KKeine Bearbeitungszusammenfassung |
KKeine Bearbeitungszusammenfassung |
||
Zeile 307: | Zeile 307: | ||
| {{b | {{#var:81|Ziel:}} }} || {{ Button | internet | dr }} | | {{b | {{#var:81|Ziel:}} }} || {{ Button | internet | dr }} | ||
|- | |- | ||
| | | class="Leerzeile" | | ||
|- | |||
|+ {{Button|{{#var:82|Speichern}} }}<br><br> | |||
{{#var:83|Für den Zugriff auf https-Seiten muss zusätzlich im Reiter {{Reiter | SSL-Interception}} die {{b| SSL-Interception }} {{ButtonAn|Ein}} aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)}}</td></tr><tr> | {{#var:83|Für den Zugriff auf https-Seiten muss zusätzlich im Reiter {{Reiter | SSL-Interception}} die {{b| SSL-Interception }} {{ButtonAn|Ein}} aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)}}</td></tr><tr> | ||
|- | |- |
Version vom 11. Februar 2020, 11:26 Uhr
ggf. Gruppe anlegen
Menü Gruppen Schaltfläche Reiter Berechtigungen
Soll eine Authentifizierung der User am Captive Portal erfolgen, muss im nächsten Schritt eine Gruppe mit der dafür benötigten Berechtigung HTTP-Proxy Ein erstellt werden.
Hier wird erklärt, wie eine Benutzergruppe angelegt werden kann.
Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.
Implizite Regeln
Menü Ein Captive Portal
Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.
Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.
Einstellungen im Captive Portal
Menü Captive Portal
Reiter
Beschriftung | Wert | Beschreibung |
---|---|---|
Captive Portal: | Ein | Dieser Schalter aktiviert oder deaktiviert das Captive Portal |
Authentifizierung: | Ein | Zertifikat: |
Zertifikat: | Bitte das oben erwähnte Zertifikat auswählen. | |
Maximale Verbindungszeit: | 1800 | Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von notwendig. |
Hostname der Portalseite: | portal.anyideas.de | Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen. Bei einem Wildcardzertifikat muss der Hostname der Antwort auf eine DNS-Anfrage des Clients entsprechen. |
Port der Portalseite: | 8085 | Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden. |
Netzwerkobjekte: | wlan-0-network (wlan0) | In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, die auf die Landingpage umgeleitet werden sollen. |
Nutzungsbedingungen: | Nutzungsbedingungen/Terms of Use | Hier müssen eigene Nutzungsbedingungen aufgeführt werden. Aus Haftungsgründen können wir diese leider nicht bereitstellen. Wir empfehlen aus den gleichen Gründen, einen Anwalt hinzu zu ziehen. |
Nameserver
Menü Zonen
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.
Forward-Zone hinzufügen
Schaltfläche
Der zu vergebende Zonenname entspricht dem FQDN der Firewall.
Im Beispiel portal.anyideas.de.
Als Hostname des Nameservers wird localhost verwendet.
Das Feld der IP-Adresse kann leer gelassen werden.
Forward-Zone bearbeiten
Der soeben erstellten Zone wird folgender Eintrag hinzu gefügt
Beschriftung | Wert | Beschreibung |
---|---|---|
Name: | portal.anyideas.de | FQDN der Firewall |
Typ: | A-Record | |
Wert | 192.168.100.1 | IP der Schnittstelle (hier wlan0 ) |
Transparenter Modus
Menü Transparenter Modus
Für den Zugriff auf das Internet über den benötigten HTTP-Proxy ist mindestens eine Regel notwendig (HTTP), besser zwei (zusätzlich HTTPS)
Beschriftung | Wert |
---|---|
Protokoll: | |
Typ: | |
Quelle: | |
Ziel: | |
Protokoll: | |
Typ: | |
Quelle: | |
Ziel: |
Portfilter
Im Portfilter sind zwei weitere Regeln erforderlich:
1. Regel Quelle: |
captive_portal |
Ziel: |
internet |
Dienst |
default-internet |
[–] NAT
| |
Typ: |
|
Netzwerkobjekt |
|
2. Regel | |
Quelle: |
wlan-0-network |
Ziel: |
wlan-interface |
Dienst |
proxy |
Webfilter
Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist ohne Regel im Portfilter ein Zugriff auf z.B. interne Webserver möglich.Folgende Schritte sind durchzuführen:
mit Authentifizierung
- Netzwerkobjekte Schaltfläche
Erstellen einer Gruppe (z.B. grp_CP_webfilter), die das wlan-0-network-Netzwerkobjekt beinhaltet
Reiter - Schaltfläche
- Netzwerk- oder Benutzergruppe: Die neu erstellte Gruppe wählen
- webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll
- Aktion auf blockieren belassen
neu generierten Regelsatz bearbeiten
ohne Authentifizierung
- Schaltfläche
- Die Gruppe der Benutzer wählen
- webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll
- Aktion auf blockieren belassen
neu generierten Regelsatz bearbeiten