen Zertifikats-Anforderungen hinzugefügt
Der Reverse Proxy kann nun auch SNI durchreichen
Servergruppen und Sites werden in einer gemeinsamen Tabelle angezeigt (v14.1.0)
Regex-Ausdrücke der ACL-Sets können Groß- und Kleinschreibung berücksichtigen/ignorieren (v14.1.0)
Hinweis, das Sites mindestens ein ACL Set mit dstdomain beinhalten müssen (v14.1.0)

Zuletzt aktualisiert:

Formulierungen und Beispiele der ACL-Sets wurden aktualisiert

notempty

Dieser Artikel bezieht sich auf eine Beta-Version

14.1.2 14.0.1 12.7 12.6 12.3 12.1 11.7

notempty

Mit v12.7.0 kann nginx als Reverse Proxy Engine ausgewählt werden
Ein Wechsel der Engine zieht höchst wahrscheinlich eine Anpassung der Konfiguration nach sich, da jede Engine verschiedene Features unterstützt.
Nach der Umstellung werden nicht-unterstütze Einstellungen markiert

Verwendungszweck

Mit einem Reverse-Proxy kann man aus dem Internet heraus, den Zugriff auf die "internen" Webserver steuern. Im Gegensatz zu einer Portweiterleitung, können über den Reverse-Proxy dedizierte Filterregeln erstellt werden. Zudem können, bei nur einer öffentlichen IP-Adresse, mehrere interne Webserver anhand der Domäne angesprochen werden.

Ein weiteres Highlight bietet das Load-Balancing. Server können zu Gruppen zusammen gefasst werden, auf die die Anfragen dann mit dem gewählten Algorithmus (z.B. Round-Robin) verteilt werden.

Voraussetzungen

Für die Beispielkonfiguration werden folgende Werte angenommen:

Webserver mit der privaten IP: 10.1.0.150
Domäne: www.ttt-point.de

Vorbereitungen

Achtung:
Soll der Zugriff auch auf den Webserver über https erfolgen, so muss zuerst der Port des Userinterfaces umgelegt werden.

User Webinterface Port ändern

ausblenden

Klicken für dauerhafte Anzeige

Servereinstellungen UTMbenutzer@firewall.name.fqdn Netzwerk

In der Werkseinstellung ist der Port 443 für https schon vom User-Webinterface der UTM belegt. Dieser muss dann auf einen anderen Port umgelegt werden.
Die Einstellungen dazu befinden sich im Menü Bereich Servereinstellungen im Abschnitt

Webserver

Ggf. müssen Paketfilterregeln, die den Zugriff auf das User Webinterface erlauben angepasst werden.

Speichern

notempty

Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt

HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren!

Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt

Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind

Unsichere Zertifikate sollten dringend ausgetauscht werden!
Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256
BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 | Kapitel 2.3: RSA-Verschlüsselung

Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus

Betroffene Anwendungen einblenden

Betroffene Anwendungen ausblenden

Klicken für dauerhafte Anzeige

OpenVPN

Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S)

Clientzertifikat bei S2S

ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten)

Mailrelay

Relaying "Zertifikat" (unter TLS Verschlüsselung als Server)

Reverse-Proxy

Einstellungen → SSL-Zertifikat

Webserver

Netzwerk → Serveinstellungen → Webserver → Zertifikat

HTTP-Proxy

SSL-Interception → CA-Zertifikat

Für https benötigt der Reverse-Proxy ein Zertifikat damit er die verschlüsselte Verbindung entgegen nehmen kann
Hierzu wird unter Authentifizierung Zertifikate ein Zertifikat benötigt

Wird ein lokal selbst erstelltes Zertifikat verwendet, müssen externe Nutzer beim ersten Aufruf eine Zertifikatswarnung bestätigen

Besser ist es, ein öffentlich ausgestelltes, käuflich erworbenes Zertifikat zu importieren oder ein ACME-Zertifikat zu erstellen

Wichtig: der Name des Zertifikates muss so benannt werden wie die Domäne.
In diesem Beispiel wird ein Wildcard-Zertifikat *.ttt-point.de verwendet.

Paketfilter-Regel

Damit der Reverse Proxy erreichbar ist, muss folgende Paketfilter-Regel vorhanden sein. Unter Firewall Paketfilter kann dies überprüft werden. Falls diese nicht vorhanden ist, wird mit Regel hinzufügen diese Regel hinzugefügt.

	#	Quelle	Ziel	Dienst	NAT	Logging	Aktion	Aktiv
		internet	external-interface	https		3/Min	Accept	Ein

notempty

Gegebenenfalls muss diese Paketfilter-Regel auch mit dem Dienst

http erstellt werden.

Mehrere IP-Adressen unterschiedlich nutzen

notempty

Falls mehrere öffentliche IP-Adressen zur Verfügung stehen, können die Ports der verschiedenen IP-Adressen unterschiedlich (bspw. für Reverse Proxy und VPN) verwendet werden

Dies kann hilfreich sein, da Aufrufe bestimmter Ports aus dem Ausland teilweise blockiert werden. Aufrufe auf den Port 443 werden aber meist zugelassen.

.
Hierzu muss bei der Regel des Reverse Proxys explizit angegeben werden, dass das external-interface der spezifischen IP als Ziel genutzt werden soll. Für die andere Verwendung wird der Traffic mithilfe von DestNAT umgeleitet, also der Traffic kommt auf Port 443 an, wird dann aber mithilfe einer Paketfilterregel auf einen anderen Port (bspw. 1194 für VPN) umgeleitet.

Konkrete Regeln für mehrere IP-Adressen anzeigen

ausblenden

Klicken für dauerhafte Anzeige

#	Quelle	Ziel	Dienst	NAT	Logging	Aktion	Aktiv
	internet	external-interface-ip3	openvpn-tcp	DN Netzwerkobjekt: external-interface-ip1 Dienst: https	3/Min	Accept	Ein
	internet	external-interface-ip2	https		3/Min	Accept	Ein

