Wechseln zu:Navigation, Suche
Wiki
Keine Bearbeitungszusammenfassung
Keine Bearbeitungszusammenfassung
(8 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
{{DISPLAYTITLE:Captive Portal mit einem käuflich erworbenen Zertifikat}}
{{DISPLAYTITLE:Captive Portal mit einem käuflich erworbenen Zertifikat}}
= Servereinstellungen =
== Informationen ==
Letze Anpassung zur Version: '''11.7.3'''
<br>
Bemerkung: Artikel aktualisiert.
<br>
Vorherige Versionen: -
<br>
 
==Konfiguration des Captive-Portal==
=== Servereinstellungen ===
[[Datei:CP_servereinstellunge.png| thumb| 350px|<font size=1>Servereinstellungen - FQDN & DNS-Server</font>]]
[[Datei:CP_servereinstellunge.png| thumb| 350px|<font size=1>Servereinstellungen - FQDN & DNS-Server</font>]]
== FQDN anpassen ==
==== Firewallname anpassen ====
Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.
Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein.
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.
Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, achten Sie bitte explizit auf den Eintrag Nameserver.
Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.


== DNS-Server eintragen ==
==== DNS-Server eintragen ====
Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.
Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.
<br><br><br><br><br>


= Zertifikate importieren =
<br><br><br><br>
<br><br>
=== Zertifikate importieren ===
Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.
Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.
Grundsätzlich bestehen hier zwei Optionen:
Grundsätzlich bestehen hier zwei Optionen:
Zeile 32: Zeile 42:
  openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes
  openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes


= ggf. Gruppe anlegen =
=== ggf. Gruppe anlegen ===
[[Datei:CP gruppe.png| thumb| 350px|<font size=1>Benutzer - Gruppe anlegen & Rechte vergeben</font>]]
[[Datei:CP gruppe.png| thumb| 350px|<font size=1>Benutzer - Gruppe anlegen & Rechte vergeben</font>]]
Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.  
Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen '''HTTP-Proxy''' erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.
<br>
[[UTM/AUTH/Benutzerverwaltung | Hier]] wird erklärt, wie eine Benutzergruppe angelegt werden kann.  
<br><br><br><br><br><br><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br><br><br><br>


= Implizite Regeln =
=== Implizite Regeln ===
[[Datei:CP Impliziete-regeln.png| thumb| 350px|<font size=1>Firewall - Implizite Regeln</font>]]
[[Datei:CP Impliziete-regeln.png| thumb| 350px|<font size=1>Firewall - Implizite Regeln</font>]]
Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.<br>
Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.<br>
Zeile 44: Zeile 56:
<br><br><br><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br>


= Captive Portal =
=== Einstellungen im Captive Portal ===
[[Datei:CP Proxy captive auth.PNG| thumb| 350px|<font size=1>HTTP-Proxy - Captive Portal</font>]]
[[Datei:CP Proxy captive auth.PNG| center| 600px|<font size=1>HTTP-Proxy - Captive Portal</font>]]
== Captive Portal ==
 
====Captive Portal====
Dieser Schalter aktiviert oder deaktviert das Captive Portal
Dieser Schalter aktiviert oder deaktviert das Captive Portal
== Authentifizierung ==
==== Authentifizierung ====
Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.
Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.
== Zertifikat ==
 
==== Zertifikat ====
Bitte das oben erwähnte Zertifikat auswählen.
Bitte das oben erwähnte Zertifikat auswählen.
== Maximale Verbindungszeit ==
==== Maximale Verbindungszeit ====
Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.  
Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.  
Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.
Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.
== Hostname der Portalseite ==
==== Hostname der Portalseite ====
Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.<br>
Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.<br>
Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.
Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.
== Port der Portalseite ==
==== Port der Portalseite ====
Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
== Netzwerkobjekte ==
==== Netzwerkobjekte ====
In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.
In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.
== Nutzungsbedingungen ==
==== Nutzungsbedingungen ====
Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.<br>
Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.<br>
Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.
Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.
<br><br>
<br><br>


= transparenter Proxy =
=== Nameserver ===
[[Datei:CP_transparenter_proxy.png| thumb| 350px|<font size=1>HTTP-Proxy - Transparenter Proxy</font>]]
Hier ist eine Regel von Nöten:
http | include | wlan0-network | internet
<br>
Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.
<br><br><br><br><br><br><br><br><br>
 
