Was ist ein Captive Portal?

Ein Captive Portal ist eine Webseite, auf die der Webdatenverkehr eines Nutzers umgeleitet wird – um eine Authentifizierung zu verlangen oder eine Informations-, Begründungs- oder PIN-Überschreibungsmeldung anzuzeigen –, bevor der Netzwerk- oder Internetzugang gewährt oder verweigert wird. Dies ist ein Standardvorgang bei der Durchsetzung von URL-Filterrichtlinien.

Die wichtigsten Erkenntnisse

• Leitet Nutzer auf eine Webseite weiter, bevor der Zugriff gewährt oder verweigert wird.
• Zu den Kernaktionen gehören die Seiten „Anfragen“, „Blockieren“, „Begründen“, „Überschreiben“ und „Informieren“.
• Wird als Teil eines URL-Filterprofils auf NGFW-Geräten durchgesetzt.
• Empfohlene Ausweichlösung für Geräte, die nicht in einer Domäne angemeldet sind, sowie für BYOD-Geräte.
• Seiten können entweder die Plattform-Standardeinstellungen verwenden oder stattdessen einen vollständig benutzerdefinierten Upload nutzen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Captive Portal & Versa · Häufig gestellte Fragen

Warum ist ein Captive Portal wichtig?

Nicht jedem Gerät in einem Netzwerk kann in gleichem Maße vertraut werden. Ein Laptop, der Teil der Domäne ist, lässt sich passiv anhand von Anmeldevorgängen identifizieren, doch das Smartphone eines Auftragnehmers oder ein neu hinzugefügtes BYOD-Gerät hinterlässt keine solchen Spuren. Ein Captive Portal löst dieses Problem, indem es die Anfrage selbst unterbricht: Anstatt eine Seite stillschweigend zuzulassen oder zu blockieren, zeigt es dem Nutzer eine Seite an, auf der er zunächst um Erlaubnis gefragt wird.

Diese Unterbrechung leistet echte Arbeit bei der Richtlinienumsetzung. Sie ermöglicht es einer Organisation, eine grenzwertige Website erst nach einer protokollierten, nachprüfbaren Begründung zuzulassen. Sie ermöglicht es Administratoren, eine Kategorie mit einer klaren Erklärung zu sperren, anstatt einen stillen Fehler zu verursachen, der Helpdesk-Tickets generiert. Und sie bietet dem Inhaber einer Übersteuerungs-PIN eine kontrollierte Möglichkeit, eine Sperre zu umgehen, ohne die Richtlinien für alle anderen zu lockern. Für BYOD-Geräte und Geräte, die nicht in eine Domäne eingebunden sind und auf denen keine passiven Identitätsagenten ausgeführt werden können, ist dies oft der einzige praktikable Durchsetzungspunkt, der zur Verfügung steht.

Was ist ein Captive Portal?

Ein Captive Portal wird als Aktion innerhalb eines URL-Filterprofils konfiguriert: Wenn eine Sitzung einer URL-Kategorie oder einer Reputationsregel entspricht, leitet das Gerät die Anfrage des Browsers anstelle der angeforderten Website auf eine Portalseite um. Diese Seite kann eine Standardseite der Plattform oder eine vollständig benutzerdefinierte Datei sein – ein ZIP-Archiv, das eine index.htm Datei mit eigenem HTML-Code, CSS und Bildern, die optional Sitzungsvariablen wie die angeforderte URL enthält.

Die Weiterleitung über HTTPS hängt von der SSL-Entschlüsselung ab, da das Gerät die Sitzung entschlüsseln muss, um die Antwort des Portals einzufügen, und optional die weitere Entschlüsselung überspringen kann, sobald der Vorgang abgeschlossen ist. Um zu vermeiden, dass bei jeder Anfrage erneut eine Abfrage erfolgt, speichert das Gerät die Entscheidung – bezogen auf die Quell-IP-Adresse, die MAC-Adresse oder beides – für einen konfigurierbaren Zeitrahmen im Cache.

Arten von Captive-Portal-Maßnahmen

Die Aktionen eines Captive Portals unterscheiden sich darin, was sie vom Benutzer verlangen. Bei „Ask“ wird eine Informationsseite mit den Schaltflächen „Abbrechen“ und „Weiter“ angezeigt. Bei „Block“ wird die Seite direkt blockiert und der Versuch protokolliert, ohne dass eine Fortsetzung möglich ist. Bei „Justify“ muss der Nutzer einen Grund eingeben, bevor er fortfahren kann; dieser Text wird zu Prüfungszwecken protokolliert. Bei „Override“ wird eine 4- bis 6-stellige PIN abgefragt; nur mit einer gültigen PIN erhält der Nutzer Zugriff, und jeder Versuch wird protokolliert. Bei „Inform“ wird lediglich eine Meldung angezeigt, und der Nutzer kann nach deren Bestätigung fortfahren. Bei „Custom Redirection“ wird die Sitzung vollständig an einen externen Webserver übergeben, wobei Details wie die angeforderte URL an diesen Server weitergeleitet werden, damit dieser sie verarbeiten kann.

