UF-50 - Feuerplatte LANCOM - Kostenlose Bedienungsanleitung

BEDIENUNGSANLEITUNG UF-50 LANCOM

1 Über dieses Handbuch....4

1.1 Zielgruppe....5
1.2 Inhalt dieses Benutzerhandbuchs....5
1.3 Konventionen....5
1.4 Weitere Quellen....6

2 Inbetriebnahme....7

2.1 Ersteinrichtung....7
2.2 Internetverbindung konfigurieren....14

2.2.1 Verbindung über Wählleitung....14
2.2.2 Kabel- oder Routerverbindung mit dynamischer IP-Adresse....15
2.2.3 Statische Verbindung mit statischer IP-Adresse....15

2.3 Internetzugang aktivieren....16

2.3.1 Internet-Objekt erstellen....16
2.3.2 Lokale Netzwerkverbindung konfigurieren....17
2.3.3 Netzwerk-Objekt erstellen....17
2.3.4 Firewall-Regeln für den Internetzugang konfigurieren....17
2.3.5 Desktopkonfiguration aktivieren....18

3 Benutzeroberfläche....19

3.1 Elemente des Webclients....19

3.1.1 Kopfzeile....20
3.1.2 Navigationsbereich....20
3.1.3 Desktop....21
3.1.4 Infobereich....22

3.2 Symbole und Schaltflächen....23

3.3 Einstellungen für Firewall-Regeln....25

3.3.1 Einrichten einer Verbindung....25
3.3.2 Erstellen einer Firewall-Regel....25

3.4 Menüreferenz....27

3.4.1 Firewall....27
3.4.2 Monitoring & Statistiken....59
3.4.3 Netzwerk....72
3.4.4 Desktop....95
3.4.5 UTM....111
3.4.6 VPN....126
3.4.7 Zertifikatsverwaltung....149
3.4.8 Diagnose-Tools....157

Copyright

© 2019 LANCOM Systems GmbH, Würselen (Germany). Alle Rechte vorbehalten.

Alle Angaben in dieser Dokumentation sind nach sorgfältiger Prüfung zusammengestellt worden, gelten jedoch nicht als Zusicherung von Produkteigenschaften. LANCOM Systems haftet ausschließlich in dem Umfang, der in den Verkaufs- und Lieferbedingungen festgelegt ist.

Weitergabe und Vervielfältigung der zu diesem Produkt gehörenden Dokumentation und Software und die Verwendung ihres Inhaltes sind nur mit schriftlicher Erlaubnis von LANCOM Systems gestattet. Änderungen, die dem technischen Fortschritt dienen, bleiben vorbehalten.

Windows® und Microsoft® sind eingetragene Marken von Microsoft, Corp.

LANCOM, LANCOM Systems, LCOS, LANcommunity und Hyper Integration sind eingetragene Marken. Alle übrigen verwendeten Namen und Bezeichnungen können Marken oder eingetragene Marken ihrer jeweiligen Eigentümer sein. Dieses Dokument enthält zukunfts- bezogene Aussagen zu Produkten und Produkteigenschaften. LANCOM Systems behält sich vor, diese jederzeit ohne Angaben von Gründen zu ändern. Keine Gewähr für technische Ungenauigkeiten und / oder Auslassungen.

Das Produkt enthält separate Komponenten, die als sogenannte Open Source Software eigenen Lizenzen, insbesondere der General Public License (GPL), unterliegen. Sofern die jeweilige Lizenz dies verlangt, werden Quelldateien zu den betroffenen Software-Komponenten auf Anfrage bereitgestellt. Bitte senden Sie eine E-Mail an [e-mail].

Produkte von LANCOM Systems enthalten Software, die vom „OpenSSL Project“ für die Verwendung im „OpenSSL Toolkit“ entwickelt wurde (www.openssl.org).

Produkte von LANCOM Systems enthalten kryptographische Software, die von Eric Young ([e-mail]) geschrieben wurde.

Produkte von LANCOM Systems enthalten Software, die von der NetBSD Foundation, Inc. und ihren Mitarbeitern entwickelt wurde.

Produkte von LANCOM Systems enthalten das LZMA SDK, das von Igor Pavlov entwickelt wurde.

LANCOM Systems GmbH

Adenauerstr. 20/B2

52146 Würselen

Deutschland

www.lancom-systems.de

1 Über dieses Handbuch

1 Über dieses Handbuch

LCOS FX ist das Betriebssystem für LANCOM R&S ^® Unified Firewalls und Teil der LANCOM Betriebssystem-Familie.

Die LANCOM Betriebssysteme sind die vertrauenswürdige Grundlage für das gesamte LANCOM Produktportfolio. Jedes Betriebssystem verkörpert die LANCOM Werte Sicherheit, Zuverlässigkeit und Zukunftsfähigkeit.

Für höchste Sicherheit Ihrer Netzwerke

wird jedes LANCOM Betriebssystem in gewohnter Qualität von unseren Entwicklern sorgfältig gepflegt und weiterentwickelt. Garantiert Backdoor-frei.

Sie stehen für größtmögliche Zuverlässigkeit,

denn über die gesamte Lebenszeit eines Produktes werden regelmäßig Release Updates, Security Updates und Major Releases zur Verfügung gestellt.

Als Grundlage maximaler Zukunftsfähigkeit Ihrer Netzwerke

stehen sie im Zuge der LANCOM Lifecycle-Richtlinien für alle LANCOM Produkte kostenlos zur Verfügung, inklusive neuer Major Features.

Das LANCOM R&S®Unified Firewall Benutzerhandbuch beschreibt die Funktionalitäten von LANCOM R&S®Unified Firewalls.

LANCOM R&S ^® Unified Firewalls vereinen Firewall, Intrusion Prevention, Anwendungskontrolle, Web-Filter, Malware-Schutz und viele weitere Funktionen in einem einzigen System.

Dieses Dokument gilt für alle LANCOM R&S ^® Unified Firewall-Modelle.

Je nach vorliegender Lizenz kann das Produkt individuelle Funktionen aufweisen, die von anderen Modellen abweichen. Weitere Informationen zu Ihrem spezifischen Modell finden Sie im jeweiligen Datenblatt.

Im Folgenden erhalten Sie weitere Informationen zu diesem Dokument.

1.1 Zielgruppe

Dieses Handbuch ist für den Netzwerk- oder Computertechniker bestimmt, der für die Installation und Konfiguration der LANCOM R&S ^® Unified Firewalls zuständig ist sowie für Mitarbeiter, die über den Webclient Regeln für die Filterung des Datenverkehrs festlegen.

Um dieses Dokument effektiv nutzen zu können, sollten Sie, abhängig von Ihrer Zuständigkeit, über die folgenden Fähigkeiten verfügen:

Für die Installation und Konfiguration der Hardware sollten Sie mit Telekommunikationsgeräten und Installationsverfahren vertraut sein. Sie sollten außerdem über ausreichende Erfahrung als Netzwerk- oder Systemadministrator verfügen.
Zur Festlegung der Filterregeln müssen Sie grundlegende TCP/IP-Netzwerkkonzepte verstehen.

1.2 Inhalt dieses Benutzerhandbuchs

Der Inhalt dieses Benutzerhandbuchs soll Ihnen bei der Installation und Konfiguration von LANCOM R&S ^® Unified Firewalls behilflich sein.

Dieses Dokument enthält die folgenden Kapitel:

Inbetriebnahme auf Seite 7
Loggen Sie sich auf ihrer LANCOM R&S ^® Unified Firewall ein, um das System für Ihr Netzwerk einzurichten.

Benutzeroberfläche auf Seite 19

Die Abschnitte dieses Kapitels beschreiben die Elemente der Benutzeroberfläche von LANCOM R&S ^® Unified Firewalls.

Wir sind bestrebt, eine Dokumentation zur Verfügung zu stellen, die Ihren Bedürfnissen entspricht. Um die Dokumentation zu verbessern, senden Sie uns Fehler, Anregungen oder Kommentare an unser Support-Portal:

Wenn Sie Ihr Feedback senden, geben Sie den Titel und das Datum des Dokuments auf der Titelseite an.

1.3 Konventionen

In diesem Kapitel werden die typografischen Konventionen und andere Bezeichnungen erläutert, die zur Darstellung der Informationen in diesem Handbuch verwendet werden.

Elemente der webbasierten, grafischen Benutzeroberfläche (GUI, oder „Webinterface“) werden folgendermaßen angezeigt:

	BeschreibungKonvention
Grafische Elemente der Benutzeroberfläche	Alle Namen von Elementen der grafischen Benutzeroberfläche auf dem Bildschirm, wie z. B. Menüpunkte, Schaltflächen, Kontrollkästchen, Dialogfelder, Listennamen, sind fett gedruckt.
Übergeordneter Menüpunkt > Untermenü-Element	Eine Abfolge von Menübefehlen wird durch größer als Zeichen zwischen den Menüpunkten und die gesamte Abfolge in Fettschrift angezeigt. Wählen Sie das Untermenü-Element vom übergeordneten Menüpunkt.

1 Über dieses Handbuch

	BeschreibungKonvention
	Die Key-Namen sind in eckige Klammern gefasst.[Keys]
Listenoptionen,wörtlicher Text, Dateinamen, Befehle, Programmcode	Listenoptionen, wörtlicher Text, Dateinamen, Befehle, Codierbeispiele und Bildschirmausgaben erscheinen in nichtproportionaler Schrift.
Links	Links, die Sie anklicken können (z. B. Verweise auf andere Teile in diesem Handbuch), werden in blauer Schrift angezeigt.
Referenzen	Referenzen zu Teilen der Gerätedokumentation werden in Kursiv dargestellt.
	Parameter und Platzhalter erscheinen in nichtproportionaler Schrift und in spitzen Klammern.
ZIP-Archiv	Dateitypen erscheinen in Großbuchstaben.PDF-Datei

Anmerkungen

Dieses Handbuch enthält die folgenden Formen von Hervorhebungen, um Sie auf bestimmte Informationen aufmerksam zu machen oder Ihnen zusätzliche Informationen zu geben:

Diese Hervorhebung enthält zusätzliche Informationen, die Ihnen die Arbeit erleichtern können.

Dies ist ein Hinweis. Dieser Hinweis enthält wichtige Zusatzinformationen zum Produkt oder dessen Verwendung.

Diese Hervorhebung markiert sicherheitsrelevante Informationen. Nichtbeachtung kann LANCOM R&S ^® Unified Firewalls gefährden, oder Ihre Netzwerksicherheit beeinträchtigen.

1.4 Weitere Quellen

Dieser Abschnitt enthält zusätzliche Dokumente und weitere Informationsquellen zu LANCOM R&S ^® Unified Firewalls. Beachten Sie die folgenden Dokumente und Quellen:

Datenblätter fassen die technischen Eigenschaften der verschiedenen LANCOM R&S®Unified Firewall-Modelle zusammen.
Release Notes enthalten aktualisierte Informationen zu jedem neuen Release von LCOS FX.

Für zusätzliche Dokumente, wie z. B. technische Spezifikationen, besuchen Sie unsere Produkt-Webseite

2 Inbetriebnahme

In diesem Dokument finden Sie alle zur Einrichtung und Konfiguration Ihres LANCOM R&S ^® Unified Firewall-Geräts benötigten Informationen.

Befolgen Sie zur Inbetriebnahme die unten beschriebenen Schritte.

Beim ersten Start nach der Lieferung oder nach einer Neuinstallation läuft LANCOM R&S ^® Unified Firewall für 30 Tage als Testversion. Weitere Informationen finden Sie unter Lizenz auf Seite 40.

2.1 Ersteinrichtung

1. Nehmen Sie das vorinstallierte LANCOM R&S ^® Unified Firewall-Gerät aus der Verpackung.
2. Verbinden Sie ein Patchkabel mit dem Port mit der Beschriftung eth1 auf der Frontseite Ihres LANCOM R&S® Unified Firewall-Geräts und mit dem Ethernet-Port Ihres Computers.
3. Verbinden Sie ein Patchkabel mit dem Port mit der Beschriftung eth0 auf der Frontseite Ihres LANCOM R&S® Unified Firewall-Geräts und mit dem LAN-Port des Geräts (z. B. Ihrem Router, DSL- oder Kabelmodem), welches Sie von Ihrem Provider für den Zugang zum Internet bekommen haben. Stellen Sie sicher, das dieses Gerät eingeschaltet ist.
4. Stellen Sie sicher, dass der Netzwerkadapter Ihres Computer auf „IP-Adresse automatisch konfigurieren“ eingestellt ist.
5. Schalten Sie Ihr LANCOM R&S ^® Unified Firewall-Gerät ein.
6. Starten Sie einen Webbrowser auf Ihrem Computer.
7. Geben Sie in der Adressleiste des Browsers https://192.168.1.254:3438 ein.
8. Erstellen Sie eine Ausnahme für die Zertifikatwarnung.

Die LANCOM R&S ^® Unified Firewall-Loginseite erscheint.

1. Geben Sie auf der Loginseite des LANCOM R&S ^® Unified Firewall-Webclients admin als Benutzername und das voreingestellte Kennwort admin ein.

admin a_q Anmelden Handbuch

Abbildung 2: Loginseite des LANCOM R&S ^® Unified Firewall Webclients

1. Klicken Sie auf Anmelden.

2. Nach dem ersten Login mit den voreingestellten Anmeldedaten werden Sie vom System aufgefordert, die Endnutzer-Lizenzvereinbarung (EULA) zu akzeptieren und anschließend die folgenden beiden Passwörter zu ändern:

Das Passwort für den Benutzer admin – Sie benötigen dieses Passwort, um sich beim LANCOM R&S®Unified Firewall-Webclient anzumelden.

2 Inbetriebnahme

Das Support-Passwort – Das Support-Passwort ist das Passwort, mit dem der technische Support sich auf Ihrer LANCOM R&S® Unified Firewall anmelden kann. Bewahren Sie es sicher und vor unbefugtem Zugriff geschützt auf.

Das neue Benutzerpasswort und das Support-Passwort dürfen aus nicht weniger als acht und nicht mehr als 255 Zeichen bestehen. Erlaubt sind lateinische Buchstaben inklusive deutsche Umlaute sowie Zahlen und Sonderzeichen. Kyrillisch oder andere Schriften nicht. Es müssen Zeichen aus mindestens drei der Kategorien Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen verwendet werden.

Dieser Schritt ist verpflichtend.

1. Klicken Sie auf Akzeptieren & Anmelden, um die neuen Passwörter und die EULA zu akzeptieren.

Der Setup-Assistent erscheint.

Mit Ausnahme der Sprachauswahl am Anfang des Setup-Assistenten können Sie den Assistenten jederzeit über die Schaltfläche Assistent abbrechen beenden. Nach einem Abbruch des Assistenten können Sie eine manuelle Einrichtung vornehmen, also mit den Schritten Internetverbindung konfigurieren auf Seite 14 und Internetzugang aktivieren auf Seite 16 fortfahren. Bis auf wenige Ausnahmen können Sie innerhalb des Setup-Assistenten mit den Schaltflächen Zurück und Weiter navigieren.

1. Wählen Sie die Sprache für den Setup-Assistenten und den Webclient aus. Sie können die Sprache des Webclient später nach Bedarf jederzeit umschalten.

Willkommen! LANCOM R&S®Unified Firewalls Start setup In English Einrichtung auf deutsch beginnen

Abbildung 3: Willkommensseite des Setup-Assistenten

1. Wenn Sie die Konfiguration einer vorherigen Installation wiederherstellen wollen, dann klicken Sie auf Auswählen, um eine Backup-Datei auszuwählen. Geben Sie das zugehörige Backup-Passwort an. Klicken Sie danach auf Backup wiederherstellen und neu starten.

Anschließend wird der Setup-Assistent beendet, die Konfiguration aus dem Backup wiederhergestellt und die Firewall neu gestartet.

Backup LANCOM R&S®Unified Firewalls Sie können hier ein Backup einer älteren LCOS FX Installation einspielen. Die Firewall startet anschließend neu. Klicken Sie unten rechts auf "Weiter ohne Backup", um diesen Schritt zu überspringen und den Assistent fortzusetzen. Backup-Datei Auswählen Dateityp: .bak, gp Backup-Password Backup wiederherstellen und neu starten Assistent abbrechen Weiter ohne Backup

Abbildung 4: Optional eine vorhandene Konfiguration aus einem Backup wiederherstellen

Alternativ fahren Sie für eine Neuinstallation mit Weiter ohne Backup fort.

1. Konfigurieren Sie die folgenden allgemeinen Einstellungen der Firewall:

Firewall-Hostname

Geben Sie Ihrer Firewall einen Namen, der als Hostname verwendet wird.

Zeitzone

Die Zeitzone wird mit der momentan im Browser eingestellten Zeitzone vorbelegt. Ändern Sie diese Einstellung bei Bedarf.

Nutzungs-Statistiken senden

Erlauben Sie optional, dass Informationen über Auslastung und Zustand der Firewall aufgezeichnet und an die LANCOM Systems GmbH übermittelt werden. Es werden keine persönlichen Informationen und keine Bestandteile des über die Firewall erfolgten Datenverkehrs übertragen.

Sie können diese Einstellung später wieder ändern. Siehe auch Allgemeine Einstellungen auf Seite 29.

Absturzberichte senden

Erlauben Sie optional, dass im Fehlerfall allgemeine Informationen zum Sytemzustand, zur aktuellen Systemkonfiguration und zum aufgetretenen Fehler an die LANCOM Systems GmbH übertragen werden. Die Daten werden nur zur Fehleranalyse verwendet und anschließend wieder gelöscht. Es erfolgt keine Weitergabe irgendwelcher Daten an Dritte.

Sie können diese Einstellung später wieder ändern. Siehe auch Allgemeine Einstellungen auf Seite 29.

Allgemeines LANCOM R&S®Unified Firewalls Bitte konfigurieren Sie einige allgemeine Einstellungen des Geräts. Firewall-Hostname UF-DOC Zeitzone (+02:00) Europe - Berlin Nutzungs-Statistiken senden Ich bin damit einverstanden, dass Informationen über Auslastung und Zustand der Firewall aufgezeichnet und an die LANCOM Systems GmbH übermittelt werden. Es werden keine persönlichen Informationen und keine Bestandteile des über die Firewall erfolgten Datenverkehrs übertragen. Absturzberichte senden Ich bin damit einverstanden, dass im Fehlerfall allgemeine Informationen zum Sytemzustand, zur aktuellen Systemkonfiguration und zum aufgetretenen Fehler an die LANCOM Systems GmbH übertragen werden. Die Daten werden nur zur Fehleranalyse verwendet und anschließend wieder gelöscht. Es erfolgt keine Weitergabe irgendwelcher Daten an Dritte. Assistent abbrechen Schritt 1 von 5 Zurück Weiter

Abbildung 5: Allgemeine Einstellungen der Firewall

1. Selektieren Sie als Internet-Interface den Firewall-Port (Standard: eth0), mit dem dass Gerät verbunden ist, welches Sie von Ihrem Provider für den Zugang zum Internet bekommen haben. Geben Sie dann Ihre Option für den Internetzugriff an:

Abhängig von Ihrer Auswahl können Sie für die Auswahl notwendige Daten konfigurieren.

DHCP

Die IP-Adresse für dieses Interface wird über DHCP bezogen.

Statische Konfiguration

Geben Sie die IP-Adresse mit Präfix-Länge (CIDR-Notation), den Standard-Gateway und den DNS-Server an.

ADSL / SDSL

Geben Sie den Benutzernamen und das Passwort an, die Sie von Ihrem Internet-Provider erhalten haben.

VDSL

Geben Sie die VLAN-ID, den Benutzernamen und das Passwort an, die Sie von Ihrem Internet-Provider erhalten haben.

Internetzugriff LANCOM R&S®Unified Firewalls Bitte konfigurieren Sie den Internetzugang für die Firewall, damit LCOS FX System-Updates und UTM Signatur-Updates heruntergeladen werden können. In den weiteren Wizard-Schritten können Sie die Internetverbindung auch für ihre lokalen Netze freigeben. Internet-Interface Internetzugriff DHCP Statische Konfiguration ADSL/SDSL VDSL Assistent abbrechen Schritt Z von 5 Zurück Welter

Abbildung 6: Internetzugang

1. Konfigurieren Sie hier das lokale Netzwerk, mit dem die Firewall verbunden ist oder später sein soll. Jede Zeile entspricht einer Netzwerkschnittstelle der Firewall (Spalte Interface).

Sie können eine Schnittstelle aktivieren / deaktivieren, je nachdem, ob Sie sie verwenden möchten oder nicht (Spalte Aktiv). Die Internet-Schnittstelle kann nicht deaktiviert werden.

Geben Sie im Feld IP und Präfixlänge die IP ein, die die Firewall auf dieser Schnittstelle verwenden soll, einschließlich der Präfixlänge (CIDR-Notation). Wenn Sie das Feld leer lassen, hat die Firewall keine IP-Verbindung auf dieser Schnittstelle. In diesem Fall können Sie nicht über diese Schnittstelle auf die Firewall zugreifen und können keinen DHCP-Server oder Web- oder Mail-Zugang für alle Clients zulassen, die über diese Schnittstelle verbunden sind. Jede Schnittstelle sollte ein eigenes Subnetz haben.

Um einen DHCP-Server auf einer Schnittstelle zu aktivieren, aktivieren Sie das Kontrollkästchen DHCP-Server aktivieren für eine Schnittstelle. Der DHCP-Bereich hängt von der dieser Schnittstelle zugeordneten Firewall-IP ab und wird auf den größten im Subnetz verfügbaren kontinuierlichen Bereich voreingestellt.

Sie können typischen Internetverkehr (Web und E-Mail) für Clients zulassen, die mit einer Schnittstelle verbunden sind, indem Sie das entsprechende Kontrollkästchen für eine Schnittstelle aktivieren. Web ermöglicht es Clients, sich

2 Inbetriebnahme

über HTTP mit dem Internet zu verbinden. E-Mail ermöglicht SMTP-, POP3- und IMAP-Verkehr. Dazu gehören auch die SSL / TLS-Versionen dieser Protokolle.

LAN LANCOM R&S®Unified Firewalls Konfigurieren Sie hier die an der Firewall anliegenden Netzwerke. Aktiv Interface IP und Präfix-Länge DHCP-Server aktivieren Internetzugriff erlauben* ✓ eth0 Dieses Interface wird für den Internet-Zugang verwendet. ✓ eth1 192.168.56.101/24 ✓ Web ✓ E-Mail * Wenn Internetzugriff vom Typ "E-Mail" erlaubt wird, werden SMTP-, POP3- und IMAP-Verbindungen zugelassen. Beim Typ "Web" wird HTTP-Verkehr zugelassen. Die SSL/TLS-Varianten dieser Protokolle werden ebenfalls zugelassen. Assistent abbrechen Schritt 3 von 5 Zurück Welter

Abbildung 7: Lokale Netzwerke

1. Wählen Sie die Sicherheitsfeatures Anti-Malware, IDS / IPS und / oder Content-Filter aus, die aktivert werden sollen. Abhängig von Ihrem Gerät sind evtl. nicht alle Features verfügbar.

Beim ersten Start nach der Lieferung oder nach einer Neuinstallation läuft die LANCOM R&S ^® Unified Firewall für 30 Tage als Testversion. Während des Testzeitraums können Sie kein Backup erstellen. Nach Ablauf des Testzeitraums bleibt die Firewall weiterhin mit Ihrer Konfiguration erhalten. Die UTM-Features werden deaktiviert und Sie können keine Änderungen mehr speichern.

Mehr Information hierzu finden Sie unter Lizenzauf Seite 40.

Sicherheit LANCOM R&S®Unified Firewalls Welche Sicherheitsfeatures sollen aktiviert werden? Anti-Malware Das Anti-Malware-System überwacht den Mail- und Web-Verkehr und schützt Sie u.a. mittels Machine Learning und Sandboxing wirkungsvoll vor Schadsoftware aus dem Internet. IDS/IPS Das IDS/IPS-System überwacht den Datenverkehr zwischen Ihren lokalen Netzen und dem Internet. Bösartiger Datenverkehr wird unterbunden und Angriffe auf Ihr Netzwerk blockiert. Content-Filter Der Content-Filter stellt sicher, dass keine ungewünschten Inhalte angesurft werden können. In der Standardeinstellung werden pornografische, kriminelle und gewaltverherrlichende Internet-Seiten blockiert. Für die Nutzung der Sicherheitsfeatures über den Testzeitraum hinaus wird eine entsprechende Lizenz benötigt. Assistent abbrechen Schritt 4 von 5 Zurück Weiter

Abbildung 8: Sicherheitsfeatures

1. Hier sehen Sie eine Zusammenfassung der gemachten Einstellungen und können ggfs. zurückgehen, um diese anzupassen. Klicken Sie Fertigstellen, wenn alles in Ordnung ist.

Zusammenfassung LANCOM R&S®Unified Firewals Bitte überprüfen Sie ihre Angaben. Allgemeines Internetzugeinff Sicherheit Firewall-Hostname UF-DOC Typ DHCP Anti-Malware ✓ Zeitzone Europe - Berlin IOS ✓ Nutzungs-Statistikien senden ✓ Content-Filter ✓ Absturzberrichte senden ✓ LAN IP und Präfix Länge DHCP Web E-Mail IP und Präfix Länge DHCP Web E-Mail eth0 Dieses Interface wird für den Internet-Zugang verwendet. eth1 192.168.56.101/24 ✗ ✓ ✓ Assistent abbrechen Schrift 5 von 5 Zurück Fertigstellen

Abbildung 9: Zusammenfassung der gemachten Einstellungen

1. Warten Sie ab bis der Setup-Assistent fertig ist. Nun werden Ihnen die Links angezeigt, über die Sie den Webclient nach Ablauf des Setup-Assistenten erreichen können. Klicken Sie entweder auf einen dieser Links oder auf OK, um zum Webclient zu wechseln.

Wenn Sie das automatisch erzeugt Zertifikat für den Web-Proxy verwenden wollen, dann laden Sie es herunter und rollen es auf Ihre Clients aus.

Fertigstellung LANCOM R&S8Unified Firewalls Die von Ihnen angegebenen Einstellungen werden nun übernommen. Unten haben wir für Sie die wichtigsten Informationen über die nächsten Schritte der Einrichtung zusammengestellt. Webclient-Zugriff Der Webclient ist von nun an unter den folgenden Links erreichbar. • https://192.168.56.1013400 Proxy-CA ausrollen Die von Ihnen aktivierten Sicherhalts Features untersuchen ebenfalls SSL/TLS-verschlüsselten Datenverkehr und benötigen dazu ein Proxy-CA-Zertifikat, dem Ihre Clients vertrauen. Sie können entweder des Web-Proxy so einstellen, dass er ein CA-Zertifikat verwendet, dem Ihre Clients bereits vertrauen, oder Sie können das automatisch generierte Proxy-CA-Zertifikat weiterverwenden und dieses auf Ihren Clients installieren. Hier können Sie das automatisch erzeugte Zertifikat herunterladen. E+ Web-Proxy-CA-Zertifikat herunterladen Höhe erhalten Der Firewall liegt ein umfangreiches PDF-Handbuch inklusive ausführlicher Menu Referenz bei. Sie können es jederzeit über den "Höhe"-Mensüpunkt oben rechts in der Kapitalie des Webclients erziehen. OK

Abbildung 10: Fertigstellung

Falls Sie den Setup-Assistenten erneut verwenden wollen, dann müssen Sie Ihre Firewall auf die Werkseinstellungen zurücksetzen. Siehe hierzu Kopfzeile auf Seite 20.

2.2 Internetverbindung konfigurieren

Dieses Kapitel beschreibt, wie Sie ihre Internetverbindung einrichten können.

1. Verbinden Sie ein Patchkabel mit dem eth0-Port auf der Frontseite Ihrer LANCOM R&S ^® Unified Firewall und mit dem LAN-Port des Geräts, das Sie von Ihrem Anbieter für den Internetzugang erhalten haben (z. B. ein Router oder ein DSL- oder Kabelmodem).
2. Navigieren Sie in der Navigationsleiste zu Netzwerk > Verbindungen.

Rechts neben der Navigationsleiste öffnet sich die Objektleiste.

1. Um zu sehen, welche Netzwerkverbindung welchem Interface zugewiesen ist, klicken Sie in der rechten oberen Ecke der Objektleiste auf >>

Die Objektleiste erweitert sich.

1. Löschen Sie die voreingestellte Verbindung auf eth0, indem Sie in der letzten Tabellenspalte in derselben Zeile auf (Klicken zum Löschen) klicken.
2. Fahren Sie je nach Typ Ihrer Internetverbindung gemäß einem der folgenden drei Ansätze fort:

Verbindung über Wählleitung
Kabel- oder Routerverbindung mit dynamischer IP-Adresse
Statische Internetverbindung mit statischer IP-Adresse

2.2.1 Verbindung über Wählleitung

Netzwerkverbindung konfigurieren

Führen Sie diesen Schritt aus, wenn Sie eine PPTP-Verbindung konfigurieren möchten. Bei PPPoE-Verbindungen entfällt dieser Schritt.

1. Um eine neue Netzwerkverbindung anzulegen, klicken Sie in der Objektleiste auf ⚪Neuen Eintrag erstellen). Der Dialog Netzwerk-Verbindung öffnet sich. Damit können Sie eine Netzwerkverbindung konfigurieren.
2. Geben Sie im Eingabefeld Name einen Namen für Ihre Netzwerkverbindung ein.
3. Wählen Sie in der Drop-down-Liste Interface den Menüeintrag eth0 aus.
4. Wählen Sie in der Drop-down-Liste Typ den Menüeintrag Static aus.
5. Geben Sie im Eingabefeld IP-Adressen die IP-Adresse und die Subnetzmaske für die Netzwerkverbindung ein.

Bei dieser IP-Adresse handelt es sich um die Client-/NIC-IP-Adresse, die Sie von Ihrem Provider erhalten.

1. Klicken Sie rechts auf ☐ um Ihren Eintrag zur Liste der IP-Adressen hinzuzufügen.

2. Klicken Sie auf Erstellen.

Der Dialog Netzwerk-Verbindung schließt sich. Das neue Interface wird zur Liste der verfügbaren Netzwerkverbindungen in der Objektleiste hinzugefügt.

PPP-Interface erstellen

1. Navigieren Sie zu Netzwerk > Interfaces > PPP-Interfaces.
2. Um ein neues PPP-Interface zu erstellen, klicken Sie in der Leiste mit der Objektliste auf ⓄNeuen Eintrag erstellen). Der Dialog PPP-Interface öffnet sich. Darin können Sie ein PPP-Interface konfigurieren.

3. Wählen Sie in der Drop-down-Liste Haupt-Interface den Menüeintrag eth0 aus.

4. Sofern Ihr Provider es nicht anders vorgibt, belassen Sie die weiteren Einstellungen auf ihren Standardwerten.

5. Klicken Sie auf Erstellen.

Der Dialog PPP-Interface schließt sich. Das neue Interface wird zur Liste der verfügbaren PPP-Interfaces in der Objektleiste hinzugefügt.

PPP-Verbindung erstellen

1. Navigieren Sie zu Netzwerk > Verbindungen > PPP-Verbindungen.
2. Um eine neue PPP-Verbindung anzulegen, klicken Sie in der Objektleiste auf ☑Neuen Eintrag erstellen). Der Dialog PPP-Verbindung öffnet sich. Damit können Sie eine PPP-Verbindung konfigurieren.
3. Geben Sie im Eingabefeld Name einen Namen für Ihre PPP-Verbindung ein.
4. Wählen Sie aus der Drop-down-Liste Interface das PPP-Interface aus, das Sie unter PPP-Interface erstellen auf Seite 14 erstellt haben.
5. Wählen Sie aus der Drop-down-Liste Typ Ihren Verbindungstyp aus.
6. Geben Sie die Anmeldedaten ein, die Sie von Ihrem Provider erhalten haben.

Falls Sie eine PPTP-Verbindung erstellen, geben Sie im Eingabefeld PPTP-Server-IP die IP-Adresse des Modems ein, welches Sie von Ihrem Provider erhalten haben.

1. Sofern Ihr Provider es nicht anders vorgibt, belassen Sie die weiteren Einstellungen auf ihren Standardwerten.

2. Klicken Sie auf Erstellen.

Der Dialog PPP-Verbindung schließt sich. Die neue Verbindung wird zur Liste der verfügbaren PPP-Verbindungen in der Objektleiste hinzugefügt.

1. Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen. Sie haben Ihre Internetverbindung konfiguriert.

2.2.2 Kabel- oder Routerverbindung mit dynamischer IP-Adresse

1. Navigieren Sie zu Netzwerk > Verbindungen > Netzwerk-Verbindungen.
2. Um eine neue Netzwerkverbindung anzulegen, klicken Sie in der Objektleiste auf ⭕Neuen Eintrag erstellen). Der Dialog Netzwerk-Verbindung öffnet sich. Damit können Sie eine Netzwerkverbindung konfigurieren.
3. Geben Sie im Eingabefeld Name einen Namen für Ihre Netzwerkverbindung ein.
4. Wählen Sie in der Drop-down-Liste Interface den Menüeintrag eth0 aus.
5. Wählen Sie in der Drop-down-Liste Typ den Menüeintrag DHCP aus.
6. Setzen Sie den Haken im Kontrollkästchen DNS-Server beziehen
7. Setzen Sie den Haken im Kontrollkästchen Domain beziehen
8. Klicken Sie auf Erstellen.
   Der Dialog Netzwerk-Verbindung schließt sich. Die neue Verbindung wird zur Liste der verfügbaren Netzwerkverbindungen in der Objektleiste hinzugefügt.
9. Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen. Sie haben Ihre Internetverbindung konfiguriert.

2.2.3 Statische Verbindung mit statischer IP-Adresse

Netzwerkverbindung konfigurieren

1. Navigieren Sie zu Netzwerk > Verbindungen > Netzwerk-Verbindungen.

2 Inbetriebnahme

1. Um eine neue Netzwerkverbindung anzulegen, klicken Sie in der Objektleiste auf ⚪Neuen Eintrag erstellen). Der Dialog Netzwerk-Verbindung öffnet sich. Damit können Sie eine Netzwerkverbindung konfigurieren.
2. Geben Sie im Eingabefeld Name einen Namen für Ihre Netzwerkverbindung ein.
3. Wählen Sie in der Drop-down-Liste Interface den Menüeintrag eth0 aus.
4. Wählen Sie in der Drop-down-Liste Typ den Menüeintrag Static aus.
5. Geben Sie im Eingabefeld IP-Adressen die IP-Adresse und die Subnetzmaske für Ihre Netzwerkverbindung ein.

Die IP-Adresse erhalten Sie von Ihrem Provider.

1. Klicken Sie rechts auf ☐ um Ihren Eintrag zur Liste der IP-Adressen hinzuzufügen.

DNS-Einstellungen konfigurieren

1. Wechseln Sie im Fenster Netzwerk-Verbindung auf den Tab WAN.
2. Setzen Sie den Haken im Kontrollkästchen Standard Gateway setzen
3. Geben Sie im Eingabefeld Standard-Gateway die Standard-IP-Adresse Ihres Gateways ein.
4. Klicken Sie auf Erstellen.
   Der Dialog Netzwerk-Verbindung schließt sich. Die neue Verbindung wird zur Liste der verfügbaren Netzwerkverbindungen in der Objektleiste hinzugefügt.
5. Navigieren Sie zu Netzwerk > DNS-Einstellungen.
   Der Dialog DNS-Einstellungen öffnet sich. Damit können Sie die DNS-Einstellungen der LANCOM R&S® Unified Firewall konfigurieren.
6. Entfernen Sie den Haken im Kontrollkästchen DNS-Server beziehen.
   Die Eingabefelder 1. Nameserver/2. Nameserver können nun bearbeitet werden.
7. Geben Sie in den Eingabefeldern 1. Nameserver und 2. Nameserver die IP-Adressen der DNS-Server ein, die Sie von Ihrem Provider erhalten haben.
8. Um die Einstellungen zu speichern, klicken Sie auf Speichern.
   Der Dialog DNS-Einstellungen schließt sich.
9. Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.
   Sie haben Ihre Internetverbindung konfiguriert.

2.3 Internetzugang aktivieren

2.3.1 Internet-Objekt erstellen

1. Navigieren Sie zu Desktop > Desktop-Objekte > Internet-Objekte.
2. Klicken Sie in der Objektleiste auf ⚫Neuen Eintrag erstellen), um ein neues Internet-Objekt zu erstellen. Der Dialog Internet-Objekt öffnet sich. Damit können Sie ein Internet-Objekt konfigurieren.
3. Geben Sie unter Objekt-Name einen Namen für das Internet-Objekt an.
4. Wählen Sie aus der Drop-down-Liste Verbindungen Ihre Internetverbindung aus. Hinweise zur Erstellung einer Internetverbindung erhalten Sie unter Internetverbindung konfigurieren auf Seite 14.

5. Klicken Sie rechts auf ⊕um Ihren Eintrag zur Liste der Verbindungen hinzuzufügen.

6. Klicken Sie auf Erstellen.

Der Dialog Internet-Objekt schließt sich. Das neue Objekt wird zur Liste der verfügbaren Internet-Objekte in der Objektleiste hinzugefügt.

Weitere Informationen finden Sie unter Desktop-Objekte auf Seite 96.

2.3.2 Lokale Netzwerkverbindung konfigurieren

1. Nutzen Sie ein Patchkabel, um einen der Ports mit der Beschriftung ethX (ausgenommen eth0, da dieser für die Internetverbindung verwendet wird) auf der Frontseite Ihres LANCOM R&S® Unified Firewall Geräts mit einem der Ethernet-Ports auf Ihrem Netzwerkverteiler zu verbinden.
2. Navigieren Sie zu Netzwerk > Verbindungen > Netzwerk-Verbindungen.
3. Klicken Sie in der Leiste mit der Objektliste auf ☑Neuen Eintrag erstellen), um eine neue Netzwerkverbindung zu erstellen.

Der Dialog Netzwerk-Verbindung öffnet sich. Damit können Sie eine Netzwerkverbindung konfigurieren.

1. Geben Sie im Eingabefeld Name einen Namen für Ihre Netzwerkverbindung ein.
2. Wählen Sie in der Drop-down-Liste Interface den Port aus, an den Sie Ihren Netzwerkverteiler angeschlossen haben.
3. Wählen Sie in der Drop-down-Liste Typ den Typ Static aus.
4. Geben Sie im Eingabefeld IP-Adressen die IP-Adresse dieser Verbindung passend zu ihrem lokalen Netzwerk in CIDR-Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/“ und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.1/24).
5. Klicken Sie rechts auf ☐ um Ihren Eintrag zur Liste der IP-Adressen hinzuzufügen.
6. Klicken Sie auf Erstellen.

Der Dialog Netzwerk-Verbindung schließt sich.

2.3.3 Netzwerk-Objekt erstellen

1. Navigieren Sie zu Desktop > Desktop-Objekte > Netzwerke.

2. Klicken Sie in der Leiste mit der Objektliste auf ✕(Neuen Eintrag erstellen), um ein neues Netzwerk-Objekt zu erstellen.
   Der Dialog Netzwerk öffnet sich. Damit können Sie eine Netzwerkverbindung konfigurieren.

3. Geben Sie im Eingabefeld Name einen Namen für das Netzwerk-Objekt ein.

4. Wählen Sie in der Drop-down-Liste Interface die Netzwerkverbindung aus, die Sie unter Lokale Netzwerkverbindung konfigurieren auf Seite 17 erstellt haben.
5. Geben Sie unter Netzwerk-IP die IP-Adresse Ihres lokalen Netzwerks ein.
6. Klicken Sie auf Erstellen.

Der Dialog Netzwerk schließt sich. Das neue Objekt wird zur Liste der verfügbaren Netzwerk-Objekte in der Objektleiste hinzugefügt.

Weitere Informationen finden Sie unter Desktop-Objekte auf Seite 96.

2.3.4 Firewall-Regeln für den Internetzugang konfigurieren

1. Richten Sie eine Verbindung zwischen dem Netzwerk-Objekt (siehe Netzwerk-Objekt erstellen auf Seite 17) und dem Internet-Objekt (siehe Internet-Objekt erstellen auf Seite 16) ein, die Sie in den vorigen Schritten erstellt haben:

a. Klicken Sie auf die Schaltfläche in der Symbolleiste oben auf dem Desktop. Die Desktop-Objekte, die für diese Verbindung und mögliche weitere Verbindungen zwischen Desktop-Objekten ausgewählt werden können, werden durch gepunktete Kreise und Linien hervorgehoben.

2 Inbetriebnahme

b. Wählen Sie ein Netzwerk-Objekt als Quellobjekt für die Verbindung aus, indem Sie auf das entsprechende Desktop-Objekt klicken.
c. Wählen Sie ein Internet-Objekt als Zielobjekt für die Verbindung aus, indem Sie auf das entsprechende Desktop-Objekt klicken.

Sie werden automatisch zu Desktop > Desktop-Verbindungen weitergeleitet. Das Bearbeitungsfenster Verbindung öffnet sich.

Alternativ können Sie auf die Schaltfläche in kreisförmigen Menü des Quellobjekts auf dem Desktop klicken und anschließend das Zielobjekt auswählen.

1. Richten Sie eine nach Ihren Bedürfnissen ausgerichtete Firewall-Regel mit HTTP und / oder HTTPS ein:

a. Auf der rechten Seite des Browserfensters erscheint eine Liste der Dienste, auf welche die Firewall-Regel angewendet werden kann. Diese Liste ist in Kategorien unterteilt, die Dienste mit ähnlichen Funktionen zusammenfassen.
Geben Sie in das Eingabefeld Filter HTTP oder HTTPS ein. Bereits während der Eingabe zeigt der Webclient diejenigen Dienste und Dienstgruppen an, die die eingegebenen Zeichen enthalten.

Um HTTP und HTTPS aus der Kategorie Internet hinzuzufügen, klicken Sie jeweils auf ✪.

Die ausgewählten Dienste werden aus der Dienstauswahlliste entfernt und in der Tabelle Regeln angezeigt.

b. Klicken Sie auf Erstellen.

c. Der Dialog Verbindung schließt sich. Die neue Desktop-Verbindung wird zur Liste der verfügbaren Desktop-Verbindungen in der Objektleiste hinzugefügt.

Weitere Informationen finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25.

2.3.5 Desktopkonfiguration aktivieren

1. Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen. Der Internetzugang über Ihre LANCOM R&S® Unified Firewall ist aktiviert.

3 Benutzeroberfläche

Die Abschnitte dieses Kapitels beschreiben die Elemente der Benutzeroberfläche Ihrer LANCOM R&S ^® Unified Firewall.

Der LANCOM R&S ^® Unified Firewall-Webclient erfordert eine Bildschirmauflösung von mindestens 1024 × 786 Pixeln (XGA).

Wenn JavaScript aktiviert ist, werden die folgenden Browser ab der angegebenen Version unterstützt:

Google Chrome 10
Chromium 10
Mozilla Firefox 12

Elemente des Webclients auf Seite 19 bietet eine Übersicht der Hauptkomponenten des Webclients.

Symbole und Schaltflächen auf Seite 23 erklärt die Bedeutung der Symbole und Schaltflächen, die auf der Benutzeroberfläche und in diesem Handbuch häufig zur Anwendung kommen.

Einstellungen für Firewall-Regeln auf Seite 25 beschreibt, wie Sie eine Firewall-Regel für eine Verbindung zwischen zwei Desktopobjekten einrichten.

Menüreferenz auf Seite 27 gibt die Anordnung der Menüpunkte in der Navigationsleiste auf der linken Seite der Benutzeroberfläche wieder. Informationen zu den verfügbaren Optionen finden Sie im jeweiligen Abschnitt.

3.1 Elemente des Webclients

Der LANCOM R&S ^® Unified Firewall-Webclient hat ein standardmäßig in vier Bereiche unterteiltes Seitenlayout mit einer gemeinsamen Kopfzeile, einer Navigationsleiste links sowie einem Hauptinhaltsbereich (Desktop) und einem Infobereich rechts.

1. Kopfzeile
2. Navigationsbereich
3. Desktop
4. Infobereich

Abbildung 11: LANCOM R&S® Unified Firewall-Webclient

In den folgenden Abschnitten werden die in jedem Bereich angezeigten Informationen beschrieben.

3 Benutzeroberfläche

3.1.1 Kopfzeile

Die Kopfzeile (1) enthält folgende Elemente (von links nach rechts):

1 ROHDE&SCHWARZ Cybersecurity 2 Sprache 3 admin 4 System 5 Hille 6 Ausloggen In 09:46 7

Abbildung 12: Kopfzeile des LANCOM R&S® Unified Firewall-Webclients

1. ≡ Schaltfläche zum Ein- und Ausblenden der Navigationsleiste.
2. Rohde & Schwarz ^® Cybersecurity GmbH-Logo.
3. Sprachenmenü, mit dem Sie die Sprache des Webclients auswählen können.
4. Benutzermenü, mit dem Sie die aktuelle Sitzung beenden und zur Loginseite zurückkehren können.
5. Systemmenü, mit dem Sie LANCOM R&S ^® Unified Firewall herunterfahren, neu starten oder auf die Werkseinstellungen zurücksetzen können.
6. Ein Hilfemenü mit Links auf die PDF-Version des LANCOM R&S ^® Unified Firewall Benutzerhandbuchs.
7. Die Zeitangabe bis zum automatischen Logout aus dem Webclient.

Die Kopfzeile zeigt außerdem nicht gespeicherte Konfigurationsanpassungen an, wenn Sie ein Bearbeitungsfenster durch Drücken der [Esc]-Taste schließen. Wenn Sie ein Bearbeitungsfenster durch Klicken der Schaltfläche ✗n der rechten oberen Ecke des Fensters schließen, werden nicht gespeicherte Änderungen nicht angezeigt.

i

Die aktuelle-Version des Benutzerhandbuchs der LANCOM R&S ^® Unified Firewall ist auch auf der Login-Seite verfügbar. Klicken Sie auf den Link Benutzerhandbuch, um auf die Datei zuzugreifen.

Hinweise zum automatischen Logout

Sie werden automatisch nach 10 Minuten Inaktivität ausgeloggt, d. h., wenn keine HTTP-Anfragen an den Server gesendet werden. Alle Aktionen, wie Öffnen eines Dialogs, Speichern von Einstellungen oder aktive Logs, die regelmäßig aktualisiert werden (z. B. das Alarmprotokoll auf Seite 64), veranlassen einen Neustart des Timers. Ausnahmen sind Hintergrundanfragen, durch die kein Neustart des Timers erfolgt.

!

Wenn Sie Einstellungen in einem Dialog ändern, Ihre Änderungen nicht speichern und den Dialog geöffnet lassen, werden Sie automatisch nach 10 Minuten ausgeloggt.

3.1.2 Navigationsbereich

Der Navigationsbereich (2) befindet sich auf der linken Seite des Webclients. Je nach Auswahl in der ersten Leiste wird rechts davon eine zweite Leiste angezeigt. Die Menüeinträge in der ersten Navigationsleiste bieten Zugriff auf die LANCOM R&S® Unified Firewall-Einstellungen. Die Objektleiste rechts davon wird nach Auswahl eines Menüeintrags in der Navigationsleiste angezeigt. Sie dient der Anzeige von Informationen zur aktuellen Desktopkonfiguration.

Beide Leisten enthalten oben ein Filter-Eingabefeld, das Ihnen dabei hilft, bestimmte Menüelemente oder Listeneinträge schneller zu finden. Die Funktion der Eingabefelder beschränkt sich auf die jeweilige Leiste, in der Sie sich befinden. Während Sie Ihren Suchbegriff in eines der Eingabefelder eintippen, grenzt Ihre LANCOM R&S® Unified Firewall die jeweilige Liste auf die Dienste ein, die die eingegebenen Zeichen enthalten. Klicken Sie im Eingabefeld auf ☐ um die Sucheingabe zu entfernen und zur ungefilterten Ansicht der Leiste zurückzukehren.

In der rechten oberen Ecke der Navigationsleiste können Sie mit Klick auf ▷alle Menüs in der Navigationsleiste ausklappen und sie mit Klick auf ▶wieder einklappen. Sie können die Navigationsleiste mit einem Klick auf □der Kopfzeile ausblenden. Weitere Informationen finden Sie unter Kopfzeile auf Seite 20.

Welche Informationen die Objektleiste anzeigt, hängt einerseits davon ab, welches Menüelement Sie in der Navigationsleiste ausgewählt haben und andererseits davon, wie viele Informationen Sie anzeigen lassen möchten. Sie

können weitere Informationen ausklappen, indem Sie auf »klicken, oder die Menge der angezeigten Informationen reduzieren, indem Sie auf «n der rechten oberen Ecke dieses Felds klicken.

Einzelheiten zu den in jeder Ansicht verfügbaren Optionen finden Sie unter Menüreferenz auf Seite 27.

3.1.3 Desktop

Der Desktop (3) nimmt den größten Teil des Bildschirms unter dem Kopfzeilenbereich und rechts vom Navigationsbereich ein. Die hier angezeigten Knoten und Verbindungen hängen davon ab, welches Element in der Navigationsleiste oder auf dem Desktop ausgewählt ist.

graph TD
    A["XYZ"] --> B["Benutzmethylenführung"]
    C["Internet"] --> D["Privacy"]
    E["VIN"] --> D
    F["Internet"] --> D
    G["Standard-Benutzengruppe"] --> B
    H["1"] --> I["2"]
    I --> J["3"]
    J --> K["4"]
    K --> L["5"]

Abbildung 13: Desktop des LANCOM R&S ^® Unified Firewall-Webclients

Auf dem Desktop sehen Sie eine Übersicht Ihres gesamten konfigurierten Netzwerkes. Sie können in diesem Bereich verschiedene Einstellungen bearbeiten oder Details zu einer Konfiguration einsehen.

Eine Symbolleiste oben auf dem Desktop bietet schnellen Zugriff auf häufig verwendete Funktionen (von links nach rechts):

1. Aktivierungsschaltfläche
2. Auswahlwerkzeug, Verbindungswerkzeug
3. Werkzeuge zum Erstellen von Objekten
4. Werkzeuge zum Speichern, Wiederherstellen und Anordnen von Objekten
5. Filter- / Suchwerkzeug

Alle Schaltflächen in der Symbolleiste verwenden Popup-Beschriftungen, wenn Sie den Mauszeiger darüber bewegen, um eine einfache Identifizierung zu ermöglichen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Systemkonfiguration speichern (1)

Wenn sich die Systemkonfiguration ändert, wird die Schaltfläche √ Aktivieren im ersten Abschnitt der Symbolleiste hervorgehoben und fordert Sie auf, Ihre Konfiguration zu ändern. Klicken Sie auf diese Schaltfläche, um auf dem Desktop vorgenommene Konfigurationsänderungen zu speichern und sie auf Ihrer LANCOM R&S® Unified Firewall zu aktivieren.

Desktop-Objekte auswählen oder verbinden (2)

Mit dem Auswahlwerkzeug können Sie alle Aktionen auf dem Desktop ausführen, etwa Objekte verschieben oder bestimmte Funktionen auswählen. Mit dem Verbindungswerkzeug können Sie Verbindungen zwischen zwei Desktop-Objekten anlegen oder bearbeiten. Weitere Informationen finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25.

Wenn Sie mit der linken Maustaste auf ein Desktop-Objekt klicken, werden je nach Objekttyp verschiedene Schaltflächen in einem kreisförmigen Menü angezeigt. Mit diesen Schaltflächen können Sie die Einstellungen zu einem vorhandenen

3 Benutzeroberfläche

Objekt anpassen und eine Verbindung zwischen zwei vorhandenen Objekten erstellen oder bearbeiten. Außerdem können Sie Objekte, die an ein anderes Objekt angehängt sind, verstecken oder entfernen, Objekte von einer bestimmten Stelle auf dem Desktop loslösen oder ein Objekt vom Desktop entfernen.

Desktop-Objekt erstellen (3)

Um ein Desktop-Objekt zu erstellen, klicken Sie auf die jeweilige Schaltfläche. Es öffnet sich ein Bearbeitungsfenster, in das Sie die für das Objekt erforderlichen Daten eingeben können.

Desktoplayout anpassen (4)

Sie können das Layout des Desktops anpassen, indem Sie Objekte an die gewünschte Stelle ziehen, wo sie dann automatisch angeheftet werden. Sie können das angepasste Layout speichern und wiederherstellen oder die Objekte automatisch anordnen lassen.

Desktop-Objekte suchen (5)

Mit dem Filter-Eingabefeld Tags im letzten Bereich der Symbolleiste können Sie Desktop-Objekte auf der Grundlage vorher zugewiesener Desktop-Tags schnell identifizieren. Klicken Sie in das Eingabefeld, um eine Drop-down-Liste mit den Namen der zuvor konfigurierten Desktop-Tags zu öffnen. Sie können entweder ein Element aus der Liste auswählen, um es in die Filtereingabe zu übernehmen, oder über das Eingabefeld nach einem bestimmten Desktop-Tag suchen. Während Sie Ihre Suche in das Eingabefeld eintippen, zeigt Ihre LANCOM R&S® Unified Firewall nur Elemente der Drop-down-Liste an, die die eingegebenen Zeichen enthalten. Sie können beliebig viele Desktop-Tags in die Filtereingabe übernehmen.

Ihre LANCOM R&S ^® Unified Firewall schränkt die angezeigten Desktop-Objekte anhand der ausgewählten Desktop-Tags ein. Desktopknoten entlang des Pfades vom Firewall-Stammknoten zu einem Knoten, der den ausgewählten Desktop-Tags entspricht, werden immer angezeigt, selbst wenn keines ihrer Tags den Suchkriterien entspricht.

Klicken Sie auf ☑m Eingabefeld, um die Sucheingabe zu löschen und zur ungefilterten Listenansicht zurückzukehren. Weitere Informationen finden Sie unter Desktop-Tags auf Seite 107.

3.1.4 Infobereich

Der Infobereich (4) befindet sich auf der rechten Seite des Desktops.

Übersicht Zeitzone Europe - Berlin Server-Datum & -Zelt 29.04.2019 13:05:35 Software-Version 10.2.7-1569 Host Name stagehw Lözenz Version 10.2 (UFV500) Wertungsvertrag Maintenance - Expert+ Götig bis 31.12.2021 Firewall-Zugriff WebClient-Zugriff status/ausch/inst SSN-Zugriff status/ausch/inst Hochwärflägbarkt Status master Rollie Command-Center Zugriff status Updates Status Keine Updates verfügbar

Abbildung 14: Infobereich des LANCOM R&S ^® Unified Firewall-Webclients

Nach dem Login ist der Infobereich sichtbar und zeigt grundlegende Firewall-Informationen an.

Wählen Sie ein Desktop-Objekt aus, um dessen Informationen im Infobereich anzuzeigen, z. B.:

Beschreibung
Tags
IP-Adressen
Gruppenmitglieder

> Aufgebaute VPN-Verbindungen

Die Menge und Art der angezeigten Informationen ist für die verschiedenen Arten von Desktop-Objekten (Hosts, Internet-Objekte, Benutzer, etc.) unterschiedlich. Dynamische Informationen (z. B. der Status einer VPN-Verbindung) werden periodisch automatisch aktualisiert.

Klicken Sie auf », um den Infobereich zu minimieren. Klicken Sie auf das Info-Icon, um den Infobereich wieder anzuzeigen.

Sollten Einträge im Infobereich mit not available gekennzeichnet sein, verfügt der eingeloggte Nutzer nicht über entsprechende Rechte, diese Informationen einsehen zu können.

3.2 Symbole und Schaltflächen

In diesem Abschnitt werden die gängigen Symbole und Schaltflächen erläutert, die auf der Benutzeroberfläche und im Verlauf dieses Handbuchs verwendet werden.

Wenn Sie den Mauszeiger über die Schaltflächen bewegen, werden zur vereinfachten Identifizierung Pop-up-Beschriftungen angezeigt.

