Wechseln zu:Navigation, Suche
Wiki
Markierung: Neue Weiterleitung
 
K (Weiterleitung auf UTM/AUTH/Verschlüsselung v12.1 entfernt)
Markierung: Weiterleitung entfernt
Zeile 1: Zeile 1:
#WEITERLEITUNG [[UTM/AUTH/Verschlüsselung v12.1]]
{{Set_lang}}
 
{{#vardefine:headerIcon|spicon-utm}}
{{:UTM/AUTH/Verschlüsselung.lang}}
 
{{var | neu--Hinweis Reverse-Proxy
| Hinweis zum Verschlüsselungsziel beim [[#Reverse-Proxy | Reverse-Proxy]]
| Note on the encryption target at the [[#Reverse-Proxy | Reverse Proxy]] }}
{{var | neu--cipher aktualisiert
| Default-Cipher für SSL-VPN aktualisiert
|  }}
{{var | neu-- TLS1.3 für SSL-VPN
| Cipher für TLS 1.3 bei SSL-VPN separat konfigurierbar
|  }}
{{var | neu--Grafik aktualisiert
| Aktualisierung des Ablauf-Diagramms
|  }}
 
</div>{{Select_lang}}{{TOC2|Bild={{#var:Schema--Bild}}|class=width-xxl noborder}}
{{Header|12.3.6|
* {{#var:neu--Grafik aktualisiert}}
* {{#var:neu--cipher aktualisiert}}
* {{#var:neu-- TLS1.3 für SSL-VPN}}
* {{#var:neu--Hinweis Reverse-Proxy}}
|[[UTM/AUTH/Verschlüsselung_v12.1 | 12.1]]
[[UTM/AUTH/Verschlüsselung_v11.8.2 | 11.8.2 ]]
[[UTM/AUTH/Verschlüsselung_11.6 | 11.6 ]]
}}
 
----
<!-- {{ pt3 | {{#var:Schema--Bild}} | {{#var:Schema--cap}} }} -->
=== {{#var:intro| Einleitung}} ===
<div class="Einrücken">
{{#var:intro-text| In diesem Menü wird definiert, mit welchem Verschlüsselungsprotokoll die Anwendungen auf der UTM angesprochen werden sollen.
 
 
Die von Securepoint gewählten Grundeinstellungen gelten zur Zeit als sicher und sind auf Kompatibilität geprüft. <br>
Wenn ein höheres Schutzbedürfnis besteht, können die Einstellungen im Menü {{Menu | Authentifizierung | Verschlüsselung }} geändert werden (Jargon: härten). }}
 
 
* {{#var:grundeinstellungen| Im Reiter {{Reiter | Global}} werden die Grundeinstellungen angezeigt.}}
* {{#var:überschreiben| Mit {{ Beschriftung | Standardwerte überschreiben:}} {{ ButtonAn| {{#var:ein}} }} können diese Werte '''für alle Anwendungen''' überschrieben werden.}}
* {{#var:changes| die im Reiter {{Reiter| Global }} vorgenommenen Änderungen wiederum können  für jede Anwendung separat überschrieben werden.}}
* {{#var:global-übernehmen| Die Einstellungen in den Menüs der Anwendungen können die Globalen Werte (teilweise) übernehmen, indem {{Button|Wert vom GLOBAL-Tab übernehmen|dr}} ausgewählt wird.}}
 
 
{{#var:schema| Die Grafik rechts stellt die Abhängigkeit von den Einstellungen einer Anwendung zur Globalen Einstellung anhand des Protokolls SSL v3 dar.}}
</div>
<br clear=all>
 
