Wechseln zu:Navigation, Suche
Wiki
(Lauritzl verschob die Seite UTM/Administration nach UTM/Administration v12.5.0)
Markierung: Neue Weiterleitung
 
(Weiterleitungsziel von UTM/Administration v12.5.0 nach UTM/Administration v12.6.2 geändert)
Markierung: Weiterleitungsziel geändert
Zeile 1: Zeile 1:
#WEITERLEITUNG [[UTM/Administration v12.5.0]]
#WEITERLEITUNG [[UTM/Administration_v12.6.2]]Preview1400
{{Set_lang}}
 
 
{{#vardefine:headerIcon|spicon-utm}}
{{:UTM/Administration.lang}}
 
{{var | neu--Begrenzung Login-Versuche
| Nach häufig fehlgeschlagenen Logins werden [[#Begrenzung_/_Drosselung_der_Login-Versuche | Login-Versuche gedrosselt]]
| After frequently failed logins the [{{#var:host}}UTM/Administration#Limitation_/_throttling_of_login_attempts login attempts are throttled] }}
{{var | neu--Connection Rate Limit
| Neue Funktion: [[#Connection_Rate_Limit | Connection Rate Limit]]
| New function: [[#Connection_Rate_Limit | Connection Rate Limit]] }}
{{var | neu--ZeroTouch
| [[#Anzeige_der_ZeroTouch_Informaionen | ZeroTouch Informationen]] als Startanzeige der Konsole
|  }}
{{var | neu--ZeroTouch--Hinweis
| ZeroTouch steht erst im Zusammenhang mit einer '''kommenden Portalversion''' der ''Securepoint '''Unified Security Console''''' zur Verfügung.
|  }}
{{var | neu--Websession
| Im Wiki ergänzt: [[#Websession | Login per Websession]]
|  }}
 
</div><div class=new_design></div>{{Select_lang}} {{TOC2}}
{{Header|14.0.0|
* {{#var:neu--ZeroTouch}}
* {{#var:neu--Websession}}
|[[UTM/Administration_v12.6.2 | 12.6.2]]
[[UTM/Administration_v12.5.0 | 12.5.0]]
[[UTM/Administration_v12.2.2 | 12.2.2]]
[[UTM/Adminstration_v11.8 | 11.8]]
}}
----
<br clear=all>
 
=== {{#var:login--tastatur}} ===
<div class="Einrücken">{{#var:login--tastatur--desc}}</div>
 
{| class="sptable2 pd5 zh1 einrücken"
|- class="Leerzeile"
| colspan="2" |
==== {{#var:ZeroTouch--cap}} ====
|- class="noborder"
| {{Hinweis-box|{{#var:neu ab}} v14.0|gr|14.0|status=neu}} {{#var:ZeroTouch--desc}}
{{Einblenden2|{{#var:ZeroTouch--Hinweis}} | {{#var:hide}}| true | bigdezent | {{#var:ZeroTouch--Hinweis--desc}} }}
{{Hinweis-box|{{#var:neu--ZeroTouch--Hinweis}} | fs__icon=em2}}
| {{Bild | {{#var:ZeroTouch--Bild}} | {{#var:ZeroTouch--cap}} }}
 
|- class="Leerzeile"
| colspan="2" |
==== {{#var:Login Maske}} ====
|- class="noborder"
| {{#var:Login Maske--desc}}
| {{Bild| UTM_v11.8.7_Login-direkt.png }}
|}
----
 