Einrichtungsassistent
Unter Anwendungen Reverse-Proxy kann über die Schaltfläche Reverse-Proxy Assistent im Header der Assistent geöffnet werden.
Schritt 1 - Intern
Beschriftung	Wert	Beschreibung	Reverse-Proxy Assistent UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy Zielserver existiert bereits als Netzwerkobjekt
Zielserver:	www.ttt-point.de	Ist der Host schon als Netzwerkobjekt angelegt, kann dieser im Dropdown Menü direkt notempty Neu ab v14.2.0 gesucht und ausgewählt werden.
Zielserver:	Netzwerkobjekt hinzufügen	Falls noch kein Netzwerkobjekt angelegt ist, kann mithilfe von dieser Schaltfläche ein Netzwerkobjekt erstellt werden.
Port:	443	Der Webserver soll über eine Verschlüsselte Verbindung angesprochen werden.
SSL benutzen:	Ein	Legt fest, ob die interne Weiterleitung verschlüsselt oder unverschlüsselt stattfindet. Server, die verschlüsselt konfiguriert wurden, benötigen dementsprechend auch eine verschlüsselte interne Weiterleitung
[ - ] Erweiterte Einstellungen notempty Diese TLS Einstellungen gelten für die Verbindung zwischen dieser Appliance und dem (lokalen) Server. Für TLS Einstellungen zwischen den Clients und dieser Appliance gelten die Einstellungen im Dialog Authentifizierung Verschlüsselung Bereich Reverse-Proxy
Standard TLS Einstellungen verwenden:	Ja	Lässt nur Verbindungen mit TLS 1.2 oder 1.3 zu
Minimale TLS Version:	Standardwert verwenden	Es lassen sich die veralteten TLS-Versionen 1.1 und 1.0 auswählen
Cipher-Suite:	Standardwert verwenden	Um direkt ein OpenSSL Sicherheitslevel zu verwenden, kann die Notation @SECLEVEL=N im Cipherstring verwendet werden, wobei N für das gewählte Level von 0 bis 5 steht. Damit kann auch das Sicherheitslevel 0 für Server verwendet werden, das veraltete und unsichere Algorithmen anbietet. Dies wird ausdrücklich nicht empfohlen, stattdessen sollte der Server aktualisiert werden. Ein bestimmter Cipher oder Default müssen noch mit angegeben werden. Beispiele: DEFAULT@SECLEVEL=0 ECDHE-RSA-AES256-SHA@SECLEVEL=0
Weiter
Schritt 2 - Extern
Externer Domainname:	www.ttt-point.de	Hier wird eingetragen, wie der Server hinter der UTM angesprochen wird. Es kann hier auch die öffentliche IP-Adresse eingetragen werden, die der Client aus dem Internet aufruft. Allerdings ist es dann nicht möglich über zusätzliche Subdomains weitere einzelne Server zu unterscheiden.	Konfiguration des externen Zugriffs, damit der Reverse-Proxy auf Anfragen reagiert
SNI aktivieren: notempty Neu ab: 14.1.2	Ein	Aktiviert die Weiterreichung der Server Name Indication (SNI) um mehrere Server unter einer IP-Adresse erreichbar zu machen Bei SNI senden die Clients bereits im Handshake den Domainnamen des angefragten Servers mit. So kann der Reverse Proxy das korrekte Zertifikat verwenden.
Weiter
Schritt 3 - Extern (Global)
Modus	HTTP + HTTPS	Zu nutzender Modus
Proxy-Port:	80	Port für den Proxy des entsprechenden Servers
SSL-Proxy Port:	443	Port für den SSL-Proxy des entsprechenden Servers
SSL-Zertifikat:	*.ttt-point.de	Das zuvor angelegte Wildcard-Zertifikat (siehe Abschnitt: Vorbereitungen) In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert. Diese Seite wird auf folgenden Seiten eingebunden UTM/APP/Reverse Proxy v11.7 (← Links) UTM/Changelog (← Links) Reverse-Proxy v11 (Weiterleitungsseite) (← Links) UTM (← Links) UTM/APP/Reverse Proxy v12.1 (← Links) UTM/AUTH/Verschlüsselung (← Links) UTM/AUTH/Verschlüsselung v12.3.6 (← Links) UTM/APP/Reverse Proxy v12.6 (← Links) UTM/APP/Reverse Proxy v12.3 (← Links) UTM/APP/Reverse Proxy v12.7 (← Links) UTM/AUTH/Verschlüsselung v12.6.0 (← Links) UTM/APP/Reverse Proxy v14.0.1 (← Links) UTM/APP/Reverse Proxy v14.1.2 (← Links) UTM/AUTH/Verschlüsselung v14.1.0 (← Links) UTM/Changelog v12 (← Links) Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten! notempty Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren! Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind Unsichere Zertifikate sollten dringend ausgetauscht werden! Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256 BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 \| Kapitel 2.3: RSA-Verschlüsselung Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus Betroffene Anwendungen: OpenVPN Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S) Clientzertifikat bei S2S ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten) Mailrelay Relaying "Zertifikat" (unter TLS Verschlüsselung als Server) Reverse-Proxy Einstellungen → SSL-Zertifikat Webserver Netzwerk → Serveinstellungen → Webserver → Zertifikat HTTP-Proxy SSL-Interception → CA-Zertifikat
Weiter
Schritt 4 - Authentifizierung
Authentifizierung weiterleiten:	Zugangsdaten festlegen	Leitet fixe Zugangsdaten (hier: Keine) an den Reverse Proxy weiter. Der Proxy soll keine Authentifizierung durchführen Die Zeichenfolge kann URL-Escapes enthalten (z. B. %20 für Leerzeichen). Das bedeutet auch, dass % als %% geschrieben werden muss.	Keine Authentifizierung!
	Zugangsdaten Weiterleiten (Client)	Leitet die Authentifizierungs-Header des Clients an die Gegenstelle weiter. Von der UTM empfangene Anmeldedaten werden an den Reverse Proxy gesendet. Dadurch wird das Proxy-Passwort des Benutzers für die Gegenstelle sichtbar. Eine Authentifizierung ist bei dieser Option nicht erforderlich.
	Zugangsdaten Weiterleiten (Client & Proxy)	Proxy - und Authentifizierung-Header werden unverändert weitergeleitet. Sendet die vom Client empfangenen Anmeldedaten an den Reverse Proxy. Sowohl Proxy- als auch WWW-Authorization-Header werden ohne Änderung an die Gegenstelle weitergegeben.
Anmeldename
Passwort
Fertig

Servergruppen und Sites
notempty Neu ab: 14.1.1 Vorhandene eingerichtete Servergruppen werden hier tabellarisch dargestellt. Deren dazugehörigen Sites werden in Untertabellen dargestellt. Erst wenn eine Servergruppe vorhanden ist, kann ein Site hinzugefügt werden.			Reverse-Proxy UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy Assistent Automatisch angelegte Servergruppe

