Auf der Registerkarte Web Protection > Filteroptionen > HTTPS-CAs können Sie die Signierungs- und Verifizierungs-Zertifizierungsstellen (CA
s) für HTTPS-Verbindungen verwalten.
Signierungs-CA
In diesem Abschnitt können Sie Ihr Signierungs-CA-Zertifikat hochladen, das Signierungs-CA-Zertifikat neu erstellen oder das vorhandene Signierungs-CA-Zertifikat herunterladen. Standardmäßig wird das Signierungs-CA-Zertifikat anhand der Informationen erstellt, die bei der Einrichtung angegeben wurden, d. h. , dass sie den Informationen auf der Registerkarte Verwaltung > Systemeinstellungen > Organisatorisches entsprechen, sofern in der Zwischenzeit keine Änderungen vorgenommen wurden.
Um ein neues Signierungs-CA-Zertifikat hochzuladen, gehen Sie folgendermaßen vor:
-
Klicken Sie auf die Schaltfläche Hochladen.
Das Dialogfenster PKCS#12-Zertifikatsdatei hochladen wird geöffnet.
-
Navigieren Sie zu der Datei, die Sie hochladen wollen.
Klicken Sie auf das Ordnersymbol neben dem Feld Datei, klicken Sie im Dialogfenster Datei hochladen auf Durchsuchen, wählen Sie das hochzuladende Zertifikat aus und klicken Sie auf Hochladen starten.
Sie können nur Zertifikate im PKCS#12-Format hochladen, die kennwortgeschützt sind.
-
Geben Sie das Kennwort ein.
Geben Sie das Kennwort zweimal in die entsprechenden Felder ein und klicken Sie auf Speichern.
Das neue Signierungs-CA-Zertifikat wird installiert.
Um Ihr Signierungs-CA-Zertifikat neu zu erstellen, gehen Sie folgendermaßen vor:
-
Klicken Sie auf die Schaltfläche Neu erstellen.
Das Dialogfeld Neue Signierungs-CA erstellen wird geöffnet.
-
Ändern Sie die Informationen.
Ändern Sie die angegebenen Informationen gemäß Ihren Bedürfnissen und klicken Sie auf Speichern.
Das neue Signierungs-CA-Zertifikat wird erstellt. Die Informationen zur Signierungs-CA im Abschnitt Signierungs-CA ändern sich entsprechend.
Um das Signierungs-CA-Zertifikat herunterzuladen, gehen Sie folgendermaßen vor:
-
Klicken Sie auf die Schaltfläche Herunterladen.
Das Dialogfenster Zertifikatdatei herunterladen wird geöffnet.
-
Wählen Sie das Dateiformat aus, das Sie herunterladen wollen.
Sie können zwischen zwei verschiedenen Formaten wählen:
- PKCS#12: Dieses Format ist verschlüsselt, geben Sie deshalb ein Kennwort für den Export ein.
- PEM: Dieses Format ist unverschlüsselt.
-
Klicken Sie auf Herunterladen.
Die Datei wird heruntergeladen.
Wenn Sie für Ihre internen Webserver Zertifikate verwenden, die von einer eigenen CA signiert sind, ist es ratsam, dieses CA-Zertifikat in den WebAdmin als vertrauenswürdige Zertifizierungsstelle (Trusted Certificate Authority) hochzuladen. Andernfalls wird Benutzern eine Fehlermeldung vom Webfilter angezeigt, die ihnen mitteilt, dass das Serverzertifikat nicht vertrauenswürdig ist.
Um die Ausstattung der Clients mit dem Proxy-CA-Zertifikat zu vereinfachen, können Benutzer das Zertifikat selbst über http://passthrough.fw-notify.net herunterladen und es in ihrem Browser installieren. Die Website-Anfrage wird direkt vom Proxy akzeptiert und verarbeitet. Deshalb ist es notwendig, zunächst den Webfilter auf der Registerkarte Web Protection > Webfilter > Allgemein zu aktivieren.
Hinweis – Falls der Proxy nicht im Transparenzmodus arbeitet, muss der Proxy im Browser des Benutzers aktiviert werden. Sonst kann auf den Download-Link nicht zugegriffen werden.
Wenn das Benutzerportal aktiviert ist, können Benutzer alternativ das Proxy-CA-Zertifikat auch aus dem Benutzerportal, Registerkarte HTTPS-Proxy, herunterladen.
HTTPS-Problemen vorbeugen
Wenn Sie HTTPS verwenden, sind Windows-Systemprogramme wie Windows Update und Windows Defender nicht in der Lage, Verbindungen aufzubauen, weil sie mit Systembenutzer-Rechten laufen. Dieser Benutzer vertraut aber standardmäßig der Proxy-CA nicht. Deshalb ist es notwendig, das HTTPS-Proxy-CA-Zertifikat für den Systembenutzer zu importieren. Gehen Sie folgendermaßen vor:
- Öffnen Sie unter Windows die Microsoft Management Console (mmc).
