Wechseln zu:Navigation, Suche
Wiki

Captive Portal mit einem käuflich erworbenen Zertifikat

Version vom 15. April 2021, 19:09 Uhr von Lauritzl (Diskussion | Beiträge) (Die Seite wurde neu angelegt: „{{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{var |CPEdisplay| Captive Portal mit einem käuflich erworbenen Zertifikat | Captive Portal with a purch…“)
(Unterschied) ← Nächstältere Version | Aktuelle Version (Unterschied) | Nächstjüngere Version → (Unterschied)
Aus Securepoint Wiki








































De.png
En.png
Fr.png





notempty
Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty
Der Artikel für die neueste Version steht hier

notempty
Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht







































Konfiguration des Captive-Portal

Letzte Anpassung zur Version: 11.8.7


Neu:

  • Artikel aktualisiert
  • Übersetzung auf englisch
  • Regel für HTTPS mit SLL-Interception hinzugefügt

Vorherige Versionen: -

Servereinstellungen

Servereinstellungen - FQDN & DNS-Server

Menü → Netzwerk →Servereinstellungen Reiter Servereinstellungen

Firewallname anpassen

Der Firewallname sollte als FQDN definiert sein. (Im Beispiel portal.anyideas.de)
Dies ist nötig, damit später die Auflösung der Landingpage des Captive Portals mit dem Zertifikat zusammenspielt.Sollte ein Wechsel des Hostnamen nicht möglich sein, weil die Firewall zum Beispiel als ausgehendes Mailrelay benutzt wird, muss auf den Nameservereintrag geachtet werden.

Firewall
Firewallname portal.anyideas.de FQDN-konformer Firewallname

DNS-Server eintragen

Als primärer Nameserver wird der Localhost (hier 127.0.0.1) eingetragen. Als sekundärer Nameserver hat sich in der Vergangenheit 'google-public-dns-a.google.com' durch eine schnelle Antwortzeit und hohe Verfügbarkeit bewährt.

DNS-Server
Primärer Nameserver 127.0.0.1 Localhost
Sekundärer Nameserver 8.8.8.8 Möglicher Nameserver: google-public-dns-a.google.com


Zertifikate importieren

Da die Landingpage des Captive Portals eine HTTPS-Website ist muss im nächsten Schritt für das benötigte Zertifikat gesorgt werden. Wir empfehlen hier ausdrücklich ein Zertifikat von einer offiziellen CA zu erwerben (oder ein bereits vorhandenes Wildcardzertifikat zu verwenden), um späteren Irritationen wegen Warnmeldungen des Browsers vorzubeugen.
Grundsätzlich bestehen hier zwei Optionen:

  • Ein Zertifikat für einen FQDN
    • in diesem Fall wäre der Common Name des Zertifikats portal.anyideas.de
  • Ein Wildcardzertifikat
    • in diesem Fall wäre der Common Name des Zertifikats *.anyideas.de


  1. Im ersten Schritt muss die, zusammen mit dem Zertifikat zur Verfügung gestellte CA, in die UTM importiert werden.
    Menü → Authentifizierung →Zertifikate Reiter CA Schaltfläche CA importieren

  2. Anschließend wird der gleiche Schritt für das eigentliche Zertifikat wiederholt.
    Menü → Authentifizierung →Zertifikate Reiter Zertifikate Schaltfläche Zertifikat importieren

Die CA und das Zertifikat müssen im .pem-Format vorliegen !

Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:

Zertifikat Befehl
X509 zu PEM openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
DER zu PEM openssl x509 -inform der -in certificate.cer -out certificate.pem
P7B zu PEM openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem
PFX zu PEM openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes
















































































ggf. Gruppe anlegen

Benutzer - Gruppe anlegen & Rechte vergeben

Menü → Authentifizierung →BenutzerReiter Gruppen Schaltfläche Gruppe hinzufügen Reiter Berechtigungen

Soll eine Authentifizierung der User am Captive Portal erfolgen, muss im nächsten Schritt eine Gruppe mit der dafür benötigten Berechtigung HTTP-Proxy Ein erstellt werden.

Hier wird erklärt, wie eine Benutzergruppe angelegt werden kann.

Die Gruppe kann auf Wunsch und bei einer bestehender Integration in ein Active Directory auch auf eine im AD vorhandene oder zu generierende Gruppe gemappt werden.


Implizite Regeln

Firewall - Implizite Regeln

Menü → Firewall →Implizite Regeln Gruppe Ein Captive Portal
Unter dem Punkt Captive Portal im Menü Implizite Regeln muss sichergestellt sein, dass beide Regeln aktiviert sind.
Der Schalter CaptivePortalPage öffnet einen eingehenden Port auf dem entsprechenden Interface der Firewall, dass für das Captive Portal vorgesehen ist, um die Landingpage anzeigen zu können.
Der Schalter CaptivePortalRedirection ist, wie der Name schon sagt, für die dazugehörige Umleitung der Traffics auf den oben genannten Port zuständig.