Servergruppe hinzufügen
Die Anordnung in Servergruppen ermöglicht es, verschiedene Beziehungen im Reverse Proxy darzustellen: 1:1 - Eine Domäne/IP : Ein Server 1:N - Eine Domäne/IP : Mehrere Server (Load Balancing) N:1 - Mehrere Domänen/IPs : Ein Server N:M - Mehrere Domänen/IPs : Mehrere Server (Load Balancing) Ein Portforwarding ermöglicht lediglich eine 1:1 Beziehung - die Verbindung wird an genau einen Server weitergeleitet.
Servergruppe hinzufügen		Fügt eine neue Servergruppe hinzu. Der Assistent legt automatisch eine Servergruppe an.
Allgemein
Beschriftung	Wert	Beschreibung	Servergruppe hinzufügen UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy
Name		Name der Servergruppe (nicht bearbeitbar)
SSL benutzen	Nein	Legt fest, ob die interne Weiterleitung verschlüsselt oder unverschlüsselt stattfindet. Server, die verschlüsselt konfiguriert wurden, benötigen dementsprechend auch eine verschlüsselte interne Weiterleitung
Authentifizierung Die Authentifizierung wird lediglich bei Nutzung der nginx-Engine für die gesamte Gruppe zentral konfiguriert. Bei Nutzung der squid-Engine geschieht dies für jeden Server einzeln.
Authentifizierung weiterleiten:	Zugangsdaten festlegen	Leitet fixe Zugangsdaten (hier: Keine) an den Reverse Proxy weiter. Der Proxy soll keine Authentifizierung durchführen Die Zeichenfolge kann URL-Escapes enthalten (z. B. %20 für Leerzeichen). Das bedeutet auch, dass % als %% geschrieben werden muss.
	Zugangsdaten Weiterleiten (Client)	Leitet die Authentifizierungs-Header des Clients an die Gegenstelle weiter. Von der UTM empfangene Anmeldedaten werden an den Reverse Proxy gesendet. Dadurch wird das Proxy-Passwort des Benutzers für die Gegenstelle sichtbar. Eine Authentifizierung ist bei dieser Option nicht erforderlich.
	Zugangsdaten Weiterleiten (Client & Proxy)	Proxy - und Authentifizierung-Header werden unverändert weitergeleitet. Sendet die vom Client empfangenen Anmeldedaten an den Reverse Proxy. Sowohl Proxy- als auch WWW-Authorization-Header werden ohne Änderung an die Gegenstelle weitergegeben.
Anmeldename: Nur bei Zugangsdaten festlegen
Passwort: Nur bei Zugangsdaten festlegen
Verbindungsorientierte Microsoft-Authentifizierung weiterleiten: notempty Neu ab v12.7.1	aus	Ermöglicht Unterstützung für NTLM, Negotiate und Kerberos
Server
Server hinzufügen	Mittels dieser Schaltfläche lässt sich ein neuer Server hinzufügen		Servergruppe hinzufügen UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy Beispiel mit verschiedenen TLS-Versionen und Cipher-Suiten unter Verwendung der nginx-Engine
		Suchfeld für die Server
Netzwerkobjekt	www.ttt-point.de	Name
IP-Adresse	10.1.0.150	IP-Adresse des Webservers
Port	443	Port, über den der Server angesprochen werden soll
TLS	Default @Sec Level=4	TLS-Einstellungen für diesen Server
Löschen	Löscht den Server aus der Servergruppe der Reverse Proxys
Bearbeiten	Der Server aus der Servergruppe kann darüber bearbeitet werden

Server hinzufügen
Allgemein
Netzwerkobjekt	www.ttt-point.de	Ist der Host schon als Netzwerkobjekt angelegt, kann dieser im Dropdown Menü direkt notempty Neu ab v14.2.0 gesucht und ausgewählt werden.	Server hinzufügen UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy Servergruppe hinzufügen
Netzwerkobjekt	Netzwerkobjekt hinzufügen	Falls noch kein Netzwerkobjekt angelegt ist, kann mithilfe von dieser Schaltfläche ein Netzwerkobjekt erstellt werden.
Port	80	Port, über den der Server angesprochen werden soll

Erweiterte Einstellungen notempty Diese TLS Einstellungen gelten für die Verbindung zwischen dieser Appliance und dem (lokalen) Server. Für TLS Einstellungen zwischen den Clients und dieser Appliance gelten die Einstellungen im Dialog Authentifizierung Verschlüsselung Bereich Reverse-Proxy
Standard TLS Einstellungen verwenden:	Ja	Lässt nur Verbindungen mit TLS 1.2 oder 1.3 zu
Minimale TLS Version:	Standardwert verwenden	Es lassen sich die veralteten TLS-Versionen 1.1 und 1.0 auswählen
Cipher-Suite:	Standardwert verwenden	Um direkt ein OpenSSL Sicherheitslevel zu verwenden, kann die Notation @SECLEVEL=N im Cipherstring verwendet werden, wobei N für das gewählte Level von 0 bis 5 steht. Damit kann auch das Sicherheitslevel 0 für Server verwendet werden, das veraltete und unsichere Algorithmen anbietet. Dies wird ausdrücklich nicht empfohlen, stattdessen sollte der Server aktualisiert werden. Ein bestimmter Cipher oder Default müssen noch mit angegeben werden. Beispiele: DEFAULT@SECLEVEL=0 ECDHE-RSA-AES256-SHA@SECLEVEL=0

Sites
Bei einer vorhandenen Servergruppe kann über die Schaltfläche ein Site hinzugefügt werden. notempty Neu ab v14.1.1 Falls ungültige Konfigurationen vorliegen, werden diese mit einer Warnung () versehen. Beim Hovern über diese Warnung wird außerdem eine kurze Beschreibung des Problems gezeigt. Alle Sites müssen ein dst_dom-ACL* aktiv haben, andernfalls werden sie ignoriert. ACL Set bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenEinstellungen → SSL-Zertifikat ACL Set ohne dst_dom* ACL Set bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenEinstellungen → SSL-Zertifikat ACL Set mit dst_dom*			Reverse-Proxy Assistent UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy Die Site www.ttt-point.de zur Servergruppe servergroup.ttt-point.de unter Verwendung der nginx-Engine

