Benutzerverwaltung

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

{Button|Quarantined but not filtered|dr}} } This function should only be allowed to experienced users!
Quarantised and/or filtered}} This function should only be allowed for experienced users!}}

Anlegen und konfigurieren von Benutzern und Gruppen (Berechtigungen)

Letzte Anpassung zur Version: 11.8.8 (04.2020)

Neu:

in 11.8.8
Ablaufdatum für Benutzerkonten
Vorkonfigurierter Support-Benutzer lässt sich bei Bedarf anlegen

Vorherige Versionen: 11.7 | 11.8.5

Einleitung

Aufruf der Benutzerkonfiguration in der Navigationsleiste unter → Authentifizierung →Benutzer

Die hier eingetragenen Benutzer werden in einer lokalen Datenbank auf der Appliance gespeichert.
Auch die an dieser Stelle konfigurierte Authentifizierung wird gegen die lokale Datenbank vorgenommen.
Es können zusätzlich lokale Benutzergruppen einer AD/LDAP - Gruppe zugeordnet werden.

Benutzer

Benutzerverwaltung

Beschriftung	Wert	Beschreibung
Name	`admin`	Login-Name der Benutzer
Gruppen	administrator	Gruppenzugehörigket des jeweiligen Users
Berechtigungen	Firewall Adminstrator	Berechtigungen, Konfiguration unter Gruppen
Hinweise Neu ab 11.8.5	Läuft in 8 Stunden ab	Nach Ablauf kann sich der Benutzer nicht mehr anmelden.
		Bearbeiten oder Löschen des Benutzers

Support-Benutzer

Support-Benutzer anlegen

Neue Funktion ab 11.8.5

Der Support-Benutzer ist ein temporärer Administrator, der zum Beispiel zur Unterstützung für den Securepoint Support aktiviert werden kann.

Die Schaltfläche zum Anlegen eines Support-Benutzers befindet sich rechts oben im Dashboard. (Headset-Symbol)

Es lassen sich nicht mehrere Support-Benutzer gleichzeitig anlegen. Existiert bereits ein Support-Benutzer wird gefragt, ob der vorhandene Benutzer gelöscht werden soll!

Beschriftung	Wert	Beschreibung
Anmeldename:	support-N3e-oDt	Willkürlicher Name, der mit `support-` beginnt und nur durch geändert werden kann. Es ist keine manuelle Eingabe möglich.
Passwort:	red-SZZ-sIa-dCB	Willkürlicher Wert, der nur durch geändert werden kann. Es ist keine manuelle Eingabe möglich.
Ablaufdatum:	2019-08-20 11:11:11	Per Default läuft der Zugang für den Support-Benutzer nach 24 Stunden ab. Es ist möglich, diesen Wert auf bis zu 30 Tage zu verlängern. Es ist nicht möglich, diesen Wert nachträglich zu ändern.
Gruppen:	×administrator	Es ist per Default die erste Benutzer-Gruppe mit der Berechtigung Firewall Administrator eingetragen. Es lassen sich andere Gruppen, die ebenfalls über diese Berechtigung verfügen auswählen.
Root-Berechtigung:	Nein	Bei Ja Aktivierung erhält der Benutzer zusätzlich root-Berechtigung. Bei einer Verbindung mit SSH erfolgt die Anmeldung direkt auf der root-Konsole!
Administration Zugriff für den Securepoint Support freigeben: Ja		Um einen Zugriff auf das Admin-Interface über die externe Schnittstelle zu ermöglichen wird unter → Netzwerk →Servereinstellungen Reiter Administration der Eintrag support.de.securepoint.de hinzugefügt.

Vor dem Speichern sollte der Anmeldename und muss das Passwort notiert werden !
Das Passwort kann nach dem Speichern nicht mehr angezeigt werden. Beide Werte lassen sich jeweils über die Zwischenablage kopieren.

Abgelaufene Benutzer-Zugänge werden automatisch nach einer gewissen Zeit entfernt.

Benutzer hinzufügen

Es öffnet sich der Dialog Benutzer hinzufügen. Dieser Dialog beinhaltet mehrere Registerkarten. Es müssen nicht in allen Registerkarten Eintragungen gemacht werden. Mit Speichern werden die Eintragungen übernommen.

