Skocz do:nawigacja, szukaj
Wiki

Captive Portal

Z Securepoint Wiki































Inbetriebnahme













































First steps for commissioning a Black Dwarf (G5)

Nowy artykuł: 06.2022

notempty
Ten artykuł odnosi się do wersji beta
-





































Wstęp

notempty
Uważne wykonanie nawet najprostszych czynności jest warunkiem udanej instalacji
Przygotuj dane logowania
  • W przypadku korzystania z połączenia przez modem lub światłowód:
  • Należy przygotować dane logowania dostawcy usług internetowych
    • Kto posiada aktualne dane logowania dostawcy usług internetowych?
    • Czy dane logowania są dostępne w miejscu instalacji?
    • Czy dane logowania będą dostępne w momencie instalacji?
    • W razie potrzeby: Czy osoba posiadająca dane logowania będzie dostępna w momencie instalacji?
  • W przypadku korzystania z routera:
    • Jaki jest adres IP routera?
    • Czy urządzenie UTM może otrzymać stały adres IP?
    • W przypadku nowych instalacji protokół DHCP jest włączony na interfejsie zewnętrznym
  • Sieć lokalna:
    • Jaki jest adres IP sieci lokalnej (lub sieci lokalnych)?
    • Jakie adresy IP powinny otrzymać interfejsy urządzenia UTM w tych sieciach?
      Z reguły powinien to być zawsze stały adres IP!

Przygotowanie aktualizacji oprogramowania sprzętowego

notempty
Dlaczego warto przeprowadzić aktualizację oprogramowania sprzętowego?

  • Jeśli ma zostać użyty istniejący plik konfiguracyjny, wersja zainstalowanego oprogramowania sprzętowego musi być identyczna lub nowsza.
  • Najnowsze funkcje i poprawki są dostępne od razu.
    W okresie między wyprodukowaniem a dostawą mogło zostać opublikowanych kilka wersji oprogramowania sprzętowego.
  • W ten sposób można wykluczyć uszkodzenia spowodowane manipulacją przy oprogramowaniu sprzętowym podczas transportu (mało prawdopodobne, ale nie niemożliwe).
  • Wymagany jest pendrive z obrazem systemu UTM.
    W tym celu można to Securepoint Imaging Tool zastosować. (Portal Resellerów → Menu  Downloads → Narzędzia x )
  • Podłącz klawiaturę i monitor
  • Typ wtyczki monitora - zobacz tabelę pod ilustracją


    • In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden
























  • v12 jest obowiązkowe, ponieważ niektóre elementy sprzętowe zainstalowane w urządzeniach G5 nie są obsługiwane przez wersję 11
  • W przypadku instalacji lub aktualizacji za pomocą pamięci USB należy najpierw użyć obrazu UTM v12.x - Interactive installation UTM Software v12 - USB-Image
    (nie Autoinstall lub Autoupdate)
    • Przygotowaną pamięć USB należy podłączyć do urządzenia UTM
    • Włącz urządzenie UTM
    • Wybierz opcję Save & Exit i Restore Defaults
      Pendrive USB powinien wtedy pojawić się na górze menu rozruchowego urządzenia, z oznaczeniem UEFI przed nim
    • Wybierz opcję Save & Exit Save Changes and Reset
    • Przeprowadź instalację/aktualizację





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





















    Instalacja firmware

    Instalacja oprogramowania sprzętowego przebiega w kilku krokach. Wystarczy jedynie potwierdzić wstępnie wybrane opcje.


    • Wyświetlenie i potwierdzenie warunków licencji
    • Decyzja o tym, czy należy przeprowadzić aktualizację
      Ustawienie domyślne: Zaktualizuj
    • Wybór dysku twardego, na którym ma zostać zainstalowane oprogramowanie układowe
    • Rozpoczęcie instalacji
    • Prośba o wyjęcie pamięci USB
    • Ponowne uruchomienie
    • Wyświetlenie konsoli logowania








































    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden






























    Black Dwarf Rozmieszczenie portów zgodnie z nadrukiem na obudowie
    Przegląd interfejsów i połączeń
    Ukryj tabelę
    Klicken für dauerhafte Anzeige

    (Możliwe tylko w wersji v12)
    Nazwa portu obudowy Typ portu Domyślne przypisanie portów
    A0 RJ45 external
    A1 RJ45 internal
    Połączenie Typ
    Monitor HDMI
    Klawiatura USB






























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden
















    }}









    }}








    }}
















    | Polityka prywatności }} 






    }}
 }}
}}



    }}























    Integracja z siecią lokalną

    Dostosuj adresy IP urządzenia UTM za pomocą interfejsu CLI

    Jeśli zarządzanie za pomocą interfejsu CLI nie stanowi problemu, adresy IP można wprowadzić bezpośrednio do urządzenia UTM za pomocą interfejsu CLI
    W tym przypadku monitor i klawiatura pozostają podłączone bezpośrednio do urządzenia UTM.
    Logowanie odbywa się za pośrednictwem konsoli.


    Aby móc zarządzać urządzeniem UTM, należy uzyskać dostęp do interfejsu administracyjnego poprzez adres IP urządzenia UTM oraz port interfejsu administracyjnego poprzez interfejs LAN2.
    W ustawieniach fabrycznych dostęp do urządzenia UTM można uzyskać poprzez https://192.168.175.1:11115.
    Jeśli nie można uzyskać dostępu do adresu IP lub interfejsu z sieci lokalnej, należy wprowadzić odpowiednie zmiany.

    1. Podłączanie klawiatury i monitora bezpośrednio do urządzenia UTM
    2. Zaloguj się do UTM: Username admin / Password: insecure
    3. Pojawia się Command Line Interface
    4. Zmiana konfiguracji sieci:
      1. Określ istniejące interfejsy: interface address get

    LAN2 to interfejs wewnętrzny, przez który można uzyskać dostęp do interfejsu administracyjnego.
    Ten identyfikator jest potrzebny do zmiany adresu IP w kolejnym kroku.

      1. Zmiana adresów IP interfejsów: interface address set id 1 address 192.168.12.1/24
        system update interface         (żądany adres IP w sieci wewnętrznej wraz z maską podsieci)
      2. Aktywacja interfejsu:interface address new device LAN1 or A0 address 192.168.x.y/24
        system update interface
    2. Konfiguracja dostępu administracyjnego:
      W ustawieniach fabrycznych dostęp do interfejsu administracyjnego urządzenia UTM jest możliwy wyłącznie poprzez wewnętrzny interfejs LAN2. Jeśli interfejs administracyjny ma być dostępny poprzez inny interfejs, należy przydzielić adres IP hosta (lub adres sieciowy wraz z maską podsieci):
      manager new hostlist 192.168.168.0/24
      system update rule       Tutaj: Wszystkie hosty w sieci 192.168.168.0 (niezależnie od interfejsu) może uzyskać dostęp do interfejsu administracyjnego
      . Uwaga: Jeśli np. IP 192.168.175.1 znajduje się w sieci LAN1 lub A0, a interfejs administracyjny należy uruchomić z komputera w sieci LAN1, IP 192.168.175.x należy jednak dodatkowo wprowadzić.
    Dostosuj adres IP swojego komputera

    Adres IP Twojego komputera jest tymczasowo dostosowywany do sieci domyślnej wewnętrznego interfejsu urządzenia UTM.
    Następnie należy podłączyć swój komputer do interfejsu A1 (tzw. interfejsu wewnętrznego) urządzenia UTM.
    Prawidłowy interfejs przedstawiono na powyższym rysunku i w tabeli.

    Tak to działa

    Zmiana adresu IP w systemie Windows
    • Wyświetlanie połączeń sieciowych:
       r  ncpa.cpl
      ↵
    • Wyświetl stan połączenia Ethernet poprzez dwukrotne kliknięcie
    • Pokaż właściwości interfejsu
    • Wyświetl właściwości połączenia TCP/IPv4
    • Ustaw adres IP:
      • Adres IP:192.168.175.2
      • Maska podsieci:255.255.255.0
      • Brama domyślna::192.168.175.1 (=Domyślny adres wewnętrznego interfejsu urządzenia UTM)

















    1. 2. 3.
    Abb.1 Abb.2 Abb.3
    Abbildungen
    Wyświetlanie interfejsu sieciowego:
    • Dostęp za pomocą pulpitu:
      • Kliknij ikonę sieci na pasku zadań obok zegara.
      • Kliknij Ustawienia sieci i internetu.
      • Kliknij opcję Zmień opcje adaptera.
    • Dostęp za pomocą polecenia:
      • Windows key  r  ncpa.cpl
    • Kliknij dwukrotnie ikonę służącą do wyświetlania stanu połączenia ethernet
  • W oknie stanu kliknij przycisk Właściwości
  • W oknie właściwości wybierz pozycję Protokół internetowy, wersja 4 (TCP/IPv4).
  • Kliknij przycisk Właściwości
  • Wybierz opcję Użyj następującego adresu IP:
  • Ustaw adres IP:
    • Adres IP:192.168.175.2
    • Maska podsieci:255.255.255.0
    • Brama domyślna::192.168.175.1 (=Domyślny adres wewnętrznego interfejsu urządzenia UTM)
    • Zmiana adresu IP w systemie Linux

    Proszę zapoznać się z odpowiednią dokumentacją używanej dystrybucji.
    Przykłady dla Ubuntu:

    • Uruchomienie konsoli
    • Określ nazwę interfejsu: ip a
    • Zmiana adresu IP: (W przykładzie użyto interfejsu „enp0s3”:sudo ip address add 192.168.175.2/24 dev enp0s3
    Zmiana adresu IP na komputerze Mac

    Zmiana adresu IP na komputerze Mac

    • Menu Ustawienia systemowe / sieć
    • Konfiguracja IPv4: Manuell▴▾ wybierz z menu rozwijanego
    • Adres IP:192.168.175.2
    • Maska podsieci:255.255.255.0
    • Router:192.168.175.1 (=Domyślny adres wewnętrznego interfejsu urządzenia UTM)
    • PrzyciskZastosuj
    notempty
    Po zakończeniu pracy kreatora instalacji i ponownym uruchomieniu urządzenia UTM znajduje się w innej sieci.
    Aby kontynuować konfigurację, należy ponownie zmienić adres IP własnego komputera.

    Ustawianie oryginalnego adresu IP:

    • Stały adres IP Adresy: Wprowadź zgodnie z powyższym opisem
    • Włącz DHCP:
      • Windows: właściwości Internet Protocol Version 4 (TCPIPv4) → wybierz Pobierz adres IP automatycznie
      • Linux: przykład dla Ubuntu: sudo ip address del 192.168.175.2/24 dev enp0s3
        sudo dhclient enp0s3
        W razie potrzeby zapoznaj się z dokumentacją używanej dystrybucji.
      • MAC: wkrótce...

    Pierwsze wejście

    Jeśli nie zostało to jeszcze zrobione, należy teraz fizycznie wykonać następujące połączenia:

    • Podłączyć interfejs zewnętrzny (A0) do internetu (modem, router itp.).
    • Podłącz interfejs wewnętrzny (A1)
      • na własnym komputerze, o ile został na nim zmieniony adres IP.
      • do sieci, z której ma być zarządzane urządzenie UTM, jeśli adres IP urządzenia UTM został zmieniony.

  • Interfejs administracyjny jest dostępny na porcie 11115. Access:
    https://192.168.175.1:11115 (Default) or
    https://172.16.0.1:11115, jeśli adres IP urządzenia UTM został zmieniony na 172.16.0.1

    • Przy pierwszym uruchomieniu interfejsu administracyjnego w przeglądarce pojawia się ostrzeżenie dotyczące certyfikatu.
    Ponieważ przeglądarka nie rozpoznaje certyfikatu urządzenia UTM, wyświetlane jest ostrzeżenie dotyczące bezpieczeństwa.
    Ostrzeżenie to należy zignorować.













    Komunikat w przeglądarce Firefox: Ostrzeżenie: Potencjalne zagrożenie bezpieczeństwa
    Przycisk Zaawansowane / Zaakceptuj ryzyko i kontynuuj
    Komunikat w przeglądarce Chrome / Chromium: To nie jest bezpieczne połączenie. Na końcu kliknij Przejdź do IP address (unsure) .
    Komunikat w przeglądarce Edge: Twoje połączenie nie jest prywatne. Na końcu kliknij Przejdź do adresu IP address (unsure) .
    Komunikat w przeglądarce Safari:
    Przycisk Pokaż szczegóły / Link Otwórz tę stronę internetową

    Pierwsza rejestracja

    Opis Wartość Opis
    UTM-Login (jeszcze bez licencji)
    Użytkownik admin Zaloguj się przy użyciu domyślnych danych logowania z ustawień fabrycznych: admin
    Hasło: insecure Zaloguj się przy użyciu domyślnych danych logowania z ustawień fabrycznych: insecure
     Zaloguj się (admin)
    Wyrażam zgodę na warunki umowy licencyjnej i politykę prywatności
    Zaakceptuj Aby zaakceptować umowę licencyjną i politykę prywatności, należy kliknąć przycisk. Polityka prywatności UTM Odrzuć Zaakceptuj
    Należy wyrazić zgodę na politykę prywatności.
    License agreement UTM Odrzuć Zaakceptuj
    Należy zaakceptować umowę licencyjną.
    Podstawowe konfiguracje

    Konfiguracja początkowa

    Nazwa zapory sieciowej firewall.ttt-point.local Należy nadać indywidualną nazwę zapory sieciowej.
  • Nazwa powinna odpowiadać nazwie FQDN.
    		•  Podstawowe konfiguracje UTMuser@firewall.name.fqdn Umowa licencyjna Privacy policy Wyloguj się
    Podstawowe konfiguracje
    Wyświetlane pola mogą się różnić w zależności od tego, jakie informacje są już dostępne w systemie UTM
    Klucz licencyjny: Browse... Wprowadź ważną licencję.
  • Każdy klucz licencyjny można wykorzystać tylko raz. Na jego podstawie identyfikowany jest moduł UTM, a za jego pośrednictwem przypisywane są różne usługi i konfiguracje.
    • Czas systemowy: yyyy-mm-dd hh-m--ss Czas systemowy powinien być prawidłowy. Jest on porównywany z czasem na innych serwerach, np. w celu uwierzytelniania użytkowników (Kerberos, OTP itp.). Jeśli różnica jest zbyt duża, logowanie nie będzie możliwe.
    Hasło:
    Potwierdź hasło:    		    
           		 Należy zmienić hasło domyślne
    insecure

































    Hasła muszą spełniać następujące kryteria:
    • co najmniej 8 znaków
    • co najmniej 3 z poniższych kategorii:
      • Wielkie litery
      • Małe litery
      • Znaki specjalne
      • Cyfry
    Globalny adres e-mail: admin@ttt-point.de Informacje wymagane np. dla Mail Connector i serwera proxy. Służy również jako adres administratora poczty dla Mailrelay.
    Metoda uwierzytelniania: PIN (zalecane)Ekran logowania Metoda uwierzytelniania dla Web sessions poprzez USC
    Kod PIN sesji internetowej zabezpiecza również korzystanie z następujących czynności w ramach USC:
    • Ponowne uruchomienie
    • Wyłączenie
    • Przywrócenie ustawień fabrycznych
    • Importowanie kopii zapasowych z chmury

    Jeśli nie zostanie użyty kod PIN, czynności te nie będą dostępne w Unified Security Portal.

    PIN:     Kod PIN jako dodatkowe zabezpieczenie dla Websessions
    Nie wolno stosować sekwencji liczbowych ani powtórzeń
    Tworzy bezpieczny kod PIN
    Umowa licencyjna Wyświetla umowę licencyjną
    Privacy policy Wyświetla politykę prywatności
    Wyloguj się Znowu się wylogowuje.
    Żadne ustawienia nie zostaną zapisane!
    Zakończ Zakończy proces logowania i otworzy okno powitalne.

    notempty
    W przypadku wersji oprogramowania wersji 14.1.x lub starszych import w tym miejscu nie jest możliwy.
    Istniejącą konfigurację można zaimportować później.

    Importuj konfigurację
    notempty
    Nowość od 14.2.0
    Klucz licencyjny: Browse... Wprowadź ważną licencję.
  • Każdy klucz licencyjny można wykorzystać tylko raz. Na jego podstawie identyfikowany jest moduł UTM, a za jego pośrednictwem przypisywane są różne usługi i konfiguracje.
    		•  Podstawowe konfiguracje - Importuj konfigurację UTMuser@firewall.name.fqdn Umowa licencyjna Privacy policy Wyloguj się
    Podstawowe konfiguracje
    Wyświetlane pola mogą się różnić w zależności od tego, jakie informacje są już dostępne w systemie UTM
    Czas systemowy: yyyy-mm-dd hh-m--ss Czas systemowy powinien być prawidłowy. Jest on porównywany z czasem na innych serwerach, np. w celu uwierzytelniania użytkowników (Kerberos, OTP itp.). Jeśli różnica jest zbyt duża, logowanie nie będzie możliwe.
    Importuj plik konfiguracyjny: Browse... W tym miejscu można zaimportować istniejącą konfigurację zawierającą wstępnie skonfigurowane ustawienia
    Nazwa konfiguracji: Name Nazwa pliku konfiguracyjnego
    Hasło do pliku konfiguracyjnego: ••••••••••• Hasło określone w pliku konfiguracyjnym
    Witamy
    Ustawienia podstawowe są wprowadzane w oknie powitalnym. Witamy UTMuser@firewall.name.fqdn Asystent instalacji Rozpocznij zwiedzanie
    Okno dialogowe powitalne
    Asystent instalacji Uruchamia Installation Wizard.
    Rozpocznij zwiedzanie Rozpoczyna samouczek, który w 15 krokach wyjaśnia działanie interfejsu administracyjnego i menu.

    Konfiguracja interfejsów

    Czy chcesz teraz skonfigurować interfejsy? Tak Nie Ten komunikat pojawia się, jeśli nie wszystkie istniejące interfejsy są poprawnie skonfigurowane. Zaleca się jednak to zrobić, aby zapobiec ewentualnym problemom. Przycisk Tak otwiera bezpośrednio okno konfiguracji sieci.
    Nie pytaj ponownie. Wył. Jeśli nie chcesz, aby ten komunikat się pojawiał, możesz tutaj ustawić, aby nie był już wyświetlany.
    notempty
    Continue with the button Unstrip-Größengrenze überschritten (5.000.000) Installation wizard
    → Show Wiki Installation wizard Black Dwarf (G5)



    Einrichtung mit Installationsassistenten





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden
































    }}













































































    {{var | Portfilterregel generieren | Paketfilterregel generieren: | Generate packet filter rule: | Generowanie reguły filtrowania pakietów:






    {{var | Eingeblendet wenn Spezieller Dienst | Wird eingeblendet, wenn Spezieller Dienst ausgewählt ist | Displayed when Special service is selected | Wyświetla się po wybraniu opcji Usługa specjalna




    Achtung: In der .lang-Datei werden je nach Parameter hw Variablen gesetzt für die Bezeichnung der Schnittstellen und ob dmz / dmz interface und wlan vorhanden sind















    Warnung: Der Anzeigetitel „Asystent instalacji“ überschreibt den früheren Anzeigetitel „Commission Black Dwarf (G5)“.