Site hinzufügen
Domainname:	www.ttt-point.de	Hier wird eingetragen, wie der Server hinter der UTM angesprochen wird.	Site hinzufügen UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy Sites bearbeiten unter Verwendung der nginx-Engine
Servergruppe:	servergroup-www.ttt-point.de	Hier wird die zugehörige Servergruppe gewählt
Client-Bandbreite:	80 kbits/s	Bandbreite, die einem Client maximal zur Verfügung stehen soll. Der Wert 0 steht für eine unbegrenzte Bandbreite
Lastverteilung:	round-robin	Verbindungen werden eine nach der anderen abgearbeitet.
	userhash	Verbindungen eines Users (Hash auf den Benutzernamen) werden immer an den gleichen Server geleitet.
	sourcehash	Verbindungen von der gleichen Quelle (IP-Adresse) werden immer an den gleichen Server geleitet.
HTTP umleiten: Nur wenn Mode: HTTP + HTTPS	Nein	Bei Aktivierung werden HTTP Anfragen auf den HTTPS Port umgeleitet
Websockets:	aus	Aktiviert Websockets Verbindungen für die Site Websockets ermöglichen es einem Server, ohne vorhergehende Anfrage eines Clients Daten an den Client zu senden, da die Verbindung offen bleibt, wenn der Client sie einmal gestartet hat
SNI aktivieren:	Ein	Aktiviert die Weiterreichung der Server Name Indication (SNI) um mehrere Server unter einer IP-Adresse erreichbar zu machen Bei SNI senden die Clients bereits im Handshake den Domainnamen des angefragten Servers mit. So kann der Reverse Proxy das korrekte Zertifikat verwenden.
Site-spezifischer Proxy Port:	Ein 80 Default: aus	Ermöglicht einen spezifischen Port für HTTP-Verbindungen in dieser Site Der hier eingetragene Wert überschreibt die Standard-Einstellungen unter Anwendungen Reverse-Proxy Bereich Einstellungen
Site-spezifischer SSL-Proxy Port:	Ein 8443 Default: aus	Ermöglicht einen spezifischen Port für HTTPS-Verbindungen in dieser Site Der hier eingetragene Wert überschreibt die Standard-Einstellungen unter Anwendungen Reverse-Proxy Bereich Einstellungen
Site-spezifisches SSL-Zertifikat:	aus	Es kann ein Site-spezifisches Serverzertifikat ausgewählt werden Der hier eingetragene Wert überschreibt die Standard-Einstellungen unter Anwendungen Reverse-Proxy Bereich Einstellungen

ACL Sets	TTT-Point Login allow	Auswahl eines ACL Sets, das hinzugefügt werden soll
	Hinzufügen	Ausgewähltes ACL Set hinzufügen
	Sites benötigen wenigstens ein ACL Set, in dem ein dstdomain oder dstdom_regex ACL vorhanden ist. Dieses ACL Set muss der Site mit der Aktion zulassen zugeordnet sein und den Status Ein aktiviert haben.
Pos.		Per Drag-and-Drop kann die Reihenfolge der ACL-Sets angepasst werden. Die erlaubten ACL Sets sollten in der Regel vor den verbotenen kommen.
ACL Set	aclset-www.ttt-point.de	Name
Aktion		Konfiguration, ob das ACL Set erlaubt oder verboten werden soll
Status	Ein	Aktivierung, bzw. Deaktivierung der Konfiguration für das ACL Set
Löschen		Löscht den Eintrag für das ACL Set

Kombinationsbeispiel
Durch Kombination verschiedener ACL-Sets mit entsprechenden Berechtigungen lässt sich z.B. erreichen, daß nur von einer bestimmten (z.B. der eigenen) öffentlichen IP-Adresse aus auf die Login-Seite eines Servers zugegriffen werden darf.
ACLSet hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenReverse-Proxy Kombinationsbeispiel Schritt 1 Zunächst wird hierfür ein ACL benötigt, welches die dstdomain und die öffentliche IP-Adresse als src beinhaltet. ACLSet hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenReverse-Proxy Kombinationsbeispiel Schritt 2 Anschließend wird noch ein ACL benötigt, welches den Pfad als urlpath_regex beinhaltet. Site bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenReverse-Proxy Kombinationsbeispiel Schritt 3 Zuletzt wird eine Site eingerichtet, bei der die erste Regel erlaubt wird und die zweite Regel verboten wird.

ACL Sets

Über ACLs lassen sich Zugriffsrechte zuweisen.
ACLs	dstdomain: anyideas.deurlpath_regex: \/owa	Zugeordnete ACL Sets werden als Label dargestellt.	Reverse-Proxy UTMbenutzer@firewall.name.fqdn Anwendungen Übersicht der ACL Sets
	dstdomain: anyideas.dedstdomain: ttt-point.deproto: HTTPS	Mehrere Sets unterschiedlichen Typs werden dabei als logische UND-Verknüpfung behandelt Mehrere Sets des gleichen Typs werden dabei als logische ODER-Verknüpfung behandelt Im Beispiel links werden sowohl anyideas als auch ttt-point akzeptiert. In beiden Fällen aber nur, wenn die Anfrage über https entgegen genommen wird.
	dstdom_regex: -i ttt-point\.de\/HOME	Regexe, die die Groß- und Kleinschreibung nicht beachten, werden mit dem Parameter -i dargestellt notempty Neu ab v14.1.0
Bearbeiten		Öffnet den Dialog zum Bearbeiten der ACL-Sets
Löschen		Entfernt ACL-Sets
ACL Set hinzufügen		Öffnet den Dialog um ACL Sets hinzuzufügen

Typ	Beschreibung	Beispiel Argument	ACL hinzufügen UTMbenutzer@firewall.name.fqdn Anwendungen Reverse-Proxy ACL Set hinzufügen ACL-Set time ACL Set urlpath_regex
dstdom_regex	Regex auf die Ziel-Domäne, falls z.B. alle Sub-Domains erlaubt sein sollen	.*\ttt-point\.(de\|com)
dstdomain	Gibt die Domäne/IP des Ziel-Servers an. Hier kann kein Regex-Ausdruck angegeben werden	www.ttt-point.de oder IP-Adresse
proto	Protokoll	http, https
req_header	Filter auf den Header des Clients Es muss der Name des Headers und der Regex, der auf den Wert des Headers fmatcht übergeben werden	Accept-Language en-US
src	Gibt die Quell IP des Clients in CIDR Notierung an	203.0.103.203 oder 203.0.103.203/32
srcdom_regex Nur bei squid-Engine	Regex auf die Quell-Domäne. Die Quell-Domäne wird über einen Reverse IP Lookup ermittelt (via IP-Adresse des Clients)	anyideas
srcdomain Nur bei squid-Engine	Gibt die Domäne des Absenders an	anyideas.de oder *.anyideas.de
time	Definiert einen Zeitraum, zu dem die Webseite aufgerufen werden kann	M T W H F 9:00-17:00 Wochentage ausblenden Klicken für dauerhafte Anzeige S - Sonntag M - Montag T - Dienstag W - Mittwoch H - Donnerstag F - Freitag A - Samstag D - jeden Werktag
urlpath_regex	Ein Regex Ausdruck, der auf den Pfad in der URL hinter der Ziel-Domäne matcht. Der Pfad ist eine virtuelle Route und die Ordner werden durch / getrennt angegeben Gibt es keinen Eintrag, so ist jeder Pfad in der URL erlaubt	\/owa matcht auf ttt-point.de/owa Die Schreibweise ^/owa ist äquivalent
Groß- und Kleinschreibung beachten: Ja notempty Neu ab v14.1.0		Konfiguriert, ob Regex-Argumente Case-Sensitiv behandelt werden
Es findet eine Überprüfung statt, ob das eingetragene Argument zulässig ist oder nicht
		Speichern und Dialog schließen