Benutzer Allgemein

Allgemein

Anmeldedaten des Benutzers eintragen

Beschriftung	Wert	Beschreibung
Anmeldename	admin-user	Login-Name des Benutzers
Anmeldename	root	Ein Benutzer mit dem Namen root muss auch Mitglied einer Gruppe mit Administratorberechtigung sein. Dieser Benutzer erhält dann automatisch root-Berechtigung. Nach Anmeldung per ssh auf der Appliance landet dieser Benutzer nicht auf dem CLI sondern sofort in der Linux-Konsole. Diesem Benutzer stehen dort umfangreiche Diagnosewerkzeuge zur Verfügung, z.B. tcpdump Der Root-Benutzer erreicht das Command Line Interface (CLI) mit dem Befehl spcli und verläßt es mit exit. Der root-Benutzer sollte unbedingt mit einem kurzfristigen Ablaufdatum versehen werden oder nach den Diagnosearbeiten sofort wieder entfernt werden!
Passwort Passwort bestätigen	••••••••	Stark Neu ab 11.8 Das Kennwort muss dabei folgende Kriterien erfüllen: mindestens 8 Zeichen Länge mindestens 3 der folgenden Kategorien: Großbuchstaben Kleinbuchstaben Sonderzeichen Ziffern
Ablaufdatum Neu ab 11.8.5	2020-08-21 00:00:00	Nach Ablauf kann sich der Benutzer nicht mehr anmelden. Das Ablaufdatum kann aber wieder verlängert werden. (Es kann im Web-Interface nicht in die Vergangenheit gesetzt werden!) Das Ablaufdatum lässt sich ebenfalls per CLI ändern: user attribute set name testnutzer attribute expirydate value 1576553166 Der Wert wird als Unixtime (Zeit in Sekunden seit dem 1.1.1970 00:00 Uhr) angegeben.
Gruppen	×administrator	Gruppenzugehörigkeit und damit Berechtigungen dieses Benutzers

VPN

IP-Tunnel Adressen festlegen

Hier können feste IP-Tunnel Adressen an die Benutzer vergeben werden

L2TP IP-Adresse:
SSL-VPN IPv4-Adresse:
SSL-VPN IPv6-Adresse:

PPTP steht nicht mehr zur Verfügung, da es sich nachgewiesenermaßen um ein unsicheres Protokoll handelt.

SSL-VPN

			[[Datei: ]]

		: 1443.
	RW-Securepoint
	cs-sslvpn-rw(1)
Remote Gateway:	192.168.0.162 ()
Redirect Gateway:

Passwort

Festlegen der Kennworteigenschaften

Auf der Registerkarte Passwort wird die Stärke des Kennwortes definiert und ob das Kennwort vom Benutzer selbst geändert werden darf.

Beschriftung	Default	Beschreibung
Passwortänderung erlaubt:	Aus	Legt fest, ob der Benutzer sein Kennwort im User-Interface selber ändern darf.
Mindest Kennwortlänge:	8	Die minimale Kennwortlänge kann auf mehr als 8 Zeichen gesetzt werden.
Das Kennwort muss dabei folgende Kriterien erfüllen: mindestens 8 Zeichen Länge mindestens 3 der folgenden Kategorien: Großbuchstaben Kleinbuchstaben Sonderzeichen Ziffern

Mailfilter

Beschriftung	Default	Beschreibung
Einstellungen aus der Gruppe verwenden:	Nein	Wenn der Benutzer Mitglied einer Gruppe ist, können die Einstellungen von dort übernommen werden. Die folgenden Einstellungen werden dann hier ausgeblendet und sind im Menü → Authentifizierung →Benutzer / Gruppen zu konfigurieren.
E-Mail-Adresse
user@ttt-point.de		E-Mailkonten ein, die von diesem Benutzer eingesehen werden können, um den Mailfilter zu kontrollieren. Löschen mit
E-Mail-Adresse		Eintragen einer E-Mail-Adresse in die Liste
Herunterladen von folgenden Anhängen erlauben:	(Default)	Mitglieder dieser Gruppe können im User-Interface Anhänge von Mails herunterladen, die bestimmte Kriterien erfüllen.



Weiterleiten von folgenden E-Mails erlauben:	(Default)	Mitglieder dieser Gruppe können im User-Interface Anhänge von Mails weiterleiten, die bestimmte Kriterien erfüllen.



Bericht E-Mail-Adresse:		E-Mail-Adresse, an die ein Spam-Report versendet wird. Wenn hier kein Eintrag erfolgt, wird der Spam-Report an die erste E-Mail-Adresse der Liste gesendet. in 11.8.8
Sprache der Berichte:	Defaulta	Vorgabe unter → Netzwerk →Servereinstellungen → Firewall → Sprache der Berichte Es kann gezielt ausgewählt werden: Deutsch bzw. Englisch

WOL

Wake on Lan konfigurieren

WOL steht für Wake on LAN und schaltet einen Computer über die Netzwerkkarte ein. Um den Rechner per Datenpaket zu starten, muss der Rechner dies auch unterstützen. In der Regel wird dies im BIOS bzw. UEFI konfiguriert.

Damit ein Benutzer WOL nutzen darf, muss es hier konfiguriert werden!

Beschriftung	Default	Beschreibung
Beschreibung:		Freier Text
MAC Adresse:	__:__:__:__:__:	MAC-Adresse des Rechners, der per Wake on Lan aktiviert werden soll
Schnittstelle:	eth0	Schnittstelle der Appliance, über die das WOL-Paket gesendet werden muss

Ruft den Eintrag zum Bearbeiten auf.

