UTM/APP/HTTP Proxy-Authentifizierung v11.7

Benutzer Authentifizierung am HTTP-Proxy

Neben dem transparenten Modus des HTTP-Proxy besteht auch die Möglichkeit, dass sich die Benutzer für die Internet Nutzung vorher Authentifizieren müssen. Diese Authentifizierung kann entweder gegen die Benutzerverwaltung der UTM oder eines Authentifizierungs-Server wie Active Directory, LDAP oder Radius erfolgen.

Zusätzliche Einstellungen

Proxy Einstellung im Browser

Proxy-Konfiguration im Browser

Um die Authentifizierung am HTTP-Proxy Nutzen zu können, ist es notwendig den Proxy im Browser einzutragen.
Wechseln sie dazu in die Verbindungs-Einstellungen ihres Web-Browsers, wählen dort die Manuelle Proxy-Konfiguration und tragen die IP Adresse der entsprechenden Schnittstelle der UTM ein.
Weiterhin tragen sie den Port ein, der ihnen unter HTTP-Proxy im Abschnitt Allgemein in der Zeile Proxy-Port angezeigt wird. Im Auslieferzustand der UTM handelt es sich um den Port 8080.

Damit auch Webseiten die per HTTPS aufgerufen werden über den Proxy geleitet werden, sagen Sie dem Browser noch, dass dieser Proxy-Server für alle Protokolle genutzt werden soll.

Portfilter Einstellungen

Im Auslieferzustand der UTM werden sie feststellen, dass es eine Portfilterregel gibt, die den Zugriff aus dem internen Netzwerk in das Internet mit allen Diensten (any) zulässt.
Da der eine oder andere Benutzer auf die Idee kommen könnte, die Proxy Einstellungen seines Browsers zu ändern um die Authentifizierung zu umgehen, sollten sie diese deaktivieren oder eine entsprechende Dienstgruppe anstatt any für diese Regel anlegen und auswählen.

Portfilter

Siehe auch Best Practice - Gute Firewall Konfiguration und Beschreibung der Funktionen im Portfilter

Authentifizierung über die Benutzerverwaltung der UTM

Benutzerverwaltung

Proxy-Nutzer Gruppe anlegen

Zunächst benötigen sie eine Benutzer Gruppe.

Dazu klicken sie in der Menüleiste auf Authentifizierung und auf Benutzer.
Wählen sie den Reiter Gruppen und klicken sie auf

Proxy-Gruppe

Geben sie dieser Gruppe einen Namen, die Berechtigung HTTP-Proxy und klicken sie auf

Wenn Sie später verschiedene Proxy-Nutzer unterschiedlich behandeln möchten, legen sie weitere Gruppen an.

Siehe dazu auch Webfilter konfigurieren.

Hinweis: Achten sie darauf im Gruppennamen keine Leerzeichen zu verwenden.

Benutzer anlegen

Benutzer

Als nächsten wechseln sie auf Benutzer und legen die Nutzer an. Klicken sie auf und tragen sie den Benutzernamen und das Passwort ein.

Benutzer mit Proxy-Gruppe

Nachdem sie das Passwort in der zweiten Zeile wiederholt haben, wechseln sie auf den Reiter Gruppen, wählen sie Proxy-Grp aus und klicken auf

Dieses wiederholen sie für jeden Proxy-Nutzer den sie anlegen, so dass jeder einen Namen und ein Passwort erhält.

Weiterführende Informationen zu Benutzer und Gruppen finden sie unter Benutzerverwaltung.

Authentifizierung im HTTP-Proxy aktivieren

Authentifizierung aktivieren

Um die Authentifizierung am Proxy zu aktivieren wechseln sie unter Anwendungen auf HTTP-Proxy, wählen unter Allgemein die Authentifizierungsmethode Basic und klicken auf

Wenn sie nun einen wie oben vorbereiteten Web-Browser starten, erhalten sie die Authentifizierungsabfrage vor dem Aufbau der ersten Webseite die aufgerufen wird.

Authentifizierungs abfrage

Authentifizierung mit Active Directory

Servereinstellungen

Zunächst müssen sie dafür sorgen, dass die UTM die Domäne auch findet.

Dazu wählen sie unter Netzwerk die Servereinstellungen und tragen als primären Nameserver die localhost IP-Adresse 127.0.0.1 ein.

Relayzone hinzufügen

Anschließend wechseln sie unter Anwendungen zum Menüpunkt Nameserver. Hier legen sie mit einem klick auf eine neue Relay Zone mit der lokalen Domain und der IP-Adresse des Domain-Controller an.

Weiterhin achten sie bitte darauf, dass die Systemzeit der UTM mit der des AD übereinstimmt.

UTM an das Active Directory anbinden

Externe Authentifizierung

Um die UTM an das Active Directory anzubinden, wechseln sie unter Authentifizierung den Menüpunkt Externe Authentifizierung und wählen den Reiter Active Directory.
Tragen sie hier folgendes ein:

• den Namen ihrer lokalen Domain
• den Namen der Arbeitsgruppe (Domain-Name ohne top-level-Domain)
• die IP oder den Hostname des Active Directory Server
• den Namen eines Administrativen Users des Active Directory
• das Passwort dieses Users

Klicken sie auf anschließend sollte der Verbindungsstatus auf grün wechseln.

Proxy-Nutzer Gruppe anlegen

Genau wie bei der Authentifizierung an die Benutzerverwaltung der UTM benötigen wir auch hier wieder eine Proxy Gruppe.
Einzelne Benutzer müssen sie hier allerdings keine anlegen. Diese Informationen holt sich der Proxy aus der Benutzerverwaltung des Active Directory.

Klicken sie in der Menüleiste auf Authentifizierung und auf Benutzer.
Wählen sie den Reiter Gruppen und klicken sie auf

Proxy-Gruppe

Geben sie dieser Gruppe einen Namen, die Berechtigung HTTP-Proxy und wechseln sie auf den Reiter Active Directory.

Proxy-Gruppe

Hier wählen sie nun die AD Gruppe aus, die eine entsprechende Berechtigung für den HTTP-Proxy bekommen soll und klicken abschließend auf

Authentifizierung im HTTP-Proxy aktivieren

Authentifizierung aktivieren

Um die Authentifizierung am Proxy zu aktivieren wechseln sie unter Anwendungen auf HTTP-Proxy, wählen unter Allgemein die Authentifizierungsmethode NTLM und klicken auf

Bei der Authentifizierungsmethode NTLM haben sie den Vorteil, dass der Proxy nicht mehr beim öffnen des Web-Browser den Nutzernamen und das Passwort abfragt. Die Authentifizierung erfolgt in diesem Fall schon beim starten des Betriebssystems mit der Anmeldung an die Domain.

Sollten sie hingegen doch den Wunsch haben, dass auch mit Active Directory ein Benutzer sich bei jedem start des Browser Authentifizieren soll, wählen sie die Authentifizierungsmethode LDAP.