Wechseln zu:Navigation, Suche
Wiki

UTM/APP/Captive Portal: Unterschied zwischen den Versionen

Aus Securepoint Wiki
(Die Seite wurde neu angelegt: „{{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{:UTM/APP/Captive_Portal.lang}} </div>{{DISPLAYTITLE:{{#var:display}}}}{{TOC2}} {{:UTM/APP/Captive_Portal…“)
 
KKeine Bearbeitungszusammenfassung
 
(3 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 5: Zeile 5:
{{:UTM/APP/Captive_Portal.lang}}
{{:UTM/APP/Captive_Portal.lang}}


</div>{{DISPLAYTITLE:{{#var:display}}}}{{TOC2}}
</div><!-- {{DISPLAYTITLE:{{#var:display}}}} --><div class="new_design"></div>{{TOC2}} {{Select_lang}}
{{:UTM/APP/Captive_Portal_extern-lokal}}
{{:UTM/APP/Captive_Portal_extern-lokal}}


Zeile 15: Zeile 15:
<div class="Einrücken notocnumber">
<div class="Einrücken notocnumber">
{{#var:ACME-Zertifikat erstellen--desc}}
{{#var:ACME-Zertifikat erstellen--desc}}
<li class="list--element__alert list--element__warning">{{#var:ACME-Zertifikat--Hinweis-Wildcard}}</li>


{{Einblenden| {{#var:Details anzeigen}} | {{#var:hide}} | true | dezent }}
{{Einblenden| {{#var:Details anzeigen}} | {{#var:hide}} | true | dezent }}

Aktuelle Version vom 7. Mai 2024, 08:13 Uhr











































De.png
En.png
Fr.png




























































Konfiguration des Captive-Portal
Letzte Anpassung: 12.2.0
Wurde mit v12.2 aktualisiert, Dokumentation erfolgt mit einer v12.6.0
Neu:
  • Es sind keine Änderungen an den Servereinstellungen mehr erforderlich
  • Es können ACME-Wildcard-Zertifikate für die Landingpage verwendet werden
Zuletzt aktualisiert: 
    05.2024: Aktualisierung zum Redesign des Webinterfaces
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

Vorbemerkung

Das Captive Portal leitet einen HTTP-Client in einem Netzwerk auf eine spezielle Webseite (sog. Landingpage) um, bevor dieser sich normal in das Internet verbinden kann. So muss die Annahme der Nutzungsbedingung erfolgen und es kann eine zusätzliche Authentifizierung konfiguriert werden.


  • Ab Version 12 kann die UTM ACME Zertifikate verwalten. (Let's Encrypt)
    Es wird empfohlen entweder ein ACME-Zertifikat oder ein käuflich erworbenes Zertifikat von einer offiziellen CA (oder ein bereits vorhandenes Wildcardzertifikat) für das Captive Portal zu verwenden, um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.

    • Planung

    Folgende Aspekte sollten vor der Konfiguration bedacht werden:

    • Für welche Netze soll das Captive Portal konfiguriert werden?
      Werden ausschließlich alle potentiellen Nutzer erreicht?
    • Wie und von wem werden die Nutzungsbedingungen geschrieben?
    • Soll eine Authentifizierung stattfinden?
    • Welche internen Webserver dürfen aus dem Netz hinter dem Captive Portal nicht erreicht werden?



    Für eine Nutzung des Captive Portals müssen nur wenige Vorbereitungen getroffen werden:

    1. Es muss ein Zertifikat für die Landingpage zur Verfügung stehen
    2. Implizite und Portfilteregeln müssen den Zugriff erlauben

    Ein Ändern des Firewallnamens ist seit v12 nicht mehr erforderlich.
    Der Hostname der Portalseite wird unter Anwendungen Captive Portal  Bereich Allgemein konfiguriert.


    Zertifikat bereit stellen

    ACME-Zertifikat erstellen

    Um ACME Zertifikate (Let's Encrypt) nutzen zu können sind folgende Schritte erforderlich:

    • ACME Dienst aktivieren
    • ACME Challenge Token auf spDyn generieren
    • Zertifikat anlegen
    • SAN mit dem spDyn Hostnamen und dem Token hinzufügen
    • Zertifikat erstellen
  • Für die Verwendung mit dem Captive Portal sind Wildcard-Zertifikate erforderlich!














