UTM/APP/Captive Portal-lokal

Warnung: Der Anzeigetitel „“ überschreibt den früheren Anzeigetitel „Captive Portal mit einem lokal generierten Zertifikat“.

Konfiguration des Captive-Portal

Letzte Anpassung zur Version: 12.2.0

Wurde mit 12.2 eingeführt, Dokumentation erfolgt mit einer v12.6.0

Neu:

Es sind keine Änderungen an den Servereinstellungen mehr erforderlich
Es können ACME-Wildcard-Zertifikate für die Landingpage verwendet werden

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.1.9 (externe & lokale Zertifikate) 11.8.7 (externe Zertifikate) 11.8.7 (lokale Zertifikate) 11.7.3 (externe Zertifikate) 11.7.3 (lokale Zertifikate) 11.7

Vorbemerkung

Das Captive Portal leitet einen HTTP-Client in einem Netzwerk auf eine spezielle Webseite (sog. Landingpage) um, bevor dieser sich normal in das Internet verbinden kann. So muss die Annahme der Nutzungsbedingung erfolgen und es kann eine zusätzliche Authentifizierung konfiguriert werden.

Planung

Folgende Aspekte sollten vor der Konfiguration bedacht werden:

Für welche Netze soll das Captive Portal konfiguriert werden?
Werden ausschließlich alle potentiellen Nutzer erreicht?
Wie und von wem werden die Nutzungsbedingungen geschrieben?
Soll eine Authentifizierung stattfinden?
Welche internen Webserver dürfen aus dem Netz hinter dem Captive Portal nicht erreicht werden?

Für eine Nutzung des Captive Portals müssen nur wenige Vorbereitungen getroffen werden:

Es muss ein Zertifikat für die Landingpage zur Verfügung stehen
Implizite und Portfilteregeln müssen den Zugriff erlauben

Ein Ändern des Firewallnamens ist seit v12 nicht mehr erforderlich.
Der Hostname der Portalseite wird unter Bereich Allgemein konfiguriert.

Lokales Zertifikat erzeugen

Die Landingpage des Captive Portals ist eine HTTPS-Website. Damit ein Browser diese Seite als Vertrauenswürdig einstufen kann, wird ein Zertifikat benötigt.

Unter → Authentifizierung →ZertifikateReiter CA muss eine CA angelegt sein
Unter → Authentifizierung →ZertifikateReiter Zertifikate muss ein Server-Zertifikat angelegt werden.
Es sollte für das Captive-Portal eine eigenes Zertifikat erstellt werden, damit dieses auch ohne Auswirkungen auf andere Verbindungen oder Anwendungen im Bedarfsfall widerrufen werden kann.

Wie ein Zertifikat auf der UTM erstellt werden kann, ist hier zu lesen.

Captive Portal Benutzer

Captive Portal Benutzer müssen sich, wenn sie sich mit einem entsprechend konfigurierten Netzwerk verbinden, authentifizieren und den Nutzungsbedingungen zustimmen. Erst danach wird der Netzzugang - gemäß den Portfilterregeln freigegeben.	Benutzer UTMbenutzer@firewall.name.fqdnAuthentifikation
notempty Firewall-Benutzer, die Mitglied einer Gruppe mit der Berechtigung Userinterface Adminstrator Ein sind ( Authentifizierung Benutzer Bereich Guppen Schaltfläche ) können die Captive Portal Benutzerverwaltung über die Benutzerverwaltung (im Standard Port 443) erreichen

Benutzer hinzufügen

Captive Portal Benutzer können verwaltet werden von:

Administratoren
Benutzern, die Mitglied einer Gruppe mit der Berechtigung Userinterface Administrator sind.
Diese erreichen die Benutzerverwaltung über das Userinterface.