 
=== {{#var:encryption| Verschlüsselung}} ===
<div class="Einrücken">
 
{{#var:enc-menu| Die Einstellungen werden vorgenommen im Menu {{ Menu | Authentifizierung | Verschlüsselung }}}}
</div>
{| class="sptable2 pd5 zh1 Einrücken"
|-
| colspan="3" class="Leerzeile" | {{h4 | {{#var:global| Global}} | {{ Reiter | {{#var:global|Global}} }} }}
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| rowspan="6" class="bild width-l" | {{ bild | {{#var:reiter-global| UTM_v11-8_Authentifizierung_Verschlüsselung_Global.png}} | {{#var:reiter-global-cap| Globale Verschlüsselungs-Einstellungen}} }}
|-
| {{ Beschriftung | {{#var:Standardwerte-überschreiben| Standardwerte überschreiben:}} }} || {{ ButtonAus | {{#var:nein}} }} || {{#var:standard-desc| Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden.}}
|-
| {{ Beschriftung | {{#var:tls-min| Minimale TLS Version:}} }} || {{Button | {{#var:tls-button| Auswahl TLS-Version}} |dr}} || {{#var:tls-global-min-desc}}<br><small>''' Default:''' {{Button|1.2|dr|class=mw4}}</small>
|-
| {{ Beschriftung | {{#var:tls-max| Maximale TLS Version:}} }} || {{Button | {{#var:tls-button | Auswahl TLS-Version}} |dr}} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.3|dr|class=mw4}}</small>
|-
| {{ Beschriftung |  {{#var:dh-key| DH Key Size:}} }} ||  {{ Button | 2048 | dr | w=190px }} || {{#var:dh-key-desc| Die Länge des Diffie-Hellmann Schlüssels kann auf  {{ Hover | 2048 Bit }} oder  4096 Bit eingestellt werden.}}
|-
| rowspan="2" | {{ Beschriftung | {{#var:cipher| Cipher-Suite:}} }} || {{ic| |cb|class=available}}<!-- <span class="ui-icon ui-icon-grip-diagonal-se"></span> --> || {{#var:cipher-desc| Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.}}
|-
| {{ic| {{#var:Standardwert verwenden}} |cb}} || {{#var:Standardwert Global Cipher--desc}}
|-
| colspan="3" class="Leerzeile" | <br>{{ h4 | Webserver | {{ Reiter | Webserver }} }}
|-
| {{ Beschriftung | {{#var:Standardwerte-überschreiben}} }} || {{ ButtonAus | {{#var:nein}} }} || {{#var:standard-desc|Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden.}}  || rowspan="6" class="bild width-l" | {{ bild | {{#var:bild-webserver| UTM_v11-8_Authentifizierung_Verschlüsselung_Webserver.png}} |{{#var:bild-webserver-desc|  Verschlüsselungseinstellungen für Webserver-Verbindungen}} }}
|-
| {{ Beschriftung | {{#var:tls-min|Minimale TLS Version:}} }} || {{Button | {{#var:tls-button| Auswahl TLS-Version}} |dr}} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.2|dr|class=mw4}}</small>
|-
| {{ Beschriftung | {{#var:tls-max|Maximale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}} | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.3|dr|class=mw4}}</small>
|-
| {{ Beschriftung |  {{#var:dh-key|DH Key Size:}} }} || {{ Button | 2048 | dr | w=190px }} || {{#var:dh-key-desc| Die Länge des Diffie-Hellmann Schlüssels kann auf  {{ Hover | 2048 Bit }} oder  4096 Bit eingestellt werden.}}
|-
| {{ Beschriftung |  ECDH 384 Bit: }} || {{ ButtonAn | {{#var:ein|Ein}} }} || {{#var:ecdh-desc| Verwendet das Elliptic Curve Diffie-Hellman-Verfahren mit 384 Bit zur Schlüsselberechnung.}}
|-
| {{ Beschriftung | {{#var:cipher|Cipher-Suite:}} }} || {{ic| |class=available|Anw=UTM}} || {{#var:cipher-desc|Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.}}<br>'''{{#var:default| Standardwert:}} '''<br>{{ Code | ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS;}}
|-
| colspan="3" class="Leerzeile" |<br> {{h4 | SSL-VPN | {{ Reiter | SSL-VPN }} }}<!-- <br>{{#var:ssl-vpn-zusatz| Globale Einstellung der Control-Verbindung:}}-->
|-
| {{ Beschriftung | {{#var:Standardwerte-überschreiben}} }} || {{ ButtonAus | {{#var:nein}} }} || {{#var:standard-desc|Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden.}}  || rowspan="6" class="bild width-l" | {{ bild | {{#var:ssl-vpn-bild| UTM_v11-8_Authentifizierung_Verschlüsselung_SSL-VPN.png}} | {{#var:ssl-vpn-bild-cap| Verschlüsselung für SSL-VPN}} }}
|-
| {{ Beschriftung | {{#var:tls-min|Minimale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}}  | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.2|dr|class=mw4}}</small>
