Aller à :navigation, rechercher
Wiki

UTM/APP/Captive Portal

De Securepoint Wiki










































De.png
En.png
Fr.png
























































12.2.0
Wurde mit 12.2 eingeführt, Dokumentation erfolgt mit einer v12.6.0
  

12.1.9 (externe & lokale Zertifikate) 11.8.7 (externe Zertifikate) 11.8.7 (lokale Zertifikate) 11.7.3 (externe Zertifikate) 11.7.3 (lokale Zertifikate) 11.7


















S






















































































































  ACME


[[Datei:]]

» ✕85.209.185.50» ✕85.209.185.51» ✕2a09:9c40:1:53::1» ✕2a09:9c40:1:53::2

















spDYN
















notempty
12.4


[[Datei: ]]

UTM  
acme_ttt-Point
2048
Let's Encrypt

» ✕ [[Datei: ]]
» ✕
  •   
    •    
    •••••••••••••

    ' [[Datei: ]]
    '
    '
    '
    '
  •   

    •     [[Datei:]]
       

  • [[Datei:]]
    ' [[Datei: ]]

  • [[Datei: ]]

    Status
    '
    '
    '
    '
    '
    '
  •   
    • '
    '
    '
    '







































    • Ein Zertifikat für einen FQDN
      • in diesem Fall wäre der Common Name des Zertifikats portal.anyideas.de
    • Ein Wildcardzertifikat
      • in diesem Fall wäre der Common Name des Zertifikats *.anyideas.de

    Zertifikat Befehl
    X509 zu PEM openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
    DER zu PEM openssl x509 -inform der -in certificate.cer -out certificate.pem
    P7B zu PEM openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem




    • '
      openssl pkcs12 -in Zertifikat.pfx -out Zertifikat.pem -nodes



    • extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
      appmgmt config application "securepoint_firewall"
      appmgmt config application "fwserver"
      system reboot
    cli> extc global get variable GLOB_ENABLE_SSL_LEGACY 
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|0  

cli> extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
OK

cli> extc global get variable GLOB_ENABLE_SSL_LEGACY
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|1

cli> appmgmt config application "securepoint_firewall"
cli> appmgmt config application "fwserver"


































    •   



  •




















































    [[Datei: ]]




    [[Datei: ]]
       
       
    yyyy-mm-dd hh:mm:ss
    /































  • weggefallen mit v12.1:













    Entfall mit 12.1:











    neu ab v12:
































































    Implizite Regeln

    [[Datei: ]] Firewall - Implizite Regeln 

    				  Ein Captive Portal

    Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
    Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.
    Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.


    [[Datei: ]] Firewall - Portfilter IP

    1. Regel
    Quelle: Ipsetgroup.svg captive_portal
    Ziel: World.svg internet
    Dienst: Service-group.svg default-internet
    [–] NAT
    Typ: HideNAT
    Netzwerkobjekt: external-interface


    Einstellungen im Captive Portal

    Menü Anwendungen

    Beschriftung Wert Beschreibung Captive Portal UTM [[Datei:]]
    Captive Portal: Ein Dieser Schalter aktiviert oder deaktiviert das Captive Portal
    ||

    ||
    Hostname der Portalseite: portal.anyideas.de Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.

    Bei einem Wildcardzertifikat muss der Hostname der Antwort auf eine DNS-Anfrage des Clients entsprechen.

    Zertifikat: ttt-Point (ACME) Bitte das oben erwähnte Zertifikat auswählen.
    Netzwerkobjekte: × wlan-0-network (wlan0)  In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, die auf die Landingpage umgeleitet werden sollen.

    Authentifizierung: Ein Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden. [[Datei: ]]
    Port der Portalseite: 8085Link= Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
    Maximale Verbindungszeit: 1800Link= Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.

    Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von notwendig.

    || ||



    		 [[Datei: ]]

    [[Datei: ]]

    Nutzungsbedingungen: Nutzungsbedingungen/Terms of Use Hier müssen eigene Nutzungsbedingungen aufgeführt werden.

    Aus Haftungsgründen können wir diese leider nicht bereitstellen. Wir empfehlen aus den gleichen Gründen, einen Anwalt hinzu zu ziehen.

    		[[Datei: ]]

    [[Datei: ]]


    Nameserver

    Menü Anwendungen   Zonen
    Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden. In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.

    Forward-Zone hinzufügen

    Schaltfläche Forward-Zone hinzufügen

    Der zu vergebende Zonenname entspricht dem FQDN der Firewall.
    In unserem Fall ist dies 'portal.anyideas.de'.
    Als Hostname des Nameserver wird den 'localhost' ein.
    Das Feld der IP-Adresse kann leer gelassen werden.

    UTMNameserver CP nameserver 1.png
    Nameserver - Zonenname
    UTMNameserver CP nameserver 2.png
    Nameserver - Nameserver Hostname
    UTMNameserver CP nameserver 3.png
    Nameserver - Nameserver IP














    Forward-Zone bearbeiten

    [[Datei: ]] Nameserver - Nameserver IP Der soeben erstellten Zone wird folgender Eintrag hinzu gefügt → Schaltfläche Eintrag hinzufügen  :

    Beschriftung Wert Beschreibung
    Name: portal.anyideas.de. FQDN der Firewall
  • Typ: A A-Record
    Wert: 192.168.100.1 IP der Schnittstelle (hier wlan0 )


    Transparenter Modus

    UTM v11.8.7 Anwendungen HTTP-Proxy Transparenter-Modus.pngHTTP-Proxy - Transparenter Proxy Menü Anwendungen   Transparenter Modus
    Für den Zugriff auf das Internet über den benötigten HTTP-Proxy ist mindestens eine Regel notwendig (HTTP), besser zwei (zusätzlich HTTPS)

    Schaltfläche Transparente Regel hinzufügen

    Beschriftung Wert
    Protokoll: HTTP
    Typ: include
    Quelle: wlan-0-network
    Ziel: internet



    Für den Zugriff auf https-Seiten muss zusätzlich im Reiter SSL-Interception die SSL-Interception Ein aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)

    Beschriftung Wert
    Protokoll: HTTPS
    Typ: include
    Quelle: wlan-0-network
    Ziel: internet


    Webfilter

    Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist ohne Regel im Portfilter ein Zugriff auf z.B. interne Webserver möglich. Folgende Schritte sind durchzuführen:

    mit Authentifizierung

    1. Firewall   Netzwerkobjekte   Gruppe hinzufügen
      Erstellen einer Gruppe (z.B. grp_CP_webfilter), die das wlan-0-network-Netzwerkobjekt beinhaltet
    2. Anwendungen Schaltfläche Profil hinzufügen
    3. Netzwerk- oder Benutzergruppe: grp_CP_webfilter Die neu erstellte Gruppe wählen Speichern
    4. neu generierten Regelsatz bearbeiten
      1. webserver.anyideas.de URL des Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
      2. Aktion auf blockieren belassen

    ohne Authentifizierung

    1. Anwendungen Schaltfläche Profil hinzufügen
    2. Die Gruppe der Benutzer wählen
    3. neu generierten Regelsatz bearbeiten
      1. webserver.anyideas.de URL des Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
      2. Aktion auf 'blockieren' belassen


    Récupérée de « https://wiki.securepoint.de/index.php?title=UTM/APP/Captive_Portal&oldid=91008 »