HTTP-Proxy Version11
Allgemein
Der Proxy dient als Vermittler zwischen Internet und dem zu schützenden Netz. Die Clients stellen Ihre Anfragen an den Proxy und dieser reicht die Anfragen zu den entsprechenden Servern weiter, dadurch bleiben die Clients beim Surfen anonym.
Proxy Port
Der Proxy Port gibt an, auf welchem Port der Proxy anzusprechen ist.
Ausgehende Adresse
Die ausgehende Adresse wird für 2 Szenarien benutzt.
- Wenn Sie den Proxy an ein Interface binden möchten.
- Wenn Sie über den Proxy einen Webserver im VPN-Netz erreichen wollen.
Beispiel zum 1. Szenario:
Der Proxy wird in diesem Beispiel an die schnellere DSL Leitung gebunden.
eth0: ppp0 mit DSL 2000
eth1: Internes Netz (Internes Interface hat die IP 192.168.175.1)
eth2: ppp1 mit DSL 16000
- Tragen Sie die IP des „Internen Interface" in das Feld für die ausgehende Adresse ein.
- Speichern Sie die Einstellungen.
- Öffnen Sie den Portfilter. Legen Sie ein „Internet2“ Objekt fürs DSL 16000 an, falls dieses noch nicht vorhanden ist.
- Erstellen Sie folgende Regel:
- Internal Interface > Internet2 > http > Accept
- Öffnen Sie die erweiterte Einstellung für diese Regel und wählen Sie beim Punkt Rule routing „ppp1“ aus.
- Speichern Sie die Regel.
Nun haben Sie den Proxy an die 2. Internetverbindung gebunden.
Beispiel zum 2. Szenario:
- Tragen Sie die IP des „Internen Interface" in das Feld für die ausgehende Adresse ein.
- Speichern Sie die Einstellungen.
Verbindungen, die von der Firewall initiiert werden, benötigen keine Extraregeln.
IPv4 DNS lookups bevorzugen
Hier können Sie festlegen, ob die Namensauflösung bevorzugt mit IPv4 IP Adressen geschehen soll.
Authentifizierung
Der Proxy bietet Ihnen verschiedene Möglichkeiten zur Authentifizierung. Die Möglichkeiten sind „Keine“, „Basic“, „NTLM“, „LDAP“ und „Radius“.
Bei einer Basic Authentifizierung werden die User auf der Firewall abgefragt. Bei „Radius“, „LDAP“ und „NTLM“ müssen Sie erst der Firewall die Server bekanntmachen. Diese können Sie im Webinterface unter Authentifizierung > externe Authentifizierung einrichten.
Übergeordneter Proxy (Parent Proxy)
Den Parent Proxy benötigen Sie, falls Sie vor dem Proxy noch einen weiteren Proxy benutzen. In diesem Fall tragen Sie die IP des davor geschalteten Proxy ein, dadurch wird der Proxy auf der Securepoint seine Daten zum Parent Proxy weiterleiten.
Transparenter Modus
Durch den transparenten Modus ist der Proxy für die Clients nicht sichtbar, der Client sieht seine Internetverbindung (HTTP) als ob kein Proxy davorgeschaltet wäre. Dennoch geht der gesamte HTTP Stream über den Proxy, wodurch Sie keine Einstellungen auf dem Client vornehmen müssen, dabei haben Sie aber die gleichen Möglichkeiten den Datenstrom zu analysieren / blocken / filtern / manipulieren, als ob Sie einen fest eingetragenen Proxy benutzen würden.
Wichtig:
Wenn Sie den Proxy transparent verwenden, muss im Feld Authentifizierung „Keine“ ausgewählt werden. Der Transparente Modus funktioniert nicht mit anderen Authentifizierungen.
Beachten Sie, dass Sie auch den Transparenten Modus deaktivieren müssen, falls Sie den Proxy abschalten, ansonsten wird weiterhin der HTTP Datenstrom zum abgeschalteten Proxy geleitet.
Netzwerkobjektgruppen zuweisen
In der Version 11 ist es nun möglich, dem transparenten Modus selbst definierte Netzwerkobjektgruppen zuzuweisen. Dazu legen Sie unter Firewall - Portfilter im Bereich Netzwerkobjekte entsprechende Netzwerkgruppen an und weisen diesen die entsprechenden Netzwerkobjekte zu. Diese geschieht entweder beim Anlegen neuer Netzwerkobjekte oder bei bestehenden mit dem Markieren der Gruppe per Mausklick auf den Gruppennamen. Wenn das Feld Orange hinterlegt ist, wählen Sie ein Netzwerkobjekt aus und klicken auf das „+“ in der Zeile des Netzwerkobjektes. Nun erscheint dieses Objekt in dem Fensterteil „Netzwerkobjekte in der Gruppe“.
Anschließend kann definiert werden, ob diese Gruppe den transparentem Modus des http-Proxy nutzen soll oder davon ausgenommen wird.
Virenscan
In dieser Version haben Sie jetzt die Wahl zwischen zwei Virenscannern. Zum einen den bisher bekannten Clam AntiVirus und neu den Virenscanner von Comtouch.
Maximum scan size limit und Trickle Time
Maximum scan size limit legt fest, wie groß die Dateien sein dürfen, die vom Virenscanner überprüft werden sollen.
Mit Trickle Time wird ein Intervall eingestellt, damit während der Virenprüfung der Browser den Download nicht abbricht.
Whitelist Ausnahmen
Zusätzlich sind Whitelist Ausnahmen definierbar. Zum einen auf Basis der MIME Typen, das heißt der Inhalts-Klassifizierung die bei der Datenübertragung im Internet vorgenommen wird. Zum anderen ist es möglich eigene Filter aufgrund von Regular Expressions (Regex) zu erstellen.