Einstellungen

Beschriftung	Wert	Beschreibung	Reverse-Proxy UTMbenutzer@firewall.name.fqdn Anwendungen Einstellungen unter Verwendung der nginx-Engine
Engine: notempty Neu ab v12.7.0	nginx	Auswahl der zu nutzenden Engine zwischen nginx (empfohlen) oder squid (veraltet) Ein Wechsel der Engine zieht daher höchst wahrscheinlich eine Anpassung der Konfiguration nach sich, da jede Engine verschiedene Features unterstützt. Nach der Umstellung werden nicht-unterstütze Einstellungen markiert. Ein Engine Wechsel wird erst mit dem Speichern umgesetzt.
Modus:	HTTP + HTTPS	Zu nutzender Modus
Proxy-Port:	80	Port für den Proxy des entsprechenden Servers
SSL-Proxy Port:	8443	Port für den SSL-Proxy des entsprechenden Servers
SSL-Zertifikat: Es sind nur Zertifikate mit privatem Schlüssel-Teil auswählbar	*.ttt-point.de	Zertifikat für den entsprechenden Server In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert. Diese Seite wird auf folgenden Seiten eingebunden UTM/APP/Reverse Proxy v11.7 (← Links) UTM/Changelog (← Links) Reverse-Proxy v11 (Weiterleitungsseite) (← Links) UTM (← Links) UTM/APP/Reverse Proxy v12.1 (← Links) UTM/AUTH/Verschlüsselung (← Links) UTM/AUTH/Verschlüsselung v12.3.6 (← Links) UTM/APP/Reverse Proxy v12.6 (← Links) UTM/APP/Reverse Proxy v12.3 (← Links) UTM/APP/Reverse Proxy v12.7 (← Links) UTM/AUTH/Verschlüsselung v12.6.0 (← Links) UTM/APP/Reverse Proxy v14.0.1 (← Links) UTM/APP/Reverse Proxy v14.1.2 (← Links) UTM/AUTH/Verschlüsselung v14.1.0 (← Links) UTM/Changelog v12 (← Links) Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten! notempty Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren! Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind Unsichere Zertifikate sollten dringend ausgetauscht werden! Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256 BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 \| Kapitel 2.3: RSA-Verschlüsselung Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus Betroffene Anwendungen: OpenVPN Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S) Clientzertifikat bei S2S ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten) Mailrelay Relaying "Zertifikat" (unter TLS Verschlüsselung als Server) Reverse-Proxy Einstellungen → SSL-Zertifikat Webserver Netzwerk → Serveinstellungen → Webserver → Zertifikat HTTP-Proxy SSL-Interception → CA-Zertifikat
Websocket Timeout: notempty Neu ab v12.7.0	60	Legt die Zeit für einen Websocket Timeout fest
Zertifikatsbasierte Authentifizierung aktivieren Zertifikatsbasierte Authentifizierung aktivieren notempty aktualisiert
SSL-CA:	CA ttt-point.de	Zertifikat für die zertifikatsbasierte Authentifizierung Kann für nicht-öffentliche (Web-) Server aktiviert werden In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert. Diese Seite wird auf folgenden Seiten eingebunden UTM/APP/Reverse Proxy v11.7 (← Links) UTM/Changelog (← Links) Reverse-Proxy v11 (Weiterleitungsseite) (← Links) UTM (← Links) UTM/APP/Reverse Proxy v12.1 (← Links) UTM/AUTH/Verschlüsselung (← Links) UTM/AUTH/Verschlüsselung v12.3.6 (← Links) UTM/APP/Reverse Proxy v12.6 (← Links) UTM/APP/Reverse Proxy v12.3 (← Links) UTM/APP/Reverse Proxy v12.7 (← Links) UTM/AUTH/Verschlüsselung v12.6.0 (← Links) UTM/APP/Reverse Proxy v14.0.1 (← Links) UTM/APP/Reverse Proxy v14.1.2 (← Links) UTM/AUTH/Verschlüsselung v14.1.0 (← Links) UTM/Changelog v12 (← Links) Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten! notempty Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren! Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind Unsichere Zertifikate sollten dringend ausgetauscht werden! Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256 BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 \| Kapitel 2.3: RSA-Verschlüsselung Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus Betroffene Anwendungen: OpenVPN Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S) Clientzertifikat bei S2S ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten) Mailrelay Relaying "Zertifikat" (unter TLS Verschlüsselung als Server) Reverse-Proxy Einstellungen → SSL-Zertifikat Webserver Netzwerk → Serveinstellungen → Webserver → Zertifikat HTTP-Proxy SSL-Interception → CA-Zertifikat

Import persönlicher Zertifikate

notempty

Neu im Wiki

Damit die Funktion Zertifikatsbasierte Authentifizierung aktivieren korrekt genutzt werden kann, muss das persönliche Zertifikat im verwendeten Browser vorliegen.

Import in den Zertifikatsspeicher von Windows (für z.B. Edge)

ausblenden

Klicken für dauerhafte Anzeige

Abb.1

Den Ordner mit der Zertifikatsdatei aufrufen und die Datei anklicken.

Abb.2

Im Zertifikatimport-Assistenten wird die Option "Current User" ausgewählt und mit "Next" bestätigt.

Abb.3

Im Eingabefeld Dateiname wird die zu importierende Zertifikatsdatei angezeigt. Über "Next" startet das nächste Dialogfenster.

Abb.4

Das Eingabefeld "Password" erwartet das gleiche Passwort, das beim Herunterladen der Zertifikatsdatei vergeben wurde. Es empfiehlt sich, die Optionsfelder "Mark this key as exportable" und "Include all extended properties" auszuwählen, für den Fall, dass das persönliche Zertifikat später aus dem Browser exportiert werden soll. Abschließend wird die Schaltfläche "Next" ausgewählt.

Abb.5

Im nächsten Schritt des Zertifikatimport-Assistenten wird die Option "Automatically select the certificate store ..." gesetzt und mit "Next" bestätigt.

Abb.6

Der "Zertifikatimport-Assistent" zeigt eine Zusammenstellung der getroffenen Einstellungen an. Der Import des persönlichen Zertifikats wird über "Finish" ausgeführt.

Abb.7

Der Importvorgang war erfolgreich.

Firefox - Persönliches Zertifikat importieren (Ubuntu)

ausblenden

Klicken für dauerhafte Anzeige

Firefox kann auch mit dem Konfigurationseintrag "security.enterprise_roots.enabled = true" dazu gebracht werden, dass der Windows Zertifikatspeicher verwendet wird und der GPO verteil werden kann.

Abb.1

Aus dem Anwendungsmenü wird der Top Einstellungen selektiert.

Abb.2

Aus dem linken Fensterbereich wird die Kategorie "Datenschutz & Sicherheit" ausgewählt. Im rechten Fensterbereich muss bis zum Punkt "Zertifikate" gegangen werden. Dort kann die Schaltfläche "Zertifikate anzeigen ..." ausgewählt werden.