    Konfiguracja UTM za pomocą kreatora instalacji

    Ostatnia zmiana dla wersji: 14.2.0

    Nowość:
    • Beta Dla wersji beta
    Ostatnia aktualizacja: 
      06.2026
    • Zaktualizowano ścieżkę linku
    notempty
    Ten artykuł odnosi się do wersji beta

    12.7 12.5.1 12.5 12.2.3 12.2 11.6

    Dostęp: ' Konfiguracja Obszar Asystent instalacji

    Wstęp

    • Zazwyczaj kreator instalacji pojawia się podczas wstępnej konfiguracji urządzenia UTM.
      Sprawdza on, czy istnieje już konfiguracja oznaczona jako konfiguracja rozruchowa. (Status )
      Jeśli tak nie jest, kreator otworzy się automatycznie.
    • Nie zaleca się uruchamiania kreatora instalacji w późniejszym terminie, ponieważ może to spowodować zastąpienie innych ustawień wprowadzonych w międzyczasie.


    Asystent instalacji

    Krok 1 - Informacje ogólne

    Opis Wartość Opis Asystent instalacji UTMuser@firewall.name.fqdn Zarządzanie konfiguracją
    Krok 1
    Nazwa zapory sieciowej: firewall.ttt-point.local Tutaj chodzi o to, w jaki sposób UTM odpowiada na zapytania.
    Jeśli na przykład ma być używany serwer przekaźnikowy poczty, warto wpisać tutaj w pełni kwalifikowaną nazwę domeny (FQDN) serwera pocztowego (MX), aby inne serwery pocztowe mogły ją zweryfikować poprzez odwrotne rozpoznanie rekordu zasobów PTR (PTR).
  • To ustawienie nie dotyczy nazwy, pod którą UTM jest wpisany w domenie Active Directory.
    To ustawienie wprowadza się w zakładce Uwierzytelnianie → Uwierzytelnianie AD/LDAP → w pozycji Ustawienia konta urządzenia.
    • Globalna osoba kontaktowa: Jan Kowalski W tym polu należy wpisać imię i nazwisko administratora lub nazwę organizacji, które zostaną później podane w komunikatach o błędach UTM w razie konieczności uzyskania dodatkowych informacji.
    Globalny adres e-mail: admin@ttt-point.de Na ten adres e-mail wysyłane są ważne komunikaty systemowe.
    Język raportów: niemiecki
    angielski    		 Język, w którym wyświetlane są raporty i komunikaty systemowe

    Krok 2 - Ustawienia dotyczące bezpieczeństwa

    Anonimizacja wszystkich aplikacji: Tak Po włączeniu tej opcji (ustawienie domyślne) aplikacje urządzenia są anonimizowane zgodnie z RODO.
    W dziale Uwierzytelnianie Ochrona danych można również włączyć anonimizację indywidualnie dla każdej aplikacji.
  • Należy wyłączyć wyłącznie na potrzeby debugowania.
    		•
    Krok 2
    Threat Intelligence Filter: Wyłączone Wyłącza funkcję Threat Intelligence Filter która monitoruje wszystkie połączenia
    Rejestrowanie połączeń Wszystkie połączenia są rejestrowane w logach
    Rejestrowanie i blokowanie połączeń Wszystkie połączenia są rejestrowane w logach i blokowane w razie zagrożenia
    GeoIP: Wł. Umożliwia tworzenie reguł dotyczących podziału adresów IP według położenia geograficznego
    Systemowe odrzucenie źródeł:
    notempty
    Nowość od v14.2.0
    		 BX (Any) Jeśli funkcja GeoIP jest włączona, w tym miejscu można wybrać kraje, z których ruch sieciowy ma być zablokowany

    Krok 3 - Wewnętrzne

    Bez modułu WLAN
    Bez modułu WLAN
    Adres IP wewnętrznej zapory sieciowej: 192.168.175.1/24 Adres IP interfejsu wewnętrznego(A1) oraz maska podsieci (jako CIDR-notation) sieci wewnętrznej.
    Krok 3 - bez modułu WLAN
    Reguły wygenerowane automatycznie:
    notempty
    Nowość od v14.2.0
    		 Wł. Dla tej sieci można automatycznie utworzyć reguły filtrowania portów, zezwalające na ruch do internetu na interfejsie łączącym z interfejsem zewnętrznym (A0).
    Podobnie tworzone są reguły, które umożliwiają również ruch z sieci wewnętrznej do sieci DMZ.
    Który zestaw reguł ma zostać wygenerowany?
    notempty
    Nowość od v14.2.0
    		 Zezwól na specjalną usługę z sieci "wewnętrznej” do "internetu” Umożliwia wybór określonych usług, które mają mieć swobodę komunikacji między siecią wewnętrzną a internetem
    Zezwól na pełny dostęp z sieci „wewnętrznej” do „internetu” Zezwala na wszelki ruch między siecią wewnętrzną a internetem
    Odmowa dostępu z sieci „wewnętrznej” do „internetu” Blokuje cały ruch między siecią wewnętrzną a internetem
    Wybór grupy usług:
    notempty
    Nowość od v14.2.0

    		 default-internet Jeśli zaznaczono opcję "Usługa specjalna”, można wybrać jedną z poniższych usług
    Wyświetl usługi
    Ukryj usługi
    Klicken für dauerhafte Anzeige
    • default-internet
    • proxy
    • netbios
    • dns
    • radius
    • administration
    • windows-domain
    • ipsec
    • ssl-vpn
    • voip
    • network-time
    • pptp-gre
    • sp-backup
    Dynamiczne przypisywanie adresów IP klientów za pomocą DHCP: Nie Po włączeniu opcji Tak urządzenie UTM działa jako serwer DHCP: wszyscy klienci w sieci wewnętrznej otrzymują adres IP za pośrednictwem protokołu DHCP. Spowoduje to ustawienie urządzenia UTM jako bramy domyślnej i serwera DNS dla klientów.
    Router Advertisement: Wył. Jeśli urządzenie UTM otrzymało prefiks IPv6, może ogłaszać tę podsieć za pomocą ogłoszeń routowych w segmencie sieci znajdującym się za danym interfejsem. (Zobacz artykuł IPv6 Prefix Delegation)
    Z modułem WLAN
    Z modułem WLAN
    Adres IP wewnętrznej zapory sieciowej: 192.168.175.1/24 Adres IP interfejsu wewnętrznego(A1) oraz maska podsieci (jako CIDR-notation) sieci wewnętrznej.
    Krok 3 - z modułem WLAN
    Dynamiczne przypisywanie adresów IP klientów za pomocą DHCP: Nie Po włączeniu opcji Tak urządzenie UTM działa jako serwer DHCP: wszyscy klienci w sieci wewnętrznej otrzymują adres IP za pośrednictwem protokołu DHCP. Spowoduje to ustawienie urządzenia UTM jako bramy domyślnej i serwera DNS dla klientów.
    Reguły wygenerowane automatycznie:
    notempty
    Nowość od v14.2.0
    		 Wł. Dla tej sieci można automatycznie utworzyć reguły filtrowania portów, zezwalające na ruch do internetu na interfejsie łączącym z interfejsem zewnętrznym (A0).
    Podobnie tworzone są reguły, które umożliwiają również ruch z sieci wewnętrznej do sieci DMZ.
    Który zestaw reguł ma zostać wygenerowany?
    notempty
    Nowość od v14.2.0
    		 Zezwól na specjalną usługę z sieci "wewnętrznej” do "internetu” Umożliwia wybór określonych usług, które mają mieć swobodę komunikacji między siecią wewnętrzną a internetem
    Zezwól na pełny dostęp z sieci „wewnętrznej” do „internetu” Zezwala na wszelki ruch między siecią wewnętrzną a internetem
    Odmowa dostępu z sieci „wewnętrznej” do „internetu” Blokuje cały ruch między siecią wewnętrzną a internetem
    Wybór grupy usług:
    notempty
    Nowość od v14.2.0

    		 default-internet Jeśli zaznaczono opcję "Usługa specjalna”, można wybrać jedną z poniższych usług
    Wyświetl usługi
    Ukryj usługi
    Klicken für dauerhafte Anzeige
    • default-internet
    • proxy
    • netbios
    • dns
    • radius
    • administration
    • windows-domain
    • ipsec
    • ssl-vpn
    • voip
    • network-time
    • pptp-gre
    • sp-backup
    Utwórz bridge WLAN: Nie
    Default    		 Tworzy bridge (most), dzięki czemu ta sieć i sieć WLAN znajdują się w tej samej sieci.

    Wyświetla się, gdy włączona jest opcja Generuj WLAN Bridge    		 Nie Po aktywacji automatycznie generowana jest reguła filtru pakietów
    STP:
    Wyświetla się, gdy włączona jest opcja Generuj WLAN Bridge    		 Wył. Po włączeniu stosowany jest protokół STP (Spanning Tree Protocol)
    Priorytet STP Bridge:
    Wyświetla się, gdy włączona jest opcja Generuj WLAN Bridge    		 32768▴▾
    Default    		 Ustawiono priorytet Bridge STP

    Krok 4 - Internet

    W tym miejscu konfiguruje się połączenie internetowe na interfejsie zewnętrznym (A0).
    Dostępne są następujące rodzaje:

    Typ połączenia PPPoE / VDSL
    Typ połączenia: PPPoE / VDSL
    W tym przypadku modem ADSL lub SDSL podłącza się do interfejsu zewnętrznego (A0). Połączenie inicjuje urządzenie UTM.
  • Router może być używany z tym typem połączenia tylko wtedy, gdy można go ustawić w trybie modemu i gdy istnieje gwarancja, że urządzenie UTM zainicjuje połączenie.
    • Nazwa użytkownika: (udostępnia ISP) Dane logowania są udostępniane przez dostawcę usług internetowych (ISP).
    Krok 4 z PPPoE / VDSL
    Hasło: (udostępnia ISP)
    PPPoE dla VDSL/światłowodów: Wył. Zaznacz to pole, jeśli połączenie PPPoE jest realizowane za pośrednictwem modemu VDSL lub łącza światłowodowego.
    VLAN ID:
    Wyświetla się, gdy PPPoE dla VDSL/światłowodów jest włączone    		 7 Identyfikator sieci VLAN jest zazwyczaj określany przez operatora sieci
    IPv6 Prefix Delegation: Wył. Umożliwia podział sieci IPv6 przydzielonej przez dostawcę usług internetowych na sieci /64 i przypisanie ich do poszczególnych interfejsów za pomocą komunikatu Router Advertisement.
    Przykład:
    Adres sieciowy przypisany przez dostawcę usług internetowych:
     2001:0db8:aaaa:bb::/56
    Sieci rozdzielane na interfejsach wewnętrznych za pomocą ogłoszeń routera:
     2001:0db8:aaaa:bb00::/64
     2001:0db8:aaaa:bb01::/64
    Typ połączenia Ethernet ze stałym adresem IP
    Typ połączenia:Ethernet ze stałym adresem IP
    W przypadku tego typu połączenia router jest podłączony do interfejsu zewnętrznego (A0), który sam nawiązuje połączenie z internetem. Dane logowania dostawcy są przechowywane w tym routerze, a nie w urządzeniu UTM.
  • Tego typu połączenia nie można używać z modemem ani routerem działającym w trybie modemu.
    • Zewnętrzny adres IP: 192.168.178.101/24 Adres IP interfejsu zewnętrznego (A0) oraz zakres adresów IP sieci zewnętrznej (maska podsieci w notacji CIDR). Wartością domyślną jest istniejący adres IP, o ile taki istnieje.
    Interfejs zewnętrzny domyślnie otrzymuje adres IP za pośrednictwem protokołu DHCP, pod warunkiem że w sieci zewnętrznej dostępny jest serwer DHCP.
    Krok 4 sieć Ethernet ze statycznym adresem IP
    Default Gateway: 192.168.178.1/---  Adres IP bramy domyślnej urządzenia UTM, dzięki czemu urządzenie wie, który router jest najbliżej dla wszystkich sieci, które nie znajdują się na interfejsie wewnętrznym: Z reguły jest to internet.
    IPv6 Prefix Delegation: Wył. Umożliwia podział sieci IPv6 przydzielonej przez dostawcę usług internetowych na sieci /64 i przypisanie ich do poszczególnych interfejsów za pomocą komunikatu Router Advertisement.
    Przykład:
    Adres sieciowy przypisany przez dostawcę usług internetowych:
     2001:0db8:aaaa:bb::/56
    Sieci rozdzielane na interfejsach wewnętrznych za pomocą ogłoszeń routera:
     2001:0db8:aaaa:bb00::/64
     2001:0db8:aaaa:bb01::/64
    Typ połączenia Modem kablowy z obsługą DHCP
    Typ połączenia: Modem kablowy z obsługą DHCP
    np.: połączenie DSL przez linię telefoniczną z routerem Fritzbox lub Speedport.
    Pierwotnie były to głównie urządzenia dostarczane klientom przez operatorów kablowych.
    Również w przypadku tego typu połączenia do interfejsu zewnętrznego (A0) podłączony jest router, który sam nawiązuje połączenie z Internetem. Dane logowania dostawcy są przechowywane w tym routerze, a nie w urządzeniu UTM.
  • Tego typu połączenia nie można używać z modemem ani routerem działającym w trybie modemu.
    		•
    Krok 4 modem kablowy z protokołem DHCP
    DHCP Client: IPv4 Wybór protokołu, za pomocą którego interfejs odbiera adresy IP od poprzedniego routera wyposażonego w serwer DHCP.
    IPv6
    IPv4 & IPv6
    Użyj serwera DNS dostawcy usług internetowych: Wył. Po włączeniu tej opcji wykorzystywany jest serwer DNS dostawcy.
    IPv6 Prefix Delegation: Wył. Umożliwia podział sieci IPv6 przydzielonej przez dostawcę usług internetowych na sieci /64 i przypisanie ich do poszczególnych interfejsów za pomocą komunikatu Router Advertisement.
    Przykład:
    Adres sieciowy przypisany przez dostawcę usług internetowych:
     2001:0db8:aaaa:bb::/56
    Sieci rozdzielane na interfejsach wewnętrznych za pomocą ogłoszeń routera:
     2001:0db8:aaaa:bb00::/64
     2001:0db8:aaaa:bb01::/64
    Typ połączenia LTE / inne
    Typ połączenia: LTE / inne
    Po zakończeniu pracy kreatora instalacji konfigurowane są połączenia LTE lub inne połączenia

    Krok 5 - Przekierowanie DNS

    W tym miejscu można skonfigurować przekierowanie DNS serwera nazw. Dostępne są te same opcje, jak w menu Sieć Serwer nazw Obszar DNS Forwarding
    Do wersji 14.1.x opcja ta znajdowała się w menu Aplikacje Serwer nazw
    . Bardziej szczegółowe informacje można znaleźć w artykuł o serwer nazw.
    Dodaj przekierowanie DNS DNSDoT Dodaje przekierowanie DNS.
    Można wybrać klasyczny DNS lub DNS over TLS (DoT). Więcej informacji w artykuł na temat przekierowywania DNS w serwerze nazw.

    Dodaj przekierowanie DNS UTMuser@firewall.name.fqdn Zarządzanie konfiguracją Asystent instalacji
    Krok 5
    Użyj serwera DNS dostawcy usług internetowych: Wł. Po włączeniu tej opcji wykorzystywany jest serwer DNS dostawcy.
    notempty
    Nowość: domyślnie zaznaczone dla PPPoE i modemu kablowego

    Krok 6 - DMZ

    Urządzenie Black Dwarf (G5) posiada tylko 2 interfejsy.
    Nie ma zatem możliwości utworzenia drugiej (przewodowej) sieci wewnętrznej.
    W związku z tym pomija się etap konfiguracji strefy DMZ.

    DMZ adres IP: 192.168.176.1/24 Adres IP interfejsu none oraz maska podsieci (w notacji CIDR) dla sieci DMZ.
    Krok 6 bez sieci WLAN
    Przydziel adresy IP klientom w tej sieci za pomocą protokołu DHCP: Nie Po włączeniu opcji Tak urządzenie UTM działa jako serwer DHCP: wszyscy klienci w sieci DMZ otrzymują adres IP za pośrednictwem protokołu DHCP. Spowoduje to ustawienie urządzenia UTM jako bramy domyślnej i serwera DNS dla tych klientów.
    Reguły wygenerowane automatycznie: Nie Dla tej sieci można automatycznie utworzyć reguły filtrowania portów, zezwalające na ruch do internetu na interfejsie łączącym z interfejsem zewnętrznym (A0).
    Podobnie tworzone są reguły, które umożliwiają również ruch z sieci wewnętrznej do sieci DMZ.
  • Te reguły zezwalają na ruch wszystkich z tej sieci do Internetu i innych sieci wewnętrznych.
    notempty
    Te reguły typu any są przeznaczone do celów testowych i należy je wyłączyć i zastąpić jasno zdefiniowanymi regułami w trybie produkcyjnym.
    • Który zestaw reguł ma zostać wygenerowany?
    notempty
    Nowość od v14.2.0

    Wyświetla się, gdy opcja Automatycznie generowane reguły jest włączona    		 Zezwól na specjalną usługę z sieci "wewnętrznej” do "internetu” Umożliwia wybór określonych usług, które mają mieć swobodę komunikacji między siecią wewnętrzną a internetem
    Zezwól na pełny dostęp z sieci „wewnętrznej” do „internetu” Zezwala na wszelki ruch między siecią wewnętrzną a internetem
    Odmowa dostępu z sieci „wewnętrznej” do „internetu” Blokuje cały ruch między siecią wewnętrzną a internetem
    Wybór grupy usług:
    notempty
    Nowość od v14.2.0

    		 default-internet Jeśli zaznaczono opcję "Usługa specjalna”, można wybrać jedną z poniższych usług
    Wyświetl usługi
    Ukryj usługi
    Klicken für dauerhafte Anzeige
    • default-internet
    • proxy
    • netbios
    • dns
    • radius
    • administration
    • windows-domain
    • ipsec
    • ssl-vpn
    • voip
    • network-time
    • pptp-gre
    • sp-backup
    Router Advertisement: Nie Jeśli urządzenie UTM otrzymało prefiks IPv6, może ogłaszać tę podsieć za pomocą ogłoszeń routowych w segmencie sieci znajdującym się za danym interfejsem. (Zobacz artykuł IPv6 Prefix Delegation)
    Utwórz bridge WLAN:
    notempty
    Nowości w wiki v14.2.0

    Tylko jeśli zainstalowano moduł WLAN    		 Nie Tworzy bridge (most), dzięki czemu ta sieć i sieć WLAN znajdują się w tej samej sieci.
    notempty
    Nowości w wiki

    Wyświetla się, gdy włączona jest opcja Generuj WLAN Bridge    		 Nie Po aktywacji automatycznie generowana jest reguła filtru pakietów
    STP:
    notempty
    Nowości w wiki

    Wyświetla się, gdy włączona jest opcja Generuj WLAN Bridge    		 Wył. Po włączeniu stosowany jest protokół STP (Spanning Tree Protocol)
    Priorytet STP Bridge:
    notempty
    Nowości w wiki

    Wyświetla się, gdy włączona jest opcja Generuj WLAN Bridge    		 32768▴▾
    Default    		 Ustawiono priorytet Bridge STP

    Krok 7 - WLAN

    W dostarczonej konfiguracji moduł WLAN jest zainstalowany w Black Dwarf (G5).
    Jeśli moduł został usunięty, ten krok jest pomijany.

