UTM/APP/Captive Portal

12.2.0

Zuletzt aktualisiert:

05.2024:

12.1.9 (externe & lokale Zertifikate) 11.8.7 (externe Zertifikate) 11.8.7 (lokale Zertifikate) 11.7.3 (externe Zertifikate) 11.7.3 (lokale Zertifikate) 11.7

afficher

	[[Datei: ]]

			[[Datei: ]]


	yyyy-mm-dd hh:mm:ss
	/

Implizite Regeln

[[Datei: ]] Firewall - Implizite Regeln

				  Ein Captive Portal

Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.
Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.

[[Datei: ]] Firewall - Portfilter IP

1. Regel

Quelle:	captive_portal
Ziel:	internet
Dienst:	default-internet
[–] NAT
Typ:	HideNAT
Netzwerkobjekt:	external-interface

Einstellungen im Captive Portal

Menü Anwendungen

Beschriftung	Wert	Beschreibung	Captive Portal UTM [[Datei:]]
Captive Portal:	Ein	Dieser Schalter aktiviert oder deaktiviert das Captive Portal
\|\| \|\|


Hostname der Portalseite:	portal.anyideas.de	Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen. Bei einem Wildcardzertifikat muss der Hostname der Antwort auf eine DNS-Anfrage des Clients entsprechen.
Zertifikat:	ttt-Point (ACME)	Bitte das oben erwähnte Zertifikat auswählen.
Netzwerkobjekte:	wlan-0-network (wlan0)	In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, die auf die Landingpage umgeleitet werden sollen.

Authentifizierung:	Ein	Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.	[[Datei: ]]
Port der Portalseite:	8085	Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
Maximale Verbindungszeit:	1800	Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von notwendig.
\|\| \|\|

			[[Datei: ]]

			[[Datei: ]]
			[[Datei: ]]

Nutzungsbedingungen:	Nutzungsbedingungen/Terms of Use	Hier müssen eigene Nutzungsbedingungen aufgeführt werden. Aus Haftungsgründen können wir diese leider nicht bereitstellen. Wir empfehlen aus den gleichen Gründen, einen Anwalt hinzu zu ziehen.	[[Datei: ]]
			[[Datei: ]]

			[[Datei: ]]
			[[Datei: ]]

Nameserver

Menü Anwendungen Zonen
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden. In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.

Forward-Zone hinzufügen

Schaltfläche Forward-Zone hinzufügen

Der zu vergebende Zonenname entspricht dem FQDN der Firewall.
In unserem Fall ist dies 'portal.anyideas.de'.
Als Hostname des Nameserver wird den 'localhost' ein.
Das Feld der IP-Adresse kann leer gelassen werden.

Nameserver - Zonenname

Nameserver - Nameserver Hostname

Nameserver - Nameserver IP

Forward-Zone bearbeiten

[[Datei: ]] Nameserver - Nameserver IP Der soeben erstellten Zone wird folgender Eintrag hinzu gefügt → Schaltfläche Eintrag hinzufügen :

Beschriftung	Wert	Beschreibung
Name:	portal.anyideas.de.	FQDN der Firewall
Typ:	A	A-Record
Wert:	192.168.100.1	IP der Schnittstelle (hier wlan0 )

Transparenter Modus

HTTP-Proxy - Transparenter Proxy Menü Anwendungen Transparenter Modus
Für den Zugriff auf das Internet über den benötigten HTTP-Proxy ist mindestens eine Regel notwendig (HTTP), besser zwei (zusätzlich HTTPS)

Schaltfläche Transparente Regel hinzufügen

Beschriftung	Wert
Protokoll:	HTTP
Typ:	include
Quelle:	wlan-0-network
Ziel:	internet

Für den Zugriff auf https-Seiten muss zusätzlich im Reiter SSL-Interception die SSL-Interception Ein aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)

Beschriftung	Wert
Protokoll:	HTTPS
Typ:	include
Quelle:	wlan-0-network
Ziel:	internet

Webfilter

Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist ohne Regel im Portfilter ein Zugriff auf z.B. interne Webserver möglich. Folgende Schritte sind durchzuführen:

mit Authentifizierung

Firewall Netzwerkobjekte Gruppe hinzufügen
Erstellen einer Gruppe (z.B. grp_CP_webfilter), die das wlan-0-network-Netzwerkobjekt beinhaltet
Anwendungen Schaltfläche Profil hinzufügen
Netzwerk- oder Benutzergruppe: grp_CP_webfilter Die neu erstellte Gruppe wählen Speichern
neu generierten Regelsatz bearbeiten
1. webserver.anyideas.de URL des Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
2. Aktion auf blockieren belassen

ohne Authentifizierung

Anwendungen Schaltfläche Profil hinzufügen
Die Gruppe der Benutzer wählen
neu generierten Regelsatz bearbeiten
1. webserver.anyideas.de URL des Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
2. Aktion auf 'blockieren' belassen

Status
			[[Datei: ]]
UTM
	acme_ttt-Point
	2048
	Let's Encrypt


	»		[[Datei: ]]
	»	‍

	•••••••••••••


	'		[[Datei: ]]
	' '
	'
	'	‍


			[[Datei:]]



			[[Datei:]]
			[[Datei:]]
	'		[[Datei: ]]



			[[Datei: ]]
			[[Datei: ]]


'
'
'
'
'
'		‍
'
'
'
'

Zertifikat	Befehl
X509 zu PEM	openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
DER zu PEM	openssl x509 -inform der -in certificate.cer -out certificate.pem
P7B zu PEM	openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem

			[[Datei:]]


	»85.209.185.50»85.209.185.51»2a09:9c40:1:53::1»2a09:9c40:1:53::2