-
Klicken Sie im Menü auf Datei und dann auf Snap-In hinzufügen/entfernen.
Das Dialogfenster Snap-In hinzufügen/entfernen wird geöffnet.
-
Klicken Sie unten im Fenster auf Hinzufügen.
Das Dialogfenster Eigenständiges Snap-In hinzufügen wird geöffnet.
-
Wählen Sie aus der Liste Zertifikate und klicken Sie auf Hinzufügen.
Ein Assistent wird geöffnet.
- Wählen Sie Computerkonto und klicken Sie auf Weiter.
-
Stellen Sie sicher, dass Lokaler Computer ausgewählt ist, und klicken Sie auf Fertigstellen und dann auf Schließen.
Das erste Dialogfenster enthält nun das Objekt Zertifikate (Lokaler Computer).
-
Klicken Sie auf OK.
Das Dialogfenster wird geschlossen und der Konsolenstamm enthält nun das Objekt Zertifikate (Lokaler Computer).
-
Öffnen Sie im Konsolenstamm links Zertifikate > Vertrauenswürdige Stammzertifizierungsinstanzen, klicken Sie mit der rechten Maustaste auf Zertifikate und wählen Sie Alle Aufgaben > Importieren aus dem Kontextmenü.
Der Import-Assistent wird geöffnet.
-
Klicken Sie auf Weiter.
Der nächste Schritt wird angezeigt.
-
Wechseln Sie zu dem zuvor heruntergeladenen HTTPS-Proxy-CA-Zertifikat, klicken Sie auf Öffnen und dann auf Weiter.
Der nächste Schritt wird angezeigt.
-
Stellen Sie sicher, dass Alle Zertifikate in folgendem Speicher speichern ausgewählt ist, und klicken Sie dann auf Weiter und auf Schließen.
Der Import-Assistent meldet, dass der Import erfolgreich war.
-
Bestätigen Sie die Meldung des Import-Assistenten.
Das Proxy-CA-Zertifikat wird nun unter den vertrauenswürdigen Zertifikaten aufgeführt.
-
Speichern Sie die Änderungen.
Klicken Sie im Menü auf Datei und dann auf Speichern, um die Änderungen am Konsolenstamm zu speichern.
Nach diesem Importvorgang wird der CA systemweit vertraut und es sollten keine Verbindungsprobleme aufgrund des HTTPS-Proxys mehr auftreten.
Verifizierungs-CAs
In diesem Bereich können Sie Ihre Verifizierungs-CAs verwalten. Das sind Zertifizierungsstellen, denen Sie generell vertrauen, d.h. Websites, die gültige Zertifikate vorweisen, welche von diesen CAs signiert sind, werden vom HTTPS-Proxy als vertrauenswürdig eingestuft.
Lokale Verifizierungs-CAs: Sie können weitere Verifizierungs-CAs zur untenstehenden CA-Liste hinzufügen. Gehen Sie folgendermaßen vor:
-
Klicken Sie auf das Ordnersymbol neben dem Feld Lokale CA hochladen.
Das Dialogfenster Datei hochladen öffnet sich.
-
Wählen Sie das Zertifikat aus, das Sie hochladen wollen.
Klicken Sie auf Durchsuchen und wählen Sie das CA-Zertifikat aus, das Sie hochladen wollen. Nur PEM-Dateierweiterungen werden für Zertifikate unterstützt.
-
Laden Sie das Zertifikat hoch.
Klicken Sie auf Hochladen starten, um das gewählte Zertifikat hochzuladen.
Das Zertifikat wird installiert und im Abschnitt Lokale Verifizierungs-CAs angezeigt.
Globale Verifizierungs-CAs: Die Liste der hier aufgeführten Verifizierungs-CAs ist identisch mit den Verifizierungs-CAs, die in Mozilla Firefox vorinstalliert sind. Sie können jedoch einen oder alle Verifizierungs-CAs auf der Liste deaktivieren, wenn Sie sie nicht für vertrauenswürdig halten. Um das Zertifikat zurückzuziehen (engl. revoke), klicken Sie auf seinen Schieberegler. Der Schieberegler wird daraufhin grau und der HTTP-Proxy akzeptiert nun keine Websites mehr, die von dieser CA signiert sind.
Tipp – Klicken Sie auf das blaue Infosymbol, um den Fingerabdruck der CA zu sehen.
Der HTTPS-Proxy zeigt Clients eine Fehlerseite mit dem Hinweis „Blocked Content“, wenn die CA unbekannt oder deaktiviert ist. Sie können jedoch eine Ausnahme für solche Seiten erstellen: entweder über den Link Ausnahme anlegen auf der Fehlerseite des Webfilters oder über die Registerkarte Web Protection > Filteroptionen > Ausnahmen.
Hinweis – Wenn Sie auf den Link Ausnahme anlegen auf der Fehlerseite des Webfilters klicken, wird ein Anmeldedialogfeld angezeigt. Nur Benutzer mit Admin-Rechten können Ausnahmen anlegen.
Verwandte Themen