  • Do stałego korzystania z sieci WLAN (>30 dni) na urządzeniach do G3/G4 wymagana jest oddzielna licencja
  • W przypadku urządzeń z serii G5 korzystanie z sieci WLAN jest już objęte licencją
    • Adres IP sieci WLAN:
    Nie w trybie bridge    		 192.168.177.1/24 Adres IP interfejsu WLAN (wlan0) oraz maska podsieci (w notacji CIDR) dla sieci WLAN.
    W trybie bridge stosowane jest tutaj ustawienie z sieci wewnętrznej, w której włączono tryb bridge.
    Krok 7: Okno dialogowe WLAN bez konfiguracji bridge

    Krok 7: Okno dialogowe WLAN w przypadku korzystania z trybu bridge
    Kod kraju: DE Kod kraju służy do określenia, jakie częstotliwości i jakie poziomy mocy sygnału mogą być wykorzystywane.
    Informacje na temat wykorzystywanych częstotliwości i mocy nadawczej można znaleźć w w Wikipedii.
    SSID: TTT-POINT Identyfikator zestawu usług (SSID) to nazwa, pod którą sieć WLAN jest wyświetlana klientom. Należy ją podać w każdym przypadku.
    SSID Broadcast: Wł. Ta opcja pozwala określić, czy sieć WLAN ma być widoczna dla wszystkich klientów, czy też transmisja identyfikatora SSID powinna zostać wyłączona. (Wyłączone)
    Security Mode: WPA Jest uznawany za niebezpieczny i istnieje wyłącznie ze względu na kompatybilność wsteczną. (Jako metodę szyfrowania stosuje się TKIP)
    WPA2 Standard z ulepszonymi zabezpieczeniami
    AES128 is used as encryption method: https://en.wikipedia.org/wiki/WPA2
    WPA3 Standard zapewniający najwyższy dostępny poziom bezpieczeństwa
    AES256 and SAE are used as encryption methodes: https://en.wikipedia.org/wiki/WPA3
    Pre-Shared Key: Don'tcopythis:Ei)#W~X$… Stacja bazowa i urządzenie mobilne muszą mieć ten sam klucz PSK (≙hasło). Bezpieczeństwo szyfrowania zależy bezpośrednio od długości i złożoności klucza PSK!
  • Krótkie lub łatwe do odgadnięcia klucze PSK stanowią zagrożenie dla bezpieczeństwa sieci.
    • Automatycznie generuje bardzo silny klucz PSK
    Przydziel adresy IP klientom w tej sieci za pomocą protokołu DHCP:
    Nie w trybie bridge    		 Wył. Po włączeniu tej funkcji urządzenie UTM działa jako serwer DHCP: wszyscy klienci w sieci WLAN otrzymują adres IP za pośrednictwem protokołu DHCP. Spowoduje to ustawienie urządzenia UTM jako bramy domyślnej i serwera DNS dla klientów.
    W trybie bridge stosowane jest tutaj ustawienie z sieci wewnętrznej, w której włączono tryb bridge.
    Router Advertisement: Nie Jeśli urządzenie UTM otrzymało prefiks IPv6, może ogłaszać tę podsieć za pomocą ogłoszeń routowych w segmencie sieci znajdującym się za danym interfejsem. (Zobacz artykuł IPv6 Prefix Delegation)
    Utwórz reguły dostępu do internetu:
    Nie w trybie bridge    		 Wył. Dla tej sieci można automatycznie utworzyć reguły filtrowania portów, zezwalające na ruch do internetu na interfejsie łączącym z interfejsem zewnętrznym (A0).
    Podobnie tworzone są reguły, które umożliwiają również przepływ danych z sieci wewnętrznej do sieci WLAN.
  • Te reguły zezwalają na ruch wszystkich z tej sieci do Internetu i innych sieci wewnętrznych.
    notempty
    Te reguły typu any są przeznaczone do celów testowych i należy je wyłączyć i zastąpić jasno zdefiniowanymi regułami w trybie produkcyjnym.

    • W trybie bridge stosowane jest tutaj ustawienie z sieci wewnętrznej, w której włączono tryb bridge.
    Który zestaw reguł ma zostać wygenerowany?
    notempty
    Nowość od v14.2.0

    Wyświetla się, gdy opcja Wygeneruj reguły dostępu do internetu jest włączona    		 Zezwól na specjalną usługę z sieci "wewnętrznej” do "internetu” Umożliwia wybór określonych usług, które mają mieć swobodę komunikacji między siecią wewnętrzną a internetem
    Zezwól na pełny dostęp z sieci „wewnętrznej” do „internetu” Zezwala na wszelki ruch między siecią wewnętrzną a internetem
    Odmowa dostępu z sieci „wewnętrznej” do „internetu” Blokuje cały ruch między siecią wewnętrzną a internetem
    Wybór grupy usług:
    notempty
    Nowość od v14.2.0

    		 default-internet Jeśli zaznaczono opcję "Usługa specjalna”, można wybrać jedną z poniższych usług
    Wyświetl usługi
    Ukryj usługi
    Klicken für dauerhafte Anzeige
    • default-internet
    • proxy
    • netbios
    • dns
    • radius
    • administration
    • windows-domain
    • ipsec
    • ssl-vpn
    • voip
    • network-time
    • pptp-gre
    • sp-backup

    Krok 8 - Certyfikat

    Wygeneruj certyfikat CA i certyfikat serwera: Tak
    Default    		 Jeśli opcja Tak jest włączona, zostaną wygenerowane certyfikaty urzędu certyfikacji i serwera.
  • Pola „Kraj”, Organizacja i Dział są wstępnie wypełnione w zależności od zaimportowanej licencji, ale można je tutaj również zmienić.
    		•
    Krok 8
    Długość klucza: 3072 Wybierz długość klucza w bitach
    Ważne od: 2024/01/01 00:00:00
    Ważne do: 2037/12/31 23:59:59
    Kraj: DE Szczegółowe dane służą do identyfikacji wystawcy certyfikatu
    Województwo: Niedersachsen
    Organizacja: TTT Point
    Oddział: Support
    Adres e-mail: admin@ttt-point.de

    Krok 9 - Administrator

    Użytkownik admin W tej chwili nie można zmienić nazwy użytkownika admin
    Krok 9
    Hasło: ••••••••••••••

































    Hasła muszą spełniać następujące kryteria:
    • co najmniej 8 znaków
    • co najmniej 3 z poniższych kategorii:
      • Wielkie litery
      • Małe litery
      • Znaki specjalne
      • Cyfry
    Potwierdź hasło: ••••••••••••••
    Gotowe
    • Kreator jest w trakcie działania
    • Tworzona jest nowa konfiguracja o nazwie konfiguracja-kreator-data-czas
    • Ta konfiguracja zostaje ustawiona jako konfiguracja rozruchowa
    • Ta konfiguracja zostaje ustawiona jako konfiguracja bieżąca

    Uruchom ponownie

    Uruchom ponownie

    Czy chcesz teraz zrestartować system? Tak Aby zmiany w konfiguracji zostały zastosowane, należy ponownie uruchomić odpowiednie usługi w właściwej kolejności.
    Można to osiągnąć poprzez ponowne uruchomienie urządzenia.
    notempty
    Jeśli zmieniono adres IP Twojego komputera w celu uzyskania dostępu do interfejsu administracyjnego urządzenia UTM, a domyślne ustawienie zostało zmienione w Krok 3 - Wewnętrzne, wewnętrzny interfejs urządzenia UTM znajduje się teraz w tej sieci.
    W celu dalszej konfiguracji należy ponownie zmienić adres IP Twojego komputera.
    Zobacz [1]

    Konfiguracja interfejsów

    Czy chcesz teraz skonfigurować interfejsy? Tak Nie Ten komunikat pojawia się, jeśli nie wszystkie istniejące interfejsy są poprawnie skonfigurowane. Zaleca się jednak to zrobić, aby zapobiec ewentualnym problemom. Przycisk Tak otwiera bezpośrednio okno konfiguracji sieci.
    Nie pytaj ponownie. Wył. Jeśli nie chcesz, aby ten komunikat się pojawiał, możesz tutaj ustawić, aby nie wyświetlał się ponownie przy następnym logowaniu.



    Servereinstellungen






























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden










































    Warnung: Der Anzeigetitel „Appliance Settings“ überschreibt den früheren Anzeigetitel „Asystent instalacji“.



    Global settings of the UTM

    Ostatnia zmiana dla wersji: 14.1.2

    Nowość:
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Sieć Ustawienia urządzenia Obszar Appliance Settings

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















    notempty
  • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
  • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
  • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
  • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
  • Niebezpieczne certyfikaty należy pilnie wymienić!
    BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
    BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

    Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Pokaż dotknięte aplikacje
    Ukryj dotknięte aplikacje
    Klicken für dauerhafte Anzeige
  • OpenVPN
  • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
  • Certyfikat klienta dla S2S
  • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
  • Mailrelay
  • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
  • Reverse-Proxy
  • Ustawienia → Certyfikat SSL
  • Webserver
  • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
  • HTTP-Proxy
  • Przechwytywanie SSL → Certyfikat CA

    • Opis Wartość Opis Appliance Settings UTMuser@firewall.name.fqdn Network
    Appliance Settings

    Firewall

    Firewall
    Firewall Name:     Full Qualified Domain Name-Compliant firewall name.
    Here you can define how the UTM responds to requests.
     If the mail relay is to be used, it may be useful to enter the FQDN of the mail exchange (MX) here so that other mail servers can match it using the reverse resolution of the PTR resource record (PTR).

    Read out:
    extc global get variable "GLOB_HOSTNAME"
    Set:
    extc global set variable "GLOB_HOSTNAME" value "utm.firma.local"

    Global contact person:     This field is used to enter the name of the administrator or organization that will later be specified in the UTM error messages for queries.
    Global email address:     An email address is entered here to which mails can be sent that otherwise cannot be delivered.
    Otherwise, undeliverable mails remain on the hard disk space, which can lead to the fact that the available space is no longer sufficient at some point and no more mails will be accepted.
    As of version v12.4.2 have an email address has to be stored here.
    Otherwise the mail connector and proxy will not start!
    A global email address will be requested when logging in.

    notempty
    The global email address is also the postmaster address for the mail relay.

    Read out:
    extc global get variable "GLOB_ADMIN_EMAIL"
    Set:
    extc global set variable "GLOB_ADMIN_EMAIL" value "utm-admin@ttt-point.de"

    Report language: German Language in which UTM reports are sent.
    Alternatively to choose: English

    DNS-Server

    DNS-Server
    Check Nameserver prior to local cache: Off (Default) The local cache of the UTM initially answers the DNS queries (corresponds to 127.0.0.1) as the primary name server.
    On activation, the name servers entered here will check the name resolution before the local cache of the UTM.
    Primary Nameserver:

    Secondary Nameserver:    		    

           		 The IP addresses of two external name servers to which the UTM should forward the DNS queries can be entered here.
  • DNS servers that can be reached via the external interface should be entered here.
    • notempty
    Please do not enter a DNS server from your own internal network.

    Time Settings

    Time Settings
    Current Date: 2020-20-32 25:00:20 The current time can also be entered manually.
    Refreshes the display.
  • In the interaction of servers, VPN connections and especially with OTP authentication, it is important that all components are synchronized in time.
    • NTP-Server:
    notempty
    zaktualizowano: Multiple entries possible
    		 »ntp.securepoint.de The required NTP servers can be entered here.
  • Entering an IP address can avoid problems with DoT and DNSSEC.
    • Timezone: Europe/Berlin Correct time zone

    Webserver

    Webserver







  • If the port for the admin or the user interface is set to a well known port (ports 0-1023), access by the browser can be blocked!
    Access may still be possible:
    • The start of e.g. Google Chrome or Edge is done with the start parameter --explicitly-allowed-ports=xyz.
    • For Firefox, a string variable with the value of the port to be released is created in the configuration (about:config in the address bar) under network.security.ports.banned.override.
    • It is possible to create a temporary policy for chromium-based browsers to allow its use.
      This is strongly discouraged for safety reasons!
  • Error message in Chome / Edge: ERR_UNSAFE_PORT
  • Error message in Firefox: Error: Port blocked for security reasons
    • Administration Webinterface Port: 11115▴▾ Port to reach the administration interface (which is used e.g. to display the web page shown in the image. In delivery state: 192.168.175.1:11115
    User Webinterface Port: 443▴▾ Port to reach the user interface. This is used for example to access filtered mails and VPN configurations.
    notempty
    The user interface port must be changed if port 443 (HTTPS) is used for the reverse proxy.

    notempty
    The user interface port must be changed if port 443 (HTTPS) is forwarded.
    Certificate:    

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

    • Without a dedicated selected certificate, the default certificate of the UTM is used, which was issued by the default CA: firewall.foo.local
    If the UTM should be recognized by the browser with a valid certificate, proceed as follows:
    1. Create a CA ( Uwierzytelnianie Certificates Obszar CA przycisk Add CA)
    2. Export the public part of the CA
    3. Create Certificate (Certificates Button Add Certificate
      1. Select the CA that was exported in step 2 as the CA
      2. Alias DNS FQDN - Name of the UTM , as in Sieć Firewall Obszar Server Settings section Firewall field firewall name: entered
        Multiple entries are possible!
      3. AliasIP IP Address IP address under which UTM can be reached.
        Several entries are possible in each case!
    4. Select the just created certificate under Sieć Server Settings Obszar Server Settings Section Webserver Certificate:
    5. Import the exported CA in the browser as a certificate authority
  • It is also possible to use ACME certificates.

    • Advanced Settings

    Advanced Settings
    Maximum Active Connections: 32000▴▾ Maximum number of active connections to the UTM.
    This includes:
    • Web interface
    • SMTP
    • SSH
    Last-Rule-Logging: SHORT - Log three entries per minute The Last-Rule-Logging setting controls the number of messages that are written to the Syslog.
    • NONE - Do not log
    • SHORT - Log three entries per minute : Only the first three log messages per minute are displayed.
    • LONG - Log everything
    notempty
    We recommend to leave the setting at short.



    Ethernet Konfiguration





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden






















































    Warnung: Der Anzeigetitel „Ethernet Interfaces“ überschreibt den früheren Anzeigetitel „Appliance Settings“.



    Creating and configuring an Ethernet interface

    Ostatnia zmiana dla wersji: 14.2.0

    Nowość:
    • Beta Dla wersji beta
    notempty
    Ten artykuł odnosi się do wersji beta

    14.0 12.6.0 12.5.1 11.7

    Dostęp: ' Sieć Konfiguracja sieci Obszar Netzwerkschnittstellen przycisk

    Network interfaces General





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden




















    Only if → Show reset interface options On
    Button Opis Network configuration UTMuser@firewall.name.fqdn Network
    Network interfaces overview











    notempty
    Nowość od v14.2.0
        Ein Klick auf die Schaltfläche öffnet die erweiterte Suche
    ukryj
    Klicken für dauerhafte Anzeige
    Erweiterte Suche
    Spalte Dienst Name der Spalte auswählen. Die Auswahl hängt von der Tabelle ab, in der man sich gerade befindet.
    Suchbegriff internet Begriff, nach dem in der ausgewählten Spalte gesucht werden soll
    Kriterien mit ...
    -Operator verbinden    		 and / or Suchbegriffe verknüpfen mit und bzw. oder. Es müssen entweder alle Begriffe vorkommen oder einer
    Filter hinzufügen Weiteren Begriff in einer Spalte hinzufügen für eine Suche nach mehreren Kriterien
    Suche starten
    Suche starten und erweiterte Suche zuklappen
    Edit Edit the respective interface
    Reset
    notempty
    Nowość od v14.0.0
    		 Resetting the interface options, this includes everything that is found with the CLI command interface get in the options column (list here), as well as the hotwire configuration.
    Delete Deletes the respective interface
    In the table settings (), the display and content of the table can be configured.
    notempty
    Nowość od v14.0.0
    Show reset of interface options: Wył. When activated On, the button for resetting a network interface is displayed
    Table settings
    Show details:
    notempty
    Nowość od 14.2.0
    		 Wył. Displays additional details in the table, such as the MAC addresses of the zones
    Style: Default Customizes the style of the table for this table (for more detailed information on the configuration options, see Tools)
    Entries per page: Default Adjusts the entries per page of the table individually for this table (for more detailed information on the configuration options, see

    Tools)

    Max height: Default Adjusts the maximum display height of the table for this table individually (for more detailed information on the configuration options, see

    Tools)

    Creating an Ethernet interface

    The creation of an Ethernet interface is done with a wizard in the menu Sieć Network configuration Obszar Network interfaces przycisk Ethernet.
    Any number of interfaces can be created on UTMs with the naming scheme “eth”x.
    On UTMs with the naming scheme “LAN”x or “A”x, only interfaces that actually exist can be created.


    Opis Wartość Opis Add interface UTMuser@firewall.name.fqdn Network Network configuration
    Krok 1
    Name + IP-Adresse
    Name: LAN4 Name of the interface.
    If ther is an existing unused interface by default the next free LANx name is used.
    The name can also be entered manually.
    IP Address: 192.168.176.1/24 If the interface is to have a fixed IP, this is entered here.
    DHCP-Client: Wył.
    IPv4
    IPv6
    IPv4 & IPv6    		 Here the setting is made whether - and if so, for which IP protocol - the interface should obtain its IP addresses from a DHCP server.
    Zones:     Previously created zones can be selected by clicking in the click box.
    Krok 2
    Zones
    Add new zone: Nie
    dmz1    		 If activated, a new zone with a freely selectable name (here: dmz1) is created.
    Auto-generate rules: Nie If activated, autogenerated rules are created to enable network traffic to all existing networks.
    notempty
    These rules serve exclusively to facilitate the commissioning of the interface. They cannot be edited and must absolutely be replaced by individualized rules and subsequently deactivated or deleted!
    Update associated network objects: Wł. If an existing zone has been selected, all network objects that are already in this zone and have an interface as a target are moved to the new interface.

    Finish the wizard with the Finish button.


    Edit an Ethernet interface

    The configuration of an Ethernet interface is done in the menu Sieć Network configuration Obszar Network interfaces przycisk

    General

    General











































    Opis Wartość Opis Edit interface UTMuser@firewall.name.fqdn Network Network configuration
    Name: LAN1 The name of the interface cannot be changed afterwards.
    DHCP-Client: Wył.
    IPv4
    IPv6
    IPv4 & IPv6    		 Here the setting is made whether - and if so, for which IP protocol - the interface should obtain its IP addresses from a DHCP server.
    Router Advertisement: Wył. If the UTM has received an IPv6 prefix (on an external interface), it can make the Default Gateway and the subnet known via router advertisement and at the same time distribute corresponding IPv6 addresses in the connected network. (See article IPv6 Prefix Delegation).
    Assign IPv6 addresses: Wł. If it is not desired that the UTM distributes IPv6 addresses, but only the default gateway, then this option must be deactivated.
    RDNSS Adresses
    Nur, wenn IPv6-Adressen vergeben aktiviert ist
    notempty
    Nowość od 14.2.0
    		 »2001:db8::1
    »2001:db8::1    		 IPv6-Adressen der DNS-Server (max. 2), die für die Namensauflösung verwendet werden sollen.

    Kann die DHCPv6 Konfiguration ergänzen oder ersetzen.

    IPv6 Prefix Delegation: Wył. Enables IPv6 prefex delegation to get IPv6 prefixes allocated on this interface. (For external interfaces only.)

    Settings

    Settings
    MTU: 1500▴▾ The Maximum Transmission Unit specifies the maximum packet size that can be transmitted without fragmentation.
    Depending on the type of network (cable, Ethernet, VPN use), other values can help with connection problems here.
    Autonegotiation: Wył. OnDefault Allows (on) or prohibits (off) Ethernet network ports from independently negotiating and configuring the maximum possible transmission speed and duplex mode.

    Or does not perform an autonegotiation check (default) and therefore does not generate an error if the option cannot be changed.