    • S























































































































    Authentifizierung Zertifikate  Bereich ACME


    Beschriftung Wert Beschreibung Zertifikate UTMbenutzer@firewall.name.fqdnAuthentifizierung UTM v12.6 Zertifikate ACME Nameserver.png
    Aktiviert: Ja Aktiviert die Nutzung von ACME-Zertifikaten.
    Weitere Informationen siehe unten ACME Dienst aktivieren.
    Systemweite Nameserver für ACME-Challenges verwenden: Ja Sollten die Adressen für die Server zur Verlängerung der ACME-Challenges nicht über den systemweiten Nameserver aufgelöst werden können (z.B. wg. konfigurierter Relay- oder Foreward-Zonen) können bei Deaktivierung Nein alternative Nameserver eingetragen werden.
    Nameserver für ACME-Challenges:
    Bei deaktivierten systemweiten Nameserver für ACME-Challenges nutzbar    		 »85.209.185.50»85.209.185.51»2a09:9c40:1:53::1»2a09:9c40:1:53::2 Hier lassen sich die Nameserver für die ACME-Challenges eintragen.


    ACME Dienst aktivieren

    ACME Dienst aktivieren

    Um ACME Zertifikate nutzen zu können, muss dies unter Authentifizierung Zertifikate  Bereich ACME Aktiviert: Ja aktiviert werden.

    • Sobald der Dienst aktiviert wurde und dies mit
      gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.
    • Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter
      speichern.
    • Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.


    Token generieren

    Token generieren

    spDYN Für die Erzeugung der Zertifikate ist zunächst der ACME-Token im spDYN Portal zu generieren.
    Innerhalb des spDYN-Portals ist der entsprechende Host zu öffnen.

    • spDyn Host aufrufen
    • Im Dropdown Menü für Token den ACME Challenge Token wählen
    • Token generieren
      notempty
      Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.

      Der Token sollte notiert und sicher aufbewahrt werden.

    Verlängerung der ACME Zertifikate

    Verlängerung der ACME Zertifikate
    notempty
    Neu ab 12.4
     Die Verlängerung der ACME/Let's Encrypt Zertifikate findet über die verwendeten Nameserver, welche unter Authentizifierung Zertifikate  Bereich ACME (siehe oben) konfiguriert werden, statt.


    ACME-Zertifikate

    ACME-Zertifikate
    Nach Abschluss der vorherigen Schritte kann nun das eigentliche Zertifikat erzeugt werden. Ein Klick im Bereich Zertifikate auf ACME-Zertifikat hinzufügen öffnet den entsprechenden Dialog.
    Beschriftung Wert Beschreibung ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME hinzufuegen.pngACME-Zertifikat hinzufügen

    ACME-Zertifikat hinzufügen

    UTM Dialog Authentifizierung Zertifikate  Bereich Zertifikate  Schaltfläche ACME-Zertifikat hinzufügen
    Name acme_ttt-Point Name zur Identifizierung des Zertifikates
    Schlüssellänge: 2048 Schlüssellänge des Zertifikates. Mögliche Werte:
    ACME Account Let's Encrypt ACME Account der verwendet werden soll
    Subject Alternative Name konfigurieren mit SAN hinzufügen

    Subject Alternative Name hinzufügen

    Subject Alternative Name »ttt-point.spdns.org Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufgerufenen URL SAN hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME SAN.pngSubject Alternative Name hinzufügen
    »*.ttt-point.spdns.org
  • Es können auch Wildcard-SANs verwendet werden.
  • Für die Verwendung mit einem Captive Portal werden Wildcard-Zertifikate benötigt
    Wird für das Captive Portal im Nameserver eine Forward-Zone benötigt und für diese dann ein A-Record eingetragen, wird dieser nicht mehr im öffentlichen DNS aufgelöst.
    Die Überprüfung und Verlängerung eines ACME-Zertifikates auf diesen Namen schlägt dann fehl.
    • Alias ttt-point.spdns.org Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen.
    (Auch bei Wildcard-Domännen ohne * )
    Token ••••••••••••• Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf.
    zeigt den Token an.
    Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden

    Konfiguration prüfen

    Konfiguration prüfen
    Status Noch nicht geprüft Vor der eigentlichen Generierung des Zertifiaktes muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche Konfiguration prüfen. ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME SAN initialisiert.png
    initialisieren
    Initialisiert    		 Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert.
    Gültig Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt.
    DNS Fehler Mögliche Ursachen:
    • falscher Token
    • DNS Auflösung gestört
    • Zonen Weiterleitung im DNS konfiguriert
    • lokale DNS-Zone im DNS konfiguriert
    • Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen.
      • Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen
      • auf Bearbeiten klicken
      • Im Fenster auf +Eintrag hinzufügen klicken
      • unter Name: einen passenden Namen eintragen
      • bei Typ: CNAME auswählen
      • bei Wert: die Domaine eintragen
    Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN hinzufügen

