TightGate-Pro

Dediziertes Remote-Controlled Browser System
zum Schutz vor Gefahren aus dem Internet

Automatisch generierter Auszug aus dem Administrationshandbuch

Datum: 11.04.2019

Herausgeber:

m-privacy GmbH

Technische Redaktion

Werner-Voß-Damm 62

12101 Berlin

Fon: +49 30 243423-34

support@m-privacy.de

www.help.m-privacy.de

Allgemeine Hinweise zu diesem Handbuch

Alle Materialien und Ausführungen wurden mit Sorgfalt erarbeitet und zusammengestellt. Den­noch sind Fehler nicht auszuschließen. Die m-privacy GmbH übernimmt keine Haftung für Schäden, die aus Unrichtigkeit einzelner Angaben entstehen.

Im Sinne einer raschen Orientierung und zur Vermeidung von Sicherheitsrisiken werden besonders wichtige Aspekte durch wiederkehrende Stichworte gekennzeichnet. Diese sind:

Hinweis
Unter diesem Stichwort werden nützliche Details zur rationellen Verwendung von TightGate-Pro er­läutert.

Achtung
Unter diesem Stichwort erfolgen Hinweise zur Problemvermeidung bzw. zur Vorbeugung von Betriebs­störungen bei TightGate-Pro.

Warnung
Unter diesem Stichwort erfolgen Hinweise auf mögliche Fehler bei der Konfiguration und Verwendung von TightGate-Pro, die weitreichende Sicherheitsrisiken bergen oder zu schwerwiegenden Betriebs­störungen führen können.

Inhaltsverzeichnis

Inhaltsverzeichnis

Proxy-Authentisierung mit Kerbeors-Ticket	1

Proxy-Authentisierung mit Kerbeors-Ticket

In Netzwerkstrukturen, bei denen die Benutzerverwaltung von TightGate-Pro per Active Directory (AD) erfolgt, ist es möglich, die von AD erstellten Tickets zu verwenden, um sich damit an Uplink-Proxys zu Authentisieren. Dies natürlich nur, sofern dieser eine Ticket basierte Anmeldung unterstützt. Die nachfolgende Anleitung beschreibt die Voraussetzungen sowie die Vorgehensweise bei der AD-Authentisierung an einem Proxy.

Voraussetzung:

Es werden nur Proxys unterstützt, die als Authentifizierungsprotokoll Kerberos nutzen. Das veraltete NTLM-Protokoll wird nicht unterstützt.

TightGate-Pro muss eine funktionierende AD-Anbindung besitzen.

Die AD-Authentisierung am Proxy erfolgt nur mit dem Browser Mozilla Firefox. Der optionale Browser Chrome kann für eine Proxy-Authentisierung derzeit nicht verwendet werden.

Damit die AD-Authentisierung am Proxy erfolgreich ist, muss der Browser Mozilla Firefox direkt mit dem Proxy kommunizieren. Das bedeutet, dass TightGate-Pro nicht protokollieren und auch nicht filtern kann/darf, da beides über einen internen Proxy erfolgt.

Jede Benutzerkennung, die sich am Proxy per AD-Ticket autorisieren soll, muss in der AD-Sicherheitsgruppe tgunfiltered sein.

Im AD muss für den Computer-Account von TightGate-Pro die Kerberos-Delegierung für Tickets erlaubt sein.

So geht's:

Anmeldung am TightGate-Pro als Administrator config und Aufruf des Menüpunkts Proxy.

Den Menüpunkt HTTP-Proxy auswählen und den Namen des Proxys eingetragen, an dem die AD-Authentisierung erfolgen soll.
Achtung: Es muss der Name des Proxys verwendet werden und dieser muss auflösbar sein. Das Verwenden einer IP-Adresse wird nicht funktionieren.

In den Menüpunkt HTTP-Proxy-Port den Port eintragen, über den der Proxy angesprochen wird.

In den Menüpunkt HTTP-Proxy-Netz die IP-Adresse des Proxys eintragen. Falls mehrere Proxys verwendet werden, ist das Proxy-Netz in der Form IP/Valid Bits anzugeben.

In den Menüpunkt Proxy-Ausnahmen zwei Ausnahmen eintragen. Einerseits die IP des Proxys und als Zweites den Namen des Proxys eintragen. Es ist unbedingt notwendig die IP-Adresse und den Namen des Proxys als Ausnahmen zu definieren.

Bei dem Menüpunkt AD/Kerberos-Proxy-Anmeldung ist Ja auszuwählen.

In den Menüpunkt AD/Kerberos-Proxy-Service den Wert HTTP eintragen, es sei denn, es wird ein anderer Service verwendet.

In den Menüpunkt AD/Kerberos-Proxy-Realm ist der REALM des Proxys einzutragen, sofern er sich vom REALM des AD unterscheidet. Andernfalls kann das Feld leer gelassen werden.

Abschließend die Einstellungen Speichern und Anwenden.

Fertig.