|-
| {{ Beschriftung | {{#var:tls-min|Maximale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}} | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.3|dr|class=mw4}}</small>
|-
| {{ Beschriftung |  {{#var:dh-key|DH Key Size:}} }} ||  {{ Button | 2048 | dr | w=190px }} || {{#var:dh-key-desc|Die Länge des Diffie-Hellmann Schlüssels kann auf  {{ Hover | 2048 Bit }} oder  4096 Bit eingestellt werden.}}
|-
| {{b|{{#var:cipher TLS-1.3}} }} || {{ic| |class=available}} || {{#var:cipher TLS-1.3--desc}}<br>
'''{{#var:def|Standardwert:}} ''' {{Hinweis-neu|{{#var:neu im Wiki}}|12.4|status=neu}}
<p>{{ Code | TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_CCM_SHA256:TLS_AES_128_CCM_8_SHA256}} </p>
|-
| {{ Beschriftung | {{#var:cipher|Cipher-Suite:}} }} || {{ic | |class=available}} || {{#var:cipher-desc|Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.}}<br>
'''{{#var:def|Standardwert:}} ''' {{Hinweis-neu|{{#var:aktualisiert}}|12.4|status=update}}
<p>{{ Code | ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS}} </p>
|-
| colspan="3" class="Leerzeile" | <br>{{ h4 | Mailrelay | {{ Reiter | Mailrelay }} }}
|-
| {{ Beschriftung | {{#var:Standardwerte-überschreiben}} }} || {{ ButtonAus | {{#var:nein}} }} || {{#var:standard-desc| Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden.}} || rowspan="5" class="bild width-l" | {{ bild | {{#var:mailralay-bild| UTM_v11-8-2_Authentifizierung_Verschlüsselung_Mailrelay.png}} | {{#var:mailrelay-bild-cap| Verschlüsselungseinstellungen für Verbindungen über das Mailrelay}} }}
|-
| {{ Beschriftung | {{#var:tls-min|Minimale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}}  | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.2|dr|class=mw4}}</small><br>{{Hinweis|!|gelb}} {{#var:tls-hinweis| Soll TLS erzwungen werden, erfolgt die Einstellung unter {{ Menu | Anwendungen | Mailrelay | Relaying }}.}}
|-
| {{ Beschriftung | {{#var:tls-max|Maximale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}} | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.3|dr|class=mw4}}</small>
|-
| {{ Beschriftung |  {{#var:dh-key|DH Key Size:}} }} ||  {{ Button | 2048 | dr | w=190px }} || {{#var:dh-key-desc|Die Länge des Diffie-Hellmann Schlüssels kann auf  {{ Hover | 2048 Bit }} oder  4096 Bit eingestellt werden.}}
|-
| {{ Beschriftung | {{#var:cipher|Cipher-Suite:}}  }} || {{ic | |class=available}} || {{#var:cipher-desc|Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden. }}<br>
'''{{#var:def|Standardwert:}} '''
<p>{{ Code | ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS}}</p>
|-
| colspan="3" class="Leerzeile" | <br>{{ h4 | Reverse-Proxy | {{ Reiter | Reverse-Proxy }} }}<p>{{Hinweis-neu| !! {{#var:Reverse Proxy Server--Hinweis}}|g|class=top}}
|-
| {{ Beschriftung | {{#var:Standardwerte-überschreiben}} }} || {{ ButtonAus | {{#var:nein}} }} || {{#var:standard-desc|Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden.}}  || rowspan="6" class="bild width-l" | {{ bild | {{#var:reverse-proxy-bild| UTM_v11-8_Authentifizierung_Verschlüsselung_Reverse-Proxy.png}} | {{#var:reverse-proxy-bild-cap| Verschlüsselung für Reverse Proxy}} }}
|-
| {{ Beschriftung | {{#var:tls-min|Minimale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}}  | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.2|dr|class=mw4}}</small>
|-
| {{ Beschriftung | {{#var:tls-max|Maximale TLS Version:}} }} || {{Button | {{#var:tls-button|Auswahl TLS-Version}} | dr | w=190px }} || {{#var:tls-global-min-desc}} <br><small>''' Default:''' {{Button|1.3|dr|class=mw4}}</small>
|-
| {{ Beschriftung |  {{#var:dh-key|DH Key Size:}} }} ||  {{ Button | 2048 | dr | w=190px }} || {{#var:dh-key-desc|Die Länge des Diffie-Hellmann Schlüssels kann auf  {{ Hover | 2048 Bit }} oder  4096 Bit eingestellt werden.}}
|-
| {{ Beschriftung | {{#var:cipher|Cipher-Suite:}} }} || {{ic | |class=available}} || {{#var:cipher-desc|Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.}}<br>
'''{{#var:def|Standardwert:}} '''
<p>{{code| ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS }}</p>
|}
<br clear=all>
 
