{"id":6947,"date":"2019-05-12T13:30:56","date_gmt":"2019-05-12T11:30:56","guid":{"rendered":"https:\/\/www.boc.de\/watchguard-info-portal\/?p=6947"},"modified":"2019-08-06T15:29:13","modified_gmt":"2019-08-06T13:29:13","slug":"clientless-vpn-mit-watchguard-access-portal-reverse-proxy","status":"publish","type":"post","link":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/2019\/05\/clientless-vpn-mit-watchguard-access-portal-reverse-proxy\/","title":{"rendered":"Clientless VPN mit dem WatchGuard Access Portal (&#8220;reverse-proxy&#8221;, ab Fireware 12.5)"},"content":{"rendered":"<p>Ab der Version 12.5 (derzeit als Beta verf\u00fcgbar) unterst\u00fctzt WatchGuard ein sog. Clientless VPN. Dahinter verbirgt sich die M\u00f6glichkeit, dem Benutzer nach der Anmeldung \u00fcber das Access Portal auch interne Web-Ressourcen zur Verf\u00fcgung zu stellen.<\/p>\n<p><!--more--><\/p>\n<p>&nbsp;<\/p>\n<h4>Unterst\u00fctzte Authentifizierungen:<\/h4>\n<ul>\n<li>Firebox-DB<\/li>\n<li>Active-Directory<\/li>\n<li>SAML \u00fcber Identity Portale\n<ul>\n<li>z.B. AuthPoint IdP<\/li>\n<li>z.B. Okta<\/li>\n<\/ul>\n<\/li>\n<li>RADIUS\n<ul>\n<li>Microsoft NPS<\/li>\n<li>AuthPoint f\u00fcr Radius 2FA<\/li>\n<li>weitere Radius Server<\/li>\n<\/ul>\n<\/li>\n<li>SecurID<\/li>\n<li>LDAP<\/li>\n<\/ul>\n<h4>Funktionsweise:<\/h4>\n<p>Nachdem man sich beim Access Portal anmeldet (hier ist mit AuthPoint auch 2-Faktor-Authentifizierung m\u00f6glich).<\/p>\n<p><a href=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_25.png\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-6948 size-full\" src=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_25.png\" alt=\"\" width=\"779\" height=\"779\" srcset=\"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_25.png 779w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_25-150x150.png 150w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_25-300x300.png 300w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_25-768x768.png 768w\" sizes=\"(max-width: 779px) 100vw, 779px\" \/><\/a><\/p>\n<p>erscheinen die Applikationen die dem Benutzer \/ der Benutzergruppe zugeordnet sind:<\/p>\n<p><a href=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_01.png\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-6949 size-full\" src=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_01.png\" alt=\"\" width=\"779\" height=\"779\" srcset=\"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_01.png 779w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_01-150x150.png 150w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_01-300x300.png 300w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h17_01-768x768.png 768w\" sizes=\"(max-width: 779px) 100vw, 779px\" \/><\/a><\/p>\n<p><strong>M\u00f6gliche Applikationen:<\/strong><\/p>\n<ul>\n<li>RDP-Sitzungen<\/li>\n<li>SSH-Sitzungen<\/li>\n<li>externe Web-Applikationen (bei denen per SAML die Authentifizierung weitergereicht werden kann)<\/li>\n<li>interne Web-Applikationen (hier reagiert die WatchGuard als &#8220;reverse Proxy&#8221;).<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>beim Klick auf die Applikation wird dann die hinterlegte URL aufgerufen. Sofern diese URL dann (extern gesehen) auf die Firewall zeigt, erkennt die WatchGuard bei diesen Zugriffen die bereits aktive Authentifzierung und reicht den Request nach innen durch. Das Ganze funktioniert \u00fcber sogenannte URL-Mappings, bei denen der Domain-Name und das interne Ziel (und Port) festgelegt werden k\u00f6nnen.<br \/>\nBeispielsweise: https:\/\/webmail.maiers.de =&gt; https:\/\/10.10.x.y, mit URL-Mapping &#8220;\/&#8221; auf &#8220;\/&#8221;.