Captive Portal-Setup im Untangle Firewall Complete Guide
Gäste verbinden sich mit Ihrem WLAN und das Internet funktioniert einfach – kein Name, keine akzeptierten Bedingungen, keine Aufzeichnung. Ein Captive-Portal behebt dieses Problem: Jeder Gast landet zuerst auf Ihrer Anmeldeseite, akzeptiert Ihre Nutzungsbedingungen oder meldet sich an und berührt erst dann das Internet. Hier ist das vollständige Setup der Untangle-Firewall.
✍️ Technical Anshu📶 Guest WiFi on Untangle⏱️ 10 minute read
🎥 Die vollständige Einrichtung des Untangle-Captive-Portals live auf dem Bildschirm – sehen Sie sich das Video neben dieser Anleitung an
Ein Gefangenenportal ist ein Tor, keine Dekoration. Bei Untangle (jetzt als Arista Edge Threat Management erhältlich) hält die Captive Portal-App den Datenverkehr eines Gastes an der Firewall, bis dieser Gast Ihre Seite vervollständigt – eine Schaltfläche, die besagt, dass er Ihre Bedingungen akzeptiert, oder eine echte Anmeldung, die mit Lokalem Verzeichnis, RADIUS oder Active Directory-Konten überprüft wird. Erst dann lässt die Firewall ihren Datenverkehr durch. Dieser Leitfaden baut es in der richtigen Reihenfolge auf: isoliertes Gastnetzwerk zuerst, Portal dann, Test zuletzt. Eine ehrliche Warnung bevor es losgeht: Ein Portal identifiziert Gäste und protokolliert deren Aufnahme – es verschlüsselt nicht etwas. Ihr WLAN-Passwort erledigt diese Aufgabe immer noch.
Status: ON
Capture Rules: [ Guest interface traffic → CAPTURE ]
Captive Page: Basic Login
Authentication: Local Directory
Passed Hosts: 2 server addresses, 1 client address
Active Sessions: 3 guests signed in
[ Test the portal from a phone before real guests arrive ]
So sieht eine funktionierende Captive Portal-App auf Untangle aus: Erfassungsregeln nur auf der Gastseite, eine eindeutige Anmeldemethode und eine kurze Liste der übergebenen Hosts. Zur Veranschaulichung gezeichnete Tafel.
1
Was das Portal wirklich tut, in einer Minute
Wenn ein Gastgerät beitritt, entscheiden die Erfassungsregeln von Untangle, ob diese Maschine „erfasst“ wird. Eine erfasste Maschine kann fast nichts erreichen – stattdessen beantwortet die Firewall ihre erste Webanfrage mit Ihrer Portalseite. Der Gast vervollständigt die Seite, die Firewall markiert den Computer als bestanden und der normale Internetzugang beginnt bis zum Ende der Sitzung.
Es handelt sich um eine Identitätsschicht – Sie erfahren, welches Konto (oder zumindest welches Gerät und wann) Ihre Verbindung verwendet hat.
Es handelt sich um eine Ebene mit Nutzungsbedingungen – der Gast akzeptiert aktiv Ihre Nutzungsrichtlinien, bevor er Zugang erhält, was für Hotels, Cafés und Büros wichtig ist.
Es handelt sich nicht um eine Sicherheitsgrenze an sich – die Isolierung zwischen dem Gastnetzwerk und Ihrem Büro-LAN ist eine separate Aufgabe, die in Schritt 2 und im Isolationsleitfaden dieser Serie behandelt wird.
2
Zuerst planen – Gastnetzwerk, dann Portal
Schalten Sie das Portal niemals als ersten Versuch für das LAN Ihres Hauptbüros ein: Jeder Mitarbeiter-Laptop und -Drucker wird zum „Gast“ und die Arbeit wird unterbrochen. Die sichere Form ist:
Eine separate Gast-SSID auf einer eigenen Schnittstelle oder einem eigenen VLAN mit einem eigenen Subnetz – die Firewall sitzt zwischen Gästen und allem anderen.
Firewall-Regeln, die es dem Gast-Subnetz ermöglichen, das Internet zu erreichen, aber nicht Büro-PCs, Server oder NAS-Boxen.
Die Captive Portal-App erfasst den Datenverkehr nur auf dieser Gastseite.
Eine vorab getroffene Entscheidung: Nur-AGB-Seite oder echte Accounts? Schritt 4 umfasst die Auswahl.
Wenn Ihr Gastnetzwerk noch nicht existiert, bauen Sie es zuerst auf – der separate Leitfaden zur Gast-WLAN-Isolierung in dieser Serie führt Sie durch.
3
Installieren Sie die App und schreiben Sie die Erfassungsregeln
Auf der Untangle-Konsole ist das Portal eine der Apps im Rack:
Öffnen Sie Apps und installieren Sie Captive Portal (auf aktuellen Systemen trägt die gleiche Plattform den Namen Arista Edge Threat Management – die App und das Layout sind gleich).
Öffnen Sie die Einstellungen der App und suchen Sie nach Erfassungsregeln.
Aktivieren Sie das Beispielregelmuster, das den auf Ihrer Gastschnittstelle eingehenden Datenverkehr erfasst. Die Regel entspricht der Quellschnittstelle, sodass der Bürodatenverkehr niemals erfasst wird.
Lassen Sie das Portal AUS, bis die Seite und die Authentifizierung in Schritt 4 bereit sind, und schalten Sie dann die App ein.
Erfassungsregeln können auch Adressen und andere Bedingungen abgleichen, sodass Sie beispielsweise nur das Netzwerk des Konferenzraums erfassen würden. Für eine erste Einrichtung gibt es eine Regel – Gastschnittstelle ein, Aufnahme ein – der eigentliche Umfang.