	BeschreibungSymbol / Schaltfläche
≡	Anzeigen oder Ausblenden der Navigationsleiste.
↖	Bewegen von Objekten oder Auswählen von Objekten oder Funktionen auf dem Desktop.
↑	Erstellen oder Bearbeiten einer Verbindung zwischen zwei Desktop-Objekten.
⊗	Erstellen eines Internetobjekts.
□	Erstellen eines Hosts.
□	Erstellen einer Hostgruppe.
□	Erstellen eines Netzwerks.
□	Erstellen eines IP-Bereichs.
□	Erstellen eines VPN-Hosts.
□	Erstellen einer VPN-Gruppe.
□	Erstellen eines VPN-Netzwerks.
□	Erstellen eines VPN-Benutzers.
□	Erstellen einer VPN-Benutzergruppe.
↓	Erstellen eines Benutzers.
↓	Erstellen einer Benutzergruppe.
↗	Verwerfen aller manuellen Layoutänderungen auf dem Desktop und Anwenden des automatischen Layouts.
∅	Speichern des aktuellen Desktop-Layouts.
∅	Wiederherstellen des zuletzt gespeicherten Desktop-Layouts.Wiederherstellen eines Backups.Wiederherstellen eines Zertifikats durch den Import eines neuen Zertifikats.Anpassen des gesamten Netzwerks an die Desktopgröße.
	Hebt ein Menüelement mit Einstellungen, die in der Navigationsleiste konfiguriert werden können, hervor.Hebt eine Tabellenspalte mit für einen Tabelleneintrag verfügbaren Aktionen hervor.
	Loslösen eines Desktop-Objekts, um es per Drag & Drop zusammen mit dem zugehörigen Desktopknoten über das Desktop zu bewegen.
	Anzeigen und Bearbeiten der Einstellungen für ein Desktop-Objekt, ein Listenelement oder einen Tabelleneintrag.
	Erstellen eines Listenelements oder eines Tabelleneintrags ausgehend von einer Kopie eines bestehenden Eintrags.
	Löschen eines Desktop-Objekts oder Listeneintrags aus dem System nach Bestätigen der Sicherheitsabfrage.Permanentes Widerrufen eines Zertifikats.
	Löschen einer benutzerdefinierten Firewall-Regel aus dem System.Entfernen einer Firewall-Regel mit vordefiniertem Dienst aus der Tabelle der Firewall-Regeln.
	Importieren eines Zertifikats oder einer Black-/ Whitelist aus einer Datei.Signieren eines Certificate Signing Request.
	Exportieren eines Zertifikats oder einer Black-/ Whitelist in eine Datei.
	Importieren eines Backups aus einer Datei.
	Exportieren eines Backups in eine Datei.
	Erstellen eines Listenelements in der Objektleiste.
	Ausklappen eines Menüelements in der Navigationsleiste, um untergeordnete Elemente anzuzeigen.Ausklappen einer Webfilterkategorie, um deren Unterkategorien anzuzeigen.Ausklappen einer Dienstkategorie für Firewall-Regeln, um untergeordnete Dienste anzuzeigen.Ausklappen einer Statistik oder Tabelle.
	Verbergen eines Menüelements in der Navigationsleiste, um untergeordnete Elemente anzuzeigen.Verbergen der Unterkategorien einer Webfilterkategorie.Verbergen der untergeordneten Dienste in einer Dienstkategorie für Firewall-Regeln.Verbergen einer Statistik oder Tabelle.
	Ausklappen detaillierterer Informationen in der Objektleiste.
	Reduzieren der Informationen in der Objektleiste.
	Einklappen aller Menüs in der Navigationsleiste.Erweitern eines Desktopknotens, um die damit verknüpften Desktop-Objekte anzuzeigen.
	Ausklappen aller Menüs in der Navigationsleiste.Einklappen eines Desktopknotens, um die damit verknüpften Desktop-Objekte zu verbergen.
	Zeigt an, dass ein Zertifikat noch gültig ist.
	Zeigt an, dass ein Zertifikat ausgelaufen ist.
	Verifizieren eines Zertifikats.
II	Temporäres Aussetzen eines Zertifikats oder einer CA.
▶	Reaktivieren eines ausgesetzten Zertifikats.
C	Erneuern eines Zertifikats mit veränderter Gültigkeit.
×	Schließen eines Pop-up-Fensters.
◎	Zurücksetzen aller Suchkriterien eines Filters, um alle Ergebnisse anzuzeigen.
	Hiermit werden alle Objekte und Einstellungen gekennzeichnet, die durch die LANCOM Management Cloud (LMC) verwaltet werden. Diese können mit dem Webclient eingesehen, aber nicht bearbeitet werden. Durch die LMC verwaltete Objekte lassen sich nicht referenzieren. Somit kann z.B. ein durch die LMC erstelltes Application Filter-Profil nicht in einer selbst erstellten Desktop-Verbindung verwendet werden.

3.3 Einstellungen für Firewall-Regeln

Dieser Abschnitt beschreibt, wie Sie eine Firewall-Regel für eine Verbindung zwischen zwei Desktop-Objekten anlegen.

3.3.1 Einrichten einer Verbindung

Um eine Verbindung zwischen zwei Desktop-Objekten einzurichten, führen Sie die folgenden Schritte aus:

1. Klicken Sie auf die Schaltfläche in der Symbolleiste oben auf dem Desktop.

Die Desktop-Objekte, die für diese Verbindung und mögliche weitere Verbindungen zwischen Desktop-Objekten ausgewählt werden können, werden durch gepunktete Kreise und Linien hervorgehoben.

1. Wählen Sie das Quellobjekt der Verbindung aus, indem Sie auf das entsprechende Desktop-Objekt klicken.

2. Wählen Sie das Zielobjekt für die Verbindung aus, indem Sie auf das entsprechende Desktop-Objekt klicken.

Der Teilbereich Verbindung öffnet sich. Darin werden, sofern zutreffend, bereits bestehende Firewall-Regeln für diese Verbindung angezeigt.

Alternativ können Sie auf die Schaltfläche in kreisförmigen Menü des Quellobjekts auf dem Desktop klicken und anschließend das Zielobjekt auswählen.

3.3.2 Erstellen einer Firewall-Regel

Führen Sie die folgenden Schritte aus, um eine Firewall-Regel zu erstellen:

1. Wählen Sie im Tab Regeln des Bearbeitungsfensters Verbindung mindestens einen Dienst aus, auf den Sie die Firewall-Regel anwenden möchten.

Eine Liste der Dienste, auf die die Firewall-Regel angewendet werden kann, wird in der Leiste auf der rechten Seite des Browserfensters angezeigt. Die Leiste ist in Kategorien von Diensten mit einer jeweils ähnlichen Funktion eingeteilt. Die Kategorien können mit einem Klick auf das entsprechende Symbol ein- und ausgeklappt werden.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Mithilfe des Filter-Eingabefelds oben in der Leiste mit der Diensteauswahlliste können Sie schnell und einfach einen bestimmten Dienst oder eine bestimmte Dienstgruppe finden. Während Sie Ihren Suchbegriff in das Eingabefeld eintippen, zeigt Ihre LANCOM R&S® Unified Firewall nur diejenigen Dienste und Dienstgruppen an, die die eingegebenen Zeichen enthalten. Klicken Sie im Eingabefeld auf 🔒 um die Sucheingabe zu löschen und zur ungefilterten Listenansicht zurückzukehren.

a. Es gibt zwei Möglichkeiten, Dienste zu einer Firewall-Regel hinzuzufügen:

3 Benutzeroberfläche

Um einen einzelnen Dienst hinzuzufügen, klicken Sie auf die Schaltfläche ✪ or dem jeweiligen Dienst in der Leiste mit der Dienstauswahlliste.
Um alle Dienste einer Kategorie gleichzeitig hinzuzufügen, klicken Sie auf die Schaltfläche ✉(Gefilterte Dienste hinzufügen) direkt unter dem Titel der jeweiligen Kategorie.

Die ausgewählten Dienste werden in der Tabelle im Tab Regeln angezeigt.

b. Um die Einstellungen für eine Firewall-Regel zu bearbeiten, klicken sie auf die Schaltfläche (Klicken zum Bearbeiten dieser Regel).

Ein Bearbeitungsfenster für den jeweiligen Dienst öffnet sich.

1. Im Bearbeitungsfenster können Sie die folgenden Informationen einsehen und die folgenden Elemente der Firewall-Regel konfigurieren:

a. Unter Beschreibung geben Sie zusätzliche Informationen zur Firewall-Regel für die interne Verwendung ein.
b. Im Tab Ports / Protokolle können Sie einsehen, welche Ports und Protokolle zur Verwendung für den Dienst festgelegt wurden. Weitere Informationen finden Sie unter Dienste auf Seite 109.

c. Im Tab Zeitsteuerung können Sie die Zeitspanne festlegen, während der die Firewall-Regel aktiv ist. Im Tab stehen die folgenden Optionen zur Verfügung:

Mit den Schiebereglern können Sie bestimmte Zeiten und Wochentage einstellen.
Klicken Sie auf Immer an – die Regel ist immer aktiv.
Klicken Sie auf Immer aus – die Regel ist immer inaktiv.

d. Im Tab zu den Einstellungen unter Erweitert stehen die folgenden Optionen zur Verfügung:

BeschreibungEingabefeld
Proxy	Für vordefinierte Firewall-Regeln mit vordefinierten Diensten, nur wenn die vordefinierten Dienste einen Proxy (HTTP, HTTPS, FTP, SMTP, SMTPS, POP3 oder POP3S) erlauben: Setzen Sie den Haken in diesem Kontrollkästchen, um den Proxy für diese Regel zu aktivieren.Für Firewall-Regeln mit ausschließlich benutzerdefinierten Diensten: Wählen Sie einen Proxy für diese Regel aus der Drop-down-Liste aus. Um den Proxy zu entfernen, klicken Sie auf ✗auf der rechten Seite des ausgewählten Proxys.
NAT / Masquerading	Geben Sie für NAT / Masquerading die gewünschte Richtung an (bidirektional, links-nach-rechts oder rechts-nach-links) oder deaktivieren Sie (Aus) die Funktion für diese Regel, indem Sie die entsprechende Optionsschaltfläche auswählen. Die Standardeinstellung hängt von den für die Verbindung ausgewählten Quell- und Zielobjekten ab.
Neue Quell-IP	Optional: Wenn Sie mehrere ausgehende IP-Adressen haben, geben Sie die IP-Adresse an, die für Source-NAT verwendet werden soll. Wenn Sie keine IP-Adresse angeben, wählt das System automatisch die Haupt-IP-Adresse des ausgehenden Interface aus.
DMZ / Port-Weiterleitung für diesen Dienst aktivieren	Ist ein einzelnes Hostobjekt Ziel der Firewall-Regel, können Sie den Haken in diesem Kontrollkästchen setzen, um eine DMZ und Port-Weiterleitung für diese Regel zu aktivieren.
Externe IP-Adresse	Optional: Geben Sie die Ziel-IP-Adresse des zu bearbeitenden Datenverkehrs an. Die DMZ-Regel wird nur auf diesen Datenverkehr angewandt. Diese IP-Adresse muss eine der IP-Adressen der Firewall sein.
Externer Port	Zeigt den ursprünglichen Ziel-Port des zu bearbeitenden Datenverkehrs abhängig von dem im TabPorts / Protokollefestgelegten Port an.
	Zeigt die neue Ziel-IP-Adresse des Datenverkehrs (nach der Bearbeitung) an.Ziel-IP-Adresse
	Optional: Geben Sie den Ziel-Port des Datenverkehrs (nach der Bearbeitung) an.Ziel-Port

e. Mit den Schaltflächen unten rechts im Bearbeitungsfenster können Sie Ihre Änderungen an einer vorhandenen Regel speichern (OK), die Bearbeitung einer vorhandenen Regel abbrechen (Abbrechen) und Ihre Änderungen verwerfen (Zurücksetzen).

Die konfigurierte Regel wird in der Tabelle im Tab Regeln angezeigt. Um eine Regel aus der Tabelle zu löschen, klicken Sie auf die Schaltfläche ●Klicken zum Löschen dieser Regel) in der letzten Spalte.

1. Weitere Informationen zu den Tabs URL- / Content-Filter und Application Filter finden Sie unter Desktopverbindungen auf Seite 95
2. Mit den Schaltflächen unten rechts im Bearbeitungsfenster können Sie das Bearbeitungsfenster schließen (Schließen), sofern Sie keine Änderungen vorgenommen haben, Ihre Änderungen speichern (Speichern) oder verwerfen (Zurücksetzen).
3. Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

3.4 Menüreferenz

Dieses Referenzkapitel beschreibt die einzelnen Menüelemente in der Navigationsleiste links im Browserfenster. Ihre von LANCOM Systems erworbene Lizenz bestimmt, welche Menüelemente in Ihrer LANCOM R&S ^® Unified Firewall verfügbar sind. Die Funktionen, die in Ihrer LANCOM R&S ^® Unified Firewall-Lizenz nicht enthalten sind, werden in der Navigationsleiste ausgegraut angezeigt.

In den folgenden Abschnitten finden Sie Informationen zu den in jeder Ansicht verfügbaren Optionen.

3.4.1 Firewall

Nutzen Sie die Einstellungen unter Firewall, um LANCOM R&S ^® Unified Firewall für Ihre lokale Umgebung anzupassen. Außerdem können Sie hier Zugriffsmöglichkeiten auf Ihre LANCOM R&S ^® Unified Firewall aus externen Netzwerken oder dem Internet einrichten und Ihre LANCOM R&S ^® Unified Firewall mit einem Command Center Server verbinden.

Administratoren

Legen Sie mithilfe der Einstellungen unter Administratoren Administratoren und deren Zugriff auf bestimmte Dienste fest.

Weiterführende Informationen zu Administratoren finden Sie in den folgenden Abschnitten.

Übersicht Administratoren

Navigieren Sie zu Firewall > Administratoren, um die Liste der derzeit im System angelegten Administratoren in der Objektleiste anzuzeigen.

Mit der Schaltfläche +ber der Liste können Sie neue Administratoren hinzufügen.

In der erweiterten Ansicht zeigt die Spalte Name den Namen des Administrators an. Die Spalte Admin zeigt einen der folgenden Statusindikatoren an:

Grün – Der Administrator hat Zugriff auf den Webclient.
Orange – Der Administrator hat keinen Zugriff auf den Webclient.

Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für einen vorhandenen Administrator einsehen und bearbeiten. Außerdem können Sie mithilfe der Schaltflächen einen neuen Administrator ausgehend von einer Kopie eines vorhandenen Administrators anlegen oder einen Administrator aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23

Einstellungen zu Administratoren

Unter Firewall > Administratoren können Sie einen neuen Administrator hinzufügen, oder einen vorhandenen Administrator bearbeiten.

Der Standardbenutzer admin kann nicht gelöscht oder umbenannt werden. Außerdem können die Zugriffsrechte dieses Benutzers auf den Webclient nicht widerrufen werden.

Im Bearbeitungsfenster Administrator können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen eindeutigen Namen für den Administrator ein.Name
Beschreibung	Optional: Geben Sie zusätzliche Informationen zum Administrator für die interne Verwendung ein.

Im Tab Client-Zugang :

BeschreibungEingabefeld
Web-Client-Zugriff	Setzen Sie den Haken in diesem Kontrollkästchen, um dem Administrator Zugriff auf den Webclient zu gewähren.
Kennwort	Für neu hinzugefügte Administratoren, nur wenn der Haken im KontrollkästchenWeb-Client-Zugriffgesetzt ist: Geben Sie ein Passwort ein und bestätigen Sie es.Für bearbeitete Administratoren, nur wenn der Haken im KontrollkästchenÄnderngesetzt ist: Geben Sie ein Passwort ein und bestätigen Sie es.
Ändern	Optional und für bearbeitete Administratoren, nur wenn der Haken im KontrollkästchenWeb-Client-Zugriffgesetzt ist: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort des Administrators zu ändern.
Zeige Passwort	Optional und für neu hinzugefügte Administratoren, nur wenn der Haken im KontrollkästchenWeb-Client-Zugriffgesetzt ist: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort zu verifizieren.Optional und für bearbeitete Administratoren, nur wenn der Haken im KontrollkästchenÄnderngesetzt ist: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort zu verifizieren.
Kennwort-Änderung erforderlich nachnächster Anmeldung	Optional und für neu hinzugefügte Administratoren, nur wenn der Haken im KontrollkästchenWeb-Client-Zugriffgesetzt ist: Wenn Sie den Haken in diesem Kontrollkästchen setzen, muss der Benutzer sein Passwort nach der nächsten Anmeldung ändern.Optional und für bearbeitete Administratoren, nur wenn der Haken im KontrollkästchenÄnderngesetzt ist: Wenn Sie den Haken in diesem Kontrollkästchen setzen, muss der Benutzer sein Passwort nach der nächsten Anmeldung ändern.

Im Tab Webclient-Rechte können Sie festlegen, welche Aktionen der Administrator in bestimmten Bereichen des Webclients ausführen darf.

Treffen Sie eine Auswahl aus den folgenden Berechtigungen, indem Sie die entsprechende Optionsschaltfläche auswählen.

Verboten – Der Administrator hat keinen Zugriff auf den angegebenen Bereich des Webclients.
Lesen / Öffnen – Der Administrator kann die Elemente im angegebenen Bereich des Webclients öffnen und lesen, kann aber keine Änderungen daran vornehmen.
Schreiben / Ausführen – Der Administrator hat vollen Zugriff auf die Elemente im angegebenen Bereich des Webclients.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen Administrator hinzufügen oder einen bestehenden bearbeiten. Klicken Sie für einen neu konfigurierten Administrator auf Erstellen, um ihn zur

Liste der verfügbaren Administratoren hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Administrators klicken Sie auf Speichern, um den neu konfigurierten Administrator zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Allgemeine Einstellungen

Navigieren Sie zu Firewall > Allgemeine Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie einige zentrale Einstellungen für Ihre LANCOM R&S ^® Unified Firewall vornehmen können.

Im Bearbeitungsfenster Allgemeine Einstellungen können Sie die folgenden Elemente konfigurieren:

	Hostname der Firewall.Hostname
Domain	Domain der Firewall. Falls die Firewall mit einem Active Directory verbunden ist, dann sollte hier die entsprechende Active Directory Domain eingetragen werden.
Nutzungs-Statistiken senden	Informationen über die Auslastung und den Zustand der Firewall aufzeichnen und an die LANCOM Systems GmbH übertragen.
	! Es werden keine persönlichen Informationen und keine Bestandteile des über die Firewall erfolgten Datenverkehrs übertragen.
Absturzberichte senden	Im Fehlerfall allgemeine Informationen zum Sytemzustand, zur aktuellen Systemkonfiguration und zum aufgetretenen Fehler an die LANCOM Systems GmbH übertragen.
	! Die Daten werden nur zur Fehleranalyse verwendet und anschließend wieder gelöscht. Es erfolgt keine Weitergabe irgendwelcher Daten an Dritte.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Backup

Ihre LANCOM R&S ^® Unified Firewall speichert Einstellungen in Konfigurationsdateien, die jedes Mal automatisch erstellt werden, wenn Einstellungen über den Webclient angepasst werden. Mithilfe der Optionen unter Backup können Sie regelmäßige Backups der aktuellen Systemkonfiguration konfigurieren, manuell ein Backup der aktuellen Systemkonfiguration erstellen und vorherige Konfigurationen wiederherstellen.

! Backups können erstellt werden, sobald eine Lizenz importiert wurde (also nicht während der 30-tägigen Probezeit).

Weiterführende Informationen zu Backups finden Sie in den folgenden Abschnitten.

Einstellungen für automatische Backups

Mit den Einstellungen unter Auto-Backup können Sie eine Verbindung zu einem entfernten Backup-Server erstellen, auf dem Sie automatisch erstellte Backups speichern möchten. Außerdem können Sie in diesem Teilbereich die Intervalle für das automatische Backup der Firewall-Konfiguration festlegen. Die Anzahl und Intervalle der Backup-Erstellung sind unbegrenzt.

Bevor Sie fortfahren, vergewissern Sie sich, dass Sie die Zeitzone ihrer LANCOM R&S® Unified Firewall wie unter Zeiteinstellungen auf Seite 45 beschrieben festgelegt haben. Andernfalls werden die Backups nach der Zeitzone „Europa – Berlin (CET/UTC +1)“ anstatt der von Ihnen in den Einstellungen für automatische Backups festgelegten Zeitzone erstellt.

Navigieren Sie zu Firewall > Backup > Auto-Backup, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Einstellungen für automatische Backups anzeigen und anpassen können.

Im Teilbereich unter Auto-Backup können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Server-Adresse	Geben Sie die IP-Adresse des entfernten Backup-Servers ein, auf dem Sie automatisch erstellte Backups speichern möchten.
	Geben Sie den Benutzernamen für den entfernten Backup-Server ein.Benutzername
Kennwort	Geben Sie, falls erforderlich, das Benutzerpasswort für den entfernten Backup-Server ein.
Zeige Passwort	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Benutzer-Passwort zur Überprüfung anzuzeigen.
Server-Typ	Wählen Sie die entsprechende Optionsschaltfläche aus, um das zum Hochladen der Backups auf den Server genutzte Netzwerkprotokoll zu definieren. Diese Option ist standardmäßig auf FTP gesetzt, bei Bedarf können Sie die Einstellungen aber auch auf SCP ändern.
	Geben Sie einen Namen für automatisch erstellte Backup-Dateien ein.Dateiname
Verschlüsselungs-Passwort	Geben Sie ein Passwort für die Verschlüsselung der Backup-Dateien ein. Das Passwort muss aus bis zu 32 Zeichen bestehen (erlaubt sind Buchstaben mit Ausnahme von ä, ö, ü und β, Zahlen und die Sonderzeichen - ] [/. , ~!@#$$^*() _+ : ?>< }.).
Zeige Verschlüsselungs-Passwort	Optional: Wählen Sie dieses Kontrollkästchen, um das Verschlüsselungs-Passwort zu verifizieren.
Optionen	Wählen Sie die entsprechende Optionsschaltfläche aus, um festzulegen, was an die Dateinamen angefügt wird, um die Backups zu unterscheiden. Diese Option ist standardmäßig auf Aktuelles Datum an Dateinamen anhängen gesetzt, bei Bedarf können Sie die Einstellungen aber auch auf den anderen Wert ändern:>Aktuelles Datum an Dateinamen anhängen – Das Datum und der Zeitstempel der Erstellung des Backups werden an den Namen angefügt (z. B. Backup_20171130-1527.gp). Da sich diese Dateinamen niemals wiederholen, können alte Backup-Dateien nicht versehentlich überschrieben werden.>Max. Datei-Anzahl – Eine Nummer (Backupnummer) wird an den Namen angefügt. Geben Sie die maximale Anzahl zu speichernder Backup-Dateien an, indem Sie eine Zahl im Eingabefeld unter dieser Option eingeben. Diese Option ist standardmäßig auf 20 Einträge gesetzt. Wenn die festgelegte Anzahl erreicht ist, wird wieder von vorne gezählt und die jeweils älteste Backup-Datei wird automatisch überschrieben.
	Legen Sie fest, wie oft die Firewall-Konfiguration automatisch gesichert wird.ZeitsteuerungKlicken Sie in das Eingabefeld unter Beginn, um Datum und Zeitpunkt des ersten automatisch erstellten Backups festzulegen. Wenn Sie auf das Eingabefeld klicken, öffnet sich ein Pop-up-Fenster mit einem Kalender und Eingabefeldern, mit dem Sie Datum und Uhrzeit ändern können. Sie können das Datum im Format MM/TT/JJJJ eingeben oder im Auswahlfenster ein Datum auswählen. Optional können Sie die Uhrzeit im Format hh:mm:ss eingeben.Unter Intervall und Unit, können Sie angeben, wie oft die Konfiguration automatisch gesichert wird. Bestimmen Sie das Intervall, indem Sie mit den Pfeiltasten nach oben oder unter navigieren, oder geben Sie eine Zahl ein. Diese Option ist standardmäßig auf 1 Einträge gesetzt. Wählen Sie daraufhin eine Einheit aus der Drop-down-Liste aus. Diese Option ist standardmäßig auf Tage gesetzt, Sie können die Einstellungen jedoch bei Bedarf auf einen der anderen Werte setzen:>Einmalig>Stunden➢ Tage➢ MonateKlicken Sie aufHinzufügen, um den Zeitplan zur Liste hinzuzufügen.Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠️Wenn Sie einen Zeitplan bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen für das Zertifikat speichern können.

Um die Verbindung zum konfigurierten Backup-Server zu überprüfen, klicken Sie auf die Schaltfläche Server-Einstellungen testen unten links im Bearbeitungsfenster. Das System versucht daraufhin, eine Testdatei (file name_test) auf dem Backup-Server zu speichern. War dieser Test erfolgreich, wird eine Textdatei auf dem Server gespeichert und ein Pop-up-Fenster mit einer Erfolgsmeldung erscheint. Nach dem Test können Sie diese Textdatei löschen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Exportieren eines Backups

Mit den Einstellungen unter Exportieren können Sie ein manuelles Backup der aktuellen Firewall-Konfiguration erstellen und exportieren. Nutzen Sie diese Funktion zum Beispiel, um eine Konfiguration nach einer Systemaktualisierung neu zu laden.

Navigieren Sie zu Firewall > Backup > Export, um ein Bearbeitungsfenster zu öffnen, in dem Sie ein manuelles Backup im GP-Dateiformat erstellen und auf ihren Rechner übertragen können, sodass Sie die gespeicherte Konfiguration bei Bedarf zu einem späteren Zeitpunkt wiederherstellen können.

Im Bearbeitungsfenster Exportieren können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Verschlüsselungs-Passwort	Geben Sie ein Passwort für die Verschlüsselung der Backup-Datei ein und bestätigen Sie es. Das Passwort muss aus bis zu 32 Zeichen bestehen. Erlaubt sind Buchstaben mit Ausnahme von ä, ö, ü und β, Zahlen und die Sonderzeichen [ / . , ~! @\#\\%^{*} ()_{+}:?><\right\}$ .
Zeige Passwort	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort zu verifizieren.
Backup-Passwort verwenden	Optional: Setzen sie den Haken in diesem Kontrollkästchen, wenn Sie das Passwort für die Verschlüsselung automatischer Backup-Dateien (siehe Einstellungen für automatische Backups auf Seite 29) übernehmen möchten, statt ein neues Passwort einzugeben.

Klicken Sie auf Exportieren, wenn Sie die Backup-Datei exportieren möchten. Klicken Sie ansonsten auf Abbrechen, um das Bearbeitungsfenster zu schließen.

Importieren eines Backups

Mit LANCOM R&S ^® Unified Firewall können Sie eine zuvor heruntergeladene Backup-Datei hochladen, um die Systemkonfiguration wiederherzustellen (z. B. nach einer Neuinstallation).

Navigieren Sie zu Firewall > Backup > Import, um eine Firewall-Konfiguration aus einer zuvor erstellten Backup-Datei aufzurufen und zu aktivieren.

Um eine automatisch erstellte Backup-Datei hochzuladen, die auf dem Backup-Server gespeichert ist, müssen Sie die Backup-Datei zunächst vom Backup-Server auf Ihren lokalen Datenträger übertragen.

Im Bearbeitungsfenster Importieren können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Backupdatei	Klicken Sie auf Auswählen, um die Suchfunktion des lokalen Datenträgers zu öffnen. Wählen Sie auf Ihrem lokalen Datenträger eine Backup-Datei im GP-Dateiformat zur Übertragung aus. Klicken Sie auf Öffnen, um die Suchfunktion des lokalen Datenträgers zu schließen. Der Name der Backup-Datei erscheint im Feld.
Kennwort	Geben Sie das Verschlüsselungs-Passwort ein, das Sie für den Export der Datei gewählt haben.
Zeige Passwort	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort zu verifizieren.

Klicken Sie auf Importieren, wenn Sie die Backup-Datei importieren möchten. Klicken Sie ansonsten auf Abbrechen, um das Bearbeitungsfenster zu schließen.

War der Upload erfolgreich, erscheint eine Erfolgsmeldung. Bestätigen Sie den Neustart des Systems, indem Sie auf Neustarten klicken. Das System wird neu gestartet, Sie werden ausgeloggt und die Login-Seite Ihrer LANCOM R&S ^® Unified Firewall öffnet sich. Geben Sie Ihre Login-Daten ein und klicken Sie auf Anmelden. Der Webclient erscheint.

Command Center

Mit dem LANCOM R&S ^® UF Command Center können Sie mehrere LANCOM R&S ^® Unified Firewall-Geräte in einer Anwendung administrieren.

Navigieren Sie zu Firewall > Command-Center, um ein Bearbeitungsfenster zu öffnen, in dem Sie Ihre LANCOM R&S ^® Unified Firewall über eine VPN-Verbindung mit einem LANCOM R&S ^® UF Command Center-Server verbinden können.

Um die VPN-Verbindung herzustellen, benötigen Sie VPN-Zertifikate für alle Geräte, die von derselben Zertifizierungsstelle (CA) signiert wurden. Es empfiehlt sich daher, die VPN-Zertifizierungsstelle und die VPN-Zertifikate an einem Standort zu verwalten und die VPN-Zertifikate von dort an alle weiteren Standorte zu exportieren.

Weitere Informationen zur Erstellung, zum Exportieren und zum Importieren von Zertifikaten finden Sie unter Zertifikate auf Seite 152.

Im Bearbeitungsfenster Command-Center können Sie die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob die Verbindung zum LANCOM R&S®UF Command Center derzeit aktiv (I), oder inaktiv (O) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status der Verbindung ändern. Die Verbindung zum LANCOM R&S®UF Command Center ist standardmäßig inaktiv.
Host	Geben Sie den Hostnamen oder die IP-Adresse ein, unter dem / der das LANCOM R&S®UF Command Center von der LANCOM R&S®Unified Firewall erreichbar sein soll.
Port	Geben Sie die Port-Nummer ein, unter der das LANCOM R&S®UF Command Center erreichbar ist (üblicherweise Port-Nummer 11940).
Command-Center CA	Wählen Sie die CA, von der das Zertifikat für das LANCOM R&S®UF Command Center signiert wurde, aus der Drop-down-Liste aus.
	Wählen Sie das VPN-Zertifikat für die LANCOM R&S®Unified Firewall aus der Drop-down-Liste aus.
Breite/Länge	Optional: Geben Sie die Koordinaten des Standorts Ihrer LANCOM R&S®Unified Firewall in Dezimalgradnotation ein, z. B.53.555483. Die Koordinaten werden verwendet, um Ihre LANCOM R&S®Unified Firewall auf einer Karte im LANCOM R&S®UF Command Center anzuzeigen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

E-Mail-Einstellungen

Die E-Mail-Einstellungen sind die Voraussetzung für die Nutzung des Benachrichtigungs-Systems. Über dieses können Sie entweder sofort oder regelmäßig in aggregierter Form per E-Mail Nachrichten über bestimmte Benachrichtigungstypen erhalten. Näheres hierzu unter Benachrichtigungs-Einstellungen auf Seite 60.

Navigieren Sie zu Firewall > E-Mail-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die entsprechenden Daten für Absender und Verschlüsselung der Nachrichten konfigurieren können. Optional sind Einstellungen für einen Relay-Server möglich, wenn die E-Mails nicht direkt versendet werden können.

Im Bearbeitungsfenster E-Mail-Einstellungen können Sie die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob die E-Mail-Einstellungen derzeit aktiv (1), oder inaktiv (0) sind. Mit einem Klick auf den Schiebeschalter können Sie den Status ändern.
	Absender-E-Mail-Adresse des Firewall-Systems.Absender-Adresse
Verbindungssicherheit	Wählen Sie eine der möglichen Optionen Keine, TLS oder StartTLS.
Remote-Zertifikat verifizieren	Falls dieses angegeben wird, dann verifiziert die Firewall das Zertifikat des Zielservers bzw. Relays.
S/MIME-Zertifikat	Falls dieses angegeben wird, dann verschlüsselt die Firewall alle ausgehenden E-Mails mit dem Public Key des gewählten Zertifikats.

Im Tab Relay können Sie Vorgaben für die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
	Adresse des E-Mail-Servers.Server
	Port des E-Mail-Servers.Port
	Name, mit dem die Firewall sich beim E-Mail-Server anmeldet.Benutzername
	Passwort, mit dem die Firewall sich beim E-Mail-Server anmeldet.Passwort

Um die vorgenommenen Einstellungen zu testen, können Sie über die Schaltfläche Test-Mail versenden eine E-Mail versenden. Es wird ein Dialog geöffnet, in dem Sie eine Empfänger-Adresse angeben können und dann über die Schaltfläche Versenden diese abschicken.

Beachten Sie, dass, falls ein Relay Server verwendet wird, die darauffolgende Status-Nachricht nur Auskunft darüber gibt, ob die E-Mail vom Relay Server akzeptiert wurde. Kann der Relay Server die Nachricht nicht zustellen, ist das nur auf dem Relay Server zu sehen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Hochverfügbarkeit

Mit den Einstellungen unter Firewall > Hochverfügbarkeit können Sie zwei unabhängige LANCOM R&S® Unified Firewall-Systeme in einer Master-/ Slave-Konfiguration über ein dediziertes Interface verbinden. Das sogenannte HA-Cluster

3 Benutzeroberfläche

bietet eine Ausfallsicherungsfunktion. Falls das Master-Gerät ausfällt, übernimmt das Standby-Gerät (Slave) dessen Aufgaben.

Die Master- und Slave-Systeme werden über ein Cluster-Interconnect-Kabel verbunden, über das sie miteinander kommunizieren und den Status des verbundenen Systems überwachen können. Die Konfiguration des Slave-Geräts wird mit der des Master-Geräts synchronisiert. Auf dem Slave-Gerät werden bestimmte Regeln angewandt, die Netzwerk-Kommunikation ausschließlich mit dem Master-Gerät erlauben. Falls das Slave-System kein „Heartbeat“-Signal vom Master empfängt, übernimmt es die Rolle des Master-Systems (z. B. im Fall von Stromausfällen oder Hardwareausfällen / -abschaltung).

Im Fall einer solchen Übernahme durch das Slave-Gerät entfernt dieses die spezifischen Blockaden und sendet eine Gratuitous-ARP-Anfrage. Der mit der LANCOM R&S® Unified Firewall verbundene Switch muss den ARP-Befehl-erlauben. Möglicherweise dauert es einige Sekunden, bis das Client-Gerät im Netzwerk seinen ARP-Cache aktualisiert hat und der neue Master erreichbar ist.

Die folgende Abbildung zeigt eine typische Netzwerkumgebung mit einer redundanten Master-/ Slave-Konfiguration für die Hochverfügbarkeit.

graph TD
    WAN["LAN"] -->|RIVER| SWITCH1["Switch"]
    SWITCH1 -->|RIVER| MASTER["MASTER"]
    SWITCH1 -->|RIVER| SLAVE["SLAVE"]
    SWITCH1 -->|RIVER| LAN1["LAN 1"]
    SWITCH1 -->|RIVER| LAN2["LAN 2"]
    SWITCH1 -->|RIVER| LAN1b["LAN 1"]
    SWITCH1 -->|RIVER| LAN2b["LAN 2"]
    SWITCH1 -->|RIVER| LAN1c["LAN 1"]
    SWITCH1 -->|RIVER| LAN2c["LAN 2"]
    SWITCH1 -->|RIVER| MASTER
    style WAN fill:#f9f,stroke:#333
    style MASTER fill:#ccf,stroke:#333
    style SLAVE fill:#ccf,stroke:#333
    style LAN1 fill:#dfd,stroke:#333
    style LAN2 fill:#dfd,stroke:#333
    style LAN1b fill:#dfd,stroke:#333
    style LAN2b fill:#dfd,stroke:#333

Abbildung 15: Beispiel-Netzwerk für Hochverfügbarkeit

Hochverfügbarkeit ist nicht für die Produktmodelle LANCOM R&S ^® Unified Firewall UF-50 und UF-100 verfügbar.

In den folgenden Abschnitten finden Sie weiterführende Informationen zu Hochverfügbarkeit.

Einstellungen für Hochverfügbarkeit

Mit den Einstellungen unter Hochverfügbarkeit können Sie die Verbindungsparameter für die Master-/Slave-Konfiguration anpassen.

Für die Hochverfügbarkeit sind zwei identische Systeme des gleichen Hardwaretyps (z. B. UF-200 mit UF-200 oder UF-500 mit UF-500) und mit der gleichen Softwareversion erforderlich. Außerdem benötigen Sie ein freies Netzwerk-Interface (NIC) auf beiden Systemen, das von keinem anderen Interface (z. B. VLAN oder Bridge) und keiner anderen Netzwerkverbindung verwendet wird. Weitere Informationen finden Sie unter Interfaces auf Seite 84 und

Netzwerkverbindungen auf Seite 73. Für die Cluster-Verbindung muss in beiden Systemen das gleiche NIC verwendet werden.

Das Master-System synchronisiert seine anfängliche Konfiguration und alle späteren Konfigurationsänderungen auf das Slave-System, um sicherzustellen, dass bei einem Ausfall die gleiche Konfiguration angewendet wird.

Hochverfügbarkeit kann nur aktiviert werden, wenn keine Prozesse (wie z. B. Aktualisierungen oder Backups) im Hintergrund laufen.

Navigieren Sie zu Firewall > Hochverfügbarkeit, um die Hochverfügbarkeitsfunktion einzurichten.

Im Bearbeitungsfenster Hochverfügbarkeit können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob Hochverfügbarkeit derzeit aktiv (I) oder inaktiv (0) ist. Indem Sie auf den Schiebeschalter klicken, können Sie den Status der Hochverfügbarkeit ändern. Hochverfügbarkeit ist standardmäßig deaktiviert.
Status	Zeigt den Status der Hochverfügbarkeit der LANCOM R&S®Unified Firewall an. Folgende Status sind möglich:➢ Deaktiviert – Hochverfügbarkeit ist auf dieser Firewall nicht aktiviert.➢ Keine Verbindung – Hochverfügbarkeit ist auf dieser Firewall aktiviert, die andere Firewall ist jedoch nicht erreichbar.➢ Nicht synchronisiert – Hochverfügbarkeit ist auf dieser Firewall aktiviert, die andere Firewall ist erreichbar, die Konfiguration des Master-Systems ist allerdings noch nicht auf das Standby-System (Slave) synchronisiert worden.➢ Synchronisiert und bereit – Hochverfügbarkeit ist auf dieser Firewall aktiviert. Die andere Firewall ist erreichbar und synchronisiert.➢ Update wird installiert – Hochverfügbarkeit ist auf dieser Firewall aktiviert. Die andere Firewall ist erreichbar. Beide Systeme werden gerade aktualisiert. Der Updatevorgang beinhaltet mehrere Schritte, die in den Update-Einstellungen und im Infobereich ersichtlich sind.
Initiale Rolle	Wählen Sie die entsprechende Optionsschaltfläche aus, um die Rolle der LANCOM R&S®Unified Firewall im HA-Cluster festzulegen.➢Master– LANCOM R&S®Unified Firewall ist aktiv und synchronisiert seine Konfiguration mit LANCOM R&S®Unified Firewall als Slave.➢Slave– LANCOM R&S®Unified Firewall ist nicht aktiv (d. h. nicht aus dem Webclient erreichbar), empfängt aber die Konfiguration des Master und ist für die Übernahme vorbereitet.
HA-Interface	Wählen Sie aus der Drop-down-Liste das Interface aus, das für die HA-Cluster-Kommunikation verwendet werden soll. Dieses Interface ist nicht für andere Firewall-Dienste nutzbar.Für die Cluster-Vernetzung muss das gleiche NIC in beiden LANCOM R&S®Unified Firewall-Systemen verwendet werden.
Lokale IP	Geben Sie die IP-Adresse, die Sie dem HA-Interface auf ihrer LANCOM R&S®Unified Firewall zuweisen wollen, in CIDR-Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/” und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.1/24).
Remote-IP	Geben Sie die IP-Adresse ein, unter der die LANCOM R&S®Unified Firewall die andere LANCOM R&S®Unified Firewall des HA-Clusters erreichen kann.

3 Benutzeroberfläche

Lokale IP und Remote-IP müssen sich im selben Subnetz befinden. HA-Cluster-Kommunikation über geroutete Netzwerke wird nicht unterstützt.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Bevor Sie das Slave-System mithilfe des Cluster-Verbindungskabels mit dem Master verbinden und Hochverfügbarkeit im Slave-System konfigurieren, muss die Konfiguration des Master-Systems vollständig und aktiviert sein.

Verbinden Sie das Slave-System mit den gleichen „WAN“ und „LAN“ Netzwerkkomponenten wie das Master-System (siehe Abbildung 15: Beispiel-Netzwerk für Hochverfügbarkeit auf Seite 34).

Nur das Master-System kann über den Webclient erreicht und konfiguriert werden.

Wenn Sie die Konfiguration der Hochverfügbarkeit anpassen möchten (zum Beispiel, um das HA-Interface zu ändern), deaktivieren Sie zunächst die Hochverfügbarkeit und nehmen Sie daraufhin Ihre Konfigurationsänderungen vor. Aktivieren Sie die Hochverfügbarkeit erneut mit der neuen Konfiguration.

Um die Firewalls mit dem LANCOM R&S ^® UF Command Center verwalten zu können, ist es nicht notwendig, beide Firewalls separat zu konfigurieren. Bei aktivierter Hochverfügbarkeit werden die Einstellungen des LANCOM R&S ^® UF Command Center über den Slave-Knoten synchronisiert, sodass das LANCOM R&S ^® UF Command Center nur einmal konfiguriert werden muss. Weitere Informationen finden Sie unter Command Center auf Seite 32.

Damit die Hochverfügbarkeitsfunktion zuverlässig funktioniert, müssen die Zeiteinstellungen beider Firewalls synchron sein. Sobald Sie die Hochverfügbarkeitsfunktion aktivieren, wird die Zeiteinstellung automatisch wie folgt eingerichtet:

1. NTP-Client und -Server werden auf beiden Firewalls aktiviert.
2. Die Cluster-Link-IPs werden zu beiden Knoten der NTP-Server-Liste hinzugefügt.

Weitere Informationen dazu finden Sie unter Zeiteinstellungen auf Seite 45.

Um das Slave-System aus der Hochverfügbarkeitskonfiguration zu entfernen und es als eigenständiges System zu betreiben, klicken Sie den Schiebeschalter, um die Hochverfügbarkeitsfunktion zu deaktivieren. Damit werden die Konfigurationseinstellungen des Slave-Systems und die IP-Adressen der Netzwerk-Interfaces auf Werkseinstellungen zurückgesetzt.

Möglicherweise stehen die Standard-IP-Adressen des Slave nach Zurücksetzen auf Werksteinstellungen mit den Master-IP-Adressen im Konflikt. Weitere Informationen finden Sie unter Inbetriebnahme auf Seite 7. Kontaktieren Sie in diesem Fall den Support, um die Master-Einstellungen entsprechend rekonfigurieren zu lassen, bevor Sie die Hochverfügbarkeitsfunktion deaktivieren.

Arbeitsweise der Hochverfügbarkeitsfunktion

In diesem Kapitel erfahren Sie, wie Sie Hochverfügbarkeit für Ihre LANCOM R&S ^® Unified Firewall einrichten und bedienen.

Initiale Einrichtung

Zur Verwendung der Hochverfügbarkeitsfunktion benötigen Sie eine dedizierte Cluster-Verbindung für die Kommunikation zwischen zwei Firewalls. Diese Verbindung ist für die korrekte Arbeitsweise der Hochverfügbarkeit essentiell. Verwenden Sie deshalb ein redundantes Interface, z. B. ein gebündeltes Interface, das durch Link Aggregation bereitgestellt wird.

! Folgende Interfaces sind als Cluster-Verbindung nicht verwendbar: VLAN, WLAN, PPP, Bridge-Interface.

Verwenden Sie einen Switch, um die Cluster-Verbindung aufzuteilen und somit das Master-System und das Slave-System über SNMP nahtlos überwachen zu können.

Synchronisierung

In diesem Kapitel erhalten Sie Informationen über die Synchronisierung des Master- und Slave-Systems im Rahmen der HA-Konfiguration, des Connection Tracking, der Protokolle und Statistiken sowie Einschränkungen bei der Synchronisierung.

Konfiguration

Alle Konfigurationsänderungen werden mit dem Slave-System synchronisiert. Während des Synchronisierungs- und Aktivierungsprozesses wird die Hochverfügbarkeitsfunktion als Nicht synchronisiert angezeigt. Ein Rollenwechsel während der Synchronisierung kann zu Verlust von Daten oder Konfigurationsänderungen führen.

Die Konfigurationsänderungen werden mit einer Verzögerung von 15 Sekunden synchronisiert, um unnötige Aktivierungen im Slave-System zu vermeiden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um eine vollständige Synchronisierung zu starten.

Connection Tracking

Verbindungsbasierte Protokolle, wie TCP, werden in der Firewall getrackt. Die Tracking-Tabellen werden automatisch mit dem Slave-System synchronisiert. Dadurch bleiben die Verbindungen auch nach einem Rollenwechsel erhalten, z. B. während eines Downloadvorgangs.

Protokolle und Statistiken

Ihre LANCOM R&S ^® Unified Firewall synchronisiert die Protokoll- und Statistikdatenbanken zwischen dem Master- und Slave-System. Die Protokolle des Slave-Systems werden nicht gespeichert, da auf die Slave-Datenbank nur Leserechte bestehen.

Einschränkungen

Die UTM-Features speichern den Status aller Verbindungen, die die Firewall passieren.

Beispiel: Die DPI-Engine speichert Metadaten von bereits analysierten Paketen, bis die Verbindung endet.

Ihre LANCOM R&S ^® Unified Firewall synchronisiert diesen Verbindungsstatus nicht, speichert diesen aber im Speicher des Master-Systems. Nach einem Rollenwechsel werden alle Verbindungen, die von den UTM-Systemen analysiert wurden, unterbrochen.

Beispiel: Bei der DPI-Engine führt der Verlust der Metadaten dazu, dass neue Pakete zu einer alten Verbindung als unbekannt abgelehnt werden.

Rollenwechsel

Für die Aktiv-Passiv-Hochverfügbarkeitsfunktion bietet die LANCOM R&S ^® Unified Firewall-Lösung die folgenden Rollen:

Master-System

Das Master-System verarbeitet aktiv den Netzwerkverkehr. Der Master ist außerdem verantwortlich für die Weitergabe aller Konfigurations- und Statusänderungen an den Slave, sodass beide Systeme synchron bleiben.

Slave-System

Das Slave-System ist ein passives System und fungiert als sofort einsetzbarer Ersatz, um bei Ausfall des Master dessen Aufgaben übernehmen zu können. Der Slave erkennt Konfigurations- und Statusänderungen, wendet diese an und aktiviert sie.

Sobald die Firewall fehlerhaft arbeitet, z. B. aufgrund von Hardware- oder Kernelfehlern, stellt die Hochverfügbarkeitsfunktion eine reibungslose Übernahme der Funktionen durch den Slave sicher. Damit werden Netzwerkausfälle verhindert. Der Übergang wird durch Senden von Gratuitous-ARP-Paketen an alle Hosts in jeder Broadcast-Domäne der Firewall ermöglicht. Diese Hosts lernen, dass die IP-Adressen ab sofort durch den neuen Master beantwortet werden.

3 Benutzeroberfläche

Die Verwendung der Hochverfügbarkeitsfunktion ist sinnvoll, wenn Sie Ihre Firewalls mit neuerer Hardware ohne Ausfallzeiten ausstatten möchten, z. B. mit Netzwerkmodulen oder SSD-Festplatten.

Lizenzierung

Ihre LANCOM R&S ^® Unified Firewall-Geräte müssen mit einer digitalen Lizenz für jedes Gerät lizenziert werden. Falls Sie zwei LANCOM R&S ^® Unified Firewall-Geräte erworben haben, um diese in einer Hochverfügbarkeitsumgebung zu verwenden, erhalten Sie nur eine Lizenz. Beide Firewalls müssen bereits während der Lizenzierung als Hochverfügbarkeits-Cluster konfiguriert und in Betrieb genommen werden. Andernfalls kann die Firewall die Lizenz ablehnen.

Update

Die Installation eines Updates kann in einer Hochverfügbarkeitsumgebung mit hoher Zuverlässigkeit und ohne Ausfallzeiten durchgeführt werden, auch wenn das Update fehlschlägt.

Erstellen Sie eine Sicherung Ihrer Konfiguration, bevor Sie ein Update durchführen. Weitere Informationen zu Updates finden Sie unter Update-Einstellungen auf Seite 46.

Der Master steuert den Updatevorgang automatisch wie folgt:

1. Downloaden des Updates oder Upgrades.

Dieser Schritt wird übersprungen, falls Sie das Update oder Upgrade bereits heruntergeladen haben, oder falls Sie das Firmware-Update manuell auf der Firewall installiert haben, z. B. in einer Offline-Umgebung.

1. Synchronisieren des Updates oder Upgrades mit dem Slave-System über die Cluster-Verbindung.

2. Installation auf dem Slave-System.

Der Master initiiert die Installation des Updates oder Upgrades auf dem Slave-System. Im Fehlerfall arbeitet der Master wie gewohnt weiter, und der Updatevorgang wird abgebrochen. Kontaktieren Sie in diesem Fall den Support, da ab diesem Zeitpunkt Ausfallzeiten möglich sind.

1. Installation auf dem Slave-System

Nach der Installation des Updates auf dem Slave wird es auf dem Master-System installiert.

Automatische Updates sind bei aktivierter Hochverfügbarkeitsfunktion nicht erlaubt, um Datenverlust oder Netzwerkausfall zu vermeiden, da nach einer fehlerhaften Updateinstallation ein erfolgreicher Rollenwechsel nicht gewährleistet werden kann.

Wenn beide Systeme nicht synchronisiert sind, können Updates nicht gestartet werden.

Update mit Neustart

Die meisten Updates erfordern einen Neustart nach der Installation. Ein Neustart in einer Hochverfügbarkeitsumgebung steuert einen Rollenwechsel an. Wir empfehlen deshalb die Betreuung des Updates durch einen Administrator.

Der Master steuert den Updatevorgang mit Neustart wie folgt:

1. Downloaden des Updates.
2. Synchronisieren des Updates mit dem Slave-System über die Cluster-Verbindung.
3. Installation auf dem Slave-System.
4. Neustart des Slave.

Der Slave startet sich automatisch nach erfolgreicher Installation neu.

1. Warten auf Bestätigung durch den Benutzer.

Der Webclient fordert den Administrator auf, den Updatevorgang fortzusetzen. Fehler, die vor diesem Schritt auftreten, können behoben werden. Wenden Sie sich an den Support, falls Sie hierzu Unterstützung benötigen.

1. Installation auf dem Slave-System.

2. Neustart des Masters.

Der Master startet sich automatisch nach erfolgreicher Installation neu. Der Rollenwechsel erfolgt bei Neustart.

Upgrade

Um ein Upgrade zu installieren, startet sich Ihre LANCOM R&S ^® Unified Firewall neu. Der Neustart steuert die Upgrade-Installation an, durch die das System mit der neuen Version neu aufgesetzt wird. Auch bei einem Upgrade wird ein Rollenwechsel angesteuert. Wir empfehlen deshalb die Betreuung des Upgradevorgangs durch den Administrator.

Der Master steuert den Upgradevorgang wie folgt:

1. Downloaden des Updates oder Upgrades.
2. Synchronisieren des Updates oder Upgrades mit dem Slave-System über die Cluster-Verbindung.
3. Installation auf dem Slave-System.
4. Upgrade des Slave-Systems.

Das Slave-System startet sich neu und startet die Upgrade-Installation automatisch.

1. Warten auf Bestätigung durch den Benutzer.

Der Webclient fordert den Administrator auf, den Updatevorgang fortzusetzen. Fehler, die vor diesem Schritt beim Slave-System auftreten, können behoben werden. Wenden Sie sich an den Support, falls Sie hierzu Unterstützung benötigen.

1. Installation auf dem Master-System.

2. Upgrade des Master-Systems.

Der Master startet sich automatisch nach erfolgreicher Installation neu und startet die Upgrade-Installation automatisch. Der Rollenwechsel erfolgt mit dem Neustart.

Synchronisierung

Vor der Updateinstallation deaktiviert Ihre LANCOM R&S ^® Unified Firewall die Synchronisierung, um die Konfiguration des Slave-Systems nach Installation einer neuen Version abzusichern. Alle Änderungen, die Sie nach Beginn der Update-Installation vorgenommen haben, werden erst nach erfolgreichem Update gespeichert.

Während des Upgrades synchronisiert Ihre LANCOM R&S® Unified Firewall die Protokolle und Statistiken von der alten zur neuen Version.

Monitoring

Falls sich ein Gerät offline schaltet und sich nicht selbständig wieder verbinden kann, z. B. aufgrund von Hardwareproblemen, muss der Administrator schnellstmöglich reagieren und das Problem beheben oder das fehlerhafte Gerät ersetzen. Ein Cluster, der nicht korrekt arbeitet, kann Ausfallzeiten nicht vermeiden. Deshalb ist es notwendig, die Firewalls bei aktivierter Hochverfügbarkeitsfunktion zu überwachen. Dies kann folgendermaßen erfolgen:

Webclient

Sie können die Hochverfügbarkeitsfunktion im Infobereich und im Hochverfügbarkeitsmenü (siehe Hochverfügbarkeit auf Seite 33) überwachen. Welche Firewall aktuell als Master konfiguriert ist, entnehmen Sie aus der lokalen IP-Adresse.

SNMP

SNMP ist der Standard für das Monitoring der Firewall. Informationen zur Konfiguration der Firewall und Hinweise zum Download der notwendigen MIB-Dateien entnehmen Sie SNMP-Einstellungen auf Seite 68. SNMP-Anfragen an die Firewall helfen Ihnen, die aktive Firewall zu identifizieren, indem Sie die IP-Adresse der Cluster-Verbindung ablesen.

3 Benutzeroberfläche

Die Überwachung des Slave-Knotens kann nur über die Cluster-Verbindung erfolgen. Um auf diese Schnittstelle zugreifen zu können, verwenden Sie einen Switch, wie in Initiale Einrichtung auf Seite 36 beschrieben.

Remote Syslog-Server

Sie können einen entfernten Syslog-Server verwenden, um Hochverfügbarkeitsereignisse zu überwachen, da Clustermeldungen in den Syslog-Protokollen enthalten sind. Rollenwechsel werden klar protokolliert. Die IP-Adresse des Masters können Sie ebenfalls aus den Protokollen entnehmen.

Die Protokolle des Slave-Knotens werden nicht an den entfernten Syslog-Server gesendet. Die Protokolle des Masterknotens sind ausreichend, um die wichtigsten Informationen zu erhalten.

Command Center

Verwenden Sie das LANCOM R&S ^® UF Command Center, um den Hochverfügbarkeitsstatus mehrerer Firewalls zu überwachen, sowie Lizenzstatus und Hardwareressourcen zu prüfen.

Lizenz

Die genauen Funktionen Ihrer LANCOM R&S ^® Unified Firewall Software sind abhängig von der Lizenz, die Sie von Ihrem Lieferanten erworben haben.

Folgende Features sind einzeln mit der erworbenen Lizenzdatei lizenzierbar:

Antispam (UTM-Lizenz)
Antivirus (UTM-Lizenz)
Application-Filter
Content-Filter
IDS/IPS (UTM-Lizenz)
WLAN

Navigieren Sie zu Firewall > Lizenz, um den Lizenzmanager zu öffnen, mithilfe dessen Sie die Gültigkeitsdauer Ihrer LANCOM R&S ^® Unified Firewall-Lizenz und zusätzliche Funktionslizenzen einsehen oder neue Lizenzen hochladen können.

Beim ersten Start nach der Lieferung oder nach einer Neuinstallation läuft die LANCOM R&S® Unified Firewall für 30 Tage als Testversion. Während des Testzeitraums können Sie kein Backup erstellen. Nach Ablauf des Testzeitraums bleibt die Firewall weiterhin mit Ihrer Konfiguration erhalten. Die UTM-Features werden deaktiviert und Sie können keine Änderungen mehr speichern.

Das System prüft in regelmäßigen Abständen die Ablaufdaten der Lizenzen in der Lizenzdatei. Läuft eine Lizenz ab oder endet der Testzeitraum, werden alle lizenzierbaren Funktionen deaktiviert, bis Sie eine neue Lizenz über den Webclient hochladen. Nach Ablauf der Lizenz wird Web- und E-Mail-Verkehr blockiert oder fortan ungefiltert durch die LANCOM R&S ^® Unified Firewall geleitet. Im ersten Fall sehen Sie sofort, daß Sie eine neue Lizenz herunterladen müssen, wenn Ihre aktuell verwendeten Lizenzdaten ausgelaufen sind. Wenn Sie das System nach Lizenzablauf in einem unsicheren Modus betreiben, werden Sie nur auf der Benutzeroberfläche der LANCOM R&S ^® Unified Firewall benachrichtigt. Sie können dieses im Lizenzmanager konfigurieren:

End-Of-License-Verhalten

Web- und Mailverkehr

• Webzugriffe auf eine Fehlerseite umleiter. E-Mails blockieren, falls der Mail-Proxy aktiv ist.
  Unsicheren Web- und Mailverkehr erlauben

Abbildung 16: Konfiguration des End-Of-License-Verhaltens

Unabhängig vom konfigurierten End-of-License-Verhalten werden Funktionen in der Benutzeroberfläche stets deaktiviert, wenn die Hauptlizenz abgelaufen ist.

Nach Ablauf einer Featurelizenz wird das entsprechende Feature deaktiviert. Der Einstellungsdialog für dieses Feature kann weiterhin geöffnet werden. Im Dialog wird angezeigt, dass die Lizenz abgelaufen ist. Falls Sie versuchen, Änderungen vorzunehmen, erscheint eine Fehlermeldung.

Die Lizenzinformationen im Infobereich des Webclients erscheinen in roter Schrift, sobald der Zeitraum bis zum Ablauf der Lizenz weniger als 30 Tage beträgt.

Für eine nichtlizenzierte LANCOM R&S ^® Unified Firewall wird im Infobereich eine temporäre Seriennummer angezeigt. Diese wird nach Erwerb einer Lizenz durch eine gültige Lizenznummer ersetzt.

Falls Sie die LANCOM R&S ^® Unified Firewall auf einer virtuellen Maschine installiert haben, wird die UUID der virtuellen Maschine im Infobereich angezeigt.

Unter Lizenz-Upload können Sie eine neue Lizenz für Ihre LANCOM R&S ^® Unified Firewall-Software hochladen. Gehen Sie dazu wie folgt vor:

1. Klicken Sie neben dem Datei auswählen-Eingabefeld auf Lizenzdatei.

Die Suchfunktion des lokalen Datenträgers öffnet sich.

1. Wählen Sie eine Lizenzdatei im GPLF- oder LIC-Format aus.

Die neue Lizenz muss der Versionsnummer der LANCOM R&S ^® Unified Firewall-Software und der Hardware entsprechen.

1. Klicken Sie auf Öffnen.

Die Suchfunktion des lokalen Datenträgers schließt sich.

1. Um die Lizenzdatei hochzuladen, klicken Sie auf Speichern.

Die Lizenz wird hochgeladen. War der Upload erfolgreich, werden alle Lizenzen und die zugehörigen Informationen automatisch auf Ihre LANCOM R&S ^® Unified Firewall übertragen und eine Erfolgsmeldung erscheint.

1. Bestätigen Sie, dass Sie sich ausloggen möchten, indem Sie auf OK klicken.

Sie werden ausgeloggt. Die Login-Seite der Firewall wird geöffnet.

1. Geben Sie Ihre Login-Daten ein.

2. Klicken Sie auf Anmelden.

Der Webclient erscheint.