=== {{#var:login--webinterface}} ===
 
{| class="sptable2 pd5 zh1 einrücken"
|- class="Leerzeile"
| colspan="2"| {{#var:login--webinterface--desc}}
|- class="Leerzeile"
| colspan="2"|
==== {{#var:login--webinterface--admin}} ====
|- class="Leerzeile"
| {{#var:Port--webinterface--admin--desc}}
{{info|{{#var:Port--webinterface--admin-Eingeblendet}}|{{#var:Menüpfad anzeigen}} }}
| class="Bild" rowspan="4"| {{Bild|{{#var:login--webinterface--admin--bild}} }}
|- class="Leerzeile"
| {{:UTM/No-well-Known-Ports-for-Webinterface}}
|- class="Leerzeile"
| {{#var:Werkseinstellung}}: https://192.168.175.1:11115
* {{#var:Benutzername}}: admin
* {{#var:Kennwort}}: insecure
<li class="list--element__alert list--element__hint">{{#var:Werkseinstellungen-Hinweis}}
{{info|{{#var:Admin-Interface erreichbar machen}}<br>{{#var:Änderungen UTM Menu}}<br>{{#var:oder per CLI}}<br>
{{code |1=<span class=noselect>name.firewall.local></span><span> manager new hostlist <span class=noselect>192.0.192.192/32</span><br> system update rule</span>}} }}</li>
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="2"|
==== {{#var:login--webinterface--user}} ====
|- class="Leerzeile"
|
* {{#var:User Webinterface}} {{info|{{#var:User Webinterface Menüpfad}}|{{#var:Menüpfad anzeigen}}}}
{{#var:Werkseinstellung}}: https://192.168.175.1:443<br>
<li class="list--element__alert list--element__hint">{{#var:User Webinterface Hinweis}}</li>
{{#var:login--webinterface--user--desc}}
| class="Bild" rowspan="2" | {{Bild|{{#var:login--webinterface--user--bild}} }}
|- class="Leerzeile"
|
|}
----
 
 
=== CLI ===
<div class="einrücken">
Command Line Interface<br>
{{#var:cli-befehlsübersicht}}
 
 
==== Webinterface ====
<div class="einrücken">
{{pt3| {{#var:cli-befehlsübersicht--bild}} }}
{{#var:cli-befehlsübersicht--desc}}
</div> <br clear=all>
 
 
==== SSH ====
<div class="einrücken">
{{pt3| UTM_v11.8.7_CLI-SSH-Admin.png }}
{{#var:ssh-desc}}
<br clear=All>
{{pt3| UTM_v11.8.7_CLI-SSH-root.png}}
{{Alert}} {{#var:ssh--root--desc}}
</div><br clear=all>
----
 
=== {{#var:seriell}} ===
<div class="einrücken">
{{#var:seriell--desc}}
<br>
{{info|{{#var: minicom--desc}}|{{#var:minicom--einblenden}} }}
<br>
 
{{info|{{#var: putty--desc}}|{{#var:putty--einblenden}} }}
</div><br clear=all>
----
 
=== {{#var:Websession}} ===
<div class="Einrücken">
{{pt3| {{#var:Websession--Bild}} | {{#var:Websession--cap}} }}
{{#var:Websession--desc}}
</div></div><br clear=all>
----
 
=== {{#var:Fehlgeschlagene Logins beobachten}} ===
<div class="einrücken">
{{#var:Fehlgeschlagene Logins beobachten--desc}}
<br>
{{code|alertingcenter alerts get}}
</div>
 
----
 
=== {{#var:Begrenzung Login-Versuche}} ===
<div class="einrücken">
{{pt3|{{#var:Begrenzung Login-Versuche--Bild}}|{{#var:Begrenzung Login-Versuche--cap}} }}
{{#var:Begrenzung Login-Versuche--desc}}
<li class="list--element__alert list--element__hint">{{#var:Begrenzung Login-Versuche--Hinweis}}</li>
</div>
 
{{:UTM/APP/Connection-Rate-Limit}}

Version vom 25. November 2024, 14:57 Uhr

Weiterleitung nach:

Preview1400
































De.png
En.png
Fr.png









Zugangsmöglichkeiten zu einer UTM

Letzte Anpassung zur Version: 14.0.0

Neu:
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview


Tastatur und Bildschirm an der UTM

Über den eingebauten Monitor Anschluss (VGA oder HDMI) und einen USB-Anschluss kann mit Monitor und Tastatur direkt auf die UTM zugegriffen werden.

Anzeige der ZeroTouch Informaionen

notempty
Neu ab v14.0
Anzeige der Seriennummer und der ZeroTouch PIN.

