...
| Hinweis |
|---|
| Der Application Filter benötigt keinen HTTP(S)-Proxy. Er analysiert sämtlichen Datenverkehr, der die Firewall passiert, unabhängig davon, welcher Port verwendet wird. Wie Sie den Application Filter konfigurieren ist in diesem Dokument beschrieben. |
- Wie Sie die Antivirus-Funktion konfigurieren ist in diesem Dokument beschrieben.
- Wie Sie den URL-/Content-Filter konfigurieren ist in diesem Dokument beschrieben.
Der HTTP(S)-Proxy dient als Mittelsmann. Er stellt eine Verbindung zum Webserver her, generiert mithilfe seiner eigenen HTTP(S)-Proxy-CA ein Pseudo-Zertifikat für die Website und verwendet dieses, um eine Verbindung zum Browser herzustellen. So kann der Proxy den Datenverkehr analysieren, URL- und Contentfilter anwenden und nach Viren suchen.
| Hinweis |
|---|
Stellen Sie sicher, dass der DNS-Server Ihrer LANCOM R&S ®Unified Firewall die Domains, auf die zugegriffen wird, korrekt auflösen kann, wenn der HTTP(S)-Proxy aktiv ist. Auf den Endgeräten muss der DNS-Server der Unified Firewall hinterlegt sein (statisch oder dynamisch per DHCP). Alternativ kann auch ein separater lokaler DNS-Server verwendet werden. Die DNS-Anfragen müssen dann von dem separaten DNS-Server an den DNS-Server der Unified Firewall weitergeleitet werden. Weiterhin darf weder auf den Endgeräten noch auf einem lokalen DNS-Server ein DNS-Cache aktiv sein. Damit die Unified Firewall die Verbindung erlaubt, müssen die vom Endgerät sowie von der Unified Firewall aufgelöste IP-Adresse übereinstimmen. Kommt es hier zu einer Diskrepanz, wird von der Unified Firewall im Log die Fehlermeldung "Host header forgery detected" ausgegeben. Ein Zugriff auf die angefragte Webseite ist dann nicht möglich! Weiterhin kann dies auch zu Performance-Problemen beim Webseiten-Zugriff führen! Bei Verwendung der Google DNS-Server (8.8.8.8 und 8.8.4.4) kann es auch bei korrekter DNS-Struktur zu "Host header forgery" Meldungen kommen. Verwenden Sie in diesem Fall einen anderen DNS-Server. |
| Warnung |
|---|
| Achten Sie stets darauf, dass beim Einsatz des HTTP(S)-Proxy keine Firewall-Regel(n) mit einem oder mehreren benutzerdefinierten Diensten verwendet werden, welche den TCP-Port 443 enthalten. Dies würde dazu führen, dass der HTTP(S)-Proxy ausgehebelt wird. |
...
- LANCOM R&S®Unified Firewall mit Firmware ab Version 10 und aktivierter Full License
- Bereits eingerichtete und funktionsfähige Internet-Verbindung auf der Unified Firewall
- Funktionsfähig eingerichteter Paket-Filter auf der Unified Firewall.
- Web-Browser zur Konfiguration der Unified Firewall. Es werden folgende Browser unterstützt:
- Google Chrome
- Chromium
- Mozilla Firefox
- Alle DNS-Anfragen müssen über die Unified Firewall durchgeführt werden. Dabei sind folgende Konstellationen erlaubt:
- Endgerät → Unified Firewall → DNS-Server des Internet-Providers
- Endgerät → Lokaler DNS-Server → Unified Firewall → DNS-Server des Internet-Providers
- Endgerät → Unified Firewall → Lokaler DNS-Server → DNS-Server des Internet-Providers
- Weder auf den Endgeräten noch auf einem lokalen DNS-Server darf ein DNS-Cache verwendet werden!
...
1.3. Als Proxy-CA wird in diesem Beispiel das standardmäßig vorhandene Zertifikat der LCOS FX Default HTTPS Proxy CA verwendetverwendet. Die CA (Zertifizierungsstelle) wird vom HTTP(S)-Proxy verwendet, um Pseudo-Zertifikate auszustellen.
1.4. Das Feld Private Key Passwort muss bei Verwendung des LCOS FX Default HTTPS Proxy CA Zertifikats leer gelassen werden.
| Info |
|---|
|
1.45. In diesem Beispiel wird keine Client-Authentifizierung durchgeführt. Wenn diese Funktion aktiviert ist, wird eine HTTP(S)-Client-Authentifizierung mithilfe der Unified Firewall-Benutzerverwaltung durchgeführt.
1.56. Optional können Sie eine Liste (Whitelist) von Domains festlegen, die von SSL-Untersuchung, Virenscanner und URL-Filter ausgeschlossen werden sollen. Domains auf der Whitelist werden vom HTTP(S)-Proxy ohne Analyse akzeptiert und sind direkt im Browser des Benutzers verfügbar.