Die hochgeladene Lizenz können Sie auch wieder herunterladen. Dazu einfach die weiter oben neben Download als Link angezeigte Lizenzdatei anklicken, sodass der Download der Datei startet.

Im Tab Details können Sie weiterführende Lizenzinformationen Ihrer LANCOM R&S ^® Unified Firewall-Software einsehen, z. B. Informationen zu den UTM-Lizenzen.

LANCOM Management Cloud-Einstellungen

Hier finden Sie die Einstellungen für die Konfiguration und das Monitoring Ihres Gerätes durch die LANCOM Management Cloud (LMC).

Navigieren Sie zu Firewall > LMC-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Einstellungen für die LMC anzeigen und anpassen können.

Im Bearbeitungsfenster LMC-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob die Verwaltung der Firewall über die LANCOM Management Cloud aktiv (I) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option.
LMC-Domain	Geben Sie hier den Domain-Namen der LMC an. Standardmäßig ist die Domain für den ersten Verbindungsaufbau mit der Public LMC eingetragen. Möchten Sie Ihr Gerät von einer eigenen Management Cloud verwalten lassen („Private Cloud“ oder „on premise installation“), tragen Sie bitte die entsprechende LMC-Domain ein.
Aktivierungscode	Alternativ zur Eingabe der Seriennummer und der dem Gerät beiliegenden Cloud-PIN kann ein Gerät auch über einen Aktivierungscode einem Projekt in der LMC zugewiesen werden.Klicken Sie dazu in der LMC unter Geräte auf Aktivierungscodes, danach auf Aktivierungscode erstellen. Sie können dort einen zeitlich beschränkt gültigen Aktivierungscode generieren. Dieser kann innerhalb des Gültigkeitszeitraums auf beliebig vielen LANCOM Geräten zur Aktivierung, also zur Übernahme in die LMC, genutzt werden.

Zugriff auf die Firewall

Mit den Einstellungen unter Firewall-Zugriff können Sie den Zugriff auf Ihre LANCOM R&S ^® Unified Firewall aus externen Netzwerken oder dem Internet regeln. Außerdem können Sie festlegen, wie Ihre LANCOM R&S ^® Unified Firewall beispielsweise auf eine Ping-Anforderung reagieren soll.

Die Einstellungen unter Firewall-Zugriff gelten nur für den externen Zugriff auf die LANCOM R&S® Unified Firewall für festgelegte Benutzer. Der Zugriff auf die LANCOM R&S® Unified Firewall aus dem internen Netzwerk ist immer möglich.

Navigieren Sie zu Firewall > Firewall-Zugriff, um festzulegen, ob und wie der Zugriff auf die LANCOM R&S® Unified Firewall aus externen Netzwerken erlaubt wird.

Weiterführende Informationen zu den Einstellungen unter Firewall-Zugriff finden Sie in den folgenden Abschnitten.

Ping-Einstellungen

Mit den Ping-Einstellungen können Sie festlegen, wie Ihre LANCOM R&S ^® Unified Firewall mit ICMP-Echoanfragen (Pings) an die Firewall aus dem internen Netzwerk und dem Internet umgeht.

Navigieren Sie zu Firewall > Firewall-Zugriff > Ping-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Ping-Einstellungen anzeigen und anpassen können.

BeschreibungEingabefeld
Ping (ICMP zur Firewall)	Wählen Sie die entsprechende Optionsschaltfläche, um festlegen, wie Ihre LANCOM R&S®Unified Firewall mit ICMP-Echoanfragen an die Firewall aus dem internen Netzwerk und dem Internet umgeht. Die Option ist standardmäßig auf Erlauben gesetzt, bei Bedarf können Sie die Einstellungen aber auch auf Verweigern ändern:➢ Verweigern – Ihre LANCOM R&S®Unified Firewall antwortet nicht auf ICMP-Echoanfragen aus dem internen Netzwerk und aus dem Internet.➢ Erlauben – Ihre LANCOM R&S®Unified Firewall antwortet auf ICMP-Echoanfragen aus dem internen Netzwerk und aus dem Internet.
	!Obwohl das Blockieren von ICMP-Echoanfragen die Sicherheit der LANCOM R&S®Unified Firewall erhöhen kann, kann es beim Troubleshooting im Netzwerk hinderlich sein. Wenn ein Fehler im Netzwerk auftritt, wird daher empfohlen, diese Option auf Erlauben zu setzen, bevor Sie mit dem Troubleshooting beginnen.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

SSH-Einstellungen

Mit den Einstellungen unter SSH-Einstellungen können Sie den SSH-Zugriff auf Ihre LANCOM R&S® Unified Firewall aus dem Internet regeln.

Navigieren Sie zu Firewall > Firewall-Zugriff > SSH-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die SSH-Einstellungen anzeigen und anpassen können.

Im Teilbereich unter SSH-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob der jeweilige SSH Dienst derzeit aktiv (1) oder inaktiv (0) ist. Indem Sie auf den Schiebeschalter klicken, können Sie den Status des Dienstes ändern. Der SSH-Dienst ist standardmäßig aktiviert.
Port	Legen Sie den Listening-Port fest, indem Sie die Portnummer eingeben. Die Standardeinstellung ist Port 22.
Passwort-Authentifizierung	Mittels Passwort-Authentifizierung können Sie sich mit einem Passwort über SSH bei Ihrer LANCOM R&S®Unified Firewall anmelden. Die Passwort-Authentifizierung ist standardmäßig aktiviert.
	!Die Passwort-Authentifizierung kann nur deaktiviert werden, wenn stattdessen mindestens ein öffentlicher SSH-Schlüssel aktiv zur Authentifizierung mittels Schlüssel genutzt wird.
SSH Öffentliche Schlüssel	Diese Tabelle zeigt die öffentlichen SSH-Schlüssel an, die zur Authentifizierung von Benutzern ohne Passwort verwendet werden. Klicken Sie aufHinzufügen, um das FensterSSH-Schlüsselzu öffnen und einen neuen Schlüssel hinzuzufügen.In diesem Fenster können Sie die folgenden Einstellungen vornehmen:➢ Fügen oder geben Sie imFeldSchlüsselden öffentlichen SSH-Schlüssel ein.➢ Geben Sie im FeldTitel einen Namen für den öffentlichen SSH-Schlüssel ein.
	!LANCOM R&S®Unified Firewall unterstützt nur Schlüssel im Secure Shell (SSH) Public Key File Format.Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen aufSpeichernoder aufZurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten aufSchließen, um das Bearbeitungsfenster zu schließen.Der öffentliche SSH-Schlüssel erscheint als Listeneintrag (Fingerprint). Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	iSie können die beiden Authentifizierungsmethoden (Passwort-Authentifizierung, SSH Öffentliche Schlüssel) einzeln oder in Kombination verwenden.
Zugriffs-Beschränkungen	Diese Tabelle zeigt die benutzerdefinierten IP-Adressen oder IP-Netzwerke an, denen Zugriff auf Ihre LANCOM R&S®Unified Firewall gewährt werden kann (Whitelist-Modus). Setzen Sie den Haken im Kontrollkästchen neben einem Eintrag, um den Zugriff zu erlauben.Um eine IP-Adresse oder ein Netzwerk zur Liste hinzuzufügen, geben SieTitel sowieQuelleein und klicken Sie aufHinzufügen. Der neue Eintrag wird zur Liste hinzugefügt und automatisch aktiviert.Die folgenden Einträge sind standardmäßig angelegt und können nicht entfernt werden:Lokale Netzwerke stellt den internen Zugriff dar und ist standardmäßig aktiviert.Internet ermöglicht SSH-Zugriff auf Ihre LANCOM R&S®Unified Firewall aus dem Internet.Unter gewissen Umständen kann dies Angreifern Zugriff auf Ihre LANCOM R&S®Unified Firewall ermöglichen. Daher wird diese Option nicht als dauerhafte Lösung empfohlen.VPN TunnelDie folgenden standardmäßig angelegten Einträge enthalten Netzwerkabschnitte für den Kundensupport. Diese Einträge sind standardmäßig deaktiviert.Rohde & Schwarz Internet GatewayRohde & Schwarz Cybersecurity Kundensupport

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Webclient-Einstellungen

Mit den Einstellungen unter Webclient-Einstellungen können Sie den externen-Webzugriff auf Ihre LANCOM R&S® Unified Firewall aus dem Internet regeln.

Navigieren Sie zu Firewall > Firewall-Zugriff > Webclient-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Webclient-Einstellungen anzeigen und anpassen können.

Im Teilbereich unter Webclient-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Port	Legen Sie den Listening-Port fest, indem Sie die Portnummer eingeben. Die Standardeinstellung ist Port 3438.
Webclient-Zertifikat	Wählen Sie ein Webclient-Zertifikat aus, das zur Verifikation der SSL-Verbindung dient.
	Wenn Sie kein Webclient-Zertifikat auswählen, wird ein automatisch generiertes, selbst signiertes Systemzertifikat verwendet. Das Systemzertifikat ist nicht Teil der Zertifikatsverwaltung. Damit Ihr Browser beim Verbinden mit dem Webclient keine Zertifikatswarnung anzeigt, wählen Sie ein Zertifikat, das von einer Zertifizierungsstelle (CA) ausgestellt wurde, der Ihr Browser vertraut.
Zugriffs-Beschränkungen	Diese Tabelle zeigt benutzerdefinierte IP-Adressen oder IP-Netzwerke an, denen einzeln Zugriff gewährt werden kann (Whitelist-Modus).Geben Sie Titel und Quelle ein. Klicken Sie auf Hinzufügen, um die IP-Adresse zur Liste hinzuzufügen.Die folgenden Einträge sind schreibgeschützt, können aber aktiviert und deaktiviert werden.Lokale Netzwerke stellt den internen Zugriff dar und ist standardmäßig aktiviert.Internet ermöglicht SSH-Zugriff auf Ihre LANCOM R&S®Unified Firewall aus dem Internet.Unter gewissen Umständen kann dies Angreifern Zugriff auf Ihre LANCOM R&S®Unified Firewall ermöglichen. Daher wird diese Option nicht als dauerhafte Lösung empfohlen.VPN TunnelDie folgenden standardmäßig angelegten Einträge enthalten Netzwerkabschnitte für den Kundensupport. Die Einträge sind standardmäßig deaktiviert.> Rohde & Schwarz Internet Gateway> Rohde & Schwarz Cybersecurity KundensupportOptional: Entfernen Sie den Haken im Kontrollkästchen neben einem Eintrag, um den Zugriff darauf zu beschränken.
	! Der Zugriff auf den Server erfolgt hauptsächlich über den Webclient. Sie müssen mindestens einen Eintrag in der Liste der IP-Adressen auswählen.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Zeiteinstellungen

Ihre LANCOM R&S ^® Unified Firewall arbeitet mit zeitempfindlichen Regeln. Darüber hinaus ist die Systemzeit für Dienste wie die Protokollierung und Berichterstattung besonders wichtig, da diese auf genaue und allgemein akzeptierte Zeitstempel angewiesen sind. Daher ist es notwendig, die korrekten Daten und Uhrzeiten festzulegen.

Navigieren Sie zu Firewall > Zeit-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Zeiteinstellungen für das System anzeigen und anpassen können.

Im Bearbeitungsfenster Zeiteinstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Zeitzone	Wählen Sie aus der Drop-down-Liste eine der vordefinierten Zeitzonen aus. Die Zeitzone ist standardmäßig auf (+01:00) Europa - Berlin gesetzt.
Aktuelle Zeit	Prüfen Sie das aktuelle Systemdatum (MM/TT/JJJJ) und Uhrzeit (hh:mm:ss) der LANCOM R&S®Unified Firewall.
Datum & Zeit	Optional: Klicken Sie auf das Eingabefeld, um Systemdatum oder Uhrzeit manuell neu einzustellen. Ein Pop-up-Fenster mit einem Kalender und Eingabefeldern zum Ändern von Datum und Uhrzeit öffnet sich. Sie können das Datum im Format MM/TT/JJJJ eingeben oder im Auswahlfenster ein Datum auswählen. Optional können Sie die Uhrzeit im Format hh:mm:ss eingeben.
	! Um die Zeit manuell einzustellen, muss NTP deaktiviert sein. Entfernen Sie hierzu den Haken im Kontrollkästchen NTP-Client. Andernfalls wird die Zeit automatisch zurückgesetzt, sobald das System die nächste NTP-Anfrage sendet.
NTP-Client	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um entfernte Netzwerkzeit-Protokollserver zu nutzen, um Datum und Uhrzeit für das System automatisch zu beziehen.
NTP-Server	Optional und nur verfügbar, wenn der Haken im Kontrollkästchen NTP-Client gesetzt wurde: Verwenden Sie entweder die vordefinierten NTP-Server oder fügen Sie eigene NTP-Server zur Liste hinzu.Die Standard-NTP-Server sind: de.pool.ntp.org und europe.pool.ntp.org.Sie können beliebig viele NTP-Server hinzufügen. Geben Sie im Eingabefeld die IP-Adresse oder den vollständig qualifizierten Domain-Namen eines NTP-Servers ein. Klicken Sie anschließend auf Hinzufügen, um den NTP-Server zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.!Wenn Sie einen NTP-Server bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderungen an den Einstellungen zum NTP zunächst mit diesem Haken bestätigen, bevor Sie sie speichern können.
	!Wenn mehr als ein NTP-Server konfiguriert ist, synchronisiert Ihre LANCOM R&S®Unified Firewall die Systemuhr automatisch mit dem Server, der das beste Zeitsignal übermittelt.
Als lokaler NTP-Server verwenden	Optional und nur verfügbar, wenn der Haken im Kontrollkästchen NTP-Client gesetzt wurde: Aktivieren Sie dieses Kontrollkästchen, wenn Sie die Systemuhrzeit Ihrer LANCOM R&S®Unified Firewall im internen Netzwerk zur Verfügung stellen wollen. Ihre LANCOM R&S®Unified Firewall agiert dann als interner, lokaler NTP-Server.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Update-Einstellungen

Im Bearbeitungsfenster Updates-Einstellungen können Sie Ihre LANCOM R&S® Unified Firewallimmer auf dem neuesten Stand halten. Neue Versionen der Betriebssysteme LCOS FX, Sicherheits-Updates und neue Funktionen können automatisch vom Update-Server heruntergeladen und schnell und einfach auf der Firewall installiert werden. Das Updatesystem verfügt über verschiedene Funktionen, die den Systemadministrator über neue Updates benachrichtigen. Außerdem können Sie den Verlauf importierter Updates anzeigen lassen.

Um die Installation unberechtigter oder bösartiger Updates auf der Firewall zu vermeiden, werden alle LCOS FX-Updates digital signiert. Nur Updates mit gültiger Signatur werden angezeigt und installiert.

Navigieren Sie zu Firewall > Updates-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem die Liste der verfügbaren Updates mit zusätzlichen Informationen und ihrem Status im Tab Updates angezeigt wird.

Im Eingabefeld Filter können Sie die Ergebnisse in der Tabelle darunter eingrenzen. Während Sie Ihre Suche in das Eingabefeld eintippen, zeigt Ihre LANCOM R&S® Unified Firewall nur diejenigen Einträge an, die die eingegebenen Zeichen im Namen, Typ oder in der Beschreibung enthalten. Klicken Sie auf ☑m Eingabefeld, um die Sucheingabe zu löschen und zur ungefilterten Listenansicht zurückzukehren.

Die Tabellenspalten der Updateliste enthalten die folgenden Informationen:

BeschreibungSpalte
	Zeigt den Namen des verfügbaren Updates an.Name
	Zeigt den Typ des Updates an.TypDas Updatesystem unterscheidet vier Typen von Updates:➢ Sicherheit – enthält Verbesserungen bezüglich der Sicherheit der Firewall.➢ Empfohlen – enthält sowohl Verbesserungen als auch Leistungs- und Stabilitätsoptimierungen.➢ Hotfix – enthält Verbesserungen einzelner Module der Firewall, aber auch neue Funktionen.➢ Upgrade – enthält ein Upgrade auf die nächste Softwareversion von LCOS FX.
	Zeigt ein Textfeld mit weiteren Informationen über das Update an.BeschreibungKlicken Sie das Textfeld an, um es zu erweitern und alle Informationen zum Update anzuzeigen.
Neustart	Gibt an, ob ein Neustart des Systems erforderlich ist, nachdem ein Update erfolgreich installiert wurde.Zeigt das Veröffentlichungsdatum des Updates an.Release-Datum
	Unterscheidet zwischen neuen Updates und Updates, die bereits installiert wurden.Status
	Ein Update kann nur einmal installiert werden.
Aktion / Abhängigkeiten	Wenn alle Abhängigkeiten erfüllt sind, ist die AktionInstalliereren erlaubt. Andernfalls wird eine Liste der Abhängigkeiten angezeigt. Um die Abhängigkeiten zu erfüllen, installieren Sie die aufgelisteten Updates.

Klicken Sie auf Liste der Updates aktualisieren, um die Liste der verfügbaren Updates mit den neusten Versionen manuell zu aktualisieren.

Mit den Einstellungen im Tab Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Automatisch nach Updates suchen	Setzen Sie den Haken in diesem Kontrollkästchen, um die Liste der verfügbaren Updates mit den neusten Versionen automatisch zu aktualisieren.
Intervall	Wählen Sie aus der Drop-down-Liste das gewünschte Aktualisierungsintervall für die Updateliste aus. Diese Option ist standardmäßig auf Täglich gesetzt. Mögliche Werte:StündlichTäglichwoechentlich
Update-Zeit	Geben Sie Datum und Uhrzeit der ersten automatischen Aktualisierung der Updateliste und des ersten automatischen Updates ein. Ein Pop-up-Fenster mit einem Kalender und Eingabefeldern zum Anpassen von Datum und Uhrzeit öffnet sich. Sie können das Datum im Format MM/TT/JJJ eingeben oder im Auswahlfenster ein Datum auswählen. Sie können außerdem die neue Uhrzeit im Format hh:mm:ss eingeben.Wenn Sie die unten beschriebene automatische Installation von Updates aktiviert haben, werden alle folgenden Updates zur hier angegebenen Uhrzeit ausgeführt.
Updates automatisch installieren	Wählen Sie die entsprechende Optionsschaltfläche aus, um festzulegen, welche Updates automatisch auf Ihrer LANCOM R&S® Unified Firewall installiert werden sollen. Diese Funktion beschränkt sich auf Sicherheitsupdates und empfohlene Hotfixes. Diese Option ist standardmäßig auf Keine gesetzt, Sie können die Einstellungen jedoch bei Bedarf auf einen der anderen Werte setzen.
	Der Standard-Updateserver ist:Update-Serverhttp://www.gateprotect.com/updateserverSie können beliebig viele Update-Server hinzufügen. Geben Sie im Eingabefeld die URL des Updateservers ein und klicken Sie dann aufHinzufügen. Der Server wird zur Liste hinzugefügt.Wenn die URL einen vollständig qualifizierten Domain-Namen (FQDN) enthält, müssen Sie die DNS-Einstellungen konfigurieren. Andernfalls kann der FQDN nicht aufgelöst werden.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.

BeschreibungEingabefeld

Wenn Sie einen Update-Server bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen zum Update-Server speichern können.

Im Tab Verlauf wird der Verlauf der LANCOM R&S ^® Unified Firewall-Updates angezeigt.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf die Schaltfläche Schließen, um das Fenster zu schließen und zur Übersicht Ihres gesamten konfigurierten Netzwerks zurückzukehren.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Informationen zur Installation von Systemupdates in einer Hochverfügbarkeit-Konfiguration finden Sie unter Update auf Seite 38.

Benutzerauthentifizierung

In den Einstellungen für die Benutzerauthentifizierung bestimmen Sie die Liste der Benutzer, die zur Verwendung Ihrer Netzwerkressourcen (z. B. Internetzugang und VPN-Tunnel) autorisiert werden können. Außerdem können Sie mit diesen Einstellungen lokale Benutzer einrichten und Ihre LANCOM R&S ^® Unified Firewall mit einem externen Verzeichnisdienst verbinden, aus dem einzelne Benutzer und Benutzergruppen abgerufen werden können. Damit legen Sie Firewall-Regeln nicht nur für Computer, sondern auch für einzelne Benutzer an.

Navigieren Sie zu Firewall > Benutzerauthentifizierung, um die Liste der derzeit im System angelegten Benutzer in der Objektleiste anzuzeigen.

In den folgenden Abschnitten finden Sie weiterführende Informationen zur Benutzerauthentifizierung.

Technischer Hintergrund und Vorbereitungen

Zweck der Benutzerauthentifizierung

Durch die Benutzerauthentifizierung können Benutzern Firewall-Regeln zugewiesen werden, wenn diese sich anmelden. Pro IP-Adresse darf nur ein Benutzer angemeldet sein. Wenn sich ein Benutzer von einer IP-Adresse aus anmeldet, die bereits für eine Sitzung verwendet wird, wird der zuvor angemeldete Benutzer ausgeloggt und der neue Benutzer angemeldet.

Einloggen auf der Firewall

LANCOM R&S ^® Unified Firewall betreibt einen gesonderten Webserver, der ausschließlich Benutzer-Logins verarbeitet. Dieser empfängt Benutzernamen und Passwort. Mithilfe einer Benutzerdatenbank, die lokal auf Ihrer LANCOM R&S ^® Unified Firewall erstellt wird, verifiziert ein Authentifizierungsdient zunächst, ob Benutzername und Passwort zulässig sind. Falls dieses Login fehlschlägt und ein Microsoft Active Directory Server oder ein openLDAP Server in der LANCOM R&S ^® Unified Firewall konfiguriert sind, ruft der Authentifizierungsdienst diese Directory-Server via Kerberos-Protokoll zusätzlich an, um zu überprüfen, ob der Benutzer authentifiziert werden kann. Ist die Authentifizierung erfolgt, werden die Firewall-Regeln dieses Benutzers den IP-Adressen zugewiesen, von denen die Anfrage geschickt wurde.

Benutzer, die in der lokalen Datenbank Ihrer LANCOM R&S® Unified Firewall registriert sind, können ihre Passwörter über den Webserver ändern. Das Passwort kann aus bis zu 248 Zeichen bestehen. Längere Passwörter werden akzeptiert, jedoch automatisch verkürzt.

Einige Computer, wie z. B. Terminalserver, an denen viele Benutzer gleichzeitig arbeiten, oder Server, auf denen sich nur Administratoren einloggen können, können von der Benutzerauthentifizierung ausgeschlossen werden. In diesem Fall akzeptieren Webserver und Authentifizierungsdienst keine Benutzeranmeldungen von den IP-Addressen dieser Computer.

Da alle Benutzer eines Terminalservers die gleiche IP-Adresse haben, kann Ihre LANCOM R&S ^® Unified Firewall in diesem Fall nicht die einzelnen Benutzer im Netzwerk identifizieren. Um dies zu umgehen, bietet Microsoft die sogenannte

Remotedesktop-IP-Virtualisierung für Server 2008 R2 und neuere Versionen an. Mit dieser Anwendung erhält jeder Benutzer seine eigene IP-Adresse aus einem Pool von IP-Adressen, ähnlich wie bei DHCP.

Authentifizierungsserver

Für kleine Unternehmen ohne zentrale Benutzerverwaltung bietet Ihre LANCOM R&S ^® Unified Firewall die Möglichkeit einer lokalen Benutzerverwaltung. Sie können jederzeit die lokale Benutzerdatenbank verwenden. Sie können allerdings auch einen externen Verzeichnisdienst wie etwa den Microsoft Active Directory-Server oder einen openDLAP-Server verwenden. Sowohl Microsoft Active Directory als auch openLDAP verwenden das Protokoll Kerberos für die Verifizierung aller Login-Daten, die von Benutzerauthentifizierungs-Clients bereitgestellt werden.

Active Directory-Gruppen

Wenn Sie einen Microsoft Active Directory-Server für die Authentifizierung verwenden, werden die Active Directory-Gruppen auch in der Objektleiste unter Benutzerauthentifizierung geführt. Active Directory-Gruppen sind eine effektive Möglichkeit, Sicherheitseinstellungen für einzelne Benutzer einzurichten und aufrechtzuerhalten. Beispielsweise können Sie Active Directory-Benutzer zu bestimmten Active Directory-Gruppen hinzufügen und mit Ihrer LANCOM R&S ^® Unified Firewall Firewall-Regeln für diese bestimmten Gruppen einrichten.

Einloggen

Es bestehen drei verschiedene Möglichkeiten, sich auf LANCOM R&S ^® Unified Firewalls einzuloggen:

Login über Web-Browser
Login über den LANCOM R&S® Unified Firewall Benutzerauthentifizierungs-Client
Login über den LANCOM R&S ^ Unified Firewall Single Sign-On-Client

Login über Web-Browser

Wenn Benutzer als Desktop-Objekte eingerichtet wurden und Firewall-Regeln für diese Benutzer konfiguriert wurden, können sie mithilfe der sogenannten Landingpage den Regeln entsprechend agieren. Das Einloggen über einen Webbrowser ist mit jedem Browser möglich und erfolgt SSL-verschlüsselt.

Gehen Sie wie folgt vor, um sich über einen Webbrowser auf Ihrer LANCOM R&S ^® Unified Firewall einzuloggen:

1. Starten Sie einen Webbrowser.
2. Stellen Sie sicher, dass Cookies aktiviert sind.
3. Geben Sie die IP-Adresse Ihrer LANCOM R&S ^® Unified Firewall, z. B. https://192.168.12.1 (Standardport 443), in die Adresszeile ein.

Eine spezielle Webseite mit der LANCOM R&S ^® Unified Firewall Landingpage erscheint.

ROHDE & SCHWARZ Cybersecurity R&S Unified Firewall protected network - LOGIN Bitte geben Sie Namen und Passwort an, um ihre Netzwerkrechte freizugeben Name Max Mustermann Password ************ Login

Abbildung 17: Benutzerauthentifizierung über einen Webbrowser

1. Geben Sie im Feld Name Ihren Benutzernamen ein.

3 Benutzeroberfläche

Wenn es sich um einen LDAP-Benutzer handelt, muss der Login-Name des Benutzers exakt mit dem Benutzernamen im sAMAccountName-Attribut des Benutzers übereinstimmen. Andernfalls entspricht der Name in den benutzerspezifischen Firewall-Regeln nicht dem Namen des sich am Client anmeldenden Benutzers und die Regeln stimmen nicht überein.

1. Geben Sie das Kennwort ein.

2. Klicken Sie auf Anmelden.

Die Authentifizierung wird ausgeführt.

Das Browserfenster, das zum Einloggen genutzt wurde, muss aus Sicherheitsgründen während der gesamten Sitzung geöffnet bleiben. Andernfalls wird der Benutzer nach einer Minute automatisch ausgeloggt. Dies verhindert, dass Unbefugte Zugriff auf die Firewall erlangen können, falls ein Benutzer sich aus Versehen nicht ausgeloggt hat.

Login über den LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client

Der auf Windows basierende LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client befindet sich im Verzeichnis UA Client auf dem USB-Flash-Laufwerk.

Gehen Sie wie folgt vor, um sich über den LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client auf Ihrer LANCOM R&S ^® Unified Firewall einzuloggen:

1. Installieren Sie den LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client.
2. Starten Sie den LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client.

Benutzerauthentifizierung ROHDE & SCHWARZ Cybersecurity Server Adresse: 172.19.9.6 Server Port: 443 Benutzername: Max Mustermann Password: ********** ✓ Password speichen Anteiden

Abbildung 18: LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client

1. Geben Sie unter Server-Adresse die IP-Adresse Ihrer LANCOM R&S ^® Unified Firewall ein.
2. Geben Sie im Feld Benutzername Ihren Benutzernamen ein.

Wenn es sich um einen LDAP-Benutzer handelt, muss der Login-Name des Benutzers exakt mit dem Benutzernamen im sAMAccountName-Attribut des Benutzers übereinstimmen. Andernfalls entspricht der Name in den benutzerspezifischen Firewall-Regeln nicht dem Namen des sich am Client anmeldenden Benutzers und die Regeln stimmen nicht überein.

1. Geben Sie das Kennwort ein.

2. Optional: Setzen Sie den Haken im Kontrollkästchen Passwort speichern, um das Passwort für zukünftige Logins zu speichern.

3. Optional: Passen Sie unter Einstellungen das Zeitfenster für die Neuverbindung an, indem Sie mit der rechten Maustaste auf das Symbol im Benachrichtigungsfeld der Windows-Taskleiste klicken.

Benutzsaufenthristikierung ROHDE & SCHWARZ Cybersecurity Server Adresse: 172.19.9.6 Server Port: 443 Benutznahme: Max Mustemann Password: ******** Password speichem Anneig Verstecken Einstellungen Sprache Über Rohde & Schwarz Cybersecurity ... Beenden DEU 10:38 AM 2/13/2019

Abbildung 19: LANCOM R&S® Unified Firewall Benutzerauthentifizierungs-Client-Einstellungen

1. Klicken Sie auf Anmelden.

Die Authentifizierung wird ausgeführt.

Aus Sicherheitsgründen wird empfohlen, den LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Client stets auf die neueste verfügbare Version zu aktualisieren. Es ist allerdings möglich, einen Kompatibilitätsmodus zu aktivieren, über den ältere Versionen des LANCOM R&S ^® Unified Firewall Benutzerauthentifizierungs-Clients ab Version 10 des LCOS FX arbeiten können. Weitere Informationen finden Sie unter Einstellungen Benutzerauthentifizierung auf Seite 54.

Login über den LANCOM R&S ^® Unified Firewall Single Sign-On-Client

Bei Verwendung von Single-Sign-On (SSO) loggen sich Active Directory-Domänenbenutzer auf einem Windows-Client ein. Die auf Ihrer LANCOM R&S ^® Unified Firewall konfigurierten Regeln, die diese Benutzer betreffen, werden dann automatisch angewandt.

Um SSO mit LANCOM R&S ^® Unified Firewall in einer Active Directory-Umgebung zu verwenden, müssen folgende Voraussetzungen erfüllt werden:

1. Da Kerberos zeitgebunden ist, stellen Sie sicher, dass für alle SSO-Komponenten (Domain Controller, Windows-Client und LANCOM R&S ^® Unified Firewall) die gleiche Uhrzeit und der gleiche NTP-Server eingestellt ist.

2. Erstellen des Benutzers gpLogin

Im Active Directory muss in der Benutzerverwaltung unter „CN=Users“ ein normaler Domänenbenutzer erstellt werden. Diesem Benutzer wird dann ein sogenannter Service Principal Name (SPN) zugewiesen, der für die Authentifizierung Ihrer LANCOM R&S® Unified Firewall beim Server notwendig ist. Der Benutzer benötigt keine besonderen Rechte.

3 Benutzeroberfläche

a. Öffnen Sie den Domain Controller.

Neues Objekt - Benutzer Entstellen in: qa.local/Users Vorname: gpLogin Instalen: Nachname: Volständiger Name: gpLogin Benutzeranreidename: gpLogin/suf @qa.local Benutzeranreidename (Pis-Windows 2000) QA\ gpLogin < Zürück Weiter > Abbrechen

Abbildung 20: Benutzer anlegen

b. Geben Sie unter Vorname gpLogin ein.

Mit diesem Namen ist es später einfacher, den Benutzer in der Benutzerübersicht zu finden.

c. Geben Sie unter Benutzeranmeldename gpLogin/ ein.

Im oberen Beispiel lautet der Hostname () Ihrer LANCOM R&S® Unified Firewall rsuf, folglich lautet der Login-Name des Benutzers gpLogin/rsuf.

d. Geben Sie unter Benutzeranmeldename (Prä-Windows 2000) gpLogin ein.

e. Klicken Sie auf Weiter.

f. Geben Sie ein Passwort für den Benutzer ein und bestätigen Sie es.

Neues Objekt - Benutzer Erstellen in: gp.loc/Users Kennwort: Kennwort bestätigen: Benutzer muss Kenwort bei der nachsten Anmeldung ändem Benutzer kann Kenwort nicht ändem Kennwort läuft nie ab Konto ist deaktiviert Abbrevchen

Abbildung 21: Benutzerpasswort eingeben

g. Setzen Sie den Haken im Kontrollkästchen Passwort läuft nie ab.

h. Klicken Sie auf Weiter.

i. Um die Details zum neuen Benutzer zu überprüfen, klicken Sie auf Beenden.

Der Benutzer gpLogin wird erstellt.

1. Login mit dem Benutzer gpLogin zur Abfrage des Active Directory.

Geben Sie im Eingabefeld Benutzername unter Authentifizierungs-Server gpLogin ein.

1. Konfigurieren des Service Principal Name (SPN).

Weisen Sie dem neu erstellten Benutzer einen SPN zu, sodass Ihre LANCOM R&S® Unified Firewall den Domain Controller als vertrauenswürdig erkennen kann. Führen Sie hierzu den folgenden Befehl im Domain Controller aus: setspn -A gpLogin/rsuf gpLogin

5. Erzeugen eines Kerberos-Schlüssels

Mithilfe des LANCOM R&S ^® Unified Firewall Single Sign-On-Client kann ein Benutzerlogin auf der Windows-Domäne an Ihre LANCOM R&S ^® Unified Firewall weitergeleitet werden. Mit dem Kerberos-Schlüssel kann Ihre LANCOM R&S ^® Unified Firewall die weitergeleiteten Informationen prüfen und die benutzerspezifischen Firewall-Regeln aktivieren. Gehen Sie wie folgt vor, um einen Kerberos-Schlüssel zu erzeugen:

a. Loggen Sie sich auf Ihrer LANCOM R&S ^® Unified Firewall ein.
b. Navigieren Sie zu Firewall > Benutzerauthentifizierung > Einstellungen.

Das Bearbeitungsfenster Benutzerauthentifizierungs-Einstellungen öffnet sich.

c. Aktivieren Sie die Benutzerauthentifizierungs-Einstellungen, indem Sie den Schiebeschalter auf I setzen.
d. Klicken Sie im Tab Kerberos auf die Schaltfläche Kerberos-Schlüssel erstellen, um den Kerberos-Schlüssel zu erzeugen.

Das Active Directory wird abgefragt, um den spezifizierten AD-Benutzer zu validieren und relevante Informationen wie beispielsweise die Versionsnummer des Kerberos-Schlüssels zu erhalten. Mit diesen Informationen kann Ihre LANCOM R&S ^® Unified Firewall lokal einen gültigen Kerberos-Schlüssel erzeugen.

6. Aktivieren von SSO auf Ihrer LANCOM R&S ^® Unified Firewall

Gehen Sie wie folgt vor, um SSO auf Ihrer LANCOM R&S ^® Unified Firewall zu aktivieren:

a. Setzen Sie den Haken im Kontrollkästchen Aktiv im Tab Kerberos.
b. Klicken Sie aufSpeichern, um Ihre Einstellungen zu speichern.

7. Vorbereiten des Windows-Clients.

Das ZIP-Archiv mit dem Windows Installer für den Single-Sign-On-Client finden Sie auf:

https://www.lancom-systems.de/downloads/

Es gibt drei Möglichkeiten, den LANCOM R&S ^® Unified Firewall Single-Sign-On-Client zu installieren:

Kopieren Sie die eigenständige Anwendung UAClientSSO.exe an den gewünschten Zielort.
Führen Sie das Setupprogramm UAClientSSOSetup.exe aus und installieren Sie die eigenständige Anwendung UAClientSSO.exe im folgenden Pfad:

C:\Program Files\R&S Cybersecurity\UA Client\3.0\

Installieren Sie den Client über die Domain und verwenden Sie dabei den Microsoft-Installer UAClientSSO.msi in einem Gruppenrichtlinienobjekt.

In allen Fällen wird die eigenständige Anwendung UAClientSSO.exe auf dem Windows-PC installiert. Sie kann daraufhin ausgeführt werden, wenn die folgenden Parameter gegeben sind:

Hostname der LANCOM R&S ^ Unified Firewall (weitere Informationen finden Sie unter Einstellungen Benutzerauthentifizierung auf Seite 54).
IP-Adresse der LANCOM R&S ^® Unified Firewall im Netzwerk des Client-Computers.

Beispiel: Der Hostname Iher LANCOM R&S ^® Unified Firewall ist rsuf. Die IP-Adresse im Netzwerk des Client-Computers ist 192.168.0.1. Der Zielpfad für die Installation des LANCOM R&S ^® Unified Firewall Single-Sign-On-Clients ist demnach:

C:\Program Files\R&S Cybersecurity\UA Client\3.0\UAClientSSO.exersuf 192.168.0.1.

Einstellungen Benutzerauthentifizierung

Mit den Benutzerauthentifizierungs-Einstellungen können Sie die Benutzerauthentifizierung generell aktivieren oder deaktivieren. Außerdem können Sie die Verbindungsparameter für den Verzeichnisserver angeben, der zur Verwaltung der LDAP-Benutzer in Ihrem Netzwerk genutzt wird.

Navigieren Sie zu Firewall > Benutzerauthentifizierung > Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die generellen Einstellungen für die Benutzerauthentifizierung und den Verzeichnisdienst erstellen können.

Im Bearbeitungsfenster Benutzerauthentifizierungs-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob die Benutzer-Authentifizierung derzeit aktiv (1) oder inaktiv (0) ist. Indem Sie auf den Schiebeschalter klicken, können Sie den Status der Benutzerauthentifizierung ändern. Die Benutzerauthentifizierung ist standardmäßig deaktiviert.

Im Tab Allgemein :

BeschreibungEingabefeld
Anmeldungen protokollieren	Aktivieren Sie dieses Kontrollkästchen, wenn Sie alle Logins an der LANCOM R&S®Unified Firewall protokollieren wollen. UnterMonitoring & Statistiken > Protokolle > Systemprotokoll können Sie alle Anmeldeereignisse einsehen.
	Wählen Sie eine der folgenden vier Optionen aus:Anmelde-Modus>Einfache Anmeldung (weitere Anmeldung verhindern) – Kein Benutzer kann aus mehr als einer IP-Adresse gleichzeitig angemeldet sein.Einfache Anmeldung (vorherige Anmeldung trennen) – Alle früheren Anmeldungen werden abgemeldet,wenn der Benutzer sich von einer anderen IP-Adresse anmeldet.Mehrfache Anmeldung – Benutzer können sich von bis zu 254 verschiedenen IP-Adressen gleichzeitig anmelden.Mehrfache Anmeldung (mit Warnung im Bericht) – Benutzer können sich von bis zu 254 verschiedenen IP-Adressen gleichzeitig anmelden und Warnmeldungen werden im Bericht ausgegeben.
Web-Login-Port	Legen Sie den HTTPS-Port für die Webanmeldung fest, indem Sie über Pfeil nach oben / nach unten navigieren oder Sie die Portnummer eingeben. Die Standardeinstellung ist Port 443.
Kompatibilitäts-Modus	Aktivieren Sie dieses Kontrollkästchen, wenn Sie für die Anmeldung bei der LANCOM R&S®Unified Firewall Benutzerauthentifizierung-Clients verwenden, die älter sind als Version 3.0.0.
	!Indem Sie dieses Kontrollkästchen aktivieren, bringen Sie ihre Netzwerksicherheit in Gefahr. Weitere Informationen finden Sie unterBenutzerauthentifizierung auf Seite 48.
Landing Page anzeigen	Optional: Aktivieren Sie dieses Kontrollkästchen, um eine Landingpage anzuzeigen, wenn ein unberechtigter Benutzer versucht, auf das Internet zuzugreifen.

Für jede IP-Adresse wird eine einzige Benutzeranmeldung unterstützt, auch wenn der Modus Mehrfache Anmeldung aktiviert ist.

Im Tab Authentifizierungs-Server können Sie angeben, welchen Datenbanktyp Sie benutzen wollen. Sie können die lokale Benutzer-Datenbank in der LANCOM R&S ^® Unified Firewall unabhängig benutzen, oder zusätzlich zum Microsoft-Active Directory Server oder zum openLDAP-Server mit Kerberos als externe Benutzer-Datenbank.

Wenn Sie Microsoft Active Directory Server auswählen, können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie den Hostnamen oder die IP-Adresse des Directory-Servers ein.Host
	!Wenn Sie den Hostnamen des Directory-Servers eingeben, müssen Sie die DNS-Einstellungen konfigurieren. Andernfalls kann der Name nicht aufgelöst werden.
Port	Geben Sie die Port-Nummer des Directory-Servers ein, die für die Kommunikation genutzt werden soll. Sie können die Port-Nummer auch über Pfeil nach oben / nach unten auswählen.
Benutzername	Geben Sie den Namen eines leseberechtigten Benutzers ein, um die Liste der Domänenbenutzer aus dem Active Directory abzurufen. Dieses Eingabefeld muss mit dem Benutzerattribut sAMAccountName übereinstimmen. Der Benutzer muss in „CN=Users“ eingeordnet sein. Weitere Informationen finden Sie unterLogin über den LANCOM R&S®Unified Firewall Single Sign-On-Client auf Seite 51.
	Geben Sie das Passwort des leseberechtigten Benutzers ein.Kennwort
	iEs ist empfohlen, einen dedizierten Benutzer für diesen Zweck zu erstellen.
	Geben Sie den Domänennamen des Active Directorys ein.Domainname

Um die konfigurierten Einstellungen für Microsoft Active Directory Server zu prüfen, klicken Sie auf AD-Einstellungen testen.

Wenn Sie OpenLDAP Server auswählen, können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie den Hostnamen oder die IP-Adresse des Directory-Servers einServer-Adresse
	⚠️Wenn Sie den Hostnamen des Directory-Servers eingeben, müssen Sie die DNS-Einstellungen konfigurieren. Andernfalls kann der Name nicht aufgelöst werden.
Port	Geben Sie die Port-Nummer des Directory-Servers ein, die für die Kommunikation genutzt werden soll. Sie können die Port-Nummer auch über Pfeil nach oben / nach unten auswählen.
	Geben Sie den Benutzerdomänennamen eines leseberechtigten Kontos ein.User-DN
	ⓘEs ist nicht erforderlich, den kompletten Benutzerdomänennamen einzugeben.Wenn Sie aufSpeichernklicken, fügt das System die Domain Components vomBase-DN-Eintrag automatisch hinzu.
	Geben Sie das Passwort des leseberechtigten Benutzers ein.Kennwort
Base-DN	Geben Sie einen eindeutigen Namen (Base-DN) als Abfolge von Relative Distinguished Names (RDN, Relative Eindeutige Namen) und verbunden durch Kommas ein, zum Beispiel drei Domain Components: dc=ldap, dc=example, dc=com, um den Ort im Verzeichnis festzulegen, von dem aus die Verzeichnissuche starten soll.
User-Query	Optional: Geben Sie den Filter an, der verwendet werden soll, um die Liste der Benutzer abzurufen.
User-ID	Optional: Legen Sie die Attribute fest, von denen aus das Benutzer-Identifizierungszeichen abgerufen wird. Der im Webclient angezeigte Benutzername kommt aus diesem Attribut des LDAP-Benutzers. Das Benutzer-Identifizierungszeichen wird standardmäßig aus dem Attribut sAMAccountName abgerufen.

3 Benutzeroberfläche

BeschreibungEingabefeld
	Optional: Legen Sie das Attribut fest, aus dem der Benutzername abgerufen wird.User-Name
	Optional: Legen Sie das Attribut fest, aus dem die Benutzergruppe abgerufen wird.User-Gruppe
User-Primary-Group	Optional: Legen Sie das Attribut fest, aus dem die primäre Benutzergruppe abgerufen wird.
Mail-Query	Optional: Geben Sie den Filter an, der verwendet werden soll, um die E-Mail-Liste abzurufen.
	Optional: Legen Sie das Attribut fest, aus dem der E-Mail-Name abgerufen wird.Mail-Name
Group-Query	Optional: Geben Sie den Filter an, der verwendet werden soll, um die Liste der Gruppen abzurufen.
	Optional: Legen Sie das Attribut fest, aus dem der E-Mail-Name abgerufen wird.Group-Name
Group-ID	Optional: Legen Sie das Attribut fest, aus dem das Gruppen-Identifizierungszeichen abgerufen wird.
Group-Primary-ID	Optional: Legen Sie das Attribut fest, aus dem das primäre Gruppen-Identifizierungszeichen abgerufen wird.
Group-Parent	Optional: Legen Sie das Attribut fest, aus dem die übergeordnete Gruppe abgerufen wird.

Wenn Sie auf Speichern klicken, ergänzt das System mit standardmäßigen Werten alle optionalen Felder, in denen Sie nichts angegeben haben.

Wenn Sie bei Single-Sign-On Kerberos verwenden möchten, muss der Benutzername gpLogin sein. Der Hostname und die Domain Ihrer Firewall wird aus den allgemeinen Einstellungen entnommen. Siehe Allgemeine Einstellungen auf Seite 29. Weitere Informationen finden Sie unter Einloggen auf Seite 49.

Im Tab Kerberos :

BeschreibungEingabefeld
	Wählen Sie dieses Kontrollkästchen, um den Kerberos-Dienst zu aktivieren.Aktiv
Kerberos-Schlüssel	Zeigt den Dienstnamen, den Hostnamen und den Domänennamen bezüglich des userPrincipalName des zuletzt erzeugten Kerberos-Schlüssels an, auch Keytab genannt. Weitere Informationen finden Sie unterEinloggenauf Seite 49.

Benutzer

Wie Computer können auch Benutzer und LDAP-Gruppen auf dem Desktop als einzelne Benutzer oder Benutzergruppen eingerichtet werden.

Für diese Desktop-Objekte können Sie dann Regeln bestimmen, die den Benutzern zugewiesen werden, sobald sie sich einloggen. Wenn ein Benutzer sich von einem Computer aus einloggt, dem bestimmte Regeln zugewiesen sind, werden dem Benutzer die Regeln dieses Computers zusammen mit seinen benutzerspezifischen Regeln zugewiesen. Sie können Benutzer und LDAP-Gruppen aus der lokalen Benutzerdatenbank Ihrer LANCOM R&S® Unified Firewall und aus dem openLDAP- oder Active Directory-Authentifizierungsserver auswählen und sie den Benutzergruppen auf dem Desktop hinzufügen. Es gibt auch eine spezielle Standard-Benutzergruppe, die auf dem Desktop ausgewählt werden kann. Zu dieser Benutzergruppe kann kein Benutzer hinzugefügt werden. Sie besteht aus allen Benutzern, die sich einloggen können, jedoch noch nicht als einzelne Benutzer oder Mitglieder einer anderen Benutzergruppe auf dem Desktop eingerichtet wurden. Wenn eine Standard-Benutzergruppe auf dem Desktop eingerichtet ist, der Sie Regeln zugewiesen haben, werden Benutzer, die nachträglich auf dem Active-Directory-Server erstellt werden, automatisch zu dieser Standard-Benutzergruppe hinzugefügt. Nach dem Login werden diesen neuen Benutzern die Standard-Regeln ohne weiteren Verwaltungsaufwand automatisch zugewiesen.

LDAP-Gruppen

Es ist möglich, Ihre LANCOM R&S ^® Unified Firewall über das Lightweight Directory Access Protocol (LDAP) mit einem externen Verzeichnisserver zu verbinden, um Benutzergruppen abzurufen. Sie können diese Benutzergruppen in gruppenspezifische Firewall-Regeln einbinden.

Außerdem können Sie LDAP verwenden, um auf Verzeichnisdienste zuzugreifen und um Benutzerdaten zu verwalten.

Verbinden Sie sich wie unter Einstellungen Benutzerauthentifizierung auf Seite 54 beschrieben mit einem Verzeichnisserver.

Navigieren Sie zu Firewall > Benutzerauthentifizierung > LDAP-Gruppen, um die Liste der derzeit im Verzeichnisserver angelegten LDAP-Gruppen in der Objektleiste anzuzeigen.

Um die hier aufgelisteten LDAP-Gruppen für Verbindungen und gruppenspezifische Firewall-Regeln zur Verfügung stellen zu können, müssen die Gruppen einem Benutzergruppen-Desktopobjekt zugewiesen werden. Weitere Informationen finden Sie unter Benutzergruppen auf Seite 100.

LDAP-Benutzer

Es ist möglich, Ihre LANCOM R&S ^® Unified Firewall über das Lightweight Directory Access Protocol (LDAP) mit einem externen Verzeichnisserver zu verbinden, um von dort Benutzer abzurufen. Diese Benutzer können dann in benutzerspezifische Firewall-Regeln eingebunden werden.

Außerdem können Sie LDAP verwenden, um auf Verzeichnisdienste zuzugreifen und um Benutzerdaten zu verwalten.

Verbinden Sie sich wie unter Einstellungen Benutzerauthentifizierung auf Seite 54 beschrieben mit einem Verzeichnisserver.

Navigieren Sie zu Firewall > Benutzerauthentifizierung > LDAP-Benutzer, um die Liste der derzeit im Verzeichnisserver angelegten LDAP-Benutzer in der Objektleiste anzuzeigen.

Um die hier aufgelisteten LDAP-Benutzer für Verbindungen und gruppenspezifische Firewall-Regeln zur Verfügung stellen zu können, müssen die Gruppen einem Benutzer-Desktopobjekt zugewiesen werden. Weitere Informationen finden Sie unter Benutzergruppen auf Seite 100.

Lokale Benutzer

Ihre LANCOM R&S ^® Unified Firewall bietet eine lokale Benutzeradministration für kleinere Unternehmen ohne zentrale Administration. Nutzen Sie die Einstellungen unter Lokale Benutzer, um Benutzernamen und Passwörter anzugeben. Auf diese Weise können Sie Benutzer verwalten und definieren.

Navigieren Sie zu Firewall > Benutzerauthentifizierung > Lokale Benutzer, um die Liste der derzeit im System angelegten lokalen Benutzer in der Objektleiste anzuzeigen.

In der erweiterten Ansicht werden in den Tabellenspalten der Name des lokalen Benutzers und zusätzlich eine Beschreibung angezeigt, sofern diese eingegeben wurde. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen eines lokalen Benutzers einsehen und anpassen, einen neuen Benutzer ausgehend von einer Kopie des vorhandenen lokalen Benutzers anlegen, oder einen Benutzer aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Unter Firewall > Benutzerauthentifizierung > Lokale Benutzer können Sie einen neuen Administrator hinzufügen oder einen vorhandenen lokalen Benutzer bearbeiten.

Im Bearbeitungsfenster Lokale Benutzer-Authentifizierung können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Benutzername	Geben Sie einen eindeutigen Namen für den lokalen Benutzer ein. Dieser Name dient als Anmeldename.
	⚠ Der Anmeldename des Benutzers muss exakt mit demBenutzernameübereinstimmen (Groß- und Kleinschreibung ist zu beachten). Andernfalls entspricht der Name in den benutzerspezifischen Firewall-Regeln nicht dem Namen des sich am Client anmeldenden Benutzers und dieRegeln stimmen nicht überein.
Beschreibung	Optional: Die hier erfolgten Angaben dienen nur der internen Nutzung durch den Administrator.
Kennwort	Geben Sie ein Passwort für den Benutzer ein und bestätigen Sie es. Das Passwort muss aus mindestens sechs Zeichen bestehen.
Zeige Passwort	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort zu verifizieren.
Kennwort-Änderung erforderlich nach nächster Anmeldung	Optional: Wenn Sie den Haken in diesem Kontrollkästchen setzen, muss der Benutzer sein Passwort nach der nächsten Anmeldung ändern. Hierzu leitet der Webserver den Benutzer von der Anmeldeseite auf eine Seite weiter, auf der das Passwort geändert werden kann.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen lokalen Benutzer hinzufügen oder einen bestehenden Benutzer bearbeiten. Klicken Sie für einen neu konfigurierten lokalen Benutzer auf Erstellen, um den neuen Benutzer zur Liste der verfügbaren lokalen Benutzer hinzuzufügen, oder auf Abbrechen, um die Erstellung zu verwerfen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern), oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Die hier definierten lokalen Benutzer stehen zur Verwendung in Desktopobjekten wie beispielsweise VPN-Benutzern zur Verfügung.

Nicht zugewiesene Benutzer

Navigieren Sie zu Firewall > Benutzerauthentifizierung > Nicht zugewiesen, um LDAP-Benutzer anzuzeigen, die Benutzerobjekten auf dem Desktop zugewiesen sind, aber nicht mehr im Verzeichnisdienst aufgerufen werden können.

Anwendungsbeispiele

In einer Windows-Domain

Wenn Sie über eine Windows-Domain verfügen, können Sie die Benutzerauthentifizierung mit dem Windows Domain Controller verbinden.

Gehen Sie wie folgt vor, um die Benutzerauthentifizierung mit dem Windows Domain Controller zu verbinden:

1. Navigieren Sie zu Firewall > Benutzerauthentifizierung > Einstellungen.
2. Klicken Sie auf Authentifizierungs-Server.
3. Geben Sie die Daten ihres Domain-Controllers ein.

Alle Benutzer in der angegebenen Domain werden in der Benutzerliste angezeigt.

1. Ziehen Sie die Benutzersymbole in das Konfigurationsdesktop und weisen Sie ihnen Regeln zu.

Um sich einzuloggen, müssen Benutzer die URL mit https://und der IP-Adresse der Firewall in der Adressleiste ihres Browsers eingeben. Eine Loginseite erscheint. Nach erfolgreichem Login werden den angegebenen IP-Adressen die Firewall-Regeln des Benutzers zugewiesen. Wenn das Browserfenster geschlossen wird, läuft der Sitzungscookie ab und die Regeln sind nicht mehr gültig.

Den Terminalserver von der Benutzerauthentifizierung ausschließen

Wenn Sie einen Terminalserver verwenden, sollten Sie diesen von der Benutzerauthentifizierung ausschließen. Andernfalls werden alle bisherigen Benutzer ausgeloggt, wenn sich ein neuer Benutzer einloggt.

Gehen Sie wie folgt vor, um den Terminalserver von der Benutzerauthentifizierung auszuschließen.

1. Klicken Sie auf das Hostgruppen-Symbol in der Symbolleiste im oberen Bereich des Desktops.

2. Entfernen Sie den Haken im Kontrollkästchen in der Spalte Login erlaubt.

Terminalserver Host-/Netzwerk-Gruppe Neu - Änderungen bleiben erhalten bis zum Abbreven des Dialogs oder Abmelden. Name Terminalserver Beschreibung Tags Farbe Hosts/Netzwerke Name Login erlaubt Interface Host-/Netzwerk-IP any + Terminalserver 1 eth1 192.168.5.22 Terminalserver 2 eth1 192.168.5.23 Terminalserver 3 eth1 192.168.5.24 Abbrechen Erstellen

Abbildung 22: Objekteinstellungen – Terminalserver

Falls Ihre Benutzer eine Authentifizierung im Terminalserver benötigen, können Sie Remote-desktop-IP-Virtualisierung im Terminalserver aktivieren. Hierdurch wird allen Benutzern während einer Sitzung eine eigene IP-Adresse zugewiesen.

3.4.2 Monitoring & Statistiken

Die Monitoring & Statistics Einstellungen zeigen detaillierte Informationen zum Datenverkehr an, der durch Ihre LANCOM R&S® Unified Firewall fließt. Mit den Einstellungen können Sie Remote-SNMP- und Syslog-Server konfigurieren, um von verschiedenen Meldungsquellen erzeugte Ereignisprotokoll-Meldungen weiterzuleiten. Außerdem können Sie konfigurieren, wie mit verschiedenen von Ihrer LANCOM R&S® Unified Firewall erkannten Ereignistypen umgegangen werden soll und für welche davon Statistiken geführt werden sollen.

Einstellungen zu Statistiken

Navigieren Sie zu Monitoring & Statistiken > Einstellungen, um die Statistiken anzupassen.
Außerdem können Sie konfigurieren, wie mit verschiedenen von Ihrer LANCOM R&S ^® Unified Firewall erkannten Ereignistypen umgegangen werden soll und für welche davon Statistiken geführt werden sollen. Wählen Sie aus den Drop-down-Listen für jeden Ereignistyp eine der folgenden Optionen aus:

BeschreibungModus
	Für diesen Ereignistyp werden keine Daten erhoben.Deaktiviert
	Daten über Ereignisse werden erhoben, um Statistiken zu führenStatistiken führen
Rohdaten an externe Syslog-Server weitergeben	Daten über Ereignisse werden für die Erstellung von Statistiken erhoben und an einen konfigurierten externen Syslog-Server weitergegeben.
Rohdaten lokal speichern	Daten über Ereignisse werden für die Erstellung von Statistiken erhoben, an einen konfigurierten externen Syslog-Server weitergegeben und auf dem Gerät gespeichert.
	Dieser Modus kann dazu führen, dass die Speicherkapazität des Geräts schnell erreicht wird.

Bewegen Sie die Maus über das Icon lieben der Bezeichnung eines Ereignistyps, um eine Erklärung dazu anzuzeigen, in welchen Graph ein bestimmtes Ereignis fließt. Mit der Drop-down-Liste Alle Ereignis-Typen können Sie alle Ereignistypen auf einmal auf den gleichen Modus setzen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Benachrichtigungs-Einstellungen

Über das Benachrichtigungs-System können Sie entweder sofort oder regelmäßig in aggregierter Form per E-Mail Nachrichten über bestimmte Benachrichtigungstypen erhalten. Voraussetzung hierfür ist eine aktive E-Mail-Funktion, in der zumindest ein Absender eingestellt ist. Zur Absicherung sind die optionalen Einstellungen Remote-Zertifikat verifizieren für die Sicherstellung der korrekten Gegenstelle für den E-Mail-Empfang und S/MIME-Zertifikat zur Verschlüsselung der ausgehenden Mail. Näheres hierzu unter E-Mail-Einstellungen auf Seite 33

Navigieren Sie zu Monitoring & Statistiken > Benachrichtigungs-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die folgenden Elemente konfigurieren können:

Tabelle 1: Allgemein

	BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob die Benachrichtigungs-Einstellungen derzeit aktiv (I), oder inaktiv (0) sind. Mit einem Klick auf den Schiebeschalter können Sie den Status ändern.
Benachrichtigungssprache	Stellen Sie die in den Benachrichtigungsmails verwendete Sprache ein. Beim ersten Öffnen des Dialogs wird die für den Webclient eingestellte Sprache verwendet.
	Legen Sie den Betreff der Benachrichtigungsmail fest.Betreff-Vorlage
Empfänger	Liste an Empfänger-Adressen, an die alle Benachrichtigungen verschickt werden. Klicken Sie rechts auf ⊕um Ihren Eintrag zur Liste hinzuzufügen.