    SAN für externe DNS-Zone hinzufügen

    Subject Alternative Name ttt-point.anyideas.org Der Subject Alternative Name (SAN) aus der externen DNS-Zone SAN hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME SAN extern.png
    Alias ttt-point.spdns.org Der Alias muss auch für die externe DNS auf den spDYN Namen lauten.
    DNS-Provider Beim DNS-Provider, der die externe Zone hostet (hier: ttt-point.anyideas.org) muss ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt werden und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!)
    Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus:
    _acme-challenge.mx.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org.
_acme-challenge.exchange.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org.

  • Der Hostname muss im öffentlichen DNS auflösbar sein.
    Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich.
  • Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können.
    notempty
    Ist die interne und die externe/öffentliche Domain identisch, sollte ein Wildcard-ACME-Zertifikat verwendet werden.
    Beispiel: Hostname für das Captive Portal: portal.ttt-point.de → ACME Zertifikat: *.ttt-point.de
    • Konfiguration prüfen Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche
    noch nicht betätigt wurde.    		 ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME SAN überprüft.png
    Status Gültig Sind alle benötigten SAN erfolgreich geprüft, kann das Zertifikat gespeichert werden. ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME SAN gültig.png
    		notempty
    Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden.
  • Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das Bestehende widerrufen werden.

    • Erstellung des ACME Zertifikates

    Erstellung des ACME Zertifikates
    		Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen.


    Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden.

    		Zertifikate UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate UTM v12.6 Zertifikate ACME SAN final.png

    Statuswerte

    Statuswerte
    Folgende Statuswerte können auftreten
    Status Beschreibung Hinweis / Fehlerbehandlung
    Gültig Das ACME Zertifikat ist gültig
    Noch nicht überprüft Das ACME Zertifikat muss noch überprüft werden
    Interner Fehler Ein interner Fehler ist aufgetreten Mögliche Ursachen:
    • Kaputte Hardware
    • Softwarefehler
    • Konfigurationsfehler
    Verbindungsfehler Keine Verbindung möglich/vorhanden Die Verbindungseinstellungen überprüfen
    Ungültig Das ACME Zertifikat ist ungültig und kann nicht verwendet werden
    DNS-Fehler Ein DNS-Fehler ist aufgetreten Mögliche Ursachen:
    • falscher Token
    • DNS Auflösung gestört
    • Zonen Weiterleitung im DNS konfiguriert
    • lokale DNS-Zone im DNS konfiguriert
    • Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen.
      • Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen
      • auf Bearbeiten klicken
      • Im Fenster auf +Eintrag hinzufügen klicken
      • unter Name: einen passenden Namen eintragen
      • bei Typ: CNAME auswählen
      • bei Wert: die Domaine eintragen
    Widerrufen Das ACME Zertifikat ist widerrufen worden Entweder wurde es manuell widerrufen, oder es hat seine Gültigkeit verloren. Zum Beispiel ist das ACME Zertifikat ausgelaufen und wurde nicht verlängert.
    Initialisieren Die Überprüfung des ACME Zertifikats wird eingeleitet Dies kann mehrere Minuten in Anspruch nehmen. Der Status wird regelmäßig aktualisiert.
    Aufgeschoben Die Überprüfung des ACME Zertifikats wird verschoben Die Aktualisierung des Status wird einige Zeit in Anspruch nehmen, da das Limit der Anfragen bereits erreicht wurde
    Initialisiert Das ACME Zertifikat wird überprüft Die Überprüfung des ACME Zertifikats wird eingeleitet

    Gekauftes Zertifikat

    Alternativ kann auch ein gekauftes Zertifikat importiert werden






































    Grundsätzlich bestehen hier zwei Optionen:

    • Ein Zertifikat für einen FQDN
      • in diesem Fall wäre der Common Name des Zertifikats portal.anyideas.de
    • Ein Wildcardzertifikat
      • in diesem Fall wäre der Common Name des Zertifikats *.anyideas.de


    1. Im ersten Schritt muss die, zusammen mit dem Zertifikat zur Verfügung gestellte CA, in die UTM importiert werden.
      Menü Authentifizierung Zertifikate  Bereich CA Schaltfläche CA importieren

    2. Anschließend wird der gleiche Schritt für das eigentliche Zertifikat wiederholt.
      Menü Authentifizierung Zertifikate  Bereich Zertifikate Schaltfläche Zertifikate importieren




















    Importformat

    Zertifikate und CAs, die in eine UTM importiert werden sollen, müssen im PEM-Format (Dateiendung meist .pem) oder PKCS12-Format (Dateiendung meist .p12 oder .pfx) vorliegen.

    Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:

    Zertifikat Befehl
    X509 zu PEM openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
    DER zu PEM openssl x509 -inform der -in certificate.cer -out certificate.pem
    P7B zu PEM openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem


    Fehlermeldung beim Import

    Beim Import kann es zur Fehlermeldung "The certificate format is not supported…" kommen.
    Passwortgeschützte Zertifikate im pkcs12-Format (.p12 , .pfx , .pkcs12) in Verbindung mit älteren Ciphern können diesen Fehler auslösen.

    Ein Import ist meist möglich, wenn im Reiter Allgemein notempty
    Neu ab v12.5.1
     die Option Veraltete kryptografische Algorithmen unterstützen Ein aktiviert wird. notempty
    Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!

    Möglichkeiten für den Import von Zertifikaten:

    • Zertifikat in *.pem umwandeln
      Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:
      openssl pkcs12 -in Zertifikat.pfx -out Zertifikat.pem -nodes
      Alternativ mithilfe eines Online-Dienstes

    • CLI Befehle, um Zertifikate-Import mit veralteten Ciphern in der UTM zu erlauben:
      extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
      appmgmt config application "securepoint_firewall"
      appmgmt config application "fwserver"
      system reboot
      notempty
      Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen! 
    cli> extc global get variable GLOB_ENABLE_SSL_LEGACY 
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|0  

cli> extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
OK

cli> extc global get variable GLOB_ENABLE_SSL_LEGACY
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|1

cli> appmgmt config application "securepoint_firewall"
cli> appmgmt config application "fwserver"

    Lokales Zertifikat

    Die UTM kann auch ein eigenes Zertifikat bereitstellen

































    • Unter Authentifizierung Zertifikate  Bereich CA muss eine CA angelegt sein
    • Unter Authentifizierung Zertifikate  Bereich Zertifikate muss ein Server-Zertifikat angelegt werden.
      Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann.

    Wie ein Zertifikat auf der UTM erstellt werden kann, ist hier zu lesen.


  • Da diese Zertifikat von einer eigenen CA erstellt wird, kann es von einem Browser nicht auf Echtheit überprüft werden.
    Der Nutzer erhält eine Warnmeldung, in der einmalig die Vertrauenswürdigkeit bestätigt werden muss.
    •




















































    Captive Portal Benutzer

    Captive Portal Benutzer
    Captive Portal Benutzer müssen sich, wenn sie sich mit einem entsprechend konfigurierten Netzwerk verbinden, authentifizieren und den Nutzungsbedingungen zustimmen. Erst danach wird der Netzzugang - gemäß den Portfilterregeln freigegeben. Benutzer UTMbenutzer@firewall.name.fqdnAuthentifikation UTM v12.6 Benutzer CP Benutzer.png
    notempty
    Firewall-Benutzer, die Mitglied einer Gruppe mit der Berechtigung Userinterface Adminstrator Ein sind ( Authentifizierung Benutzer  Bereich Guppen Schaltfläche ) können die Captive Portal Benutzerverwaltung über die Benutzerverwaltung (im Standard Port 443) erreichen



    Benutzer hinzufügen

    Benutzer hinzufügen

    Captive Portal Benutzer können verwaltet werden von:

    • Administratoren
    • Benutzern, die Mitglied einer Gruppe mit der Berechtigung Userinterface Administrator sind.
      Diese erreichen die Benutzerverwaltung über das Userinterface.
    Beschriftung Wert Beschreibung Captive Portal Benutzer hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifikationBenutzer Drucken und speichern UTM v12.6 Benutzer CP Benutzer hinzufuegen.png
    Anmeldename: user-VNK-JT4 Zufällig generierter Anmeldename.
    Einmal generierte Anmeldenamen lassen sich nach dem Speichern nicht mehr ändern.
    Passwort: BRU-NZE-TCY-LI3-QHE Zufällig generiertes Passwort
    Anmeldename und Passwort können mit der Schaltfläche neu generiert werden. Einaml gespeicherte Passöwrter lassen sich nicht erneut anzeigen.
    Ablaufdatum: yyyy-mm-dd hh:mm:ss Begrenzt die Gültigkeit der Zugangsdaten
    / Neu ab v12.2.2 Mit diesen Schaltflächen lässt sich das Ablaufdatum um 24 Stunden ab dem aktuellen Zeitpunkt verkürzen (-) oder verlängern (+)
    Drucken und speichern
    		 Speichert und schließt den Dialog, erzeugt eine html-Seite mit dem Usernamen und dem Passwort und öffnet den Druck-Dialog
    		Speichert die Angaben und schließt den Dialog.
  • Das Passwort läßt sich anschließend nicht mehr anzeigen. Es kann jedoch jederzeit ein neues Passwort erzeugt werden .
    		•  Schließt den Dialog, ohne Änderungen zu speichern.































