Webzugriff

Navigation: Konfiguration > Zugriffskontrolle > Webzugriff

Die Seite Webzugriff steuert, über welche Netzwerkschnittstellen auf das Webinterface des Geräts zugegriffen werden kann. Für jede Schnittstelle — LAN, WAN, BLX-VPN (Big-LinX VPN), Docker und WWAN — kann der HTTPS-Zugriff (TCP-Port 443) und die HTTP-zu-HTTPS-Weiterleitung (TCP-Port 80) unabhängig aktiviert oder deaktiviert werden. Der Zugriff über HTTPS ist obligatorisch; der HTTP-Zugriff liefert nur eine Weiterleitung auf HTTPS. Diese Seite arbeitet zusammen mit der Seite Benutzerkonten, auf der festgelegt wird, wer sich anmelden darf, und der Seite Berechtigungen, die bestimmt, welche Aktionen jeder Benutzer ausführen darf. Das vom Webinterface verwendete HTTPS-Zertifikat wird auf der Seite Zertifikate verwaltet, und die zugrunde liegenden Webserver-Port-Einstellungen werden auf der Seite Webserver konfiguriert. Änderungen werden nach Klick auf Anwenden sofort wirksam, müssen aber über die Seite Speichern dauerhaft gesichert werden, um einen Neustart zu überdauern.

Einstellungen

Filter

Die Filtertabelle definiert, auf welchen Schnittstellen das Webinterface erreichbar ist. Jede Zeile steht für ein Protokoll und jede Spalte für eine Netzwerkschnittstelle. Aktivieren oder deaktivieren Sie den Zugriff durch Setzen oder Entfernen des Kontrollkästchens Allow an der Schnittstelle des jeweiligen Protokolls.

HTTPS-Webinterface (TCP 443)

Aktiviert den Zugriff auf das Webinterface über HTTPS auf der ausgewählten Schnittstelle. HTTPS bietet eine verschlüsselte Kommunikation zwischen Browser und Gerät. Dies ist die primäre Zugriffsmethode und muss auf mindestens einer Schnittstelle aktiviert sein, um die Verwaltung des Geräts zu ermöglichen.

Verfügbare Schnittstellen:

LAN: Erlaubt den Webinterface-Zugriff aus dem lokalen Netzwerk. Dies ist der Standard- und häufigste Zugriffspfad für die Vor-Ort-Administration.

WAN: Erlaubt den Webinterface-Zugriff über das WAN. Aktivieren Sie diese Option nur, wenn eine Fernwartung über die WAN-Schnittstelle erforderlich ist.

BLX-VPN: Erlaubt den Webinterface-Zugriff über einen aktiven Big-LinX-VPN-Tunnel. Damit wird die Fernadministration über die Big-LinX-Cloud-Plattform ermöglicht, ohne das Webinterface direkt am WAN freizugeben.

DOCKER: Erlaubt den Webinterface-Zugriff aus Docker-Containern, die auf dem Gerät ausgeführt werden.

WWAN: Erlaubt den Webinterface-Zugriff über die Mobilfunk-Schnittstelle (WWAN). Aktivieren Sie diese Option nur, wenn eine Verwaltung über das Mobilfunknetz erforderlich ist.

HTTP-Weiterleitung auf HTTPS (TCP 80)

Aktiviert eine automatische Weiterleitung von HTTP (Port 80) auf HTTPS (Port 443) auf der ausgewählten Schnittstelle. HTTP auf TCP-Port 80 leitet den Browser lediglich auf HTTPS weiter. Diese Option sollte nur dort aktiviert werden, wo auch der HTTPS-Zugriff erlaubt ist. Diese Komfortfunktion stellt sicher, dass Benutzer, die eine HTTP-URL eingeben, automatisch auf die sichere HTTPS-Verbindung weitergeleitet werden.

Reporting

Zugriffsverletzungen via Syslog melden

Bei Aktivierung werden Zugriffsversuche auf Schnittstellen, auf denen der Webzugriff nicht erlaubt ist, per Syslog protokolliert. Dies ermöglicht die Nachverfolgung unautorisierter Zugriffsversuche und kann an einen zentralen Log-Server zur Überwachung weitergeleitet werden. Zugriffsverletzungen sind auch im Eventlog sichtbar.

ACHTUNG

Deaktivieren Sie den Webinterface-Zugriff nicht auf der Schnittstelle, über die Sie aktuell verbunden sind. Falls Sie sich versehentlich auf allen Schnittstellen vom Webinterface aussperren, stellt ein Aus- und Einschalten die zuletzt gespeicherte Konfiguration wieder her. Speichern Sie die aktuelle funktionsfähige Konfiguration stets über die Seite Speichern, bevor Sie Änderungen an den Webzugriff-Einstellungen vornehmen.

Sicherheit

Beschränken Sie den Webinterface-Zugriff auf die minimal erforderliche Anzahl von Schnittstellen für die Administration. Gemäß IEC 62443 sollte der HTTPS-Zugriff auf WAN- und WWAN-Schnittstellen deaktiviert werden, sofern keine Fernwartung ausdrücklich benötigt wird — jede aktivierte Schnittstelle vergrößert die Angriffsfläche. Wenn Fernwartung erforderlich ist, bevorzugen Sie den Zugriff über BLX-VPN gegenüber einer direkten WAN- oder WWAN-Freigabe, da der VPN-Tunnel eine zusätzliche Authentifizierungs- und Verschlüsselungsebene bietet. Aktivieren Sie die Syslog-Meldung von Zugriffsverletzungen, um unautorisierte Zugriffsversuche zu erkennen. Stellen Sie sicher, dass das HTTPS-Zertifikat auf der Seite Zertifikate gültig und aktuell ist, um Man-in-the-Middle-Angriffe zu verhindern.