RED 15 - Webproxyfilter - Transparenzmodus-Ausnahme zieht nicht

Question

Hallo Leute, 
 wir haben in der Kopfstelle eine UTM SG135 und in diversen Aussenstellen RED15 im Einsatz. 
 Die REDs sind im Standardmode angebunden. WebProtection im Transparentmodus inkl AD-SSO ist im Einsatz. In diversen Aussenstellen stehen Windows-Clients f&uuml;r Bildschirm-Werbung, welche eine dauerhafte Internetanbindung ben&ouml;tigen. Da an diesen Clients keine Authentifizierung durch einen User m&ouml;glich ist, habe ich diese in den Transparenzmodus-Ausnahmen hinterlegt. 
 Die Clients, die direkt im Netzwerk hinter der UTM h&auml;ngen bekomme eine Internetverbindung ohne Authentifizierung. 
 Die Clients, welche sich hinter den REDs befinden, bekommen keine Internetverbindung. Ansonsten funktionieren die Netze hinter den REDs ohne Probleme. Sowohl WLAN-Clients als auch kabelgebundene Clients kommen per Authentifizierung ins Internet. 
 
 Hat jemand noch eine Idee ? 
 [;)]

kerobra_retired · Accepted Answer

Na aber wie ich das bisher verstanden habe nutzen die übrigen Clients die Authentifizierung über AD-SSO, bzw. den Browser als Fallback, was aber auf den Werbegeräten nicht funktioniert, weil sie keinen AD-User zur Authentifizierung benutzen (vermutlich auch nicht im AD sind?). 
 Sonst habe ich Dein Problem bisher komplett falsch verstanden. 
 Die Clients, die über den Proxy rausgehen brauchen keine Firewallregeln, eben weil sie den Proxy benutzen. Ausnahmen in der Skiplist bewirken, dass für diese Clients der Proxy nicht eingreift, bei den anderen erkennt er den Webtraffic transparent. Du hast für die Werbesysteme zwei Möglichkeiten, Du nutzt entweder einen anderen Authentifizierungsmechanismus (eben die lokal zu installierende Software), über den sie sich wieder am AD authentifizieren können (im Prinzip ihre IP freischalten, daher ist die Client Authentication Software nicht für Terminalserver geeignet). In dem Fall musst Du die Einträge in der Skiplist wieder löschen. 
 Variante 2 ist, dass Du die Einträge in der Skiplist belässt, dann musst Du den Rechnern das Surfen explizit über eine Firewallregel erlauben, der Webtraffic wird dann aber komplett durchgelassen, nichts mehr gescannt. Manchmal geht es nicht anders, sonst wäre aber Variante 1 zu bevorzugen. 
 WENN Du Variante 2 nimmst muss das RED-Netz in Richtung Internet mit einer Masqueradingregel arbeiten. Wenn man den kompletten Traffic durch den Proxy jagt braucht man keine, daher hatte ich darauf hingewiesen, dass Du bei Verwendung der Skiplist eine brauchen wirst. Zumindest, wenn die UTM auf ihrem Interface mit Default Gateway eine öffentliche IP hat. Sollte zwischen UTM und Internet noch ein anderer Router von Dir sitzen, der ausgehenden Traffic mit NAT behandelt brauchst Du wiederum kein Masquerading.