    Speed: 10 MBit/s
    100 MBit/s
    1000 MBit/s    		 Speed of network communication
    Duplex: full
    half    		 Duplex allows data packets to be sent and received simultaneously. HUBs usually only support Halfduplex.
    If autonegotiation mode is enabled at one end of the link and full-duplex operation is forced at the other end, the autonegotiating subscriber will recognize the link as half-duplex, resulting in a large number of transmission errors. →Wikipedia
    Route Hint IPv4: 192.0.2.192/---  Via the field "Route Hint" it is possible to define the gateway of the interface. This has the advantage, for example, that only the interface (e.g. LAN3) has to be specified in routing and not directly the gateway IP.
    Route Hint IPv6: 2001:DB8::123/---  Via the field "Route Hint" it is possible to define the gateway of the interface. This has the advantage, for example, that only the interface (e.g. LAN3) has to be specified in routing and not directly the gateway IP.
  • Flow control can also be configured via CLI.

    Enable autonegotiate: interface set name "LAN1" options [ pause_autoneg=1 ]
    activate RX (The interface can receive pause frames.) : interface set name "LAN1" options [ pause_rx=1 ]
    activate TX (The interface can send pause frames to other participants in the network.): interface set name "LAN1" options [ pause_tx=1 ]
    View configuration: interface get

    • IP Addresses

    IP Addresses
    IP Addresses »192.168.121.1/24»fc80:1234::1/64 Under the menu item IP addresses one or more addresses can be assigned to an interface.

    Zones

    Zones
    Zones »internal»firewall-internal»internal_v6»fireall-internal_v6 Under the menu item Zones the zones of the interface are defined.
  • Important: The zone internal should always be assigned to an interface.
    If the zone internal is not assigned to an interface and the administration via the web interface is not explicitly enabled, the web interface can not be accessed anymore!
    		•

    DynDNS

    DynDNS
    Enabled: Yes Enables or disables (default) the DynDNS function
    DynDNS settings
    Hostname: hostname.spdns.de Desired Hostname
    User: hostname.spdns.de The corresponding user name must be entered here
  • Auf Groß- und Kleinschreibung achten!
  • If linked to a reseller account, the corresponding host name must be entered here
    • Password:     The password must be entered here
  • Auf Groß- und Kleinschreibung achten!
  • If linked to a reseller account, the update token must be entered here
    • Server: update.spdyn.de The securepoint update server
    MX:    
    Webresolver: On Must be activated if the NAT router is located before the DNS (i.e.: UTM → Fritzbox/Speedport → internet)
    Protocol: The DNS service can be activated for IPv4 or IPv6 addresses only, or both IPv4 and IPv6.

    Fallback

    Fallback
    Fallback interface: wan3 Interface that stands in for the main interface in the case of a malfunction.
    The absence of malfunctions is verified by ping-checking an IP.
    Further notes on the configuration of a fallback can be found in a separate Wiki article.
    Fallback settings
    Ping-check IP: »203.0.2.203 »192.0.2.192
    Example IPs must be replaced    		 Host(s) to which the ping check is to be performed.
    This can also be a host in the internal network if necessary.
    This may also be a host in the internal network.
    If a ping check host does not respond, the subsequent IP address is tried immediately. If none of the ping check hosts responds, this is considered a failed attempt and checked again after the ping check interval.
    Ping-check Intervall: 5▴▾ Seconds Period between ping attempts
    Ping-check Threshold: 4▴▾ Attempts Number of failed ping attempts before switching to the fallback interface.

    Create default route





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden













    A default route must be created for this connection:
    Sieć Konfiguracja sieci Obszar Routing przycisk Add Default Route

    Gateway Type Interface

    Gateway Type: Interface
    Opis Wartość Opis Add Default-Route UTMuser@firewall.name.fqdn Network Network configuration
    Create default route
    Gateway: wan0 Select the desired interface.
    Dialog Save and close
    Default route for IPv4.
    If necessary, another default route for IPv6 must be created.     		Network configuration UTMuser@firewall.name.fqdn Network
    Routing with PPPoE

    Gateway Type IP

    Gateway Type: IP
    Opis Wartość Opis Add Default-Route UTMuser@firewall.name.fqdn Network Network configuration
    Create default route
    Gateway: fe80:1234::1/--- IP address of the gateway.
    If a Link Local IPv6 is recognised, the "Interface" button is displayed and an interface must be selected.
    Interface:
    Only for link local IPv6    		 LAN1 Interface via which the IP address can be accessed.
    Dialog Save and close
    Default route for IPv6.
    If necessary, another default route for IPv4 must be created.     		Network configuration UTMuser@firewall.name.fqdn Network
    Routing with PPPoE



    Mobilfunkeinstellungen





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


































    Warnung: Der Anzeigetitel „Mobile Settings“ überschreibt den früheren Anzeigetitel „Ethernet Interfaces“.



    Mobile Settings on the UTM

    Ostatnia zmiana dla wersji: 12.6.0

    Nowość:
    • Zaktualizowano do Przeprojektowanie Interfeju WWW
    Ostatnia aktualizacja: 
      06.2025
      • Incorrect 5G note removed
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Sieć Konfiguracja sieci Obszar Mobile

    Vorbemerkung

    Under Sieć Network configuration Obszar Mobile a UMTS or LTE interface can be configured.
    The mode used depends on the modem, the setup does not differ.

    • The upgrade kit for the UMTS or LTE function can be obtained later for the Black Dwarf, the RC100 and the RC200.
    • On request, it is also possible for the UMTS or LTE module to be installed before delivery.
    • The devices or the upgrade kits are to be obtained exclusively from Securepoint or Wortmann AG.
      Foreign products are not supported.
    • Detailed instructions for retrofitting can be found here. Installation Upgradekit
  • Please note that after a crash of the modem, the device must be completely unpowered for several minutes so that it can successfully re-dial.


    • Available modules

    Name Manufacturer Function
    MC7304 Sierra Wireless Incorporated LTE Modem
    EM770W Huawei UMTS Modem
    Qualcomm LTE Modem


    Add mobile interface

    The Mobile interface is configured under Sieć Konfiguracja sieci Obszar Mobile przycisk + Mobile.
    The setup wizard for the Mobile interface opens.     		Network configuration UTMuser@firewall.name.fqdn Network
    Add mobile interface

    Setup step 1

    		 Add interface UTMuser@firewall.name.fqdn Network Network configuration

    Setup step 2

    The module to be configured is selected.

    Setup step 3

    • The zones must be placed on the interface.
    • If the mobile interface should be used as an Internet connection, the zones external and firewall-external are required here.
    • New zones can also be created.
    • No zones are required for a fallback interface.

    Manage SIM

    Unlock SIM

    The SIM card can be activated by clicking on the lock icon and entering the PIN.

    		Network configuration UTMuser@firewall.name.fqdn Network
    SIM cards unlocking

    Remove SIM PIN

    The PIN of a SIM can only be removed via SSH and with a root user.

    • Display modem: mmcli -L
    • Display path to SIM: mmcli -m "MODEM-NUMBER"
    • Disable PIN query: mmcli -i "PATH-TO-SIM" --pin="PIN" --disable-pin

    Provider selection

    After the SIM has been unlocked, the connection can be edited and the provider selected. The carriers differ by the respective APN.
    An overview of the most commonly used providers can be found here: Mobile Provider

    		Network configuration UTMuser@firewall.name.fqdn Network
    Edit modem UTMuser@firewall.name.fqdn Network Network configuration

    Add route

    A default route via the mobile interface (wwan0) is required so that a connection to the Internet can be established via the mobile interface.
    The configuration of a default route can be found here Configure default route.
    The setup of the Mobile connection is now complete.

    Signal quality

    The signal quality can be read out under Sieć Network configuration Obszar Mobile. The signal quality is specified as a percentage.

    		Network configuration UTMuser@firewall.name.fqdn Network
    LTE signal with LTE modem
    Network configuration UTMuser@firewall.name.fqdn Network
    HSPA signal with UMTS modem



    WLAN Konfiguration





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden






























    rules. }}


































    Warnung: Der Anzeigetitel „Wifi function“ überschreibt den früheren Anzeigetitel „Mobile Settings“.



    Wifi function of a UTM Black Dwarf, RC100 and RC 200

    Ostatnia zmiana dla wersji: 12.6.0

    Nowość:
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Sieć Konfiguracja sieci Obszar WLAN


    WLAN functionality

    • The Wi-Fi is available in the devices "Black Dwarf", "RC100" and "RC200" from the time of delivery or as a retrofit kit.
    • The devices/retrofit kits can only be obtained from Securepoint GmbH or Wortmann AG.
  • Foreign products are not supported.
    • Detailed instructions for retrofitting can be found here.
  • Attention: This WiFi setup guide is not a bridge configuration. The Wi-Fi IP circle must be in an independent subnet.
    As with any DMZ, rules and HideNATs may need to be created to allow access to the Internet/local network.
    If a bridge is to be set up in which the Wi-Fi and the internal network are in the same IP network, the corresponding Instructions for Bridging must be used.
  • A maximum of 28 clients can connect to the WLAN of the UTM

    • Call up the Wi-Fi configuration in the Sieć Network configuration Obszar WLAN menu.


    Setup
    Opis Wartość Opis WLAN Setup UTMuser@firewall.name.fqdn Network Network configuration
    Operation mode: 802.11g Sets the speed and, if necessary, the frequency of the transmission.
    Operation mode: Opis:
    802.11a 54 MBit/s, 5 GHz
    802.11b 11 Mbit/s, 2,4 GHz
    802.11g 54 MBit/s, 2,4 GHz
    802.11an 802.11n with up to 300 MBit/s, 5GHz
    Depending on the settings of the HT Capabilities of the client
    802.11gn 802.11n with up to 300 MBit/s, 2,4GHz
    Depending on the settings of the HT Capabilities of the client
    Country code: DE The country code is used to determine which frequencies and which signal strength may be used.
    The frequencies used and the transmission power can be found in a Wikipedia article.
    Channel: AUTO The channel can be set individually or selected automatically, depending on the mode.
    Beacon-Interval: 100▴▾(default) Frequency in ms with which the base station transmits general information and management packets with identification data, to inform about its presence
    In fact, the value given is kμs (kilomicroseconds). One kμs corresponds to 1.024 milliseconds or 0.001024 seconds
    Save and close Saves the settings and closes the input dialogue.


    Print WLAN QR codes

    Print WLAN QR codes

    		Creates an html page with access codes in QR format for the WLANs and opens the print dialogue of the browser.


    WLAN Wizard

    Add WLAN     		Opens the Wi-Fi wizard
    Depending on the WLAN hardware available, up to 4 WLANs may be possible.

    Step 1 - IP address

    Step 1 - IP address
    BSS: wlan0 Interface Name - is predefined and cannot be changed. (is part of the Basic service Set) Add WLAN UTMuser@firewall.name.fqdn Network Network configuration
    Step 1 - IP address
    IP address: 192.168.177.1/24 IP address of the Wi-Fi interface.
  • The address of the interface also automatically determines the network used for the WLAN.
  • The network selected for the WLAN (in this case 192.168.177.0/24) must under no circumstances match any other network on the appliance!

    • Step 2 - SSID

    Step 2 - SSID
    Network Name (SSID): TTT-Point-WLAN The name of the network that other devices must specify for a connection
    Step 2 - SSID
    SSID-Broadcast: Wł. When activated, the WLAN is displayed for other devices.

    Step 3 - Authentication

    Step 3 - Authentication
    Security Mode: WPA
  • Considered unsafe and only present for backwards compatibility.
    		•
    Step 3 - Authentication
    WPA2 Standard with increased safety
    WPA3 Standard with highest available safety.
    Management Mode: PSK Pre Shared Key. The base station and mobile device must have the same PSK (≙password). The security of the encryption depends directly on the length and complexity of the PSK! Short or easily guessed PSKs jeopardise network security.
    A secure PSK is automatically suggested, which can be regenerated with .
    SAE Simultaneous Authentication of Equals: (Only with WPA3)
    . Also uses a PSK, but uses an improved method for key exchange.
    A unique but different Pairwise Master Key (PMK) is derived from the password for each client. Despite the use of a password that is the same for all clients, each client receives its own PMK. Pairwise Transient Keys (PTK) are derived from the PMK by means of a four-way handshake between the WiFi client and the authentication server.
    EAP Extensible Authentication Protocol / WPA Enterprise: Authentication via a Radius Server. (This is set under Uwierzytelnianie Uwierzytelnianie Radius).
    OWE Opportunistic Wireless Encryption: Encrypted connections without a password. Can be used for the Captive Portal, for example.

    Step 4 - Zones

    Step 4 - Zones
    New Zone: Wł. Creates a new zone for the Wi-Fi.
  • Each Wi-Fi needs its own zone.
  • A separate zone (with its own port filter rules) can be created for each WLAN
    		•
    Step 4 - Zones
    Auto-generate rules: Wł. Creates a port filter rule set for this interface with {spc any
  • These are only used to temporarily put the network into operation and should definitely be replaced by dedicated port filter rules!
    (Menu → Firewall →Portfilter)
  • If the transparent mode of the HTTP proxy is to be used, this must also be configured: → Applications →HTTP ProxyTab Transparent Mode Button Add Transparent Rule
    • Generate DHCP Pool: Wł. Creates a DHCP pool with the selected network and the interface IP al router address. Edit in the DHCP Pools section.
    Finish Completing the wizard and saving the settings

    Edit WLAN settings

    Edit WLAN settings
    Area General
    BSS Anyideas Interface Name - is predefined and cannot be changed. (is part of the Basic service Set) Network configuration UTMuser@firewall.name.fqdn Network
    List of configured WLANs (max. 2)
    Depending on the WLAN hardware available, up to 4 WLANs may be possible.
    Network Name (SSID) TTT-Point-WLAN The name of the network that other devices must specify for a connection
    SSID-Broadcast Wł. When activated, the WLAN is displayed for other devices.

    Area Authentication
    Settings as in wizard step 3
    Additionally for WPA or WPA2:
    Encryption: CCMP Encryption protocol based on the Advanced Encryption Standard (AES).
    A 128-bit key with a 48-bit initialisation vector is used.
    TKIP Uses simple encryption.
  • Use is strongly discouraged!
    Not available when using WPA3.
    • Area Options
    AP Isolate: Wł. End devices can only reach the firewall in the WLAN network. Clients in the same WLAN network cannot reach each other. Edit WLAN UTMuser@firewall.name.fqdn Network Network configuration
    WLAN connection settings
    Wi-Fi Multimedia (WMM): Wł. End devices can tag their frames, which affects the priority.
    Management Frame Protection (MFP): Deaktiviert
    Optional
    Erforderlich    		 Enables encryption of the communication for the establishment and operation of the data connection according to IEEE 802.11w
    Increases network security and prevents e.g. Man in the Middle attacks.
    Requires WPA2 or WPA3
    WPA Group Rekeying: 600(default) The entered value indicates the time interval in seconds by which the encryption is renegotiated.



    DHCP-Server IPv4





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden




























































    Warnung: Der Anzeigetitel „DHCP-Server IPv4“ überschreibt den früheren Anzeigetitel „Wifi function“.



    Setting up the DHCP server for an IPv4 network

    Ostatnia zmiana dla wersji: 14.1.1

    Nowość:
    Ostatnia aktualizacja: 
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Sieć Konfiguracja sieci


    Prepare IP address ranges

    Network configuration UTMuser@firewall.name.fqdn Network
    Network interfaces

    For the firewall to function as a DHCP server in a network, a fixed IP from the network range must be configured on the corresponding interface. In this example, IP addresses are assigned in network 192.168.222.0/24. To achieve this, an IP from this network is added to the interface. LAN3 → → IP addresses → In the selection box, enter or select the IP address from the desired network with the desired subnet mask, if applicable. Here 192.168.222.1/24



    Set up DHCP server

    DHCP

    General

    General
    Opis Wartość Opis Network configuration UTMuser@firewall.name.fqdn Network
    DHCP-Pools
    Enable detailed logging:
    notempty
    Nowość
    		 Off When activated, all DHCP requests are recorded in the syslog

    DHCP-Pools

    DHCP-Pools
    • Multiple DHCP pools can be added
    • Dabei steht nur der erste Pool je Subnetz für dynamische Leases zur Verfügung.
      Weitere Pools sind ausschließlich für statische Leases nutzbar
      Beispiel:
      Pool_1: 192.168.14.20 - 192.168.14.50

      Pool_2: 192.168.14.100 - 192.168.14.150

      • Sind 31 Leases per DHCP vergeben worden, werden keine weiteren dynamischen Leases mehr zugewiesen.
      • Der 32. Client erhält keine IP-Adresse mehr dynamisch zugewiesen und hat damit keine Netzwerk-Kommunikation.
      • Ist einem Client über die MAC-Adresse ein statisches Lease mit der Adresse 192.168.14.101 zugeordnet, wird diese zugewiesen.
    • After clicking Add Pool, the setup wizard opens and the DHCP parameters can be specified
    Ignore other SDHCP-Servers: Off When activated, other DHCP servers
    notempty
    Nowość: IPv4 and IPv6
    are ignored

    If more than 1000 IP addresses (across all pools together) are required via DHCP, the number of possible leases must be increased.

    This is done in the menu Extras Ustawienia zaawansowane Obszar Extc Variables with the variable MAXLEASES.

    The value 0 corresponds to the default value of the service: 1000 leases.

    If more leases are required, the actual value must be entered here. Edit
    Add pool UTMuser@firewall.name.fqdnNetworkNetwork configuration
    Step 1: Name and IP range
    Step 1 requires the Name for the pool and the valid IP range for the DHCP.
    In the example, the following IP addresses are assigned
    Pool start address: 192.168.222.150/--- 
    Pool end address: 192.168.222.170/--- 
    Add pool UTMuser@firewall.name.fqdnNetworkNetwork configuration
    Step 2: Nameserver
    In step 2, the DNS server for the DHCP clients can be specified.
    Either the IP of a public DNS server or the IP of the firewall itself can be entered here. In this example, the clients use the firewall itself as DNS.
    notempty
    In order for the UTM to also answer the DNS queries from the internal network, a corresponding rule is required.
    Add pool UTMuser@firewall.name.fqdnNetworkNetwork configuration
    Step 3: Router + Options
    In step 3 of the wizard, the default gateway of the DHCP clients is specified.
    Caution: Normally, the IP of the firewall is always entered here.
    notempty
    An incorrect entry in this field may prevent access to the Internet!
    Edit pool

    After the pool has been created correctly, the pool start and end address can be changed and other parameters of the DHCP pool can be set up to be passed to the DHCP client.