Im Bereich Aggregierte Benachrichtigungen können Sie die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
Aggregations-Intervall	Die aufgezeichneten Ereignisse werden gesammelt und in einem festgelegten Intervall zusammengefasst als Mail verschickt. Geben Sie hier die Zeitdauer in Minuten an, in der die Ereignisse gesammelt werden, bevor sie als eine Nachricht verschickt werden.
Max. Anzahl Benachrichtigungen pro Mail	Hier legen Sie fest, wie viele Ereignisse in einer Mail zusammengefasst werden. Dies bestimmt somit, wie viele Mails nach Ablauf eines Aggregations-Intervalls auf einmal verschickt werden. Gleichzeitig wird dadurch die maximale Größe der E-Mail begrenzt.
	Beachten Sie ggfs. vorhandene Spam-Richtlinien des Empfängers.

Im Bereich Sofort-Benachrichtigungen können Sie die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
Max. Anzahl Mails pro Stunde	Wenn ein Ereignis auftritt, für das als Benachrichtigungstyp Sofort eingestellt wurde, dann wird sofort eine Mail an die Empfänger verschickt. Abhängig von den Einstellungen im Benachrichtigungstypen-Bereich und den auftretenden Ereignissen könnten viele Mails in kurzer Zeit verschickt werden, die dazu führen, dass diese Mails wegen Nicht-Einhaltung von Richtlinien der Provider auf Empfängerseite blockiert werden. Um dieses zu vermeiden, können Sie hier die maximale Anzahl der verschickten Sofort-Benachrichtigungen pro Stunde begrenzen.
	Alle Sofort-Benachrichtigungen werden auch in der nächsten aggregierten E-Mail verschickt.

Im Bereich Benachrichtigungstypen können Sie die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
Filtern	Die angezeigten Benachrichtigungsfelder können nach Name und gesetztem Wert gefiltert werden.
Für alle ausgewählten Benachrichtigungen setzen	Alle momentan angezeigten Felder für Benachrichtigungen werden auf den hier eingestellen Wert gesetzt. Um z.B. alle Felder für IPsec auf den Sofort einzustellen, geben Sie bei Filtern „ipsec“ ein und können dann hier alle IPsec betreffenden Benachrichtigungsfelder auf Sofort einstellen.
	Benachrichtigung, wenn das System erwartet neu gestartet wird.Erwarteter System-Neustart
System-Neustart	Benachrichtigung, wenn das System unerwartet neu gestartet wird.Unerwarteter
HA-Rollenwechsel	Benachrichtigung, wenn ein Rollenwechsel in der Hochverfügbarkeit durchgeführt wird.
	Benachrichtigung, wenn eine Internet-Verbindung getrennt wird.Internet-Verbindung offline
Backup-Internet-Verbindung aktiviert	Benachrichtigung, wenn die Standard-Internet-Verbindung durch die Backup-Verbindung ersetzt wird.
	Benachrichtigung, wenn eine Verbindung zum Internet hergestellt wird.Internet-Verbindung online
Standard-Internet-Verbindung reaktiviert	Benachrichtigung, wenn wieder die Standard-Internet-Verbindung genutzt wird.
IPsec Site-to-Site-Verbindung online	Benachrichtigung, wenn eine IPsec Site-to-Site-Verbindung hergestellt wird.
IPsec Site-to-Site-Verbindung offline	Benachrichtigung, wenn eine IPsec Site-to-Site-Verbindung getrennt wird.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Connection Tracking

Im Bearbeitungsfenster Connection Tracking können Sie das In-Kernel Connection Tracking System einsehen und bearbeiten, um eine Liste aller auf Ihrer LANCOM R&S ^® Unified Firewall aktiven Verbindungen anzuzeigen.

Navigieren Sie zu Monitoring & Statistiken > Connection Tracking, um ein Bearbeitungsfenster zu öffnen, in dem eine Liste aller im System verfolgten Verbindungen angezeigt wird.

Mithilfe von Filteroptionen können Sie die Ergebnisse in der unteren Tabelle eingrenzen. Wählen Sie zunächst eine Option aus der Drop-down-Liste aus oder tippen Sie in das Eingabefeld. Klicken Sie dann auf Neu laden, um nur diejenigen Einträge anzuzeigen, die die eingegebene Option oder die eingegebenen Zeichen enthalten. Klicken Sie auf ✕n der Drop-down-Liste oder ☑m Eingabefeld, um die ausgewählte Option oder die Sucheingabe zu löschen oder klicken Sie auf Filter zurücksetzen, um alle Eingaben zu löschen und zur ungefilterten Listenansicht zurückzukehren.

Die Filteroptionen sind AND-verbunden.

Die Tabellenspalten der Liste der derzeit aktiven Verbindungen enthalten die folgenden Informationen:

	BeschreibungSpalte
	Zeigt die Folgenummer der Tabellenzeile an.#
Protokoll	Zeigt den IP-Protokolltypen an, der für die Verbindung genutzt wird. Der Typ kann entweder TCP oder UDP sein.
TTL	Zeigt die Lebensdauer des Conntrack-Eintrags in Sekunden. Sobald dieser Zeitraum abgelaufen ist, wird der Eintrag verworfen.
TCP-Status	Zeigt den aktuellen Status der TCP-Verbindung an. Der TCP-Status kann einer der Folgenden sein:
BeschreibungSpalte
	> SYN_SENT> SYN_RECV> ESTABLISHED> FIN_WAIT> CLOSE_WAIT> LAST_ACK> TIME_WAIT> CLOSE> LISTEN
	Zeigt die Quell-IP-Adresse und den Quell-Port der Verbindungsanfrage an.Quelle
	Zeigt die Ziel-IP-Adresse und den Ziel-Port der Verbindungsanfrage an.Ziel
Pakete	Zeigt die Anzahl der Pakete an, die in die Ursprungsrichtung der angegebenen Verbindung gesendet wurden. Ursprungsrichtung bedeutet hier von der Quelle zum Ziel.
Bytes	Zeigt an die Anzahl der Bytes an, die in die Ursprungsrichtung der angegebenen Verbindung gesendet wurden. Ursprungsrichtung bedeutet hier von der Quelle zum Ziel.
Status	Zeigt den Status der Verbindung in der Ursprungsrichtung an. Ursprungsrichtung bedeutet hier von der Quelle zum Ziel. Der Status kann einer der folgenden sein: > ASSURED> ESTABLISHED – Die Verbindung wurde hergestellt.> EXPECTED – Es handelt sich um eine erwartete Verbindung. Dies bedeutet, dass noch keine übereinstimmenden Pakete empfangen wurden, die Firewall solche Pakete aber in Kürze erwartet.> FIXED_TIMEOUT> INVALID – Die Verbindung verhält sich nicht entsprechend dem erwarteten Verhalten einer Verbindung und wird daher als ungültig betrachtet.> NEW – Die Verbindung startet gerade.> RELATED – Die Verbindung wurde bereits erwartet.> SEEN_REPLY – Das erste Antwortpaket vom Ziel wurde empfangen, der Handshake wurde jedoch noch nicht abgeschlossen.> UNREPLIED – Ein erstes Paket von der Quelle wurde empfangen, aber noch nicht beantwortet.> UNSET> UNTRACKED – Die Verbindung wird nicht verfolgt.
Status (Antwort)	Zeigt den Status der Verbindung in Antwortrichtung. Antwortrichtung bedeutet hier vom Ziel zur Quelle. Der Status kann einer der folgenden sein: > ASSURED> ESTABLISHED – Die Verbindung wurde hergestellt.> EXPECTED – Es handelt sich um eine erwartete Verbindung. Dies bedeutet, dass noch keine übereinstimmenden Pakete empfangen wurden, die Firewall solche Pakete aber in Kürze erwartet.> FIXED_TIMEOUT> INVALID – Die Verbindung verhält sich nicht entsprechend dem erwarteten Verhalten einer Verbindung und wird daher als ungültig betrachtet.> NEW – Die Verbindung startet gerade.> RELATED – Die Verbindung wurde bereits erwartet.> SEEN_REPLY – Das erste Antwortpaket von der Quelle wurde empfangen, der Handshake wurde jedoch noch nicht abgeschlossen.> UNREPLIED – Ein erstes Paket von der Quelle wurde empfangen, aber noch nicht beantwortet.> UNSET> UNTRACKED – Die Verbindung wird nicht verfolgt.
Quelle (Antwort)	Zeigt die Quell-IP-Adresse und den für die Antwortpakete erwarteten Port an (üblicherweise identisch mit dem unter Ziel).
Ziel (Antwort)	Zeigt die Ziel-IP-Adresse und den für die Antwortpakete erwarteten Port an (üblicherweise identisch mit dem unter Quelle).
Pakete (Antwort)	Zeigt die Anzahl der Pakete an, die in die Antwortrichtung der angegebenen Verbindung gesendet wurden. Antwortrichtung bedeutet hier vom Ziel zur Quelle.
Bytes (Antwort)	Zeigt die Anzahl der Bytes an, die in die Antwortrichtung der angegebenen Verbindung gesendet wurden. Antwortrichtung bedeutet hier vom Ziel zur Quelle.
Markieren	Zeigt das Zeichen der Verbindung an. Das Zeichen wird durch Ihre LANCOM R&S®Unified Firewall gesetzt.
Verwendet	Zeigt das Conntrack- Use -Feld an.

Klicken Sie auf Neu laden, um die Liste der Verbindungen in der Tabelle neu zu laden.

Mit der Schaltfläche Schließen unten im Bearbeitungsfenster können Sie das Fenster schließen und zur kompletten Übersicht Ihres gesamten konfigurierten Netzwerks zurückkehren.

Protokolle

Ihre LANCOM R&S ^® Unified Firewall bewahrt Aufzeichnungen über Systemereignisse, Statusinformationen, Fehler und andere Kommunikation in einer Protokolldatenbank auf. Navigieren Sie zu Monitoring & Statistiken > Protokolle, um die Ereignisprotokolle einzusehen. Die Fenster zeigen die Inhalte jedes Ereignisprotokolls an. Falls ein Problem auftritt, können Sie in diesen Protokollen ggf. technische Details zur Ursache des Problems finden.

Die Ereignisprotokolle werden automatisch aktualisiert, um die neusten Einträge anzuzeigen. Sie können die automatische Aktualisierung deaktivieren, um den Schwerpunkt auf ältere Einträge zu legen, indem Sie auf den Schiebeschalter AUTOM. LADEN EIN klicken. Klicken Sie auf Manuell neu laden, um die Objektliste manuell zu aktualisieren. Um wieder auf die automatische Aktualisierung umzuschalten, klicken Sie auf den Schiebeschalter, der diese aktiviert.

Mit den Filteroptionen über den Tabellen können Sie die Ergebnisse eingrenzen, um nur Einträge anzuzeigen, die einen bestimmten Suchbegriff enthalten. Variieren Sie die Optionen, um Suchkriterien in den Eingabefeldern einzustellen. Die Filter Nachricht und Benutzer geben alle Ergebnisse aus, die die Sucheingabe enthalten. Alle übrigen Filterfelder geben nur exakte Übereinstimmungen aus. Die verfügbaren Optionen hängen vom Typ des Ereignisprotokolls ab. Wenn Filteroptionen eingestellt wurden, werden die Ereignisprotokolle immer automatisch aktualisiert.

Klicken Sie auf das Eingabefeld Zeit, um den Inhalt eines Protokolls nach einer benutzerdefinierten Zeitspanne zu filtern. Es öffnet sich ein neues Fenster, in dem Sie entweder einen voreingestellten Zeitraum wählen oder einen eigenen eingeben können. Wenn Sie auf Benutzerdefiniert klicken, erscheinen ein Kalender und Drop-down-Listen, mit denen Sie Datum und Uhrzeit ändern können. Legen Sie die gewünschten Daten und

3 Benutzeroberfläche

Uhrzeiten fest. Klicken Sie auf Anwenden, um Ihre Änderungen zu speichern und das gefilterte Ereignisprotokoll anzuzeigen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen.

Um zum vollständigen Protokoll zurückzukehren, entfernen Sie alle Suchkriterien, indem Sie entweder auf Zurücksetzen, die Schaltfläche ✗echts neben einem ausgewählten Eintrag in der Drop-down-Liste oder die Schaltfläche Ⓞ den Eingabefeldern klicken.

Systemprotokoll Protokoll AUTRA LADER BBH Zeit Meldung Typ Diket Multikung Typ Diket Alarme assignen Zuridustum

Zeit

Typ Diket Multikung 1 17/28/2019 13:46:13 Internet Unable to complete PPAE (Discovery) 2 17/28/2019 13:48:13 Internet Timeout waiting for PAKO packets 3 17/28/2019 13:49:13 Internet Server accepted intersection from TCSUGI 4 17/28/2019 13:50:13 Internet Unable to complete PPAE (Discovery) 5 17/28/2019 13:50:13 Internet Timeout waiting for PAKO packets 6 17/28/2019 13:50:13 Internet Unable to complete PPAE (Discovery) 7 17/28/2019 13:52:13 Internet Timeout waiting for PAKO packets

Abbildung 23: Beispiel eines gefilterten Systemprotokolls

Mit der Schaltfläche Schließen unten in den Protokollfeldern können Sie die Protokollfelder schließen und zur kompletten Übersicht Ihres gesamten konfigurierten Netzwerks zurückkehren.

In den folgenden Abschnitten finden Sie weiterführende Informationen zu lokalen Ereignisprotokollen.

Alarmprotokoll

Navigieren Sie zu Monitoring & Statistiken > Protokolle" > Alarmprotokoll, um die Ereignisprotokolle zu Alarmen einzusehen und Filter zur Anzeige einzurichten. Im Bearbeitungsfenster Alarmprotokoll können Sie einsehen, welcher Traffic durch Ihre LANCOM R&S® Unified Firewall blockiert, oder in welcher Form Traffic durch die Firewall übertragen wurde.

Die Tabellenspalten enthalten die folgenden Informationen:

Tabelle 2: Filtertypen

BeschreibungSpalte
	Zeitstempel des Protokolleintrags.Zeit
	Ereigniskategorie, die eine der folgenden sein kann:Kategorie> Application-Filter> Connection Blocked> Connection Finished> IDPS> Mail Malware> Spam> Web Filter Allowed> Web Filter Blocked> Web Malware
Meldung	Die Protokollmeldung selbst. Ggfs. lassen sich über das ☑uf der rechten Seite einer Meldung auch direkt Aktionen ausführen. So werden z. B. in der Kategorie IDPS Meldungen zu blockierten Diensten angezeigt. In dieser Meldung wäre dann auch die Signatur-ID enthalten, die man bei einer Regel angeben müsste, um diesen Dienst nicht mehr zu blockieren. Diese Ausnahme lässt sich somit aus dem Protokoll direkt hinzufügen.

Filterfunktion

Sie können das Alarmprotokoll mithilfe der Filterfunktion im Eingabefeld Weitere Filter um verschiedene Suchkriterien und -optionen eingrenzen. Diese Filter beziehen sich auf das Zeitintervall, das Sie unter Zeit eingestellt haben.

Alarmprotokoll Parotokoll AUTOM. LADEN AUS New laders Zelt Wetilde Filter 0 Category: Connection Finished Zurabentzen

Zelt

Kategorie Matchup 1 10.09.2016.02.00.00 Connection Rocked Derived Access: dropped=Forward/NeppoO COUT=ETH SRC=99.135.203.120.007+136.99.120.203 DF PROFD=udp SPT=23058 DPT=49830 SEQ=3ME194347E ACK=0 WINDOW=25030 51% U86P=0 2 10.09.2016.02.00.00 Connection Rocked Derived Access: dropped=Input W-ppp9 OUT= SRC=99.135.203.120.25T+136.99.120.203 DF PROFD=udp SPT=23638 DPT=508JH SEQ=51069784T ACK=0 WINDOW=29/20371% U86P=0 3 10.09.2016.02.00.00 Web Filter Rocked Web Filter: blocked domain "aunspca" from IP address 99.135.203.120 as categories "Medicin" 4 10.09.2016.02.00.00 Web Filter Web Filter: blocked domain "aunspca" from IP address 99.135.203.120

Abbildung 24: Alarmprotokoll mit angewandtem Filter

Um einen Filter zu erstellen, gehen Sie wie folgt vor:

1. Klicken Sie in das Eingabefeld.

Der Webclient zeigt Filtervorschläge an.

Mögliche Filtertypen, Eingabeformate und Vorgabewerte entnehmen Sie der Tabelle Filtertypen.

1. Wählen Sie einen der vorgeschlagenen Filter aus der Drop-down-Liste aus oder geben Sie einen beliebigen Suchtext ein, um weitere Vorschläge zu erhalten.

Für jeden Vorschlag können Sie auswählen, ob dieser als Inklusionsfilter (+/ UND-Verknüpfung) oder Exklusionsfilter (∅ UND-NICHT-Verknüpfung) verwendet werden soll.

Nach der Auswahl wird der Filtervorschlag als Suchkriterium in das Eingabefeld eingefügt.

Die Liste der Protokollmeldungen passt sich an die Suchabfrage an. Gefundene Übereinstimmungen werden in den Protokolleinträgen hervorgehoben.

Wiederholen Sie die obigen Schritte, bis Sie die gewünschten Filterkriterien zu Ihrer Suchanfrage hinzugefügt haben.

Es werden nur Einträge angezeigt, die mit allen Filterkriterien übereinstimmen.

Um ein Filterkriterium in einer Suchabfrage zu löschen, klicken Sie auf ✗

Sie können mehrere Zeilen zu Ihrer Suchanfrage hinzufügen, indem Sie neben dem Eingabefeld auf + ODER klicken. Sie können wählen, ob Sie eine neue leere Zeile einfügen, oder die zuletzt angelegte Zeile kopieren möchten. Jede Zeile ist in sich eine eigene Suchabfrage, die mit den anderen Zeilen ODER-verknüpft wird.

Walker Filter U Category Connection Finished adoy Category Connection Finished +Qudl PH 73.108.91.152 + QDUR Zumelsatzen

Abbildung 25: Kombinierte Filterabfrage

Löschen Sie die Zeile, indem Sie neben der Zeile auf 📁licken.

Filtertypen

UnterartenVorgabewerteEingabeforma
			Meldung (Logeintrag)FreitextText

3 Benutzeroberfläche

			UnterartenVorgabewerteEingabeform
			Domain / URI (Logeinträge von HTTP Proxys, Virenscanner und dem URL- / Contentfilter)
		ICMP, TCP, UDPFreitextProtokollTransportprotokolle oder Protokolle, die durch den Application Filter erfasst wurden
	Zahlen von 0 bis 65535Port		TCP- / UDP-Quell- oder Zielport von IPDS- oder Firewallmeldungen
IPv4	Gültige IP-Adresse oder Teile davon		Quell- oder Ziel-IP-Adresse von Mail-Proxy-, IDPS-, Application-Filter- oder Firewallmeldungen
Kategorie	Freitext oder Auswahl aus der Weitere FilterDrop-down-Liste	> Application-Filter> Connection Blocked> Connection Finished> IDPS> Mail Malware> Spam> Web Filter Allowed> Web Filter Blocked> Web Malware

Auditprotokoll

Das Audit Log erstellt Aufzeichnungen über jede Konfigurationsänderung, die auf Ihrer LANCOM R&S® Unified Firewall durchgeführt wurde (z. B. Aktualisierung der VPN-Einstellungen), jede ausgeführte Aktion (z. B. Importieren eines Backups) und von wem diese jeweils ausgelöst wurde. Um das Protokoll anzuzeigen, werden Rechte auf Monitoring benötigt. Weitere Informationen zu den Webclient-Rechten finden Sie unter Einstellungen zu Administratoren auf Seite 28.

Die Tabellenspalten enthalten die folgenden Informationen:

BeschreibungSpalte
	Zeitstempel des ProtokolleintragsZeit
	Ereignisprotokoll-Stufe, die eine der folgenden sein kann:Aktion> Call – Ausführen einer bestimmten Aktion (z. B. Importieren eines Backups)> Delete – Löschen eines Konfigurationselements (z. B. Löschen einer ausgelaufenen IPsec-Verbindung)> Insert – Einfügen eines neuen Konfigurationselements (z. B. Einfügen einer Hostgruppe)> Update – Änderung eines Konfigurationselements (z. B. Anpassen der Antivirus-Einstellungen)
Benutzer	Name des Benutzers, der den Eintrag angelegt hat, z. B. admin.
Nachricht	Die Protokollmeldung selbst. Der Inhalt der Meldung hängt vom gewähltenAktionTyp ab:> Wenn dieAktionCallist, beginnt dieNachrichtmit dem aufgerufenen API-Endpunkt.> Wenn dieAktionDeleteist, gibt dieNachrichtden Namen und internen Typen des entfernten Konfigurationselements an.> Wenn die Aktion Insert ist, gibt die Nachricht den Namen und internen Typen des angelegten Konfigurationselements an. Sie zeigt auch den kompletten Payload der Meldung an, die zur Erstellung des Konfigurationselements verwendet wurde und die genauen verwendeten Einstellungen enthält.> Wenn die Aktion Update ist, gibt die Nachricht den Namen und internen Typen des geänderten Konfigurationselements an. Sie listet auch die genauen Änderungen, die an einem bestimmten Pfad vorgenommen wurden, in kursiver Schrift auf. Der Pfad identifiziert die tatsächliche Einstellung eines Konfigurationselements, das verändert wurde.

Systemprotokoll

Das Systemprotokoll zeigt eine Liste neuerer Systemmeldungen an.

Die Tabellenspalten enthalten die folgenden Informationen:

BeschreibungSpalte
	Zeitstempel des ProtokolleintragsZeit
	Meldungstyp, der einer der Folgenden sein kann:Typ> OK – Der Dienst funktioniert korrekt> Error – Ein Fehler ist aufgetreten. Eine Fehlermeldung wird angezeigt.
	Name des Dienstes, der den Eintrag angelegt hat. Folgende Filter sind verfügbar:Dienst> Server – Firewall-Dienste, darunter Meldungen zu Kernel, DHCP-Server, DNS-Server, SNMP-Server und WLAN-Zugangspunkt> VPN – IPsec- und SSL-Tunnel> Internet – NTP, DynDNS und DSL-Verbindungsstatus> User – Terminal-Login, SSH-Login und Aktionen mit Superuser-Privilegien (sudo)> Connections – Verbindungen, die erfolgreich fertiggestellt wurden. Diese Meldungen werden nur gespeichert, wenn Verbindung fertiggestellt in derMonitoring & Statistiken >Einstellungen auf Rohdaten lokal speichern gestellt ist.> Proxy – Meldungen zu Web- und Mailproxies> Updates – alle Meldungen zur Firewall-Software> Appfilter – Meldungen zu Anwendungsfiltern> IDPS – IDS/IPS-Meldungen> Alerts – alle für die Sicherheit relevanten Meldungen, unabhängig vom Ursprungsgerät (wenn etwa das Anti-Malware-Modul einen Virus erkennt oder das IDS/IPS-Modul eine Bedrohung erkennt)Warningden werden nur in der KategorieAlerts angezeigt, auch wenn sie zusätzlich einer anderen Kategorie angehören.Beispiel: Appfilter gibt eine Warnmeldung aus. Die Warnmeldung erscheint nur in Alerts und nicht in Appfilter.
	Die Protokollmeldung selbst.NachrichtWählen SieAlerts in der SpalteDienst, um IDS/IPS-Protokollmeldungen zu filtern.Tipp: Sie können die Protokollmeldungen verwenden, um eine IDS/IPS-Regel zur Liste der ignorierten Regeln imTabRegelndes BearbeitungsfenstersIDS/IPS hinzuzufügen. Klicken Sie aufin der jeweiligen IDS/IPS-Protokollmeldung. Eine Drop-down-Liste öffnet sich.Wählen Sie den Eintrag Regel ignorieren. Die IDS/IPS-Regel wird automatisch zur Liste der ignorierten Regeln im Tab Regeln des Bearbeitungsfensters IDS/IPS hinzugefügt. Weitere Informationen finden Sie unter IDS / IPS auf Seite 118.

Setzen Sie das Häkchen bei Alarme anzeigen, um zusätzlich zu den Protokollmeldungen Alarme unabhängig vom ausgewählten Dienst anzuzeigen.

Alarme können zusätzliche Informationen zu Ereignissen enthalten, um den Ursprung eines Fehlers identifizieren zu können.

SNMP-Einstellungen

SNMP (Simple Network Management Protocol) ist ein Netzwerkprotokoll, das zum Senden und Empfangen von Statusmeldungen innerhalb eines Netzwerks verwendet wird. Die Teilnehmer eines SNMP-basierten Informationsaustausches sind der SNMP-Manager (z. B. Nagios) und SNMP-Clients (Geräte wie etwa Ihre LANCOM R&S® Unified Firewall, die vom SNMP-Manager überwacht werden sollen).

Der SNMP-Manager fordert Informationen an und empfängt und überwacht diese. Die SNMP-Clients antworten auf Informationsanforderungen (z. B. „Zeige die aktuelle CPU-Auslastung / den aktuellen Speicherverbrauch des Geräts“). Die von den überwachten Geräten ausgegebenen Statusmeldungen werden wie ein Baum angeordnet (die sogenannte Management Information Base, kurz MIB), an dem jedes Blatt eine abrufbare Informationseinheit darstellt. Jedes Blatt kann einzeln über seine individuelle numerische Adresse aufgerufen und abgefragt werden. Eine Datei, die diese numerischen Adressdaten in sinnvolle Namen übersetzt und damit eine Übersicht aller auf dem überwachten Gerät verfügbaren Optionen darstellt, kann dem SNMP-Manager zur Verfügung gestellt werden, um die Nutzbarkeit für den Menschen zu erhöhen (29577.1.1 wird z. B. als RSCS.SystemLoad.cpuLoad übersetzt).

Mit den SNMP-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob der jeweilige SNMP derzeit aktiv (I) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option. SNMP ist standardmäßig deaktiviert.
Empfangs-IP	Optional: Geben Sie eine lokale IP-Adresse ein, die der Dienst abhört. Wenn Sie die vorgegebene IP-Adresse 0.0.0.0 beibehalten, werden die Anfragen von allen IP-Adressen angenommen.
Empfangs-Port	Optional: Geben Sie die Portnummer an, die der Dienst abhört. Standardmäßig ist Port Nummer 161 eingestellt.
Protokoll-Version	Wählen Sie aus der Drop-down-Liste die Version des SNMP-Protokolls, die verwendet werden soll. Je nach ausgewählter Version sind verschiedene Optionen verfügbar. Standardmäßig ist Version v2c vorausgewählt.
Community String	Nur verfügbar, wenn die ausgewählte Protokoll-Version v2c ist: Geben Sie den Pre-Shared Key ein, den jeder SNMP-Manager oder -Client verwenden muss, um sich beim SNMP-Dienst der Zugriffszone zu authentifizieren.
Zeige Community String	Nur verfügbar, wenn die ausgewählte Protokoll-Version v2c ist: Setzen Sie den Haken in diesem Kontrollkästchen, um den Pre-Shared Key zur Überprüfung anzuzeigen.
Benutzername	Nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist: Geben Sie den Benutzernamen ein, den jeder SNMP-Manager oder -Client verwenden muss, um sich gegenüber dem SNMP-Dienst der Zugriffszone zu identifizieren.
	! Der Benutzername wird vom SNMP-Dienst intern erstellt und verwendet.
Authentifizierungs-Protokoll	Nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist: Wählen Sie aus der Drop-down-Liste den Hash-Algorithmus aus, der zu Authentifizierungszwecken verwendetwird. Sie können zwischen Keine Authentifizierung, MD5 und SHA auswählen.
Authentifizierungs-Passwort	Nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist und das ausgewählte Authentifizierungs-Protokoll MD5 oder SHA ist: Geben Sie das Passwort ein, dass zu Authentifizierungszwecken verwendet wird. Es muss aus mindestens acht Zeichen bestehen.
Zeige Authentifizierungs-Passwort	Optional und nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist und das ausgewählte Authentifizierungs-Protokoll MD5 oder SHA ist: Setzen Sie den Haken in diesem Kontrollkästchen, um das Authentifizierungspasswort zur Überprüfung anzuzeigen.
Privacy-Protokoll	Optional und nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist und das ausgewählte Authentifizierungs-Protokoll MD5 oder SHA ist: Wählen Sie aus der Drop-down-Liste den Algorithmus aus, der zur Verschlüsselung der Kommunikation mit dem SNMP-Dienst verwendet wird. Sie können zwischen den Verschlüsselungsalgorithmen 3DES und AES auswählen. Diese Option ist standardmäßig auf Keine Verschlüsselung gesetzt.
Privacy-Passwort	Nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist, das ausgewählte Authentifizierungs-Protokoll MD5 oder SHA und das ausgewählte Privacy-Protokoll 3DES oder AES ist: Geben Sie das Passwort ein, das über den ausgewählten Verschlüsselungsalgorithmus zur Verschlüsselung der Kommunikation mit dem SNMP-Dienst verwendet wird.
Zeige Privacy-Passwort	Optional und nur verfügbar, wenn die ausgewählte Protokoll-Version v3 ist, das ausgewählte Authentifizierungs-Protokoll MD5 oder SHA und das ausgewählte Privacy-Protokoll 3DES oder AES ist: Setzen Sie den Haken in diesem Kontrollkästchen, um das Privacy-Passwort zur Überprüfung anzuzeigen.
Ort	Optional: Geben Sie einen festen Wert ein, den Ihre LANCOM R&S® Unified Firewall auf Anfragen an bestimmte Object Identifiers (OIDs) der standardmäßigen Management Information Base (MIB) hin ausgibt: sysLocation.
Kontakt	Optional: Geben Sie einen festen Wert ein, den LANCOM R&S® Unified Firewall auf Anfragen an bestimmte Object Identifiers (OIDs) der standardmäßigen Management Information Base (MIB) hin ausgibt: sysContacts.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Statistiken

Die Statistiken-Fenster enthalten Grafiken und Tabellen. Sie können verschiedene Einstellungen an der Darstellung und den Daten dieser Statistiken vornehmen.

Um auf die Statistiken zuzugreifen und die entsprechenden Einstellungen zu konfigurieren, benötigen Sie Statistiken-Rechte. Weitere Informationen zu den Webclient-Rechten finden Sie unter Einstellungen zu Administratoren auf Seite 28.

Beim Analysieren der Statistiken und beim Konfigurieren der dazugehörigen Einstellungen muss der Administrator Vorschriften zur Datensicherheit einhalten.

Es gibt zwei Möglichkeiten, die einzelnen Statistiken abzurufen:

Über die Links in der Navigationsleiste zu den detaillierten Statistikfenstern navigieren, z. B. über Monitoring & Statistiken > Statistiken > Blockierte Verbindungen.

3 Benutzeroberfläche

Verwenden Sie den Link Details in der oberen rechten Ecke des jeweiligen Grafikfensters in der Übersicht Statistiken. Der Link leitet Sie zu einem detaillierten Statistikfenster für diese Grafik weiter. Weitere Informationen finden Sie unter Übersicht auf Seite 71.

Arbeiten mit Statistiken

Es gibt zwei verschiedene Arten von Statistiken:

Zähler werden als Liniendiagramme in den Statistikfenstern Blockierte Verbindungen und Blockierte Inhalte angezeigt. Die Diagramme enthalten jeweils mehrere Zähler.
Toplisten geben eine Rangfolge verschiedener Ereignistypen an, die je nach ausgewähltem Zeitraum als Kreisdiagramm oder als Flächendiagramm angezeigt wird. Daten für den Zeitraum Tag werden als Kreisdiagramm angezeigt, Daten für die Zeiträume Monat und Jahr als Flächendiagramm.

Die Statistiken werden jeweils durch eine Tabellenansicht der grafischen Daten ergänzt. Bei Zählern zeigt die Datentabelle immer die gleichen Daten wie das Diagramm an. Jedes Statistik-element stellt eine Spalte in der Datentabelle dar. Bei Toplisten zeigt die Datentabelle die Werte der statistischen Elemente an.

Die Diagramme und Tabellen in den Statistik-Ansichten haben gemeinsame Funktionen, mit denen Sie die Anzeige der Daten anpassen und die Daten herausfiltern können, an denen Sie interessiert sind.

Unter Zeitraum in der Kopfzeile der Statistikfenster können Sie die gewünschte Zeitspanne der anzuzeigenden Daten angeben. Mithilfe der Schaltflächen können Sie zwischen verschiedenen verfügbaren Zeiträumen wechseln. Sie können aus Tag, Monat und Jahr auswählen. Diese Option ist standardmäßig auf Tag gesetzt.
Toplisten enthalten in der Kopfzeile des Fensters normalerweise ein Eingabefeld. Im Eingabefeld Einträge können Sie anpassen, wie viele Elemente maximal in der Grafik dargestellt werden. Diese Option ist standardmäßig auf 5 Einträge gesetzt. Sie können entweder eine andere Zahl eingeben oder die Anzahl über die Pfeile im Eingabefeld anpassen.

Unabhängig vom für die Grafik gesetzten Wert zeigt die Tabelle immer bis zu 1000 Einträge.

Sie können die Grafiken und Tabellen ein- und ausklappen, indem Sie auf das entsprechende Symbol in der Kopfzeile einer Grafik oder Tabelle klicken, um die Tabelle zu erweitern oder nicht benötigte Details auszublenden. Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Klicken Sie auf dem der oberen rechten Ecke einer Grafik, um die verschiedenen Exportoptionen (Ansicht drucken, PNG, JPEG, SVG, PDF, CSV und XLS) für die in der Grafik dargestellten Daten zu nutzen.

Wenn Sie die XLS-Exportoption für Toplisten auswählen, werden nur die von dieser Grafik genutzten Daten unter Berücksichtigung der von Ihnen gewählten maximalen Anzahl an Toplisten-Elementen exportiert.

Kreis- und Flächendiagramme enthalten eine Legende. Die Legende ist farbkodiert und kann als Filter für die Grafik verwendet werden. Klicken Sie auf Elemente in der Legende unter der Grafik, um sie in der Grafik zu aktivieren oder deaktivieren. Wenn das Klicken keine Reaktion hervorruft und die Legende grau bleibt, ist die Datenerhebung für den zugrundeliegenden Ereignistypen in den Statistikeinstellungen deaktiviert und die Daten daher nicht verfügbar. Weitere Informationen finden Sie unter Einstellungen zu Statistiken auf Seite 59.

Tooltips bieten Details zu spezifischen Punkten der grafischen Statistiken. Bewegen Sie die Maus über die Grafik, um genaue Werte für einen bestimmten Zeitpunkt einzusehen.

In den folgenden Abschnitten finden Sie weitere Informationen zu den in der Statistikübersicht verfügbaren Daten, den einzelnen Statistikfenstern und den dazugehörigen Einstellungen.

Blockierte Verbindungen

Im Bearbeitungsfenster Blockierte Verbindungen können Sie die folgenden Elemente konfigurieren:

	BeschreibungStatistikelement (Ereignistyp)
Regelsatz eingehend (Blockierter eingehender Verkehr)	Anzahl durch Eingangsregeln blockierter Verbindungen
Regelsatz ausgehend (Blockierter weiterzuleitender Verkehr)	Anzahl der durch Weiterleitungsregeln blockierter Verbindungen
IPS/IDS (IDPS-Treffer)	Anzahl der IDS/IPS-Warnmeldungen.Wenn der IDS/IPS-Modus auf „IDS“, „IPS Drop“ oder „IPS Reject“ gesetzt ist, zeigt dieses Statistik-element die Anzahl der verworfenen Pakete an. Weitere Informationen finden Sie unter IDS / IPS auf Seite 118.

Blockierte Inhalte

Im Bearbeitungsfenster Blockierte Inhalte können Sie die folgenden Elemente konfigurieren:

	BeschreibungStatistik-element (Ereignistyp)
Virus (Mail) (Malware entdeckt (Mail))	Anzahl der in E-Mails erkannten Viren
Virus (Sonstiges) (Malware entdeckt (HTTP und FTP))	Anzahl der im HTTP- oder FTP-Datenverkehr erkannten Viren
Spam (Spam entdeckt)	Anzahl der als Spam erkannten E-Mails
Web-Zugriff (Web-Zugriff verhindert)	Vom Contentfilter blockierte Webzugriffe
Appfilter (Appfilter-Treffer)	Anzahl der Warnmeldungen über blockierten anwendungsspezifischen Datenverkehr.

Übersicht

Navigieren Sie zu Monitoring & Statistiken > Statistiken > Übersicht, um eine Zusammenfassung aller verfügbaren statistischen Grafiken einzusehen. Diese kann als Dashboard von Statistiken betrachtet werden und soll grundlegende Antworten auf die häufigsten Fragen zu den durch Ihre LANCOM R&S ^® Unified Firewall erkennbaren Ereignissen geben.

Folgende spezielle Funktionen gelten nur für dieses Fenster (anders als in der Beschreibung der individuellen Statistikfenster in Statistiken auf Seite 69):

Unter Zeitraum in der Kopfzeile des Statistikfensters können Sie die gewünschte Zeitspanne für die in allen Grafiken anzuizeigenden Daten angeben.
Klicken Sie auf den Link Details in der oberen rechten Ecke einer einzelnen Grafik, um zum detaillierten Statistikfenster für die jeweilige Grafik weitergeleitet zu werden.
Die Anzahl der Einträge für Toplist-Grafiken ist auf 5 festgesetzt.

Meistaufgerufene Domains

Das Fenster Top aufgerufene Domains zeigt die häufigsten von den Benutzern des lokalen Netzwerks aufgerufenen Internetseiten an, sofern Sie Ihrer LANCOM R&S ^® Unified Firewall erlauben, diese Daten zu erheben, indem Sie den Ereignistyp Web-Zugriff erlaubt aktivieren. Diese Statistiken dienen dazu, festzustellen, ob die Internetnutzung den Unternehmensrichtlinien und den Zielen der Firma entspricht.

Meistblockierte Domains

Das Fenster Top blockierte Domains zeigt die am häufigsten blockierten Internetseiten an, sofern Sie Ihrer LANCOM R&S® Unified Firewall erlauben, diese Daten zu erheben, indem Sie den Ereignistyp Web-Zugriff verhindert aktivieren.

Höchster Datenverkehr pro Quelle

Das Fenster Top Traffic pro Quelle zeigt das Datenvolumen der meistaufgerufen Datenverkehrsquellen an, sofern Sie Ihrer LANCOM R&S® Unified Firewall erlauben, diese Daten zu erheben, indem Sie den Ereignistyp Beendete Verbindung aktivieren.

Syslog-Server

Mit Ihrer LANCOM R&S®Unified Firewall können mehrere externe Syslog-Server so konfiguriert werden, dass sie von verschiedenen Meldungsquellen erzeugte Ereignisprotokoll-Meldungen für Berichtszwecke weiterleiten.

Syslog-Meldungen werden in der Regel im Klartext (unverschlüsselt) über Port Nummer 514 und entweder über das User Datagram Protocol (UDP) oder das Transmission Control Protocol (TCP) an den Remote-Syslog-Server gesendet.

In den folgenden Abschnitten finden Sie weiterführende Informationen zu externen Syslog-Servern.

Übersicht Syslog-Server

Navigieren Sie zu Monitoring & Statistiken > Syslog Server, um die Liste der derzeit im System angelegten Remote-Syslog-Server in der Objektleiste anzuzeigen.

In der erweiterten Ansicht zeigt die Tabelle die Serveradresse des externen Syslog-Servers an, die sich aus der IP-Adresse und dem Port zusammensetzt. Zum Beispiel steht die Serveradresse 192.168.124.5:514 für die IP-Adresse 192.168.124.5 und die Port-Nummer 514. Außerdem wird der Protokolltyp angezeigt, der für die Übertragung der Textmeldung verwendet wird. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für einen vorhandenen externen Syslog-Server einsehen und anpassen, einen neuen Syslog-Server ausgehend von einer Kopie eines vorhandenen externen Syslog-Servers anlegen oder einen Remote-Syslog-Server aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Syslog-Server

Mit den Einstellungen unter Syslog Server können Sie Verbindungsdetails für mehrere Remote-Syslog-Server angeben, um von verschiedenen Meldungsquellen erzeugte Ereignisprotokoll-Meldungen weiterzuleiten.

Unter Monitoring & Statistiken > Syslog Server können Sie einen neuen entfernten Syslog-Server hinzufügen oder einen vorhandenen bearbeiten.

Im Bearbeitungsfenster Syslog Server können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie die IP-Adresse des Servers ein.Ziel-IP
Ziel-Port	Geben Sie die zu verwendende Portnummer an, indem Sie einen ganzzahligen Wert eingeben.
	Wählen Sie den zu verwendenden Protokoll-Typ aus der Drop-down-Liste aus.Transport-Prot

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen Remote-Syslog-Server hinzufügen oder einen bestehenden Server bearbeiten. Für einen neu konfigurierten Server klicken Sie Erstellen, um den Server zur Liste der verfügbaren Remote-Syslog-Server hinzuzufügen oder Abbrechen, um Ihre Änderungen zu verwerfen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

3.4.3 Netzwerk

Mit den Einstellungen unter 🚫 Netzwerk können Sie Ihr Netzwerk organisieren, indem Sie Interfaces, Verbindungen, WLAN, Routing-Regeln und DHCP-Einstellungen konfigurieren. Darüber hinaus können Sie den WAN-Zugang Ihrer LANCOM R&S® Unified Firewall einrichten, indem Sie DNS-Einstellungen, DynDNS-Accounts und QoS-Einstellungen konfigurieren.

Verbindungen

Mit den Desktop-Verbindungen-Einstellungen können Sie die Netzwerk- und PPP-Verbindungen auf Ihrer LANCOM R&S ^® Unified Firewall konfigurieren.

Netzwerkverbindungen

Mit den Einstellungen unter Netzwerk-Verbindungen können Sie Netzwerkverbindungen konfigurieren. Das System bietet standardmäßige Verbindungen zu allem verfügbaren Ethernet-Interfaces.

In den folgenden Abschnitten finden Sie weiterführende Informationen zu Netzwerkverbindungen.

Übersicht Netzwerkverbindungen

Navigieren Sie zu Netzwerk > Verbindungen > Netzwerk-Verbindungen, um die Liste der Netzwerk-Verbindungen, die derzeit im System angelegt sind, in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Spalte der Name der Netzwerkverbindung angezeigt. Die Spalte Status zeigt einen der folgenden Statusindikatoren an.

Grün – Die Netzwerkverbindung ist aktiv.
Grau – Die Netzwerkverbindung ist inaktiv.
Rot – Die Netzwerkverbindung ist getrennt.

Außerdem werden das Interface, dem die Netzwerkverbindung zugewiesen ist sowie der Typ der Verbindung angezeigt. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Netzwerkverbindung einsehen und anpassen, eine neue Verbindung auf der Grundlage einer Kopie einer bestehenden Netzwerkverbindung anlegen oder eine Verbindung aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Netzwerkverbindungen

Nutzen Sie die Einstellungen unter Netzwerk-Verbindungen, um benutzerdefinierte Netzwerkverbindungen zu konfigurieren.

Unter Netzwerk > Verbindungen > Netzwerk-Verbindungen können Sie eine neue Netzwerkverbindung hinzufügen oder eine vorhandene bearbeiten.

Im Bearbeitungsfenster Netzwerk-Verbindung können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob die Netzwerk-Verbindung derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status der Verbindung ändern. Eine neue Verbindung ist standardmäßig aktiviert.
	Geben Sie einen Namen für die Verbindung ein.Name
	⚠️ Wenn Sie dieses Eingabefeld frei lassen, wird der Name automatisch auf der Grundlage des ausgewählten Interfaces und des Verbindungstypen erzeugt.
Interface	Wählen Sie aus der Drop-down-Liste aus, welches Interface Sie der Verbindung zuweisen möchten. Sie können zwischen Ethernet-, VLAN- oder Bridge-Interface auswählen.
Typ	Wählen Sie den Verbindungstyp aus der Drop-down-Liste aus. Diese Option ist standardmäßig auf Static gesetzt, Sie können die Einstellungen jedoch bei Bedarf auf einen der anderen Werte setzen:➢ Static–In diesem Modus wird eine statische IP-Adresse für die Verbindung festgelegt.➢ DHCP – In diesem Modus werden IP-Adressen dynamisch zugewiesen.
	⚠️ Sobald Sie auf Erstellen klicken, um die Netzwerkverbindung herzustellen, kann der Verbindungstyp nicht mehr geändert werden.
	i Die Elemente im Tab Netzwerk hängen vom gewählten Verbindungstyp ab.Zeigt an, welche Komponenten die Netzwerkverbindung verwenden.Verwendet von
	Zeigt den Status der Netzwerkverbindung an.StatusDer Status kann einer der folgenden sein:> aktiv – Die Netzwerkverbindung ist aktiv.> abgeschaltet – Die Netzwerkverbindung ist inaktiv.> unterbrochen – Die Netzwerkverbindung ist getrennt.

Im Tab Netzwerk :

	BeschreibungEingabefeld
IP-Adressen	Weisen Sie der Netzwerkverbindung eine oder mehrere IP-Adressen zu. Geben Sie eine IP-Adresse in CIDR-Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/“ und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.1/24). Klicken Sie aufHinzufügen, um die IP-Adresse zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠️Wenn Sie eine IP-Adresse bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen für die IP Addresse speichern können.Klicken Sie auf▲, um die Reihenfolge der IP-Adressen in der Liste zu ändern.
	⚠️Die erste IP-Adresse in der Liste wird standardmäßig als Quell-IP-Adresse für NAT- und IPsec-Verbindungen verwendet.
Gateway beziehen	Optional und nur verfügbar, wenn der ausgewählteTypder Verbindung DHCP ist. Setzen Sie den Haken in diesem Kontrollkästchen, wenn Sie möchten, dass Ihre LANCOM R&S®Unified Firewall ein Gateway für die Verbindung vom DHCP-Server bezieht.
DNS-Server beziehen	Optional und nur verfügbar, wenn der ausgewählteTypder Verbindung DHCP ist. Wählen Sie dieses Kontrollkästchen wenn Sie möchten, dass Ihre LANCOM R&S®Unified Firewall einen DNS-Server für die Verbindung bezieht.
Domain beziehen	Optional und nur verfügbar, wenn der ausgewählteTypder Verbindung DHCP ist. Aktivieren Sie dieses Kontrollkästchen wenn Sie möchten, dass Ihre LANCOM R&S®Unified Firewall eine Domäne für die Verbindung vom DHCP-Server bezieht.
Via DHCP bezogen	Optional und nur verfügbar, wenn der ausgewählteTypder Verbindung DHCP ist.Zeigt eine der folgenden Statusmeldungen an:➢ Wenn die Verbindung korrekt funktioniert, wird die IP-Adresse angezeigt.➢ Verbindung noch nicht gespeichert – Eine neue Verbindung wird hergestellt.➢ Failed – Die DHCP-Verbindung konnte nicht hergestellt werden.

Im Tab WAN :

BeschreibungEingabefeld
Standard Gateway setzen	Optional und nur verfügbar, wenn der ausgewählte Typ der Verbindung Static ist: Setzen Sie den Haken in diesem Kontrollkästchen, um ein Standard-Gateway für die Netzwerkverbindung festzulegen.⚠️Wenn Sie DHCP als Verbindungstyp auswählen, ist standardmäßig ein Haken gesetzt und das Kästchen ausgegraut, da das Gateway vom DHCP-Server bezogen wird.
Standard-Gateway	Optional und nur verfügbar, wenn der ausgewählte Typ der Verbindung Static ist: Geben Sie das Standard-Gateway für diese Verbindung ein.
	⚠️Wenn Sie DHCP als Verbindungstyp auswählen, ist das Eingabefeld ausgegraut und zeigt das Gateway an, das vom DHCP-Server bezogen wird.
Zeitbeschränkungen	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um eine Zeitgrenze festzulegen, bis zu der die Verbindung aktiv bleibt.Klicken Sie auf Bearbeiten, um das Bearbeitungsfenster Zeitbeschränkung zu öffnen, das die folgenden Optionen zur Verfügung stellt:➢ Mit den Schiebereglern können Sie bestimmte Zeiten und Wochentage einstellen.➢ Immer an – die Verbindung ist immer aktiv.➢ Immer aus – die Verbindung ist immer inaktiv.Mit den Schaltflächen unten rechts im Bearbeitungsfenster können Sie Ihre Änderungen an den Zeiteinschränkungen speichern (OK) oder verwerfen (Abbrechen). Das Bearbeitungsfenster schließt sich und die gewählte Option wird links von der Schaltfläche Bearbeiten angezeigt: Eingeschränkt, Immer an oder Immer aus.
Multi-WAN-Gewichtung	Legen Sie fest, welcher Anteil des Internet-Datenverkehrs über diese Verbindung geroutet wird, indem Sie einen Wert von 1 bis 256 eingeben. Je höher der eingegebene Wert, desto höher der Prozentanteil des über diese Verbindung gerouteten Datenverkehrs. Wird für alle Verbindungen der gleiche Wert eingestellt, wird der Datenverkehr gleichmäßig auf alle Verbindungen verteilt.
Desktop-Objekt	Wählen Sie aus der Drop-down-Liste ein Internetobjekt aus, das in Firewall-Regeln für diese WAN-Verbindung verwendet wird. Weitere Informationen finden Sie unter Internetobjekte auf Seite 98.

Im Tab Failover :

	BeschreibungEingabefeld
Heartbeats	Legen Sie fest, wie der Status der Verbindung getestet wird, indem Sie Tests hinzufügen.Die Standardeinstellungen enthalten einen Ping-Test des Google-Servers (8.8.8.8). Klicken Sie aufHinzufügen, um einen weiteren Test zur Liste hinzufügen. Weitere Informationen zur Konfiguration des Erreichbarkeitstests finden Sie unterHeartbeat-Einstellungen auf Seite 76.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächen auf Seite 23.
Als Backup-Verbindung verwenden	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um die Verbindung als Backup-Internetverbindung zu konfigurieren.
Backup-Verbindungen	Wählen Sie eine beliebige Backup-Verbindung, die Sie der Verbindung zuweisen möchten und geben Sie ihrePrioritätan. Falls die aktuelle Verbindung versagt, wechselt Ihre LANCOM R&S®Unified Firewall zur verfügbaren Backup-Verbindung mit der höchsten Priorität. Klicken Sie aufHinzufügen, um die Backup-Verbindung zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächen auf Seite 23.

3 Benutzeroberfläche

	BeschreibungEingabefeld
	Wenn Sie eine Backup-Verbindung bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen zur Backup-Verbindung speichern können.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue Netzwerkverbindung hinzufügen oder eine bestehende Verbindung bearbeiten. Klicken Sie für eine neu konfigurierte Netzwerkverbindung auf Erstellen, um die Verbindung zur Liste der verfügbaren Netzwerkverbindungen hinzuzufügen, oder auf Abbrechen, um die Erstellung einer neuen Netzwerkverbindung abzubrechen. Zum Bearbeiten einer vorhandenen Netzwerkverbindung klicken Sie auf Speichern, um die neu konfigurierte Verbindung zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Heartbeat-Einstellungen

Im Bearbeitungsfenster Heartbeat können sie automatische Heartbeat-Tests einrichten, mit denen der Status der Verbindung überprüft wird. Sie können in diesem Bearbeitungsfenster die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Typ	Wählen Sie aus der Drop-Down-Liste den Typ des Erreichbarkeitstest ein, den Sie durchführen möchten:> ping – Dieser Modus sendet Ping-Signale an das Ziel.> tcp_probe – Dieser Modus testet die Kapazität einer TCP-Verbindung.
	Geben Sie die Zeitüberschreitung für den Test in Sekunden ein.Timeout
	Legen Sie die Gesamtanzahl der durchzuführenden Versuche fest.Anzahl Versuche
Anzahl erfolgreicher Versuche	Legen Sie die Zahl der für einen erfolgreichen Heartbeat erforderlichen erfolgreichen Versuche fest.
Argumente	Legen Sie die im Test zu verwendenden Argumente, z. B. IP-Adressen, die gepingt werden, fest.

Wenn Sie im Tab Failover eine Backup-Internetverbindung festgelegt haben und der automatische Heartbeat-Test den Status der Verbindung als disconnectedanzeigt, wechselt LANCOM R&S ^® Unified Firewall automatisch zur verfügbaren Backup-Verbindung mit der höchsten Priorität.

Mit den Schaltflächen unten im Bearbeitungsfenster rechts können Sie Ihre Änderungen am automatischen Heartbeattest speichern (OK) oder den Verbindungstest manuell ausführen (Testen). Außerdem können Sie Ihre Änderungen am Test verwerfen (Abbrechen), das Bearbeitungsfenster schließen und zum Bearbeitungsfenster Netzwerk-Verbindung zurückkehren. Der festgelegte Test wird als Eintrag in der Liste unter Heartbeats im Tab Failover angezeigt.

PPP-Verbindungen

Mit den Einstellungen unter PPP-Verbindungen können Sie vorhandene Verbindungen, die das Point-to-Point-Protokoll verwenden, konfigurieren und neue hinzufügen.

In den folgenden Abschnitten finden Sie weiterführende Informationen zu PPP-Verbindungen.

Übersicht PPP-Verbindungen

Navigieren Sie zu Netzwerk > Verbindungen > PPP-Verbindungen, um die Liste der derzeit im System angelegten PPP-Verbindungen in der Objektleiste anzuzeigen.

In der erweiterten Ansicht werden in den Tabellenspalten der Name und der Typ der Verbindung angezeigt und ob sie Aktiv ist oder nicht. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene PPP-Verbindung einsehen und anpassen, eine neue Verbindung auf der Grundlage einer Kopie einer bestehenden PPP-Verbindung anlegen oder eine PPP-Verbindung aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für PPP-Verbindungen

Unter Netzwerk > Verbindungen > PPP-Verbindungen können Sie eine neue Netzwerkverbindung hinzufügen oder eine vorhandene bearbeiten.

Die Einstellungen unter PPP-Verbindungen enthalten die folgenden Elemente:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob die PPP-Verbindung derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status der Verbindung ändern. Neu angelegte PPP-Verbindungen sind standardmäßig aktiviert.
	Geben Sie den Namen der Netzwerkverbindung an.NameWenn Sie dieses Eingabefeld frei lassen, wird der Name automatisch auf der Grundlage des ausgewählten Interfaces und des Verbindungstypen erzeugt.
Interface	Weisen Sie der Verbindung ein Interface zu. Sie können nur ein PPP-Interface auswählen, das noch nicht für eine andere Verbindung verwendet wird.
Typ	Wählen Sie je nach Ihrem Internet-Provider den Verbindungstyp aus der Drop-down-Liste aus: PPPoE oder PPTP. Nutzen Sie den PPPoE-Modus, um unter Verwendung des Point-to-Point-Protokolls eine Ethernet-Verbindung herzustellen. PPPoE wird in der Regel für die gemeinsame Nutzung einer Breitbandverbindung, zum Beispiel einer einzelnen DSL-Leitung oder eines Kabelmodems, eingesetzt. Nutzen Sie den PPTP-Modus, um unter Verwendung des Point-to-Point-Tunneling-Protokolls eine Verbindung herzustellen.⚠ Sobald Sie auf Erstellen klicken, um die PPP-Verbindung herzustellen, kann der Verbindungstyp nicht mehr geändert werden.⚠ Die Elemente im Tab Konfiguration hängen vom gewählten Verbindungstyp ab.
	Zeigt an, welche Komponenten die PPP-Verbindung verwenden.Verwendet von
Status	Zeigt den Status der Verbindung an (aktiv, unterbrochen oder abgeschaltet).

Im Tab Konfiguration :

BeschreibungEingabefeld
Auth. Methode	Wählen Sie je nach Ihrem Internet-Provider die Authentifizierungsmethode für die Verbindung aus:➢ None➢ auto – Wählt automatisch die Authentifizierungsmethode aus, die am besten zum Internet-Provider passt.➢ pap-only – Passwort-Authentifizierung➢ chap-only – Handshake-Authentifizierung

3 Benutzeroberfläche

BeschreibungEingabefeld
	> ms-chap2 - Handshake-Authentifizierung für Microsoft
Benutzername	Geben Sie den Benutzernamen ein, der für die Verbindung mit Ihrem Internet-Provider benötigt wird.
Kennwort	Geben Sie das Passwort ein, das für die Verbindung mit Ihrem Internet-Provider benötigt wird.
PPTP-Server-IP	Wenn Sie PPTP als Verbindungstyp ausgewählt haben, geben Sie die IP-Adresse des PPTP-Servers ein.
MPPE	Wenn Sie PPTP als Verbindungstyp angegeben haben, wählen Sie die Schlüssellänge für die Microsoft Point-to-Point-Verschlüsselung aus.> mppe-40> mppe-56> mppe-128
Lokale IP	Optional: Geben Sie Ihre lokale IP-Adresse nur ein, wenn dies explizit von Ihrem Internet-Provider verlangt wird.
Remote-IP	Optional: Geben Sie Ihre Remote-IP-Adresse nur ein, wenn dies explizit von Ihrem Internet-Provider verlangt wird.
AC-Hardware-Adresse	Optional: Geben Sie die Hardware-MAC-Adresse des Access Concentrators ein, den Ihr Internet-Provider verwendet. Führen Sie diesen Schritt nur aus, wenn Ihr Internet-Provider dies explizit verlangt.
Trennung erzwingen	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, wenn Sie zu einem angegebenen Zeitpunkt eine Trennung der Verbindung auslösen möchten. Geben Sie den Zeitpunkt im Format HH : MM : SS ein.Einige Internet-Provider lösen in bestimmten Intervallen (üblicherweise alle 24 Stunden) eine Verbindungstrennung aus. Wenn diese Einstellung aktiv ist, löst Ihre LANCOM R&S®Unified Firewall die Verbindungstrennung zu einem bestimmten Zeitpunkt aus und verhindert damit die automatische Trennung durch den Internet-Provider. So können Sie den Zeitpunkt der Verbindungstrennung selbst bestimmen.