Einstellungen im Captive Portal

Menü → Anwendungen →HTTP-Proxy Reiter Captive Portal

HTTP-Proxy - Captive Portal
Beschriftung Wert Beschreibung
Captive Portal: Ein Dieser Schalter aktiviert oder deaktiviert das Captive Portal
Authentifizierung: Ein Zertifikat:
Zertifikat: portal.anyideas.de Bitte das oben erwähnte Zertifikat auswählen.
Maximale Verbindungszeit: 1800Link= Der Zeitrahmen, in dem eine Anmeldung im Captive Portal gültig ist.
Ist die voreingestellte Zeit abgelaufen, wird der Web-Zugriff ins Internet gesperrt und eine erneute Bestätigung der Nutzungsbedingungen (und, wenn gewünscht, der Authentifizierung) ist von notwendig.
Hostname der Portalseite: portal.anyideas.de Dieser sollte, bei einem Zertifikat für einen FQDN, dem Common Name des Zertifikats entsprechen.
Bei einem Wildcardzertifikat muss der Hostname der Antwort auf eine DNS-Anfrage des Clients entsprechen.
Port der Portalseite: 8085Link= Es muss ein Port für das Captive Portal definiert sein, dieser kann aber geändert werden.
Netzwerkobjekte: × wlan-0-network (wlan0)  In diesem Feld bitte die Netzwerkobjekte auswählen, welche die Netze repräsentieren, die auf die Landingpage umgeleitet werden sollen.
Nutzungsbedingungen: Nutzungsbedingungen/Terms of Use Hier müssen eigene Nutzungsbedingungen aufgeführt werden.
Aus Haftungsgründen können wir diese leider nicht bereitstellen. Wir empfehlen aus den gleichen Gründen, einen Anwalt hinzu zu ziehen.


Nameserver

Menü → Anwendungen →Nameserver Reiter Zonen
Wenn der Firewallname nicht auf einen FQDN geändert werden kann, weil zum Beispiel die UTM als ausgehendes Mailrelay verwendet wird muss zusätzlich der Nameserver der Firewall genutzt werden.In diesem Beispiel wird davon ausgegangen, dass die Firewall für das Netz des Captive Portals der zuständige DHCP-Server ist und als primären DNS-Server eingerichtet ist.

Forward-Zone hinzufügen

Schaltfläche Forward-Zone hinzufügen

Der zu vergebende Zonenname entspricht dem FQDN der Firewall.
Im Beispiel portal.anyideas.de.
Als Hostname des Nameservers wird localhost verwendet.
Das Feld der IP-Adresse kann leer gelassen werden.

CP nameserver 1.png

Schritt 1
Zonenname portal.anyideas.de
CP nameserver 2.png

Schritt 2
Nameserver Hostname loacalhost
CP nameserver 3.png
Schritt 3
IP-Adresse kann leer gelassen werden














Forward-Zone bearbeiten

Nameserver - A-Record mit IP-Adresse

Der soeben erstellten Zone wird folgender Eintrag hinzu gefügt → Schaltfläche Eintrag hinzufügen  :

Beschriftung Wert Beschreibung
Name: portal.anyideas.de FQDN der Firewall
Typ: A A-Record
Wert 192.168.100.1 IP der Schnittstelle (hier wlan0 )


Transparenter Modus

HTTP-Proxy - Transparenter Proxy

Menü → Anwendungen →HTTP-Proxy Reiter Transparenter Modus
Für den Zugriff auf das Internet über den benötigten HTTP-Proxy ist mindestens eine Regel notwendig (HTTP), besser zwei (zusätzlich HTTPS)

Beschriftung Wert
Schaltfläche Transparente Regel hinzufügen
Protokoll: HTTP
Typ: include
Quelle: wlan-0-network
Ziel: internet
Beschriftung Wert
Speichern

Für den Zugriff auf https-Seiten muss zusätzlich im Reiter SSL-Interception
die SSL-Interception Ein aktiviert sein. (Benötigt ein CA-Zertifikat der UTM)
Protokoll: HTTPS
Typ: include
Quelle: wlan-0-network
Ziel: internet


Portfilter

Firewall - Portfilter IP

Im Portfilter sind zwei weitere Regeln erforderlich:

1. Regel
Quelle:
captive_portal
Ziel:
internet
Dienst
default-internet
[–] NAT
Typ:
HideNAT
Netzwerkobjekt
external-interface

Hinzufügen


2. Regel
Quelle:
wlan-0-network
Ziel:
wlan-interface
Dienst
proxy

Hinzufügen und schließen

Regeln aktualisieren


Webfilter

Abschließend sollte noch der Webfilter konfiguriert werden. Da über den Proxy gesurft wird ist ohne Regel im Portfilter ein Zugriff auf z.B. interne Webserver möglich.Folgende Schritte sind durchzuführen:

mit Authentifizierung

  1. → Firewall →PortfilterReiter Netzwerkobjekte Schaltfläche Gruppe hinzufügen
    Erstellen einer Gruppe (z.B. grp_CP_webfilter), die das wlan-0-network-Netzwerkobjekt beinhaltet
  2. → Anwendungen →Webfilter Schaltfläche Profil hinzufügen
  3. Netzwerk- oder Benutzergruppe: grp_CP_webfilter Die neu erstellte Gruppe wählen Speichern
  4. neu generierten Regelsatz bearbeiten
    1. webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
    2. Aktion auf blockieren belassen

ohne Authentifizierung

  1. → Anwendungen →Webfilter Schaltfläche Profil hinzufügen
  2. Die Gruppe der Benutzer wählen
  3. neu generierten Regelsatz bearbeiten
    1. webserver.anyideas.de URL des (internen) Servers, auf den der Zugriff über das Captive Portal gesperrt werden soll URL hinzufügen
    2. Aktion auf blockieren belassen
Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/APP/HTTP_Proxy-Captive_Portal-extern_v11.8.7&oldid=79492“