    General
    Edit pool UTMuser@firewall.name.fqdn Network Network configuration
    Edit pool general area

    Changes to the pool range start and pool range end possible



    Options - DHCP Optionen
    Option Option number Wartość Opis Edit pool UTMuser@firewall.name.fqdn Network Network configuration
    Edit pool general area
    Router: 3 »192.168.222.1 Router configured as in step 3
    Domain name: 15 securepoint.local Name of the domain in which the DHCP leases are assigned
    Domain name server: 5 »192.168.222.1 Name server as configured in step 2
    Netbios name server: 44     NetBIOS over TCP/IP Name Server Option
    SMTP-Server: 69     Simple Mail Transport Protocol (SMTP) Server Option
    NTP Server: 41     Servers should be listed in order of preference.
    Vendor Encapsulated Options: 43     Values must be given coded.
    TFTP Server Name: 66 profile.gigaset.net The IPv4 address, or the hostname of the TFTP server
    option tftp-server-name text;
    Bootfile Name: 67   The name of the bootfile file
    option bootfile-name text;
    Default URL: 114 https://teamwork.gigaset.com/gigawiki/display/GPPPO/DHCP+option+114 Default URL
    option default-url string;
    VLAN ID: 132     The ID of the VLAN used
    option vlan-id code 132 = text;
    option vlan-id "128";
    Next Server:     The IPv4 address of the Next server
  • If the value is missing, TFTP may not work.
    • Default Lease Time: 51 600 Seconds Default validity period of the IP address if the client has not requested an explicit duration.
    Maximal Lease Time: 7200 Seconds Maximum validity period of the IP address in seconds that the client may receive when explicitly requested.
    Reject unknown clients: No If activated Yes, an IP address is only assigned if there is a entry at Static DHCP tab for the MAC address of the client.
    notempty
    Changed standard behaviourab v12.7: The static lease entry for the DHCP must be in the same pool to be considered known.
    The static lease entry for the DHCP must be in the same pool to be considered known.
    Erweiterte Einstellungen
    notempty
    Nowość od: 14.1.1
    Falls weitere DHCP-Einstellungen vorgenommen werden sollen, kann mittels der Schaltfläche Option hinzufügen in dem sich öffnendem Dialogfenster aus allen 256 möglichen Optionen eine ausgewählt und deren Wert eingegeben werden. Pool Option hinzufügen UTMuser@firewall.name.fqdn Network Network configuration Edit pool
    Opis Wartość Opis Edit pool UTMuser@firewall.name.fqdn Network Network configuration
    Erweiterte Einstellungen mit einer eingestellten DHCP-Option
    ID 5 Die ID der DHCP-Option
    Im Dialogfenster wird beim Hovern beim -Icon deren RFC-Nummer angezeigt
    Name Name Servers Der Name der DHCP-Option
    Wartość 192.168.222.1 Der Wert der DHCP-Option.

    Je nach ausgewählter DHCP-Option kann ein anderer Werttyp benötigt werden.


    Static DHCP

    Static DHCP

    If hosts are to be assigned predefined IP addresses ( fixed IPs bound to the MAC address, but assigned by the UTM), these IPs can be reserved with static leases:
    Configuration under Sieć Konfiguracja sieci Obszar Static DHCP przycisk Add Lease

    Host: MaxMustermann-Laptop Meaningful host name Add lease UTMuser@firewall.name.fqdn Network Network configuration
    Dialogue Add lease
    Ethernet: 12:34:56:78:90:AB MAC address of the host
    IP: 192.168.222.111/---  IP address to be reserved exclusively for this host
    Save and close Saves and accepts the lease and closes the creation dialogue.
    notempty
    Important: Leases must necessarily be in an existing DHCP pool!
    		Network configuration UTMuser@firewall.name.fqdn Network
    Static DHCP
    notempty
    Joint use of static and dynamic IP addresses within a pool is possible.


    Static leases outside a pool

    Existing static leases that are not within a DHCP pool must be changed!
    If such leases are detected after an update, a message is displayed prompting to adjust the DHCP settings.
    It ist now possible that either
    • the leases are adapted and relocated in existing pools
      or
    • additional DHCP pools are created that contain static leases
      or
    • existing DHCP pools are extended so that they include static leases
    Warning at login

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden









    {{var | Debug-Modus aktivieren--desc | Erst bei Aktivierung Wł. werden Logmeldungen geschrieben | Log messages are only written when activated Wł. | Dzienniki są zapisywane dopiero po aktywacji Wł. }










    Konfiguracja przekierowania DHCP

    Za pomocą przekierowania DHCP urządzenia mogą dynamicznie otrzymywać swoją konfigurację sieciową przez sieć, nawet jeśli serwer DHCP znajduje się w innej podsieci.

    Konfiguracja przekierowania DHCP dla tylko jednej podsieci interfejsu
    1. Jeśli na interfejsie znajduje się wiele podsieci i przekierowanie DHCP ma dotyczyć tylko jednej z tych podsieci, jest to możliwe jedynie za pomocą VLAN-ów.
    2. W tym celu dla podsieci interfejsu tworzone są VLAN-y. Jeden z wszystkimi podsieciami, które mają mieć przekierowanie DHCP, i jeden z pozostałymi podsieciami.
    3. Następnie jako interfejs po stronie klienta można wybrać odpowiedni VLAN zamiast całego interfejsu.
    Pokaż przykład
    Ukryj przykład
    Klicken für dauerhafte Anzeige
    Niech LAN2 będzie interfejsem z następującymi podsieciami
    • Podsieć A z 192.168.1.0/24
    • Podsieć B z 192.168.2.0/24
    • Podsieć C z 192.168.3.0/24


    Teraz ma zostać zdefiniowane przekierowanie DHCP dla podsieci A i C, ale nie dla B. W tym celu tworzony jest VLAN LAN2.1, któremu przypisane są podsieci A i C. Dla B tworzony jest również VLAN LAN2.2. Więc mamy:

    • VLAN LAN1.1 z 192.168.1.0/24 i 192.168.3.0/24
    • VLAN LAN1.2 z 192.168.2.0/24

    W przypadku przekierowania DHCP jako interfejs po stronie klienta wybierany jest teraz VLAN LAN2.1 zamiast LAN2
    Opis Wartość Opis Konfiguracja sieci UTMuser@firewall.name.fqdn Sieć
    Przegląd konfiguracji sieci Przekierowanie DHCP
    Aktywuj tryb debugowania:
    notempty
    Nowość od v12.7.1
    		 Wył.

    DHCP Relay IPv4

    DHCP Relay IPv4
    Adresy IP serwera DHCP:
    notempty
    zaktualizowano
    Możliwe wiele wpisów
    		 »192.168.178.1 Adresy IP serwera/serwerów DHCP
    Sieć/sieci, w których znajdują się serwery, muszą być znane dla UTM.
    Interfejsy po stronie klienta: LAN2 Interfejsy, za które ma być odpowiedzialny serwer DHCP.

    DHCP Relay IPv6

    DHCP Relay IPv6
    Interfejsy po stronie serwera: LAN1 Interfejs, za którym znajduje się serwer DHCP-v6.
    Interfejsy po stronie klienta: LAN2 Interfejsy, za które ma być odpowiedzialny serwer DHCP-v6.


    Overview of DHCP pools / leases

    notempty
    Path updated

    The Firewall Topologia sieci menu provides an overview of assigned static leases and existing DHCP connections. Static leases can also be edited there directly.
    Further information can be found in the wiki article on network topology.




    Zoneneinstellungen





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden































    Warnung: Der Anzeigetitel „Zone settings“ überschreibt den früheren Anzeigetitel „DHCP-Server IPv4“.



    Zone settings on the UTM

    Ostatnia zmiana dla wersji: 12.6.0

    Nowość:
    • Zaktualizowano do Przeprojektowanie Interfeju WWW
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Sieć Konfiguracja strefy


    Introduction

    The zone concept defines through which interface an object (host or network) reaches the NextGen UTM.
    To achieve this, it is bound to an interface in the network configuration, and in the rule set to a network object.


    The zone concept

    Create a new zone

    Add zone UTMuser@firewall.name.fqdn Network Zone Configuration
    Add zone

    A new zone is created under Sieć Konfiguracja strefy by clicking the Add zone button.
    A zone can be created only without, or with an already created interface.



    The zones

    The zone concept

    We distinguish between network, interface and VPN zones:

    • Network zones distinguish the network segments, each of which is located behind an interface of the firewall.
    • Interface zones distinguish the interfaces via which the different network zones are connected.
    • VPN zones distinguish different networks that are connected via VPN connections.


    The type of a zone is controlled by flags, which are defined when the zone is created. The distinction for the user is simplified by naming conventions (interfaces: prefix "firewall-", VPN: prefix "vpn-").
    By linking an object in the rule set to the interface via the zone, it is possible to ensure that a port filter rule only takes effect if not only the source, destination and service match the rule, but the connection is also made via the correct interfaces. This prevents all attacks that involve IP spoofing. The assignment of an object to an interface is done by binding the zone to the interface on the one hand and the assignment of the network object to a zone on the other hand.
    Examples:
    Internal Network: internal
    Internal Interface: firewall-internal
    External Interface: firewall-external
    Internet: external
    Mailserver: internal
    Webserver in the 1st DMZ: DMZ1
    Remote IPSec subnet: vpn-ipsec
    'Why is it necessary to distinguish between these different zones?"
    Here is an example of a port filter rule:

    This enables connections with the HTTP protocol from the internal network to the Internet. The source is located in the "Internal" network zone, the destination in the "External" network zone.

    The source and destination are therefore in different zones because they are reached via different interfaces of the firewall.

    		# Source Destination Service NAT Action Active
    4 internal-network internet HTTP Accept Wł.

    If, for example, "www.ttt-point.de" is now entered into the browser, name resolution takes place before this connection is established.
    Is the firewall DNS server is on the network, the workstation sends the DNS request to the firewall's internal interface.
    This request must be allowed with a port filter rule:

    This rule differs from the previous one in one detail: the source and destination of the shared connection are not behind different interfaces. Rather, the interface as destination is in the same network segment as the source and thus actually in the same zone! Internally, rules for connections via the firewall are processed in a different table of the port filter than those that have the firewall itself as their destination. Therefore, interfaces are located in their own interface zone, so that here the source is in the network zone "Internal" and the destination, the interface of the firewall, is in the zone "firewall-internal".

    From this it can be concluded that the source and destination of a connection that is released in the port filter ruleset, the destination is always located in a different zone than the source- either in a different network zone and thus behind a different interface, or in the interface zone of the interface behind which the network segment of the source is located.

    		# Source Destination Service NAT Action Active
    4 internal-network internal-interface DNS Accept Wł.


    Flags

    Flag Meaning Zone Configuration UTMuser@firewall.name.fqdn Network
    Zone settings
    No flag It is the zone of a network.
    Interface This is the zone to a UTM interface. It is usually used to make the services offered by the UTM (name server, proxy) accessible.
    Policy_IPSec This is the zone of an IPSec VPN network.
    PPP_VPN This is the zone where PPTP or L2TP VPN clients are located.


    IPv6

  • As of version 12.4, extra zones are no longer needed for IPv6. These are obsolete, since the type of IP determines whether the rule must be written following iptables or ip6tables.

    For new installations, IPv6 zones are no longer added. Existing zones also remain when upgrading firmware or importing a configuration.



    • Netzwerkwerkzeuge





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden



























































    Warnung: Der Anzeigetitel „Network tools“ überschreibt den früheren Anzeigetitel „Zone settings“.



    zeuge hNetwork tools for system analysis in the UTM

    Ostatnia zmiana dla wersji: 14.1.1

    Nowość:
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Tool bar: Network tools

    Introduction

    Toolbar under the side menu on the leftn
    notempty
    New placement of the menu in the toolbar as of v14.1.0

    To check the network connections, various functions are provided on the web interface of the UTM via the toolbar under Network tools.

    To close the dialog, either click again or use the button as an alternative.


    Dialog with drop-down button
    notempty
    Nowość od v14.1.0
    The network tools are also displayed as a modal dialog at the bottom of the screen and can be displayed alongside other menus.
    With a screen width of more than 1580 pixels, the dialog can also be displayed on the right-hand side of the screen.


    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden












    Route

    Route

    By pressing the Submit button, the main routing table of the UTM is displayed.
    Corresponds to the command ip route show table main executed as root on the UTM.

    By default, the main routing table for IPv4 is displayed.
    However, the routing table for IPv6 On can also be displayed.

    Network Tool - Route

    Ping

    Ping
    The Ping can be used to check whether a certain host can be reached in an internal or external network.

    No port filter rule is needed for this on the UTM from this point, but it is needed if pinging is to be done from a network device.

    notempty
    Not every destination allows icmp-echo-request!

    Ping for IPv4
    IPv4 Ping-Test
    Options
    IPv6 Off Remains deactivated during an IPv4 ping
    Source 192.168.175.1 Selection of the IPv4 address to ping with
    Destination k.root-servers.net Destination name or IP address
    Submit Starts the ping test
    Response The root server k.dns-zone.net of the Ripe NCC

    Ping for IPv6

    Options
    Opis Wartość Opis
    IPv6 Ping-Test
    IPv6 Wł. Enable for IPv6 to be used at all
    IPv6 Ping-Test
    Source: 2001:db08:aaaa:bbb00::1 Selection of the IPv6 address to be pinged with
    Destination: k.root-servers.net Destination name or IP address
    Submit Start Ping-Test
    Response The root server k.root-servers.net of the Ripe NCC should respond as shown in the picture

    Host

    Host
    Options
    Query type: Any All listed types are queried
    Network tools - Host
    A The A-record specifies the IPv4 address for the specified host
    AAAA The AAAA-record specifies the IPv4 address for the specified host
    PTR Unlike forward DNS resolution (A and AAAA records), the PTR record is used to find domain names based on an IP address
    MX The MX record specifies a mail exchange server for a DNS. The information is used by the Simple Mail Transfer Protocol (SMTP) to forward e-mails to the correct hosts.
    TXT The TXT record can contain any unformatted text strings. This is used by the Sender Policy Framcework (SPF) to prevent forged emails from being sent.
    SOA The SOA record specifies core information about a DNS zone, including the primary name server, the domain administrator's email, the domain serial number and several timers related to updating the zone
    NS The NS record specifies an authoritative name server for a particular host
    Hostname: securepoint.de Host that is to be requested
    Nameserver: 127.0.0.1 Name server to be used. Here it is the UTM itself.
    Response 
    Using domain server: 
Name: 127.0.0.1
Address: 127.0.0.1#53
Aliases:
securepoint.de has address 51.89.43.189

    Traceroute

    Traceroute
    Options
    With this tool, the hops of a connection to the host can be made visible.

    If, for example, a destination is not reachable, the last reachable IP address on the way could be determined.

    Network tools - Traceroute
    IPv6: Off Set whether to use IPv6
    Source:
    notempty
    Nowość od v14.0.0
    		 LAN1 Source from which the traceroute originates
    Destination: k.root-servers.net Specification of the destination to be tracked with Traceroute
    Response Result of the Traceroute function

    Categorize URL

    Categorize URL
    The URL filter categorises web pages and filters according to the specifications (content filter).

    Here you can check how certain pages are categorised.
    Network tools - Categorize URL
    Options
    URL: securepoint.de Website whose categorisation is to be queried
    Response Allow Categorisation by the content filter of the UTM

  • If there is any doubt about the categorisation of a URL, or if a change seems necessary, this can be reported at cf-support.securepoint.de.
  • An overview of the available categories can be found in our Wiki here.

    • Ähnlichkeitserkennung

    Ähnlichkeitserkennung
    notempty
    Nowość od v14.1.1 Experimentell


  • Diese Feature ist experimentell und sollte daher nur mit Bedacht verwendet werden!
    • Domains »securepoint.de »google.de »hansestadt-lueneburg.de »goooogle.de »lueneburger-heide.de Man kann mehrere Domains zugleich überprüfen lassen.

    Das Ergebnis hier:

    Nicht vertrauenswürdig:
    ❌ Die Domain "gooooogle.de" ähnelt der Domain "google.de".

    Vertrauensswürdige Domains:
    ✅ Die Domain "securepoint.de" ist eine vertrauenswürdige Domain.
    ✅ Die Domain "google.de" ist eine vertrauenswürdige Domain.
    ✅ Die Domain "hansestadt-lueneburg.de" ist eine vertrauenswürdige Domain.
    ✅ Die Domain "lueneburger-heide.de" ist eine vertrauenswürdige Domain.

    Test von mehreren Domains
    Testen Startet die Ähnlichkeitserkennung für Domain-Namen

    Routing table

    Routing table
    Displays all routes stored on the UTM New since v12.2.2
    Network tools - Routing table



    Paketfilter





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















    | 3=To move a single rule, all rules must be expanded
    Click on the top folder icon →
    }} }} | 3=To move a rule group, all rules must be collapsed
    Click on the top folder icon →
    }} }}





























    .



























    Warnung: Der Anzeigetitel „Packetfilter“ überschreibt den früheren Anzeigetitel „Network tools“.



    Creating and using packet filter rules, network objects, services and time profiles

    Ostatnia zmiana dla wersji: 14.1.0

    Nowość:
    Ostatnia aktualizacja: 
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Firewall Filtr pakietów


  • The port filter was renamed the packet filter in version 12.6, which corresponds much better to its mode of operation.
    The function and arrangement in the menu has remained identical.


  • In version 12.7.1.1, iptables temporarily becomes the default rule engine again.
    For test purposes, iptables can be replaced by nftables.
    Nftables offers more flexibility and more up-to-date kernel support and was developed as a replacement for iptables.
    system rule_engine set value "nftables"
    or
    system rule_engine set value "iptables"


    • Packet filter Description

    Packet filter UTMuser@firewall.name.fqdn Firewall Packet filter Log Update Rules
    Menu Package Filter

    The packet filter controls the data traffic that passes through the UTM.

    • All network packets that pass through the UTM are filtered and only forwarded based on packet filter rules.
    • Thereby, it is irrelevant whether the destination address and source address of the packet are in the same network, in another, local network or in the Internet and a local network.
    • Based on the source IP, destination IP and service used, the rules are checked from top to bottom.
      The sequential number before a rule # indicates the order of rulecreation and is permanently retained. It does not indicate the order in which the rule is processed!
    • If an exception is to be created for a rule, the (more specific) exception must first be defined and only then the more general rule.
      If the exception rule applies to a package, the specified action is carried out and the packet filter is terminated.
      If the exception rule does not apply, the more general rule is then checked.
      If this rule then applies, the action specified there is executed.
      • A rule that has been created can be subsequently moved in the order by holding down the mouse button on the icon .
      • Zum Verschieben einer einzelnen Regel sollten alle Regeln ausgeklappt sein
        Klick auf das oberste Ordner-Symbol →
      • Zum Verschieben einer Regel-Gruppe sollten alle Regeln eingeklappt sein
        Klick auf das oberste Ordner-Symbol →


  • If no applicable rule exists for a data packet, the packet is discarded Default Drop

    • A packet filter rule contains several elements:


    Packet filter rule

    • The basic structure of a rule is :
      Source → Target → Service → Action
    • With copy rulesrules can be copied. The Add Rule dialogue opens with a copy of the respective rule.
    • Logging can be changed directly in the overview for individual rules or rule groups (see section Logging

      ) and
      notempty
      New from v14.0:
      with the button Packetfilter Log for the individual rules or with Packetfilter Log for all rules.
  • Logging is based on the log attribute and not on the ID, which is not guaranteed to be unique and may therefore result in incorrectly displayed logging entries.
    • Typical examples: # Source Destination Service NAT Logging Action Cloud Active
    The Internet should be accessible from the internal network 7 internal-network internet default-internet HN
    -
    		 Accept Wł.
    The dmz1 network should be accessible for all services from the internal network. 8 internal-network dmz1-network any
    -
    		 Accept Wł.
    A server in the internal network is to be accessible from outside via ssh 9 internet internal-network ssh DN ➞
    3/Min
    		 Accept Wł.
    The Internet should be accessible from the internal network, but no ftp should be enabled! 10 internal-network internet ftp
    3/Min
    		 Drop Wł.
    7 internal-network internet default-internet HN
    All
    		 Accept Wł.
  • The packet filter is processed from top to bottom. If a rule applies, the check of the set of rules is terminated and the configured action is executed. Therefore, the prohibition of ftp must be before the general permission rule. A rule that has been created can be moved to the icon with drag and drop and placed specifically in the order.
    • Wenn eine Regel über die VPN Konfiguration erstellt wurde, wird dies in der Spalte Cloud-verwaltet mit gezeigt. Diese Regeln können nicht kopiert, bearbeitet oder gelöscht werden. LG2-internal-networks vpn-netzwerk default-internet
    -
    		 ACCEPT Wł.
    vpn-netzwerk LG2-internal-networks LG2-any-service
    -
    		 ACCEPT Wł.