Im Tab WAN :

BeschreibungEingabefeld
Zeitbeschränkungen	Setzen Sie den Haken in diesem Kontrollkästchen, um eine Zeitgrenze festzulegen, bis zu der die Verbindung aktiv bleibt.Klicken Sie aufBearbeiten, um das Bearbeitungsfenster Zeitbeschränkungenzu öffnen, das die folgenden Optionen zur Verfügung stellt:Mit den Schiebereglern können Sie bestimmte Zeiten und Wochentage einstellen.Immer an– die Verbindung ist immer aktiv.Immer aus– die Verbindung ist immer inaktiv.
Multi-WAN-Gewichtung	Legen Sie fest, welcher Anteil des Internet-Datenverkehrs über diese Verbindung geroutet wird, indem Sie einen Wert von 1 bis 256 eingeben. Je höher der eingegebene Wert, desto höher der Prozentanteil des über diese Verbindung gerouteten Datenverkehrs. Wird für alle Verbindungen der gleiche Wert eingestellt, wird der Datenverkehr gleichmäßig auf alle Verbindungen verteilt.
Desktop-Objekt	Wählen Sie ein Internetobjekt aus, das in Firewall-Regeln für diese Verbindung verwendet wird. Weitere Informationen finden Sie unterInternetobjekteauf Seite 98.
Heartbeats	Legen Sie fest, wie der Status der Verbindung getestet wird, indem Sie Ping-Tests hinzufügen.Die Standardeinstellungen enthalten einen Ping-Test des Google-Servers (8.8.8.8). Klicken Sie aufHinzufügen, um einen weiteren Test zur Liste hinzufügen. Weitere Informationen zur Konfiguration des Erreichbarkeitstests finden Sie unterHeartbeat-Einstellungenauf Seite 79.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
Als Backup-Verbindung verwenden	Setzen Sie den Haken in diesem Kontrollkästchen, um die Verbindung als Backup-Internetverbindung zu konfigurieren.
Backup-Verbindungen	Wählen Sie eine beliebige Backup-Verbindung, die Sie der Verbindung zuweisen möchten und geben Sie ihrePrioritätan. Falls die aktuelle Verbindung versagt, wechselt Ihre LANCOM R&S®Unified Firewall zur verfügbaren Backup-Verbindung mit der höchsten Priorität. Klicken Sie aufHinzufügen, um die Backup-Verbindung zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.

Im Tab Failover :

Heartbeat-Einstellungen

Mit den Einstellungen unter Heartbeats können Sie automatische Heartbeat-Tests für diese Verbindung konfigurieren. Das Bearbeitungsfenster enthält die folgenden Elemente:

BeschreibungEingabefeld
Typ	Wählen Sie aus der Drop-Down-Liste den Typ des Erreichbarkeitstest ein, den Sie durchführen möchten:> ping – Dieser Modus sendet Ping-Signale an das Ziel.> tcp_probe – Dieser Modus testet die Kapazität einer TCP-Verbindung.
	Geben Sie die Zeitüberschreitung für den Test in Sekunden ein.Timeout
	Legen Sie die Gesamtanzahl der durchzuführenden Versuche fest.Anzahl Versuche
Anzahl erfolgreicher Versuche	Legen Sie die Zahl der für einen erfolgreichen Heartbeat erforderlichen erfolgreichen Versuche fest.
Argumente	Legen Sie die im Test zu verwendenden Argumente, z. B. IP-Adressen, die gepingt werden, fest.

Klicken Sie auf Testen, um den Verbindungstest manuell durchzuführen. Klicken Sie auf OK, um die Einstellungen zu speichern und zum Bearbeitungsfenster Netzwerk-Verbindung zurückzukehren.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue PPP-Verbindung hinzufügen oder eine bestehende Verbindung bearbeiten. Klicken Sie für eine neu konfigurierte Netzwerkverbindung auf Erstellen, um die Verbindung zur Liste der verfügbaren PPP-Netzwerkverbindungen hinzuzufügen, oder auf Abbrechen, um die Erstellung einer neuen Netzwerkverbindung abzubrechen. Zum Bearbeiten einer vorhandenen PPP-Verbindung klicken Sie auf Speichern, um die neu konfigurierte Verbindung zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

DHCP-Einstellungen

Navigieren Sie zu Netzwerk > DHCP-Einstellungen, um die DHCP-Einstellungen auf Ihrer LANCOM R&S®Unified Firewall zu konfigurieren.

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob DHCP derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option.
Operation Modus	Wählen Sie aus, ob Sie einen DHCP-Server oder ein DHCP-Relay einrichten möchten. Die übrigen Felder auf dem Bildschirm hängen vom gewählten Betriebsmodus ab.

Einstellungen für DHCP-Server

Wenn Sie den DHCP-Server auf LANCOM R&S ^® Unified Firewall betreiben, können Sie IP-Adressen zuweisen und sie auf andere Konfigurationsparameter (Gateway, DNS-Server, NTP-Server etc.) übertragen. Alternativ ist es möglich, DHCP-Anfragen an einen bereits vorhandenen DHCP-Server in einem anderen Netzwerk zu übertragen.

Konfigurieren Sie für den DHCP-Server die folgenden Elemente:

BeschreibungEingabefeld
Standard-Lease-Dauer	Geben Sie die standardmäßige Nutzungsdauer (Lease Time) in Sekunden ein, um den Zeitraum festzulegen, innerhalb dessen ein Computer über eine gültige IP-Adresse verfügt.
	Geben Sie die maximale Nutzungsdauer in Sekunden ein.Maximale Lease-Dauer
Address-Konflikte verhindern	Setzen Sie den Haken in diesem Kontrollkästchen, um den DHCP-Server eine IP-Adresse anpingen zu lassen, um sicherzustellen, dass diese noch nicht in Verwendung ist, bevor Sie sie einem neuen Client zuweisen.
Interfaces	Diese Tabelle zeigt alle Interfaces (Ethernet, VLAN und Bridge), auf denen eine statische Verbindung konfiguriert wurde, zusammen mit den dazugehörigen DHCP-Einstellungen an.Klicken Sie auf zum das Bearbeitungsfenster DHCP-Einstellungen für das jeweilige Interface zu öffnen.

Im Bearbeitungsfenster DHCP-Einstellungen für ein Interface können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der DHCP-Server auf diesem Interface aktiv (I) oder inaktiv (O) ist. Indem Sie auf den Schiebeschalter klicken, können Sie den Status des DHCP-Servers auf diesem Interface ändern.

Im Tab Allgemein :

	BeschreibungEingabefeld
Netzwerk	Wählen Sie aus der Drop-Down-Liste das Subnetz aus, dessen IP-Adressen vom DHCP-Server verteilt werden. Mit der Auswahl des Subnetzes werden die Eingabefelder IP-Bereich: Start und IP-Bereich: Ende automatisch mit dem jeweiligen IP-Bereich ausgefüllt.
IP-Bereich: Start	Wenn die vorausgefüllte Start-IP-Adresse nicht Ihren Anforderungen entspricht, können Sie den Eintrag bearbeiten, um den Bereich festzulegen, aus dem IP-Adressen an die Clientcomputer verteilt werden.
IP-Bereich: Ende	Wenn die vorausgefüllte End-IP-Adresse nicht Ihren Anforderungen entspricht, können Sie den Eintrag bearbeiten, um den Bereich festzulegen, aus dem IP-Adressen an die Clientcomputer verteilt werden.Stellen Sie sicher, dass die permanenten IP-Adressen nicht im IP-Adressbereich des DHCP-Servers liegen, da permanente IP-Adressen bei der dynamischen Adresszuweisung nicht automatisch ausgeschlossen werden. Adressen könnten ansonsten doppelt vergeben werden.
Lease Time	Geben Sie den Zeitraum, innerhalb dessen ein Computer über eine gültige IP-Adresse verfügt, in Minuten an. Die standardmäßige Nutzungsdauer beträgt 60 Minuten.
Gateway	Falls die vorausgefüllte Gateway-Adresse, die an den Client weitergegeben wird, nicht Ihren Anforderungen entspricht, können Sie den Eintrag bearbeiten. Die standardmäßige IP-Adresse des Gateways ist normalerweise die IP-Adresse Ihrer LANCOM R&S®Unified Firewall.
WINS-Server	Optional: Wenn Sie einen WINS-Server in Ihrem Netzwerk haben, teilen Sie dies über dieses Eingabefeld den Clients mit.
Bevorzugter NTP-Server / Alternativer NTP-Server	Optional: Clients können NTP-Server nutzen, um die exakte Zeit festzustellen. Dies ist besonders für die Benutzerauthentifizierung über Windows-Server wichtig.
Bevorzugter DNS-Server / Alternativer DNS-Server	Falls Ihre LANCOM R&S®Unified Firewall keine Namensauflösung durchführt, geben Sie DNS-Server ein, die sich im Netzwerk oder im Internet befinden. Andernfalls bekommen die Clients die IP-Adressen von Ihrer LANCOM R&S®Unified Firewall als DNS-Server zugewiesen.
DNS-Such-Domänen	Geben Sie eine DNS-Suchdomain ein, die der DNS-Dienst nutzt, um Hostnamen aufzulösen, die nicht vollständig qualifizierte Domainnamen sind.Klicken Sie auf ☐im die DNS-Suchdomain zur Liste hinzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.
	Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.

Im Tab Statische IP-Adressen :

BeschreibungEingabefeld
MAC-Adresse / IP-Adresse / Host-Name	Legen Sie eine statische IP-Adresse für einen Host im Netzwerk fest, indem Sie die MAC-Adresse und IP-Adresse des Hosts eingeben. Zusätzlich können Sie den Hostnamen eingeben. Klicken Sie aufHinzufügen, um die statische IP-Adresse zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.
Aus dem ARP-Cache hinzufügen	Wählen Sie aus der Drop-down-Liste die Adressen aus, die Sie aus dem ARP-Cache hinzufügen möchten.

Klicken Sie auf OK, um die Einstellungen zu speichern und zum Bearbeitungsfenster DHCP-Einstellungen zurückzukehren.

DHCP-Relay-Einstellungen

Ein DHCP-Relay leitet eingehende Anfragen an einen DHCP-Server an ein anderes Netzwerk weiter, da DHCP-Anfragen nicht geroutet werden können.

BeschreibungEingabefeld
DHCP-Server-IP-Adresse	Geben Sie die IP-Adresse des Servers ein, an den DHCP-Anfragen weitergeleitet werden.
Relay über diese Interfaces	Wählen Sie ein oder mehrere Interfaces aus, von denen DHCP-Anfragen weitergeleitet werden. Wählen Sie außerdem das Interface aus, mit dem der DHCP-Server verbunden ist.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

DNS-Einstellungen

Navigieren Sie zu Netzwerk > DNS-Einstellungen, um die DNS-Einstellungen auf Ihrer LANCOM R&S® Unified Firewall zu konfigurieren.

Normalerweise werden die DNS-Server-Einstellungen von der WAN-Verbindung vorgegeben. Sie sollten die DNS-Server-Einstellungen nur konfigurieren müssen, wenn Sie sie nicht über die WAN-Verbindung beziehen können.

Im Bearbeitungsfenster DNS-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
DNS-Server beziehen	Setzen Sie den Haken in diesem Kontrollkästchen, um eine Verbindung mit einem vom Router des Providers gewählten DNS-Server herzustellen.
	! Falls Sie mehrere Internetleitungen von verschiedenen Providern verwenden, stellen Sie sicher, dass die von Ihnen verwendeten DNS-Server von allen Leitungen erreicht werden können. Verwenden Sie, falls notwendig, öffentliche DNS-Server im Internet.
	Legen Sie einen alternativen DNS-Server fest, indem Sie dessen IP-Adresse eingeben.Nameserver

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

DynDNS-Accounts

Um sich aus einem externen Netzwerk, beispielsweise über eine VPN-Verbindung, mit Ihrer LANCOM R&S ^® Unified Firewall verbinden zu können, muss die IP-Adresse Ihres Geräts im Internet erkannt werden. Durch die Verwendung des dynamischen DNS („DynDNS“) erhält Ihre LANCOM R&S ^® Unified Firewall einen festen Hostnamen (z. B. firmenname.dyndns.org), selbst wenn es selbst keine feste öffentliche IP-Adresse hat. Dies ist möglich, indem die aktuelle IP-Adresse an einen DynDNS-Provider gesendet wird, der sie einem Domain-Namen zuordnet, sodass die Firewall über diesen Domain-Namen zugänglich ist. Falls sich die IP-Adresse zum Beispiel durch eine durch Ihren Internetprovider ausgelöste Verbindungstrennung ändert, wird die IP-Adresse erneut an den DynDNS-Provider gesendet. So wird sichergestellt, dass die dynamische DNS immer auf die aktuelle IP-Adresse verweist.

Um DynDNS auf Ihrer LANCOM R&S ^® Unified Firewall einzurichten, benötigen Sie einen konfigurierten DynDNS-Account bei einem DynDNS-Provider. Weitere Informationen zum dynamischen DNS und der Registrierung für das dynamische DNS-Verfahren finden Sie zum Beispiel unter www.dyndns.org.

Weiterführende Informationen zu DynDNS-Accounts finden Sie in den folgenden Abschnitten.

Übersicht DynDNS-Accounts

Navigieren Sie zu Netzwerk > DynDNS-Konten, um die Liste der derzeit im System angelegten DynDNS-Accounts in der Objektleiste anzuzeigen.

In der erweiterten Ansicht zeigen die Tabellenspalten den Hostname des DynDNS-Account, den Server-Typ des Accounts und den Status an. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für einen vorhandenen DynDNS-Account einsehen und anpassen, einen Account ausgehend von einer Kopie eines vorhandenen DynDNS-Accounts anlegen oder einen Account aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen zu DynDNS-Accounts

Unter Netzwerk > DynDNS-Konten können Sie einen neuen, benutzerdefinierten DynDNS-Account für generellen WAN-Zugang hinzufügen, oder einen vorhandenen bearbeiten.

Im Bearbeitungsfenster DynDNS-Konto können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der DynDNS-Account derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status des DynDNS-Accounts ändern. Ein neuer DynDNS-Account ist standardmäßig aktiviert.
Internet-Verbindung	Wählen Sie aus der Drop-Down-Liste die von diesem Account verwendete Internetverbindung aus.
Server-Typ	Wählen Sie aus der Drop-Down-Liste der unterstützten DynDNS Dienste den Typ des zu verwendenden Servers aus.
Hostname	DynDNS-Dienste bieten einen Domain-Nameneintrag unter ihrer Aufsicht an. Folglich trägt ein registrierter Host immer das Suffix des Dienstanbieters (z. B. IhrName.dynamicdns.org). Tragen Sie den vollständigen Hostnamen in dieses Eingabefeld ein.
Benutzername	Geben Sie den Benutzernamen ein, mit dem Ihr Account beim DynDNS-Provider angemeldet werden soll.
Kennwort	Geben Sie das Passwort ein, mit dem Ihr Account beim DynDNS-Provider angemeldet werden soll.
Zeige Passwort	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort zu verifizieren.
Benutzerdefinierte Server-Adresse	Optional: Geben Sie die Adresse des Servers ein, falls Sie für Ihren DynDNS-Provider eine abweichende Serveradresse festlegen müssen.
MX Record	Optional: Wenn Sie einen MX-Record einsetzen möchten, geben Sie dessen IP-Adresse oder Hostnamen ein.
Wildcards	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um die Verwendung von Wildcards in Hostnamen zu aktivieren, wenn Sie Subdomains Ihres DynDNS-Accounts verwenden möchten (z. B. werden mit: *.IhrName.dynamicdns.org alle Domains, die auf yourname.dynamicdns.org enden, aufgelöst).

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen DynDNS-Account hinzufügen oder einen bestehenden Account bearbeiten. Klicken Sie für einen neu konfigurierten Account auf Erstellen, um den Account zur Liste der verfügbaren DynDNS-Accounts hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Accounts klicken Sie auf Speichern, um den neu konfigurierten Account zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Interfaces

Navigieren Sie zu Netzwerk > Interfaces, um Ethernet-, VLAN-, Bridge-, PPP- und WLAN-Interfaces zu konfigurieren. In der Objektleiste erhalten Sie eine Übersicht aller aktuell im System angelegten Interfaces.

Gebündelte Interfaces

Nutzen Sie die Einstellungen unter Gebündelte Interfaces, um mehrere physische Ethernet-Interfaces zu einem logischen gebündelten Interface zu bündeln. Je nach Betriebsmodus bietet ein gebündeltes Interface die folgenden Vorteile:

Lastverteilung – Ein gebündeltes Interface bietet eine größere Bandbreite, indem alle verbundenen Ethernet-Interfaces parallel zur Datenübertragung genutzt werden können.
Hochverfügbarkeit – Falls ein Ethernet-Interface ausfällt, können auf den übrigen Ethernet-Interfaces weiterhin Daten empfangen und übertragen werden.

Sie können eine beliebige Anzahl an gebündelten Interfaces hinzufügen, solange Ethernet-Interfaces verfügbar sind, die nicht durch andere Interfaces oder in anderen Netzwerkverbindungen verwendet werden.

In den folgenden Abschnitten finden Sie weitere Informationen zu gebündelten Interfaces.

Übersicht gebündelte Interfaces

Navigieren Sie zu Netzwerk > Interfaces > Gebündelte Interfaces, um die Liste der derzeit im System angelegten gebündelten Interfaces in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Spalte der Tabelle der Name des gebündelten Interfaces angezeigt. Die Spalte Status zeigt einen der folgenden Statusindikatoren an.

Grün – Das gebündelte Interface ist aktiv.
Grau – Das gebündelte-Interface ist inaktiv.

Außerdem werden die Ports (d. h. die Ethernet-Interfaces), die dem gebündelten Interface zugewiesen sind, angezeigt. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes gebündeltes Interface ansehen und anpassen oder ein gebündeltes Interface aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für gebündelte Interfaces

Nutzen Sie die Einstellungen unter Gebündelte Interfaces, um benutzerdefinierte, gebündelte Interfaces zu konfigurieren.

Unter Netzwerk > Interfaces > Gebündelte Interfaces können Sie ein neues gebündeltes Interface hinzufügen oder ein vorhandenes gebündeltes Interface bearbeiten.

Im Bearbeitungsfenster Gebündeltes Interface können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob das gebündelte Interface aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status des gebündelten Interfaces ändern. Neu angelegte gebündelte Interfaces sind standardmäßig aktiviert.
Name	Zeigt den Namen des gebündelten Interfaces an. Der Name wird automatisch generiert. Gebündelte Interfaces werden in der Reihenfolge ihrer Erstellung nummeriert, angefangen mit bond0.
	Zeigt die Hardwareadresse (MAC-Adresse) des gebündelten Interfaces an.Hardware-Adresse
Verwendet von	Zeigt die Netzwerkkomponenten (z. B. Verbindungen, andere Interfaces, etc.) an, die das gebündelte Interface verwenden.BeschreibungEingabefeld
Modus	Wählen Sie aus der Drop-Down-Liste den Betriebsmodus des gebündelten Interfaces aus und legen Sie fest, wie die Interfaces verbunden werden sollen.Die Option ist standardmäßig auf IEEE 802.1AX (LACP, Direktverbindung) gesetzt, Sie können die Einstellungen jedoch je nach Bedarf auf einen der anderen Werte setzen:> Balance - Round-Robin (Trunk, Direktverbindung)- Dieser Modus bietet Lastverteilung und Hochverfügbarkeit. Pakete werden nacheinander vom ersten verfügbaren verbundenen Ethernet-Interface bis zum letzten übertragen, daraufhin wird wieder mit dem ersten verbundenen Ethernet-Interface begonnen.> Broadcast (Trunk, Direktverbindung) - Dieser Modus bietet nur Hochverfügbarkeit. Daten werden nur vom aktiven Ethernet-Interface (d. h. dem ersten Ethernet-Interface auf der Liste) übertragen und empfangen, solange dieses nicht ausfällt. Fällt das erste Ethernet-Interface aus, wird das nächste Ethernet-Interface auf der Liste zum Übertragen und Empfangen der Daten genutzt.> Balance - XOR (Trunk, Direktverbindung) - Dieser Modus bietet Lastverteilung und Hochverfügbarkeit. Pakete werden auf allen Ethernet-Interfaces übertragen. Ein einfacher Algorithmus (Layer2+3 XOR) wird angewandt, um festzulegen, welches Ethernet-Interface zur Datenübertragung genutzt wird.> Broadcast (Trunk, Direktverbindung) - Dieser Modus bietet nur Hochverfügbarkeit. Daten werden auf allen Ethernet-Interfaces gleichzeitig übertragen und empfangen.> IEEE 802.1AX (LACP, Direktverbindung) - Dieser Modus bietet Lastverteilung und Hochverfügbarkeit nach der LACP-Norm (Link Aggregation Control Protocol). Pakete werden auf allen Ethernet-Interfaces übertragen. Ein einfacher Algorithmus (Layer2+3 XOR) wird angewandt, um festzulegen, welches Ethernet-Interface zur Datenübertragung genutzt wird.> Balance - TLB (Bridge) - Dieser Modus bietet Lastverteilung und Hochverfügbarkeit. Zusätzlich zum einfachen Auswahlalgorithmus (Layer2+3 XOR) wird die aktuelle Last des Ethernet-Interfaces in die Entscheidung, welches Ethernet-Interface zur Datenübertragung genutzt wird, miteinbezogen.> Balance - ALB (Bridge) - Dieser Modus bietet Lastverteilung und Hochverfügbarkeit. Daten werden über ARP-Aushandlung empfangen. Zusätzlich zum einfachen Auswahlalgorithmus (Layer2+3 XOR) wird die aktuelle Last des Ethernet-Interfaces in die Entscheidung, welches Ethernet-Interface zur Datenübertragung genutzt wird, miteinbezogen.
Ports	Fügen Sie die Interfaces hinzu, die Sie zu einem logischen Link verbinden möchten, indem Sie in das Eingabefeld klicken. Sie können beliebig viele verfügbare Ethernet-Interfaces auswählen.
	! Sie können nur Ethernet-Interfaces auswählen, die nicht von anderen Interfaces oder in anderen Netzwerkverbindungen verwendet werden.Die ausgewählten Ethernet-Interfaces werden in einer Tabelle unten im Bearbeitungsfenster angezeigt.Um ein Element aus dem Eingabefeld zu entfernen, klicken Sie auf ✗uf der linken Seite des Eintrags.
MTU	Legen Sie die maximale Paketgröße in Bytes fest. Die maximale Übertragungseinheit kann jede ganze Zahl zwischen 64 und 16384 sein.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues gebündeltes Interface hinzufügen oder ein bestehendes bearbeiten. Klicken Sie für ein neu konfiguriertes gebündeltes Interface auf Erstellen, um das gebündelte Interface zur Liste der verfügbaren gebündelten Interfaces hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen gebündelten Interfaces klicken Sie auf Speichern, um

3 Benutzeroberfläche

das neu konfigurierte gebündelte Interface zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Bridge-Interfaces

Nutzen Sie die Einstellungen unter Bridge Interfaces, um zwei Interfaces und deren Netzwerke auf Layer 2 zu verbinden, sodass sie eine gemeinsame Broadcast-Domäne ergeben.

In den folgenden Abschnitten finden Sie weitere Informationen zu Bridge-Interfaces.

Übersicht Bridge-Interfaces

Navigieren Sie zu Netzwerk > Interfaces > Bridge Interfaces, um die Liste der derzeit im System angelegten Bridge-Interfaces in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Spalte der Tabelle der Name des Bridge-Interfaces angezeigt. Die Spalte Status zeigt einen der folgenden Statusindikatoren an.

Grün – Das Bridge-Interface ist aktiviert.
Orange – Das Bridge-Interface ist deaktiviert.

Außerdem werden die Ports, die dem Bridge-Interface zugewiesen sind, angezeigt. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Bridge-Interface einsehen und anpassen, ein neues Bridge-Interface ausgehend von einer Kopie eines vorhandenen Bridge-Interfaces anlegen, oder ein Bridge-Interface aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen zu Bridge-Interfaces

Nutzen Sie die Einstellungen unter Bridge Interfaces, um benutzerdefinierte Bridge-Interfaces zu konfigurieren.

Unter Netzwerk > Interfaces > Bridge Interfaces können Sie ein neues Bridge-Interface hinzufügen, oder ein vorhandenes bearbeiten.

Im Bearbeitungsfenster Bridge Interface können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob das Bridge-Interface aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status des Bridge-Interfaces ändern. Neu angelegte Bridge-Interfaces sind standardmäßig aktiviert.
Name	Zeigt den Namen des Bridge-Interfaces an. Der Name wird automatisch generiert. Bridges werden in der Reihenfolge ihrer Erstellung nummeriert, angefangen mit br0.
	Zeigt die Hardwareadresse (MAC-Adresse) des Bridge-Interfaces an.Hardware-Adresse
Verwendet von	Zeigt die Netzwerkkomponenten (z. B. Verbindungen, andere Interfaces etc.) an, die das Bridge-Interface verwenden.
Ports	Fügen Sie die Ports hinzu, die das Bridge-Interface zusammenschließt, indem Sie in das Eingabefeld klicken. Sie können beliebig viele VLAN-Interfaces oder andere Bridge-Interfaces auswählen.Um ein Element aus dem Eingabefeld zu entfernen, klicken Sie auf ✗uf der linken Seite des Eintrags.Die ausgewählten Ports werden in einer Tabelle unten im Bearbeitungsfenster angezeigt.!Bridges können nicht mit Interfaces erstellt werden, die bereits als Teil einer anderen Bridge verwendet werden.
MTU	Legen Sie die maximale Paketgröße in Bytes fest. Die maximale Übertragungseinheit kann jede ganze Zahl zwischen 64 und 16384 sein.
Spanning Tree Protocol	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Spanning Tree Protocol zu aktivieren. Dieses ist standardmäßig deaktiviert.
Priorität	Nur verfügbar, wennSpanning Tree Protocolaktiviert ist: Legen Sie die Priorität der Bridge fest. Geben Sie ein Vielfaches von 4096 im Bereich von 4096 bis 61440 ein.
Hello-Intervall	Nur verfügbar, wennSpanning Tree Protocolaktiviert ist: Legen Sie das Hello-Intervall in Sekunden fest. Geben Sie eine beliebige ganze Zahl zwischen 1 und 10 ein.
	Diese Tabelle zeigt die für das Bridge-Interface ausgewählten Ports an.PortsWennSpanning Tree Protocolaktiviert ist, können Sie mit den Schaltflächen auf der rechten Seite jedes Eintrags diePrioritätundKostendes jeweiligen Ports festlegen, oder den Port aus dem Bridge-Interface entfernen.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues Interface hinzufügen oder ein bestehendes bearbeiten. Klicken Sie für ein neu konfiguriertes Bridge-Interface auf Erstellen, um es zur Liste der verfügbaren Bridge-Interfaces hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Bridge-Interfaces klicken Sie auf Speichern, um das neu konfigurierte Bridge-Interface zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Ethernet-Interfaces

Die physischen Ethernet-Interfaces erhalten die folgenden standardmäßigen IP-Adressen: 192.168.X.254/24 (X steht für die Nummer der Interfaces, die IP-Adresse von eth0 ist also 192.168.0.254).

In den folgenden Abschnitten finden Sie detailliertere Informationen zu Ethernet-Interfaces.

Übersicht Ethernet-Interfaces

Navigieren Sie zu Netzwerk > Interfaces > Ethernet-Interfaces, um die Liste der derzeit im System angelegten Ethernet-Interfaces in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Spalte der Tabelle der Name des Ethernet-Interfaces angezeigt. Die Spalte Status zeigt einen der folgenden Statusindikatoren an.

Grün – Das Ethernet-Interface ist aktiv.
Grau – Das Ethernet-Interface ist inaktiv.

Außerdem wird die Geschwindigkeit des Ethernet-Interfaces angezeigt. Mit der Schaltfläche in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Ethernet-Interface einsehen und bearbeiten.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen zu Ethernet-Interfaces

Unter Netzwerk > Interfaces > Ethernet-Interfaces können Sie weiterführende Informationen zu den verfügbaren Ethernet-Interfaces anzeigen und die entsprechenden Einstellungen anpassen.

Im Bearbeitungsfenster Ethernet-Interface können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

3 Benutzeroberfläche

BeschreibungEingabefeld
Name	Zeigt den Namen des Ethernet-Interfaces an, z. B. eth0.
	Zeigt eine kurze Beschreibung des Ethernet-Interfaces an.Beschreibung
	Zeigt die Hardwareadresse (MAC-Adresse) des Ethernet-Interfaces an.Hardware-Adresse
	Zeigt die Verbindung an, die zurzeit das Ethernet-Interface verwendet.Verwendet von
	Zeigt den Status des Ethernet-Interfaces an.StatusDer Status kann einer der folgenden sein:> aktiv – Das Ethernet-Interface ist aktiviert.> abgeschaltet – Das Ethernet-Interface ist deaktiviert.
	Gibt die Geschwindigkeit (z. B. in Gbit/s) des Ethernet-Interfaces an.Geschwindigkeit
Duplex	Zeigt den Duplex-Modus des Ethernet-Interfaces an, z. B. full.
Typ	Zeigt den mit dem Interface verbundenen Kabeltyp an, z. B. twisted pair.
I/O	Ein Schiebeschalter gibt an, ob der Ethernet-Interface-Link aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status des Ethernet-Interface-Links ändern.
MTU	Legen Sie die maximale Paketgröße in Bytes fest. Die maximale Übertragungseinheit kann jede ganze Zahl zwischen 64 und 16384 sein.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

PPP-Interfaces

Mit den Einstellungen unter PPP-Interfaces können Sie Interfaces unter Verwendung des Point-to-Point-Protokolls erstellen.

In den folgenden Abschnitten finden Sie detailliertere Informationen zu PPP-Interfaces.

Übersicht PPP-Interfaces

Navigieren Sie zu Netzwerk > Interfaces > PPP-Interfaces, um die Liste der derzeit im System angelegten PPP-Interfaces in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Tabellenspalte der Name des PPP-Interfaces angezeigt. Die Spalte Status zeigt einen der folgenden Statusindikatoren an.

Grün – das PPP-Interface ist aktiviert.
Orange – das PPP-Interface ist deaktiviert.

Außerdem wird das Haupt-Interface angezeigt, zu dem das PPP-Interface gehört. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes PPP-Interface einsehen und anpassen, ein neues PPP-Interface ausgehend von einer Kopie eines vorhandenen PPP Interfaces anlegen, oder ein PPP-Interface aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen zu PPP-Interfaces

Nutzen Sie die Einstellungen unter PPP-Interfaces, um benutzerdefinierte PPP-Interfaces zu konfigurieren.

Unter Netzwerk > Interfaces > PPP-Interfaces können Sie ein neues PPP-Interface hinzufügen, oder ein bestehendes bearbeiten.

Im Bearbeitungsfenster PPP-Interfaces können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob das PPP-Interface aktiv (I) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status des PPP-Interfaces ändern. Neu angelegte PPP-Interfaces sind standardmäßig aktiviert.
Haupt-Interface	Wählen Sie aus der Drop-Down-Liste das Ethernet-, VLAN- oder Bridge-Interface aus, das dem PPP-Interface als Gegenstelle zugeordnet wird.
LCP Echo-Intervall	Legen Sie das Intervall in Sekunden fest, in dem Ihre LANCOM R&S®Unified Firewall Echo-Anfragen an die Gegenstelle sendet, indem Sie einen ganzzahligen Wert von 1 bis 1800 eingeben.
LCP Echo-Fehlerzahl	Legen Sie die Zahl der unbeantworteten LCP-Echo-Anfragen fest, nach denen die Gegenstelle als nicht erreichbar betrachtet wird, indem Sie einen ganzzahligen Wert von 0 bis 64 eingeben. Wenn Sie 0 eingeben, werden unbeantwortete Anfragen ignoriert.
MTU	Legen Sie die maximale Paketgröße in Bytes fest. Die maximale Übertragungseinheit kann jede ganze Zahl zwischen 64 und 16384 sein.
MRU	Geben Sie die maximale Empfangseinheit an, indem Sie einen ganzzahligen Wert zwischen 128 und 16384 eingeben.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues PPP-Interface hinzufügen oder ein bestehendes bearbeiten. Klicken Sie für ein neu konfiguriertes PPP-Interface auf Erstellen, um es zur Liste der verfügbaren PPP-Interfaces hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen PPP-Interfaces klicken Sie auf Speichern, um das neu konfigurierte Interface zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VLAN-Interfaces

Mit den Einstellungen unter VLAN-Interfaces können Sie dem Datenverkehr eines bestimmten Interfaces benutzerdefinierte Tags zuweisen.

Dadurch können Sie „virtual interfaces“ anlegen, die es Ihnen ermöglichen, mehrere logische Netzwerkzonen auf ein physisches Interface zu legen. Wenn ein VLAN-Tag einem Netzwerk-Interface zugeordnet wird, wird der Tag an alle ausgehenden Pakete angefügt, die über dieses virtuelle Interface versandt werden und von denjenigen eingehenden Paketen entfernt, die über dieses VLAN empfangen werden. Mit jedem Netzwerk-Interface können mehrere VLANs verknüpft werden. Pakete mit verschiedenen Tags können verarbeitet und den entsprechenden Interfaces zugeordnet werden.

In den folgenden Abschnitten finden Sie detailliertere Informationen zu VLAN-Interfaces.

Übersicht VLAN-Interfaces

Navigieren Sie zu Netzwerk > Interfaces > VLAN-Interfaces, um die Liste der derzeit im System angelegten VLAN-Interfaces in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Tabellenspalte der Name des VLAN-Interfaces angezeigt. Die Spalte Status zeigt einen der folgenden Statusindikatoren an.

Grün – das VLAN-Interface ist aktiviert.
Orange – das VLAN-Interface ist deaktiviert.

Außerdem werden das zum VLAN gehörige Haupt-Interface und der VLAN-Tag angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes VLAN einsehen und anpassen, ein neues VLAN-Interface ausgehend von einer Kopie eines vorhandenen anlegen, oder ein VLAN-Interface aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen zu VLAN-Interfaces

Mit den Einstellungen unter VLAN-Interfaces können Sie benutzerdefinierte Tags für das Virtual Local Area Network (virtuelles lokales Netzwerk) konfigurieren, die dem gesamten Traffic an einem bestimmten Interface hinzugefügt werden.

Unter Netzwerk > Interfaces > VLAN-Interfaces können Sie ein neues VLAN-Interface hinzufügen oder ein vorhandenes bearbeiten.

Im Bearbeitungsfenster VLAN-Interface können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob das VLAN-Interface aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status des VLAN-Interfaces ändern. Neu angelegte VLAN-Interfaces sind standardmäßig aktiviert.
Name	Zeigt den Namen des VLAN-Interfaces an. Der Name wird automatisch generiert und enthält den VLAN-Tag und das zugrundeliegende Haupt-Interface.
Hardware-Adresse	Nur für bearbeitete VLAN-Interfaces: Zeigt die Hardwareadresse (MAC-Adresse) des zugrundeliegenden Haupt-Interface an.
Verwendet von	Zeigt die Netzwerkkomponenten (z. B. Verbindungen, andere Interfaces etc.) an, die das VLAN-Interface verwenden.
Haupt-Interface	Nur für bearbeitete VLAN-Interfaces: Wählen Sie aus der Drop-Down-Liste das Ethernet- oder Bridge-Interface aus, mit dem das VLAN-Interface verknüpft ist.Nur für bearbeitete VLAN-Interfaces: Zeigt das Ethernet- oder Bridge-Interface an, mit dem das VLAN-Interface verknüpft ist.
VLAN-Tag	Geben Sie den Textinhalt des VLAN-Tag ein. Der Tag kann jeden ganzzahligen Wert zwischen 1 und 4094 enthalten.
MTU	Legen Sie die maximale Paketgröße in Bytes fest. Die maximale Übertragungseinheit ist auf die maximale Übertragungseinheit des zugrundeliegenden Master-Interfaces beschränkt.
	Aufgrund einer Beschränkung des Systemkerns ist die maximale Übertragungseinheit auf die maximale Übertragungseinheit des zugrundeliegenden Interfaces beschränkt.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues VLAN-Interface hinzufügen oder ein bestehendes VLAN bearbeiten. Klicken Sie für ein neu konfiguriertes VLAN-Interface auf Erstellen, um es zur Liste der verfügbaren VLAN-Interfaces hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen VLAN-Interfaces klicken Sie auf Speichern, um das neu konfigurierte VLAN-Interface zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Unter Netzwerk > QoS können Sie Quality of Service für Ihre Internetverbindungen aktivieren, also für diejenigen Netzwerk- und PPP-Verbindungen, für die Sie ein Standard-Gateway eingerichtet haben.

Quality of Service (QoS) priorisiert die Verarbeitung ausstehender Netzwerkpakete in Ihrer LANCOM R&S ^® Unified Firewall nach Type of Service (ToS)-Flags. So können systemkritische Anwendungen wie beispielsweise Voice over IP (RTP) priorisiert werden.

Als zwingende Voraussetzung für Quality of Service müssen Anwendungen oder Geräte (wie etwa VoIP-Telefonsysteme) das ToS-Feld im IP-Datenpaket setzen. Ihre LANCOM R&S ^® Unified Firewall sortiert die Pakete dann nach dem Wert im ToS-Feld und reiht sie in Warteschlangen mit unterschiedlichen Prioritäten ein. Datenpakete in der Warteschlange mit

der höchsten Priorität werden sofort weitergeleitet. Datenpakete in Warteschlangen mit niedrigerer Priorität werden nur dann weitergeleitet, wenn alle Warteschlangen mit jeweils höherer Priorität bereits bearbeitet wurden.

QoS-Einstellungen

Navigieren Sie zu Netzwerk > QoS > QoS-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Quality of Service-Einstellungen einsehen, aktivieren und anpassen können.

Im Bearbeitungsfenster QoS-Einstellungen können Sie die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob Quality of Service derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status des QoS.
QoS-Dienste	Geben Sie einen Dienst ein, für den Sie QoS aktivieren möchten. Geben Sie den Hexadezimal Wert des ToS-Felds an, das die Anwendung oder das Gerät für den Dienst definiert.Klicken Sie auf um den Dienst zur Liste hinzuzufügen. Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	!Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.Klicken Sie auf , oder bewegen Sie einen Eintrag per Drag and Drop, um die Priorität der Dienste zu ändern. Der erste Dienst auf der Liste hat die höchste Priorität.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

QoS-Verbindungen

Mit den Einstellungen unter Verbindungen können Sie Quality-of-Service-Verbindungen konfigurieren.

Die hier konfigurierten QoS-Verbindungen werden nur hergestellt, wenn Quality of Service für Internetverbindungen aktiviert wurde. Weitere Informationen finden Sie unter QoS-Einstellungen auf Seite 91.

Weiterführende Informationen zu QoS-Verbindungen finden Sie in den folgenden Abschnitten.

QoS-Verbindungsübersicht

Navigieren Sie zu Netzwerk > QoS > Verbindungen, um die Liste der derzeit im System angelegten QoS-Verbindungen in der Objektleiste anzuzeigen.

In der erweiterten Ansicht zeigen die Tabellenspalten den Namen der Verbindung und die konfigurierten Download- und Upload-Bandbreitenschwellen an. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene QoS-Verbindung einsehen und anpassen oder eine Verbindung aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für QoS-Verbindungen

Mit den Einstellungen unter QoS-Verbindung können Sie die folgenden Elemente für Quality of Service konfigurieren:

BeschreibungEingabefeld
Internet-Verbindung	Wählen Sie aus der Drop-down-Liste die Internetverbindung aus, für die Sie Quality of Service einrichten möchten.
Download-Rate/Upload-Rate	Um Quality of Service zu aktivieren, geben Sie die Bandbreitenschwellen ein, die für QoS-Dienste dieser Verbindung reserviert werden sollen. Die beiden Eingabefelder legen die maximale Bandbreite (in Kbit/s) für den Download und den Upload fest.Wenn Sie beide Felder auf 0 setzen, wird Quality of Service für diese QoS-Verbindung nicht verwendet.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Routing

Nutzen Sie die Einstellungen unter Routing, um Routingtabellen und Routing-Regeln zu konfigurieren.

Über die Routingeinstellungen können Sie benutzerdefinierte Routen anlegen, die genutzt werden, um Computer in einem bestimmten Zielnetzwerk zu erreichen.

Routen zwischen Netzwerkobjekten werden automatisch erstellt und verborgen. Normalerweise müssen Sie keine Routen erstellen, es sei denn, Sie haben einen übergeordneten Router, der spezielle Routen erfordert. Um den Datenverkehr zwischen den Netzwerkobjekten zu beeinflussen, erstellen Sie wie unter Einstellungen für Firewall-Regeln auf Seite 25beschrieben eine Firewall-Regel.

Routing-Regeln

Routing-Regeln legen fest, welche Pakete von welcher Routingtabelle verwaltet werden. Dies ermöglicht ein differenzierteres Routing, da Routing-Regeln mehr Felder des IP-Headers in die Routingentscheidung einbeziehen, während Routingtabellen nur die Ziel-IP-Adresse beachten.

Übersicht Routing-Regeln

Navigieren Sie zu Netzwerk > Routing-Regeln, um die Liste der Routing-Regeln anzuzeigen, die derzeit im System angelegt sind.

Über die Plus-Schaltfläche über den Filtereinstellungen können Sie neue Routing-Regeln anlegen.

Mit den Filtereinstellungen können Sie die Ergebnisse eingrenzen und nur Einträge anzeigen, die einen bestimmten Suchbegriff enthalten. Sie können Inhalte filtern, indem Sie die gewünschten Optionen aus der Drop-down-Liste auswählen und / oder einen Suchbefehl im jeweiligen Eingabefeld eingeben. Klicken Sie auf Anwenden, um die gewählten Filteroptionen anzuwenden. Die Liste der Routing-Regeln zeigt nun Ihre Filterergebnisse an. Klicken Sie auf Zurücksetzen, um die gewählten Filteroptionen wieder zu entfernen und eine ungefilterte Ansicht der Liste der Routing-Regeln anzuzeigen.

Die Tabellenspalten der Liste der Routing-Regeln zeigen die Priorität der jeweiligen Routing-Regel an, die Selektoren, mit denen definiert werden kann, welcher Traffic geroutet wird und ob es sich um eine Systemregel handelt oder nicht. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Routing-Regel einsehen und anpassen oder eine Regel aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Vom System vorgesehene Routing-Regeln können nicht angepasst oder gelöscht werden.

Klicken Sie auf ✗ in der rechten oberen Ecke des Fensters, um das Fenster Routing-Regeln zu schließen.

Einstellungen für Routing-Regeln

Unter Netzwerk > Routing-Regeln können Sie eine neue Routing-Regel hinzufügen oder eine vorhandene bearbeiten.

Im Bearbeitungsfenster Routing-Regel können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Priorität	Bestimmen Sie die Priorität einer benutzerdefinierten Routing-Regel, indem Sie einen ganzzahligen Wert zwischen 64 und 32767 eingeben.BeschreibungEingabefeld
	Die Regeln werden nach aufsteigender Priorität geordnet. Das System beginnt also, angefangen mit der Systemregel mit der Priorität 0, die Liste der Regeln zu durchlaufen, bis es auf eine Regel stößt, deren Selektoren komplett mit dem Paket übereinstimmen. Die für diese Regel bestimmte Aktion wird dann ausgeführt.
Quell-Subnetz	Optional: Geben Sie die IP-Adresse des Quell-Subnetzes in CIDR-Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/“ und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.0/24).
Ziel-Subnetz	Optional: Geben Sie die IP-Adresse des Ziel-Subnetzes in CIDR-Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/“ und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.0/24).
Eingangs-Interface	Optional: Wählen Sie eines der auf Ihrer LANCOM R&S®Unified Firewall definierten Interfaces als Eingabe-Interface aus.
Ausgangs-Interface	Optional: Wählen Sie eines der auf Ihrer LANCOM R&S®Unified Firewall definierten Interfaces als Ausgabe-Interface aus.
TOS	Optional: Geben Sie den Type of Service-Wert an, indem Sie eine Hexadezimalzahl zwischen 0 und FF eingeben.
	Bestimmen Sie eine Aktion für die Regel:Aktion> Goto – Geben Sie die Priorität einer anderen Routing-Regel ein. Wenn ein Paket mit den Selektoren in der Regel übereinstimmt, springt es zu der Regel mit der angegebenen Goto-Priorität.> Tabelle – Geben Sie die Nummer einer Routingtabelle ein. Wenn ein Paket mit den Selektoren in der Regel übereinstimmt, durchläuft es die angegebene Routingtabelle. Wenn eine der Routen in der Tabelle mit dem Paket übereinstimmt, wird es entsprechend geroutet. Wenn nicht, durchläuft das Paket weiter die Liste der Routing-Regeln.Der hier eingegebene Parameter wird in der Tabellenspalte Aktions-Parameter der Liste der Routing-Regeln angezeigt (weitere Informationen hierzu finden Sie unter Übersicht Routing-Regeln auf Seite 92).

Wenn Sie keinen der Selektoren bestimmen, stimmt der gesamte Datenverkehr mit der Regel überein.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue Routing-Regel hinzufügen oder eine bestehende Regel bearbeiten. Klicken Sie für eine neu konfigurierte Routing-Regel auf Erstellen, um die Regel zur Liste der verfügbaren Routing-Regeln hinzuzufügen, oder auf Abbrechen, um die Erstellung einer neuen Regel abzubrechen. Zum Bearbeiten einer vorhandenen Regel klicken Sie auf Speichern, um die neu konfigurierte Regel zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Routingtabellen

Routingtabellen routen Pakete nach ihrer Ziel-IP-Adresse durch das Netzwerk.

In den folgenden Abschnitten finden Sie weiterführende Informationen zu Routingtabellen.

Übersicht Routingtabellen

Navigieren Sie zu Netzwerk > Routing > Routing-Tabellen, um die Liste der derzeit im System angelegten Routingtabellen in der Leiste mit der Objektliste anzuzeigen.

Entfernen Sie den Haken vor Nur konfigurierbare Tabellen zeigen, um alle Tabellen im System anzuzeigen. Wenn Sie den Haken gesetzt lassen, werden nur diejenigen Tabellen angezeigt, die bearbeitet werden können.

Die folgenden Tabellen sind im System vorhanden:

3 Benutzeroberfläche

Tabelle 254 ist die primäre Routingtabelle. Zu dieser Tabelle können Sie benutzerdefinierte Routen hinzufügen. Die Einträge werden dann für alle bestehenden Routingtabellen übernommen.
Tabelle 255 enthält lokale Routen für alle konfigurierten Interfaces.
Tabellen 1 bis 63 sind für die Verwaltung der Internetverbindungen reserviert.
Tabellen 64 bis 250 sind für Routen mit Quelladresse reserviert und erscheinen während der Einrichtung der Routen mit ihrer Quell-IP-Adresse.
Tabelle 293 ist für den transparenten Proxy reserviert.

In der erweiterten Ansicht zeigen die Tabellenspalten den Namen der Routingtabelle an. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Routingtabelle einsehen und anpassen oder eine Tabelle aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Routingtabellen

Unter Routing-Tabellen können Sie eine neue Routingtabelle hinzufügen, oder vorhandene Routingtabellen bearbeiten.

Im Bearbeitungsfenster Routing-Tabelle können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Tabellen-Nummer	Geben Sie eine Identifikationsnummer für die Routingtabelle ein. Benutzerdefinierte Tabellen erhalten die ID 512 oder eine höhere Zahl. Für benutzerdefinierte Routingtabellen müssen Routing-Regeln konfiguriert werden, andernfalls werden diese Tabellen nicht verwendet (siehe Routing-Regeln auf Seite 92).
Routen	Diese Tabelle zeigt die benutzerdefinierten Routen in der Routingtabelle an. Klicken Sie auf Hinzufügen, um das Fenster Route bearbeiten zu öffnen und eine neue Route zu definieren. Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.

Im Bearbeitungsfenster Route bearbeiten können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Ziel	Geben Sie die IP-Adresse des Ziel-Subnetzes in CIDR- Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/“ und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.0/24).
	Wählen Sie ein Interface für die Route.Interface
Gateway	Geben Sie eine IP-Adresse als Gateway für diese Route ein. Datenverkehr von der Quellzone zum Zielnetzwerk wird über dieses Gateway geleitet (anstelle des Standard-Gateways).
	Wählen Sie den Addresstyp aus der Drop-Down-Liste.Typ
	Nur Pakete mit der gewählten Senderadresse werden geroutet.Bevorzugte Quelle
Metrik	Bestimmen Sie die Kosten für die Route. Der hier eingegebene Wert betrifft Routingprotokolle. Eine höherer Wert in der Metrik bedeutet, dass die Route als kostenungünstig betrachtet und mit weniger Wahrscheinlichkeit gewählt wird.

Klicken Sie auf OK, um die Routingeinstellungen zu speichern und zum Fenster Routing-Tabelle zurückzukehren.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue Routingtabelle hinzufügen oder eine bestehende Tabelle bearbeiten. Klicken Sie für eine neu konfigurierte Routingtabelle auf Erstellen, um die Tabelle zur Liste der verfügbaren Routingtabellen hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten einer vorhandenen Tabelle klicken Sie auf Speichern, um die neu konfigurierte Tabelle zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

3.4.4 Desktop

Die Einstellungen unter 📁 Desktop zeigen eine Liste aller verfügbaren Dienste und der im System definierten Firewall-Regeln an.

Desktopverbindungen

Navigieren Sie zu Desktop > Desktop-Verbindungen, um die Verbindungen zwischen verschiedenen Desktop-Objekten, die im System definiert sind, anzuzeigen und zu bearbeiten.

Übersicht Desktopverbindungen

In der erweiterten Ansicht zeigen die Tabellenspalten die einzelnen Knoten der Desktopverbindung an. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Desktopverbindung einsehen und anpassen, eine neue Desktopverbindung ausgehend von einer Kopie einer bestehenden Desktopverbindung anlegen, oder eine Verbindung aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Kopierte Desktopverbindungen werden stets zwischen denselben Knoten eingerichtet wie das Original.

Einstellungen für Desktopverbindungen

Wenn Sie eine Desktopverbindung bearbeiten, öffnet sich das Verbindung Fenster. Unter Beschreibung können Sie zusätzliche Informationen zur Desktopverbindung für die interne Verwendung eingeben.

Im Tab Regeln können Sie den Regelsatz für die gewählte Verbindung anpassen. Weitere Informationen zur Erstellung von Firewall-Regeln finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25.

Im Tab URL- / Content-Filter können Sie den URL- und den Contentfilter für die gewählte Verbindung konfigurieren:

BeschreibungEingabefeld
Standardmäßig alles blockieren	Wählen Sie dieses Kontrollkästchen aus, um alle aktuell im System definierten URL-Filter zur Blacklist hinzuzufügen und alle Contentfilter auszuwählen.
	Zeigt den Namen des URL- und des Contentfilters an.Name
URL-Filter Black/White	Fügen Sie die URLs der jeweiligen Filter zur Blacklist oder zur Whitelist hinzu, indem Sie auf die betreffenden Kontrollkästchen klicken.
Content-Filter	Um Contentfilter auszuwählen, setzen Sie den Haken in den jeweiligen Kontrollkästchen.
Zeitsteuerung	Zeigt an, ob der Filter stets aktiv, stets inaktiv oder nach einem gewählten Zeitplan aktiv ist. Klicken Sie auf den Eintrag, um den Zeitplan zu bearbeiten.

Wenn Sie Anwendungsfilter (siehe Application-Filter auf Seite 114) erstellt haben, können Sie diese für die gewählte Desktopverbindung aktivieren oder deaktivieren. Im Tab Application Filter können Sie den Modus des Anwendungsfilters auf Blacklist oder Whitelist setzen, oder den Application-Filter für jedes gewählte Profil deaktivieren, indem Sie die entsprechende Optionsschaltfläche auswählen.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Weitere Informationen zu URL-, Content- und Application-Filtern finden Sie unter URL-/Contentfilter auf Seite 123 und Application-Filter auf Seite 114.

Desktop-Objekte

Mit den Einstellungen unter Desktop-Objekte können Sie Ihr Netzwerk durch das Erstellen einzelner Objekte und Objektgruppen für Hosts, Benutzer, VPN- und IP-Bereiche organisieren. Die erstellten Objekte werden als Knoten auf dem Desktop angezeigt und können als Quelle und / oder Ziel einer Verbindung eingesetzt werden, um Firewall-Regeln anzuwenden.

In der Objektleiste erhalten Sie eine nach Typen gruppierte Übersicht aller aktuell im System definierten Desktop-Objekte. Wenn Sie auf einen Eintrag in der Objektleiste klicken, werden das entsprechende Desktop-Objekt und alle Verbindungen, die diesen Dienst verwenden, auf dem Desktop hervorgehoben.

Um ein Desktop-Objekt zu erstellen, klicken Sie auf die Schaltfläche oben im jeweiligen Abschnitt der Objektliste. Alternativ können Sie auch auf das Symbol für das Desktop-Objekt in der Symbolleiste oben auf dem Desktop klicken.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Die nachfolgenden Abschnitte enthalten weitere Informationen zu den verschiedenen Typen von Desktop-Objekten.

Host- / Netzwerkgruppen

Erstellen Sie Desktop-Objekte für Host- und Netzwerkgruppen, die zur Erstellung von Verbindungen zwischen mehreren Hosts, Netzwerken oder anderen Desktop-Objekten (z. B. VPN-Objekten) verwendet werden können. Host- und Netzwerkgruppen können bei der Anwendung von Firewall-Regeln und Webfiltern für mehrere Computer als Quellen bzw. Ziele dienen.

Übersicht Host- / Netzwerkgruppen

Navigieren Sie zu Desktop > Desktop-Objekte > Host-/Netzwerk-Gruppen, um die Liste der Host- und Netzwerkgruppenobjekte, die derzeit im System angelegt sind, in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht wird in der Tabelle der Name des Host- oder Netzwerkgruppenobjekts angezeigt. Anhand der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Host- oder Netzwerkgruppenobjekt einsehen und anpassen, ein neues Gruppenobjekt ausgehend von einer Kopie eines vorhandenen Host- oder Netzwerkgruppenobjekts anlegen oder ein Gruppenobjekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Host-/Netzwerkgruppen

Mit den Host-/Netzwerk-Gruppe-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Host- / Netzwerkgruppenobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum Host- / Netzwerkgruppenobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem Host- oder Netzwerkgruppenobjekt zuweisen möchten. Weitere Informationen finden Sie unter Desktop-Tags auf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Hosts / Netzwerke	Geben Sie die Hosts oder Netzwerke an, die Sie zum Host- oder Netzwerkgruppenobjekt hinzufügen möchten. Wählen Sie einen Namen, ein Interface, die IP-Adresse des Hosts oder des Netzwerks und bestimmen Sie, ob ein Login erlaubt ist. Klicken Sie auf Hinzufügen, um einen Host oder ein Netzwerk zur Liste hinzuzufügen.Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues Host- oder Netzwerkgruppenobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren Host- und Netzwerkgruppen hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Hosts

Erstellen Sie ein Hostobjekt, das zur Erstellung von Verbindungen zwischen dem Host und weiteren Desktop-Objekten (z. B. VPN-Objekten) verwendet werden kann. Einem Host (z. B. einem Drucker oder einem VoIP-Telefon) kann eine eigene IP-Adresse zugewiesen werden, sodass die Firewall-Regeln speziell darauf angewendet werden können. Weitere Informationen zur Erstellung von Firewall-Regeln finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25.

Übersicht Hosts

Navigieren Sie zu Desktop > Desktop-Objekte > Hosts, um die Liste der im System angelegten Hostobjekte in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name und die IP des Hostobjekts angezeigt und mit welchem Interface er verbunden ist. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Hostobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen Netzwerkobjekts anlegen, oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Hosteinstellungen

Im Bearbeitungsfenster Host können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Hostobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum Hostobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem Hostobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tagsauf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Anmeldung erlauben	Aktivieren Sie dieses Kontrollkästchen, um Benutzern zu erlauben, sich mit der IP Adresse dieses Hostobjekts auf Ihrer LANCOM R&S®Unified Firewall einzuloggen. Durch diese Einstellung kann Ihre LANCOM R&S®Unified Firewall benutzerspezifische Firewall-Regeln auf den aktuell eingeloggten Benutzer anwenden.
	Wählen Sie ein Symbol, mit dem der Host auf dem Display dargestellt wird.Icon
	Wählen Sie ein Interface, mit dem der Host verbunden ist.Verbunden über
	Geben Sie die IP-Adresse des Hostobjekts ein.IP-Adresse

Die Schaltflächen rechts unten im Bearbeitungsfeld sind davon abhängig, ob Sie ein neues Host-Objekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren Objekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines

3 Benutzeroberfläche

vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Internetobjekte

Erstellen Sie Internetobjekte für Ihre Internetverbindungen. Internetobjekte werden verwendet, um Verbindungen zwischen anderen Desktop-Objekten (z. B. VPN-Objekten) und dem Internet herzustellen.

