SSL-Interception

Konfiguration der SSL-Interception im HTTP-Proxy

Letzte Anpassung zur Version: 12.5.2

Neu:

SNI-Validierung ohne Webfilter

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.2 11.7

Bestandteil des HTTP-Proxys

SSL-Interception

Beschriftung	Wert	Beschreibung
SSL-Interception:	Ein	Aktiviert die SSL-Interception	Reiter SSL-Interception </includeonly>
Webfilter basiert:	Nein	Bei Aktivierung werden lediglich vom Webfilter blockierte Verbindungen abgefangen. Dadurch wird das Problem umgangen, daß es Seiten gibt, die ein Unterbrechen der Verschlüsselung nicht tolerieren (z.B. Banking-Software), ohne das man dafür extra eine Ausnahme definieren muss.
SNI validieren Nur verfügbar wenn Webfilter basiert aktiv	Nein	Bei Aktivierung Ja wird eine sich ggf. im ClientHello des TLS-Handshake befindliche SNI geprüft. Dabei wird der enthaltene Hostname aufgelöst und die Adressen im Ergebnis mit der Zieladresse des abgefangenen Requests abgeglichen. Bei Nichtübereinstimmung wird die Verbindung geschlossen. Ohne Server Name Indication Validierung können Clients die SNI beliebig manipulieren, um den Webfilter zu passieren. Diese Einstellung sollte nur als eine letzte Möglichkeit betrachtet werden, wenn es unmöglich scheint, die DNS-Einstellungen zwischen Clients des HTTP-Proxy und der UTM zu vereinheitlichen. Verwenden Client und UTM unterschiedliche DNS-Server, kann es dabei zu false-positives kommen.
SNI in den Ausnahmen validieren:notempty Neu ab v12.5.2 Nur verfügbar, wenn Webfilter basiert nicht aktiv ist	Nein	Wendet die Server Name Indication Validierung nur auf aktivierte Ja Ausnahmen für SSL-Interception an
Nicht erkannte Protokolle erlauben:	Ja	Wenn dieser Schalter deaktiviert ist, werden nicht erkannte Protokolle blockiert
CA-Zertifikat:	CA-SSL-Interception	Hier muss eine CA ausgewählt werden, die die Verbindung nach dem entschlüsseln (und scannen) wieder verschlüsseln kann. Der Public-Key der CA muss auf allen Client Rechnern, die SSL-Interception nutzen sollen, installiert werden. Herunterladen kann hier direkt mit ⬇Public-Key herunterladen erfolgen.
CA-Zertifikat:	Public-Key herunterladen	Der Public-Key sollte auf den Clients, die die SSL-Interception nutzen sollen installiert werden, um Zertifikatsfehler zu vermeiden
Zertifikatsverifizierung:	Aus	Sollte unbedingt aktiviert werden Damit überprüft der HTTP-Proxy, ob das Zertifikat der aufgerufenen Seite vertrauenswürdig ist. Da der Browser nur noch das lokale Zertifikat sieht, ist eine Überprüfung durch den Browser nicht mehr möglich.
Ausnahmen für SSL-Interception	Ein	Es besteht die Möglichkeit Ausnahmen im Format der Regular Expressions zu definieren. Da hier aber nur https ankommen kann, wird hier, anders als bei dem Virenscanner, nicht auf Protokolle gefiltert. Mit + Regex werden neue Ausnahmen hinzu gefügt. Eine Ausnahme für www.securepoint.de würde also lauten: .*\.securepoint\.de" Regex-Ausnahmen gelten nicht für den transparenten Modus!
Ausnahmen für Zertifikatsverifizierung	Aus	Hier können Ausnahmen für die Zertifikatsverifizierung im Regex-Format hinzugefügt werden.