    Autogenerated rules

    autogenerated The UTM has autogenerated rules ex works.
    These rules initially allow all data traffic into the existing networks and also release the proxy and DNS services of the respective interface for internal networks

    notempty
    Diese Regeln dienen ausschließlich dazu, die Inbetriebnahme der Firewall zu ermöglichen.
    Sie müssen unbedingt angepasst oder durch individualisierte Regeln ersetzt werden!

    notempty
    Nowość od v14.0.1: Autogenerated rules can be edited


    The visibility of the autogenerated rules can be controlled in the drop-down menu with this switch: On Show auto-generated rules Default


    Packet filter Rule Settings

    notempty
    After editing or adding a rule, the rulebook must be updated.
    Only after that will the rules be applied!
    / Add Rule → Update Rules


    notempty
    Man kann Paketfilter-Regeln auch mit Unterstützung des Regelassistenten erstellen.
    notempty
    Nowość od v14.0
    In dem Tabellen-Menü () lässt sich das Layout der Tabelle anpassen. Mehr Informationen sind hier zu finden.
    General
    General
    Opis Wartość Opis Add Rule UTMuser@firewall.name.fqdn Firewall Packet filter Regel Assistent
    Packet filter rule settings General
    Active: Wł. Only when activated is this rule checked
    Source: internal-network Network object or user group that is permitted as the source of the data package.
    Destination: internet Network object or user group that is permitted as the destination of the data packet.
    Service:  default-internet Desired service with stored port (see tab Services)
    Netzwerkobjekt add / Dienst add Adds a network object or service
    Switch network object Exchanges the network objects Source and Destination
    Action:
    Action
    		ACCEPT ACCEPT Forwards the package
    DROP DROP The package is dropped
    REJECT REJECT An ICMP packet is sent to the sender indicating that the port is not available. In the LAN, reject rules can prevent clients from having to wait for a timeout.
    QOS QOS Allows you to specify a Quality of Service profile that limits the bandwidth for data packets to which this rule applies.
    Configuration of the QoS profiles in the Sieć QoS Obszar Profile menu.
    STATELESS STATELESS Allows connections regardless of status

    notempty
    Option postponed
    		 QoS Allows you to specify a Quality of Service profile that limits the bandwidth for data packets to which this rule applies.
    Configuration of the QoS profiles in the Sieć QoS Obszar Profile menu.
  • Only available when QOS is selected as Action.
    • Group: default Packet filter rules must be assigned to a group. This makes it easier to keep track when adding to the set of rules. In addition, rule groups can be activated or deactivated with a switch
    notempty
    New as of v12.7.0
    and the logging settings of all rules contained can be adjusted centrally via a button.
    Log
    Log
    Logging:
    Logging
    		 Specifies how extensively the application of the rule is logged.
    notempty
    New as of v12.7.0
    This setting is also available in the packet filter overview for individual filters as well as complete groups.
    Packet filter rule settings Log
    None No logging (default)
    Short Logs the first three entries per minute
    Long Logs all entries
    Log Alias:
    Log Alias
    notempty
    Nowość od v14.0
    		 default Kurzer (maximal 10 Zeichen langer) Alias für die Paketfilterregel, der im Log statt der Id angezeigt wird.
  • Der Alias muss nicht für diese Regel einzigartig sein.
    • NAT
    [ - ] NAT
    		Network Address Translation is the conversion of IP addresses used in a network to another IP address from another network. Typically, all internally used private IP addresses are mapped to one or more public IP addresses.
    Type: NONE No NAT is performed
    FULLCONENAT With Full Cone NAT, the same port is set for the sender as for the recipient. However, IPs other than the originally addressed IP are also permitted as senders. This can be helpful with VOIP.
    Full Cone NAT
    HIDENAT Also called Source NAT. Hides the original IP address behind the IP address of the interface used.

    The standard case is data traffic from an internal network with private IP addresses to the Internet.
    The IP from the local network is masked with the IP of the interface that establishes access to the Internet.

    HideNat
    HIDENAT_EXCLUDE HideNAT Exclude is usually used in connection with IPSec VPN connections.
    This ensures that data packets for the VPN remote terminal are routed through the VPN tunnel with the private IP address.
    Otherwise, these would be masked with the public WAN IP address like all other packets in the direction of the Internet and, since they are sent with a private destination address, would be discarded at the next Internet router.
    See also the Wiki article HideNAT Exclude.
  • The HideNAT-Exclude rule must come before the HideNAT rule for the exception to apply.
    		•
    HideNAT Exclude

    HideNAT Exclude Regel vor HideNAT Regel
    DESTNAT Destination NAT is usually used to offer several services on different servers under one public IP address.

    For example, if you want to access the SSH service (port 22) of the server (198.51.100.1/32) from the Internet via the public IP address of the eth0 interface with port 10000, the rule would have to be created as shown opposite.
    The associated network objects and the service on port 10000 must be created for this.
    Destination NAT
    NETMAP NetMap is used to connect two identical subnets with each other.
    Using auxiliary networks (mapnet), which are not set up on either of the remote sites to be connected, these connections can be created collision-free without completely changing the subnet on either side. Instructions for connecting two networks can be found in a dedicated Wiki article NetMap
    NetMap
    Network object:  external-interface The IP address of this network object is then used as the sender IP of the data packets in the target network.
    As a rule, this should be the interface whose IP address is known to the target network so that reply packets can also be correctly delivered.
    Service:  ssh Uses the selected service in the local destination network. This value is often (but by no means always) identical with the service above it in the data source package for which the rule is checked.
  • Only available when Type is selected as DESTNAT or NETMAP.
    • Extras
    [ - ] Extras
    Rule Routing
    Rule Routing     		wan0 In the [ - ] Extras section, the Rule Routing field is used to specify, based on rules, which route IP packets should take.
    In the example opposite, all VOIP packets are routed via the wan0 interface.
  • The drop-down field only provides wan interfaces for selection.
    If access to the Internet is via a router connected to an ethernet interface, this can be entered manually.
    		•
    Packet filter rule with rule routing
    Time profile Time profile Restricts the validity of the rule to a previously defined time profile.
    See section Time Profiles.
    Description Show extended rule info Wł. Alternative text that can be displayed instead of the rule details.
    The alternative texts are displayed with the button     		Packet filter UTMuser@firewall.name.fqdn Firewall Update Rules
    Rule description in plain text

    notempty
    After editing or adding a rule, the rulebook must be updated.
    Only after that will the rules be applied!
    / Add Rule → Update Rules


    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden






















































    notempty
    Nowość od v14.2.0
        Ein Klick auf die Schaltfläche öffnet die erweiterte Suche
    ukryj
    Klicken für dauerhafte Anzeige
    Erweiterte Suche
    Spalte Dienst Name der Spalte auswählen. Die Auswahl hängt von der Tabelle ab, in der man sich gerade befindet.
    Suchbegriff internet Begriff, nach dem in der ausgewählten Spalte gesucht werden soll
    Kriterien mit ...
    -Operator verbinden    		 and / or Suchbegriffe verknüpfen mit und bzw. oder. Es müssen entweder alle Begriffe vorkommen oder einer
    Filter hinzufügen Weiteren Begriff in einer Spalte hinzufügen für eine Suche nach mehreren Kriterien
    Suche starten
    Suche starten und erweiterte Suche zuklappen

    Network objects

    przycisk Opis Network objects UTMuser@firewall.name.fqdn Firewall Update Rules
    Tab Network Objects
    notempty
    Nowość od v14.2.0

    Netzwerkgruppe kopieren
    Netzwerkobjekt kopieren    		 Mit der Schaltfläche dupliziert man kontextanhängig entweder eine Netzwerkgruppe oder ein Netzwerkobjekt
    Edit Opens the network group or network object for editing
    Delete Deletes the network group or network object. The deletion must be confirmed once again
  • For GeoIP network objects, after confirmation, deletes all GeoIP network objects with the same prefix
    • Add group Creates a new network group to which network objects can be added immediately
    Show GeoIP objects On
    When disabled Off: Hides GeoIP objects to improve readability.
    Network objects contain :
    • a name
    • an address (IP or network), a hostname or an interface
    • and a zone.

    Network objects are mainly needed to create packet filter rules, but they are also used in the HTTP proxy.

    The members of a network group are displayed as labels.
    Click on a label to display the details in the ‘'Network objects’' table.

    notempty
    v14.0
    If there are network objects that were created via the USC, the Cloud-managed column shows whether these are such objects or locally created objects . Cloud-managed objects must be edited in the Cloud under  Unified Network Consoleconfig .


    Edit / Add Network Groups

    Edit / Add Network Groups

    Menu under Firewall Obiekty sieciowe przycisk + Add Group

    Opis Wartość Opis Edit / Add Network Groups UTMuser@firewall.name.fqdn Firewall Network objects
    Edit / create network group dialog
    Name: Geo-DACH Freely selectable name for the network group
    Network objects: GEOIP: AT (Austria) GEOIP: CH (Switzerland) GEOIP: DE (Germany) Existing network objects can be added in the click box
    Opens the dialog for adding another network object
    ✕ Removes a network object from the network group

    Create / Add network objects

    Edit / Add Network Objects
    Opis Wartość Opis Add network objects UTMuser@firewall.name.fqdn Firewall Network objects
    Create / Add network objects
    Name: Host-Objekt Freely selectable name for the network object.
    OK - not really free: Even if it should be technically possible, refrain from using cryptic special characters such as curly brackets, backslashes and similar. At the latest in an AD environment, such things may lead to problems.
    Type: The type determines how the affiliation to this network object is determined.
    Host A single host with an IP address e.g. 192.0.2.192/32 → 192.0.2.192/--- 
    Network (address) A complete network, e.g. 192.0.2.0/24
    A 24 network is entered as default. However, this can be changed as desired.
    Network (address with custom mask) Network with any subnet mask. This is useful when the prefix may change. (Example: 192.0.2.0/0.255.255.0 oder 2001:DB8::1234/::FFFF:FFFF)
    Network (interface) A complete network behind an interface e.g. eth0
  • Attention: With HideNat, only the first IP lying on this interface is used.
    When using with HideNat, try to use a network address.
    • VPN-Host A single VPN host with an IP address, e.g. 192.0.2.192/32 → 192.0.2.192/--- 
  • Only zones that have a flag Policy_IPSEC or PPP_VPN in the zone management ( Sieć Zone Settings przycisk w) can be selected as zones for these network objects.
    • VPN network A complete VPN network, e.g. 192.0.2.0/24
    A 24 network is entered as default. However, this can be changed as desired.
    Static interface A configured IP address of an interface can be selected from a drop-down menu, e.g. 192.0.2.1/24
    Dynamic interface A dynamic assignment of the address of the interface based on the assigned zone. E.G.: 0.0.0.0/. oder eth0
    Hostname A host name, e.g.: my.host.local
    GeoIP Creates a network object in the specified zone for each country.
    IP addresses are assigned to a country via organizations and institutions to which the associated IP networks are assigned.
    The actual location of a host may differ from the assignment or may not be visible, e.g. due to a VPN tunnel!
  • Adding a network object of type GeoIP creates approx. 250 new network objects!
    • Address: 192.0.2.192 Depending on the type selected. See above.
    Interface:
    For type only Network (interface) orDynamic interface    		 LAN1 All hosts behind this interface belong to this network object
    IP address:
    For type only Static interface    		 192.168.175.1 All hosts behind the interface with this IP address belong to this network object
    Hostname:
    For type only Hostname    		 my.host.local Hostname of the network object
    Prefix:
    For type only GeoIP    		 ext2_ Prefix placed in front of the network objects (for better identification)
    Example_ Prefix ext2_  → Network object ext2_GEOIP:DE
    Zone: Zone Zone in which the network object is located.
    By linking an object in the set of rules with the interface via the zone, it is achieved that a packet filter rule only takes effect if not only the source, destination and service match the rule, but the connection is also made via the correct interfaces. This prevents all attacks that involve IP spoofing. The assignment of an object to an interface is done by binding the zone to the interface on the one hand and the assignment of the network object to a zone on the other.

  • Depending on the selected network type, a zone is already suggested or a restriction of the zone selection is made.
    • Groups: »internal-networks Network objects can be grouped together to assign packet filter rules to multiple objects.
    notempty
    Network objects can also belong to several groups.
    This can lead to contradictory rules for the same network object that are not immediately obvious.
    As with all rules, the rule that is executed first is the one whose network group contains the network object.
    Save Saves the network object, but leaves the dialogue open to be able to create further objects.
    Save and close Saves the network object and closes the dialogue


    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden






    | Edit service }}
























    notempty
    Nowość od v14.2.0
        Ein Klick auf die Schaltfläche öffnet die erweiterte Suche
    ukryj
    Klicken für dauerhafte Anzeige
    Erweiterte Suche
    Spalte Dienst Name der Spalte auswählen. Die Auswahl hängt von der Tabelle ab, in der man sich gerade befindet.
    Suchbegriff internet Begriff, nach dem in der ausgewählten Spalte gesucht werden soll
    Kriterien mit ...
    -Operator verbinden    		 and / or Suchbegriffe verknüpfen mit und bzw. oder. Es müssen entweder alle Begriffe vorkommen oder einer
    Filter hinzufügen Weiteren Begriff in einer Spalte hinzufügen für eine Suche nach mehreren Kriterien
    Suche starten
    Suche starten und erweiterte Suche zuklappen

    Services

    All ICMP services are available for IPv4 and IPv6. The IPv6 services start with icmpv6- instead of icmp-.

    Services UTMuser@firewall.name.fqdn Firewall
    Menu Services

    Dienste werden zur zentralen Definition und Verwaltung von Netzwerkdiensten und Protokollen genutzt, die als Bausteine für die Paketfilter-Regeln der Firewall genutzt werden. Jede Paketfilter-Regel benötigt auch einen Dienst.

    • Auf der rechten Seite werden einzelne Dienste angelegt, indem ihnen ein eindeutiger Name, das Transportprotokoll (wie TCP oder UDP) und die dazugehörigen Portnummern zugewiesen werden.
    • Auf der linken Seite lassen sich diese Einträge zu Dienstgruppen (wie z. B. "default-internet" oder "windows-domain") zusammenfassen, um später beim Erstellen von Firewall-Regeln nicht jeden Port einzeln, sondern logische Pakete auf einmal freigeben oder sperren zu können.

    Folgende Aktionen sind verfügbar:

    • notempty
      Nowość od v14.2.0

      Dienstgruppe/Dienst kopieren (kontextabhängig)
    • Bearbeiten
    • Löschen


    Add / edit services

    Add / edit services

    If a service does not exist, it can be created with Add object.
    Depending on the protocol used, further settings can be made:

    • Ports (TCP and UDP)
    • Packet types (ICMP)
    • Protocol type (gre)













    Add service UTMuser@firewall.name.fqdnFirewallServices
    The name of the service and the protocol must be specified in each case.
    Add service UTMuser@firewall.name.fqdnFirewallServices
    With the tcp and udp protocols, sharing can be restricted to a single destination port or port ranges. Source ports can be any (None), a single port or a port range.
    Edit service UTMuser@firewall.name.fqdnFirewallServices
    If an existing service is to run on a different port, the service can be edited and the port changed.


    Service groups

    Service groups

    Services can be grouped together in service groups. Here, too, there are already predefined groups that can be added to and changed. Detailed display by clicking on the button .

    The Windows domain service group was expanded in v12.7.2.
    The additional services
    are only included in this group for new installations from v12.7.2 onwards; existing configurations remain unchanged.
    Services:
        domain-tcp Destination ports: 53
        domain-udp Destination ports: 53
        ldap-tcp Destination ports: 389
        ldap-udp Destination ports: 389
      ldap-ssl Destination ports: 636
        ms-ds Destination ports: 445
        netbios-tcp Destination ports: 139
        netbios-udpDestination ports: 137:138
      netbios-rpc Destination ports: 135
      w32time Destination ports: 123
        kerberos-tcp Destination ports: 88
        kerberos-udp Destination ports: 88
      kerberos-password-change-tcp Destination ports: 464
      kerberos-password-change-udp Destination ports: 464
      ldap-gc Destination ports: 3268
      ldap-gc-ssl Destination ports: 3269
  • The changes only take effect with a new installation, current configurations are not changed.

    • notempty
    New from v12.7.2:
    There is a service group called sp-backup that enables the use of Securepoint Unified Backups.
    Services:
      sp-backup-portal Destination ports: 8086:8087
      sp-backup-vault Destination ports: 2546


    Example: The group default-internet contains, for example, the services:

    Icon Name Protocol Edit service group UTMuser@firewall.name.fqdn Firewall Services
    domain-udp udp Port 53
    ftp tcp (ftp) Port 21
    http tcp Port 80
    https tcp Port 443
    icmp-echo-req icmp Pakettyp 8

    Add/remove service from a service group

    • Clicking in the click box selects the desired service and thereby adds it.
    • Clicking the button creates a new service and then adds it to the service group.
    • A service is removed from the service group by clicking on ✕.


    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden









    Time profiles

    Time profiles UTMuser@firewall.name.fqdn Firewall Update rules
    Time profiles overview

    Time profiles are used to activate packet filter rules only at specified times. They can be configured under Firewall Time profiles
    In the example shown, the profile applies daily between 3:00 am and 3:59:59 am and on weekdays from 7:00 am to 5:59:59 pm. This can be seen in the table under time window. Under Used in packet filter rules, the IDs are listed together with the descriptions of the packet filters for which this time profile is set up. The packet filter can also be edited by clicking on the corresponding entry. The Name column shows an assigned name that should describe the time profile.



    Create time profiles

    Add time profile UTMuser@firewall.name.fqdn Firewall Time profiles
    Add time profile
    • Create a time profile under Firewall Time profiles przycisk Add time profile.
    • Select times
      • Individual fields or time ranges can be selected by clicking the mouse
      • Several fields and time ranges can be selected by holding down the mouse button
    • Accept the time settings with the button Save and close


    Use time profiles

    Time profiles can be selected under the Extras section when creating or editing packet filter rules.


    notempty
    Eine Beschreibung der Impliziten Regeln ist hier zu finden.



    Implizite Regeln





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden



































    Warnung: Der Anzeigetitel „Implied rules“ überschreibt den früheren Anzeigetitel „Packetfilter“.



    Implied rules of the UTM

    Ostatnia zmiana dla wersji: 14.0.8.2

    Nowość:
    • Einstellungen für GeoIP Sperrungen verschoben zu IDS/IPS
    Ostatnia aktualizacja: 
      06.2026
    • Link path updated
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Firewall Reguły domyślne


    Implied rules

    Settings in menu Firewall Implied rules.
    Implied rules have been added for certain use cases. These rules can be easily activated or deactivated by the user as needed. Some of these rules are already active by default.

    notempty
    The access zones are not relevant for these rules.