Beschriftung	Wert	Beschreibung	Captive Portal Benutzer hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifikationBenutzer Drucken und speichern
Anmeldename:	user-VNK-JT4	Zufällig generierter Anmeldename. Einmal generierte Anmeldenamen lassen sich nach dem Speichern nicht mehr ändern.
Passwort:	BRU-NZE-TCY-LI3-QHE	Zufällig generiertes Passwort Anmeldename und Passwort können mit der Schaltfläche neu generiert werden. Einaml gespeicherte Passöwrter lassen sich nicht erneut anzeigen.
Ablaufdatum:	yyyy-mm-dd hh:mm:ss	Begrenzt die Gültigkeit der Zugangsdaten
Ablaufdatum:	/ Neu ab v12.2.2	Mit diesen Schaltflächen lässt sich das Ablaufdatum um 24 Stunden ab dem aktuellen Zeitpunkt verkürzen (-) oder verlängern (+)
Drucken und speichern		Speichert und schließt den Dialog, erzeugt eine html-Seite mit dem Usernamen und dem Passwort und öffnet den Druck-Dialog
		Speichert die Angaben und schließt den Dialog. Das Passwort läßt sich anschließend nicht mehr anzeigen. Es kann jedoch jederzeit ein neues Passwort erzeugt werden .
		Schließt den Dialog, ohne Änderungen zu speichern.

Implizite Regeln

Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall Firewall - Implizite Regeln Menü Firewall Implizite Regeln Gruppe Ein Captive Portal

Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.

Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.

Paketfilter

Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter Firewall - Portfilter IP Im Portfilter ist eine Regel erforderlich, die den Zugriff der Captive Portal Benutzer auf das Internet ermöglicht.
Alternativ kann auch in den Captive Portal Einstellungen mit der Schaltfläche im Bereich Allgemein eine autogenerierte any-Regel erzeugt werden.

1. Regel

Quelle:	captive_portal
Ziel:	internet
Dienst:	default-internet
[–] NAT
Typ:	HideNAT
Netzwerkobjekt:	external-interface

Speichern Speichern und schließen

Anschließend mit der Schaltfläche die Regeln aktualisieren

Einstellungen im Captive Portal

Menü Anwendungen Captive Portal

Allgemein

Beschriftung	Wert	Beschreibung	Captive Portal UTMbenutzer@firewall.name.fqdnAnwendungen Bereich Allgemein
Captive Portal:	Ein	Dieser Schalter aktiviert oder deaktiviert das Captive Portal
Implizite Regeln:		Zeigt grün, wenn die impliziten Regeln des Captive Portals aktiviert sind. Bei gelb werden diese Regeln nicht verwendet.
Portfilter Regel:		Zeigt grün, wenn Portfilterregeln für das Captive Portal existieren.
Portfilter Regel:		Mit der + Schaltfläche kann eine autogenerierte any-Regel erzeugt werden. Schöner, aber aufwendiger sind Regeln, die nur ein ausgewähltes Netz freigeben.
Hostname der Portalseite:	portal.anyideas.de	Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen. Bei einem Wildcardzertifikat muss der Hostname der Antwort auf eine DNS-Anfrage des Clients entsprechen.
Zertifikat:	ttt-Point (ACME)	Bitte das oben erwähnte Zertifikat auswählen.
Netzwerkobjekte:	× wlan-0-network (wlan0)	In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, die auf die Landingpage umgeleitet werden sollen.
Erweitert Erweitert
Authentifizierung:	Ein	Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.	Bereich Erweitert
Port der Portalseite:	8085	Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
Maximale Verbindungszeit:	1800	Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von notwendig.
Zugriff auf interne Ziele erlauben:	Nein	Der Zugriff auf interne Netze über den HTTP-Proxy des Captive Portals wird verhindert.
Designs Designs
Das Captive Portal kann und muss individuell angepasst werden. In jedem Fall müssen die Nutzungsbedingungen angegeben werden. Es kann für jede Sprache ein Design angelegt werden. Es ist ausreichend, diejenigen Angaben einzutragen, die zum Fallback Design geändert sind. Das Falbackdesign benötigt zwingend alle Angaben Aufruf mit der Schaltfläche zum Bearbeiten oder Design hinzufügen			Bereich Designs
Branding
Aufruf mit der Schaltfläche zum Bearbeiten oder Design hinzufügen			Design bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenCaptive Portal Werkseinstellungen Bereich Branding

