Nach der Anmeldung als admin und dem zugehörigen Passwort muss man nur folgenden Befehl absetzen, die neue Lizenz als TXT in das SSH Fenster einfügen und mit CRTL+D den Befehl beenden.

system register

ssh root@192.168.0.1 spcli rule get |grep -i -v DISABLED > fw-rules.txt 

In der Datei fw-rules.txt stehen im Anschluß die aktiven Firewall Regeln. Natürlich kann man sich auch die Iptables ausgeben lassen, mit dem Befehl spcli finde ich es aber deutlich übersichtlicher.

Manche Geräte können mit diesen unterschiedlichen Dateien nicht umgehen, weil z.B. kein richtiges Dateisystem vorhanden ist. Apple iPhone/iPad Apps wären z.B. so ein Fall.

Will man dort SSL-VPN (openVPN) verwenden, so muss die CA, Cert und Key direkt in der openVPN Konfigurationsdatei vorhanden sein.
Für diesen Fall habe ich ein kleines Script geschrieben. (Etwas abgewandelt welches ich im Securepoint Forum gefunden habe.

Dies Script geht davon aus, dass die Konfigurationsdaten entpackt in einem Verzeichnis liegen. Zu finden sind die Dateien in der Regel im „Data“ Verzeichnis wenn man das ZIP entpackt oder das TBLK-Verzeichnis umbenannt hat.

Hier nun aber erst mal das Script. Als ersten Parameter wird der Dateiname des openVPN-Files erwartet. Zweiter Parameter wie die neue Konfigurationsdatei benannt werden soll. Der dritte und letzte Parameter gibt an, ob die Originaldateien gelöscht oder behalten werden sollen.

Hier nun aber erst mal das Script:

#!/bin/sh
# Autor: Knut Herter
#
if [ -z "$1" ] || [ -z "$2" ] || [ -z "$3" ] ; then
		echo "\nKeine Parameter angegeben!"
		echo ""
 		echo "Parameter 1: <Dateiname>(ohne .ovpn)"
 		echo "Parameter 2: <Neuer Dateiname>(ohne .ovpn)"
 		echo "Parameter 3: <0 oder 1> 1 = Origignaldateien löschen"
		echo "\n"
 		exit 1
fi

for dat in ".ovpn" "-ca.pem" "-cert.pem" "-cert.key"; do
	if [ ! -f "$1$dat" ]; then
	    echo "$1$dat nicht vorhanden"
	    fehler=1
	fi
done

if [ $fehler ]; then echo "\nFehler, breche die Verarbeitung ab." 
 exit 1  
fi

grep -F -v -e "ca" -e "cert" -e "key" "$1".ovpn > $2.ovpn
{
echo '<ca>'
cat "$1"-ca.pem 
echo '</ca>'
echo '<cert>'
cat "$1"-cert.pem 
echo '</cert>'
echo '<key>'
cat "$1"-cert.key 
echo '</key>'
} >> $2.ovpn

if [ "$3" = "1" ]; then
for dat in ".ovpn" "-ca.pem" "-cert.pem" "-cert.key"; do
	rm -f $1$dat
done
fi

Anschließend kann man die erzeuge .ovpn-Datei z.B. auf seinem iPhone/iPad nutzen um sich mit dem SSL-VPN Server zu verbinden. 

Auch in Tunnelblick oder dem originalen Securepoint VPN Client kann diese Datei verwendet werden.

Zuerst sollte man sich bei der UTM anmelden. Der Optionspunkt „Extras“ schaut dann wie folgt aus.

Drückt man nun auf der Apple Tastatur folgende Kombination, [control] + [option] + a , dann erscheint ein weiterer Menüpunkt.

Über diesen Menüpunkt lassen sich z.B. direkt Konfigurationsdateien (Tempplates) über die GUI einlesen, bearbeiten und abspeichern.

Unter Windows wird die Tastenkombination [strg] + [alt] + a sein.

Mit [control] + [option] + c bzw. [strg] + [alt] + c startet man die Web-CLI auf der UTM

Es wird dabei der Befehl zum Erstellen eines Benutzerzertifikats, als auch den Befehl zum Anlegen Benutzer selbst ausgegeben.

Voraussetzung dabei ist, dass eine entsprechende CA zuvor erstellt wurde. Die ID der CA wird für das Excel-Dokument benötigt und kann mit folgendem Befehl ganz einfach ermittelt werden:

ssh admin@10.68.0.1 'cert get' |grep "CA:TRUE"

Diese ID merken wir uns und tragen diese gleich in die Konfigurationsseite des Excel Dokuments ein.

Starten wir nun das Excel Dokument und wechseln auf das Blatt „Config“. Dort tragen wir an markierter Stelle die zuvor ermittelte ID der CA ein. Natürlich passen wir die Organisationsdaten auf unsere eigenen Bedürfnisse an.

Anschliessend wechseln wir wieder zum Blatt „Anwender“ und geben jeweils Vorname, Nachname, Mailadresse und Passwort ein. Oben wird auch noch ein zufälliges Passwort angeboten. Diese kann man in die Zwischenablage kopieren, sollte aber beim Einfügen aufpassen das nur die Werte in das Feld eingefügt werden!

In der Spalte „E“ befinden sich nun die CLI Befehle um die drei Beispiel-Zertifikate anzulegen. In der Spalte „F“ sind die Befehle um die Benutzer anzulegen.

Num muss man sich nur als admin auf der SecurePoint UTM mittels SSH anmelden und nacheinander die Befehle hinkopieren und ausführen.
Auf diese Art kann man sehr einfach viele Nutzer anlegen. Leider muss man in der Variante 1.3 meines Excel Dokuments im Anschluss über das Webinterface noch die Nutzerrechte anpassen. Für openVPN z.B. muss man im Benutzer noch das entsprechende Zertifikat zuordnen.
Die „grobe“ Arbeit ist aber erst mal getan und die Nutzer sind beim Abspeichern des Excel Dokuments auch gleich dokumentiert.

Wer mag kann das PRE beim Benutzer- und Zertifikatsnamen noch anpassen oder leer lassen. Dies kann man im Tabellenblatt „Config“ einfach bewerkstelligen.

Zuerst auf der UTM als admin anmelden

ssh admin@192.168.175.1

mit dem Passwort insecure

Anschließend folgende Befehle absetzen:

system ssh pubkey new key "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCw70ZfkRAD4/EWSt9pN2agjEnY6eO16+pP+jKhZCtI621D80zeQP3MYCC88HLmojEnGeZg1QO7XWeObpqoHsYnJYT6uoxszkzQCUXuMP1n2pPSMnqb4MBZQauSfk8pDVF/riA5YcTQ7b2oUSuSzHPmURqELdVSv5EFek9HT9TdZf1NhEr2R8Z4gO9tgWVBndbrtgirk0Tyj+k2ctyiyGwkYHIQKRITjW1tmGwrl/TQAj5s2431yN8eL4YNWlCbv7uoS3PlIb3d5qjEZ4WDU4Rxm8MF3L+20emZ55WXDSEGj8qaKATsoN7q9bubrK7aIXQZomei/XchtqCkwMFGG/Fl"
system ssh pubkey enable id 1
extc global set variable "GLOB_SSH_PUBKEY_AUTH" value 1
system update system

Anschließend klappt es auch via SSH und dem Nutzer root.

ssh root@192.168.175.1