Captive Portal & Versa

VOS-Geräte setzen das Captive Portal im Rahmen der URL-Filterung und der URL-Filterung auf der NGFW durch: Die Kategorie- oder Reputations-Aktionszuordnung eines URL-Filterprofils kann auf eine vordefinierte oder benutzerdefinierte Captive-Portal-Aktion verweisen, die überall dort angewendet wird, wo dieses Profil einer Sicherheitszugriffsrichtlinienregel zugeordnet ist. Administratoren konfigurieren das Captive Portal unter „Konfigurieren > Einstellungen > Captive Portal“, wählen dort eine Standard-VOS-Seite pro Aktion aus oder laden eine benutzerdefinierte Seite mit eigenem Branding hoch und können ein CA-Zertifikat hinzufügen, damit das Portal über SSL bereitgestellt wird.

Bei Bereitstellungen, bei denen die Durchsetzung pro Routing-Instanz erforderlich ist, können Service-Endpunkte mit dedizierten HTTP- und HTTPS-Ports definiert werden (standardmäßig 44990 und 44991). Über globale Einstellungen wird festgelegt, wie lange eine Umleitungsentscheidung zwischengespeichert wird – standardmäßig 30 Minuten – und ob der Cache-Schlüssel die Quell-IP-Adresse, die MAC-Adresse oder beides ist.

Häufig gestellte Fragen

Welche Maßnahmen kann ein Captive Portal ergreifen?

Die Kernaktionen sind „Fragen“, „Blockieren“, „Rechtfertigen“, „Überschreiben“ und „Informieren“ sowie die benutzerdefinierte Weiterleitung an einen externen Server. Jede dieser Aktionen ist mit einer anderen Benutzererfahrung verbunden – von einer einfachen Bestätigung bis hin zu einer PIN-geschützten Überschreibung – und jede kann einen Protokolleintrag in „ Versa Analytics“ erzeugen.

Ist für ein Captive Portal eine SSL-Entschlüsselung erforderlich?

Ja, für HTTPS-Datenverkehr. Ist die SSL-Entschlüsselung nicht aktiviert, wird eine HTTPS-Sitzung entweder unverändert weitergeleitet (bei der Aktion „Informieren“) oder zurückgesetzt (bei „Blockieren“, „Fragen“, „Begründen“ oder „Überschreiben“), da das Gerät die Portalseite innerhalb einer verschlüsselten Sitzung, die es nicht lesen kann, nicht ersetzen kann.

Kann eine Captive-Portal-Seite angepasst werden?

Ja. Administratoren können die Meldung auf einer Standardseite bearbeiten oder eine vollständig individuell gestaltete Seite als ZIP-Archiv hochladen, das eine index.htm Datei mit eigenem HTML, CSS, Bildern und Logo, wodurch das Standarddesign der Plattform vollständig durch markenspezifische Inhalte ersetzt wird.

Wozu dient die Übersteuerungs-PIN?

Bei der Aktion „Überschreiben“ wird der Benutzer zur Eingabe einer 4- bis 6-stelligen PIN aufgefordert, bevor ihm Zugriff auf eine gesperrte Kategorie gewährt wird. Diese Aktion ist für überwachte Ausnahmen vorgesehen – jemand, der die PIN kennt, kann vorübergehenden Zugriff gewähren, ohne die zugrunde liegende Richtlinie für andere Benutzer zu ändern.

Wie lange bleibt eine Captive-Portal-Entscheidung im Cache gespeichert?

Standardmäßig 30 Minuten. Sobald ein Benutzer im Portal eine Antwort für eine URL-Kategorie eingegeben hat, speichert das Gerät diese Entscheidung anhand der Quell-IP-Adresse, der MAC-Adresse oder beider in einem Cache, sodass derselbe Benutzer nicht bei jeder Anfrage erneut zur Eingabe aufgefordert wird, bis der Cache-Eintrag abläuft.

Mehr zum Thema Captive Portals

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Captive Portals informieren, sollten Sie sich als Nächstes diese Artikel ansehen.