=== {{#var:restore| Speichern / Wiederherstellen}} ===
<div class="Einrücken">
{{#var:restore-text| Über die Schaltfläche {{ Button | ⤺ Zurücksetzen}}  werden die Einstellung in dem gerade geöffneten Bereich wieder auf die Globalen-Werte zurückgesetzt.
 
Wird ''Standardwerte überschreiben'' wieder deaktiviert, werden die Einstellung in dem gerade geöffneten Bereich wieder auf die Standard-Werte der einzelnen Applikation zurückgesetzt.}}
 
{{ Hinweis-neu | !! {{#var:restore-hint-change| Das Verändern der Standardvorgaben kann dazu führen, dass nicht mehr alle Ziel-Systeme für alle Benutzer zur Verfügung stehen. Zum Beispiel wenn diese ältere Clients oder Webbrowser verwenden, die die verlangten Verschlüsselungen nicht unterstützen.}} }}
 
<p>{{ Hinweis-neu | ! {{#var:restore-hint-save| Beim Speichern der neuen Einstellungen werden die Dienste neu gestartet. §Das hat beim Webserver die Folge, dass sich der Administrator und/oder Benutzer des UTM Webinterface neu anmelden müssen.}} | gelb }}</p>
</div>
----
 
=== CLI ===
<div class="Einrücken">
{{#var:cli-text| Die Einstellungen, die im Webinterface vorgenommen werden sind auf dem {{hover|CLI|Command Line Interface}} über die nachfolgenden Befehle sichtbar.}}
</div>
 
==== {{#var:cli-global| Globale Einstellungen}} ====
<div class="Einrücken">
extc value get application "securepoint_firewall"
 
 
{{#var:cli-global-result| Das Ergebnis sollte ähnlich wie folgt aussehen:}}
application        |variable                      |value
--------------------+-------------------------------+-----
securepoint_firewall|ANONYMIZELOGS                  |1   
                    |CIPHER_LIST                    |   
                    |CLUSTERADVBASE                |2   
                    |CLUSTERDEADRATIO              |15 
                    |CLUSTERPREEMTIVE              |0   
                    |CLUSTER_ID                    |1   
                    |CLUSTER_SECRET                |secret
                    |CRYPTO_OVERRIDE                |0   
                    |DHPARAM_LENGTH                |2048
                    |DHPARAM_LENGTH_DEFAULT        |2048
                    |ECDHE_CURVE                    |secp384r1
                    |FULLCONENAT_ZONE_DST          |external
                    |FULLCONENAT_ZONE_SRC          |internal
                    |HTTP_TRANSPARENT_EXCEPTION_LIST|   
                    |HTTP_TRANSPARENT_LIST          |LAN2
                    |IPCONNTRACK                    |32000
                    |LANG                          |en_US
                    |LASTRULE_LOGGING              |2   
                    |POP3_TRANSPARENT_EXCEPTION_LIST|   
                    |POP3_TRANSPARENT_LIST          |LAN2
                    |PPPOE_LCP_ECHO                |1  
                    |TLS_VERSION_MAX                |1.3 
                    |TLS_VERSION_MAX_DEFAULT        |1.3 
                    |TLS_VERSION_MIN                |1.2
                    |TLS_VERSION_MIN_DEFAULT        |1.2 
                    |UPDATE_TRIGGER_DELAY          |2   
                    |USE_ECDHE                      |1   
                    |USE_OTP                        |0 
 