Ist auf der UTM noch keine Lizenz eingespielt, werden Enrollment-Informationen für ZeroTouch angezeigt.

notempty
ZeroTouch steht erst im Zusammenhang mit einer kommenden Portalversion der Securepoint Unified Security Console zur Verfügung.
UTM v14.0 Zerotouch Konsole.png
Anzeige der ZeroTouch Informaionen

Login Maske

Mit der Tastenkombination Alt (Cursor/Pfeil-Taste rechts) bzw. gelangt man zur Login Maske

Werkseinstellung:

  • Benutzername (Username) : admin
  • Kennwort (Password): insecure

UTM v11.8.7 Login-direkt.png

Webinterface

Aufruf des Webinterfaces über die IP-Adresse der UTM (Werkseinstellung: https://192.168.175.1) und den jeweiligen Port:

Administrations-Interface

Administrations-Interface: Port 11115 (Werkseinstellung)
UTM v12 Login Admin.png
  • Wird der Port für das Admin oder das User-Interface auf einen Well-Known Port gelegt (Ports 0-1023) kann der Zugriff durch den Browser gesperrt werden!
  • Fehlermeldung in Chome / Edge: ERR_UNSAFE_PORT
  • Fehlermeldung im Firefox: Fehler: Port aus Sicherheitsgründen blockiert
  • Werkseinstellung: https://192.168.175.1:11115
    • Benutzername: admin
    • Kennwort: insecure
  • Das Admin-Interface ist in den Werkseinstellungen nur über das interne Netz LAN2 / A1 (bei Firmware ≤ v12: eth1) erreichbar.
  • User-Webinterface

    • User Webinterface: Port 443 (Werkseinstellung)

    Werkseinstellung: https://192.168.175.1:443

  • Damit das User-Interface überhaupt angezeigt wird, muss:
    • ein Benutzer angelegt sein
    • Der Benutzer muss Mitglied einer Gruppe sein, die über die Berechtigung Userinterface verfügt (siehe Benutzerverwaltung)
    • Erfolgt der Zugriff nicht aus dem Internen Netz (Zone internal) wird eine Paketfilter Regel oder eine implizite Regel benötigt Firewall Implizite Regeln Abschnitt VPN Eintrag User Interface Portal Ein
    UTM v12 Login-User.png


    CLI

    Command Line Interface
    Befehlsübersicht hier.


    Webinterface

    UTM v11.8.7 CLI-Webinterface.png

    Aufruf im Menü Extras CLI



    SSH

    UTM v11.8.7 CLI-SSH-Admin.png

    Der Zugriff als Administrator ist auch per SSH möglich.
    Mit dem SSH-Client unter Linux genügt das Kommando ssh benutzer@<IP-Adresse>

    Weitere Hinweise im Artikel über den SSH-Zugang.

    UTM v11.8.7 CLI-SSH-root.png

    Benutzer mit root-Berechtigung gelangen direkt auf die Linux-Konsole der UTM.
    Der Aufruf des erfolgt mit dem Befehl spcli.
    Root-Berechtigung erhalten

    • Support-User, sofern das beim Erstellen mit angegeben wurde
    • Benutzer mit dem Benutzernamen root und Mitgliedschaft in einer Gruppe mit Administrator-Berechtigung


    Serielle Schnittstelle

    Bei der Verwendung der seriellen Schnittstelle wird die Verbindung mit einem geeigneten Programm hergestellt, Unter Windows z.B. Putty ( ) unter Linux z.B. Minicom
    Es sind folgende Einstellungen zu verwenden:

    • 38400 baud (für das CLI)
    • 115200 Baud (für das Bios)
    • 8 Datenbits
    • 1 Stoppbit
    • Kein Parity/ Handshake





    Websession

    Dialog zum Starten einer Websession

    Über die Unified Secureity Console (USC) kann eine Websession zu einer UTM aufgebaut werden.