4
Wählen Sie, wie Gäste eintreten
Wählen Sie auf der Registerkarte Captive-Seite den Seitenstil aus – beginnen Sie mit Basic Login. Legen Sie dann die Methode auf der Registerkarte Benutzerauthentifizierung fest:
Nur Bestätigung – der Gast liest Ihre Nachricht und drückt OK. Keine Identität, aber die Bedingungen wurden angezeigt und akzeptiert; genau richtig für ein kleines Café.
Lokales Verzeichnis – Konten, die Sie in Untangle selbst erstellen. Die Rezeption erstellt für den Gast ein Konto; Der Gast meldet sich damit an. Geeignet für Büros und Hotels, die einen Namen anbringen möchten.
RADIUS oder Active Directory – die Firewall fragt Ihren vorhandenen Server. Dazu ist auch die Directory Connector-App erforderlich, mit der größere Büros ihren Mitarbeitern Identitäten auf Gast- oder BYOD-Netzwerken bereitstellen können.
Schreiben Sie den Seitentext wie eine Mitteilung und nicht wie einen Vertragsaufsatz: Wer betreibt dieses Netzwerk, was wird protokolliert, wie lange dauert eine Sitzung und eine Zeile mit einfachen Begriffen. Die Gäste lesen tatsächlich kurze Seiten.
5
Fügen Sie bestandene Hosts hinzu und testen Sie dann wie ein Gast
Zwei kurze Listen auf der Registerkarte Passed Hosts runden den Build ab:
Aufgelistete Serveradressen übergeben – Server, die ein Gast vor erreichen kann, z. B. Ihre eigene Buchungs- oder Zahlungsseite. Halten Sie diese Liste so kurz wie möglich.
Aufgelistete Kundenadressen weitergeben – Geräte, die das Portal vollständig überspringen, wie Ihr eigenes Telefon oder ein Empfangs-PC.
Testen Sie jetzt ehrlich: vergessen Sie auf einem Telefon das Gastnetzwerk, treten Sie erneut bei und warten Sie, bis das Portal von selbst auftaucht. Melden Sie sich an, durchsuchen Sie zwei oder drei Websites und aktivieren Sie dann Aktive Sitzungen in der App – Ihr Telefon sollte aufgelistet sein.
Testen Sie auch den Fehlerpfad: Ein falsches Passwort sollte sauber fehlschlagen und ein Gastgerät sollte nicht in der Lage sein, einen Bürodrucker oder eine Dateifreigabe zu öffnen.
Wenn die Seite nicht auf dem Telefon angezeigt wird, beginnen Sie nicht damit, zufällige Einstellungen zu ändern – genau zu diesem Problem gibt es in dieser Serie einen eigenen Leitfaden, und es liegt fast nie am Portal selbst.
⚠️ Der einzige Fehler, der wehtut: Das Einschalten des Portals über die falsche Schnittstelle. Wenn die Erfassungsregel Ihr Büro-LAN erfasst, wird jeder Personalcomputer auf einer Anmeldeseite festgehalten und die Telefone beginnen zu klingeln. Erfassen Sie nur die Gastschnittstelle und testen Sie sie von einem Telefon aus, bevor Sie das Netzwerk jemandem bekannt geben.
🎥 Sehen Sie sich die vollständige Einrichtung im Video an
Jeder Klick aus dieser Anleitung – Installation der App, der Erfassungsregel, der Seite und des Tests – wird live auf der Untangle-Konsole angezeigt.
Ist die Captive Portal-App bei Untangle kostenlos?
Captive Portal ist eine der ältesten Apps im NG Firewall-App-Set, und die Plattform von Untangle hält eine Gruppe von Kern-Apps ohne kostenpflichtiges Paket verfügbar. Untangle wird jetzt als Arista Edge Threat Management verkauft und die Verpackung ändert sich im Laufe der Zeit. Überprüfen Sie daher den Apps-Bildschirm in Ihrem eigenen Kästchen – wenn Captive Portal installiert und ausgeführt wird, haben Sie alles, was dieses Handbuch benötigt. Für Funktionen wie die Active Directory-Authentifizierung ist zusätzlich die Directory Connector-App erforderlich.
Macht ein Captive-Portal mein Gast-WLAN sicher?
Nicht von alleine. Ein Captive-Portal identifiziert Gäste und zeichnet auf, dass sie Ihre Bedingungen akzeptiert haben – es verschlüsselt ihren Datenverkehr nicht und isoliert sie nicht von Ihrem Büronetzwerk. Die Verschlüsselung ist die Aufgabe des WLAN-Passworts (WPA2 oder WPA3) und die Isolierung ist die Aufgabe eines separaten Gastnetzwerks mit Firewall-Regeln, die in diesem Handbuch als Schritt eins behandelt werden.
Können Gäste eintreten, ohne ein Konto zu erstellen?
Ja. Der einfachste Modus ist eine Bestätigungsseite: Der Gast liest Ihre Nachricht und drückt OK, um fortzufahren, ohne dass ein Benutzername erforderlich ist. Sie geben es auf, genau zu wissen, wer es war – die Firewall protokolliert immer noch das Gerät und die Uhrzeit –, aber für ein kleines Café oder ein Wartezimmer ist dieser Handel oft der richtige.
Dieser Leitfaden basiert auf dem Technical Anshu Captive-Portal-Video • Sie stecken auf einer Stufe fest? Fragen Sie in den Videokommentaren nach – Sie erhalten eine Antwort 🙏