 
{{#var:cli-global-variable| Um hier den Wert einer einzelnen Variablen zu ändern, kann folgender Befehl verwendet werden. Geändert wird der Wert der Variablen TLS_VERSION_MIN.}}
 
extc value set application "securepoint_firewall" variable "TLS_VERSION_MIN" value 1.1
{{#var:cli-global-variable-change| Die Änderung erfolgt in diesem Bereich:}}
                    |TLS_VERSION_MAX                |1.3 
                    |TLS_VERSION_MAX_DEFAULT        |1.3 
<span style="color:red">                    |TLS_VERSION_MIN                |1.1 </span>
                    |TLS_VERSION_MIN_DEFAULT        |1.2
</div>
 
==== {{#var:cli-app| Einzelne Anwendungen}} ====
<div class="Einrücken">
{{#var:cli-app-text| Die Verschlüsselung der '''einzelnen Anwendungen''' können mit demselben Befehl ausgeführt werden. Lediglich der Name der Anwendung muss ausgetauscht werden. Zur Verfügung stehen folgende Anwendungen:}}
 
extc value get application "webserver"
extc value get application "openvpn"
extc value get application "smtpd"
extc value get application "squid-reverse"
 
 
{{#var:cli-app-change| Änderungen, die auf dem CLI durchgeführt werden, müssen mit einem Neustart der jeweiligen Anwendung aktiviert werden. Der Befehl dazu lautet:}}
 
appmgmt restart application "[{{#var:cli-app-name| Name der Anwendung}}]"
</div>

Version vom 2. Mai 2023, 10:28 Uhr
































De.png
En.png
Fr.png








Verschlüsselungs-Algorythmen der UTM
Letzte Anpassung zur Version: 12.3.6
Neu:
  • Aktualisierung des Ablauf-Diagramms
  • Default-Cipher für SSL-VPN aktualisiert
  • Cipher für TLS 1.3 bei SSL-VPN separat konfigurierbar
  • Hinweis zum Verschlüsselungsziel beim Reverse-Proxy
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

12.1 11.8.2 11.6



Einleitung

In diesem Menü wird definiert, mit welchem Verschlüsselungsprotokoll die Anwendungen auf der UTM angesprochen werden sollen. Die von Securepoint gewählten Grundeinstellungen gelten zur Zeit als sicher und sind auf Kompatibilität geprüft.
Wenn ein höheres Schutzbedürfnis besteht, können die Einstellungen im Menü Authentifizierung Verschlüsselung geändert werden (Jargon: härten).


  • Im Bereich Global werden die Grundeinstellungen angezeigt
  • Mit Standardwerte überschreiben Ein können die Default Einstellungen von Openssl für alle folgenden Anwendungen überschrieben werden:
    • Webserver
    • SSL-VPN
    • Mailrelay
    • Reverse-Proxy (Clients)
  • Diese im Reiter Global vorgenommenen Änderungen wiederum können für jede Anwendung separat überschrieben werden
  • Dort können anwendungsspezifische Vorgaben konfiguriert werden.
    Einzelne Einstellungen können jedoch wieder die globalen Werte übernehmen, indem Wert vom GLOBAL-Tab übernehmen ausgewählt wird.


Die Grafik stellt die Abhängigkeit von den Einstellungen einer Anwendung zur Globalen Einstellung anhand der Minimalen TLS Version 1.1 dar.
Für alle in der Grafik gezeigten Einstellungen gilt: TLS 1.0 wird nicht zugelassen. TLS 1.2 & TLS 1.3 wird zugelassen.



