Ihre R&S®LANCOM Unified Firewall verwendet den Proxy Squid. Dieser Proxy dient als Schnittstelle zum Contentfilter und zum Virenscanner (siehe URL- / Contentfilter und Antivirus-Einstellungen).
Unter können Sie den HTTP(S)-Proxy Ihrer R&S®LANCOM Unified Firewall konfigurieren.
Der HTTP(S)-Proxy dient als Mittelsmann. Er stellt eine Verbindung zum Webserver her, generiert mithilfe seiner eigenen HTTP(S)-Proxy-CA ein Pseudo-Zertifikat für die Website und verwendet dieses, um eine Verbindung zum Browser herzustellen. So kann der Proxy den Datenverkehr analysieren, URL- und Contentfilter anwenden und nach Viren suchen.
Stellen Sie sicher, dass der DNS-Server die Domains, auf die zugegriffen wird, korrekt auflösen kann, wenn der HTTP(S)-Proxy aktiv ist. Importieren Sie außerdem die HTTP(S)-Proxy-CA Ihrer R&S®LANCOM Unified Firewall als vertrauenswürdige Zertifizierungsstelle in die Browser aller Clients.
Funktionsweise des Transparenten und Intransparenten Proxys:
Transparenter Proxy:- Der Datenverkehr eines Clients (z.B. ein Web-Browser) wird transparent über den Proxy übertragen. Dabei werden die Standard-Ports 80 (HTTP) und 443 (HTTPS) verwendet.
- Der Proxy ändert weder die Ziel IP-Adresse noch die HTTP Header.
- Der Client muss also nicht wissen, dass der Datenverkehr über einen Proxy läuft.
Intransparenter Proxy:
- Der Datenverkehr eines Clients (z.B. ein Web-Browser) wird intransparent über den Proxy übertragen. Dabei werden die Ports 10080 (HTTP) und 10443 (HTTPS) verwendet.
- Der Client sendet seine Anfragen an die Proxy Adresse. Im HTTP Header wird dabei die Ziel URL angegeben (z. B. GET http://example.com/…). Der Proxy sendet die Anfrage anschließend an das Ziel.
- Der Proxy kann HTTP-Header hinzufügen oder verändern.
- Der Client muss wissen, dass ein Proxy benutzt wird (z. B. durch Proxy-Einstellungen im Web-Browser oder per WPAD/Auto Config).
| Eingabefeld | Beschreibung |
|---|---|
| I/0 |
Ein Schiebeschalter gibt an, ob der HTTP(S) Proxy derzeit aktiv (I) oder inaktiv (0) ist. Mit einem
Klick auf den Schiebeschalter können Sie unabhängig von den konfigurierten Proxy-Modi den Status dieses Dienstes ändern. Der
HTTP(S)-Proxy ist standardmäßig deaktiviert.
Wichtig: Mit Aktivieren oder Deaktivieren des HTTP(S)-Proxy wird der FTP-Proxy ebenfalls aktiviert oder
deaktiviert.
|
| Klartext-HTTP-Proxy | Um den HTTP-Proxy zu deaktivieren, wählen Sie die „Proxy deaktivieren“-Option aus. Wenn Sie Transparent auswählen, leitet Ihre R&S®LANCOM Unified Firewall automatisch alle Anfragen, die auf Port 80 (HTTP) eintreffen, über den Proxy weiter (Standardeinstellung). Wenn Sie Intransparent auswählen, muss der HTTP-Proxy Ihrer R&S®LANCOM Unified Firewall explizit auf Port 10080 eingestellt sein. |
| HTTPS Proxy |
Um den HTTPS-Proxy zu deaktivieren, wählen Sie die Option Proxy deaktivieren aus.
Anmerkung: Sie können den HTTPS-Proxy unabhängig vom HTTP-Proxy konfigurieren.
Wenn Sie Transparent auswählen, leitet Ihre R&S®LANCOM Unified Firewall automatisch alle Anfragen, die auf Port 443 (HTTPS) eintreffen, über den Proxy
weiter (Standardeinstellung).
Wenn Sie Intransparent auswählen, muss der HTTPS-Proxy Ihrer Firewall explizit auf
Port 10443 eingestellt sein.
|
| Truststore |
Die Zertifizierungsstelle wird vom HTTP(S)-Proxy verwendet, um Pseudo-Zertifikate auszustellen.
Je nach Zertifikatstyp schlägt Ihre R&S®LANCOM Unified Firewall vor, welche Zertifikate nützlich sind und
welche nicht.
Wichtig: Die Zertifizierungsstelle wird nur angezeigt, wenn der HTTPS Proxy auf Transparent oder Intransparent eingestellt ist.
|
| Client-Authentifizierung |
Nur verfügbar, wenn Klartext-HTTP-Proxy oder HTTPS Proxy auf Intransparent eingestellt
sind. Setzen Sie den Haken in diesem Kontrollkästchen, um die HTTP(S)-Client-Authentifizierung mithilfe der R&S®LANCOM Unified Firewall Benutzerverwaltung zu aktivieren.
Wichtig: Wenn Sie Client-Authentifizierung aktivieren, wird der FTP-Proxy
deaktiviert. In diesem Fall wird eine Warnmeldung angezeigt.
Wichtig: Der Proxy kann nur HTTP-Datenpakete verarbeiten. Wenn ein Programm versucht, Datenpakete anderer Protokolle
an diesen Port zu übermitteln, werden die Pakete blockiert.
|
| Whitelists |
Sie können separate Whitelists für einzelne Domänengruppen festlegen.
Eine Domaingruppe besteht aus einem Namen, einer optionalen Beschreibung und einer Liste von URLs (Domains), die von
SSL-Untersuchung, Virenscanner und URL-Filter ausgeschlossen werden sollen. Sie können einer Domaingruppe beliebig viele Domains
hinzufügen. Geben Sie eine Domain ein und klicken Sie auf  , um sie zur Liste hinzuzufügen.
Domaingruppen auf der Whitelist werden vom HTTP(S)-Proxy ohne Analyse akzeptiert und sind direkt im Browser des Benutzers
verfügbar. Es werden keine Zertifikate erstellt. Diese Einstellung wird für Dienste benötigt, die striktes Certificate Pinning
verwenden (Beispiel: Windows Update unter windowsupdate.com).
Sie können eine Domaingruppe bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.
Setzen oder Enfernen Sie den Haken im Kontrollkästchen links von einer Domaingruppe, um deren Verwendung zu aktivieren oder
abzuschalten.
Weitere Informationen finden Sie unter Symbole und Schaltflächen.
Anmerkung: Um eine Domain "example.com" inklusive aller Subdomains wie z. B. "www.example.com" freizugeben,
schreiben Sie ".example.com" mit einem Punkt am Anfang. Um nur die Domain "example.com" ohne Subdomains freizugeben,
schreiben Sie "example.com" ohne einen Punkt am Anfang.
|
Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).
Klicken Sie auf 
Aktivieren in
der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.