<\/p>\n<p><a style=\"font-size: inherit; background-color: #ffffff;\" href=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h21_52.png\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-6950 size-full\" src=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h21_52.png\" alt=\"\" width=\"712\" height=\"325\" srcset=\"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h21_52.png 712w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h21_52-300x137.png 300w\" sizes=\"(max-width: 712px) 100vw, 712px\" \/><\/a><\/p>\n<p><a href=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h23_44.png\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-6951 size-full\" src=\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h23_44.png\" alt=\"\" width=\"694\" height=\"422\" srcset=\"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h23_44.png 694w, https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2019\/05\/2019-05-12_12h23_44-300x182.png 300w\" sizes=\"(max-width: 694px) 100vw, 694px\" \/><\/a><\/p>\n<h4>Voraussetzungen:<\/h4>\n<ul>\n<li><strong>externer DNS-Eintrag<\/strong> f\u00fcr den entsprechenden Namen (hier webmail.maiers.de) =&gt; zeigt auf die IP der WatchGuard\/ des Access Portals<\/li>\n<li>das Default-Zertifkat der Watchguard sollte zur Vermeidung von Browser-Warnungen <strong>ein Multi-Domain- bzw. SAN- (Subject Alternative Name) Zertifkat<\/strong> sein<\/li>\n<li><strong>alternativ ein Wildcard-Zertifikat<\/strong> &#8211; f\u00fcr die Tests habe ich ein Wildcard-Zertifikat von LetsEncrypt verwendet<\/li>\n<li>die Weiterleitung nach Innen kann \u00fcber DNS-Name erfolgen (wenn die Firebox den Namen zur richtigen internen(!) IP aufl\u00f6sen kann<\/li>\n<li>Alternativ verwendet man einfach die IP-Adresse des internen Servers<\/li>\n<li>der HTTP(S)-Request wird dann von der Firebox an die IP weitergeleitet &#8211; der verwendete DNS-Name im HTTP(S)-Request wird durchgereicht<\/li>\n<li>der interne Server muss dann auf auf den Namen (SNI) reagieren und die entsprechende Seiten ausliefern<\/li>\n<li>ein Portmapping ist m\u00f6glich, falls es notwendig sein sollte. (dann gibt man als Internal URL https:\/\/10.10.x.y:port ein)<\/li>\n<li>ein Mapping auf die Firewall selbst (https:\/\/interne.ip.der.firewall:8080\/auth\/login\/) ist m\u00f6glich. Somit kann dem Admin einen gesicherten 2-Faktor-Zugang \u00fcber dieses Portal zur Verf\u00fcgung gestellt werden.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>Getestet wurde dies mit der Version 12.5 Beta 1, die derzeit auf dem Beta-Portal zur Verf\u00fcgung steht. Erfahrungsgem\u00e4\u00df dauert der Beta-Zyklus etwa 6-8 Wochen, mit einem Erscheinen der 12.5 ist somit vermutlich fr\u00fchestens Ende Juni zu rechnen, vermutlich eher im Juli diesen Jahres.<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ab der Version 12.5 (derzeit als Beta verf\u00fcgbar) unterst\u00fctzt WatchGuard ein sog. Clientless VPN. Dahinter verbirgt sich die M\u00f6glichkeit, dem Benutzer nach der Anmeldung \u00fcber das Access Portal auch interne Web-Ressourcen zur Verf\u00fcgung zu stellen.<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[362],"tags":[562,424,430,439,418,473,563,575],"class_list":["post-6947","post","type-post","status-publish","format-standard","hentry","category-howto","tag-12-5","tag-12-x","tag-access-portal","tag-authpoint","tag-beta","tag-howto","tag-reverse-proxy","tag-watchguard-authpoint"],"_links":{"self":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/6947"}],"collection":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/comments?post=6947"}],"version-history":[{"count":3,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/6947\/revisions"}],"predecessor-version":[{"id":6954,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/6947\/revisions\/6954"}],"wp:attachment":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/media?parent=6947"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/categories?post=6947"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/tags?post=6947"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}