UTM/APP/HTTP Proxy-Captive Portal-lokal

Einleitung

Das Captive Portal leitet einen HTTP-Client in einem Netzwerk auf eine spezielle Webseite um, bevor dieser sich normal in das Internet verbinden kann. So muss die Annahme der Nutzungsbedingung erfolgen und kann eine zusätzliche Authentifizierung konfiguriert werden.

Planung

Folgende Aspekte sollten vor der Konfiguration bedacht werden:

• Für welche Netze soll das Captive Portal konfiguriert werden?
• Wie und von wem werden die Nutzungsbedingungen geschrieben?
• Soll eine Authentifizierung stattfinden?
• Spricht etwas gegen die Konfiguration des Firewallnamen auf einen FQHN

Umsetzung

FQHN der Firewall anpassen

Der Hostname der Firewall sollte als FQHN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein. Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt. Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, achten Sie bitte explizit auf den Eintrag Nameserver.

DNS-Server eintragen

Servereinstellungen - FQHN & DNS-Server

Als primären Nameserver tragen Sie bitte den Localhost (hier 127.0.0.1) ein. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.

Zertifikate erstellen

Zertifikate - extern & lokal

Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen. Ist der Erwerb eines solchen Zertifikats keine Option muss ein solches lokal auf dem Gerät erzeugt werden. Bei der lokalen Generierung des Zertifikats muss entweder der Common Name dem Hostnamen der Firewall entsprechen, oder, so eine konsistente Namensgebung der Zertifikate auf der Firewall dies verhindert, der Hostname der Firewall als Alias des Typs DNS eingetragen werden.

ggf. Gruppe anlegen

Benutzer - Gruppe anlegen & Rechte vergeben

Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen 'HTTP-Proxy' erstellt werden. Die Gruppe kann auf Wunsch und bestehender Integration in ein Active Directory auch auf einen im AD zu generierende Gruppe gemappt werden.