Abb.3

In der Zertifikatverwaltung wird auf die Karteikarte "Ihre Zertifikate" gewechselt. Momentan ist die Liste leer, da bislang keine persönlichen Zertifikate importiert wurden. Jetzt wird die Schaltfläche "Importieren" ausgewählt.

Abb.4

Zertifikatsdatei aussuchen und über die Schaltfläche "Öffnen" startet dann der Importdialog.

Abb.5

Das Eingabefeld "Passwort" erwartet das gleiche Passwort, das beim Herunterladen der Zertifikatsdatei vergeben wurde.

Abb.6

In der Zertifikatverwaltung wird das importierte persönliche Zertifikat nun auf der Karteikarte angezeigt. Mit "OK" wird die Zertifikatverwaltung geschlossen.

Chrome - Persönliches Zertifikat importieren (Ubuntu)

ausblenden

Klicken für dauerhafte Anzeige

Abb.1

Aus dem Anwendungsmenü wird der Top "Einstellungen" selektiert.

Abb.2

Aus dem linken Fensterbereich wird die Kategorie "Datenschutz & Sicherheit" ausgewählt.

Abb.3

Herunterscrollen bis zum Bereich "Erweitert" und hier "Zertifikate verwalten" wählen.

Abb.4

Schaltfläche "Importieren" auswählen.

Abb.5

Zertifikatsdatei aussuchen und über die Schaltfläche "Öffnen" startet dann der Importdialog.

Abb.6

Das Eingabefeld "Passwort" erwartet das gleiche Passwort, das beim Herunterladen der Zertifikatsdatei vergeben wurde. Mit "Ok" bestätigen.

Abb.7

Das Zertifikat wird nun angezeigt und der Vorgang ist beendet.