    weggefallen mit v12.1:













    Entfall mit 12.1:











    neu ab v12:
































































    Implizite Regeln

    Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall UTM v12.6 Captive Portal extern-lokal2 Implizite Regeln.png Firewall - Implizite Regeln Menü Firewall Implizite Regeln Gruppe Ein Captive Portal

    Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
    Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.

    Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.



    Paketfilter

    Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter UTM v12.6 Captive Portal extern-lokal2 Packetfilter Regeln.png Firewall - Portfilter IP Im Portfilter ist eine Regel erforderlich, die den Zugriff der Captive Portal Benutzer auf das Internet ermöglicht.
    Alternativ kann auch in den Captive Portal Einstellungen mit der Schaltfläche im Bereich Allgemein eine autogenerierte any-Regel erzeugt werden.

    1. Regel
    Quelle: Ipsetgroup.svg captive_portal
    Ziel: World.svg internet
    Dienst: Service-group.svg default-internet
    [–] NAT
    Typ: HideNAT
    Netzwerkobjekt: external-interface

    Speichern
    Speichern und schließen

    Anschließend mit der Schaltfläche die

    Regeln aktualisieren


    Einstellungen im Captive Portal

    Menü Anwendungen Captive Portal

    Allgemein

    Beschriftung Wert Beschreibung Captive Portal UTMbenutzer@firewall.name.fqdnAnwendungen UTM v12.6 Captive Portal extern-lokal2 Allgemein.pngBereich Allgemein
    Captive Portal: Ein Dieser Schalter aktiviert oder deaktiviert das Captive Portal
    Implizite Regeln:

    		Zeigt grün, wenn die impliziten Regeln des Captive Portals aktiviert sind.
    Bei gelb werden diese Regeln nicht verwendet.
    Portfilter Regel: Zeigt grün, wenn Portfilterregeln für das Captive Portal existieren.

    		Mit der + Schaltfläche kann eine autogenerierte any-Regel erzeugt werden.
    Schöner, aber aufwendiger sind Regeln, die nur ein ausgewähltes Netz freigeben.
    Hostname der Portalseite: portal.anyideas.de Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.
    Bei einem Wildcardzertifikat muss der Hostname der Antwort auf eine DNS-Anfrage des Clients entsprechen.
    Zertifikat: ttt-Point (ACME) Bitte das oben erwähnte Zertifikat auswählen.
    Netzwerkobjekte: wlan-0-network (wlan0)  In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, die auf die Landingpage umgeleitet werden sollen.

    Erweitert

    Erweitert
    Authentifizierung: Ein Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden. UTM v12.6 Captive Portal extern-lokal2 Erweitert.png
    Bereich Erweitert
    Port der Portalseite: 8085Link= Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
    Maximale Verbindungszeit: 1800Link= Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.
    Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von notwendig.
    Zugriff auf interne Ziele erlauben: Nein Der Zugriff auf interne Netze über den HTTP-Proxy des Captive Portals wird verhindert.

    Designs

    Designs
    • Das Captive Portal kann und muss individuell angepasst werden.
    • In jedem Fall müssen die Nutzungsbedingungen angegeben werden.
    • Es kann für jede Sprache ein Design angelegt werden.
    • Es ist ausreichend, diejenigen Angaben einzutragen, die zum Fallback Design geändert sind.
    • Das Falbackdesign benötigt zwingend alle Angaben

      Aufruf mit der Schaltfläche zum Bearbeiten oder Design hinzufügen
    		 UTM v12.6 Captive Portal extern-lokal2 Design.png
    Bereich Designs