Übersicht Internetobjekte

Navigieren Sie zu Desktop > Desktop-Objekte > Internet-Objekte, um die Liste der im System angelegten Internetobjekte in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht zeigt die Tabelle den Objekt-Name des Internetobjekts an. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Internetobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen Internetobjekts anlegen, oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Internetobjekte

Im Bearbeitungsfenster Internet-Objekt können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Internetobjekt an.Objekt-Name
Beschreibung	Optional: Geben Sie weitere Informationen zum Internetobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem Internetobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tagsauf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Verbindungen	Wählen Sie die Internetverbindung(en) aus, zu denen dieses Objekt gehört. Weitere Informationen finden Sie unterEinstellungen für Netzwerkverbindungenauf Seite 73.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues Internetobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren Internetobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Weitere Informationen zur Erstellung von Internetobjekten finden Sie unter Internetzugang aktivieren auf Seite 16.

IP-Bereiche

Erstellen Sie ein Objekt für einen IP-Adressenbereich, um Hosts nach ihrer Start- und End-IP-Adresse zu gruppieren. Wenn ein DHCP-Server für das gewählte Interface konfiguriert ist, können Sie auch den Adressbereich des DHCP-Servers verwenden.

Übersicht IP-Bereiche

Navigieren Sie zu Desktop > Desktop-Objekte > IP-Bereiche, um die Liste der im System angelegten IP-Bereichsobjekte in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht zeigen die Tabellenspalten den Objekt-Name des IP-Bereichsobjekts an, mit welchem Interface er verbunden ist sowie seine Start-IP und End-IP. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes IP-Bereichsobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen IP-Bereichsobjekts anlegen oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für IP-Bereiche

Mit den IP-Bereich-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das IP-Bereichsobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum IP-Bereichsobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem IP-Bereichsobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tags auf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Anmeldung erlauben	Aktivieren Sie dieses Kontrollkästchen, um Benutzern zu erlauben, sich mit dem IP-Bereich dieses Objekts auf Ihrer LANCOM R&S®Unified Firewall einzuloggen. Durch diese Einstellung kann Ihre LANCOM R&S®Unified Firewall benutzerspezifische Firewall-Regeln auf den aktuell eingeloggten Benutzer anwenden.
Interface	Wählen Sie ein Interface, um es dem IP-Bereichsobjekt zuzuweisen. Wählen Sie any, wenn Sie das Objekt nicht einem bestimmten Interface zuweisen möchten. Mit dieser Einstellung akzeptieren alle Interfaces Pakete aus dem IP-Bereich dieses Objekts.
	Geben Sie die Start-IP-Adresse des IP-Bereichs an.Start-IP
	Geben Sie die End-IP-Adresse des IP-Bereichs an.End-IP

Wenn Sie den IP-Adressbereich des DHCP-Servers des gewählten Interface verwenden möchten, klicken Sie auf die Schaltfläche DHCP-IP-Bereich verwenden unten links im Bearbeitungsfenster.

Die Schaltflächen rechts unten im Bearbeitungsfeld sind davon abhängig, ob Sie ein neues IP-Bereichsobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren IP-Bereichsobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Netzwerke

Erstellen Sie ein Netzwerkobjekt, das zur Erstellung von Verbindungen zwischen dem Netzwerk und weiteren Desktop-Objekten (z. B. VPN-Objekten) verwendet werden kann.

Übersicht Netzwerke

Navigieren Sie zu Desktop > Desktop-Objekte > Netzwerke, um die Liste der derzeit im System angelegten Netzwerk-Objekte in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name und die IP des Netzwerkobjekts angezeigt und mit welchem Interface es verbunden ist. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Netzwerkobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen Netzwerkobjekts anlegen oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Netzwerkeinstellungen

Im Bearbeitungsfenster Netzwerk können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Netzwerkobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum Netzwerkobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem Netzwerkobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tagsauf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Anmeldung erlauben	Aktivieren Sie dieses Kontrollkästchen, um Benutzern zu erlauben, sich mit der IP-Adresse dieses Netzwerkobjekts auf Ihrer LANCOM R&S®Unified Firewall einzuloggen. Durch diese Einstellung kann Ihre LANCOM R&S®Unified Firewall benutzerspezifische Firewall-Regeln auf den aktuell eingeloggten Benutzer anwenden.
	Wählen Sie das Interface aus, mit dem das Netzwerk verbunden ist.Interface
Netzwerk-IP	Geben Sie die IP-Adresse des Netzwerks in CIDR-Schreibweise ein (IP-Adresse gefolgt von einem Schrägstrich „/” und der Anzahl der in der Subnetzmaske festgelegten Bits, beispielsweise 192.168.50.0/24).

Die Schaltflächen rechts unten im Bearbeitungsfeld sind davon abhängig, ob Sie ein neues Netzwerkobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren Netzwerkobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Netzwerks klicken Sie auf Speichern, um das neu konfigurierte Netzwerk zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Benutzergruppen

Erstellen Sie Desktop-Objekte für Benutzer, die zum Einsehen aller Benutzer auf dem Desktop und zur Erstellung von Verbindungen zwischen mehreren Benutzern oder anderen Desktop-Objekten (z. B. VPN-Objekten) verwendet werden können.

Übersicht Benutzergruppen

Navigieren Sie zu Desktop > Desktop-Objekte > Benutzergruppen, um die Liste der derzeit im System angelegten Benutzergruppenobjekte in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der Tabelle der Name des Benutzergruppenobjekts angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Benutzergruppenobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen Benutzergruppenobjekts anlegen oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Benutzergruppen

Im Bearbeitungsfenster Benutzergruppe können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Benutzergruppenobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum Benutzergruppenobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem Benutzergruppenobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tagsauf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
	Wählen Sie die Benutzer, die Sie zur Gruppe hinzufügen möchten.BenutzerDie Liste auf der linken Seite zeigt die Benutzer in der Gruppe an. Die Liste auf der rechten Seite zeigt die im System verfügbaren Benutzer an, die nicht Teil der Gruppe sind.Klicken Sie aufKum einen Benutzer zur Gruppe hinzuzufügen. Klicken Sie auf ,Km alle verfügbaren Benutzer gleichzeitig hinzuzufügen.Um einen Benutzer aus der Gruppe zu entfernen, klicken Sie auf>Klicken Sie auf ,Malle Benutzer gleichzeitig zu entfernen.Mit demFilter-Feld können Sie die Liste der Benutzer filtern, sodass nur Einträge angezeigt werden, die mit Ihrer Sucheingabe übereinstimmen. Klicken Sie aufKum die ungefilterte Ansicht der Listeder Benutzer anzuzeigen.
	Benutzer können mehreren Gruppen angehören.

Die Schaltflächen rechts unten im Bearbeitungsfeld sind davon abhängig, ob Sie eine neue Benutzergruppe hinzufügen oder eine bestehende Gruppe bearbeiten. Klicken Sie für eine neu konfigurierte Gruppe auf Erstellen, um sie zur Liste der verfügbaren Benutzergruppen hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten einer vorhandenen Gruppe klicken Sie auf Speichern, um die neu konfigurierte Gruppe zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Benutzer

Erstellen Sie Desktop-Objekte für Benutzer, die zum Einsehen aller Benutzer auf dem Desktop und zur Erstellung von Verbindungen zwischen mehreren Benutzern und anderen Desktop-Objekten (z. B. VPN-Objekten) verwendet werden können.

Mit dem Menü Desktop > Desktop-Objekte > Benutzer können nur Desktop-Objekte für Benutzer erstellt werden, die bereits im System angelegt sind. Weitere Informationen zum Hinzufügen und Verwalten von Benutzern finden Sie unter Benutzerauthentifizierung auf Seite 48.

Übersicht Benutzer

Navigieren Sie zu Desktop > Desktop-Objekte > Benutzer, um die Liste der derzeit im System angelegten Benutzerobjekte in der Objektleiste anzuzeigen.

In der erweiterten Ansicht werden in den Tabellenspalten der Name des Benutzerobjekts und der damit verbundene Benutzername angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Benutzerobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen Benutzerobjekts anlegen, oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Benutzereinstellungen

Im Bearbeitungsfenster Benutzer können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Benutzerobjekt an.Objekt-Name
Beschreibung	Optional: Geben Sie weitere Informationen zum Benutzerobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem Benutzerobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tagsauf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
	Wählen Sie den Benutzer aus, der für dieses Objekt verwendet werden soll.Benutzername
	!Benutzer können mehreren Benutzerobjekten zugewiesen werden.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues Benutzerobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren Benutzerobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VPN-Gruppen

Erstellen Sie VPN-Gruppenobjekte, die zur Erstellung von Verbindungen zwischen mehreren VPN-Verbindungen oder anderen Desktop-Objekten (z. B. VPN-Objekten) verwendet werden können, indem ein gemeinsamer Regelsatz auf mehrere VPN-Verbindungen angewandt wird.

Übersicht VPN-Gruppen

Navigieren Sie zu Desktop > Desktop-Objekte > VPN-Gruppen, um die Liste der VPN-Gruppenobjekte, die derzeit im System angelegt sind, in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht wird in der Tabelle der Name des VPN-Gruppenobjekts angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes VPN-Benutzergruppenobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen VPN-Benutzergruppenobjekts anlegen, oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für VPN-Gruppen

Mit den VPN-Gruppe-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das VPN-Gruppenobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum VPN-Gruppenobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem VPN-Gruppenobjekt zuweisen möchten. Weitere Informationen finden Sie unter Desktop-Tags auf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
	Wählen Sie die VPN-Verbindungen aus, die Sie zur VPN-Gruppe hinzufügen möchten.VPN-VeWählen Sie aus der Drop-down-Liste als Erstes den Typ der VPN-Verbindung aus, die Sie hinzufügen möchten. Wählen Sie dann im nächsten Feld die gewünschte Verbindung aus der Drop-down-Liste aus. Im Falle von IPsec-Verbindungen können Sie im letzten Feld bestimmen, ob alle für die ausgewählte Verbindung konfigurierten Remote-Netzwerke verwendet werden sollen oder nur ein bestimmtes Netz. Dementsprechend werden dann die Desktop-Regeln angewandt. Klicken Sie auf Hinzufügen, um die Verbindung zur Liste hinzuzufügen.Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.
	!Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.
	!VPN-Verbindungen können mehreren VPN-Gruppen zugewiesen werden.

Die Schaltflächen rechts unten im Bearbeitungsfeld sind davon abhängig, ob Sie ein neues VPN-Gruppenobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren VPN-Gruppenobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VPN-Hosts

Erstellen Sie ein VPN-Netzwerkobjekt, das zur Konfiguration von Firewall-Regeln für Client-to-Site VPN-Verbindungen verwendet werden kann.

Übersicht VPN-Hosts

Navigieren Sie zu Desktop > Desktop-Objekte > VPN-Hosts, um die Liste der VPN-Hostobjekte, die derzeit im System angelegt sind, in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht werden in den Tabellenspalten der Name des VPN-Hostobjekts, der Typ der VPN-Verbindung und die VPN-Verbindung angezeigt, zu der der VPN-Host gehört, an. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes VPN-Hostobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen VPN-Hostobjekts anlegen oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für VPN-Hosts

Im Bearbeitungsfenster VPN-Host können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das VPN-Hostobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum VPN-Hostobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem VPN-Hostobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tagsauf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
	Wählen Sie ein Symbol aus, mit dem das VPN-Hostobjekt auf dem Display dargestellt wird. Icon
Verbindungstyp	Wählen Sie den Typ der VPN-Verbindung aus, indem Sie die entsprechende Optionsschaltfläche auswählen.
IPsec-Verbindung /VPN-SSL-Verbindung	Dieses Feld hängt vom gewählten VPN-Verbindungstyp ab. Wählen Sie aus der Drop-down-Liste die Verbindung aus, die Sie dem VPN-Hostobjekt zuweisen möchten.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues VPN-Hostobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren VPN-Hostobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VPN-Netzwerke

Erstellen Sie ein VPN-Netzwerkobjekt, das zur Konfiguration von Firewall-Regeln für Site-to-Site VPN-Verbindungen verwendet werden kann.

Übersicht VPN-Netzwerke

Navigieren Sie zu Desktop > Desktop-Objekte > VPN-Netzwerke, um die Liste der VPN- Netzwerkobjekte, die derzeit im System angelegt sind, in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name des VPN-Netzwerkobjekts, der Typ der VPN-Verbindung und die VPN-Verbindung angezeigt, zu der das VPN-Netzwerk gehört, an. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes VPN-Netzwerkobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen VPN-Netzwerkobjekts anlegen oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für VPN-Netzwerke

Im Bearbeitungsfenster VPN-Netzwerk können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das VPN-Netzwerkobjekt an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zum VPN-Netzwerkobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem VPN-Netzwerkobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tags auf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Verbindungstyp	Wählen Sie den Typ der VPN-Verbindung aus, indem Sie die entsprechende Optionsschaltfläche auswählen.
IPsec-Verbindung /VPN-SSL-Verbindung	Dieses Feld hängt vom gewählten Verbindungstyp ab. Wählen Sie aus der Drop-down-Liste die VPN-Verbindung aus, die Sie dem VPN-Netzwerkobjekt zuweisen möchten.
Remote Netzwerke	Falls Sie eine IPsec-Verbindung ausgewählt haben, dann können Sie entweder alle konfigurierten remote Netzwerke verwenden oder die zu verwendenden remote Netzwerke explizit hinzufügen.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues VPN-Netzwerkobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren VPN-Netzwerkobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VPN-Benutzergruppen

Erstellen Sie Desktop-Objekte für VPN-Benutzergruppen, die zur Erstellung von Verbindungen zwischen mehreren Benutzern oder anderen Desktop-Objekten verwendet werden können, indem ein gemeinsamer Regelsatz auf mehrere VPN-Benutzer angewandt wird. VPN-Benutzergruppen werden am VPN-Knoten auf dem Desktop angezeigt.

Übersicht VPN-Benutzergruppen

Navigieren Sie zu Desktop > Desktop-Objekte > VPN-Benutzergruppen, um die Liste der derzeit im System angelegten VPN-Benutzergruppenobjekte in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der Tabelle der Name des VPN-Benutzergruppenobjekts angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes VPN-Benutzergruppenobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen VPN-Benutzergruppenobjekts anlegen, oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für VPN-Benutzergruppen

Im Bearbeitungsfenster VPN-Benutzergruppe können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für die VPN-Benutzergruppe an.Name
Beschreibung	Optional: Geben Sie weitere Informationen zur VPN-Benutzergruppe für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie der VPN-Benutzergruppe zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tags auf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
	Wählen Sie die Benutzer aus, die Sie zur Gruppe hinzufügen möchten.BenutzerDie Liste auf der linken Seite zeigt die Benutzer in der Gruppe an. Die Liste auf der rechten Seite zeigt die im System verfügbaren Benutzer an, die nicht Teil der Gruppe sind.Klicken Sie auf ,um einen Benutzer zur Gruppe hinzuzufügen. Klicken Sie auf , ,m alle verfügbaren Benutzer gleichzeitig hinzuzufügen.Um einen Benutzer aus der Gruppe zu entfernen, klicken Sie auf >Klicken Sie auf , ,m alle Benutzer gleichzeitig zu entfernen.Mit demFilter-Feld können Sie die Liste der Benutzer filtern, sodass nur Einträge angezeigt werden, die mit Ihrer Sucheingabe übereinstimmen. Klicken Sie auf ,um die ungefilterte Ansicht der Listeder Benutzer anzuzeigen.
	!Benutzer können mehreren VPN-Benutzergruppen angehören.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue VPN-Benutzergruppe hinzufügen oder eine bestehende Gruppe bearbeiten. Klicken Sie für eine neu konfigurierte Gruppe auf Erstellen, um sie zur Liste

3 Benutzeroberfläche

der verfügbaren VPN-Benutzergruppen hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten einer vorhandenen Gruppe klicken Sie auf Speichern, um die neu konfigurierte Gruppe zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VPN-Benutzer

Erstellen Sie Desktop-Objekte für Benutzer, die in VPN-Verbindungen verwendet werden können. Die VPN-Benutzer werden am VPN-Knoten auf dem Desktop angezeigt.

Mit dem Menü Desktop > Desktop-Objekte > VPN-Benutzer können nur Desktop-Objekte für Benutzer erstellt werden, die bereits im System angelegt sind. Weitere Informationen zum Hinzufügen und Verwalten von Benutzern finden Sie unter Benutzerauthentifizierung auf Seite 48.

Übersicht VPN-Benutzer

Navigieren Sie zu Desktop > Desktop-Objekte > VPN-Benutzer, um die Liste der derzeit im System angelegten VPN-Benutzerobjekte in der Objektleiste anzuzeigen.

In der erweiterten Ansicht werden in den Tabellenspalten der Objekt-Name des VPN Benutzerobjekts und zusätzlich ein Benutzername angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes VPN-Benutzerobjekt einsehen und anpassen, ein neues Objekt ausgehend von einer Kopie eines vorhandenen VPN-Benutzerobjekts anlegen, oder ein Objekt aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für VPN-Benutzer

Mit den VPN-Benutzer-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das VPN-Benutzerobjekt an.Objekt-Name
Beschreibung	Optional: Geben Sie weitere Informationen zum VPN-Benutzerobjekt für die interne Verwendung ein.
Tags	Optional: Wählen Sie aus der Drop-down-Liste die Desktop-Tags aus, die Sie dem VPN-Benutzerobjekt zuweisen möchten. Weitere Informationen finden Sie unterDesktop-Tags auf Seite 107.
	Wählen Sie die Farbe aus, die für dieses Objekt auf dem Desktop verwendet werden soll.Farbe
Benutzername	Wählen Sie den Benutzer aus, der für dieses VPN-Benutzerobjekt verwendet werden soll.
	! Benutzer können mehreren Benutzerobjekten zugewiesen werden.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues VPN-Benutzerobjekt hinzufügen oder ein bestehendes Objekt bearbeiten. Klicken Sie für ein neu konfiguriertes Objekt auf Erstellen, um es zur Liste der verfügbaren VPN- Benutzerobjekte hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Objekts klicken Sie auf Speichern, um das neu konfigurierte Objekt zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Desktopregeln

Mit den Desktop-Regeln-Einstellungen können Sie die Regeln zur Verwaltung des Netzwerksverkehrs anzeigen und bearbeiten. Weiterführende Informationen zur Erstellung von Firewall-Regeln finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25.

Navigieren Sie zu Desktop > Desktop-Regeln, um die Liste der im System angelegten Regeln anzuzeigen.

Mit den Filtereinstellungen können Sie die Liste der Regeln eingrenzen und nur Regeln anzeigen, die einen bestimmten Suchbegriff enthalten. Sie können Inhalte filtern, indem Sie die gewünschten Optionen aus der Drop-down-Liste auswählen und / oder eine Sucheingabe im jeweiligen Eingabefeld eingeben. Klicken Sie auf Anwenden, um die gewählten Filteroptionen anzuwenden. Die Liste der Firewall-Regeln zeigt nun Ihre Filterergebnisse an. Klicken Sie auf Zurücksetzen, um die gewählten Filteroptionen wieder zu entfernen und eine ungefilterte Ansicht der Liste der Regeln anzuzeigen.

Die Tabellenspalten der Liste der Regeln enthalten die folgenden Informationen:

BeschreibungSpalte
	Diese Spalte zeigt das Quellobjekt der Verbindung an.Objekt A
	Diese Spalte zeigt die Richtung an, in die die Regel angewandt wird.Richtung
	Diese Spalte zeigt das Zielobjekt der Verbindung an.Objekt B
	Diese Spalte zeigt den Namen des Dienstes der Regel an.Dienst

Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Verbindung einsehen und bearbeiten. Klicken Sie auf ↗, um den Dialog Verbindung zu öffnen. Weiterführende Informationen zur Erstellung von Firewall-Regeln und zum Bearbeiten von Verbindungen finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25 und Desktopverbindungen auf Seite 95.

Um das Fenster Desktop-Regeln zu schließen und zum Desktop zurückzukehren, klicken Sie auf ✗ in der oberen rechten Ecke des Fensters.

Desktop-Tags

Unter Desktop-Tags können Sie eine Liste von Tags anlegen, die Sie beliebigen Desktopobjekten zuordnen können, mit Ausnahme des Firewall-Rootknotens und der Hauptknoten (z. B. Intranet). Mit diesen Tags können Sie eine gefilterte Desktopansicht anzeigen, um sich nach Ihren Bedürfnissen eine Übersicht Ihres konfigurierten Netzwerks zu erstellen. Weitere Informationen finden Sie unter Desktop auf Seite 21.

Wenn Sie ein Backup einer LCOS FX-Version vor 10.0 wiederherstellen, werden die Ebenen und Regionen, die in dieser Version erstellt wurden, in Tags umgewandelt. Alle Desktop-Objekte, die auf einer Ebene oder Region liegen, werden mit den umgewandelten Tags markiert.

Übersicht Desktop-Tags

Navigieren Sie zu Desktop > Desktop-Tags, um die Liste der im System angelegten Desktop-Tags in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Spalte der Tabelle der Name des Desktop-Tags angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für einen vorhandenen Desktop-Tag einsehen und anpassen, einen neuen Tag auf der Grundlage einer Kopie eines bestehenden Desktop-Tags anlegen oder einen Tag aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Wenn Sie auf einen Eintrag in der Objektleiste klicken, werden das entsprechende Desktop-Objekt und alle Verbindungen, die diesen Dienst verwenden, auf dem Desktop hervorgehoben. Wenn Sie auf den Knoten eines Desktop-Objekts klicken, während die Objektleiste mit den Desktop-Tags offen ist, werden die diesem Desktop-Objekt zugewiesenen Desktop-Tags darin hervorgehoben.

Einstellungen für Desktop-Tags

Unter Desktop > Desktop-Tags können Sie einen neuen Desktop-Tag hinzufügen, oder einen vorhandenen bearbeiten.

Im Bearbeitungsfenster Desktop-Tag können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für den Desktop-Tag ein.Name

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen Desktop-Tag hinzufügen oder einen bestehenden Tag bearbeiten. Klicken Sie für einen neu konfigurierten Desktop-Tag auf Erstellen, um ihn zur Liste der verfügbaren Desktop-Tags hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen Desktop-Tags klicken Sie auf Speichern, um den neu konfigurierten Tag zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Desktopexport

Navigieren Sie zu Desktop > Exportieren, um einen Bericht über die aktuelle Desktopkonfiguration zu erstellen und diesen auf Ihren Computer zu übertragen.

Im Fenster Exportieren können Sie zwischen den Dateiformaten PDF und HTML wählen, indem Sie die entsprechende Optionsschaltfläche auswählen.

Export Desktop Desktop-Configurations exportiera als PDF HTML Abdrochen Exportiera

Abbildung 26: Desktopexport – Auswahl des Dateiformats für den Bericht

Die Exportdatei enthält ein Abbild des aktuellen Desktops und eine Tabelle mit allen konfigurierten Firewall-Regeln, inklusive zusätzlicher Informationen wie NAT, DMZ, IP-Adressen der Hostobjekte und dem Inhalt der Beschreibungsfelder der konfigurierten Desktop-Objekte und -verbindungen.

Source	Action	NAT	Destination	Service	Rule Settings	Connection Settings
external_maligate 130 160.1.25	→	→	WanUplink	SMTP 25 kbp	EMZ: Pushers Fiat_73
	→	→		IMAP-4 140 kbp, 800 kbp, 300 kbp	EMZ: Pushers Fiat_141
supplier_portal 130 160.1.25	→		SAP 130 160.11.27	SAP 2000 - 2000 kbp, 3200 - 3200 kbp, 4600 - 4899 kbp 8000 - 8099 kbp
SupplierX VSL: supplier-3	→		supplier_portal 140 160.1.25	HTTPS 480 kbp
roadearriers Schwab: Sichanat (GAL)	→		Malbervers 130 160.1.25 - 130 160.1.26	SMTP 25 kbp
	→			IMAP-4 140 kbp, 300 kbp, 505 kbp
Office 130 160.13/AA	→		Malbervers-Backend midwestern: 130 160.1.25 midwestern: 130 160.1.24	SMTP 25 kbp
	→			IMAP-4 140 kbp, 900 kbp, 505 kbp
roadearriers Schwab: Sichanat (GAL)	→		SAP 130 160.11.27	SAP 8500 - 1768 kbp, 3300 - 3368 kbp, 8800 - 8898 kbp, 8800 - 8898 kbp

Abbildung 27: Beispiel für einen Desktop-Exportbericht

Desktop-Objekte werden nur mit eingeschlossen, wenn sie mit anderen Desktop-Objekten verknüpft sind.

Klicken Sie auf Exportieren, wenn Sie die Exportdatei erstellen und übertragen möchten. Klicken Sie ansonsten auf Abbrechen, um das Bearbeitungsfenster zu schließen.

Dienste

Navigieren Sie zu Desktop > Dienste, um die Liste der im System angelegten Dienste und Dienstgruppen in der Objektleiste anzuzeigen. Dienste sind Protokolle oder Kombinationen aus Protokollen und Ports, falls die Protokolle Ports wie z. B. TCP und UDP verwenden. Wenn Sie auf einen Eintrag in der Objektleiste klicken, werden das entsprechende Desktop-Objekt und alle Verbindungen, die diesen Dienst verwenden, auf dem Desktop hervorgehoben. Wenn Sie auf ein Objekt auf dem Desktop klicken, werden in der Liste diejenigen Dienste hervorgehoben, die von diesem Objekt verwendet werden.

Um einen benutzerdefinierten Dienst oder eine Dienstgruppe zu erstellen, klicken Sie auf die Schaltfläche ✦ben im entsprechenden Abschnitt der Objektleiste.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Die nachfolgenden Abschnitte enthalten weitere Informationen zu den verschiedenen Typen von Diensten und Dienstgruppen.

Vordefinierte Dienste

Navigieren Sie zu Desktop > Dienste > Vordefinierte Dienste, um die Liste der derzeit im System angelegten vordefinierten Dienste in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name des jeweiligen Dienstes angezeigt, ob der Dienst in einer Verbindung verwendet wird (grün), oder nicht (orange), und – soweit verfügbar – die Ports und Protokolle, die der Dienst verwendet.

Die voreingestellten Dienste stehen zur Verwendung in benutzerdefinierten Firewall-Regeln zur Verfügung (siehe Erstellen einer Firewall-Regel auf Seite 25).

Dienstgruppen

Mit den Dienst-Gruppen-Einstellungen können Sie vordefinierte und benutzerdefinierte Dienste in eine Dienstgruppe einordnen. Somit können Sie ähnliche Regelsätze auf verschiedene Verbindungen anwenden, ohne jeden Dienst einzeln hinzufügen zu müssen.

Übersicht Dienstgruppen

Navigieren Sie zu Desktop > Dienste > Dienst-Gruppen, um die Liste der im System angelegten Dienstgruppen in der Leiste mit der Objektliste anzuzeigen.

In der erweiterten Ansicht werden in der Tabelle der Name der Dienstgruppe und die Anzahl der Dienste in der Gruppe angezeigt. Anhand der Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Dienstgruppe einsehen und anpassen, eine neue Gruppe ausgehend von einer Kopie einer vorhandenen Dienstgruppe anlegen oder eine Dienstgruppe aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Dienstgruppen

Nutzen Sie die Einstellungen unter Dienst-Gruppen, um Dienstgruppen zu konfigurieren.

Unter Desktop > Dienste > Dienst-Gruppen können Sie eine neue Dienstgruppe hinzufügen oder eine vorhandene bearbeiten.

Im Fenster Dienst-Gruppe können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für die Dienstgruppe ein.Name
Dienste	Zusammen mit dem Dienst-Gruppe-Fenster öffnet sich rechts im Browserfenster eine Leiste mit einer Dienstauswahlliste, die alle aktuell im System angelegten Dienste enthält. Die Leiste ist in Kategorien von Diensten mit einer jeweils ähnlichen Funktion eingeteilt. Die Kategorienkönnen mit einem Klick auf das entsprechende Symbol ein- und ausgeklappt werden. Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.Mithilfe desFilter-Eingabefelds oben in der Leiste mit der Liste der Dienste können Sie schnell und einfach einen bestimmten Dienst finden. Während Sie Ihre Suche in das Eingabefeld eintippen, zeigt Ihre LANCOM R&S®Unified Firewall nur diejenigen Dienste an, die die eingegebenen Zeichen enthalten. Klicken Sie im Eingabefeld aufCum die Sucheingabe zu löschen und zur ungefilterten Listenansicht zurückzukehren.Um einen einzelnen Dienst zur Dienstgruppe hinzuzufügen, klicken Sie aufvor dem jeweiligen Dienst in der Leiste mit der Dienstauswahlliste. Um alle Dienste einer Kategorie gleichzeitig hinzuzufügen, klicken Sie auf die Schaltflächefrekt unter dem Titel der jeweiligen Kategorie.Die Dienste erscheinen zusammen mit den ihnen zugeordneten Ports und / oder Protokollen als Einträge in der Liste. Um einen Dienst aus der Gruppe zu entfernen, klicken Sie neben dem Eintrag aufMit der SchaltflächeDienste löschenunten links im Fenster löschen Sie alle Dienste in der Gruppe gleichzeitig.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue Dienstgruppe hinzufügen oder eine bestehende Gruppe bearbeiten. Klicken Sie für eine neu konfigurierte Dienstgruppe auf Erstellen, um die Gruppe zur Liste der verfügbaren Dienstgruppen hinzuzufügen, oder auf Abbrechen, um die Erstellung einer neuen Dienstgruppe abzubrechen. Zum Bearbeiten einer vorhandenen Dienstgruppe klicken Sie auf Speichern, um die neu konfigurierte Gruppe zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Die hier definierten Dienstgruppen stehen zur Verwendung in benutzerdefinierten Firewall-Regeln zur Verfügung (weiterführende Informationen finden Sie unter Erstellen einer Firewall-Regel auf Seite 25).

Benutzerdefinierte Dienste

Wenn Sie einen Port oder ein Protokoll benötigen, das nicht von einem der vordefinierten Dienste (siehe Vordefinierte Dienste auf Seite 109) abgedeckt ist, können Sie einen benutzerdefinierten Dienst erstellen, der auf eine Verbindung angewandt werden kann.

Navigieren Sie zu Desktop > Dienste > Benutzerdef. Dienste, um die Liste der im System angelegten benutzerdefinierten Dienste in der Objektliste anzuzeigen.

Übersicht benutzerdefinierte Dienste

In der erweiterten Ansicht wird in den Tabellenspalten der Name des jeweiligen Dienstes angezeigt, ob der Dienst in einer Verbindung verwendet wird (grün), oder nicht (orange) und (soweit verfügbar) die Ports und Protokolle, die der Dienst verwendet. Anhand der Schaltflächen in der letzten Spalte können Sie die Einstellungen für einen benutzerdefinierten Dienst einsehen und anpassen, einen neuen Dienst ausgehend von einer Kopie eines vorhandenen benutzerdefinierten Dienstes anlegen, oder einen benutzerdefinierten Dienst aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für benutzerdefinierte Dienste

Unter Desktop > Dienste > Benutzerdef. Dienste können Sie einen neuen benutzerdefinierten Dienst hinzufügen oder einen vorhandenen benutzerdefinierten Dienst bearbeiten.

Im Bearbeitungsfenster Benutzerdefinierte Dienste können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für den benutzerdefinierten Dienst ein.Name
	BeschreibungEingabefeld
Ports / Protokolle	Um den benutzerdefinierten Dienst zu erweitern, sodass er auf Verkehr zu bestimmten Protokollen und / oder Ports oder Portbereichen angewandt wird, klicken Sie auf Hinzufügen. Das Fenster Dienst bearbeiten öffnet sich.Mithilfe dieses Fensters können Sie die Ports und Protokolle definieren, die verwendet werden sollen:> Geben Sie für TCP und UDP einzelne Ports oder Bereiche an, um den Dienst auf Verkehr anzuwenden, der von dort zu einem bestimmten Zielport übertragen wird. Verwenden Sie die Eingabefelder Port von und Bis, um Werte einzugeben. Als Eingabewert ist jede ganze Zahl zwischen 1 und 65535 möglich.Port von Und Bis ergeben zusammen einen Portbereich. Um einen einzelnen Port einzugeben, geben Sie in beide Felder denselben Wert ein oder lassen Sie Bis frei.> Geben Sie ein Protokoll an, auf das der Dienst angewendet werden soll, indem Sie die entsprechende Optionsschaltfläche auswählenMit den Schaltflächen unten rechts im Bearbeitungsfenster können Sie Ihre Änderungen speichern (OK) oder verwerfen (Abbrechen). Das Fenster Dienst bearbeiten schließt sich automatisch.Die angegebenen Ports / Portbereiche und / oder das Protokoll erscheinen als Listeneintrag. Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen benutzerdefinierten Dienst hinzufügen oder einen bestehenden bearbeiten. Klicken Sie für einen neu konfigurierten benutzerdefinierten Dienst auf Erstellen, um ihn zur Liste der verfügbaren Dienste hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten eines vorhandenen benutzerdefinierten Dienstes klicken Sie auf Speichern, um den benutzerdefinierten Dienst zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen. Sie können auf Schließen klicken, um das Bearbeitungsfenster zu schließen, solange keine Änderungen darin vorgenommen wurden.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Die hier definierten benutzerdefinierten Dienste stehen zur Verwendung in benutzerdefinierten Firewall-Regeln zur Verfügung (weiterführende Informationen finden Sie unter Erstellen einer Firewall-Regel auf Seite 25).

3.4.5 UTM

Mit den UTM Einstellungen können Sie neue Anwendungsfilterprofile erstellen oder bestehende bearbeiten, URL- und Contentfilter definieren sowie Antivirus-Anwendungen, E-Mail-Sicherheitseinstellungen und Proxies konfigurieren, um Ihr Netzwerk zu schützen.

Antivirus-Einstellungen

Ihre LANCOM R&S®Unified Firewall schützt Ihr internes Netzwerk mit einem integrierten Virenscanner von Avira vor Computerviren.

Der Virenscanner ist in der UTM-Lizenz enthalten. Wenn Sie Ihre LANCOM R&S ^® Unified Firewall das erste Mal starten, läuft der Virenscanner 30 Tage als Testversion. Nach Ablauf dieser Frist wird der Virenscanner automatisch deaktiviert. Weitere Informationen finden Sie unter Lizenz auf Seite 40.

Navigieren Sie zu UTM > Antivirus-Einstellungen, um einen Konfigurationsdialog zu öffnen, in dem Sie die Antivirus-Einstellungen für Ihren Web- und E-Mail-Proxy anzeigen, aktivieren und anpassen können.

Im Fenster Antivirus-Einstellungen können Sie die folgenden Informationen einsehen und konfigurieren:

BeschreibungEingabefeld
	Dieses Feld zeigt die Lizenzinformationen zu Ihrem Virenscanner an.Lizenz
Updates	Dieses Feld zeigt das Datum des letzten Aktualisierungsversuches des Virenscanners an. Klicken Sie aufJetzt Updaten, um den Virenscanner manuell zu aktualisieren.
Letztes erfolgreiches Update	Dieses Feld zeigt Datum und Uhrzeit der letzten erfolgreichen Aktualisierung des Virenscanners an.

Scanner

Im Tab Scanner aktivieren oder deaktivieren Sie den Virenscanner für E-Mail, HTTP(S) und FTP und passen die Antivirus-Einstellungen an.

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob der Virenscanner für E-Mail, HTTP(S) und FTP derzeit aktiv (I) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option. Diese Option ist für alle Dienste standardmäßig aktiviert.
Cloud-Scan aktivieren	Dieses Häkchen ist standardmäßig nicht gesetzt. Setzen Sie das Häkchen, um das Scannen von Dateien in der Avira Protection Cloud zu erlauben.Wird eine Datei von der lokalen Antivirus-Anwendung nicht als Bedrohung identifiziert, aber als Risiko eingestuft, wird ein Hash der Datei an die Avira Protection Cloud gesendet. Falls der Hash bekannt ist, wird dies als Ergebnis zurückgesendet. Falls der Hash unbekannt ist, wird die Datei in die Avira Protection Cloud hochgeladen und überprüft.
	! Dieser Abgleich findet nur statt, wenn die lokale Antivirus-Anwendung das Risiko der Datei als ausreichend hoch einstuft.
Archivdateien scannen	Dieses Häkchen ist standardmäßig gesetzt. Entfernen Sie das Häkchen, wenn Sie nicht möchten, dass der Virenscanner archivierte Dateien auf Viren überprüft.
Fehlerhaft gescannte Dateien blockieren	Setzen Sie dieses Häkchen, um E-Mails zu blockieren und den Download von Dateien in HTTP(S) und FTP abzubrechen, falls der Virenscanner deren Überprüfung nicht erfolgreich abschließen konnte.Falls also während der Überprüfung ein Fehler auftritt, wird die E-Mail blockiert und der Empfänger wird darüber informiert. Wenn Sie das Häkchen entfernen, erhält der Empfänger eine Ersatz-E-Mail, die die Original-E-Mail als verschlüsselten Anhang zusammen mit dem zur Entschlüsselung benötigten Passwort enthält.
Heuristische Analyse	Wählen Sie in der Drop-down-Liste die Tiefe für die heuristische Analyse aus. Binäre Daten werden darauf geprüft, ob sie Code enthalten, dessen Eigenschaften den von Viren ähneln oder andere Schäden verursachen könnten. So können Unterarten von Viren erkannt werden, die unter Umständen keine eigene Signatur tragen.

Whitelist

Im Tab Whitelist setzen Sie vertrauenswürdige Hosts und Server auf eine Whitelist. Daten, die von diesen Hosts über HTTP oder FTP übertragen werden sowie E-Mail-Adressen werden nicht auf Viren überprüft.

Geben Sie im Eingabefeld Vertrauenswürdige HTTP / FTP-Quellen die IP-Adresse oder den Domainnamen des vertrauenswürdigen Hosts oder Servers ein.

Um Subdomains einzuschließen, können Sie Platzhalter (* und . für ganze Wörter, ? für einzelne Zeichen) verwenden.

Klicken Sie auf ✝um den Host oder Server zur Liste hinzuzufügen.

Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.

Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Setzen Sie den Haken im Kontrolkästchen, um Ihre Änderungen zu übernehmen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Klicken Sie auf [→ Export, um Ihre Whitelist in das Dateisystem zu exportieren. Klicken Sie auf →] Import, um eine Whitelist zu importieren.

Um vertrauenswürdige E-Mail-Adressen hinzuzufügen, wählen Sie unter Vertrauenswürdige Mail-Adressen aus den folgenden Optionen aus:

> Sender

Alle von diesen E-Mail-Adressen aus gesendeten E-Mails werden vom Virenscanner ausgeschlossen.

> Empfänger

Alle an diese E-Mail-Adressen gesendeten E-Mails werden vom Virenscanner ausgeschlossen.

> Sender / Empfänger

Alle E-Mails, die von ODER an diese E-Mail-Adresse gesendet werden, werden vom Virenscanner ausgeschlossen.

Klicken Sie auf ✉um die E-Mail-Adresse zur Liste hinzuzufügen.

Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.

Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Setzen Sie den Haken im Kontrolkästchen, um Ihre Änderungen zu übernehmen.

Update

Im Tab Updates richten Sie automatische Aktualisierungen des Virenscanners ein:

	BeschreibungEingabefeld
	Der Standard-Updateserver ist:Update-Serverhttp://cybersecurity.rohde-schwarz.com/updateserver/avFügen Sie eine beliebige Anzahl an Update-Servern hinzu. Geben Sie im Eingabefeld die URL des Servers ein und klicken Sie dann auf ☐ Der Server wird zur Liste hinzugefügt.
	⚠️ Die Liste der Update-Server wird von oben nach unten abgearbeitet. Sobald der erste Update-Server erreicht wird, werden die weiteren Alternativen in diesem Update-Prozess nicht kontaktiert.Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Setzen Sie den Haken im Kontrolkästchen, um Ihre Änderungen zu übernehmen.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
Automatische Updates	Geben Sie Datum und Uhrzeit der ersten automatischen Aktualisierung des Virenscanners ein. Sie können das Datum im Format MM/TT/JJJJ eingeben oder im Auswahlfenster ein Datum auswählen. Geben Sie die Uhrzeit im Format hh:mm:ss ein.Geben Sie einIntervallin Stunden ein, mit dem der Virenscanner aktualisiert werden soll. Wenn Sie an dieser Stelle Oh eingeben, wird die Aktualisierung sofort durchgeführt. Klicken Sie auf ☐ Um den Aktualisierungsplan zur Liste hinzuzufügen.
BeschreibungEingabefeld
	Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Setzen Sie den Haken im Kontrolkästchen, um Ihre Änderungen zu übernehmen.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Die Antivirus-Einstellungen für bestimmte Protokolle (HTTP, FTP, E-Mail) werden nur auf Datenverkehr angewandt, der mit einer Regel mit einem für dieses Protokoll aktiven Proxy übereinstimmt. Um einen Proxy zu konfigurieren, navigieren Sie zu den Proxyeinstellungen und erstellen oder bearbeiten Sie eine Firewall-Regel, um den Proxy für das entsprechende Protokoll zu aktivieren (siehe auch HTTP(S)-Proxy-Einstellungen auf Seite 119 und E-Mail Sicherheit auf Seite 115).

Application-Filter

Mit Application-Filtern filtern Sie Datenverkehr im Netzwerk auf der Basis des Verhaltens des Datenstroms. So können Teile einer Anwendung, wie z. B. der Chatfunktion von Skype, systematisch ausgefiltert werden, selbst wenn diese verschlüsselt sind.

In einigen Fällen, z. B. im Fall von Skype, kann der Application-Filter Anwendungen erst einordnen, wenn eine bestimmte Anzahl an Paketen ausgetauscht wurde. Das bedeutet, dass ein Erstkontakt nicht verhindert werden kann. Alle weiteren Pakete werden dann aber blockiert.

Einstellungen für Application-Filter

Mit den Application-Filter-Einstellungen können Sie Filter generell aktivieren oder deaktivieren.

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der Application-Filter aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option. Der Application-Filter ist standardmäßig deaktiviert.
Lizenz	Zeigt die Lizenzinformationen zu Ihrem Application-Filter an. Weitere Informationen finden Sie unter Lizenz auf Seite 40.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Application-Filter-Profile

Navigieren Sie zu UTM > Application-Filter > Profile, um die Liste der im System angelegten Application-Filter-Profile in der Objektleiste anzuzeigen.

In der erweiterten Ansicht werden in den Tabellenspalten der Name des Profils und die Anzahl der ausgewählten Protokolle und Anwendungen angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes Application-Filter-Profil einsehen und anpassen, ein neues Profil auf der Grundlage einer Kopie eines vorhandenen Profils anlegen oder ein Profil aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Mit den Application-Filter-Profil Einstellungen können Sie die folgenden Optionen konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Application-Filter-Profil an.Profilname
SSL-Überwachung	Setzen Sie den Haken in diesem Kontrollkästchen, um SSL-Untersuchung zu aktivieren. Durch SSL-Untersuchung kann Ihre LANCOM R&S®Unified Firewall den über SSL-verschlüsselte Verbindungen gerouteten eingehenden Datenverkehr auswerten und das konfigurierte Application-Filter-Profil darauf anwenden.
Regeln	Wählen Sie die Protokolle und Anwendungen aus, die Sie zum Profil hinzufügen möchten. Die Protokolle und Anwendungen werden in der Tabelle nachKategoriegeordnet.Mit demFilter-Eingabefeld können Sie die Liste der Protokolle und Anwendungen filtern, sodass nur Einträge angezeigt werden, die mit Ihrer Sucheingabe übereinstimmen. Klicken Sie aufSumdie ungefilterte Liste der Protokolle und Anwendungen anzuzeigen.Klicken Sie auf die Schaltfläche Neben einer Kategorie, um die Protokolle und Anwendungen, die sie enthält, zusammen mit einer kurzen Beschreibung anzuzeigen. Wählen Sie ganze Kategorien oder einzelne Protokolle oder Anwendungen aus, indem Sie einen Haken in den entsprechenden Kontrollkästchen setzen. Entfernen Sie den Haken im Kontrollkästchen neben einer Kategorie, einem Protokoll oder einer Anwendung, um diese aus dem Application-Filter-Profil zu entfernen. Um Protokolle und Anwendungen auszublenden, klicken Sie auf die Schaltfläche Neben der Kategorie.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie ein neues Application-Filter-Profil hinzufügen oder ein bestehendes Profil bearbeiten. Klicken Sie für ein neu konfiguriertes Profil auf Erstellen, um es zur Liste der verfügbaren Profile hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Die hier definierten Application-Filter-Profile stehen zur Verwendung in benutzerdefinierten Firewall-Regeln zur Verfügung, in denen die ausgewählten Protokolle und Anwendungen auf der Blacklist stehen (weiterführende Informationen finden Sie unter Firewall auf Seite 27 und Einstellungen für Desktopverbindungen auf Seite 95).

E-Mail Sicherheit

Unter UTM > E-Mail-Sicherheit können Sie Einstellungen zu Ihren E-Mail- und Spamfiltern vornehmen.

Antispam-Einstellungen

Sie können Ihre LANCOM R&S ^® Unified Firewall konfigurieren, um Ihr System vor Spam-E-Mail zu schützen.

Der Spamfilter ist in der UTM-Lizenz enthalten. Wenn Sie Ihre LANCOM R&S ^® Unified Firewall das erste Mal starten, läuft der Spamfilter 30 Tage als Testversion. Nach Ablauf dieser Frist wird der Spamfilter automatisch deaktiviert. Weitere Informationen zu den Lizenzen finden Sie unter Lizenz auf Seite 40.

Navigieren Sie zu UTM > E-Mail-Sicherheit > Antispam-Einstellungen, um ein Bearbeitungsfenster zu öffnen, in dem Sie die Spamfilter-Einstellungen anzeigen, aktivieren und anpassen können.

Im Fenster Antispam Einstellungen können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der jeweilige Antispam aktiv (I) oder inaktiv (O) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option. Diese Option ist standardmäßig aktiviert.Dieses Feld zeigt die Lizenzinformationen zu Ihrem Spamfilter an Lizenz
Spam-Erkennung	Wählen Sie eine der folgenden Optionen aus, indem Sie auf die entsprechende Schaltfläche klicken:> Bestätigt – E-Mails, die bekannte und verifizierte Spam-Muster enthalten, werden als Spam eingestuft.> Masse – Zusätzlich zur Einstellung Confirmed werden E-Mails von Mailkonten, die bekanntermaßen Massenmails verschicken, als Spam eingeordnet (dies ist die Standardeinstellung).> Verdächtig – Zusätzlich zu den Einstellungen Confirmed und Bulk werden E-Mails von Mailkonten, die verdächtige Mengen an E-Mails versenden, als Spam eingeordnet.
Spam-Markierung	Legen Sie fest, wie Spam gekennzeichnet wird, indem Sie eine der folgenden Optionen auswählen:> Header – Die originale E-Mail wird in der Kopfzeile als Spam markiert.> Betreff – Die originale E-Mail wird in der Kopfzeile als Spam markiert. Der Betreff wird entsprechend der Betreffsformatierung geändert (Standardeinstellung).> Anhang – Eine als Spam erkannte E-Mail wird an eine neue E-Mail angehängt, die sowohl im Betreff (entsprechend der Betreffsformatierung) als auch in der Kopfzeile als Spam markiert ist.
Betreffzeile	Legen Sie fest, wie E-Mails, die als Spam identifiziert wurden, markiert werden. Sie können selbst einen Text für die Markierung im Betreff wählen. Verwenden Sie die folgenden Variablen: %SUBJECT% (originaler Betreff der Spam-E-Mail), %SPAMCLASS% und %SPAMCLASSNUM% (Spamkategorie). Klicken Sie auf ☑m die Markierung auf die Standardeinstellung ***** SPAM***** [ %SUBJECT% ] zu setzen.
Mail-Listen	Sie können eine Blacklist und / oder eine Whitelist anlegen, indem Sie eine beliebige Anzahl an E-Mail-Adressen zur jeweiligen Liste hinzufügen. Beide Adresslisten können zur selben Zeit angewandt werden. Für beide Listen bestehen zwei Möglichkeiten, E-Mail-Adressen hinzuzufügen.> E-Mail-Adressen können manuell hinzugefügt werden, indem Sie eine Adresse in das Eingabefeld eintragen und anschließend auf Hinzufügen klicken.> E-Mail-Adressen können auch aus einer Textdatei importiert werden. Klicken Sie dazu unter der entsprechenden Liste auf Import und öffnen Sie die gewünschte Datei. Die maximale Dateigröße für Importe beträgt standardmäßig 1 Megabyte. Jede nicht leere Zeile der ausgewählten Textdatei wird als Eintrag zur entsprechenden Liste hinzugefügt.Sie können eine Adressliste komplett als Textdatei auf die lokale Festplatte exportieren, indem Sie rechts unter der entsprechenden Liste auf Export klicken.Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.
	Die E-Mail-Adressen in jeder der Adresslisten können die folgenden Platzhalter enthalten: * für Wörter, ? für einzelne Zeichen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Die hier festgelegten Antispam-Einstellungen für das Mailprotokoll werden nur auf Datenverkehr angewandt, der mit einer Regel mit einem für dieses Protokoll aktiven Proxy übereinstimmt. Außerdem muss der Proxy wie unter Einstellungen für Mail-Filter auf Seite 117 beschrieben aktiviert werden.

Einstellungen für Mail-Filter

Unter UTM > E-Mail-Sicherheit > Mailfilter Einstellungen aktivieren Sie den Mailproxy Ihrer LANCOM R&S® Unified Firewall. Sobald Sie den Mailproxy aktiviert haben, können Sie E-Mails nach ihrer Zieladresse filtern. Wenn sie ausgefiltert werden, erreichen diese E-Mails den Empfänger und / oder den Mailserver nicht.

Im Bearbeitungsfenster Mailfilter Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob der Mail-Proxy derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option. Diese Option ist standardmäßig deaktiviert.
Filter-Modus	Wählen Sie die Optionsschaltfläche mit dem gewünschten Filtermodus aus. WennBlacklist(Standardeinstellung) ausgewählt wurde, werden E-Mails von allen Adressen auf der Blacklist(siehe unten) keinesfalls zum Mailserver weitergeleitet. Wenn SieWhitelistauswählen, werden ausschließlich Adressen auf der Whitelist (siehe unten) zum Mailserver weitergeleitet.
Aktion	Wählen Sie die Schaltfläche mit der Aktion, die Sie auf die gefilterten E-Mails anwenden möchten. WährendE-Mails ablehnen(Standardeinstellung) unerwünschte E-Mails mit einer RFC-konformen Antwort ablehnt, verwirftE-Mails löschenunerwünschte E-Mails und lässt den Sender glauben, dass die E-Mail den Mailserver erreicht hat.
	!Die OptionE-Mails löschenist NICHT RFC-konform. Eine falsche Konfiguration kann dazu führen, dass wichtige E-Mails gelöscht werden.
Blacklist / Whitelist	Je nach ausgewähltem Filtermodus können Sie beliebig viele E-Mail-Adressen zu einer Blacklist oder einer Whitelist hinzufügen.Für beide Listen bestehen folgende Möglichkeiten, E-Mail-Adressen hinzuzufügen:> E-Mail-Adressen können manuell hinzugefügt werden, indem Sie eine Adresse in das Eingabefeld eintragen und anschließend aufHinzufügenklicken.> Alternativ können E-Mail-Adressen auch aus einer Textdatei importiert werden, indem Sie aufimportklicken und die gewünschte Datei öffnen. Die maximale Dateigröße für Importe beträgt standardmäßig 1 Megabyte. Jede nicht leere Zeile der ausgewählten Textdatei wird als Eintrag zur entsprechenden Liste hinzugefügt.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.Sie können die komplette Liste der Mail-Filter als Textdatei auf die lokale Festplatte exportieren, indem Sie rechts unter entsprechenden Liste aufExportklicken.
	iDie E-Mail-Adressen in jeder der Adresslisten können die folgenden Platzhalter enthalten: * für Wörter, ? für einzelne Zeichen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Nur wenn der Mailproxy aktiviert wurde, werden die weiteren Mailfilter-, Antispam- und Antivirus-Einstellungen aktiv. Weitere Informationen finden Sie unter Antispam-Einstellungen auf Seite 115 und Antivirus-Einstellungen auf Seite 111.

Wenn Sie sowohl im Mail-Filter als auch in Firewall-Regeln SSL-Untersuchung verwenden, müssen Sie Ihre Zertifizierungsstelle zum Truststore Ihrer LANCOM R&S® Unified Firewall und Ihrer Clientgeräte hinzufügen.

IDS / IPS

Das Intrusion Detection / Prevention System („IDS/IPS“) pflegt eine Datenbank bekannter Bedrohungen, um die Computer in Ihrem Netzwerk vor einem breiten Spektrum von feindlichen Angriffen zu schützen, Warnmeldungen auszugeben, wenn solche Bedrohungen festgestellt werden, und die Kommunikationsverbindung zu feindlichen Quellen zu beenden. Das System zur Erkennung und Bekämpfung von Netzwerkbedrohungen basiert auf Suricata.

Seine Bedrohungsdatenbank besteht aus einem von ProofPoint bereitgestellten, ausführlichen Regelsatz. Dieser Regelsatz enthält eine Blacklist mit IP-Adressen, Muster zur Erkennung von Malware in Kommunikationsverbindungen, Muster für Netzwerk-Scans, Muster für Brute-Force-Angriffe und mehr. Im IDS-Modus generiert die IDS / IPS-Vorrichtung lediglich Warnmeldungen, wenn eine Regel auf den Datenverkehr zutrifft. Im IPS-Modus generiert die IDS / IPS-Vorrichtung Warnmeldungen und blockiert bösartigen Datenverkehr zusätzlich. Sobald Sie IDS / IPS aktivieren, sind alle Regeln standardmäßig aktiv. Falls Dienste fälschlicherweise im Netzwerk von IDS / IPS blockiert werden, können Sie die IDS / IPS-Vorrichtung so konfigurieren, dass sie die Regel ignoriert, die den falschen Alarm ausgelöst hat. Weitere Informationen zu diesen Kategorien finden Sie unter FAQ Emerging Threats.

Wenn die IDS / IPS-Vorrichtung aktiviert ist, scannt sie durchgehend den gesamten Datenverkehr.

IDS / IPS ist in der UTM-Lizenz enthalten. Wenn Sie Ihre LANCOM R&S ^® Unified Firewall das erste Mal starten, läuft IDS / IPS 30 Tage als Testversion. Nach Ablauf dieser Frist wird IDS / IPS automatisch deaktiviert. Weitere Informationen zu den Lizenzen finden Sie unter Lizenz auf Seite 40.

Navigieren Sie zu UTM > IDS/IPS, um ein Bearbeitungsfenster zu öffnen, in dem Sie die IDS / IPS-Einstellungen anzeigen, aktivieren und anpassen können.

Im Bearbeitungsfenster IDS/IPS können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob der jeweilige IDS / IPS aktiv (1) oder inaktiv (0) ist. Klicken Sie auf den Schiebeschalter, um den Status von IDS / IPS zu ändern. IDS / IPS ist standardmäßig deaktiviert.
	Dieses Feld zeigt die Lizenzinformationen zu IDS / IPS an. IDS/IPS-Lizenz
Modus	Wählen Sie den gewünschten IDS / IPS-Modus aus, indem Sie die entsprechende Optionsschaltfläche auswählen. Die folgenden Modi sind verfügbar:➢ IDS (Ereignisse loggen) – In diesem Modus werden Ereignisse lediglich aufgezeichnet. Es wird keine Aktion ausgelöst.➢ IPS Drop (Pakete verwerfen und loggen) – Wenn ein Ereignis ausgelöst wird, werden die Pakete in Verbindung mit dem Ereignis ohne Mitteilung an den Absender verworfen. Ein Protokolleintrag wird erstellt.➢ IPS Reject (Pakete ablehnen und loggen) – Wenn ein Ereignis ausgelöst wird, werden die Pakete in Verbindung mit dem Ereignis abgelehnt. Bei TCP-Verbindungen sendet Ihre LANCOM R&S®Unified Firewall hierzu ein RST-Paket an den Absender und erstellt einen Protokolleintrag (siehe auch Protokolle auf Seite 63).

Im Tab Regeln legen Sie IDS / IPS-Regeln fest, die ignoriert werden sollen. Fügen Sie beliebig viele Regeln hinzu.

	BeschreibungEingabefeld
SID	Geben Sie die eindeutige Signatur-ID (SID) einer Regel ein und klicken Sie auf ☐ um die Regel zur Liste hinzuzufügen. Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken. Die SID einer Regel entnehmen Sie dem entsprechenden Protokolleintrag (siehe auch Protokolle auf Seite 63).Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.
Beschreibung	Optional: In dieses Eingabefeld können Sie zusätzliche Informationen zur IDS / IPS-Regel, die ignoriert werden soll, eintragen. Wenn Sie dieses Feld freilassen, wird es automatisch
BeschreibungEingabefeld
	gefüllt, sobald Ihre LANCOM R&S®Unified Firewall auf eine Regel stößt, die mit der Signatur-ID übereinstimmt.

Alternativ können Sie IDS / IPS-Regeln, die ignoriert werden sollen, aus dem Systemprotokoll auswählen und hinzufügen. Weitere Informationen finden Sie unter Systemprotokoll auf Seite 67.

Mit der Schaltfläche Ignorierte Regeln löschen unten links im Bearbeitungsfenster können Sie alle ignorierten IDS / IPS-Regeln gleichzeitig entfernen.

Im Tab können Sie Profile für automatische IDS / IPS-Aktualisierungen erstellen:

BeschreibungEingabefeld
	Geben Sie den Zeitpunkt der ersten automatischen IDS / IPS-Aktualisierung ein.VonSie können das Datum im Format MM/TT/JJJJ eingeben oder im Auswahlfenster ein Datum auswählen. Geben Sie die Uhrzeit im Format hh:mm:ss ein.
Intervall	Geben Sie das Aktualisierungsintervall für IDS / IPS in Stunden an. Wenn Sie 0 Stunden eingeben, wird die Aktualisierung sofort durchgeführt.

