WLAN Hotspot eigener Hostname mit HTTPS absichern

Hi,

hast du hier das richtige Zertifikat hinterlegt?

Ja das habe ich, jedoch soll für das Hotspotportal ein anderer Hostname verwendet werden als der Hostname der XGS selbst, da der Hostname der XGS an die Firewall und das interne Netzwerk gebunden ist. 

klappt denn jetzt die Sache mit dem Zertifikat? So sollte es ja passen, mit den wildcard Cert.

lässt sich die custom DNS hotspot.domain.de URL aus dem WiFi heraus aufrufen? Kann ja nur klappen, wenn die Clients dort die XGS als DNS Resolver verwenden und in Administration / Deviceaccess der entsprechende Haken für die Zone gesetzt ist.

Nein leider funktioniert das so nicht. Die XGS dient in dem VLAN als Gateway und DNS Resolver, daher funktioniert der Aufruf hotspot.example.de auch ohne Probleme jedoch wird dort weiterhin das selfsigned Certificate der XGS verwendet. 

ich habe den Eindruck, dass der Aufruf der Seite durch den Webproxy oder IPS Filter der XGS geht und du das Decryption Zertifikat, nicht das des Hotspot/Userportal siehst. Kannst du sicherstellen, dass das nicht so ist? was sagen die Webfilter und TLS Logs der XGS wenn die Seite aufgerufen wird?

Andere Frage, wird das Userportal aus dem LAN mit dem richtigen Wildcard Zertifikat angezeigt?

Ich hatte den Eindruck auch, jedoch spucken die Logs keine auffälligen Werte aus. Es ist auch tatsächlich das Webfilterzertifikat welches dort angesprochen wird, jedoch finde ich dazu keine Begründung. Im VLAN DHCP ist als Gateway die XGS mit der entsprechenden IP eingetragen, als Primärer DNS Server dient hier auch die XGS mit der VLAN Schnittstellen IP. Der Hostname Hotspot.example.de wird auch korrekt aufgelöst. 

Ja beim Aufruf des Admin oder Userportals aus dem Standard-LAN wird das Wildcard-Zertifikat richtig verwendet. 

Ich muss auch sagen das ich mittlerweile ziemlich enttäuscht bin was die XG/XGS Systeme angeht. Ich nutzte seit Jahren die UTM und war dort in den meisten Fällen immer sehr glücklich mit. Seit der Umstellung auf die XGS fallen mir immer mehr Dinge auf, die Sophos entweder gar nicht erst aus der UTM übernommen hat oder einfach nur extrem verschlechtert hat. Bei der UTM war das Szenario recht einfach gelöst. Man hat den Hostnamen angegeben, darunter das zu verwendende Zertifikat ausgewählt. Fertig, funktioniert. 

dann trage doch bitte mal die URL von der Seite hier:

als SSL Exception

im Webfilter ein und den FQDN auch in der URL Gruppe

im Bereich Webfilter.

Dann sollte das eigentlich nicht mehr passieren.