= Nameserver =
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.
In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.
In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.
== Forward-Zone hinzufügen ==
==== Forward-Zone hinzufügen ====
Der zu vergebende Zonenname entspricht dem FQDN der Firewall. <br>
Der zu vergebende Zonenname entspricht dem FQDN der Firewall. <br>
In unserem Fall ist dies 'portal.anyideas.de'.  <br>
In unserem Fall ist dies 'portal.anyideas.de'.  <br>
Zeile 87: Zeile 93:
[[Datei:CP_nameserver 3.png | 212px | <font size=1>Nameserver - Nameserver IP</font>]]
[[Datei:CP_nameserver 3.png | 212px | <font size=1>Nameserver - Nameserver IP</font>]]
<br><br>
<br><br>
== Forward-Zone bearbeiten ==
 
[[Datei:CP_nameserver 4.png | 250px | thumb | <font size=1>Nameserver - Nameserver IP</font>]]
=== transparenter Proxy ===
[[Datei:CP_transparenter_proxy.png| thumb| 350px|<font size=1>HTTP-Proxy - Transparenter Proxy</font>]]
Hier ist eine Regel von Nöten:
http | include | wlan0-network | internet
<br>
Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.
<br><br><br><br><br><br><br><br><br>
 
==== Forward-Zone bearbeiten ====
[[Datei:Nameserver-A.png | 250px | thumb | <font size=1>Nameserver - Nameserver IP</font>]]
Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:<br>
Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:<br>
<br>
<br>
  Name: FQDN der Firewall
  Name: FQDN der Firewall
  Typ: A
  Typ: A
  Wert: @
  Wert: IP der Schnittstelle (wlan0 z.B.)
<br><br><br><br><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br><br>


= Portfilter =
=== Portfilter ===
[[Datei:CP_Portfilter.png | 250px | thumb | <font size=1>Firewall - Portfilter IP</font>]]
[[Datei:CP_Portfilter.png | 250px | thumb | <font size=1>Firewall - Portfilter IP</font>]]
Im Portfilter müssen abschließend noch zwei Regeln anlegt werden
Im Portfilter müssen abschließend noch zwei Regeln anlegt werden
Zeile 103: Zeile 118:
<br><br><br><br><br><br><br><br><br><br>
<br><br><br><br><br><br><br><br><br><br>


= Webfilter =
=== Webfilter ===
Abschließend sollte noch der Webfilter konfiguriert werden.
Abschließend sollte noch der Webfilter konfiguriert werden.
Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.
Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich.
Folgende Schritte sind durchzuführen:
Folgende Schritte sind durchzuführen:
== mit Authentifizierung ==
==== mit Authentifizierung ====
# Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher unser wlan-0-network-Netztwerkobjekt gehört.
# Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.
# Anwendungen | Webfilter | Profil hinzufügen
# Anwendungen | Webfilter | Profil hinzufügen
# Die neu erstellte Gruppe wählen
# Die neu erstellte Gruppe wählen
Zeile 114: Zeile 129:
## URL des internen Webserver hinzufügen
## URL des internen Webserver hinzufügen
## Aktion auf 'blockieren' stellen
## Aktion auf 'blockieren' stellen
== ohne Authentifizierung ==
 
==== ohne Authentifizierung ====
# Anwendungen | Webfilter | Profil hinzufügen
# Anwendungen | Webfilter | Profil hinzufügen
# Die Gruppe der Benutzer wählen
# Die Gruppe der Benutzer wählen
Zeile 121: Zeile 137:
## Aktion auf 'blockieren' stellen
## Aktion auf 'blockieren' stellen
<br>
<br>
= Checkliste =

Version vom 1. August 2017, 07:56 Uhr

Informationen

Letze Anpassung zur Version: 11.7.3
Bemerkung: Artikel aktualisiert.
Vorherige Versionen: -

Konfiguration des Captive-Portal

Servereinstellungen

Servereinstellungen - FQDN & DNS-Server

Firewallname anpassen

Der Firewallname sollte als FQDN definiert sein. In unserem Beispiel hier wird dies 'portal.anyideas.de' sein. Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt. Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.

DNS-Server eintragen

Als primären Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.