    Group / Rule Opis Protocol Port Active
    (Default)
    BlockChain Activates / deactivates the entire group AllSomeNone
    FailToBan_ssh Access via ssh.Monitoring with Fail2Ban rules.
    Configuration at Firewall IDS / IPS
    Up to version 14.1.x found under Aplikacje IDS/IPS
    Wiki article    		 TCP 22 Wł.
    FailToBan_http_admin Access via the Admin Interface. Monitoring with Fail2Ban rules.
    Configuration at Firewall IDS / IPS
    Up to version 14.1.x found under Aplikacje IDS/IPS
    Wiki article
    Port changes possible at Sieć Ustawienia urządzenia
    		 TCP 11115* Wł.
    FailToBan_http_user Access via the User interface. Monitoring with Fail2Ban rules.
    Configuration at Firewall IDS / IPS
    Up to version 14.1.x found under Aplikacje IDS/IPS
    Wiki article
    Port changes possible at Sieć Ustawienia urządzenia
    		 TCP 443* Wł.
    FailToBan_smtp Access via the Mailgateway. Monitoring with Fail2Ban rules.
    Configuration at Firewall IDS / IPS
    Up to version 14.1.x found under Aplikacje IDS/IPS
    Wiki article
    Port changes possible at Aplikacje Mailrelay Obszar Smarthost
    		TCP 25* Wł.
    CaptivePortal Enable redirection of traffic to a landingpage AllSomeNone
    CaptivePortalPage Opens an incoming port on the corresponding interface of the firewall that is intended for the captive portal to display the landingpage.
    Port changes possible at Aplikacje Captive Portal Obszar Advanced
    		TCP 8085* Wył.
    CaptivePortalRedirection Redirection of traffic to the above mentioned port. Wył.
    IPComp AllNone
    IPComp Accepts connections with IPComp protocol (compression of data packets, IP protocol number 108) IPComp Wył.
    IpsecTraffic Activates / deactivates the entire group AllSomeNone
    Accept Accepts incoming and outgoing traffic of an IPSec connection. Wł.
    No NAT for IPSec connections Takes all IPSec connections from the NAT
  • Changed default setting for new installations as of v12.5
    		•  Wył.
    Silent Services Accept AllNone
    Bootp Accepts
    • Requests for the bootstrap protocol Bootp to transmit an IP address and possibly further parameters.
    • Requests for DHCP (extension of Bootp)
    		 UDP 67 Wł.
    68
    Silent Services Drop AllSomeNone
    NetBios Datagram Discards these packages without log message UDP 138 Wł.
    NetBios Nameservice Discards these packages without log message UDP 137 Wł.
    NetBios Session Service Discards these packages without log message UDP 139 Wł.
    VPN AllSomeNone
    IPSec IKE Accepts connections on port 500/UDP UDP 500 Wł.
    IPSec ESP Accepts connections with the ESP protocol (50) ESP Wł.
    IPSec NAT Traversal Accepts connections on port 4500/UDP UDP 4500 Wł.
    SSL VPN UDP Accepts connections on ports for which an SSL VPN instance has been configured with the UDP protocol UDP 1194 Wł.
    SSL VPN TCP Accepts connections on ports for which an SSL VPN instance has been configured with the TCP protocol TCP 1194 Wł.
    User Interface Portal Accepts connections on port 443/TCP. Required for the user interface. TCP 443 Wł.
    Wireguard Enables connections with the Wireguard protocol.
    Port changes possible at VPN WireGuard przycisk edit connection
    		 UDP 51280* Wł.
    TI-Proxy
    notempty
    Nowość od v14.0.7.2
    		 AllNone
    DESTNAT for TCP connections from the connector to the card terminals Erstellt und erlaubt eine Portweiterleitung von den IP-Adressen und Ports wie im TI-Proxy hinterlegt vom Konnektor per destnat zu den Kartenterminals (default: 60000→4742) TCP 60000 Wł.



    HTTP Proxy





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden
























































    | 3= }}


    | 3= }}






































    Warnung: Der Anzeigetitel „HTTP Proxy“ überschreibt den früheren Anzeigetitel „Implied rules“.



    Configuration of the HTTP proxy

    Ostatnia zmiana dla wersji: 14.2.0

    Nowość:
    • Beta Dla wersji beta
    notempty
    Ten artykuł odnosi się do wersji beta

    14.1.2 12.7.2 12.6.2 12.5 12.4 12.2 11.8 11.7

    Dostęp: ' Aplikacje HTTP Proxy

    Introduction

    The proxy serves as an intermediary between the internet and the network to be protected.
    The clients send their request to the proxy and the proxy passes it on to the corresponding servers.
    The actual address of the client remains hidden from the server.
    In this way, it is possible to check the data traffic for viruses and unwanted content.

    notempty
    Nowość od v14.1.1
    If necessary, additional configuration profiles can be added alongside the standard profile.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

    • Global Profile

    notempty
    The global profile applies to all interfaces and the transparent proxy. Most settings are overridden by additionally created profiles.

    General





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





























    Opis Wartość Opis Edit global configuration profile UTMuser@firewall.name.fqdn Applications HTTP-Proxy
    Area General
    Proxy Port: 8080▴▾ Specifies on which port the proxy is to be addressed
    Outgoing Address:     The IP address of the interface that the HTTP proxy should use.
    The Outgoing Address is used for two scenarios:
    1. If the proxy is to be bound to an interface
    2. If a web server in the VPN network is to be reached via the proxy
    In this example, the proxy is bound to the faster DSL line:
    • Initial situation:
      • LAN1: ppp0 with DSL 2000
      • LAN2: Internal network (Internal interface with the IP 192.168.175.1)
      • LAN3: ppp1 with DSL 16000
    • The IP of the desired interface (here: LAN3) must be entered in the field for the outgoing address
    • Save settings
    • Under Sieć Network Settings Obszar Routing a new route is created:
      • Source: IP of the internal interface
      • Router: ppp3
      • Target: 0.0.0.0/0
    • Saving the route
    Now the proxy is bound to the 2nd internet connection.
    Connection to a web server in the VPN network:
    • The IP of the desired interface must be entered in the field for the outgoing address
    • Save the settings
  • Connections initiated by the firewall do not require extra rules
    • Forward requests to system-wide parent proxy: Nie If another proxy is used before the HTTP proxy, this function must be activated.
    The configuration takes place under

    Sieć Appliance-Settings Obszar System-wide proxy -->

    Authentication method: The proxy offers various possibilities for authentication. The possibilities are:
    None The HTTP proxy processes all requests without authentication
    Basic With basic authentication, the users are queried against the stored users under Uwierzytelnianie Użytkownik Obszar User on the firewall
    NTLM / Kerberos Here the firewall must be made known to the server.
    This can be set up in the web interface under Uwierzytelnianie AD / LDAP Authentication
    Radius Here the firewall must be made known to the server.
    This can be set up in the web interface under Uwierzytelnianie Radius-Authentication
    Allow access only from local sources: Tak
    default    		 Access to the HTTP proxy is now only possible from internal sources. These are:
    • local networks
    • routed networks ( Sieć Network configuration Obszar Routing)
    • VPN networks
    Allow access to local destinations: Tak
    default    		 All internal networks can also be reached via the HTTP proxy (the packetfilter has already been passed through to reach the HTTP proxy).
    Disabling it prevents this and access to other internal networks must be explicitly allowed via the port filter without an HTTP proxy.
    Forward Microsoft connection-oriented authentication: Nie If it is enabled, login or authentication to websites is possible. For some websites this is not possible otherwise.
    With this option, NTLM, Negotiate and Kerberos authentications are forwarded
    notempty
    If SSL-Interception is active, this parameter must be enabled for HTTPS-based authentications, otherwise no authentication/login is possible on these websites.
    Authentication exceptions
    Enabled Off
    default    		 Authentication exceptions are disabled by default.

    If enabled: URLs listed here are accessed without prior authentication.
    The default URLs are pages that are used for Securepoint Antivirus Pro.
    Further information can be found in the article HTTP proxy authentication exceptions

    Section authentication exceptions
    Exception (URL): \.ttt-point\.de If authentication exceptions are enabled, custom exceptions can be defined here

    Log

    Log
    notempty
    Nowość od v14.2.0
    Writes a general Syslog for the HTTP proxy (Open: Log  Obszar Log

    Aus Bereich Allgemein hierher verschoben    		 Off Schreibt ein generelles Syslog für den HTTP-Proxy (Aufruf: Log  Obszar Log
    Logging (USR):
    Aus Bereich Allgemein hierher verschoben    		 Zeigt an, ob ein Unified Security Report aktiviert wurde oder nicht
    Logging (Statistics):

    Aus Bereich Allgemein hierher verschoben
    Only available if no anonymization for the HTTP proxy
    Settings at Uwierzytelnianie Privacy
    has been activated    		 Off Writes a statistical Log call: Log  Obszar HTTP proxy statistics
    Logging (Cache): Off Wenn eine Section (s.u.) ausgewählt wurde, wird das Log in /data/squid/cache.log geschrieben.
  • Wird das Cache-Logging deaktiviert, wird eine vorhandene Log-Datei gelöscht!
    • Section für Cache-Logging: ALL (All sections) s.u. Die Sections lassen sich per Klick in die Clickbox auswählen.
    Eine Liste aller Sections findet sich auch in der squid-cache Doku
  • Diese Option wird auf alle Konfigurationsprofile angewendet
    • Level für Cache-Logging: 1 s.u. Umfang des Loggings.
    Hinweise zu den Logleveln findet sich ebenfalls in der squid-cache Doku
  • Diese Option wird auf alle Konfigurationsprofile angewendet
    • notempty
    Bei der Anzahl der Sections und des Log-Levels ist zu beachten, daß beachtliche Datenmengen anfallen können.
    Bei Auswahl vieler bis aller Sections sind 20-100 GB schnell im Laufe von 24h erreicht.
    Das kann dazu führen, daß die Kapazität der Festplatte erschöpft wird und ein Anmelden per GUI nicht mehr möglich ist!

    Virusscan

    General

    Der Virenscanner im HTTP-Proxy kann Datenverkehr auf Viren prüfen.

    Dabei werden mit FastDiff die Viruspattern in Echtzeit aktualisiert.
    Die Funktion lässt sich per CLI deaktivieren oder aktivieren.
    Per Default ist die Funktion aktiviert.
    FastDiff Deaktivieren: extc value set { application ikarus variable ENABLE_FASTDIFF value 0 }
    FastDiff Aktivieren: extc value set { application ikarus variable ENABLE_FASTDIFF value 1 }
    FastDiff Status abfragen:extc value get { application ikarus variable ENABLE_FASTDIFF }
    application|variable |value
    -----------+---------------+-----
    ikarus |ENABLE_FASTDIFF|1

    Zusätzlich werden mit der Funktion SigQA neue aber unbekannte Signaturen an unser AV-Labor übermittelt.
    Die Funktion lässt sich per CLI deaktivieren oder aktivieren.
    Per Default ist die Funktion aktiviert.
    SigQA Deaktivieren: extc value set { application ikarus variable ENABLE_SIGQA value 0 }
    SigQA Aktivieren: extc value set { application ikarus variable ENABLE_SIGQA value 1 }
    SigQA Status abfragen:extc value get { application ikarus variable ENABLE_SIGQA }
    application|variable |value
    -----------+------------+-----
    ikarus |ENABLE_SIGQA|1

    Virusscan: Wł. The virus scanner is activated and the associated service is running
    (default setting)     		Datei:UTM v14.1.1 Anwendungen HTTP Proxy Virenscanner-en.png
    Area Virusscan
    Wł. The virus scanner service is deactivated.
    The HTTP proxy is not working correctly.
    The service can be started via the menu Aplikacje Application status Virusscan
    Wł. The virus scanner service is deactivated.
    The HTTP proxy is not working correctly.
    notempty
    On devices with less than 3GB RAM, the service for the virus scanner cannot start.
    Please change to current hardware or allocate more RAM!
  • Once this configuration is running in an environment with enough RAM, the service will be resumed.
    • Off The virus scanner is deactivated.
    Maximum scan size limit: 2▴▾ Megabytes Sets the size of the files to be scanned by the virus scanner
    Trickle Time: 5▴▾ seconds Interval at which data is transferred from the proxy to the browser so that the browser does not stop loading during the virus check
    Allowlist ICY-Protokoll: Off A web radio protocol that can be excluded from testing
    Cache Updates
    notempty
    Nowość od v12.7.2
    		 Off When activated Wł., the virus database updates are distributed to the connected clients with Securepoint Antivirus Pro after the initial download.

    In this way, traffic is reduced and the updates are rolled out smoothly.

    Mime type blocklist application/x-shockwave-flash
    Example    		 Mime types listed here are blocked in any case.
    The button opens a dialogue in which a mime type can be selected from a dop-down menu or an individual type can be entered.
  • This function is only active if the Virusscanner is enabled!

    • The MIME-Type detection is performed after the first few bytes of the file. Normally, this detection is accurate, and the blocklist is applied accordingly. Additionally, there is a rescan mechanism in place, which re-evaluates the MIME-Type specifically for Microsoft-Compound Storage Formate files. This rescan occurs once the full file is available or when the loaded portion of the file reaches the Virusscanner sizelimit.
    Thereforce, the detection may not always be 100% perfect but represents an optimal compromise between efficiency and accuracy


    Allowlist
    Enabled On The allowlist for MIME types and websites is enabled by default
    Mime-Type Allowlist application/pkcs10
    Example    		 Mime types listed here are not scanned.
    Standard defaults:
    • audio/*
    • image/*
    • video/*
    Exceptions

    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)

    		Here it is possible to create your own filters based on Regular Expressions (Regex).
    notempty
    Viruses from these pages are not detected!

    Some update servers that cause problems when using a virus scanner are already preconfigured.
    Hint: Further exceptions are necessary so that iTunes can communicate correctly with the internet.

    Bandwidth

    Bandwidth limiting policy: None Default
    Area Bandwidth
    Limit total bandwidth In this case, the proxy only uses the specified maximum bandwidth and leaves the rest of the bandwidth untouched by your internet connection.
    (This bandwidth is shared by all hosts connected to the proxy.)
    Per host bandwidth Bandwidth for each host.
    The limited bandwidth for hosts cannot exceed the global bandwidth.
    Global bandwidth: 2.000.000▴▾ kbit/s Default value, if activated
    Per host bandwidth: 64.000▴▾ kbit/s Default value, if activated

    App Blocking

    The general app blocking with fixed ports has been removed.
    Individual apps, or the ports they use, can be blocked flexibly via the packet filter.

    SSL-Interception

    With the SSL interception feature, it is possible to recognise malicious code in SSL-encrypted data streams at the gateway. It interrupts the encrypted connections and makes the data packets visible to virus scanners and other filters. Data transmission to the client is then encrypted again. To do this, however, it is necessary to create a CA under Uwierzytelnianie Certificates and select this in the CA certificate field.

    Opis Wartość Opis Globales Konfigurationsprofil bearbeiten UTMuser@firewall.name.fqdn Applications HTTP-Proxy
    SSL Interception tab
    Enabled Off The SSL-Interception is turned off
    Only webfilter based When enabled, only connections blocked by the web filter are intercepted.
    This avoids the problem that there are sites that do not tolerate an interruption of the encryption (e.g. banking software) without having to define an exception for it.
    Always Activates the SSL interception
    Validate SNI:
    		 Yes When activated, any SNI in the ClientHello of the TLS handshake is checked. The host name contained is resolved and the addresses in the result are compared with the target address of the intercepted request. If they do not match, the connection is closed.
    Without Server Name Indication validation, clients can manipulate SNI arbitrarily to bypass the web filter.
    This setting should only be considered as a last resort when it seems impossible to standardize the DNS settings between the HTTP proxy and the UTM clients.
    If the client and UTM use different DNS servers, this can lead to false positives.
    Allow non identified protocols: Yes If this switch is deactivated, unrecognized protocols are blocked.
    CA-Certificate: CA-SSL-Interception Here, a CA must be selected that can re-encrypt the connection after decryption (and scanning).
    The public key of the CA must be installed on all client computers that are to use SSL Interception. Download can be done here directly with Download public key.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

    • Download public key The public key should be installed on the clients that are going to use SSL interception to avoid certificate errors.
    Peer verification:
    not for Only webfilter based
    		 On This should definitely be enabled!
    With this, the HTTP proxy checks whether the certificate of the called page is trustworthy. Since the browser only sees the local certificate, a check by the browser is no longer possible.

    Exceptions for SSL-Interception

    Exceptions for SSL-Interception
    Enabled Off It is possible to define exceptions in the format of Regular Expressions. However, since only https can arrive here, it is not filtered for protocols, unlike the virus scanner.
    New exceptions can be added directly in the input field.
    So an exception for www.securepoint.de would be: .*\.securepoint\.de"
    notempty
    The following applies to the behaviour of regex exceptions in transparent mode when SSL interception is set to Always:
    • Without SNI matching: Regex exceptions are applied only to IP addresses.
    • With SNI matching: Regex exceptions apply to both IP addresses and domain names.
    Compare exceptions with the SNI:
    Only available if salidate SNI is active.    		 Off Applies Server Name Indication validation only to activated  Exceptions of SSL-Interception .
    Exceptions:
    Only in Always mode    		 Unstrip-Größengrenze überschritten (5.000.000)
    Predefined in the Global Configuration Profile
    Unstrip-Größengrenze überschritten (5.000.000)Unstrip-Größengrenze überschritten (5.000.000) Unstrip-Größengrenze überschritten (5.000.000)    		 Define exceptions here for ttt-point.de

    Peer verification exceptions

    Peer verification exceptions

    only if peer verification is active
    Enabled Off Here exceptions for certificate verification in regex format can be added.


    Transparent Mode

     Transparent Mode  Wł. Due to the transparent mode, the proxy is not visible to the clients, the client sees its internet connection (HTTP) as if no proxy was connected in front of it. Nevertheless, the entire HTTP stream goes through the proxy, which means that no settings have to be made on the client. However, there are the same possibilities to analyze / block / filter / manipulate the data stream as if a fixed proxy were used.
    Each network object or group of network objects that are to use the transparent proxy must be stored here.
    Area Transparent Mode
    Add Transparent Rule
    Protocol: HTTP
    or
    HTTPS    		 Protocol that is used Add Transparent Rule UTMuser@firewall.name.fqdn Applications HTTP-Proxy Globales Konfigurationsprofil bearbeiten
    Adding a Transparent Rule
    Type: INCLUDE The transparent mode is applied
    EXCLUDE Transparent mode is not applied
    Source: internal-network Source network object created under Firewall Packetfilter Obszar Network objects
    Destination: internet Destination network object

    Advanced

    notempty
    Nowość od 14.2.0
  • This option is only available with 4 or more cores
    		•  Advanced UTMuser@firewall.name.fqdn Applications HTTP-Proxy Advanced
    Advanced settings of the HTTP-Proxy
    Number of threads: Determine automatically The number of threads is automatically determined and set
    Set manually 4▴▾ The recommended number of threads is the number of cores
    notempty
    More threads than cores are not advised

    Add Configuration Profile

  • New configuration profiles adopt the settings of the global profile as default values.
    notempty
    Nowość od v14.1.1

    • General





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





























    Opis Wartość Opis Add Configuration Profile UTMuser@firewall.name.fqdn Applications HTTP-Proxy Datei:UTM v14.2.0 Weiteres Konfigurationsprofil Allgemein-pl.pmg
    The General section in an additional configuration profile
    Name: Configuration Profile 2 Specify the name for the configuration profile
    Interface LAN1 Assign this configuration profile to an interface, e.g., LAN1
    Proxy-Port
    		8080▴▾ Is set in the global configuration profile – the input field is disabled here.
    Outgoing Address:     The IP address of the interface that the HTTP proxy should use.
    The Outgoing Address is used for two scenarios:
    1. If the proxy is to be bound to an interface
    2. If a web server in the VPN network is to be reached via the proxy
    In this example, the proxy is bound to the faster DSL line:
    • Initial situation:
      • LAN1: ppp0 with DSL 2000
      • LAN2: Internal network (Internal interface with the IP 192.168.175.1)
      • LAN3: ppp1 with DSL 16000
    • The IP of the desired interface (here: LAN3) must be entered in the field for the outgoing address
    • Save settings
    • Under Sieć Network Settings Obszar Routing a new route is created:
      • Source: IP of the internal interface
      • Router: ppp3
      • Target: 0.0.0.0/0
    • Saving the route
    Now the proxy is bound to the 2nd internet connection.
    Connection to a web server in the VPN network:
    • The IP of the desired interface must be entered in the field for the outgoing address
    • Save the settings
  • Connections initiated by the firewall do not require extra rules
    • Forward requests to system-wide parent proxy :
    Is set in the global configuration profile    		 Nie
    Logging (Syslog lokal): Wył.
    Logging (Statistics):
    Only available if no anonymization for the HTTP proxy
    Settings at Uwierzytelnianie Privacy
    has been activated    		 Wł.
    Authentication method: The proxy offers various possibilities for authentication. The possibilities are:
    None The HTTP proxy processes all requests without authentication
    Basic With basic authentication, the users are queried against the stored users under Uwierzytelnianie Użytkownik Obszar User on the firewall
    NTLM / Kerberos Here the firewall must be made known to the server.
    This can be set up in the web interface under Uwierzytelnianie AD / LDAP Authentication
    Radius Here the firewall must be made known to the server.
    This can be set up in the web interface under Uwierzytelnianie Radius-Authentication
    Allow access only from local sources: Tak
    default    		 Access to the HTTP proxy is now only possible from internal sources. These are:
    • local networks
    • routed networks ( Sieć Network configuration Obszar Routing)
    • VPN networks
    Allow access to local destinations: Tak
    default    		 All internal networks can also be reached via the HTTP proxy (the packetfilter has already been passed through to reach the HTTP proxy).
    Disabling it prevents this and access to other internal networks must be explicitly allowed via the port filter without an HTTP proxy.
    Forward Microsoft connection-oriented authentication: Nie If it is enabled, login or authentication to websites is possible. For some websites this is not possible otherwise.
    With this option, NTLM, Negotiate and Kerberos authentications are forwarded
    notempty
    If SSL-Interception is active, this parameter must be enabled for HTTPS-based authentications, otherwise no authentication/login is possible on these websites.
    Authentication exceptions
    Enabled Wył.
    default    		 Authentication exceptions are disabled by default.