Verschlüsselung

Die Einstellungen werden vorgenommen im Menu → Authentifizierung →Verschlüsselung

Global

Global
Beschriftung Wert Beschreibung UTM v11-8 Authentifizierung Verschlüsselung Global.png
Globale Verschlüsselungs-Einstellungen
Standardwerte überschreiben: Nein Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden.
Minimale TLS Version: Auswahl TLS-Version
Default: 1.2
Maximale TLS Version: Auswahl TLS-Version
Default: 1.3
DH Key Size: 2048 Die Länge des Diffie-Hellmann Schlüssels kann auf 2048 Bit oder 4096 Bit eingestellt werden.
Cipher-Suite:     Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.
Standardwert verwenden Wird kein Wert angegeben, wird der Standardwert der jeweiligen Anwendung (s.u.) verwendet

Webserver

Webserver
Standardwerte überschreiben: Nein Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden. UTM v11-8 Authentifizierung Verschlüsselung Webserver.png
Verschlüsselungseinstellungen für Webserver-Verbindungen
Minimale TLS Version: Auswahl TLS-Version
Default: 1.2
Maximale TLS Version: Auswahl TLS-Version
Default: 1.3
DH Key Size: 2048 Die Länge des Diffie-Hellmann Schlüssels kann auf 2048 Bit oder 4096 Bit eingestellt werden.
ECDH 384 Bit: Ein Verwendet das Elliptic Curve Diffie-Hellman-Verfahren mit 384 Bit zur Schlüsselberechnung.
Cipher-Suite:     Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.
Standardwert:
ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS;

SSL-VPN

SSL-VPN
Standardwerte überschreiben: Nein Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden. UTM v11-8 Authentifizierung Verschlüsselung SSL-VPN.png
Verschlüsselung für SSL-VPN
Minimale TLS Version: Auswahl TLS-Version
Default: 1.2
Minimale TLS Version: Auswahl TLS-Version
Default: 1.3
DH Key Size: 2048 Die Länge des Diffie-Hellmann Schlüssels kann auf 2048 Bit oder 4096 Bit eingestellt werden.
TLS 1.3 Cipher Suite     Ggf. Einschränkungen der Cipher-Suites, die für TLS 1.3 verwendet werden sollen
Standardwert
Neu im Wiki

TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_CCM_SHA256:TLS_AES_128_CCM_8_SHA256

Cipher-Suite:     Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.
Standardwert
aktualisiert

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS


Mailrelay

Mailrelay
Standardwerte überschreiben: Nein Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden. UTM v11-8-2 Authentifizierung Verschlüsselung Mailrelay.png
Verschlüsselungseinstellungen für Verbindungen über das Mailrelay
Minimale TLS Version: Auswahl TLS-Version
Default: 1.2
Soll TLS erzwungen werden, erfolgt die Einstellung unter → Anwendungen →MailrelayReiter Relaying.
Maximale TLS Version: Auswahl TLS-Version
Default: 1.3
DH Key Size: 2048 Die Länge des Diffie-Hellmann Schlüssels kann auf 2048 Bit oder 4096 Bit eingestellt werden.
Cipher-Suite:     Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.

Standardwert

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS


Reverse-Proxy

Reverse-Proxy

Diese TLS Einstellungen gelten für die Verbindung zwischen dieser Appliance und den Clients.

Die TLS Einstellungen zwischen den Servern (die über den Reverse-Proxy erreicht werden sollen) und dieser Appliance werden unter Anwendungen Reverse-Proxy konfiguriert. Siehe Wiki zum Reverse-Proxy.

Standardwerte überschreiben: Nein Wird diese Funktion aktiviert, können die Einstellungen für die Protokolle verändert werden. UTM v11-8 Authentifizierung Verschlüsselung Reverse-Proxy.png
Verschlüsselung für Reverse Proxy
Minimale TLS Version: Auswahl TLS-Version
Default: 1.2
Maximale TLS Version: Auswahl TLS-Version
Default: 1.3
DH Key Size: 2048 Die Länge des Diffie-Hellmann Schlüssels kann auf 2048 Bit oder 4096 Bit eingestellt werden.
Cipher-Suite:     Im Feld Cipher-Suite können die gewünschten Verschlüsselungen und Modi definiert werden.