Zertifikate importieren

Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen. Grundsätzlich bestehen hier zwei Optionen:

  • Ein Zertifikat für einen FQDN
    • in diesem Fall wäre der Common Name des Zertifikats 'portal.anyideas.de'
  • Ein Wildcardzertifikat
    • in diesem Fall wäre der Common Name des Zertifikats '*.anyideas.de'

Im ersten Schritt muss die, zusammen mit dem Zertifikat zur Verfügung gestellte CA, in die UTM importiert werden.
Anschließend wird der gleiche Schritt für das eigentliche Zertifikat wiederholt.

Mit dem Tool openssl und den folgenden Befehlen können Zertifikate konvertiert werden:

  • X509 zu PEM
openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
  • DER zu PEM
openssl x509 -inform der -in certificate.cer -out certificate.pem
  • P7B zu PEM
openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem
  • PFX zu PEM
openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes

ggf. Gruppe anlegen

Benutzer - Gruppe anlegen & Rechte vergeben

Soll eine Authentifizierung der User am Captiv Portal erfolgen, muss im nächsten Schritt eine Gruppe mit den dafür nötigen Berechtigungen HTTP-Proxy erstellt werden. Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.
Hier wird erklärt, wie eine Benutzergruppe angelegt werden kann.












Implizite Regeln

Firewall - Implizite Regeln

Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.
Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.









Einstellungen im Captive Portal

HTTP-Proxy - Captive Portal

Captive Portal

Dieser Schalter aktiviert oder deaktviert das Captive Portal

Authentifizierung

Hier kann, wenn gewünscht, eine Authentifizierung erzwungen werden.

Zertifikat

Bitte das oben erwähnte Zertifikat auswählen.

Maximale Verbindungszeit

Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist. Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von Nöten.

Hostname der Portalseite

Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.
Bei einem Wildcardzertifikat muss der Hostname der Anwort auf eine DNS-Anfrage des Clients entsprechen.

Port der Portalseite

Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.

Netzwerkobjekte

In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, welche auf die Landingpage umgeleitet werden sollen.

Nutzungsbedingungen

Hier ist Platz für von Ihnen und/oder Ihrem Anwalt formulierten Nutzungsbedingungen.
Dies können wir Ihnen leider aus Haftungsgründen nicht bereitstellen.

Nameserver

Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden. In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.

Forward-Zone hinzufügen

Der zu vergebende Zonenname entspricht dem FQDN der Firewall.
In unserem Fall ist dies 'portal.anyideas.de'.
Als Hostname des Nameserver tragen wir den 'localhost' ein.
Das Feld der IP-Adresse kann leer gelassen werden.
Nameserver - Zonenname Nameserver - Nameserver Hostname Nameserver - Nameserver IP

transparenter Proxy

HTTP-Proxy - Transparenter Proxy

Hier ist eine Regel von Nöten:

http | include | wlan0-network | internet


Diese Regel erlaubt den Zugriff über den benötigten HTTP-Proxy ins Internet.








Forward-Zone bearbeiten

Nameserver - Nameserver IP

Anschließend bearbeiten wir die grade erstellte Zone und fügen folgenden Eintrag hinzu:

Name: FQDN der Firewall
Typ: A
Wert: IP der Schnittstelle (wlan0 z.B.)












Portfilter

Firewall - Portfilter IP

Im Portfilter müssen abschließend noch zwei Regeln anlegt werden

  1. Quelle: captive_portal -> Ziel: internet | Dienst: any | NAT: HideNAT external-interface
  2. Quelle: wlan-0-network -> Ziel: wlan-interface | Dienst: proxy











Webfilter

Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist auch ohne Regel im Portfilter ein Zugriff auf interne Webserver möglich. Folgende Schritte sind durchzuführen:

mit Authentifizierung

  1. Erstellen einer Gruppe (z.B. grp_CP_webfilter) im Portfilter | Netzwerkobjekte zu welcher das wlan-0-network-Netzwerkobjekt gehört hinzufügen.
  2. Anwendungen | Webfilter | Profil hinzufügen
  3. Die neu erstellte Gruppe wählen
  4. neu generierten Regelsatz bearbeiten
    1. URL des internen Webserver hinzufügen
    2. Aktion auf 'blockieren' stellen

ohne Authentifizierung

  1. Anwendungen | Webfilter | Profil hinzufügen
  2. Die Gruppe der Benutzer wählen
  3. neu generierten Regelsatz bearbeiten
    1. URL des internen Webserver hinzufügen
    2. Aktion auf 'blockieren' stellen