    If enabled: URLs listed here are accessed without prior authentication.
    The default URLs are pages that are used for Securepoint Antivirus Pro.
    Further information can be found in the article HTTP proxy authentication exceptions

    Section authentication exceptions
    Exception (URL): \.ttt-point\.de If authentication exceptions are enabled, custom exceptions can be defined here

    Virusscan

    General

    Der Virenscanner im HTTP-Proxy kann Datenverkehr auf Viren prüfen.

    notempty
    Nowość od v14.1.0
    Dabei werden mit FastDiff die Viruspattern in Echtzeit aktualisiert.
    Die Funktion lässt sich per CLI deaktivieren oder aktivieren.
    Per Default ist die Funktion aktiviert.
    FastDiff Deaktivieren: extc value set { application ikarus variable ENABLE_FASTDIFF value 0 }
    FastDiff Aktivieren: extc value set { application ikarus variable ENABLE_FASTDIFF value 1 }
    FastDiff Status abfragen:extc value get { application ikarus variable ENABLE_FASTDIFF }
    application|variable |value
    -----------+---------------+-----
    ikarus |ENABLE_FASTDIFF|1

    notempty
    Nowość od v14.1.0
    Zusätzlich werden mit der Funktion SigQA neue aber unbekannte Signaturen an unser AV-Labor übermittelt.
    Die Funktion lässt sich per CLI deaktivieren oder aktivieren.
    Per Default ist die Funktion aktiviert.
    SigQA Deaktivieren: extc value set { application ikarus variable ENABLE_SIGQA value 0 }
    SigQA Aktivieren: extc value set { application ikarus variable ENABLE_SIGQA value 1 }
    SigQA Status abfragen:extc value get { application ikarus variable ENABLE_SIGQA }
    application|variable |value
    -----------+------------+-----
    ikarus |ENABLE_SIGQA|1

    Virusscan: Wył. The virus scanner is deactivated, but the associated service is running
    (default setting)
    Wł. The virus scanner is activated and the associated service is running
    Wł. The virus scanner service is deactivated.
    The HTTP proxy is not working correctly.
    The service can be started via the menu Aplikacje Application status Virusscan
    Wł. The virus scanner service is deactivated.
    The HTTP proxy is not working correctly.
    notempty
    On devices with less than 3GB RAM, the service for the virus scanner cannot start.
    Please change to current hardware or allocate more RAM!
  • Once this configuration is running in an environment with enough RAM, the service will be resumed.
    • Wył. The virus scanner is deactivated.
    Maximum scan size limit:
    Is set in the global configuration profile    		 2▴▾ Megabytes
    Trickle Time:
    Is set in the global configuration profile    		 5▴▾ seconds
    Allowlist ICY-Protokoll: Wył. A web radio protocol that can be excluded from testing
    Allowlist
    Enabled On The allowlist for MIME types and websites is enabled by default
    Mime-Type Allowlist
    Is set in the global configuration profile    		 application/pkcs10
    Przykład
    Exceptions

    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)
    »Unstrip-Größengrenze überschritten (5.000.000)

    		Here it is possible to create your own filters based on Regular Expressions (Regex).
    notempty
    Viruses from these pages are not detected!

    Some update servers that cause problems when using a virus scanner are already preconfigured.
    Hint: Further exceptions are necessary so that iTunes can communicate correctly with the internet.
    Cache Updates
    notempty
    Nowość od v12.7.2

    Is set in the global configuration profile    		 Wył.

    Bandwidth

    Bandwidth limiting policy: None Default
    Area Bandwidth
    Limit total bandwidth In this case, the proxy only uses the specified maximum bandwidth and leaves the rest of the bandwidth untouched by your internet connection.
    (This bandwidth is shared by all hosts connected to the proxy.)
    Per host bandwidth Bandwidth for each host.
    The limited bandwidth for hosts cannot exceed the global bandwidth.
    Global bandwidth: 2.000.000▴▾ kbit/s Default value, if activated
    Per host bandwidth: 64.000▴▾ kbit/s Default value, if activated

    App Blocking

    The general app blocking with fixed ports has been removed.
    Individual apps, or the ports they use, can be blocked flexibly via the packet filter.

    SSL-Interception

    With the SSL interception feature, it is possible to recognise malicious code in SSL-encrypted data streams at the gateway. It interrupts the encrypted connections and makes the data packets visible to virus scanners and other filters. Data transmission to the client is then encrypted again. To do this, however, it is necessary to create a CA under Uwierzytelnianie Certificates and select this in the CA certificate field.

    Opis Wartość Opis Konfigurationsprofil hinzufügen UTMuser@firewall.name.fqdn Applications HTTP-Proxy
    SSL Interception tab
    Enabled Off The SSL-Interception is turned off
    Only webfilter based When enabled, only connections blocked by the web filter are intercepted.
    This avoids the problem that there are sites that do not tolerate an interruption of the encryption (e.g. banking software) without having to define an exception for it.
    Always Activates the SSL interception
    Validate SNI:
    Is set in the global configuration profile    		 Yes When activated, any SNI in the ClientHello of the TLS handshake is checked. The host name contained is resolved and the addresses in the result are compared with the target address of the intercepted request. If they do not match, the connection is closed.
    Without Server Name Indication validation, clients can manipulate SNI arbitrarily to bypass the web filter.
    This setting should only be considered as a last resort when it seems impossible to standardize the DNS settings between the HTTP proxy and the UTM clients.
    If the client and UTM use different DNS servers, this can lead to false positives.
    Allow non identified protocols: Yes If this switch is deactivated, unrecognized protocols are blocked.
    CA-Certificate: CA-SSL-Interception Here, a CA must be selected that can re-encrypt the connection after decryption (and scanning).
    The public key of the CA must be installed on all client computers that are to use SSL Interception. Download can be done here directly with Download public key.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

    • Download public key The public key should be installed on the clients that are going to use SSL interception to avoid certificate errors.
    Peer verification:
    not for Only webfilter based
    Is set in the global configuration profile    		 On This should definitely be enabled!
    With this, the HTTP proxy checks whether the certificate of the called page is trustworthy. Since the browser only sees the local certificate, a check by the browser is no longer possible.

    Exceptions for SSL-Interception

    Exceptions for SSL-Interception
    Enabled Off It is possible to define exceptions in the format of Regular Expressions. However, since only https can arrive here, it is not filtered for protocols, unlike the virus scanner.
    New exceptions can be added directly in the input field.
    So an exception for www.securepoint.de would be: .*\.securepoint\.de"
    notempty
    The following applies to the behaviour of regex exceptions in transparent mode when SSL interception is set to Always:
    • Without SNI matching: Regex exceptions are applied only to IP addresses.
    • With SNI matching: Regex exceptions apply to both IP addresses and domain names.
    Compare exceptions with the SNI:
    Only available if salidate SNI is active.    		 Off Applies Server Name Indication validation only to activated  Exceptions of SSL-Interception .
    Exceptions:
    Only in Always mode    		 Unstrip-Größengrenze überschritten (5.000.000)
    Predefined in the Global Configuration Profile
    Unstrip-Größengrenze überschritten (5.000.000)Unstrip-Größengrenze überschritten (5.000.000) Unstrip-Größengrenze überschritten (5.000.000)    		 Define exceptions here for ttt-point.de

    Peer verification exceptions

    Peer verification exceptions

    only if peer verification is active
    Enabled Off Here exceptions for certificate verification in regex format can be added.


    Captive Portal

    The Captive Portal is configured since v12.1 in its own menu under Aplikacje Captive Portal. There is a separate Wiki-article for this.





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden













    | Activation with  Transparent mode  On }}


























    Warnung: Der Anzeigetitel „HTTP proxy transparent mode“ überschreibt den früheren Anzeigetitel „HTTP Proxy“.



    Transparent mode for the http-proxy of the UTM

    Ostatnia zmiana dla wersji: 12.6.0

    Nowość:
    • Zaktualizowano do Przeprojektowanie Interfeju WWW
    Ostatnia aktualizacja: 
    notempty
    Ten artykuł odnosi się do wersji beta
    Dostęp: ' Aplikacje HTTP Proxy   Standardprofil Bearbeiten  / Transparenter Modus


    Functionality of the transparent proxy

    The transparent proxy ensures that web page calls are routed through the HTTP proxy even without settings in the browser, so that the virus scanner and web filter can be used for these connections.

    In order to be able to check SSL-encrypted connections for viruses and malware, the proxy must pretend to be a client to the web server on the Internet, so that the data can already be decrypted on the firewall.
    These are to be passed on coded afterwards again to the actual Client in the internal network.
    To achieve this, the feature SSL interception is used.

    notempty
    The following applies to the behaviour of regex exceptions in transparent mode when SSL interception is set to Always:
    • Without SNI matching: Regex exceptions are applied only to IP addresses.
    • With SNI matching: Regex exceptions apply to both IP addresses and domain names.


    Configuration

    Certificate

  • A CA is required for SSL-encrypted transmission to the client.















    • SSL-Interception

    Configuration under Aplikacje HTTP Proxy Obszar SSL Interception





























    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





























    Opis Wartość Opis Konfigurationsprofil / Globales Konf… bearbeiten UTMuser@firewall.name.fqdn Applications HTTP-Proxy
    SSL Interception tab
    Enabled Off The SSL-Interception is turned off
    Only webfilter based When enabled, only connections blocked by the web filter are intercepted.
    This avoids the problem that there are sites that do not tolerate an interruption of the encryption (e.g. banking software) without having to define an exception for it.
    Always Activates the SSL interception
    Validate SNI:
    Only in the global configuration profile
    Is inherited by additional configuration profiles
    		Yes When activated, any SNI in the ClientHello of the TLS handshake is checked. The host name contained is resolved and the addresses in the result are compared with the target address of the intercepted request. If they do not match, the connection is closed.
    Without Server Name Indication validation, clients can manipulate SNI arbitrarily to bypass the web filter.
    This setting should only be considered as a last resort when it seems impossible to standardize the DNS settings between the HTTP proxy and the UTM clients.
    If the client and UTM use different DNS servers, this can lead to false positives.
    Allow non identified protocols: Yes If this switch is deactivated, unrecognized protocols are blocked.
    CA-Certificate: CA-SSL-Interception Here, a CA must be selected that can re-encrypt the connection after decryption (and scanning).
    The public key of the CA must be installed on all client computers that are to use SSL Interception. Download can be done here directly with Download public key.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

    • Download public key The public key should be installed on the clients that are going to use SSL interception to avoid certificate errors.
    Peer verification:
    not for Only webfilter based
    Only in the global configuration profile
    Is inherited by additional configuration profiles
    		On This should definitely be enabled!
    With this, the HTTP proxy checks whether the certificate of the called page is trustworthy. Since the browser only sees the local certificate, a check by the browser is no longer possible.

    Exceptions for SSL-Interception

    Exceptions for SSL-Interception
    Enabled Off It is possible to define exceptions in the format of Regular Expressions. However, since only https can arrive here, it is not filtered for protocols, unlike the virus scanner.
    New exceptions can be added directly in the input field.
    So an exception for www.securepoint.de would be: .*\.securepoint\.de"
    notempty
    The following applies to the behaviour of regex exceptions in transparent mode when SSL interception is set to Always:
    • Without SNI matching: Regex exceptions are applied only to IP addresses.
    • With SNI matching: Regex exceptions apply to both IP addresses and domain names.
    Compare exceptions with the SNI:
    Only available if salidate SNI is active.    		 Off Applies Server Name Indication validation only to activated  Exceptions of SSL-Interception .
    Exceptions:
    Only in Always mode    		 Unstrip-Größengrenze überschritten (5.000.000)
    Predefined in the Global Configuration Profile
    Unstrip-Größengrenze überschritten (5.000.000)Unstrip-Größengrenze überschritten (5.000.000) Unstrip-Größengrenze überschritten (5.000.000)    		 Define exceptions here for ttt-point.de

    Peer verification exceptions

    Peer verification exceptions

    only if peer verification is active
    Enabled Off Here exceptions for certificate verification in regex format can be added.




    Add certificate to the browser

    To do this, the public part of the CA is downloaded via the button .
    Either by logging in from each individual client on the UTM to store the CA on them or it is downloaded once and stored on a USB stick or network storage. The certificate is then added to the browser via this route.

    ukryj
    Klicken für dauerhafte Anzeige














    Certificate management
    1. In the settings of the browser is the certificate management.
    Certificate Authorities
    2. In the Certificate Manager under Certificate Authorities the CA is imported.
    Certificate for websites
    3. The downloaded CA is selected from the appropriate directory.
    Certification Authorities with CA
    4. When asked if the CA should be trusted as a certification authority, the line "Trust this certificate to identify websites" is checked.
    5. Finally, click OK.

    Transparent mode

    HTTP-Proxy UTMuser@firewall.name.fqdn Applications HTTP-Proxy Log
    Transparent mode activated

    ACtivate under Application HTTP Proxy Obszar Transparent mode with Transparent mode On



    Create HTTPS rule

    In the default setting, transparent mode is already enabled for the HTTP protocol over port 80.
    To set this up for the HTTPS protocol and port 443 as well, another rule is added by clicking the Add Transparent Rule button.

    Opis Wartość Opis Add transparent rule UTMuser@firewall.name.fqdn Applications HTTP-Proxy
    Add transparent rule for HTTPS
    Protocol: HTTPS Protocol that is to be scanned
    Type: Include
    Exclude    		 Determines whether transparent mode should be applied to the following network groups or not.
    If a specific network object or network group is to be excluded from transparent mode as a source or destination, an Exclude rule can define an exception before the general Include rule.
    Source: internal-network Source network object, created under Firewall Obiekty sieciowe
    The source must be the network from which the requests come, e.g. internal-network.
    Destination: internet Target network object in which the web servers to be addressed are located, in this example internet.
    Clicking Save and close will save the new rule and close the dialog.
    Another click on Save in the HTTP proxy window will update the rules.


    Packet filter rules

    Packet filter rule for access to DNS resolution

    Unstrip-Größengrenze überschritten (5.000.000) Source Destination Service NAT Action Active
    2 internal-network internal-interface proxy Accept Wł.


    Examples of exceptions for Windows update server

    For more examples on how to set up SSL interception, authentication exceptions, virus scanners, and web filters regarding Windows updates, see the knowledge base article Windows Updates with HTTP Proxy and Web Filter


    Troubleshooting




































    {{var | Lösung--SNI

    | Einfach, aber unsicher:
    Unter Aplikacje HTTP Proxy Obszar SSL-Interception die Option SNI validieren: Nein deaktivieren.
    Ohne SNI Validierung können Clients die SNI beliebig manipulieren, um den Webfilter zu passieren. Diese Einstellung sollte nur als eine letzte Möglichkeit betrachtet werden, wenn es unmöglich scheint, die DNS-Einstellungen zwischen Clients des HTTP-Proxy und der UTM zu vereinheitlichen.


    Situation

    • UTM with active transparent HTTP proxy for HTTP and HTTPS.
    • SSL interception running in "Web Filter Based" mode.


    Error message in the browser

    ERROR_SSL_PROTOCOL_ERROR or
    ssl_error_rx_record_too_long


    Log message in the UTM

    Log message of Squid (menu Log) in the UTM:

    2021-09-15T16:50:20.003+02:00|squid|8933|1631717419.981 1 192.0.2.192 NONE/200 0 CONNECT 104.96.47.5:443 - HIER_NONE/- -
    2021-09-15T16:50:20.007+02:00|squid|8933|1631717420.007 27 192.0.2.192 NONE_ABORTED/409 12387 CONNECT loadbalancing.ttt-point.de:443 - HIER_NONE/- text/html
    2021-09-15T16:50:20.007+02:00|squid|8933|1631717420.007 27 192.0.2.192 NONE_ABORTED/409 12387 CONNECT loadbalancing.ttt-point.de:443 - HIER_NONE/- text/html
    2021-09-15T16:50:22.652+02:00|squid|8933|SECURITY ALERT: Host header forgery detected on local=192.0.2.22:443 remote=192.168.175.10:28144 FD 9 flags=33 (local IP does not match any domain IP)
    2021-09-15T16:50:22.654+02:00|squid|8933|SECURITY ALERT: on URL: loadbalancing.ttt-point.de:443


    Meaning

    • The client starts a TCP connection to an HTTPS server
    • The connection is intercepted by the UTM → Transparent Proxy
    • The HTTP proxy (Squid) checks the connection and analyzes the TLS handshake
    • The information obtained, such as the SNI, is thereby resolved and compared with the original IP address
    • In this case, the original IP and the resolved IP for the SNI (hostname) do not match and are therefore blocked by the HTTP proxy, resulting in the above mentioned error message


    Cause

    This behavior can be observed for hostnames with intensive load balancing.
    If the provider gives different responses to DNS queries in a short period of time, the results in DNS resolution may differ between the client and the UTM.

    This behavior can be caused by:

    • Different DNS servers on client and UTM.
    • Hostnames that are resolved differently by UTM and client with a very small TTL due to intensive load balancing.
    • Use of DNS servers at different geographical locations.
      In this case, a different IP address can be returned via the remote location for the called host names than at the local location of the UTM. (Geographic DNS Routing)


    Solution

    • Best Practice:
      Auf dem Client wird die UTM als globaler Proxy-Server und ggf. für jede Anwendung als Proxy-Server eingetragen.
    • Workaround:
      Auf Client und UTM werden die gleichen DNS-Server eingetragen.
  • This procedure minimizes the error rate, but cannot reliably prevent the problem, especially with servers that use load balancing with very short TTLs.
    In addition, it must be ensured that no DNS servers are used that are themselves already addressed via Geographic DNS Routing.
    The Google servers, for example, differ despite identical IP address depending on the region from which they are called!



    Captive Portal

    UTM/APP/Captive Portal

    Źródło: „https://wiki.securepoint.de/index.php?title=Produkthandbuecher/UTM/G5-BlackDwarf&oldid=101732”