    Branding

    Aufruf mit der Schaltfläche zum Bearbeiten oder Design hinzufügen Design bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenCaptive Portal Werkseinstellungen UTM v12.6 Captive Portal extern-lokal2 Branding.pngBereich Branding

    Nutzungsbedingungen

    Nutzungsbedingungen: Nutzungsbedingungen/Terms of Use Hier müssen eigene Nutzungsbedingungen aufgeführt werden.
    Aus Haftungsgründen können wir diese leider nicht bereitstellen. Wir empfehlen aus den gleichen Gründen, einen Anwalt hinzu zu ziehen.     		UTM v12.6 Captive Portal extern-lokal2 Nutzungsbedingungen.png
    Bereich Nutzungsbedingungen

    Übersetzungen

    Übersetzungen für die Beschriftungen. Fehlt eine Übersetzung, wird der Wert der Default-Sprache verwendet. UTM v12.6 Captive Portal extern-lokal2 Uebersetzungen.png
    Bereich Übersetzungen


    Nameserver

    Menü Anwendungen Nameserver  Bereich Zonen
    Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.

    Forward-Zone hinzufügen

    Schaltfläche Forward-Zone hinzufügen

    • Der zu vergebende Zonenname entspricht der Landingpage des Captive Portals.
      Im Beispiel portal.anyideas.de.
    • Als Hostname des Nameservers wird localhost verwendet.
    • Das Feld der IP-Adresse kann leer gelassen werden.
    Forward-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Captive Portal extern-lokal2 Nameserver Schritt 1.png

    Schritt 1
    Zonenname portal.anyideas.de
    Forward-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Captive Portal extern-lokal2 Nameserver Schritt 2.png

    Schritt 2
    Nameserver Hostname loacalhost
    Forward-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Captive Portal extern-lokal2 Nameserver Schritt 3.png
    Schritt 3
    IP-Adresse kann leer gelassen werden














    Forward-Zone bearbeiten

    Zone bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Captive Portal extern-lokal2 Nameserver Forwardzone A.png Nameserver - A-Record mit IP-Adresse Der soeben erstellten Zone wird folgender Eintrag hinzu gefügt → Schaltfläche Eintrag hinzufügen  :

    Beschriftung Wert Beschreibung
    Name: portal.anyideas.de. FQDN der Zone für das Captive Portal
  • Mit . Punkt am Ende
    • Typ: A A-Record
    Wert: 192.168.100.1 IP der Schnittstelle, über die das Captive Portal erreicht werden soll (hier wlan0 )


    Transparenter Modus

    HTTP-Proxy UTMbenutzer@firewall.name.fqdnAnwendungen HTTP-Proxy Log UTM v12.6 Captive Portal extern-lokal2 Transparenter Modus.pngHTTP-Proxy - Transparenter Proxy Menü Anwendungen HTTP-Proxy  Bereich Transparenter Modus
    Für den Zugriff auf das Internet über den benötigten HTTP-Proxy ist mindestens eine Regel notwendig (HTTP), besser zwei (zusätzlich HTTPS)

    Schaltfläche Transparente Regel hinzufügen

    Beschriftung Wert
    Protokoll HTTP
    Typ include
    Quelle wlan-0-network
    Ziel internet


    Für den Zugriff auf https-Seiten muss zusätzlich im Bereich SSL-Interception
    die SSL-Interception Ein aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)

    Beschriftung Wert
    Protokoll HTTPS
    Typ include
    Quelle wlan-0-network
    Ziel internet


    Webfilter

    Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist ohne Regel im Portfilter ein Zugriff auf z.B. interne Webserver möglich.Folgende Schritte sind durchzuführen:

    mit Authentifizierung

    1. Firewall Paketfilter  Bereich Netzwerkobjekte  Schaltfläche Gruppe hinzufügen
      Erstellen einer Gruppe (z.B. grp_CP_webfilter), die das wlan-0-network-Netzwerkobjekt beinhaltet
    2. Anwendungen Webfilter Schaltfläche Profil hinzufügen
    3. Netzwerk- oder Benutzergruppe: grp_CP_webfilter Die neu erstellte Gruppe wählen Speichern
    4. neu generierten Regelsatz bearbeiten
      1. webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
      2. Aktion auf blockieren belassen

    ohne Authentifizierung

    1. Anwendungen Webfilter Schaltfläche Profil hinzufügen
    2. Die Gruppe der Benutzer wählen
    3. neu generierten Regelsatz bearbeiten
      1. webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
      2. Aktion auf blockieren belassen


    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/APP/Captive_Portal&oldid=91037“