Nutzungsbedingungen
Nutzungsbedingungen:	Nutzungsbedingungen/Terms of Use	Hier müssen eigene Nutzungsbedingungen aufgeführt werden. Aus Haftungsgründen können wir diese leider nicht bereitstellen. Wir empfehlen aus den gleichen Gründen, einen Anwalt hinzu zu ziehen.	Bereich Nutzungsbedingungen
			Bereich Nutzungsbedingungen
Übersetzungen
Übersetzungen für die Beschriftungen. Fehlt eine Übersetzung, wird der Wert der Default-Sprache verwendet.			Bereich Übersetzungen
			Bereich Übersetzungen

Nameserver

Menü Anwendungen Nameserver Bereich Zonen
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.

Forward-Zone hinzufügen

Schaltfläche Forward-Zone hinzufügen

Der zu vergebende Zonenname entspricht der Landingpage des Captive Portals.
Im Beispiel portal.anyideas.de.
Als Hostname des Nameservers wird localhost verwendet.
Das Feld der IP-Adresse kann leer gelassen werden.

UTM v12.6 Captive Portal extern-lokal2 Nameserver Schritt 1.png

Schritt 1
Zonenname portal.anyideas.de

UTM v12.6 Captive Portal extern-lokal2 Nameserver Schritt 2.png

Schritt 2
Nameserver Hostname loacalhost

UTM v12.6 Captive Portal extern-lokal2 Nameserver Schritt 3.png

Schritt 3
IP-Adresse kann leer gelassen werden

Forward-Zone bearbeiten

Zone bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenNameserver Nameserver - A-Record mit IP-Adresse Der soeben erstellten Zone wird folgender Eintrag hinzu gefügt → Schaltfläche Eintrag hinzufügen :

Beschriftung	Wert	Beschreibung
Name:	portal.anyideas.de.	FQDN der Zone für das Captive Portal Mit . Punkt am Ende
Typ:	A	A-Record
Wert:	192.168.100.1	IP der Schnittstelle, über die das Captive Portal erreicht werden soll (hier wlan0 )

Transparenter Modus

HTTP-Proxy UTMbenutzer@firewall.name.fqdnAnwendungen HTTP-Proxy Log HTTP-Proxy - Transparenter Proxy Menü Anwendungen HTTP-Proxy Bereich Transparenter Modus
Für den Zugriff auf das Internet über den benötigten HTTP-Proxy ist mindestens eine Regel notwendig (HTTP), besser zwei (zusätzlich HTTPS)

Schaltfläche Transparente Regel hinzufügen

Beschriftung	Wert
Protokoll	HTTP
Typ	include
Quelle	wlan-0-network
Ziel	internet

Für den Zugriff auf https-Seiten muss zusätzlich im Bereich SSL-Interception
die SSL-Interception Ein aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)

Beschriftung	Wert
Protokoll	HTTPS
Typ	include
Quelle	wlan-0-network
Ziel	internet

Webfilter

Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist ohne Regel im Portfilter ein Zugriff auf z.B. interne Webserver möglich.Folgende Schritte sind durchzuführen:

mit Authentifizierung

Firewall Paketfilter Bereich Netzwerkobjekte Schaltfläche Gruppe hinzufügen
Erstellen einer Gruppe (z.B. grp_CP_webfilter), die das wlan-0-network-Netzwerkobjekt beinhaltet
Anwendungen Webfilter Schaltfläche Profil hinzufügen
Netzwerk- oder Benutzergruppe: grp_CP_webfilter Die neu erstellte Gruppe wählen Speichern
neu generierten Regelsatz bearbeiten
1. webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
2. Aktion auf blockieren belassen

ohne Authentifizierung

Anwendungen Webfilter Schaltfläche Profil hinzufügen
Die Gruppe der Benutzer wählen
neu generierten Regelsatz bearbeiten
1. webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
2. Aktion auf blockieren belassen