Wichtig:
Testviren von diesen Seiten werden nicht erkannt!!!
Regular Expressions
Als Regular Expression oder auch Regulärer Ausdruck wird eine Zeichenkette bezeichnet die der Beschreibung von Mengen an Zeichenketten dient. Beispiele für die Anwendung von Regular Expressions finden Sie schon im Bereich Websites Whitelist.
Der Einsatz von Regulären Ausdrücken bietet eine große Flexibilität beim anlegen individueller Filterregeln.
Einen Einführungskurs zu Regulären Ausdrücken finden Sie unter http://www.regenechsen.de
Bandbreite
Globale Bandbreite
Sie können eine globale Bandbreite für den Proxy einstellen. Der Proxy verwendet in diesem Fall nur die maximale Bandbreite und lässt den Rest der Bandbreite von Ihrer Internetverbindung unberührt. (Diese Bandbreite teilen sich alle Hosts die mit dem Proxy verbunden sind.)
Host Einstellungen
Wie bei der globalen Bandbreite können Sie auch für jeden einzelnen Host eine Bandbreite bereitstellen. Die limitierte Bandbreite für Hosts kann nicht die globale Bandbreite übersteigen.
Anwendung blocken
Nach wie vor haben Sie die Möglichkeit gewisse Anwendungen zu blocken. Dieses geschieht einfach per Markierung der unerwünschten Anwendung.
SSL-Interception
Mit dem Feature SSL-Interception ist es möglich, Schadcode in SSL-Verschlüsselten Datenströmen bereits am Gateway zu erkennen. Es unterbricht die verschlüsselten Verbindungen und macht die Datenpakete für Virenscanner und andere Filter sichtbar. Die Datenübertragung zum Client erfolgt dann wieder verschlüsselt. Dazu ist es allerdings notwendig, ein Zertifikat zu erstellen und dieses im Feld Zertifikat auszuwählen. Auch hier ist natürlich wieder möglich, anhand von Regular Expressions Ausnahmen zu definieren.
Webfilter
Der Webfilter ist so aufgebaut, dass Webfilter-Regeln bestimmten Profilen zugeordnet werden. Diese Profile können Netzwerk- oder Nutzer-Gruppen zugeordnet werden. Um Nutzergruppen anzulegen, gehen Sie auf Authentication und wählen Sie das Menü Benutzer hier haben Sie nun die Möglichkeit bestimmten Usern eine Gruppe zuzuweisen, welche z.B. durch den Active Directory Service authentifiziert werden können (siehe auch "Anlegen von Gruppen mit ActiveDirectory"). Wenn Sie keine externe User-Authentifizierung nutzen, haben Sie die Möglichkeit Netzwerkobjekte zu Gruppen zusammenzufassen und diese für die Webfilter Profile zu nutzen. Um eine Netzwerkgruppe zu erstellen, gehen Sie auf Firewall und den Menüpunkt Portfilter. Wenn Sie dann in den Bereich Netzwerkobjekte wechseln, können Sie neue Netzwerkgruppen anlegen und diesen entweder bestehende Netzwerkobjekte zuweisen oder bei der Erstellung neuer Objekte die Netzwerkgruppe mit angeben.
Webfilter-Regelsatz
Als nächstes legen Sie die gewünschten Webfilterregeln an.
Mit Regelsatz hinzufügen, erhält dieser eine Bezeichnung. Anschließend klicken Sie auf das Editier Symbol in der neu angelegten Zeile.
General
Mit Block Access können Sie entscheiden, ob mit dieser Regel alles blockiert werden soll.
Time
Im Feld Time definieren Sie an welchen Wochentagen und in welchem Zeitraum diese Regel gelten soll.
Optionen
Mit der Option Safe-Search können Sie das für die Google Suche geschaffene Filtersystem nutzen. Bei der strikten Filterung werden sexuell eindeutige Videos und Bilder sowie Ergebnisse, die mit eindeutigen Inhalten verlinkt sein könnten, aus den Google-Suchergebnisseiten gefiltert. Bei der moderaten Filterung werden sexuell eindeutige Videos und Bilder aus den Google-Suchergebnisseiten ausgeschlossen. Ergebnisse, die mit eindeutigen Inhalten verlinkt sein könnten, werden jedoch nicht gefiltert. Wenn Sie off auswählen, wird der SafeSearch-Filter vollständig deaktiviert.
Die Option Resolve URL Shortener löst die verkürzt dargestellten URL in die Langform auf.
Webfilterregeln
Es gibt zwei Möglichkeiten Webfilterregeln zu erstellen. Entweder auf Basis von Kategorien oder URL’s. Um Kategorien auszuwählen, wählen Sie einfach blacklist-cat oder whitelist-cat unter Action aus, je nachdem ob Sie diese sperren oder zulassen möchten. Anschließend wählen Sie die entsprechende Kategorie aus der Liste aus. Bei der auswahl von URL's sind auch Wildcards möglich. Folgendes Beispiel soll den Einsatz der Wildcards deutlich machen: http://*facebook* bezieht sich auf alle http Webseiten, die Facebook in der URL haben. Wichtig ist die Angabe des Protokolls.
Zuordnen der Webfilter-Regelsätze zu einem Profil
Für die Zuordnung eines oder mehrerer Regelsätze zu einem Profil, wechseln Sie in den Bereich Profil und klicken auf Profil hinzufügen. Anschließend wählen Sie eine Netzwerk- oder Benutzergruppe aus, bestimmen den darauf anzuwendenden Regelsatz und klicken neben dem Regelsatz auf den „+“ Button.