UTM/APP/Captive Portal-extern

---

Konfiguration des Captive-Portal

Letzte Anpassung zur Version: 12.2.0

Wurde mit v12.2 aktualisiert, Dokumentation erfolgt mit einer v12.6.0

  

Neu:

• Es sind keine Änderungen an den Servereinstellungen mehr erforderlich
• Es können ACME-Wildcard-Zertifikate für die Landingpage verwendet werden

Zuletzt aktualisiert: 

05.2024: Aktualisierung zum Redesign des Webinterfaces

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.1.9 (externe & lokale Zertifikate) 11.8.7 (externe Zertifikate) 11.8.7 (lokale Zertifikate) 11.7.3 (externe Zertifikate) 11.7.3 (lokale Zertifikate) 11.7

---

Vorbemerkung

Das Captive Portal leitet einen HTTP-Client in einem Netzwerk auf eine spezielle Webseite (sog. Landingpage) um, bevor dieser sich normal in das Internet verbinden kann. So muss die Annahme der Nutzungsbedingung erfolgen und es kann eine zusätzliche Authentifizierung konfiguriert werden.

---

Planung

Folgende Aspekte sollten vor der Konfiguration bedacht werden:

• Für welche Netze soll das Captive Portal konfiguriert werden?
  Werden ausschließlich alle potentiellen Nutzer erreicht?
• Wie und von wem werden die Nutzungsbedingungen geschrieben?
• Soll eine Authentifizierung stattfinden?
• Welche internen Webserver dürfen aus dem Netz hinter dem Captive Portal nicht erreicht werden?

---

Für eine Nutzung des Captive Portals müssen nur wenige Vorbereitungen getroffen werden:

1. Es muss ein Zertifikat für die Landingpage zur Verfügung stehen
2. Implizite und Portfilteregeln müssen den Zugriff erlauben
   
   

Ein Ändern des Firewallnamens ist seit v12 nicht mehr erforderlich.
Der Hostname der Portalseite wird unter Anwendungen Captive Portal  Bereich Allgemein konfiguriert.

---

Zertifikate importieren

Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Die Verwendung einesgekauften Zertifikates von einer offiziellen CA (oder ein bereits vorhandenes Wildcardzertifikat), beugt späteren Irritationen wegen Warnmeldungen des Browsers vor.

Grundsätzlich bestehen hier zwei Optionen:

• Ein Zertifikat für einen FQDN
  • in diesem Fall wäre der Common Name des Zertifikats portal.anyideas.de
• Ein Wildcardzertifikat
  • in diesem Fall wäre der Common Name des Zertifikats *.anyideas.de

1. Im ersten Schritt muss die, zusammen mit dem Zertifikat zur Verfügung gestellte CA, in die UTM importiert werden.
   Menü → Authentifizierung →Zertifikate Reiter CA Schaltfläche CA importieren

2. Anschließend wird der gleiche Schritt für das eigentliche Zertifikat wiederholt.
   Menü → Authentifizierung →Zertifikate Reiter Zertifikate Schaltfläche Zertifikat importieren

---

Importformat

Zertifikate und CAs, die in eine UTM importiert werden sollen, müssen im PEM-Format (Dateiendung meist .pem) oder PKCS12-Format (Dateiendung meist .p12 oder .pfx) vorliegen.

Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:

Zertifikat	Befehl
X509 zu PEM	openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
DER zu PEM	openssl x509 -inform der -in certificate.cer -out certificate.pem
P7B zu PEM	openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem

Fehlermeldung beim Import

Beim Import kann es zur Fehlermeldung "The certificate format is not supported…" kommen.
Passwortgeschützte Zertifikate im pkcs12-Format (.p12 , .pfx , .pkcs12) in Verbindung mit älteren Ciphern können diesen Fehler auslösen.

Ein Import ist meist möglich, wenn im Reiter Allgemein notempty

Neu ab v12.5.1

die Option Veraltete kryptografische Algorithmen unterstützen Ein aktiviert wird. notempty

Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!

Möglichkeiten für den Import von Zertifikaten:

• Zertifikat in *.pem umwandeln
  Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:
  openssl pkcs12 -in Zertifikat.pfx -out Zertifikat.pem -nodes
  Alternativ mithilfe eines Online-Dienstes
  
  
• CLI Befehle, um Zertifikate-Import mit veralteten Ciphern in der UTM zu erlauben:
  extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
  appmgmt config application "securepoint_firewall"
  appmgmt config application "fwserver"
  system reboot
  notempty
  Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!

cli> extc global get variable GLOB_ENABLE_SSL_LEGACY 
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|0  

cli> extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
OK

cli> extc global get variable GLOB_ENABLE_SSL_LEGACY
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|1

cli> appmgmt config application "securepoint_firewall"
cli> appmgmt config application "fwserver"

---

---

Captive Portal Benutzer

Captive Portal Benutzer

Captive Portal Benutzer müssen sich, wenn sie sich mit einem entsprechend konfigurierten Netzwerk verbinden, authentifizieren und den Nutzungsbedingungen zustimmen. Erst danach wird der Netzzugang - gemäß den Portfilterregeln freigegeben.	Benutzer UTMbenutzer@firewall.name.fqdnAuthentifikation
notempty Firewall-Benutzer, die Mitglied einer Gruppe mit der Berechtigung Userinterface Adminstrator Ein sind ( Authentifizierung Benutzer  Bereich Guppen Schaltfläche ) können die Captive Portal Benutzerverwaltung über die Benutzerverwaltung (im Standard Port 443) erreichen

Benutzer hinzufügen

Benutzer hinzufügen

Captive Portal Benutzer können verwaltet werden von:

• Administratoren
• Benutzern, die Mitglied einer Gruppe mit der Berechtigung Userinterface Administrator sind.
  Diese erreichen die Benutzerverwaltung über das Userinterface.

Beschriftung	Wert	Beschreibung	Captive Portal Benutzer hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifikationBenutzer Drucken und speichern
Anmeldename:	user-VNK-JT4	Zufällig generierter Anmeldename. Einmal generierte Anmeldenamen lassen sich nach dem Speichern nicht mehr ändern.
Passwort:	BRU-NZE-TCY-LI3-QHE	Zufällig generiertes Passwort Anmeldename und Passwort können mit der Schaltfläche neu generiert werden. Einaml gespeicherte Passöwrter lassen sich nicht erneut anzeigen.
Ablaufdatum:	yyyy-mm-dd hh:mm:ss	Begrenzt die Gültigkeit der Zugangsdaten
	/ Neu ab v12.2.2	Mit diesen Schaltflächen lässt sich das Ablaufdatum um 24 Stunden ab dem aktuellen Zeitpunkt verkürzen (-) oder verlängern (+)
Drucken und speichern		Speichert und schließt den Dialog, erzeugt eine html-Seite mit dem Usernamen und dem Passwort und öffnet den Druck-Dialog
		Speichert die Angaben und schließt den Dialog. Das Passwort läßt sich anschließend nicht mehr anzeigen. Es kann jedoch jederzeit ein neues Passwort erzeugt werden .
		Schließt den Dialog, ohne Änderungen zu speichern.

---

UTM/APP/HTTP Proxy-Captive Portal extern-lokal2