...
| Info |
|---|
| Tipp: Die Domains dürfen die folgenden Platzhalter enthalten: * und . für ganze Wörter, ? für einzelne Zeichen. |
1.67. Klicken Sie auf Speichern, um die Einstellungen zu übernehmen.
2. Nutzung des HTTP(S)-Proxy konfigurieren:
...
2.5. Klicken Sie abschließend in der Firewall auf Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.
3. Zertifikat exportieren und auf einem Windows-PC importieren:
...
3.1. Wechseln Sie in dasMenü Zertifikatsverwaltung → Zertifikate.
3.2. Expandieren Sie das Zertifikate-Menü und klicken Sie Klicken Sie beim Zertifikat für die standardmäßig vorhandene HTTPS Proxy LCOS FX Default Root CA auf die Exportieren-Schaltfläche.
| Hinweis |
|---|
Der Export der LCOS FX Default HTTPS Proxy CA ist hier nicht ausreichend, da es sich bei dieser nicht um die übergeordnete CA handelt. |
| Info |
|---|
In LCOS FX Versionen bis einschließlich Version 10.6 sowie in Bestandsinstallationen kann die HTTPS Proxy CA exportiert werden, da es sich bei dieser um die übergeordnete CA handelt. Weiterhin ist es generell möglich eine eigene CA für den HTTPS-Proxy zu erstellen und diese zu exportieren. |
3.3. Das Zertifikat muss im PEM/CRT-Format exportiert werden. Klicken Sie auf Exportieren, um den Vorgang zu starten. Das Zertifikat wird im *.crt Format abgespeichert.
| Info |
|---|
In LCOS FX bis einschließlich Version 10.6 wird das Zertifikat im Format *.pem abgespeichert. In diesem Fall muss die Dateiendung händisch in *.crt umbenannt werden. |
3.4. Wechseln Sie auf Ihrem Computer in den Ordner, in welchen Sie das Zertifikat exportiert haben.
3.5. Damit sich das Zertifikat unter Windows installieren lässt, müssen Sie es von der Dateiendung *.pem in die Dateiendung *.crt umbenennen. Klicken Sie auf die Zertifikatsdatei und bestätigen Sie die folgende Sicherheitswarnung mit OK.
Beachten Sie, dass Sie zur Installation des Zertifikats administrative Rechte auf dem Windows-System besitzen müssen!
3.6. Klicken Sie auf die Zertifikatsdatei und bestätigen Sie die folgende Sicherheitswarnung mit OK.3.7. Wählen Sie im Zertifikat-Dialog die Option Zertifikat installieren.
3.87. In diesem Beispiel soll das Zertifikat auf dem lokalen Computer installiert werden, sodass es von allen Benutzer dieses Computers verwendet werden kann.
3.98. Wählen Sie die Option Alle Zertifikate in folgendem Speicher installieren und stellen Sie über die Durchsuchen-Schaltfläche den Speicher Vertrauenswürdige Stammzertifizierungsstellen aus.
3.109. Klicken Sie auf Weiter und folgen Sie dem Zertifikatsimport-Assistent bis zum Ende.
3.1110. Der Zertifikatimport ist damit abgeschlossen. Alle gängigen Browser können das Zertifikat nach einem Neustart des Computers verwenden.
Wiederholen Sie den Zertifikatimport (Schritte 3.7. bis 3.1110) auf allen weiteren Computern im LAN.
| Info |
|---|
Hinweis zur Nutzung des Zertifikats im Mozilla Firefox: Um das Zertifikat auch im Mozilla Firefox nutzen zu können, müssen Sie folgendes tun:
|
Informationen zur Nutzung einer vorab angelegten und übergeordneten CA:
Vertraut ein Endgerät einer vorab angelegten und übergeordneten CA, lässt sich dieses ohne weiteren Aufwand zwischen Standorten verschieben. Dieser Fall wird im Folgenden genauer beschrieben.
1. Erstellen der übergeordneten CA:
Diese CA kann auf jeder LANCOM R&S®Unified Firewall erstellt werden. Dies geschieht idealerweise auf einer Zentral-Firewall ohne Internetzugang. Falls bereits eine dedizierte Public-Key Infrastruktur vorhanden ist, empfiehlt es sich, diese zu verwenden.
| Info |
|---|
| Wir empfehlen, dass die übergeordnete CA mindestens 5 Jahre gültig ist. |
2. Ausrollen der CA:
Diese übergeordnete CA muss auf alle Endgeräte importiert werden und vor Ablauf erneuert und auf allen Endgeräten ausgetauscht werden.
3. Erstellen und signieren der Proxy CAs auf den einzelnen LANCOM R&S®Unified Firewall:
- Es wird lokal auf den einzelnen LANCOM R&S®Unified Firewalls ein Certificate Signing Request (CSR) für eine Intermediate CA erstellt.
- Der CSR muss zentral von der übergeordneten CA signiert werden.
- Die signierte Intermediate CA wird in die lokale LANCOM R&S®Unified Firewall
- importiert und als CA für den HTTPS Proxy ausgewählt.