@@ Zeile 4: / Zeile 4: @@
 {{:UTM/APP/Reverse_Proxy.lang}}
+{{var	| neu--ACl Sets Update
+		| Formulierungen und Beispiele der [[#ACL_Sets|ACL-Sets]] wurden aktualisiert
+		| The wording and examples for [[#ACL_Sets|ACL sets]] have been updated }}
 {{var	| neu--Netzwerkobjekte suchfunktion
 		| [[#Schritt_1_-_Intern|Netzwerkobjekte können durchsucht]] werden
-		|  }}
+		| [[#Step_1_-_Internal|Network objects can be searched]] }}
 {{var	| neu--ACL-Argumente
 		| [[#Argumente|ACL-Argumente]] werden jetzt auf Zulässigkeit geprüft
-		|  }}
+		| [[#Argumente|ACL arguments]] are now being checked for admissibility }}
 {{var	| neu--Zertifikate-deprecated
 		| Hinweis zu den [[#deprecated|aktuellen Zertifikats-Anforderungen]] hinzugefügt
-		|  }}
+		| Added a note regarding the [[#deprecated|current certificate requirements]] }}
 {{var	| neu--SNI hinzugefügt
-		| Der Reverse Proxy kann nun auch [[#Site_hinzufügen | SNI durchreichen]]
+		| Der Reverse Proxy kann nun auch [[#Site_hinzufügen|SNI durchreichen]]
-		|  }}
+		| The reverse proxy can now also [[#Add_site|pass through SNI]] }}
 {{var	| neu--Servergruppen und Sites in einer Tabelle
 		| [[#Servergruppen_und_Sites|Servergruppen und Sites]] werden in einer gemeinsamen Tabelle angezeigt
-		|  }}
+		| [[#Server_groups_and_Sites|Server groups and sites]] are displayed in a common table }}
 {{var	| neu--ACL case-sensitiv
-		| [[#ACL_Sets |Regex-Ausdrücke der ACL-Sets können Groß- und Kleinschreibung berücksichtigen/ignorieren]]
+		| Regex-Ausdrücke der ACL-Sets können [[#ACL_Sets |Groß- und Kleinschreibung berücksichtigen/ignorieren]]
-		| [[#ACL_Sets |Regex expressions of the ACL sets can consider/ignore upper and lower case]] }}
+		| Regex expressions of the ACL sets can [[#ACL_Sets |consider/ignore upper and lower case]] }}
 {{var	| neu--Hinweis dstdomain
-		| Hinweis, das Sites mindestens ein [[#acl_sets | ACL Set mit ''dstdomain'']] beinhalten müssen
+		| Hinweis, das Sites mindestens ein [[#ACL_Sets | ACL Set mit ''dstdomain'']] beinhalten müssen
-		|  }}
+		| Note that sites must include at least one [[#ACL_Sets| ACL set with ''dstdomain'']] }}
 {{var	| Neu im Wiki
@@ Zeile 42: / Zeile 45: @@
 * {{#var:neu--ACL case-sensitiv}} <small>(v14.1.0)</small>
 * {{#var:neu--Hinweis dstdomain}} <small>(v14.1.0)</small>
+| zuletzt=10.2026
+* {{#var:neu--ACl Sets Update}}
 |[[UTM/APP/Reverse_Proxy_v14.1.2 | 14.1.2]]
 [[UTM/APP/Reverse_Proxy_v14.0.1 | 14.0.1]]
@@ Zeile 50: / Zeile 55: @@
 [[UTM/APP/Reverse_Proxy v11.7 | 11.7]]
 |{{Menu-UTM|Anwendungen|Reverse-Proxy}}
 }}
 ----
@@ Zeile 71: / Zeile 77: @@
 * {{#var:Vorbereitungen--desc}}
 <div class="Einrücken">
-{{Einblenden| {{#var:User Webinterface Port ändern}} | {{#var:hide}} |dezent|true|id=Webinterfaceport}}
+{{Sp-einblenden| {{#var:User Webinterface Port ändern}} | {{#var:hide}} |dezent|true|id=Webinterfaceport}}
 {{Bild| {{#var:User Webinterface Port ändern--Bild}} |||{{#var:Servereinstellungen}}|{{#var:Netzwerk}}|icon=fa-save|class=Bild-t}}
 {{#var:User Webinterface Port ändern--desc}}
 <li class="list--element__alert list--element__warning">{{#var:User Webinterface Port--Regelhinweis}}</li>
-{{Button-dialog||fa-save|hover={{#var:Speichern}} }}</div></div></span>
+{{Button-dialog||fa-save|hover={{#var:Speichern}} }}</div>
 <div class="Einrücken"><span id=deprecated><p>{{Zertifikate-deprecated}}</p></span></div>
 <br clear=all>
@@ Zeile 100: / Zeile 106: @@
 {{h4|{{#var:Mehrere IP-Adressen unterschiedlich nutzen}} }}
-{{Hinweis-box|{{#var:neu ab}} 05.2025:|gr|05.2025|status=neu}}
 {{Hinweis-box|{{#var:Mehrere IP-Adressen--Hinweis}}|gr}}
-{{Einblenden3|{{#var:Konkrete Regeln für mehrere IP-Adressen anzeigen}}|{{#var:hide}}|true|dezent}}
+{{Sp-einblenden|{{#var:Konkrete Regeln für mehrere IP-Adressen anzeigen}}|{{#var:hide}} }}
 {| class="sptable2 Paketfilter pd5 tr--bc__white zh1"
 |- class="bold small no1cell"
@@ Zeile 111: / Zeile 116: @@
 | {{spc|drag|o|-}} || || {{spc|world|o|-}} internet || {{spc|interface|o|-}} external-interface-ip2 || {{spc|tcp|o|-}} https ||  || {{Logging-Slider}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||fa|class=fas fa-chart-bar|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
 |}
-</div></div></span>
+</div>
 </div>
@@ Zeile 319: / Zeile 324: @@
 |- class="noborder"
 | colspan="3" | {{#var:Sites--desc}}<br>
-{{Gallery3|collapsed=true|einblenden={{#var:ACL Sets mit und ohne destdom zeigen}}|ausblenden={{#var:hide}}|layout=dezent
+{{Gallery3|collapsed=true|Sp-einblenden={{#var:ACL Sets mit und ohne destdom zeigen}}|ausblenden={{#var:hide}}|layout=dezent
 	|{{#var:ACL Set ohne destdom--Bild}}|{{#var:ACL Set ohne destdom--cap}}|Abb1-header={{Dialog-header|{{#var:ACL Set bearbeiten}}|{{#var:Anwendungen}}|{{#var:Reverse-Proxy}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
 	|{{#var:ACL Set mit destdom--Bild}}|{{#var:ACL Set mit destdom--cap}}|Abb2-header={{Dialog-header|{{#var:ACL Set bearbeiten}}|{{#var:Anwendungen}}|{{#var:Reverse-Proxy}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
@@ Zeile 335: / Zeile 340: @@
 | {{b|{{#var:Servergruppe}}:}} || {{Button|servergroup-www.ttt-point.de|dr|class=available}} || {{#var:Servergruppe--desc}}
 |-
-| {{b|{{#var:Client-Bandbreite}}:}} || {{ic|0|c|class=mw8}} kbits/s || {{#var:Client-Bandbreite--desc}}
+| {{b|{{#var:Client-Bandbreite}}:}} || {{ic|80|c|class=mw8}} kbits/s || {{#var:Client-Bandbreite--desc}}
 |-
 | rowspan="3" | {{b|{{#var:Lastverteilung}}:}} || {{Button|round-robin|dr|class=available}} || {{#var:Lastverteilung-round-robin--desc}}
@@ Zeile 345: / Zeile 350: @@
 | {{b|{{#var:HTTP umleiten}}:}}<br> <small>{{#var:HTTP umleiten--Bemerkung}}</small> || {{ButtonAus|{{#var:nein}} }} || {{#var:HTTP umleiten--desc}}
 |-
-| {{b|Websockets:}} || {{ButtonAus|{{#var:aus}} }} || {{#var:Websockets--desc}}
+| {{b|Websockets:}} || {{ButtonAus|{{#var:aus}} }} || {{#var:Websockets--desc}}{{info|{{#var:Websockets detail--desc}} }}
 |-
-| {{b|{{#var:SNI aktivieren}} }}{{Hinweis-box|{{#var:neu ab}}: 14.1.2|gr|14.1.2|status=neu}} || {{ButtonAn|{{#var:ein}} }} || {{#var:SNI aktivieren--desc}} {{info|{{#var:SNI Info}} }}
+| {{b|{{#var:SNI aktivieren}} }} || {{ButtonAn|{{#var:ein}} }} || {{#var:SNI aktivieren--desc}} {{info|{{#var:SNI Info}} }}
 |-
-| {{b|{{#var:Site-spezifischer Proxy Port}}:}} || {{ButtonAn|{{#var:ein}} }} {{ic|80|c|class=mw6}}<br><small>'''Default: {{#var:aus}}'''</small> || {{#var:Site-spezifischer Proxy Port--desc}}