    Die Bedienung ist dann wie über das Webinterface.
    Aufruf unter https://portal.securepoint.cloud / Menü Vorlage:Menu-UTM2 / Utm-Kachel wählen / Bereich Websession / Schaltfläche  Neue Websession starten

    Weitere Hinweise im Wiki zu den Websessions



    Fehlgeschlagene Logins beobachten

    Das Log kann im Webinterface unter Log Nur Meldungen des Alerting Center anzeigen eingesehen werden.
    Alternativ können die Daten auch mit dem folgendem CLI-Befehl abgerufen werden:
    alertingcenter alerts get


    Begrenzung / Drosselung der Login-Versuche

    Fehlermeldung bei zu häufigen fehlgeschlagenen Login-Versuchen

    Zusätzlich zu den Sperrungen der Login-Versuche im IDS / IPS (Aktivierung unter BlockChain (Fail2Ban) ) greift für das Admin- und das User-Interface eine neue automatische Drosselung der Login-Versuche:

    • Nach 8 aufeinanderfolgenden fehlgeschlagenen Login-Versuchen wird die Login-Funktion über das Admin- und das User-Interface für eine gewisse Zeit gesperrt
    • Diese Drosselung greift auf allen Schnittstellen und kann nicht deaktiviert werden
    • Die Blockzeit beträgt zuerst wenige Sekunden und für jeden weiteren fehlgeschlagenen Login-Versuch erhöht sich die Blockzeit
    • Eine entsprechende Meldung wird als Pop-Up-Fenster eingeblendet
  • Wenn im IDS / IPS eine Sperrschwelle von mehr als 8 festgelegt wird, tritt zuerst die automatische Drosselung in Kraft.
    Sperrungen über das IDS/IPS können individuell für jeden Anmeldedienst
    und jede IP-Adresse konfiguriert werden, über die der Zugriff erfolgt.
    Je nachdem, wie viele Anmeldeversuche und wie lange die Bannzeit dort eingestellt sind, entsteht eine Kombination mit der hier beschriebenen Begrenzung der Login-Versuche.































  • Connection Rate Limit

    Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports

    notempty

    Die Funktion befindet sich noch in der Erprobungsphase und wird weiter ausgebaut.
    Die Funktion ist zunächst ausschließlich über das CLI zu konfigurieren

    Die Funktion soll helfen Angriffe abzuwehren.
    SSL-VPN-Zugänge können so z.B. vor aggressiven Scans oder Anmeldeversuchen geschützt werden.


    Connection Rate Limit.png
    Connection Rate Limit Access.png

    Die UTM kann ab v12.6.2 die Anzahl der TCP- und/oder UDP-Verbindungen von einer externen IP-Adresse auf einen Port limitieren.
    Dabei gelten folgende Bedingungen:

    • Es werde nur eingehende Verbindungen überwacht, für die eine Default-Route existiert
    • Es werden die Verbindungen von einer IP-Adresse auf einen Port der UTM innerhalb einer Minute gezählt
    • Bei Aktivierung werden 5 Verbindungen / Verbindungsversuche je Minute zugelassen.
      Danach werden die Verbindungen limitiert:
      • Dabei werden die zusätzlich zugelassenen Verbindungen innerhalb von 60 Sekunden seit der ersten Verbindung gleichmäßig verteilt.
      • Bei einem CONNECTION_RATE_LIMIT-Wert von 20 kommt also alle 3 Sekunden eine zusätzliche Verbindung hinzu.
      • 10 Sekunden nach der 1 Anmeldung könnten 3 weitere Verbindungen aufgebaut werden (jeweils von der gleichen IP-Adresse aus auf den selben Ziel-Port)
    • Die Sperrung einer IP-Adresse wirkt nur für den Zugriff auf den Port, der zu oft genutzt wurde.
      Andere Ports können weiterhin erreicht werden.
    • Die Funktion ist bei Neuinstallationen per Default auf 20 UDP-Verbindungen / Minute auf allen Ports aktiviert
    • Bei Updates muss die Funktion manuell aktiviert werden
    extc-Variable Default Beschreibung
    CONNECTION_RATE_LIMIT_TCP 0 Anzahl der zugelassenen TCP-Verbindungen einer IP-Adresse je Port
    0 = Funktion deaktiviert, es werden keine Sperrungen vorgenommen
    CONNECTION_RATE_LIMIT_TCP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports würden (bei Aktivierung) überwacht werden.
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]
    CONNECTION_RATE_LIMIT_UDP 20 / 0
    Anzahl der zugelassenen UDP-Verbindungen einer IP-Adresse je Port
    CONNECTION_RATE_LIMIT_UDP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports werden überwacht (nur bei Neuinstallationen!).
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]

    Konfiguration mit CLI-Befehlen