Surfprotection / Blockmessage

Wenn eine HTTPS Seite geblockt wird, muss die Meldungsseite auch als HTTPS übertragen werden.

Um diese dann ordentlich darzustellen, muss der Client dem Proxy-CA-Zertifikat der Firewall vertrauen.

Es gibt (gut versteckt unter "Web Protection/Filteroptionen/sonstiges" die Möglichkeit statt der Default-URL "passthrough.fw-notify.net" einen benutzerdefinierten Hostnamen (sinnvollerweise von einer Domain, die man unter Kontrolle hat) anzugeben und dort ein eigenes Zertifikat zu hinterlegen.
Das ist z.B. für Gastnetzwerke sinnvoll, in denen man keine CA auf dem Endgerät installieren kann bzw. will.

Das ist auch so konfiguriert: passthrough.hostname.domain.de, das Zertifikat erzeugt und auf dem Client importiert. Trotzdem wird die Meldung nicht ordnungsgemäß dargestellt.

Der Text kommt ja, nur nicht die Bilder. Klicke mal auf eines mit der rechten Maustaste und laß es in einem neuen Fenster anzeigen. Dann siehst Du die volle URL und kannst auf dem roten Feld das Zertifikat anschauen. Dort steht dann was nicht stimmt (Vermutung:Hostname).

Da habe ich ja die o.g. URL her und hatte damals so das Zertifikat erzeugt. Welches rote Feld meinst Du?

Da habe ich ja die o.g. URL her und hatte damals so das Zertifikat erzeugt. Welches rote Feld meinst Du?

Wenn die obige Meldung ohne Benutzereingriff (Bestätigung eines Zertifikatsproblems) entstanden ist, dann stimmt ja das Zertifikat. Dir fehlen lediglich die eingebundenen Ressourcen. Zum Beispiel /static/default.css (deswegen sieht die Formatierung so roh aus) oder /static/logo.png.

Wenn Du auf eines der Broken Image Symbole gehst und Dir diese Ressource anzeigen läßt (beim Edge/Chrome mit der Kontextmenüfunktion "Bild in neuem Tab anzeigen"), dann bekommst Du den Grund, warum das Bild nicht angezeigt wird. Möglich ist, daß die URL nicht existiert (dann geht der Zugriff nicht durch die UTM) oder daß die Grafik wegen einem ungültigen Zertifikat nicht geladen wird. Im zweiten Fall wird das Schloß-Symbol im Browser rot hinterlegt und man kann mit einem Klick das Zertifikat ansehen. Auch hier wird angezeigt, was den Browser stört, falscher Hostname, unbekannter Aussteller oder z.B. Gültigkeit abgelaufen.