+| {{b|{{#var:Site-spezifischer Proxy Port}}:}} || {{ButtonAn|{{#var:ein}} }} {{ic|80|c|class=mw6}}<br><small>'''Default: {{#var:aus}}'''</small> || {{#var:Site-spezifischer Proxy Port--desc}}{{info|{{#var:Site-spezifischer Wert--info}} }}
 |-
-| {{b|{{#var:Site-spezifischer SSL-Proxy Port}}:}} || {{ButtonAn|{{#var:ein}} }} {{ic|8443|c|class=mw6}}<br><small>'''Default: {{#var:aus}}'''</small> || {{#var:Site-spezifischer SSL-Proxy Port--desc}}
+| {{b|{{#var:Site-spezifischer SSL-Proxy Port}}:}} || {{ButtonAn|{{#var:ein}} }} {{ic|8443|c|class=mw6}}<br><small>'''Default: {{#var:aus}}'''</small> || {{#var:Site-spezifischer SSL-Proxy Port--desc}}{{info|{{#var:Site-spezifischer Wert--info}} }}
 |-
-| {{b|{{#var:Site-spezifisches SSL-Zertifikat}}:}} || {{ButtonAus|{{#var:aus}} }} || {{#var:Site-spezifisches SSL-Zertifikat--desc}}
+| {{b|{{#var:Site-spezifisches SSL-Zertifikat}}:}} || {{ButtonAus|{{#var:aus}} }} || {{#var:Site-spezifisches SSL-Zertifikat--desc}}{{info|{{#var:Site-spezifischer Wert--info}} }}
 |- class="Leerzeile"
 |
@@ Zeile 384: / Zeile 389: @@
 	| {{#var:Kombinationsbeispiel Schritt 2--Bild}}|{{#var:Kombinationsbeispiel Schritt 2--desc}}|Abb2={{#var:Kombinationsbeispiel Schritt}} 2 | Abb2-header={{Dialog-header|{{#var:ACLSet hinzufügen}}|{{#var:Anwendungen}}|Reverse-Proxy|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
 	| {{#var:Kombinationsbeispiel Schritt 3--Bild}}|{{#var:Kombinationsbeispiel Schritt 3--desc}}|Abb3={{#var:Kombinationsbeispiel Schritt}} 3 | Abb3-header={{Dialog-header|{{#var:Site bearbeiten}}|{{#var:Anwendungen}}|Reverse-Proxy|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
-| i=2 | einblenden={{#var:Allow und Deny Kombinationsbeispiel}} | ausblenden={{#var:hide}} | layout=bigdezent | collapsed=true }}
+| i=2 | Sp-einblenden={{#var:Allow und Deny Kombinationsbeispiel}} | ausblenden={{#var:hide}} | layout=bigdezent | collapsed=true }}
 |- class="Leerzeile"
 |
@@ Zeile 412: / Zeile 417: @@
 |
 |-
-! {{#var:Typ}} !! {{#var:desc}} !! {{#var:Beispiel Argument}}
+! class=mw9 | {{#var:Typ}} !! {{#var:desc}} !! {{#var:Beispiel Argument}}
 | class="Bild" rowspan="13" | {{Bild| {{#var:ACL Sets--Bild}} |{{#var:ACL Sets--cap}}||{{#var:ACL hinzufügen}}|{{#var:Anwendungen}}|Reverse-Proxy|{{#var:ACL Set hinzufügen}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}<br>
 {{Bild | {{#var:ACL Set Regex--Bild}} | {{#var:ACL Set Regex--cap}} }}
@@ Zeile 424: / Zeile 429: @@
 | {{Button|req_header|dr|class=available}} || {{#var:req_header--desc}} || {{#var:req_header--bsp}}
 |-
-| {{Button|src|dr|class=available}} || {{#var:src--desc}} || 203.0.103.203 ''oder'' 203.0.103.203/32
+| {{Button|src|dr|class=available}} || {{#var:src--desc}} || 203.0.103.203 ''{{#var:oder}}'' 203.0.103.203/32
 |-
 | {{Button|srcdom_regex|dr|class=available}}<br> <small>{{#var:Nur bei squid-Engine}}</small> || {{#var:srcdom_regex--desc}} || anyideas
 |-
-| {{Button|srcdomain|dr|class=available}}<br> <small>{{#var:Nur bei squid-Engine}}</small> || {{#var:srcdomain--desc}} || anyideas.de ''oder'' *.anyideas.de
+| {{Button|srcdomain|dr|class=available}}<br> <small>{{#var:Nur bei squid-Engine}}</small> || {{#var:srcdomain--desc}} || anyideas.de ''{{#var:oder}}'' *.anyideas.de
 |-
-| {{Button|time|dr|class=available}} || {{#var:time--desc}} || M T W H F 9:00-17:00 {{Einblenden|{{#var:Days of the Week}}|{{#var:hide}}|dezent|true}}{{#var:Days of the Week--desc}}</div></div></span>
+| {{Button|time|dr|class=available}} || {{#var:time--desc}} || M T W H F 9:00-17:00 {{Sp-einblenden|{{#var:Days of the Week}}|{{#var:hide}} }}{{#var:Days of the Week--desc}}</div>
 |-
-| {{Button|urlpath_regex|dr|class=available}} || {{#var:urlpath_regex--desc}} || {{code|\/owa}} matcht auf ''ttt-point.de/owa''
+| {{Button|urlpath_regex|dr|class=available}} || {{#var:urlpath_regex--desc}} || {{#var:URL-Path-Regex--val}} {{Hinweis-box||gr|14.2.4|status=update}}
 |-
 | colspan="2" | {{b|{{#var:Groß- und Kleinschreibung beachten}} }} {{ButtonAn|{{#var:ja}} }}<br>{{Hinweis-box|{{#var:neu ab}} v14.1.0|gr|14.1.0|status=neu}} || {{#var:Groß- und Kleinschreibung beachten--desc}}
@@ Zeile 476: / Zeile 481: @@
 {{#var:Zertifikatsbasierte Authentifizierung aktivieren--desc}}
-{{Einblenden| {{#var:Import in den Zertifikatsspeicher von Windows}} | {{#var:hide}} |true|dezent}}
+{{Sp-einblenden| {{#var:Import in den Zertifikatsspeicher von Windows}} | {{#var:hide}} }}
 {{Gallery3 | {{#var:Windows Zertifikat download ordner--Bild}} | {{#var:Windows Zertifikat download ordner--desc}}
             | {{#var:Windows Zertifikatwizzard step 1--Bild}} | {{#var:Windows Zertifikatwizzard step 1--desc}}
@@ Zeile 485: / Zeile 490: @@
             | {{#var:Windows Zertifikat import successfull--Bild}} | {{#var:Windows Zertifikat import successfull--desc}}
 |Abb=true|i=3}}
-</div></div></span>
+</div>
-{{Einblenden| {{#var:Firefox - Persönliches Zertifikat importieren}} | {{#var:hide}} |true|dezent}}
+{{Sp-einblenden| {{#var:Firefox - Persönliches Zertifikat importieren}} | {{#var:hide}} }}
 <li class="list--element__alert list--element__hint">{{#var:Firefox--Hinweis}}</li>
 {{Gallery3 | {{#var:Ubuntu Firefox Einstellungen--Bild}} | {{#var:Ubuntu Firefox Einstellungen--desc}}
@@ Zeile 497: / Zeile 502: @@
             | {{#var:Ubuntu Firefox erfolgreich importiertes Zertifikat--Bild}} | {{#var:Ubuntu Firefox erfolgreich importiertes Zertifikat--desc}}
 |Abb=true|i=3}}
-</div></div></span>
+</div>
-{{Einblenden| {{#var:Chrome - Persönliches Zertifikat importieren (Ubuntu)}} | {{#var:hide}} |true|dezent}}
+{{Sp-einblenden| {{#var:Chrome - Persönliches Zertifikat importieren (Ubuntu)}} | {{#var:hide}} }}
 {{Gallery3 | {{#var:Ubuntu Chrome Einstellungen--Bild}} | {{#var:Ubuntu Chrome Einstellungen--desc}}
             | {{#var:Ubuntu Chrome Datenschutz und Sicherheit--Bild}} | {{#var:Ubuntu Chrome Datenschutz und Sicherheit--desc}}
@@ Zeile 509: / Zeile 514: @@
             | {{#var:Ubuntu Chrome Import erfolgreich--Bild}} | {{#var:Ubuntu Chrome Import erfolgreich--desc}}
 |Abb=true|i=3}}
-</div></div></span>
+</div>
 <br clear=all></div>
 ----

Aktuelle Version vom 21. Oktober 2026, 07:12 Uhr

Verwendungszweck

Voraussetzungen

Vorbereitungen

Paketfilter-Regel

Mehrere IP-Adressen unterschiedlich nutzen

Einrichtungsassistent

Schritt 1 - Intern

Schritt 2 - Extern

Schritt 3 - Extern (Global)

Schritt 4 - Authentifizierung

Servergruppen und Sites

Servergruppe hinzufügen

Server hinzufügen

Sites

Site hinzufügen

Kombinationsbeispiel

ACL Sets

Einstellungen

Zertifikatsbasierte Authentifizierung aktivieren

Import persönlicher Zertifikate