Klicken Sie auf Hinzufügen, um das Profil zur Liste hinzuzufügen. Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Proxy

Unter UTM > Proxy können Sie die Einstellungen zu HTTP(S)-, E-Mail- und VoIP-Proxys anpassen.

HTTP(S)-Proxy-Einstellungen

Ihre LANCOM R&S ^® Unified Firewall verwendet den Proxy Squid. Dieser Proxy dient als Schnittstelle zum Contentfilter und zum Virenscanner (siehe URL- / Contentfilter auf Seite 123 und Antivirus-Einstellungen auf Seite 111).

Unter UTM > Proxy > HTTP-Proxy-Einstellungen können Sie den HTTP(S)-Proxy Ihrer LANCOM R&S® Unified Firewall konfigurieren.

Der HTTP(S)-Proxy dient als Mittelsmann. Er stellt eine Verbindung zum Webserver her, generiert mithilfe seiner eigenen HTTP(S)-Proxy-CA ein Pseudo-Zertifikat für die Website und verwendet dieses, um eine Verbindung zum Browser herzustellen. So kann der Proxy den Datenverkehr analysieren, URL- und Contentfilter anwenden und nach Viren suchen.

Stellen Sie sicher, dass der DNS-Server Ihrer LANCOM R&S ^® Unified Firewall die Domains, auf die zugegriffen wird, korrekt auflösen kann, wenn der HTTP(S)-Proxy aktiv ist. Importieren Sie außerdem die HTTP(S)-Proxy-CA Ihrer LANCOM R&S ^® Unified Firewall als vertrauenswürdige Zertifizierungsstelle in die Browser aller Clients.

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der HTTP(S) Proxy derzeit aktiv (I) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie unabhängig von den konfigurierten Proxy-Modi den Status dieses Dienstes ändern. Der HTTP(S)-Proxy ist standardmäßig deaktiviert.
	Mit Aktivieren oder Deaktivieren des HTTP(S)-Proxy wird der FTP-Proxy ebenfalls aktiviert oder deaktiviert.
Klartext-HTTP-Proxy	Um den HTTP-Proxy zu deaktivieren, wählen Sie die „Proxy deaktivieren“-Option aus.Wenn Sie Transparent auswählen, leitet Ihre LANCOM R&S®Unified Firewall automatisch alle Anfragen, die auf Port 80 (HTTP) eintreffen, über den Proxy weiter (Standardeinstellung).Wenn Sie Intransparent auswählen, muss der HTTP-Proxy Ihrer LANCOM R&S®Unified Firewall explizit auf Port 10080 eingestellt sein.
HTTPS Proxy	Um den HTTPS-Proxy zu deaktivieren, wählen Sie die Option Proxy deaktivieren aus.
	i Sie können den HTTPS-Proxy unabhängig vom HTTP-Proxy konfigurieren.Wenn Sie Transparent auswählen, leitet Ihre LANCOM R&S®Unified Firewall automatisch alle Anfragen, die auf Port 443 (HTTPS) eintreffen, über den Proxy weiter (Standardeinstellung).Wenn Sie Intransparent auswählen, muss der HTTPS-Proxy Ihrer Firewall explizit auf Port 10443 eingestellt sein.
Proxy CA	Die Zertifizierungsstelle wird vom HTTP(S)-Proxy verwendet, um Pseudo-Zertifikate auszustellen.Je nach Zertifikatstyp schlägt Ihre LANCOM R&S®Unified Firewall vor, welche Zertifikate nützlich sind und welche nicht.
	! Die Zertifizierungsstelle wird nur angezeigt, wenn der HTTPS Proxy auf Transparent oder Intransparent eingestellt ist.
Client-Authentifizierung	Nur verfügbar, wenn Klartext-HTTP-Proxy oder HTTPS Proxy auf Intransparent eingestellt sind. Setzen Sie den Haken in diesem Kontrollkästchen, um die HTTP(S)-Client-Authentifizierung mithilfe der LANCOM R&S®Unified Firewall Benutzerverwaltung zu aktivieren.
	! Wenn Sie Client-Authentifizierung aktivieren, wird der FTP-Proxy deaktiviert. In diesem Fall wird eine Warnmeldung angezeigt.
	! Der Proxy kann nur HTTP-Datenpakete verarbeiten. Wenn ein Programm versucht, Datenpakete anderer Protokolle an diesen Port zu übermitteln, werden die Pakete blockiert.
Whitelist	Sie können eine Liste (Whitelist) von Domains festlegen, die von SSL-Untersuchung, Virenscanner und URL-Filter ausgeschlossen werden sollen.Domains auf der Whitelist werden vom HTTP(S)-Proxy ohne Analyse akzeptiert und sind direkt im Browser des Benutzers verfügbar. Es werden keine Zertifikate erstellt. Diese Einstellung wird für Dienste benötigt, die striktes Certificate Pinning verwenden (Beispiel: Windows Update unter windowsupdate.com).Sie können beliebig viele Domains hinzufügen. Geben Sie eine Domain ein und klicken Sie auf⊕, um sie zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.
	i Die Domains dürfen die folgenden Platzhalter enthalten: * und . für ganze Wörter, ? für einzelne Zeichen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Mail-Proxy-Einstellungen

Mithilfe dieses Mail-Proxy können Sie Ihre LANCOM R&S ^® Unified Firewall als Proxy für E-Mails verwenden.

Unter UTM > Proxy > Mail-Proxy-Einstellungen können Sie den Mail-Proxy Ihrer LANCOM R&S®Unified Firewall Software konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob der Mail-Proxy derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option. Diese Option ist standardmäßig aktiviert.
Server-Zertifikate verifizieren	Wählen Sie dieses Kontrollkästchen, wenn Sie möchten, dass der Mail-Proxy Ihrer LANCOM R&S®Unified Firewall Server-Zertifikate validiert.
StartTLS (SMTP) verwenden	Wählen Sie dieses Kontrollkästchen, um StartTLS für über den Proxy geleitete SMTP-Verbindungen zu aktivieren.
Zertifikate	Wählen Sie den Zertifikatstyp aus, den Sie für den Mail-Proxy verwenden möchten, indem Sie die entsprechende Optionsschaltfläche auswählen. Die folgenden Optionen stehen zur Verfügung:➢ Zertifikate automatisch erstellenEs werden automatisch Pseudo-Zertifikate für jeden Mail-Server erstellt.➢ Zertifikat auswählenIhre LANCOM R&S®Unified Firewall verwendet ein Zertifikat für alle Mail-Server.Wählen Sie aus der Drop-Down-Liste Proxy-Zertifikat ein Zertifikat aus.○i Hinweise zum Erstellen dieser Zertifikate finden Sie unter Zertifikatsverwaltung auf Seite 149.○! Es sind nur Non-CA-Zertifikate unter Verwendung eines privaten Schlüssels erlaubt.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VoIP-Proxy-Einstellungen

Mithilfe des VoIP-Proxy können Sie Ihre LANCOM R&S ^® Unified Firewall als Proxy für VoIP-Verbindungen verwenden.

Unter UTM > Proxy > VoIP-Proxy-Einstellungen konfigurieren Sie den VoIP-Proxy Ihrer LANCOM R&S ^® Unified Firewall:

BeschreibungEingabefeld
Internes Netz	Wählen Sie aus der Drop-down-Liste Ihre lokale Netzwerkschnittstelle aus, die für Telefonanrufe verwendet werden soll.
Internet-Verbindung	Wählen Sie aus der Drop-down-Liste die Internetverbindung aus, die Ihre LANCOM R&S®Unified Firewall verwendet, um VoIP-Verbindungen weiterzuleiten.
SIP Proxy aktivieren	Wählen Sie dieses Kontrollkästchen, wenn Ihre LANCOM R&S®Unified Firewall als VoIP-Proxy für das SIP verwendet werden soll. Der Proxy ist dann über Port 5060 erreichbar.
Daten an einen externen SIP-Proxy weiterleiten	Wählen Sie dieses Kontrollkästchen, um alle VoIP-Daten im SIP an einen externen SIP-Proxy weiterzuleiten.
	Geben Sie die IP-Adresse des externen SIP-Proxy ein.Adresse des externen Proxies
	Geben Sie den Port des externen SIP-Proxy ein.Port

Um den VoIP-Proxy zu verwenden, müssen Sie auf Ihren VoIP-Geräten die IP-Adresse Ihrer LANCOM R&S ^® Unified Firewall mit Port 5060 eingeben. Weitere Details finden Sie in der Dokumentation Ihrer VoIP-Endgeräte.

3 Benutzeroberfläche

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Reverse-Proxy

Unter UTM > Reverse-Proxy können Sie die Einstellungen für Backends, Frontends und Reverse-Proxy verwalten.

Ein Reverse-Proxy ist sinnvoll, wenn Sie auf Ihrem eigenen Netzwerk eine öffentliche Website hosten.

Wenn der Reverse-Proxy aktiv ist, nimmt Ihre LANCOM R&S ^® Unified Firewall Anfragen auf diese Website aus externen Netzwerken (z. B. dem Internet) entgegen. Es leitet diese dann entsprechend Ihrer Konfiguration an einen oder mehrere interne Webserver weiter.

Mit dem Reverse-Proxy können Sie mehrere Domains auf einer IP-Adresse hosten. Er dient außerdem zur Lastverteilung und als Ausfallsicherung, wenn Sie mehrere interne Server verwenden.

Reverse-Proxy-Einstellungen

Unter UTM > Reverse-Proxy > Reverse-Proxy-Einstellungen können Sie den Reverse Proxy generell aktivieren oder deaktivieren.

Reverse-Proxy-Einstellungen Firewall ✓ Gespeicherte Version Zurücksetzen Schließen

Abbildung 28: Reverse-Proxy-Einstellungen

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der Reverse-Proxy derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status des Reverse-Proxy. Der Reverse-Proxy ist standardmäßig aktiviert.

Backends

Navigieren Sie zu UTM > Reverse-Proxy > Backends, um mindestens ein Backend mit einem Server anzulegen. Ein Backend besteht aus einem oder mehreren internen Webservern, die Ihre Website bereitstellen.

Im Fenster Reverse-Proxy-Backend können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für das Backend ein.Name
	Aktivieren Sie dieses Kontrollkästchen, um SSL zu aktivieren.SSLWenn SSL aktiviert ist, wird die Verbindung zwischen Reverse-Proxy und Backend verschlüsselt.
Server	Weisen Sie dem Backend einen oder mehrere Server zu. Geben Sie eine Serveradresse ein.Klicken Sie auf um die IP-Adresse zur Liste hinzuzufügen.

Mit den Schaltflächen unten rechts im Bearbeitungsfenster können Sie Ihre Änderungen verwerfen (Abbrechen), oder ein neues Backend anlegen (Erstellen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Frontends

Navigieren Sie zu UTM > Reverse-Proxy > Frontends, um Ihre Frontends zu konfigurieren.

Um die Konfiguration vorzunehmen, müssen Sie mindestens ein Backend mit mindestens einem Server angelegt haben.

Nachdem Sie ein Backend erstellt haben, können Sie im Reverse-Proxy-Frontend ein Frontend erstellen. Jedes konfigurierte Frontend stellt eine Website mit externer IP-Adresse, Port, Domain und – sofern SSL aktiviert ist – Zertifikat dar.

Im Fenster Reverse-Proxy-Frontend können Sie die folgenden Informationen einsehen und die folgenden Elemente konfigurieren:

	BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der Reverse-Proxy derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status des Reverse-Proxy. Der Reverse-Proxy ist standardmäßig aktiviert.
Domäne oder IP-Adresse	Geben Sie den Namen der Domain oder die IP-Adresse ein, der das Frontend zugewiesen ist.
Verbindung	Wählen Sie eine Verbindung aus. Sie können sowohl eine Netzwerkverbindung als auch eine PPP-Verbindung auswählen.
Port	Konfigurieren Sie den externen Listen-Port für den Reverse-Proxy, z. B. den Port, der von externen Netzwerken aus erreichbar ist.
	Aktivieren Sie dieses Kontrollkästchen, um SSL zu aktivieren.SSLWenn SSL aktiviert wird, stellt der Reverse-Proxy die Website mit SSL-Verschlüsselung bereit und verwendet das konfigurierte Zertifikat zur Authentifizierung.
Zertifikat	Wählen Sie ein Zertifikat mit einem privaten Schlüssel aus. Diese Option ist nur verfügbar, wenn SSL aktiviert ist.
	Wählen Sie ein konfiguriertes Backend aus.Proxy-PfadeGeben Sie einen URL-Pfad ein. Der URL-Pfad muss absolut sein, d. h. er muss mit einem / beginnen.Sie können nun Anfragen weiterleiten, die mit den URL-Parametern des konfigurierten Backends übereinstimmen.
	Anfragen, die mit den URL-Parametern übereinstimmen, werden blockiert.Blockierte PfadeGeben Sie einen URL-Pfad ein. Der URL-Pfad muss absolut sein, d. h. er muss mit einem / beginnen.

Mit den Schaltflächen unten rechts im Bearbeitungsfenster können Sie Ihre Änderungen verwerfen (Abbrechen) oder ein neues Frontend anlegen (Erstellen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

URL- / Contentfilter

URL- und Contentfilter bestimmen, welche Websites für Computer im geschützten Netzwerk erreichbar sind.

Die URL-Filterfunktion Ihrer LANCOM R&S ^® Unified Firewall überprüft Internetadressen (URLs), die im HTTP-Datenverkehr empfangen werden, nach erlaubten und / oder nicht erlaubten Begriffen je nach Einordnung in Black- und Whitelists.

Ein „Blacklist“ Ansatz legt eine Liste von gesperrten Seiten fest und gewährt Zugriff auf alle Seiten, die nicht ausdrücklich verboten sind. Wenn zum Beispiel die URL einer Website auf einer Blacklist steht, wird der Zugriff auf diese Seite gesperrt. Daher wird die URL http://www.amazon.de gesperrt, wenn die Kategorie Ordering unter das Blacklisting fällt.

3 Benutzeroberfläche

Durch eine „Whitelist“ kann der Zugriff auf eine Liste von Seiten begrenzt werden, die speziell für die Benutzung zugelassen wurden, während alle anderen gesperrt sind. Wenn zum Beispiel die Unterkategorie Shopping auf der Sperrliste steht, Sie jedoch den Zugriff auf die URL http://www.amazon.de erlauben möchten, sollten Sie diese URL in eine Whitelist eintragen.

Wenn Websites keine verifizierbaren Begriffe in ihren URLs enthalten, reicht ein URL-Filter allein nicht aus. Daher filtert Ihre LANCOM R&S ^® Unified Firewall auch die HTTP-Datenkommunikation nach dem Inhalt der Websites. Ähnlich wie eine Suchmaschine durchsucht der Contentfilter im Internet verfügbare Websites, analysiert und kategorisiert sie und bereitet die Ergebnisse in einer Datenbank auf.

Um URL- und Contentfilter zu verwenden, wird der HTTP-Proxy benötigt. Die HTTP-Datenkommunikation einer Verbindung kann nur nach URL-Listen und Inhalten gefiltert werden, wenn der HTTP-Proxy bei der Bearbeitung der Regeln für diese Verbindung aktiviert wurde.

Die hier definierten URL- und Contentfilter stehen zur Verwendung in benutzerdefinierten Firewall-Regeln zur Verfügung. Weiterführende Informationen finden Sie unter Einstellungen für Firewall-Regeln auf Seite 25.

Weiterführende Informationen zu URL- / Contentfiltern finden Sie in den folgenden Abschnitten.

Einstellungen für URL- / Contentfilter

Navigieren Sie zu UTM > URL-/Contentfilter > Settings, um die URL- und Contentfilter Ihrer LANCOM R&S® Unified Firewall zu konfigurieren.

BeschreibungEingabefeld
	Dieses Feld zeigt die Lizenzinformationen zu Ihrem Contentfilter an.Content-Filter-Lizenz
URLs	Setzen Sie diesen Haken, um Abschnitte hinter einem ? (dieses dient zur Übertragung variabler Werte in PHP) von Black- und Whitelists auszuschließen
Safesearch	Setzen Sie dieses Häkchen, um die Einstellung SafeSearch=strict automatisch für alle Suchvorgänge über die Suchmaschinen Google, Bing und Yahoo zu konfigurieren, um nicht jugendfreie Inhalte in Suchanfragen zu verbergen. Benutzer können diese Einstellung nicht verändern.
	SafeSearch funktioniert nur, wenn der HTTPS-Proxy aktiv ist, da die meisten Suchmaschinenanbieter auf ihren Websites verschlüsselte HTTPS-Verbindungen verwenden.
Dauer der Überschreibung durch den Benutzer	Falls eine Webseite gesperrt wurde, können Sie die Sperrmechanismen des Contentfilters für eine gewählte Zeitspanne überschreiben.Geben Sie die Zeitspanne für die Contentfilter-Kategorie in Minuten ein, um das entsprechende Profil zu deaktivieren.
	Nur die aktuelle Kategorie eines URL-/Contentfilter-Profils wird als nicht gesperrt für eine bestimmte Zeitspanne überschrieben).

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Übersicht URL- / Contentfilter

Navigieren Sie zu UTM > URL-/Contentfilter > URL-/Contentfilter, um die Liste der im System angelegten URL- und Contentfilter anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name des Filters und die Anzahl der ausgewählten Einträge in Contentfiltern, Blacklists und Whitelists angezeigt. Mithilfe der Schaltflächen in der letzten Spalte können Sie die

Einstellungen für URL- und Contentfilter einsehen und anpassen, einen neuen Filter auf der Grundlage einer Kopie eines vorhandenen Filters anlegen oder einen Filter aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für URL- / Contentfilter

Mit diesen Einstellungen können Sie die folgenden Optionen konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für den URL- und Contentfilter an.Name
Überschreibung durch den Benutzer	Setzen Sie dieses Häkchen, um ein Contentfilterprofil überschreibbar zu markieren. Wie Sie die Dauer dieser Option einstellen, finden Sie unterEinstellungen für URL-/Contentfilter auf Seite 124.
	Diese Option ist nur für Profile verfügbar, die keine Standardprofile sind.

Content-Filter

Im Abschnitt Content-Filter legen Sie fest, welche Websites für die Benutzer im Netzwerk verfügbar und welche gesperrt sein sollen.

Klicken Sie auf die Schaltfläche ➤ neben einer Kategorie, um ihre Unterkategorien anzuzeigen. Wählen Sie ganze Kategorien oder einzelne Unterkategorien aus, indem Sie die das entsprechende Häkchen setzen. Entfernen Sie das Häkchen neben einer Kategorie oder Unterkategorie, um diese von der Blacklist oder Whitelist zu entfernen. Um die Unterkategorien zu verbergen, klicken Sie auf die Schaltfläche ➤ neben der Kategorie.

URL-Filter

Im Abschnitt URL-Filter können Sie Blacklist- und / oder Whitelistfilter für URLs definieren.

BeschreibungEingabefeld

Blacklist / Whitelist

Sie können eine Blacklist und / oder eine Whitelist anlegen, indem Sie beliebig viele Begriffe zur jeweiligen Liste hinzufügen. Wenn beide Listen gleichzeitig angewendet werden, wird die Whitelist mit höherer Priorität behandelt.Für beide Listen bestehen zwei Möglichkeiten, Begriffe hinzuzufügen:Suchbegriffe können manuell hinzugefügt werden, indem Sie einen Begriff in das Eingabefeld eintragen und anschließend aufHinzufügenklicken.Alternativ können Sie Suchbegriffe auch aus einer Textdatei importieren, indem Sie auf→]Importklicken und die gewünschte Datei öffnen. Die maximale Dateigröße für Importe beträgt standardmäßig 1 Megabyte. Jede nicht leere Zeile der ausgewählten Textdatei wird als Eintrag zur entsprechenden Liste hinzugefügt.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.Sie können eine Liste mit Begriffen komplett als Textdatei auf die lokale Festplatte exportieren, indem Sie rechts unter der entsprechenden Liste aufExportklicken.Die Begriffe in jeder der Listen können die folgenden Platzhalter enthalten: * für ganze Wörter, ? für einzelne Zeichen.

3 Benutzeroberfläche

Um eine Blacklist oder Whitelist zu erstellen, können Sie Suchbegriffe entweder direkt eingeben, oder reguläre Ausdrücke (RegEx) verwenden.

BeispielBeschreibungRegEx
		ho.me-z. B. home, holePlatzhalter für einzelne Zeichen.
*	Beliebig viele Wiederholungen des Zeichens	hom* -z. B. hom, homm
		ho.*e-z. B. home, houseEine beliebige Anzahl an Zeichen.*
		^home - home steht nur am ZeilenanfangBeginn einer Zeile^
		home- home steht nur am Ende der ZeileEnde einer Zeile

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie einen neuen URL- und Contentfilter hinzufügen oder einen bestehenden bearbeiten. Klicken Sie für einen neu konfigurierten URL- und Contentfilter auf Erstellen, um ihn zur Liste der verfügbaren Dienste hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

3.4.6 VPN

Mit den Einstellungen unter VPN können Sie Ihre LANCOM R&S ^® Unified Firewall für die Verwendung als Virtual Private Network-Server konfigurieren, um Client-to-Site (C2S)-VPN-Verbindungen zur Verfügung zu stellen. So können Computer an einem anderen Ort mittels IPsec und VPN-SSL sicher auf Ressourcen im lokalen Netzwerk zugreifen. Durch ein Site-to-Site (S2S) VPN-Gateway kann über das Internet mittels IPsec und VPN-SSL ein sicherer Kommunikationskanal zwischen zwei Remote-Netzwerken aufgebaut werden.

Client-to-Site VPN-Verbindungen

Durch eine Client-to-Site VPN-Verbindung kann das Unternehmensnetzwerk von außen erreicht werden. Die Authentifizierung erfolgt entweder über IPsec mit ausgestellten Zertifikaten, mittels eines so genannten PSK (Pre-Shared Key) oder über VPN-SSL mit Zertifikaten.

Client-to-Site-Verbindungen über IPsec und VPN-SSL können abhängig von den Client-Einstellungen in einem von zwei Modi betrieben werden:

Im Split-Tunnel-Modus wird nur die Kommunikation zwischen dem Client und dem internen Netzwerk (z. B. einem Unternehmensnetzwerk) durch die Firewall geleitet. Clients können Geräte im internen Netzwerk über den Tunnel erreichen. Für andere Ziele (wie das Internet) vorgesehene Pakete werden nicht durch die LANCOM R&S® Unified Firewall geroutet.

Beispiel: Ein Benutzer wählt sich mithilfe eines VPN-Software-Clients per Fernzugriff aus dem Drahtlosnetzwerk eines Hotels in ein Unternehmensnetzwerk ein. Durch Split Tunneling kann der Benutzer sich über die VPN-Verbindung mit Dateiservern, Datenbankenservern, Mailservern und anderen Diensten im Unternehmensnetzwerk verbinden. Verbindet sich der Benutzer mit Internetressourcen (Websites, FTP-Seiten etc.), wird die Verbindungsanfrage direkt über das Gateway des Hotelnetzwerks abgesendet.

Im Full-Tunnel-Modus wird der gesamte Datenverkehr zurück zu Ihrer LANCOM R&S®Unified Firewall geleitet, einschließlich der Kommunikation mit Internetseiten.

Full Tunneling erlaubt es dem Benutzer beispielsweise nicht, über Hotelnetzwerke direkt auf das Internet zuzugreifen. Jeglicher Datenverkehr, der vom Client ausgesendet wird, während die VPN-Verbindung aktiv ist, wird an die Firewall gesendet.

C2S-Verbindungen über IPsec werden mithilfe eines gewöhnlichen VPN-Clients hergestellt, z. B. dem LANCOM Advanced VPN Client. Weitere Informationen finden Sie unter IPsec-Verbindungs-Einstellungen auf Seite 133.

VPN-SSL C2S-Verbindungen werden mithilfe eines gewöhnlichen VPN-Clients hergestellt. Weitere Informationen finden Sie unter VPN-SSL-Verbindungseinstellungen auf Seite 147.

Site-to-Site VPN-Verbindungen

Bei einer Site-to-Site-Verbindung werden zwei Standorte über einen verschlüsselten Tunnel miteinander zu einem virtuellen Netzwerk verbunden und tauschen durch diesen Tunnel Daten aus. Die beiden Standorte können feste IP-Adressen haben. Die Authentifizierung erfolgt entweder über IPsec mit ausgestellten Zertifikaten, mittels eines so genannten PSK (Pre-Shared Key) oder über VPN-SSL mit Zertifikaten.

IPsec

IPsec (Internet Protocol Security) ist ein Satz von Protokollen, der auf Ebene der Vermittlungsschicht oder der Sicherungsschicht arbeitet und den Austausch von Paketen über nicht vertrauenswürdige Netzwerke (bspw. das Internet) sichert, indem er jedes IP-Paket einer Kommunikationssitzung authentifiziert und verschlüsselt. IPsec erfüllt die höchsten Sicherheitsanforderungen.

VPN-SSL

VPN über SSL bietet eine schnelle und sichere Möglichkeit, eine Roadwarrior-Verbindung einzurichten. Der größte Vorteil an VPN-SSL ist, dass der gesamte Datenverkehr über einen TCP- oder UDP-Port läuft und im Gegensatz zu IPsec keine weiteren speziellen Protokolle benötigt werden.

Stellen Sie vor der Einrichtung von VPN-Verbindungen sicher, dass Sie die notwendigen Zertifikate installiert haben, wie unter Zertifikatsverwaltung auf Seite 149 beschrieben.

IPsec

Die IPsec-Protokollsuite (Internet Protocol Security) arbeitet auf der Ebene der Vermittlungsschicht und nutzt die Authentifizierung und Verschlüsselung von IP-Paketen, um die Kommunikation in nicht vertrauenswürdigen Netzwerken abzusichern.

Für eine Site-to-Site-Verbindung über IPsec benötigen Sie zwei VPN-IPsec-fähige Server. Für eine Client-to-Site-Verbindung benötigen Sie separate Client-Software.

Ihre LANCOM R&S ^® Unified Firewall ist in der Lage, mithilfe der IPsec-Protokollsuite sichere Verbindungen aufzubauen und zu nutzen. Ermöglicht wird dies durch ESP im Tunnel-Modus. Der Schlüsselaustausch kann mithilfe von Version 1 des IKE-Protokolls oder des neueren IKEv2 erfolgen. Nach Wahl werden Pre-shared Keys oder Zertifikate nach dem X.509-Standard verwendet. Mit IKEv1 ist auch eine Authentifizierung über XAUTH möglich. Beu IKEv2 gibt es die zusätzliche Authentifizierungsmöglichkeit über EAP.

IPsec-Einstellungen

Unter VPN > IPsec > IPsec-Einstellungen können Sie IPsec aktivieren und die Einstellungen konfigurieren:

Tabelle 3: Allgemein

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob IPSec aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option.
Ausgenommene Interfaces	Auswahlliste, in der Interfaces ausgewählt werden können, die nicht vom IPsec-Dienst verwendet werden sollen. Wenn hier nichts eingetragen ist, dann werden alle Interfaces auf dem System ausgenommen – auch solche die neu erstellt oder automatisch erzeugt werden.Normalerweise werden ausgenomme Interfaces und die ausgenommenen IP-Adressen benötigt, wenn der gesamte Traffic über einen IPsec-Tunnel in die Zentrale geschickt wird. In einem

3 Benutzeroberfläche

BeschreibungEingabefeld
	solchen Fall muss man aufpassen, dass die lokalen Netze weiter erreichbar bleiben. Standardmäßig hat IPsec eine höhere Priorität als normale Routen und somit würden selbst Pakete, die für lokale Netze gedacht sind, stattdessen in den VPN-Tunnel geschickt. Im Normalfall bleiben also durch die Voreinstellung, alle lokalen Interfaces auszunehmen, die lokalen Netze immer erreichbar.
Ausgenommene IP-Adressen	Tragen Sie hier IP-Adressen im CIDR-Format ein. Pakete zu diesen Netzen werden unter keinen Umständen in einen Tunnel weitergeleitet, selbst dann nicht, wenn ein Tunnel für die Zieladresse konfiguriert ist.Klicken Sie rechts auf um Ihren Eintrag zur Liste der IP-Adressen hinzuzufügen.
Proxy-ARP	Ist diese Option aktiv, dann antwortet die Firewall auf ARP-Anfragen aus lokalen Netzen für virtuelle IP-Adressen, die an IPsec-Clients vergeben wurden, mit der eigenen MAC-Adresse.

Tabelle 4: DHCP-Server

BeschreibungEingabefeld
Aktiv	IPsec kann einen DHCP-Server verwenden, um den verbundenen IPsec-Clients virtuelle IP-Adressen zuzuweisen. Hier können Sie diese Funktion aktiveren.Zur Verwendung wählen Sie in einer IPsec-Verbindung bei Virtueller IP-Pool die Option DHCP Virtual-IP pool aus.
IP-Adresse	Geben Sie hier die IP-Adresse des zu verwendenden DHCP-Servers ein. Dies kann entweder die Adresse eines DHCP-Servers sein oder eine Broadcast-Adresse eines Netzwerks.

Tabelle 5: RADIUS-Server

BeschreibungEingabefeld
Aktiv	IPsec kann in Verbindung mit EAP oder XAUTH die Benutzerverwaltung eines RADIUS-Servers verwenden, um die Verbindung zu authentifizieren. Ausserdem können auch IP-Adressen vom RADIUS-Server an IPsec-Clients zugewiesen werden. Dafür wählen Sie in einer IPsec-Verbindung bei Virtueller IP-Pool die Option RADIUS Virtual-IP pool aus.Hier können Sie diese Funktion aktiveren.
	IP-Adresse des RADIUS-Servers.IP-Adresse
	Port des RADIUS-Servers.Port
	Passwort für den Zugriff auf den Radius-Server.Passwort

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Sicherheits-Profile

Unter VPN > IPsec > Sicherheits-Profile finden Sie eine Liste von vordefinierten Profilen, die Sie mit selbst erstellten Profilen erweitern können.

Die vordefinierten Profile können weder bearbeitet noch gelöscht werden.

Werden verwendete Sicherheits-Profile geändert, können in der erweiterten Listbar alle zugehörigen Verbindungen neugestartet werden. Sicherheits-Profile werden in Vorlagen und Verbindungen gewählt.

Klicken Sie auf ✝um ein neues Sicherheitsprofil hinzuzufügen.

Tabelle 6: Allgemeine Einstellungen

BeschreibungEingabefeld
	Geben Sie diesem Sicherheitsprofil einen aussagekräftigen Namen.Name
	Zeigt an, in welchen IPsec-Verbindungen dieses Profil aktuell verwendet wird.Verwendet in
Datenkomprimierung	Wenn man hier Datenkomprimierung wählt, dann wird diese für alle Verbindungen aktiviert, die dieses Profil verwenden. Man spart dadurch zwar Bandbreite, erhöht aber auch die CPU-Last.
	⚠️ Wenn Sie Datenkomprimierung aktivieren, dann muss diese auch auf der Gegenstelle aktiviert sein.

ISAKMP (IKE)

In diesem Tab können Sicherheits-Einstellungen für die IKE-Phase definiert werden. IKE definiert, wie Sicherheitsparameter vereinbart und gemeinsame Schlüssel ausgetauscht werden

Tabelle 7: ISAKMP (IKE)

BeschreibungEingabefeld
	Wählen Sie IKEv1 oder IKEv2IKE-Version
Verschlüsselungsalgorithmen	Wählen Sie aus der Liste der verfügbaren Verschlüsselungsalgorithmen diejenigen aus, die Sie verwenden wollen.
Authentifizierungsalgorithmen	Wählen Sie aus der Liste der verfügbaren Authentifizierungsalgorithmen diejenigen aus, die Sie verwenden wollen.
DH-Gruppen	Wählen Sie aus der Liste der verfügbaren Diffie-Hellmann-Gruppen diejenigen aus, die Sie verwenden wollen.
	Geben Sie die gewünschte SA-Lebensdauer in Sekunden an.SA-Lebensdauer
Mobile IKE (nur IKEv2)	Diese nur für IKEv2 verfügbare Option erlaubt das Wechseln der IP-Adressen ohne Verbindungsabbruch.

Die Verschlüsselungsalgorithmen, Authentifizierungsalgorithmen und DH-Gruppen, die hier definier werden, werden beim Aufbau der IPsec-Verbindung verwendet, um eine Verschlüsselungs-Authentifizierungs-Kombination mit der Gegenstelle auszuhandeln. Je mehr Einträge hier definiert werden, desto höher sind die Kombinationsmöglichkeiten.

Die Anzahl der Kombinationsmöglichkeiten ist bei Verwendung von IKEv1 auf etwas über 200 begrenzt. Bei IKEv2 gibt es keine Beschränkung.

IPsec (ESP)

Encapsulating Security Payload (ESP) stellt Mechanismen zur Sicherstellung der Authentizität, Integrität und Vertraulichkeit der übertragenen IP-Pakete bereit. Diese Einstellungen bestimmen somit die Verschlüsselungs- und Authentifizierungsalgorithmen der eigentlichen IP-Pakete.

BeschreibungEingabefeld
Verschlüsselungsalgorithmen	Wählen Sie aus der Liste der verfügbaren Verschlüsselungsalgorithmen diejenigen aus, die Sie verwenden wollen.
Authentifizierungsalgorithmen	Wählen Sie aus der Liste der verfügbaren Authentifizierungsalgorithmen diejenigen aus, die Sie verwenden wollen.
DH-Gruppen	Wählen Sie aus der Liste der verfügbaren Diffie-Hellmann-Gruppen diejenigen aus, die Sie verwenden wollen.
	Geben Sie die gewünschte SA-Lebensdauer in Sekunden an.SA-Lebensdauer

Klicken Sie auf Erstellen.

Der Dialog Sicherheits-Profil schließt sich. Das neue Sicherheits-Profil wird zur Liste der verfügbaren Sicherheits-Profile in der Objektleiste hinzugefügt.

Virtuelle IP-Pools

Virtuelle IP-Pools können verwendet werden, um verbundenen Clients IP-Adressen-Konfigurationen zu schicken. Die virtuellen IP-Pools können in den Vorlagen und Verbindungen unter dem Tab Tunnel ausgewählt werden.

Unter VPN > IPsec > Virtuelle IP-Pools finden Sie zum einen die vordefinierten und nicht veränderbaren virtuellen IP-Pools für DHCP- und RADIUS-Server, zum anderen den Default Virtual-IP pool, den Sie bearbeiten können. Alternativ klicken Sie auf ✉um einen neuen virtuellen IP-Pool hinzuzufügen.

Die vordefinierten Profile können weder bearbeitet noch gelöscht werden.

Tabelle 9: Virtueller IP-Pool

BeschreibungEingabefeld
	Geben Sie diesem virtuellem IP-Pool einen aussagekräftigen Namen.Name
Verwendet in	Zeigt an, in welchen IPsec-Verbindungen dieser virtuelle IP-Pool aktuell verwendet wird.
	Netzwerk-Adresse, aus der IP-Adressen an die Clients geschickt werden.IP-Pool
	IP-Adresse des bevorzugten DNS-Servers.Bevorzugter DNS-Server
	IP-Adresse des alternativen DNS-Servers.Alternativer DNS-Server
	IP-Adresse des bevorzugten WINS-Servers.Bevorzugter WINS-Server
	IP-Adresse des alternativen WINS-Servers.Alternativer WINS-Server
DNS-Suchdomänen	Liste an DNS-Suchdomänen. Klicken Sie rechts auf ☑um Ihren Eintrag zur Liste der DNS-Suchdomänen hinzuzufügen.

Klicken Sie auf Erstellen.

Der Dialog Virtueller IP-Pool schließt sich. Der neue Pool wird zur Liste der verfügbaren virtuellen IP-Pools in der Objektleiste hinzugefügt.

Werden verwendete IP-Pools geändert, können in der erweiterten Listbar alle zugehörigen Verbindungen neu gestartet werden.

Vorlagen

Die Verbindungs-Vorlagen können verwendet werden, um Werte für Verbindungen vorzudefinieren, die häufig verwendet werden. Alle Werte außer dem Vorlagen-Namen sind optional und füllen das entsprechende Feld einer auf Basis dieser Vorlage erstellten VPN-Verbindung aus.

Es sind verschiedene Vorlagen vordefiniert, wie z. B. die Vorlage „LANCOM Advanced VPN Client“, um IPsec-Verbindungen mit diesem Client zu vereinfachen. Die Vorlage „(empty)“ kann verwendet werden, falls die Werte einer vorhandenen Verbindungen gelöscht werden sollen.

Die vordefinierten Vorlagen können weder bearbeitet noch gelöscht werden.

Unter VPN > IPsec > Vorlagen können Sie das Fenster IPsec Verbindugs-Vorlage öffnen. Im Fenster IPsec Verbindungs-Vorlage können Sie die folgenden Informationen einsehen und konfigurieren:

Tabelle 10: IPsec Verbindungs-Vorlage

BeschreibungEingabefeld
	Geben Sie dieser Vorlage einen aussagekräftigen Namen.Name
	Wählen Sie eines der vordefinierten Sicherheitsprofile aus.Sicherheits-Profil

Im Tab Verbindung können Sie Vorgaben für die folgenden Felder einstellen:

Tabelle 11: Verbindung

BeschreibungEingabefeld
Verbindung	Eine Netzwerk- oder Internet-Verbindung kann gewählt werden, deren IP-Adressen für die IPsec-Verbindung verwendet werden soll.
Listening-IP-Adressem	Alternativ zur Verbindung können auch benutzerdefinierte IP-Adressen eingetragen werden. Sind hier IP-Adressen gesetzt, so wird die Einstellung Verbindung ignoriert. Werden weder Verbindung noch Listening-IP-Adressen gesetzt, dann verwendet der IPsec-Dienst automatisch eine der konfigurierten IP-Adressen aller Verbindungen.
Remote Gateway	Diese Adresse ist für die Option Verbindung aufbauen notwendig, um die Adresse der Gegenstelle zu bestimmen.
Verbindung aufbauen	Von der Firewall wird eine Verbindung zur im Feld Remote Gateway angegebenen Adresse aufgebaut.
NAT-T erzwingen	Normalerweise wird NAT-T automatisch gesetzt, wenn die Verbindung es erfordert. Wenn dieser Automatismus nicht greift, dann kann über diese Option NAT-T für den Aufbau einer Verbindung erzwungen werden.

Im Tab Tunnel können Sie Vorgaben für die folgenden Felder einstellen:

Tabelle 12: Tunnel

BeschreibungEingabefeld
	Lokale Netzwerke, die mit der Gegenstelle verbunden werden sollen.Lokale Netzwerke
	Remote-Netzwerke, die mit den lokalen Netzwerken verbunden werden sollen.Remote Netzwerke
	Es werden alle konfigurierten lokalen mit allen konfigurierten entfernten (Remote) Netzwerken verbunden. Bei IKEv1-Verbindungen und IKEv2-Verbindungen mit aktivierter Option IKEv2-Kompatibilitätsmodusist die maximale Anzahl an Kombinationen auf 25 begrenzt, bei IKEv2 mit inaktiver Option IKEv2-Kompatibilitätsmodusgibt es keine Begrenzung.
Virtueller IP-Pool	Der Gegenstelle wird eine IP-Adresse aus dem konfigurierten IP-Pool zugewiesen.
IKEv2-Kompatibilitätsmodus	Anstatt alle konfigurierten lokalen und entfernten Netze durch einen einzigen Tunnel zu schicken wird wie bei IKEv1 für jede Verbindung zwischen zwei Netzen ein einzelner Tunnel angelegt. Diese Option ist nur für IKEv2-Verbindungen gültig.

Im Tab Authentifizierung können Sie Vorgaben für die folgenden Felder einstellen:

Tabelle 13: Authentifizierung

BeschreibungEingabefeld
	Geben Sie den Authentifizierungstyp an. Mögliche Werte:Authentifizierungstyp> Zertifikat – die Authentifizierung wird über ein lokales und ein Remote-Zertifikat durchgeführt.> Certificate Authority – die Authentifizierung wird über ein lokales und ein Remote-Zertifikat durchgeführt, das von der ausgewählten CA signiert wurde.> PSK (Preshared Key) – die Authentizierung erfolgt über ein Passwort.
PSK (Preshared Key)	Nur bei Authentifizierungstyp PSK (Preshared Key) – Geben Sie das zu verwendende Passwort an.
Lokales Zertifikat	Das Zertifikat der Firewall zur Authentifizierung. Dieses muss einen Private Key beinhalten.
Lokaler Identifier	Ist diese Feld leer, wird bei PSK-Authentifizierung automatisch die ausgehende IP-Adresse der Firewall verwendet und bei Zertifikat-Authentifizierung der Distinguished Name (DN) des ausgewählten lokalen Zertifikats.> Bei PSK-Authentifizierung sind die folgenden Werte erlaubt: IP-Adressen, Fully Qualified Domain Names (FQDN), E-Mail Adressen (FQUN) und freier Text zwischen Anführungszeichen (").> Bei Zertifikat-Authentifizierung sind die folgenden Werte erlaubt: Den Distinguished Name (DN) des ausgewählten Zertifikats, Wildcard DN – Alle DN Elemente müssen (in korrekter Reihenfolge) vorhanden sein, dürfen aber als Wildcard (z.B. CN=*) angegeben werden – eventuelle Subject Alternative Names (SAN) des ausgewählten Zertifikats.
	Nur bei Authentifizierungstyp „Zertifikat“: Zertifikat der Gegenstelle.Remote Zertifikat
Certificate Authority	Nur bei Authentifizierungstyp „Certificate Authority“: Eine CA, deren signierte Zertifikate für die Authentifizierung verwendet werden können.
Remote Identifier	Ist diese Feld leer, wird bei PSK-Authentifizierung automatisch die IP-Adresse des Remote Gateways verwendet, falls diese gesetzt wurde. Bei Zertifikat-Authentifizierung der Distinguished Name (DN) des ausgewählten remote Zertifikats.> Bei PSK-Authentifizierung sind die folgenden Werte erlaubt: IP-Adressen, Fully Qualified Domain Names (FQDN), E-Mail Adressen (FQUN) und freier Text zwischen Anführungszeichen (").> Bei Zertifikat-Authentifizierung sind die folgenden Werte erlaubt: Den Distinguished Name (DN) des ausgewählten Zerifikats, Wildcard DN – Alle DN Elemente müssen (in korrekter Reihenfolge) vorhanden sein, dürfen aber als Wildcard (z.B. CN=*) angegeben werden – eventuelle Subject Alternative Names (SAN) des ausgewählten Zertifikats.
EAP / XAUTH	Aktiviert die Verwendung einer zusätzlichen Benutzer-Authentifizierung. Bei XAUTH für IKEv1 wird die lokale Benutzerdatenbank oder ein RADIUS Server verwendet (je nachdem ob in den IPsec-Einstellungen RADIUS aktiv ist oder nicht). Bei EAP für IKEv2 kann nur ein externer RADIUS Server verwendet werden, der in den IPsec-Einstellungen aktiviert sein muss. Die Konfiguration für den Radius-Server wird in den IPsec-Einstellungen vorgenommen.

Klicken Sie auf Erstellen.

Der Dialog IPsec Verbindugs-Vorlage schließt sich. Die neue Vorlage wird zur Liste der verfügbaren Vorlagen in der Objektleiste hinzugefügt.

IPsec-Verbindungen

Mit Ihrer LANCOM R&S ^® Unified Firewall können Sie Remote-Clients über IPsec (IPsec Client-to-Site) VPN-Zugang verschaffen und einen sicheren Tunnel zwischen zwei Remote-Netzwerken erstellen (IPsec Site-to-Site).

Übersicht IPSec-Verbindungen

Navigieren Sie zu VPN > IPsec > Verbindungen, um die Liste der derzeit im System angelegten IPSec-Verbindungen in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name und der Status der IPSec-Verbindung angezeigt. Des Weiteren zeigen die Spalten die für diese Verbindung gewählte Authentifizierungsmethode an. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine IPsec-Verbindung einsehen und anpassen oder eine Verbindung aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

IPsec-Verbindungs-Einstellungen

Unter VPN > IPsec > Verbindungen können Sie eine IPsec-Verbindung hinzufügen, oder eine vorhandene Verbindung bearbeiten.

Im Bearbeitungsfenster Verbindung können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob die IPSec-Verbindung derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status der Verbindung ändern. Eine neue Verbindung ist standardmäßig aktiviert.
Name	Geben Sie einen eindeutigen Namen für die Verbindung ein. Dieser muss aus einem bis 63 alphanumerischen Zeichen und Unterstrichen bestehen.
Vorlage	Wählen Sie optional eine der vordefinierten Vorlagen aus. Alle Einstellungen werden entsprechend der gesetzten Werte aus der Vorlage verwendet. Werte die nicht in der Vorlage gesetzt wurden, werden zurückgesetzt. Daher kann die Vorlage „(empty)” verwendet werden, um alle Werte zurückzusetzen.
	Wählen Sie eines der vordefinierten Sicherheitsprofile aus.Sicherheits-Profil

Im Tab Verbindung können Sie Vorgaben für die folgenden Felder einstellen:

Tabelle 14: Verbindung

BeschreibungEingabefeld
Verbindung	Eine Netzwerk- oder Internet-Verbindung kann gewählt werden, deren IP-Adressen für die IPsec-Verbindung verwendet werden soll.
Listening-IP-Adressem	Alternativ zur Verbindung können auch benutzerdefinierte IP-Adressen eingetragen werden. Klicken Sie rechts auf ☐ um Ihren Eintrag zur Liste hinzuzufügen. Sind hier IP-Adressen gesetzt, so wird die Einstellung Verbindung ignoriert. Werden weder Verbindung noch Listening-IP-Adressen gesetzt, dann verwendet der IPsec-Dienst automatisch eine der konfigurierten IP-Adressen aller Verbindungen.
Remote Gateway	Diese Adresse ist für die Option Verbindung aufbauen notwendig, um die Adresse der Gegenstelle zu bestimmen.
Verbindung aufbauen	Von der Firewall wird eine Verbindung zur im Feld Remote Gateway angegebenen Adresse aufgebaut.
NAT-T erzwingen	Normalerweise wird NAT-T automatisch gesetzt, wenn die Verbindung es erfordert. Wenn dieser Automatismus nicht greift, dann kann über diese Option NAT-T für den Aufbau einer Verbindung erzwungen werden.

Im Tab Tunnel können Sie Vorgaben für die folgenden Felder einstellen:

Tabelle 15: Tunnel

BeschreibungEingabefeld
Lokale Netzwerke	Lokale Netzwerke, die mit der Gegenstelle verbunden werden sollen. Klicken Sie rechts auf ⊕, um Ihren Eintrag zur Liste hinzuzufügen.
Remote Netzwerke	Remote-Netzwerke, die mit den lokalen Netzwerken verbunden werden sollen. Klicken Sie rechts auf ⊕um Ihren Eintrag zur Liste hinzuzufügen.
	! Es werden alle konfigurierten lokalen mit allen konfigurierten entfernten (Remote) Netzwerken verbunden. Bei IKEv1-Verbindungen und IKEv2-Verbindungen mit aktivierter Option IKEv2-Kompatibilitätsmodus ist die maximale Anzahl an Kombinationen auf 25 begrenzt, bei IKEv2 mit inaktiver Option IKEv2-Kompatibilitätsmodus gibt es keine Begrenzung.
Virtueller IP-Pool	Der Gegenstelle wird eine IP-Adresse aus dem konfigurierten IP-Pool zugewiesen.
	Weisen Sie der Gegenstelle eine bestimmte IP-Adresse zu.Virtuelle IP
	! Die Optionen Remote-Netzwerke, Virtueller IP-Pool und Virtuelle IP sollten nicht zusammen verwendet werden
IKEv2-Kompatibilitätsmodus	Anstatt alle konfigurierten lokalen und entfernten Netze durch einen einzigen Tunnel zu schicken wird wie bei IKEv1 für jede Verbindung zwischen zwei Netzen ein einzelner Tunnel angelegt. Diese Option ist nur für IKEv2-Verbindungen gültig.

Im Tab Authentifizierung können Sie Vorgaben für die folgenden Felder einstellen:

Tabelle 16: Authentifizierung

BeschreibungEingabefeld
	Geben Sie den Authentifizierungstyp an. Mögliche Werte:Authentifizierungstyp> Zertifikat – die Authentifizierung wird über ein lokales und ein Remote-Zertifikat durchgeführt.> Certificate Authority – die Authentifizierung wird über ein lokales und ein Remote-Zertifikat durchgeführt, das von der ausgewählten CA signiert wurde.> PSK (Preshared Key) – die Authentizierung erfolgt über ein Passwort.
PSK (Preshared Key)	Nur bei Authentifizierungstyp PSK (Preshared Key) – Geben Sie das zu verwendende Passwort an.
Lokales Zertifikat	Das Zertifikat der Firewall zur Authentifizierung. Dieses muss einen Private Key beinhalten.
Lokaler Identifier	Ist diese Feld leer, wird bei PSK-Authentifizierung automatisch die ausgehende IP-Adresse der Firewall verwendet und bei Zertifikat-Authentifizierung der Distinguished Name (DN) des ausgewählten lokalen Zertifikats.> Bei PSK-Authentifizierung sind die folgenden Werte erlaubt: IP-Adressen, Fully Qualified Domain Names (FQDN), E-Mail Adressen (FQUN) und freier Text zwischen Anführungszeichen (").> Bei Zertifikat-Authentifizierung sind die folgenden Werte erlaubt: Den Distinguished Name (DN) des ausgewählten Zertifikats, Wildcard DN – Alle DN Elemente müssen (in korrekter Reihenfolge) vorhanden sein, dürfen aber als Wildcard (z.B. CN=*) angegeben werden – eventuelle Subject Alternative Names (SAN) des ausgewählten Zertifikats.
	Nur bei Authentifizierungstyp „Zertifikat“: Zertifikat der Gegenstelle.Remote Zertifikat
Certificate Authority	Nur bei Authentifizierungstyp „Certificate Authority“: Eine CA, deren signierte Zertifikate für die Authentifizierung verwendet werden können.
Remote Identifier	Ist diese Feld leer, wird bei PSK-Authentifizierung automatisch die IP-Adresse des Remote Gateways verwendet, falls diese gesetzt wurde. Bei Zertifikat-Authentifizierung der Distinguished Name (DN) des ausgewählten remote Zertifikats.➢ Bei PSK-Authentifizierung sind die folgenden Werte erlaubt: IP-Adressen, Fully Qualified Domain Names (FQDN), E-Mail Adressen (FQUN) und freier Text zwischen Anführungszeichen (").➢ Bei Zertifikat-Authentifizierung sind die folgenden Werte erlaubt: Den Distinguished Name (DN) des ausgewählten Zertifikats, Wildcard DN – Alle DN Elemente müssen (in korrekter Reihenfolge) vorhanden sein, dürfen aber als Wildcard (z.B. CN=*) angegeben werden – eventuelle Subject Alternative Names (SAN) des ausgewählten Zertifikats.
EAP / XAUTH	Aktiviert die Verwendung einer zusätzlichen Benutzer-Authentifizierung. Bei XAUTH für IKEv1 wird die lokale Benutzerdatenbank oder ein RADIUS Server verwendet (je nachdem ob in den IPsec-Einstellungen RADIUS aktiv ist oder nicht). Bei EAP für IKEv2 kann nur ein externer RADIUS Server verwendet werden, der in denIPsec-Einstellungen aktiviert sein muss. Die Konfiguration für den Radius-Server wird in den IPsec-Einstellungen vorgenommen

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue VPN-IPsec-Verbindung hinzufügen oder eine bestehende Verbindung bearbeiten. Klicken Sie für eine neu konfigurierte Netzwerkverbindung auf Erstellen, um die Verbindung zur Liste der verfügbaren IPSec-Netzwerkverbindungen hinzuzufügen, oder auf Abbrechen, um die Erstellung einer neuen Netzwerkverbindung abzubrechen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Einrichtung einer IKEv2 VPN-Verbindung mit dem LANCOM Advanced VPN-Client

Szenario: Die LANCOM R&S® Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse:

Ein Unternehmen möchte seinen Außendienst-Mitarbeitern den Zugriff auf das Firmennetzwerk per IKEv2 Client-To-Site Verbindung ermöglichen.
Dazu ist auf den Notebooks der Außendienst-Mitarbeiter der LANCOM Advanced VPN Client installiert.
Die Firmenzentrale verfügt über eine LANCOM R&S® Unified Firewall als Gateway und eine Internetverbindung mit der festen öffentlichen IP-Adresse 81.81.81.81.
Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.3.0/24.

graph LR
    A["Unified Firewall"] -->|LAN-Zentrale 192.168.3.0/24| B["Server"]
    A --> C["Internet"]
    C --> D["VPN-Verbindung IKEv2"]
    D --> E["Notebook mit installiertem LANCOM Advanced VPN Client"]
    style A fill:#f9f,stroke:#333
    style E fill:#bbf,stroke:#333

3 Benutzeroberfläche

Konfigurationsschritte auf der LANCOM R&S® Unified Firewall

1. Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall und wechseln auf VPN > IPsec > IPsec-Einstellungen
2. Aktivieren Sie IPsec, indem Sie es über den Schiebeschalter oben links einschalten. Speichern Sie diese Änderung.
3. Wechseln Sie auf VPN > IPsec > Verbindungen und klicken auf +, um eine neue IPsec-Verbindung zu erstellen.
4. Speichern Sie die folgenden Parameter:

Name: Vergeben Sie einen aussagekräftigen Namen.

Der Name darf nur Buchstaben, Zahlen und Unterstriche enthalten!

Vorlage: Wählen Sie „LANCOM Advanced VPN Client“.
Netzwerk-Verbindung: Wählen Sie im Dropdown-Menü das WAN-Objekt aus, welches für die Internet-Verbindung verwendet wird.

VPN_Test Verbindung Neu - Änderungen bleiben erhalten bis zum Abbrechen des Dialogs oder Abmelden. Name VPN_Test Vorlage LANCOM Advanced VPN Client Sicherheits-Profil LANCOM Advanced VPN Client IKEv2 IKEv2 Verbindung Tunnel Authentifizierung Verbindung eth0 WAN Connection Alle konfigurierten IP-Adressen dieser Verbindung werden verwendet. Listening-IP-Adressen Remote-Gateway Verbindung aufbauen NAFT erzwingen Abbrechen Erstellen

1. Wechseln Sie zum Reiter Tunnel und hinterlegen folgende Parameter:

Lokale Netzwerke: Hinterlegen Sie das lokale Netzwerk in CIDR-Schreibweise (Classless Inter-Domain Routing), mit dem der VPN-Client kommunizieren soll.
Virtueller IP-Pool: Entfernen Sie mit einem Klick auf das rechte x den voreingestellten virtuellen IP-Pool.

Virtuelle IP: Weisen Sie dem VPN-Client eine IP-Adresse aus dem lokalen Netzwerk zu. Diese IP-Adresse wird dem VPN-Client bei jeder Einwahl über den IKE-Config-Mode zugeteilt.

VPN_Test Verbindung Neu - Änderungen bleiben erhalten bis zum Abbrechen des Dialogs oder Abmelden. Name VPN_Test Vorlage LANCOM Advanced VPN Client Sicherheits-Profil LANCOM Advanced VPN Client IKEv2 IKEv2: Verbindung Tunnel Authentifizierung Lokale Netzwerke + 192.168.3.0/24 Remote-Netzwerke Virtueller IP-Pool Virtuelle IP 192.168.3.24 IKEv2-Kompatibilitätsmodus Abbrechen Erstellen

1. Wechseln Sie zum Reiter Authentifizierung und hinterlegen folgende Parameter:

Authentifizierungstyp: Wählen Sie „PSK (Preshared Key)“ aus.
PSK (Preshared Key): Vergeben Sie einen Preshared Key.
Lokaler Identifier: Bestimmen Sie die lokale Identität.
Remote Identifier: Bestimmen Sie die entfernte Identität.

3 Benutzeroberfläche

Der Local und Remote Identifier dürfen nicht übereinstimmen!

VPN_Test Verbindung Neu - Änderungen bleiben erhalten bis zum Abbrechen des Dialogs oder Abmeiden. Name VPN_Test Vorlage LANCOM Advanced VPN Client Sicherheits-Profil LANCOM Advanced VPN Client IKEv2 IKEv2 Verbindung Tunnel Authentifizierung Authentifizierungstyp Zertifikat Certificate Authority PSK (Preshared Key) PSK (Preshared Key) 12345678 Lokales Zertifikat Lokaler Identifier test@zentrale Remote Zertifikat Remote Identifier client@zentrale EAP/XAUTH Abbrechen Erstellen

1. Klicken Sie auf Erstellen, um die Verbindung anzulegen.
2. Um einen neuen VPN-Host anzulegen, klicken Sie auf 📄

ROHDESCHWARZ Schweizanzky Kilchen zum Erstellen eines VPN- Hosts Hosts Desktop-Objekte Hosts Aktivieren Standard Devulzungsgruppe Berufnahmeufstrukturung Internet Internet IPsec-Einstellungen IPSecSSOinstellungen IPSPVerbindungen IPsec-Verbindungen IPN-SSV-verbindungen

1. Speichern Sie die folgenden Parameter:

Name: Vergeben Sie einen aussagekräftigen Namen.
VPN-Verbindungstyp: Wählen Sie den Typ IPsec.

3 Benutzeroberfläche

IPSec-Verbindung: Wählen Sie im Dropdownmenü bei IPsec die in Schritt 3 auf Seite 136 bis 7 auf Seite 138 erstellte VPN-Verbindung aus.