Löscht den Eintrag

Gruppen

Gruppen hinzufügen

Manche Einstellungen, die im Abschnitt Benutzer beschrieben worden sind, können auch für die gesamte Gruppe eingestellt werden. Die Einstellungen für den einzelnen Benutzer ersetzen allerdings die Gruppeneinstellungen.

Berechtigungen

Beschriftung	Beschreibung
Gruppenname	Frei wählbarer Name

Berechtigungen
Firewall Administrator	Mitglieder dieser Gruppe können das Admin-Interface aufrufen (per Default auf Port 1115 erreichbar. Es muss immmer mindestens einen Firewall-Adminstrator geben
Spamreport	Mitglieder dieser Gruppe können einen Spamreport erhalten
VPN-L2TP	Mitglieder dieser Gruppe können eine VPN-L2TP-Verbindung aufbauen
Mailrelay Benutzer	Mitglieder dieser Gruppe können das Mailrelay verwenden
HTTP-Proxy	Mitglieder dieser Gruppe können den HTTP-Proxy verwenden
IPSEC XAUTH	Mitglieder dieser Gruppe können sich mit IPSEC authentizieren
Userinterface	Mitglieder dieser Gruppe haben Zugriff auf das Userinterface
Clientless VPN	Mitglieder dieser Gruppe können Clientless VPN verwenden
Mailfilter Administrator	Mitglieder dieser Gruppe können einstellungen für den Mailfilter vornehmen
SSL-VPN	Mitglieder dieser Gruppe können eine SSL-VPN-Verbindung aufbauen

Clinetless VPN

UTM v11.8.5 Authentifizierung Benutzer Clientless-VPN.png

Dieser Reiter wird nur angezeigt, wenn im Reiter Berechtigungen Clientless VPN aktiviert Ein wurde.

Unter→ VPN →Clientless VPN angelegte Verbindungen werden hier angezeigt.

Clientless VPN
Name	Name der Verbindung
Zugriff	Nein	Bei Ja Aktivierung können Mitglieder dieser Gruppe diese Verbindung nutzen

Clientless VPN Verwaltung öffnen Hier lassen sich Verbindungen konfigurieren und hinzufügen.

Aufruf alternativ über → VPN →Clientless VPN

Weitere Hinweise im Artikel zu Clientless VPN.

SSL-VPN

notempty

:		:	[[Datei: ]]
\|\| \|\|
\|\| rw-sslvpn-e2s-01 \|\|
\|\| cs-sslvpn-rw \|\|
Remote Gateway:	203.0.113.0/24
Redirect Gateway:
\|\| \|\|

Verzeichnis Dienst

AD/LDAP Gruppenzuordnung

Hier wird eingetagen, welcher Verzeichnis-Dienst-Gruppe die Mitglieder dieser Benutzergruppe angehören sollen.

Auswahl einer Gruppe des AD/LDAP-Servers

Mailfilter

Mailfilter für Gruppen konfigurieren

Die Berechtigung Userinterface Ein wird benötigt.

<This function may allow the downloading of viruses and should therefore only be allowed for experienced users!/li> }}

Beschriftung	Default	Beschreibung
E-Mail-Adresse
support@ttt-point.de		E-Mailkonten ein, die von dieser Gruppe eingesehen werden können, um den Mailfilter zu kontrollieren. Löschen mit
E-Mail-Adresse		Eintragen einer Mail-Adresse in die Liste
Herunterladen von folgenden Anhängen erlauben:	(Default)	Mitglieder dieser Gruppe können im User-Interface Anhänge von Mails herunterladen, die bestimmte Kriterien erfüllen.



Weiterleiten von folgenden E-Mails erlauben:	(Default)	Mitglieder dieser Gruppe können im User-Interface Anhänge von Mails weiterleiten, die bestimmte Kriterien erfüllen.



Bericht E-Mail-Adresse:		E-Mail-Adresse, an die ein Spam-Report versendet wird. Wenn hier kein Eintrag erfolgt, wird der Spam-Report an die erste E-Mail-Adresse der Liste gesendet.
Sprache der Berichte:	Default	Vorgabe unter → Netzwerk →Servereinstellungen → Firewall → Sprache der Berichte Es kann gezielt ausgewählt werden: Deutsch bzw. Englisch

WOL

Wake on LAN konfigurieren

WOL steht für Wake on LAN und schaltet einen Computer über die Netzwerkkarte ein. Um den Rechner per Datenpaket zu starten, muss der Rechner dies auch unterstützen. In der Regel wird dies im BIOS bzw. UEFI konfiguriert.

Mitglieder dieser Gruppe dürfen hier eingetragene Hosts per WOL einschalten.

Beschriftung	Default	Beschreibung
Beschreibung		Freier Text
MAC Adresse:	__:__:__:__:__:	MAC-Adresse des Rechners, der per Wake on Lan aktiviert werden soll
Schnittstelle:	eth0	Schnittstelle der Appliance, über die das WOL-Paket gesendet werden muss

Ruft den Eintrag zum Bearbeiten auf.

Löscht den Eintrag

nach oben