Wechseln zu:Navigation, Suche
Wiki

UTM/APP/HTTP Proxy-Captive Portal-lokal: Unterschied zwischen den Versionen

Aus Securepoint Wiki
Keine Bearbeitungszusammenfassung
KKeine Bearbeitungszusammenfassung
 
(14 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
{{DISPLAYTITLE:Captive Portal mit lokal generierten Zertifikaten}}
{{set_lang}}
= Einleitung =
Das Captive Portal leitet einen HTTP-Client in einem Netzwerk auf eine spezielle Webseite um, bevor dieser sich normal in das Internet verbinden kann. So muss die Annahme der Nutzungsbedingung erfolgen und kann eine zusätzliche Authentifizierung konfiguriert werden.


= Planung =
{{#vardefine:headerIcon|spicon-utm}}
Folgende Aspekte sollten vor der Konfiguration bedacht werden:
* Für welche Netze soll das Captive Portal konfiguriert werden?
* Wie und von wem werden die Nutzungsbedingungen geschrieben?
* Soll eine Authentifizierung stattfinden?
* Spricht etwas gegen die Konfiguration des Firewallnamen auf einen [https://de.wikipedia.org/wiki/Fully-Qualified_Host_Name FQHN]


= Umsetzung =


== FQHN der Firewall anpassen ==
{{var | local-cert
Der Hostname der Firewall sollte als FQHN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.
| Lokales Zertifikat erzeugen
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.
| Generate local certificate }}
Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, achten Sie bitte explizit auf den Eintrag Nameserver.
{{var | öocal-cert--text
| Die Landingpage des Captive Portals ist eine HTTPS-Website. Damit ein Browser diese Seite als Vertrauenswürdig einstufen kann, wird ein Zertifikat benötigt.
| The landing page of the captive portal is an HTTPS website. A certificate is required for a browser to classify this page as trustworthy. }}
{{var | local-cert--list-ca
| Unter {{Menu| Authentifizierung | Zertifikate | CA}} muss eine CA angelegt sein
| At {{Menu| Authentication | Certificates | CA}} a CA must be created }}
{{var | local-cert--list-CS
| Unter {{Menu| Authentifizierung | Zertifikate | Zertifikate}} muss ein '''Server-'''Zertifikat angelegt werden.
| At {{Menu| Authentication | Certificates | Certificates}} a '''Server-''' certificate must be created. }}
{{var | local-cert--list-hint
| Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann.
| A separate certificate should be created for the captive portal so that it can be revoked if necessary without affecting other connections or applications. }}
{{var | link-cert
| Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen.
| How to create a certificate on the UTM can be read [[UTM/AUTH/Zertifikate | here]]. }}


== DNS-Server eintragen ==
[[Datei:CP_servereinstellunge.png| thumb| 450px|<font size=1>Servereinstellungen - FQHN & DNS-Server</font>]]
Als primären Nameserver tragen Sie bitte den Localhost (hier 127.0.0.1) ein. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.
<br><br><br><br>
<br><br><br><br>
<br><br><br><br>
<br><br><br><br>
<br>
== Zertifikate erstellen ==
[[Datei:Captiveportal zertifikat.png| thumb| 450px|<font size=1>Zertifikate - extern & lokal</font>]]
Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.
Ist der Erwerb eines solchen Zertifikats keine Option muss ein solches lokal auf dem Gerät erzeugt werden.
Bei der lokalen Generierung des Zertifikats muss entweder der Common Name dem Hostnamen der Firewall entsprechen, oder, so eine konsistente Namensgebung der Zertifikate auf der Firewall dies verhindert, der Hostname der Firewall als Alias des Typs DNS eingetragen werden.
<br><br><br><br>
<br><br><br><br>
<br><br><br><br>
<br><br><br><br>
<br>


== ggf. Gruppe anlegen ==
</div>{{DISPLAYTITLE:Captive Portal mit einem lokal generierten Zertifikat}}{{Select_lang}}{{TOC2}}
[[Datei:CP gruppe.png| thumb| 450px|<font size=1>Benutzer - Gruppe anlegen & Rechte vergeben</font>]]
{{:UTM/APP/HTTP_Proxy-Captive_Portal_extern-lokal}}
Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen 'HTTP-Proxy' erstellt werden. Die Gruppe kann auf Wunsch und bestehender Integration in ein Active Directory auch auf einen im AD zu generierende Gruppe gemappt werden.


== Implizite Regeln ==


== Nameserver ==
=== {{#var:local-cert| Lokales Zertifikat erzeugen }} ===
<p>{{#var:öocal-cert--text| Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. }} </p>
* {{#var:local-cert--list-ca| Unter {{Menu| Authentifizierung | Zertifikate | CA}} muss eine CA angelegt sein }}
* {{#var:local-cert--list-CS| Unter {{Menu| Authentifizierung | Zertifikate | Zertifikate}} muss ein '''Server-'''Zertifikat angelegt werden. }} {{Info | {{#var:local-cert--list-hint| Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann. }}}}


== Captive Portal ==
{{#var:link-cert| Wie ein Zertifikat auf der UTM erstellt werden kann, ist [[UTM/AUTH/Zertifikate | hier]] zu lesen. }}


== Webfilter ==


== Checkliste ==
----
 
{{:UTM/APP/HTTP_Proxy-Captive_Portal_extern-lokal2}}

Aktuelle Version vom 11. Februar 2020, 11:46 Uhr

































De.png
En.png
Fr.png







































Konfiguration des Captive-Portal

Letzte Anpassung zur Version: 11.8.7


Neu:

  • Artikel aktualisiert
  • Übersetzung auf englisch
  • Regel für HTTPS mit SLL-Interception hinzugefügt

Vorherige Versionen: -

Servereinstellungen

Servereinstellungen - FQDN & DNS-Server

Menü → Netzwerk →Servereinstellungen Reiter Servereinstellungen

Firewallname anpassen

Der Firewallname sollte als FQDN definiert sein. (Im Beispiel portal.anyideas.de)
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.

Firewall
Firewallname portal.anyideas.de FQDN-konformer Firewallname

DNS-Server eintragen

Als primärer Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangenheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.

DNS-Server
Primärer Nameserver 127.0.0.1 Localhost
Sekundärer Nameserver 8.8.8.8 Möglicher Nameserver: google-public-dns-a.google.com



Lokales Zertifikat erzeugen

Die Landingpage des Captive Portals ist eine HTTPS-Website. Damit ein Browser diese Seite als Vertrauenswürdig einstufen kann, wird ein Zertifikat benötigt.

  • Unter → Authentifizierung →ZertifikateReiter CA muss eine CA angelegt sein
  • Unter → Authentifizierung →ZertifikateReiter Zertifikate muss ein Server-Zertifikat angelegt werden.
    Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann.

Wie ein Zertifikat auf der UTM erstellt werden kann, ist hier zu lesen.


UTM/APP/HTTP Proxy-Captive Portal extern-lokal2

Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-lokal&oldid=69017“