Client_Test VPN-Host Neu - Änderungen bleiben erhalten bis zum Abbrechen des Dialogs oder Abmelden. Name Client_Test Beschreibung Tags Farbe Icon Computer Notebook Server VPN-Verbindungstyp IPsec VPN-SSL IPsec-Verbindung VPN_Test Abbrechen Erstellen

1. Klicken Sie im VPN-Host auf und klicken anschließend auf das Netzwerk-Objekt, auf welches der LANCOM Advanced VPN Client zugreifen können soll, damit die Firewall-Objekte geöffnet werden.

Wiederholen Sie diesen Schritt für jedes weitere interne Netzwerk, auf das der LANCOM Advanced VPN Client Zugriff haben soll.

graph TD
    A["Client_Test"] --> B["VPN"]
    B --> C["Fossil"]
    D["Nachstellung"] --> E["Internet"]
    F["Internet"] --> G["Internet-Benutzergruppe"]
    G --> H["Benutzergenentifizierung"]
    H --> I["Client Test"]
    I --> J["Internet"]
    J --> K["Internet-Benutzergruppe"]
    K --> L["Benutzergenentifizierung"]
    L --> M["Benutzergruppe"]

1. Weisen Sie über ✉lie erforderlichen Protokolle dem VPN-Host zu.

3 Benutzeroberfläche

Eine LANCOM R&S® Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

Verbindung Neu - Änderungenstätigkeit erhalter bis zum Abstreichen des Dialogs oder Alterslafen. Client_Test - Intern Beschreibung Regeln URL / Context Filter Application Filter Name Aktion Zestatzerung Optionen Antigen SHP Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Internet Abtreichen Endelien

1. Klicken Sie zuletzt auf √ Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.

ROHDE & SCHWARZ Cybersecurity Filter Filter ✓ Aktivieren IPsec-Verbindungen VPN-Verbindungen ✓ IPsec-Verbindungen Desktop

1. Die Konfigurationsschritte auf der Unified Firewall sind damit abgeschlossen.

Konfigurationsschritte im LANCOM Advanced VPN Client:

1. Öffnen Sie den LANCOM Advanced VPN Client und wechseln in das Menü Configuration > Profiles.

LANCOM Advanced VPN Cie... Verbindung Konfiguration Ansicht Hilfe Verbindung Profile... Firewall... VPN-Bypass... WLAN... Zertifikate... Verbindungsoptionen... Logon-Optionen... Korfigurationssperren... Weitere Optionen... Profit-Sicherung Tipp: Aktiva mit dem For Webseite Statistik: Verbindungzeit: 00:00:00 Timesut (sec): 0 Dalen (Tx) in Byte: 0 Richtung Dalen (Rx) in Byte: 0 Verbindungart: LAN Durchsatz (kDa): 0.000 Verschlübung

1. Klicken Sie auf Add / Import, um einen neuen VPN-Zugang zu erstellen.

Profile Verfügbare Profile Gruppe: Alle Profile anzeigen Gruppieren Profit-Name Verbindungsmedium Autom. M.. Standard LAN LAN automatisch automatisch Hingzufügen / Import Bearbeiten Kopieren Löschen Export Häfe OK Abbrechen

1. Wählen Sie Link to Corporate Network Using IPSec.

Assistent für neues Profil Verbindungstyp Wie soll die Verbindung zur Gegenstelle hergestellt werden? LANCOM System ● Verbindung zum Firmennetz über IPsec Erstellt eine Verbindung zum Firmennetzwerk über ein virtuelles privates Netzwerk (VPA), abgesichert über IPsec. ○ Verbindung mit dem Interpret herstellen Erstellt eine Verbindung zum Internet ohne weitere Parameter für ein virtuelles privates Netzwerk (VPN). ○ Profile Importieren Erstellen eines Profiles mit Hilfe einer Import-Datei (*.inj). → Zurek → Weiter > Abbrachen

1. Vergeben Sie einen aussagekräftigen Namen.

Assistent für neues Profit Name des Profils Geben Sie hier einen unverwechselbaren Namen für das Profit ein. LANCOM Systems Der Name des Profils darf jedes alphonumerische und numerische Zeichen beinhalten und, Leerzeichen eingerechnet, bis zu 39 Zeichen lang sein. Profile Name: B-12.11 < Zurück Weiter > Abbrischen

1. Wählen Sie das Verbindungsmedium aus.

3 Benutzeroberfläche

Werden wechselnde Verbindungsmediem verwendet (z. B. LAN und WLAN), verwenden Sie die Option automatische Medienerkennung.

Assistent für neues Profil Verbindungs medium Auswahl des Mediums, über das die Verbindung hergestellt werden soll. LANCOM Systems Wahlen Sie das Medium, über das die Verbindung hergestellt werden soll. Das Verbindungs medium wird für jedes Profil eigens eingestellt, vorausgesetzt Sie haben die entsprechende Hardware angeschlossen und in Ihrem System installiert. Soll 2. B. das Internet über Modem genutzt werden, stellen Sie unter Verbindungs medium "Modem" ein und wählen anschließend das gewünschte Modem aus. Verbindungs medium: LAN (over IP) < Zurück Weiter > Abbrechen

1. Geben Sie die öffentliche IP-Adresse oder den DynDNS-Namen der Unified Firewall an.

Assistent für neues Profil VPN Gateway Parameter Zu welchem Tunnel-Endpunkt soll die Verbindung aufgebaut werden? LANCOM Systems Geben Sie an dieser Stelle den Namen (z.B. vpnserver.musterfirma.de) oder die offizielle IP-Adresse (z.B. 212.10.17.29) an, über die das VPH Gateway erreichtigt. Bei erweiterter Authentisierung (AUTH) kann der Benutznahme und das Passwort für die Authentisierung angegeben werden. Werden keine AuthenBisierungsdaten angegeben, werden diese beim Verbindungsaufbau abgefragt. Gateway (Tunnel-Endpunkt): 7.31.81.8 Enweiterte Authentisierung (AUTH) Benutznahme: Password: Password (Wjedeshokung): < Zurück > Abbrechen

1. Setzen Sie den Exchange Mode auf „IKEv2“ und die PFS-Group auf „DH16 (modp4096)“. Deaktivieren Sie die Funktion IPsec-over-HTTPS.

Assistant für neues Profil IPsec-Konfiguration Kontiguration der grundlegenden Parameter für IPsec LANCOM Systems Hier können sie grundlegende Parameter für iPsec angeben. Für die Richtlinen der IPsec-Verhändlung wird die Einstellung "Automatischer Modus" verwendet. Sollen bestimmte IKE /IPsec-Richtlinen verwendet werden, müssen diese anschließend in den Profil-Einstellungen definiert und zugewiesen werden. Austausch-Modus: IKEv2 IP5-Gruppe: DH16 (modp4006) Benutze IPsec-Kompression iPsec over HTTPS* IDN.COM VPN-Router mit Betriebssystem Version LCOS 8.0 oder Noher erforderlich "basierend auf der NCP VPN Path Finder Technology < Zurück Weiter > Abbrachten

1. Speichern Sie die folgenden Parameter:

Typ: Wählen Sie im Dropdown-Menü den Identitätstyp Fully Qualified Username (FQUN) aus.
ID: Hinterlegen Sie den Remote Identifier, vergeben im Schritt 6 auf Seite 137

Shared Secret: Hinterlegen Sie den im Schritt 6 auf Seite 137 vergebenen Preshared Key.

Assistant für neues Profil IPsec- Konfiguration - Pre-shared Key Gemeinsamer Schlüssel für die iPsec LANCOM Systems For die IKE ID muss je nach ausgewähntem IKE ID-Typ der zugehörige String eingetragen werden. Werden für die Authentisierung keine Zertifikate verwendet, wird für die Datenverschlüsselung ein gemeinsamer Schlüssel benötigt, der auf beiden Seiten (VPN Client und VPN Gateway) hinterlegt sein muss. Lokale Identität (IKE) Type: Fully Qualified Username ID: client@zentrale Pre-shared Key Shared Secret: Shared Secret (Wiederholung): *************** ********** < Zurück Weiter > Abbrevchen

1. Wählen Sie im Dropdown-Menü „IKE Config Mode“ aus, damit dem VPN-Client die IP-Adresse automatisch durch die LANCOM R&S® Unified Firewall zugewiesen wird.

Assistent für neues Profil IPsec-Konfiguration - IP-Adressen Welche IP-Adressen sollen verwendet werden? LANCOM System Geben Sie hier die IP-Adresse an, welche dem Client zugewiesen werden soll. Soll die IP-Adresse dynamisch durch die Gegenstelle zugewiesen werden, muss die Option "IKE Config Mode verwenden" gewählt werden. Desweiteren kann eine IP-Adresse für den DNS- bzw. WINS-Server angegeben werden. IP-Adressen-Zuweisung IKE Config Mode verwenden IP-Adresser: 0.0.0.0 DNS / WINS Server DNS Server: 0.0.0.0 WINS Server: 0.0.0.0 < Zurück Weiter > Abbruehen

1. Hinterlegen Sie zur Verwendung der Funktion Split Tunneling das Zielnetz, welches über den VPN-Tunnel erreicht werden soll.

Ohne konfiguriertes Split-Tunneling wird bei aufgebautem VPN-Tunnel aller Datenverkehr über den VPN-Tunnel übertragen, also auch der für das lokale Netzwerk oder das Internet bestimmte Datenverkehr. Dies kann zu Kommunikations-Problemen führen!

Assistant für neues Profil IPsec-Konfiguration - Split Tunneling Welche entfernten IP-Netzwerke sollen über den Tunnel erreicht werden ? LANCOM Systems Hier können die entfernten Netzwerke eingetragen werden, die über den tunnel erreicht werden sollen. Ohne Eintrags wird immer der Tunnel benutzt. Entfernte IP-Netzwerke Entfernte IP-Netzmasken 192.168.3.0 255.255.255.0 Hingufügen Bearbeiten Löschen < Zurück Fertigstellen Abbruehen

1. Die Konfigurationsschritte im LANCOM Advanced VPN Client sind damit abgeschlossen.

3 Benutzeroberfläche

Zusätzliche Schritte für eine „Parallel“ Lösung

Szenario: Die LANCOM R&S ^® Unified Firewall geht über einen vorgeschalteten Router ins Internet:

Ein Unternehmen möchte seinen Außendienst-Mitarbeitern den Zugriff auf das Firmennetzwerk per IKEv2 Client-To-Site Verbindung ermöglichen.
Dazu ist auf den Notebooks der Außendienst-Mitarbeiter der LANCOM Advanced VPN Client installiert.
Die Firmenzentrale verfügt über eine LANCOM R&S® Unified Firewall als Gateway und einen vorgeschalteten Router, welcher die Internet-Verbindung herstellt. Der Router hat die feste öffentliche IP-Adresse 81.81.81.81.
Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.3.0/24.

graph LR
    A["Unified Firewall"] --> B["Router"]
    B --> C["Internet"]
    C --> D["Notebook mit installiertem LANCOM Advanced VPN Client"]
    A -->|LAN-Zentrale 192.168.3.0/24| E["Computer"]
    B -->|OFFENL IP-Adresse: 81.81.81.81| F["Computer"]
    C -->|VPN-Verbindung IKEv2| G["Internet"]

Bei diesem Szenario muss zusätzlich ein Port- und Protokollforwarding auf dem vorgeschalteten Router eingerichtet werden.

Für IPSec werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP benötigt. Diese müssen auf die Unified Firewall weitergeleitet werden. Werden die UDP-Ports 500 und 4500 weitergeleitet, wird das Protokoll ESP automatisch mit weitergeleitet.

Werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP auf die LANCOM R&S® Unified Firewall weitergeleitet, kann eine IPSec-Verbindung auf dem LANCOM Router nur noch verwendet werden, wenn diese in HTTPS gekapselt wird (IPSec-over-HTTPS). Ansonsten kann keine IPSec-Verbindung mehr aufgebaut werden.

1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router > Maskierung. > Port-Forwarding-Tabelle.

Configuration Management Schnittstellen Datum/Zelt Meldungen Kommunikation IPv4 IPv6 IP-Router Allgemein Routing Maskierung NoN-Mapping VRRP Bcnjour Routing Protokolle Maskierungs Optionen TCP-Aging: 307 Sekunden UDP-Aging: 120 Sekunden ICMP-Aging: 10 Sekunden IP Sea-Aging: 2.000 Sekunden Fragment-Aging: 5 Sekunden Inverses Maskieren: Wenn Sie einzelne Dienste auf bestimmten Stationen auch ausserhalb, Inre Netzes verfügbar machen wollen (i.e., einen WebServer), dann tragen Sie die Stationen und die Dienste in diese Tabelle ein. Port-Forwarding-Tabelle...

1. Speichern Sie die folgenden Parameter:

Anfangs-Port: Hinterlegen Sie den Port 500.
End-Port: Hinterlegen Sie den Port 500.
Intranet-Adresse: Hinterlegen Sie die IP-Adresse der LANCOM R&S® Unified Firewall im Transfernetz zwischen LANCOM R&S® Unified Firewall und dem LANCOM Router.

Protokoll: Wählen Sie im Dropdown-Menü UDP aus.

Port-Forwarding-Tabtile - Eintrag bearbeiten ✓ Eintrag altiv Anfangs-Port: 500 End-Port: 500 Gegenstelle: Intranet Adièsse: 192.168.1.1 Map-Port: 0 Protokoll: UDP WAN-Adièsse: 0.0.0.0 Kommentor: OK Abbrechen

1. Erstellen Sie einen weiteren Eintrag und hinterlegen den UDP-Port 4500.

Port-Forwarding-Tabelle Aktiv Anfangs-Port End-Port Gegenstelle Adresse Map-Port Protokol WAN-Adresse Kommentar 1e 500 500 192.168.1.1 0 UDP 0.0.0.0 1e 4.500 4.500 192.168.1.1 0 UDP 0.0.0.0 QuickFinder Hina.fugen... Bearbeiten... Koperten... Entfernen

1. Schreiben Sie die Konfiguration in den Router zurück.

VPN-SSL

VPN über SSL bietet eine schnelle und sichere Möglichkeit, eine Roadwarrior-Verbindung einzurichten. Der größte Vorteil von VPN-SSL ist, dass der gesamte Datenverkehr über einen TCP- oder UDP-Port läuft und keine weiteren speziellen Protokolle benötigt werden.

Ihre LANCOM R&S ^® Unified Firewall ermöglicht es Ihnen, Remote-Clientcomputern einen VPN-Zugang zu gewähren (C2S, „Client-to-Site“), oder eine sichere Verbindung zwischen zwei Remote-Netzwerken (S2S, „Site-to-Site“) über das VPN-SSL-Protokoll herzustellen.

VPN-SSL-Einstellungen

Unter VPN > VPN-SSL > VPN-SSL-Einstellungen können Sie VPN-SSL aktivieren und die allgemeinen Einstellungen dazu auf Ihrer LANCOM R&S® Unified Firewall konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob VPN-SSL aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter ändern Sie den Status dieser Option.
Host-Zertifikat	Wählen Sie ein Hostzertifikat aus, das Ihre LANCOM R&S®Unified Firewall für alle VPN-SSL-Verbindungen nutzt.
DNS	Optional: Geben Sie einen DNS-Server ein, der von Clients für Client-to-Site-Verbindungen verwendet werden soll, während die Verbindung besteht.
WINS	Optional: Geben Sie einen WINS-Server ein, der von Clients für Client-to-Site-Verbindungen verwendet werden soll, während die Verbindung besteht.
Timeout	Geben Sie die Zeitüberschreitung in Sekunden ein. Der Tunnel wird getrennt, wenn bis zur Zeitüberschreitung kein Datenfluss vorliegt. Die Standardeinstellung beträgt 0. Der Tunnel wird also permanent aufrechterhalten.
Log-Level	Legen Sie die Ereignisprotokollstufe fest. Für Troubleshooting empfiehlt sich die Ereignisprotokollstufe 5 .

3 Benutzeroberfläche

BeschreibungEingabefeld
Routen	Geben Sie Routen für die VPN-SSL-Tunnel ein, die von den Clients oder dem entfernten Verbindungsende erstellt werden sollen. Diese Routen werden dann für alle VPN-SSL-Verbindungen verwendet.Klicken Sie aufHinzufügen, um die Route zur Liste hinzuzufügen. Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.

Im Tab Client-to-Site :

BeschreibungEingabefeld
Protokoll	Wählen Sie das zu verwendende Protokoll aus, indem Sie die entsprechende Optionsschaltfläche auswählen.
Port	Geben Sie die Nummer des VPN-SSL Listening Port an, der für eingehende Verbindungen verwendet werden soll.
	! Die gleiche Port-Nummer muss auch in der Client-Software angegeben werden.
Adressbereich	Geben Sie den Adressbereich an, aus dem IP-Adressen an Clients vergeben werden. Der Adressbereich darf sich nicht mit Ihren lokalen Netzwerken überschneiden.
Verschlüsselungs-Algorithmus	Wählen Sie aus der Drop-down-Liste den Verschlüsselungsalgorithmus aus, der für C2S-Verbindungen über VPN-SSL verwendet werden soll.
Erneute Verhandlung des Schlüssels	Um die Sicherheit zu erhöhen, erneuert eine VPN-SSL-Verbindung den Sitzungsschlüssel, während die Verbindung besteht. Geben Sie das Intervall für diese Schlüsselerneuerung in Sekunden an.
Kompression	Optional: Entfernen Sie dieses Häkchen, um LZO (Lempel-Ziv-Oberhumer, ein Algorithmus für verlustfreie Datenkompression) zu deaktivieren. Dieses Kontrollkästchen ist standardmäßig aktiviert.

Im Tab Site-to-Site :

BeschreibungEingabefeld
Protokoll	Wählen Sie das zu verwendende Protokoll aus, indem Sie die entsprechende Optionsschaltfläche auswählen.
Port	Geben Sie die Nummer des VPN-SSL Listening Port an, der für eingehende Verbindungen verwendet werden soll.
	Dieselbe Portnummer muss am entfernten Verbindungsende angegeben werden.
Adressbereich	Geben Sie den Adressbereich an, aus dem IP-Adressen für S2S-Verbindungen verwendet werden sollen. Der Adressbereich darf sich nicht mit Ihren lokalen Netzwerken überschneiden.
Verschlüsselungs-Algorithmus	Wählen Sie aus der Drop-down-Liste den Verschlüsselungsalgorithmus aus, der für S2S-Verbindungen über VPN-SSL verwendet werden soll.
Erneute Verhandlung des Schlüssels	Um die Sicherheit zu erhöhen, erneuert eine VPN-SSL-Verbindung den Sitzungsschlüssel, während die Verbindung besteht. Geben Sie das Intervall für diese Schlüsselerneuerung in Sekunden an.BeschreibungEingabefeld
Kompression	Optional: Entfernen Sie dieses Häkchen, um LZO (Lempel-Ziv-Oberhumer, ein Algorithmus für verlustfreie Datenkompression) zu deaktivieren. Dieses Kontrollkästchen ist standardmäßig aktiviert.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

VPN-SSL-Verbindungen

Unter VPN > VPN-SSL > VPN-SSL-Verbindungen können Sie VPN-SSL-Verbindungen erstellen und verwalten.

Mit Ihrer LANCOM R&S ^® Unified Firewall können Sie Remote-Clients über VPN-SSL (Client-to-Site) VPN-Zugang verschaffen und einen sicheren Tunnel zwischen zwei Remote-Netzwerken erstellen (Site-to-Site).

Übersicht VPN-SSL-Verbindungen

Navigieren Sie zu VPN > VPN-SSL > VPN-SSL-Verbindungen, um die Liste der derzeit im System angelegten VPN-SSL-Verbindungen in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in den Tabellenspalten der Name der VPN-SSL-Verbindung, das für die Verbindung verwendete Zertifikat sowie der Typ und der Status der Verbindung angezeigt. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine VPN-SSL-Verbindung einsehen und anpassen oder eine Verbindung aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

VPN-SSL-Verbindungseinstellungen

Unter VPN >VPN-SSL >VPN-SSL-Verbindungen können Sie eine VPN-SSL-Verbindung hinzufügen, oder eine vorhandene Verbindung bearbeiten.

Mit den Einstellungen unter VPN-SSL-Verbindungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/O	Ein Schiebeschalter gibt an, ob die VPN-SSL-Verbindung derzeit aktiv (1) oder inaktiv (0) ist. Mit einem Klick auf den Schiebeschalter können Sie den Status der Verbindung ändern. Neu angelegte Verbindungen sind standardmäßig aktiviert.
Name	Geben Sie einen eindeutigen Namen für die Verbindung ein. Der Name muss aus alphanumerischen Zeichen bestehen (erlaubt sind Buchstaben mit Ausnahme von ä, ö, ü und β sowie Zahlen und Sonderzeichen).
	Wählen Sie das Serverzertifikat für VPN-SSL-Verbindungen aus der Drop-Down-Liste aus.ZertifikatDas VPN-Zertifikat muss an allen Standorten von der gleichen Zertifizierungsstelle (Certificate Authority, CA) signiert werden. Es empfiehlt sich daher, die VPN-Zertifizierungsstelle und die VPN-Zertifikate an einem Standort zu verwalten und die VPN-Zertifikate von dort an alle weiteren Standorte zu exportieren.
Verbindungstyp	Wählen Sie den Typ der Verbindung und die Funktion der LANCOM R&S®Unified Firewall aus, indem Sie die entsprechende Optionsschaltfläche auswählen.Sie können aus den folgenden drei Typen auswählen:>Client-to-Site– Es wird eine C2S-Verbindung hergestellt (z. B. für Full Tunneling).Dieser Verbindungstyp kann z. B. mit dem herkömmlichen OpenVPN-Client verwendet werden, um vor allem mobile Clients mit Ihrem lokalen Netzwerk zu verbinden.> Site-to-Site (Server) – Es wird eine S2S-Verbindung hergestellt, bei der Ihre LANCOM R&S®Unified Firewall als Server dient.> Site-to-Site (Client) – Es wird eine S2S-Verbindung hergestellt. Ihre LANCOM R&S®Unified Firewall dient als Client.

Die angezeigten Elemente in den Einstellungen hängen vom gewählten Verbindungstyp ab:

Bei Client-to-Site-Verbindungen können Sie die folgende Elemente konfigurieren:

BeschreibungEingabefeld
Standard Gateway setzen	Setzen Sie den Haken in diesem Kontrollkästchen, um den VPN-SSL-Tunnel als Standard-Route zu verwenden (z. B. für Full Tunneling).
	Optional: Geben Sie die IP-Adresse ein, unter der der Client erreichbar ist.Client IP
Zusätzliche Server-Netzwerke	Die Angabe der lokalen Netzwerke, zu denen der Client Verbindungsrouten erstellen soll, muss in gültiger CIDR-Notation erfolgen (IP-Adresse gefolgt von einem Schrägstrich „/” und der Anzahl der in der Subnetzmaske festgelegten Bits, z. B. 192.168.1.0/24).Klicken Sie aufHinzufügen, um ein Netzwerk zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	!Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.

Bei Site-to-Site-Verbindungen, bei denen Ihre LANCOM R&S ^® Unified Firewall als Server dient, können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Adressbereich	Geben Sie den Adressbereich an, aus dem IP-Adressen für diese Verbindung verwendet werden. Der Adressbereich ist in den Einstellungen für VPN-SSL angegeben. Weitere Informationen finden Sie unterVPN-SSLauf Seite 145.
	Optional: Geben Sie die IP-Adresse des entfernten Verbindungsendes ein.Remote-IP
Fremde Netzwerke	Geben Sie die Netzwerke an, die dem entfernten Verbindungsende zur Verfügung stehen. Nachdem die Verbindung erfolgreich hergestellt wurde, erstellt der Server Routen in diesen Netzwerken.Klicken Sie aufHinzufügen, um ein Netzwerk zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.
Zusätzliche eigene Netzwerke	Geben Sie zusätzliche lokale Netzwerke an. Nachdem die Verbindung erfolgreich hergestellt wurde, erstellt der Server Routen in diesen Netzwerken.Klicken Sie aufHinzufügen, um ein Netzwerk zur Liste hinzuzufügen.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.

Bei Site-to-Site-Verbindungen, bei denen Ihre LANCOM R&S ^® Unified Firewall als Client dient, können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Adressbereich	Geben Sie den Adressbereich an, aus dem IP-Adressen für diese Verbindung verwendet werden. Der Adressbereich ist in den Einstellungen für VPN-SSL angegeben. Weitere Informationen finden Sie unterVPN-SSLauf Seite 145.
Server-Adresse	Geben Sie die IP-Adresse ein, unter der das entfernte Verbindungsende erreichbar ist.Klicken Sie aufHinzufügen, um ein Netzwerk zur Liste hinzuzufügen. Wenn Sie mehr als ein Netzwerk hinzufügen, wird eine automatische Ausfallsicherung ausgelöst, falls das erste Netzwerk nicht erreichbar ist. Ihre LANCOM R&S®Unified Firewall versucht in diesem Fall, nacheinander die übrigen Netzwerke in der Liste zu erreichen, bis ein Netzwerk erreichbar ist.Sie können einzelne Einträge in der Liste bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠Wenn Sie einen Eintrag bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Klicken Sie auf den Haken, um Ihre Änderungen zu übernehmen.
Server-Port	Geben Sie die Port-Nummer ein, die am entfernten Verbindungsende für diese Verbindung verwendet wird.
Verbindungsversuche für	Geben Sie die Zeitüberschreitung in Minuten an, nach deren Ablauf keine weiteren Verbindungsversuche unternommen werden. Wenn diese Option auf O eingestellt ist, werden die Verbindungsversuche ohne Unterbrechung fortgesetzt.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue VPN-SSL-Verbindung hinzufügen oder eine bestehende Verbindung bearbeiten. Klicken Sie für eine neu konfigurierte Verbindung auf Erstellen, um die Verbindung zur Liste der verfügbaren VPN-SSL-Verbindungen hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen.

Wenn Sie Änderungen vorgenommen haben, können Sie diese mit den Schaltflächen unten rechts im Bearbeitungsfenster speichern (Speichern) oder verwerfen (Zurücksetzen). Andernfalls können Sie das Fenster schließen (Schließen).

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

3.4.7 Zertifikatsverwaltung

Mit den Einstellungen unter -Zertifikatsverwaltung können Sie die vom Webclient, vom eingebauten SSL-Proxy und vom OpenVPN-Server verwendeten Zertifikate verwalten, Vorlagen erstellen, die die Erstellung von Zertifikaten vereinfachen und OCSP / CRL-Dienste aktivieren.

Mit LANCOM R&S ^® Unified Firewall können Sie ein Certificate Signing Request (Zertifikatssignierungsanforderung) erstellen und ein solches Certificate Signing Request exportieren, um das Zertifikat z. B. auf einer anderen Firewall zu signieren.

Übersicht Certificate Signing Requests

Navigieren Sie zu Zertifikatsverwaltung > Zertifikats-Requests, um die Liste der derzeit im System angelegten Certificate Signing Requests in der Objektleiste anzuzeigen.

3 Benutzeroberfläche

Mit den Schaltflächen oberhalb der Liste können Sie ein neues Certificate Signing Request erstellen und ein Certificate Signing Request signieren.

In der erweiterten Ansicht zeigt die Objektleiste den Common Name des Certificate Signing Request. Mit den Schaltflächen in der letzten Spalte können Sie ein vorhandenes Certificate Signing Request aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Certificate Signing Requests

Unter Zertifikatsverwaltung > Zertifikats-Requests können Sie ein neues Certificate Signing Request hinzufügen.

Mit Einstellungen unter Zertifikats-Requests erstellen können Sie die folgenden Elemente konfigurieren (einige Felder werden nur für bestimmte Zertifikatstypen angezeigt):

BeschreibungEingabefeld
Typ	Wählen Sie aus der Drop-Down-Liste die Art des Zertifikats aus, für das Sie ein Certificate Signing Request erstellen möchten. Die folgenden drei Typen stehen zur Verfügung:➢ Untergeordnete CA➢ VPN-Zertifikat➢ Webserver-Zertifikat (R&S Cybersecurity UA-Client)Weitere Informationen finden Sie unterZertifikatstypenauf Seite 155.
Private-Key-Verschlüsselung	Entscheiden Sie, ob der vorausgewählte RSA (Rivest-Shamir-Adleman) oder der optionale DSA (Digital Signature Algorithm) als Verschlüsselungsalgorithmus für den privaten Schlüssel genutzt werden soll. DSA ist aufgrund von Einschränkungen bei OpenVPN nicht für VPN-Zertifikate verfügbar.
	! DSA wird aufgrund der Größe des privaten Schlüssels von 1024 Bits oder weniger von den meisten Clients nicht akzeptiert.
Private-Key-Größe	Entscheiden Sie sich für den Standardwert (2048 Bit) oder eine von Ihnen gewählte, abweichende Bitlänge für den privaten Schlüssel. Längere Schlüssel sind sicherer, allerdings dauert ihre Erstellung länger.
	Geben Sie ein Passwort ein, um den privaten Schlüssel abzusichern.Private-Key-Passwort
Zeige Private-Key-Passwort	Optional: Setzen Sie den Haken im darunterliegenden Kontrollkästchen, um das Passwort zur Überprüfung sichtbar zu machen.
Vorlage verwenden	Wählen Sie eine Vorlage aus der Drop-down-Liste aus, um die Eingabefelder desDistinguished Name(siehe unterVorlagenauf Seite 156) auszufüllen. Alternativ können Sie diese Informationen manuell eingeben.
	Legen Sie einen Namen für das Zertifikat fest.Common Name (CN)
	Optional: Geben Sie den aus zwei Buchstaben bestehenden Ländercode ein.Landt (C)
	Optional: Geben Sie den Namen des Staates / Bundeslandes ein.Bundesland (ST)
	Optional: Geben Sie den Namen der Stadt ein.Stadt (L)
	Optional: Geben Sie den Namen der Organisation ein.Organization (O)
	Optional: Geben Sie den Namen der Abteilung innerhalb der Organisation ein.Abteilung (OU)
Subject Alternative Name (SAN)	Optional: Geben Sie eine beliebige Anzahl benutzerdefinierter alternativer Namen für bestimmte Nutzungszwecke ein und wählen Sie die entsprechenden Typen aus der Drop-down-Liste aus. Die verfügbaren Typen sind: E-Mail, DNS, DirName, URI und IPv4. Klicken Sie auf⊕um einen Subject Alternative Name (SAN) zur Liste hinzuzufügen. Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠Wenn Sie einen Subject Alternative Name (SAN) erneut bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen für das Zertifikat speichern können.
OCSP	Optional und nur für untergeordnete CAs verfügbar: Setzen Sie den Haken im entsprechenden Kontrollkästchen, um die Validierung über OCSP (Online Certificate Status Protocol) für die untergeordnete CA zu aktivieren. Weitere Informationen finden Sie unterOCSP / CRLauf Seite 155.
CRL	Optional und nur für untergeordnete CAs verfügbar: Setzen Sie den Haken im entsprechenden Kontrollkästchen, um die Validierung über CRL (Certificate Revocation List) für die untergeordnete CA zu aktivieren. Weitere Informationen finden Sie unterOCSP / CRLauf Seite 155.
Adressen für OCSP-Responder / CRL-Download	Optional und nur für untergeordnete CAs verfügbar: Legen Sie Basis-URLs für OCSP und CRL fest, indem Sie eine URL in das Eingabefeld eingeben und auf die Schaltfläche 🔒licken. Die tatsächlichen URLs für die Zertifikate werden aus der Basis-URL (protocol://hostname/) und den Anhängenocsp/für OCSP URLs und /crls/.crl für die CRL-Download-URL zusammengefügt. Die Basis-URL muss auf die Firewall oder einen beliebigen Host für die Bereitstellung der CRL verweisen, wenn die CRL gespiegelt wird.Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠Wenn Sie eine URL bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen für das Zertifikat speichern können.Zur Aktivierung der OCSP und CRL Dienste, siehe unterOCSP / CRLauf Seite 155.

Mit den Schaltflächen rechts unten im Bearbeitungsfeld können Sie ein neues Certificate Signing Request erstellen und es zur Liste der verfügbaren Certificate Signing Requests hinzufügen, oder die Erstellung eines neuen Certificate Signing Requests abbrechen (Abbrechen).

Nachdem Sie ein Certificate Signing Request erstellt haben, werden Sie aufgefordert, dieses als PEM-Datei lokal abzuspeichern.

Signieren eines Certificate Signing Request

Gehen Sie wie folgt vor, um ein Certificate Signing Request zu signieren:

1. Navigieren Sie zu Zertifikatsverwaltung > Zertifikats-Requests.

Die Liste der derzeit im System angelegten Certificate Signing Requests öffnet sich.

1. Klicken Sie auf die Schaltfläche →(Zertifikats-Request signieren) in der Kopfzeile der Objektleiste.

Das Bearbeitungsfenster Sign Certificate Request öffnet sich.

1. Klicken Sie neben dem Request-Datei-Eingabefeld auf Datei auswählen.

Die Suchfunktion des lokalen Datenträgers öffnet sich.

1. Wählen Sie ein Certificate Signing Request im PEM-Format auf dem lokalen Datenträger aus.

2. Klicken Sie auf Öffnen.

Die Suchfunktion des lokalen Datenträgers schließt sich.

3 Benutzeroberfläche

1. Legen Sie unter Gültigkeit den anfänglichen Zeitraum der Gültigkeit des neuen Zertifikats fest. Sie können das Datum im Format MM/TT/JJJJ (zum Beispiel: 04/20/2017) angeben, oder die Datumsauswahl nutzen, um die Gültigkeitsdauer des Zertifikats einzustellen.

Die Gültigkeitsdauer des Zertifikats darf die Gültigkeitsdauer der signierenden Zertifizierungsstelle nicht überschreiten.

1. Wählen Sie unter Signing CA die Zertifizierungsstelle, die für die Signatur des neuen Zertifikats genutzt werden soll, aus der Drop-down-Liste aus. Diese Zertifizierungsstelle nimmt die Funktion der übergeordneten Zertifizierungsstelle ein, die dazu dient, das Zertifikat zu verifizieren oder zu widerrufen.
2. Geben Sie unter CA-Kennwort das Passwort für den privaten Schlüssel der signierenden Zertifizierungsstelle ein. Das Passwort ist notwendig, da die Signatur des öffentlichen Schlüssels für das neue Zertifikat mit dem privaten Schlüssel der signierenden Zertifizierungsstelle erfolgt.
3. Optional: Setzen Sie den Haken im Passwort anzeigen-Kontrollkästchen, um das Passwort für die signierende Zertifizierungsstelle zur Überprüfung anzuzeigen.
4. Klicken Sie auf Signieren, um das Certificate Signing Request zu signieren.

Das Certificate Signing Request wird daraufhin signiert.

Nachdem das Certificate Signing Request signiert wurde, werden Sie aufgefordert, das Zertifikat lokal abzuspeichern. Sie können das Zertifikat auch wie unter Zertifikate auf Seite 152 beschrieben exportieren.

Zertifikate

Mit den Einstellungen unter Zertifikate können Sie die Zertifikate verwalten, die der LANCOM R&S ^® Unified Firewall-Webclient, der integrierte SSL-Proxy und der OpenVPN-Server nutzen.

Um verschlüsselte Verbindungen abzusichern, nutzt Ihre LANCOM R&S ^® Unified Firewall digitale Zertifikate, wie im X.509-Standard beschrieben.

Die LANCOM R&S ^® Unified Firewall selbst agiert als Zertifizierungsstelle (Certification Authority). Daher ist ein so genanntes CA-Zertifikat erforderlich. Um die Verwaltung der Zertifikate zu zentralisieren, ist es empfehlenswert, ein CA-Zertifikat in einer zentralen Firewall zu erstellen und es direkt für die Signatur aller für die Anwendung genutzten Zertifikate zu verwenden. Dies wird als einstufige Zertifizierungskette bezeichnet.

Alle Zertifikate für Anwendungen müssen von der zentralen Firewall signiert werden. Wenn ein Zertifikat für eine andere Firewall benötigt wird, müssen Sie darauf eine Anforderung erstellen. Diese Anforderung muss von der zentralen Firewall signiert werden. Die signierte Anforderung, die Sie erstellt haben, muss von den anderen Firewalls importiert werden, um genutzt werden zu können.

Um die anderen Firewalls dazu zu befähigen, Zertifikate zu erstellen, die zwar hauptsächlich lokalen Zwecken dienen, aber dennoch in Ihrer gesamten Organisation als gültig anerkannt werden, können Sie mehrstufige Zertifizierungsketten einsetzen. Dafür benötigen Sie in Ihrer zentralen Firewall ein so genanntes Root-CA-Zertifikat, mit dem Sie die untergeordneten CA-Zertifikate signieren können. Sie müssen für diese untergeordneten CA-Zertifikate Anforderungen auf Ihren anderen Firewalls erstellen. Nachdem Sie die signierten CA-Zertifikate importiert haben, sind die anderen Firewalls selbst in der Lage, Zertifikate für Anwendungen zu signieren. Um diese Hierarchien übersichtlich darzustellen, zeigt die LANCOM R&S ^® Unified Firewall sie in einer Baumansicht.

Übersicht Zertifikate

Navigieren Sie zu Zertifikatsverwaltung > Zertifikate, um die Liste der derzeit im System angelegten Zertifikate in einem Baumdiagramm nach Zertifizierungsstellen in der Objektleiste anzuzeigen.

Mit den Schaltflächen oberhalb der Liste können Sie ein Zertifikat aus einer Datei importieren oder ein neues Zertifikat erstellen.

Nach dem ersten Hochfahren und nach einer erneuten Installation werden vier Zertifikate standardmäßig angelegt:

BeschreibungName des Zertifikats
HTTPS-Proxy-CA	Zertifizierungsstelle zur Erstellung von untergeordneten Zertifikaten zur Verwendung durch den HTTPS Proxy.
	Vorkonfiguriertes Zertifikat für den HTTPS-Proxy.HTTP-Proxy-Initialisierung
Mail-Proxy-CA	Zertifizierungsstelle zur Erstellung von untergeordneten Zertifikaten zur Verwendung durch den Mailproxy.
	Vorkonfiguriertes Zertifikat für den Mailproxy.Mail-Proxy-Initialisierung

In der erweiterten Ansicht zeigt die Objektleiste den Namen des Zertifikats und dessen Abhängigkeit an. Die Schaltflächen hinter den jeweiligen Zertifikaten zeigen den Gültigkeitsstatus und den Typ des Zertifikats an. Außerdem können Sie mithilfe der Schaltflächen Details zu jedem Zertifikat anzeigen lassen, ein Zertifikat durch den Import eines neuen Zertifikats ersetzen, ein Zertifikat exportieren und verifizieren, die Gültigkeit eines Zertifikats temporär aussetzen oder erneuern und das Zertifikat endgültig widerrufen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Zertifikate

Die Einstellungen unter Zertifikate steuern die durch Ihre LANCOM R&S ^® Unified Firewall verwendeten Zertifikate.

Mit der Plus-Schaltfläche +berhalb der Liste mit den Elementen können Sie neue Zertifikate hinzufügen.

Mit den Einstellungen für Zertifikate können Sie die folgenden Elemente konfigurieren (einige Felder werden nur für bestimmte Zertifikatstypen angezeigt):

BeschreibungEingabefeld
Typ	Wählen Sie aus der Drop-Down-Liste die Art des Zertifikats aus, das sie erstellen möchten. Weitere Informationen finden Sie unterZertifikatstypenauf Seite 155.
Signing CA	Wenn Sie VPN-Zertifikat, Web-Server-Zertifikat, Untergeordnete CA oder HTTPS-Proxy-CA als Zertifikatstyp gewählt haben, können Sie nun die Zertifizierungsstelle auswählen, die für die Signatur des neuen Zertifikats genutzt werden soll. Diese Zertifizierungsstelle nimmt die Funktion der übergeordneten Zertifizierungsstelle ein, die dazu dient, das Zertifikat zu verifizieren oder zu widerrufen.
Private-Key-Verschlüsselung	Entscheiden Sie, ob der vorausgewählte RSA (Rivest-Shamir-Adleman) oder der optionale DSA (Digital Signature Algorithm) als Verschlüsselungsalgorithmus für den privaten Schlüssel genutzt werden soll. (DSA ist aufgrund von Einschränkungen bei OpenVPN nicht für VPN-Zertifikate verfügbar.)
	! DSA wird aufgrund der Größe des privaten Schlüssels von 1024 Bits oder weniger von den meisten Clients nicht akzeptiert.
Private-Key-Größe	Entscheiden Sie sich für den Standardwert (2048 Bit) oder eine von Ihnen gewählte, abweichende Bitlänge für den privaten Schlüssel. Längere Schlüssel sind sicherer, allerdings dauert ihre Erstellung länger.
Gültigkeit	Legen Sie den anfänglichen Zeitraum fest, für den das Zertifikat gültig sein soll. Die Eingabefelder sind bereits mit dem aktuellen Datum als Erstellungsdatum und dem gleichen Tag ein Jahr später als Ablaufdatum ausgefüllt. Um einen anderen Zeitraum festzulegen, geben Sie das neue Datum in folgendem Format ein: MM/DD/JJJJ (z. B. 04/20/2017).
CA-Kennwort	Optional: Geben Sie ein Passwort für den privaten Schlüssel der signierenden Zertifizierungsstelle ein, falls Sie den Zertifikatstyp VPN-Zertifikat, Web-Server-Zertifikat, Untergeordnete CA oder HTTPS-Proxy-CA gewählt haben. Das Passwort ist notwendig, da die Signatur des öffentlichen Schlüssels für das neue Zertifikat mit dem privaten Schlüssel der signierenden Zertifizierungsstelle erfolgt.
Passwort anzeigen	Optional: Setzen Sie den Haken in diesem Kontrollkästchen, um das Passwort für die signierende Zertifizierungsstelle zur Überprüfung anzuzeigen.
Private-Key-Passwort	Optional: Geben Sie ein Passwort ein, um den privaten Schlüssel abzusichern.
Zeige Private-Key-Passwort	Optional: Setzen Sie den Haken im Kontrollkästchen, um das Passwort zur Überprüfung anzuzeigen.
Vorlage verwenden	Wählen Sie eine Vorlage aus der Drop-down-Liste aus, um die Eingabefelder des Distinguished Name (siehe unter Vorlagen auf Seite 156) auszufüllen. Alternativ können Sie diese Informationen manuell eingeben.
	Legen Sie einen Namen für das Zertifikat fest.Common Name (CN)
	Optional: Geben Sie den aus zwei Buchstaben bestehenden Ländercode ein.Landt (C)
	Optional: Geben Sie den Namen des Staates / Bundeslandes ein.Bundesland (ST)
	Optional: Geben Sie den Namen der Stadt ein.Stadt (L)
	Optional: Geben Sie den Namen der Organisation ein.Organization (O)
	Optional: Geben Sie den Namen der Abteilung innerhalb der Organisation ein.Abteilung (OU)
Subject Alternative Name	Optional: Geben Sie eine beliebige Anzahl benutzerdefinierter alternativer Namen für bestimmte Nutzungszwecke ein und wählen Sie die entsprechenden Typen aus der Drop-down-Liste aus. Die folgenden Typen stehen zur Verfügung: E-Mail, DNS, DirName, URI und IPv4. Klicken Sie auf⊕, um einen Subject Alternative Name (SAN) zur Liste hinzuzufügen. Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	⚠️ Wenn Sie einen Subject Alternative Name (SAN) bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen zur IP-Adresse speichern können.
OCSP	Optional und nur für Zertifizierungstellen verfügbar: Setzen Sie den Haken in diesem Kontrollkästchen, um die Validierung über OCSP (Online Certificate Status Protocol) für die Zertifizierungsstelle und deren Unterzertifikate zu aktivieren. Weitere Informationen finden Sie unterOCSP/CRLauf Seite 155.
CRL	Optional und nur für Zertifizierungstellen verfügbar: Wählen Sie das Kontrollkästchen, um die Validierung über CRL (Certificate Revocation List) für die Zertifizierungsstelle zu aktivieren. Weitere Informationen finden Sie unterOCSP/CRLauf Seite 155.
Adressen für OCSP-Responder / CRL-Download	Optional und nur für Zertifizierungstellen verfügbar: Legen Sie Basis-URLs für OCSP und CRL fest, indem Sie eine URL in das Eingabefeld eingeben und auf die Schaltfläche Ⓧlicken. Die tatsächlichen URLs für die Zertifikate werden aus der Basis-URL (protocol://hostname/) und den Anhängen ocsp/für OCSP URLs und /crls/.crl für die CRL-Download-URL zusammengefügt. Die Basis-URL muss auf die Firewall oder einen beliebigen Host für die Bereitstellung der CRL verweisen, wenn die CRL gespiegelt wird.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.
	⚠️ Wenn Sie eine URL bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen für das Zertifikat speichern können.Informationen zur Aktivierung von OCSP- und CRL-Diensten finden Sie unterOCSP/CRLauf Seite 155.

Mit den Schaltflächen rechts unten im Bearbeitungsfeld können Sie ein neues Zertifikat erstellen und zu der Liste der verfügbaren Zertifikate hinzufügen oder die Erstellung eines neuen Zertifikats abbrechen (Abbrechen).

Zertifikatstypen

LANCOM R&S ^® Unified Firewall bietet bei der Erstellung eines neuen Zertifikats verschiedene Zertifikatstypen zur Auswahl an.

BeschreibungZertifikatstyp
VPN-Zertifikat	Erstellt ein Zertifikat, das zur Identifizierung von VPN-Clients und -Servern verwendet wird. Es muss eine passende übergeordnete CA ausgewählt werden.
Web-Server-Zertifikat (UA-Client)	Erstellt ein Zertifikat, das zur Web-Servern verwendet wird. Es muss eine passende übergeordnete CA ausgewählt werden.
CA für VPN- / Webserver-Zertifikate	Erstellt eine CA, die VPN- und Web-Server-Zertifikate direkt signieren kann. Hier darf keine untergeordnete CA hinzugefügt werden. Diese CA kann selbst zu einer untergeordneten Zertifizierungsstelle werden, indem eine Zertifikatsanforderung exportiert und das neu signierte öffentliche Zertifikat neu importiert wird, sodass sie eine externe Signatur erhält.
CA mit untergeordneten CAs	Erstellt eine CA, die untergeordnete CAs und Client-Zertifikate für VPN- und Webserver signieren kann.
Untergeordnete CA	Erstellt eine untergeordnete CA, die zur Signierung von VPN- und Webserver-Zertifikaten verwendet werden kann. Es muss eine übergeordnete CA des Typs CA mit untergeordneten CAs ausgewählt werden.

OCSP / CRL

Aktivieren Sie die OCSP- bzw. CRL-Dienste, um es Clients zu ermöglichen, die Gültigkeit von durch die zentrale Firewall ausgestellten Zertifikaten zu überprüfen.

Wenn Mitarbeiter das Unternehmen verlassen oder ein privater Schlüssel verloren geht, muss das dazugehörige Zertifikat gesperrt werden, um die Sicherheit des Unternehmens zu gewährleisten. Dies muss auf der Firewall erfolgen, welche das Zertifikat ausgestellt hat. Die Löschung des Zertifikats auf der ausstellenden Firewall beinhaltet immer auch den Widerruf des Zertifikats. Um den Status eines Zertifikats für andere Firewalls abrufbar zu machen, bietet die LANCOM R&S ^® Unified Firewall zwei separate Dienste:

OCSP (Online Certificate Status Protocol) – Die Remote-Firewall fordert den Status des Zertifikats von der ausstellenden Firewall dann an, wenn das Zertifikat benötigt wird.
CRL (Certificate Revocation List) – Die Firewall kann in festgelegten Intervallen statische Widerrufslisten bereitstellen, die von Remote-Firewalls heruntergeladen werden können. Die Anwendung muss dann nur noch prüfen, ob die aktuelle CRL das Zertifikat als gesperrt auflistet.

Um OCSP bzw. CRL zu nutzen, müssen die Dienste generell einmalig mit den notwendigen Einstellungen aktiviert werden. Bei der Erstellung oder Erneuerung einer CA müssen Sie angeben, ob OCSP- und / oder CRL-Anfragen gesendet werden sollen und unter welchen Adressen (URLs) diese Dienste angeboten werden sollen. Diese Optionen werden in den Zertifikaten selbst gespeichert, sodass Anwendungen oder Remote-Firewalls wissen, wo der Status eines Zertifikats zu prüfen ist. Weitere Informationen finden Sie unter Zertifikate auf Seite 152.

Mit den OCSP/CRL-Einstellungen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
I/0	Ein Schiebeschalter gibt an, ob der jeweilige Dienst derzeit aktiv (1) oder inaktiv (0) ist. Indem Sie auf den Schiebeschalter klicken, können Sie den Status beider Dienste ändern. Beide Optionen sind standardmäßig deaktiviert.
Zugriff auf den OCSP-Dienst vom Internet zulassen	Setzen Sie den Haken in diesem Kontrollkästchen, um Zugriff auf den jeweiligen Dienst aus dem Internet zu erlauben.
	Legen Sie den Port fest, der über das Internet erreichbar ist.Port
Gültigkeitsdauer	Geben Sie die Cache-Zeitdauer (in Stunden) an, die im HTTP-Header an anfragende Firewalls gesendet wird. Nach Ablauf dieser Zeitdauer werden neue Anfragen beantwortet. Die Cache-Zeitdauer ist standardmäßig auf 168 Stunden gesetzt.
Update-Intervall	Geben Sie das Update-Intervall in Stunden an. Das Intervall ist standardmäßig auf 48 Stunden gesetzt.

Wenn Sie diese Einstellungen ändern, klicken Sie zum Speichern Ihrer Änderungen auf Speichern oder auf Zurücksetzen, um sie zu verwerfen. Klicken Sie ansonsten auf Schließen, um das Bearbeitungsfenster zu schließen.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

Vorlagen

Zur vereinfachten Erstellung neuer Zertifikate können Sie Vorlagen nutzen, um die Eingabefelder für den Distinguished Name und den Subject Alternative Names automatisch auszufüllen.

Übersicht Vorlagen

Navigieren Sie zu Zertifikatsverwaltung > Vorlagen, um die Liste der derzeit im System angelegten Vorlagen in der Objektleiste anzuzeigen.

In der erweiterten Ansicht zeigen die Tabellenspalten den Namen und die Einstellungen der Vorlage. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für eine vorhandene Vorlage einsehen und anpassen, eine neue Vorlage ausgehend von einer vorhandenen anlegen, oder eine Vorlage aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Einstellungen für Vorlagen

Im Bearbeitungsfenster Vorlagen können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
	Geben Sie einen Namen für die Vorlage an.Name
	Optional: Geben Sie den aus zwei Buchstaben bestehenden Ländercode ein.Landt (C)
	Optional: Geben Sie den Namen des Staates / Bundeslandes ein.Bundesland (ST)
	Optional: Geben Sie den Namen der Stadt ein.Ort (L)
	Optional: Geben Sie den Namen der Organisation ein.Organisation (O)
	Optional: Geben Sie den Namen der Abteilung innerhalb der Organisation ein.Abteilung (OU)
Subject Alternative Names	Optional: Geben Sie eine beliebige Anzahl benutzerdefinierter alternativer Namen für bestimmte Nutzungszwecke ein und wählen Sie die entsprechenden Typen aus der Drop-down-Liste aus. Die folgenden Typen stehen zur Verfügung: E-Mail, DNS, DirName, URI und IPv4. Klicken Sie aufHinzufügen, um einen Subject Alternative Name (SAN) zur Liste hinzuzufügen. Sie können einzelne Einträge in den Listen bearbeiten oder löschen, indem Sie auf die entsprechende Schaltfläche neben einem Eintrag klicken.Weitere Informationen finden Sie unterSymbole und Schaltflächenauf Seite 23.
	!Wenn Sie einen Subject Alternative Name (SAN) bearbeiten, erscheint auf der rechten Seite des Eintrags ein Haken. Sie müssen Ihre Änderung zunächst mit diesem Haken bestätigen, bevor Sie die Einstellungen für das Zertifikat speichern können.

Die Schaltflächen rechts unten im Bearbeitungsfeld hängen davon ab, ob Sie eine neue Vorlage hinzufügen oder eine bestehende bearbeiten. Klicken Sie für eine neu konfigurierte Vorlage auf Erstellen, um sie zur Liste der verfügbaren Vorlagen hinzuzufügen, oder auf Abbrechen, um Ihre Änderungen zu verwerfen. Zum Bearbeiten einer vorhandenen

Vorlagen klicken Sie auf Speichern, um die neu konfigurierte Vorlage zu speichern, oder auf Zurücksetzen, um Ihre Änderungen zu verwerfen.

Vertrauenswürdige Proxy-CAs

Navigieren Sie zu Zertifikatsverwaltung > Vertrauenswürdige Proxy CAs, um die Liste der derzeit im System angelegten benutzerdefinierten und System-Zertifizierungsstellen, denen der SSL-Proxy für externe Verbindungen vertraut, in der Objektleiste anzuzeigen.

In der erweiterten Ansicht wird in der ersten Tabellenspalte der Name des CA-Zertifikats angezeigt. Mit den Schaltflächen in der letzten Spalte können Sie die Einstellungen für ein vorhandenes CA-Zertifikat einsehen oder ein CA-Zertifikat aus dem System löschen.

Weitere Informationen finden Sie unter Symbole und Schaltflächen auf Seite 23.

Um eine benutzerdefinierte CA an Ihre LANCOM R&S® Unified Firewall zu senden, klicken Sie auf die (Import)-Schaltfläche in der Kopfzeile der Objektleiste, wählen Sie die gewünschte PEM-Datei aus, öffnen Sie sie und klicken Sie auf Importieren. Das importierte benutzerdefinierte Zertifikat wird zur Liste verfügbarer vertrauenswürdiger Proxy-CAs hinzugefügt.

Klicken Sie auf √ Aktivieren in der Symbolleiste oben im Desktop, um Ihre Konfigurationsänderungen zu übernehmen.

3.4.8 Diagnose-Tools

Navigieren Sie zum Menü ✿ Diagnose-Tools, um Diagnose-Tools zu nutzen, falls Probleme in der Kommunikation zwischen der LANCOM R&S® Unified Firewall und anderen Geräten auftreten.

Nutzen Sie die Diagnose-Tools, um zu prüfen, ob Ihre LANCOM R&S ^® Unified Firewall mit einem Computer oder einem anderen Gerät mit einer bestimmten Netzwerkadresse kommunizieren kann (Ping), oder um den Weg einer Mitteilung durch das Netzwerk zu verfolgen (Traceroute).

Um eine diagnostische Analyse zwischen verschiedenen Zonen zu ermöglichen, muss eine Firewall-Regel mit dem ICMP-Protokoll oder der ICMP-Ping-Anwendung in der entsprechenden Richtung aktiv sein.

In den folgenden Abschnitten finden Sie detailliertere Informationen zu Netzwerk-Tools.

Ping

Navigieren Sie zu Diagnose-Tools > Ping, um über den Befehl ping zu prüfen, ob Ihre LANCOM R&S ^® Unified Firewall mit einem Computer oder einem anderen Gerät mit einer bestimmten Netzwerkadresse kommunizieren kann.

Ping ist ein Diagnose-Tool, das dauerhaft ein Ping-Signal an ein Ziel sendet, um zu prüfen, ob dieses Ziel Daten empfangen kann. Mit dem Ping-Befehl können Sie Kommunikationsprobleme beheben, indem Sie die Konnektivität zwischen Ihrer LANCOM R&S ^® Unified Firewall und dem Remote-Gerät prüfen.

Im Bearbeitungsfenster Ping können Sie die folgenden Elemente konfigurieren:

BeschreibungEingabefeld
Ziel	Geben Sie eine gültige Netzwerkadresse ein, die Sie mithilfe eines Ping-Befehls prüfen möchten.
Anzahl Anfragen	Geben Sie die Anzahl der ICMP-Echo-Request-Pakete an, die an das Ziel gesendet werden sollen. Hierfür können Sie eine ganze Zahl von 1 bis 10 aus der Drop-down-Liste auswählen. Voreingestellt sind 4 Anfragen.

Klicken Sie auf Starten, um den Ping zu starten. Im Bereich Ausgabe wird der Ausgang des Ping– Befehls angezeigt. Wenn das andere Gerät auf den Ping antwortet, kann Ihre LANCOM R&S ^® Unified Firewall das Gerät erreichen.

Mit der Schaltfläche Schließen unten in dem Fenster können Sie das Fenster schließen und zur kompletten Übersicht Ihres gesamten konfigurierten Netzwerks zurückkehren.

Traceroute

Navigieren Sie zu Diagnose-Tools > Traceroute, um den Befehl traceroute zu nutzen, um den Weg einer Mitteilung durch das Netzwerk zu verfolgen.

Von Ihrer LANCOM R&S ^® Unified Firewall gesendete Pakete können auf dem Weg zu ihrem endgültigen Ziel mehrere andere Geräte durchlaufen. Dies kann das genaue Orten eines Verbindungsproblems erschweren. Mithilfe des traceroute-Befehls können Sie die Route verfolgen, die Pakete von Ihrer LANCOM R&S ^® Unified Firewall bis zu einem bestimmten Host einschlagen.

Mit den Traceroute-Einstellungen können Sie die folgenden Parameter konfigurieren:

BeschreibungEingabefeld
	Geben Sie die IP-Adresse des endgültigen Ziel ein.Ziel
Max. Anzahl Hops	Geben Sie die maximale Anzahl von Knoten (Router oder andere Geräte) an, die auf dem Weg zum Ziel durchlaufen werden. Die Anzahl ist standardmäßig auf 30 gesetzt, Sie können jedoch eine beliebige ganze Zahl von 1 bis 255 eintragen. Falls das Ziel vor dieser Grenze nicht erreicht wird, werden die Testpakete verworfen.

Klicken Sie auf Starten, um Tracerouting zu starten. Die Liste der auf dem Weg durchlaufenen Gateways wird im Bereich Ausgabe angezeigt.

Mit der Schaltfläche Schließen unten in dem Fenster können Sie das Fenster schließen und zur kompletten Übersicht Ihres gesamten konfigurierten Netzwerks zurückkehren.