Standardwert

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS


Speichern / Wiederherstellen

Über die Schaltfläche Zurücksetzen werden die Einstellung in dem gerade geöffneten Bereich wieder auf die Globalen-Werte zurückgesetzt. Wird Standardwerte überschreiben wieder deaktiviert, werden die Einstellung in dem gerade geöffneten Bereich wieder auf die Standard-Werte der einzelnen Applikation zurückgesetzt.

Das Verändern der Standardvorgaben kann dazu führen, dass nicht mehr alle Ziel-Systeme für alle Benutzer zur Verfügung stehen. Zum Beispiel wenn diese ältere Clients oder Webbrowser verwenden, die die verlangten Verschlüsselungen nicht unterstützen.

Beim Speichern der neuen Einstellungen werden die Dienste neu gestartet.
Das hat beim Webserver die Folge, dass sich der Administrator und/oder Benutzer des UTM Webinterface neu anmelden müssen.


CLI

Die Einstellungen, die im Webinterface vorgenommen werden sind auf dem Command Line Interface über die nachfolgenden Befehle sichtbar.

Globale Einstellungen

extc value get application "securepoint_firewall"


Das Ergebnis sollte ähnlich wie folgt aussehen:

application         |variable                       |value
--------------------+-------------------------------+----- 
securepoint_firewall|ANONYMIZELOGS                  |1    
                    |CIPHER_LIST                    |     
                    |CLUSTERADVBASE                 |2    
                    |CLUSTERDEADRATIO               |15   
                    |CLUSTERPREEMTIVE               |0    
                    |CLUSTER_ID                     |1    
                    |CLUSTER_SECRET                 |secret
                    |CRYPTO_OVERRIDE                |0    
                    |DHPARAM_LENGTH                 |2048 
                    |DHPARAM_LENGTH_DEFAULT         |2048 
                    |ECDHE_CURVE                    |secp384r1
                    |FULLCONENAT_ZONE_DST           |external
                    |FULLCONENAT_ZONE_SRC           |internal
                    |HTTP_TRANSPARENT_EXCEPTION_LIST|     
                    |HTTP_TRANSPARENT_LIST          |LAN2 
                    |IPCONNTRACK                    |32000
                    |LANG                           |en_US
                    |LASTRULE_LOGGING               |2    
                    |POP3_TRANSPARENT_EXCEPTION_LIST|     
                    |POP3_TRANSPARENT_LIST          |LAN2 
                    |PPPOE_LCP_ECHO                 |1    
                    |TLS_VERSION_MAX                |1.3  
                    |TLS_VERSION_MAX_DEFAULT        |1.3  
                    |TLS_VERSION_MIN                |1.2 
                    |TLS_VERSION_MIN_DEFAULT        |1.2  
                    |UPDATE_TRIGGER_DELAY           |2    
                    |USE_ECDHE                      |1    
                    |USE_OTP                        |0   


Um hier den Wert einer einzelnen Variablen zu ändern, kann folgender Befehl verwendet werden. Geändert wird der Wert der Variablen TLS_VERSION_MIN.

extc value set application "securepoint_firewall" variable "TLS_VERSION_MIN" value 1.1

Die Änderung erfolgt in diesem Bereich:

                    |TLS_VERSION_MAX                |1.3  
                    |TLS_VERSION_MAX_DEFAULT        |1.3  
                    |TLS_VERSION_MIN                |1.1  
                    |TLS_VERSION_MIN_DEFAULT        |1.2

Einzelne Anwendungen

Die Verschlüsselung der einzelnen Anwendungen können mit demselben Befehl ausgeführt werden. Lediglich der Name der Anwendung muss ausgetauscht werden. Zur Verfügung stehen folgende Anwendungen:

extc value get application "webserver"
extc value get application "openvpn"
extc value get application "smtpd"
extc value get application "squid-reverse"


Änderungen, die auf dem CLI durchgeführt werden, müssen mit einem Neustart der jeweiligen Anwendung aktiviert werden. Der Befehl dazu lautet:

appmgmt restart application "[Name der Anwendung]"