[Sammelthread] Sophos UTM-Sammelthread

[GuNa]

Hallo,

ich möchte Euch gerne um Euren Rat/Tipps/Empfehlung für die folgende Aufgabe bitten:

Ich habe seit fast 15 Jahren ein Yahoo Email Account (da waren Google und Co. noch sehr unbekannt ) und ich betreibe seit 3 Jahren ein SBS2011 für meine eigene Domain Adresse (per SMTP).
Damit ich auf die Emails im Yahoo von Unterwegs mit verschiedenen Geräten zugreifen kann, wurden die Mails auf dem Yahoo Server nicht gelöscht. Meine Mail Clients sind so konfiguriert das sie die Emails auf Yahoo direkt abholen.
Mein Plan ist es nun dieses Konto auf den SBS zustellen zu lassen und nicht mehr auf Yahoo speichern zu lassen. Hierbei soll die Sophos UTM 9.1 die Emails abholen und an den SBS weiter reichen. Der Zugriff auf SBS von Unterwegs läuft über OWA soweit problemlos und im LAN ist Outlook 2010 im Einsatz. Die UTM ist als Smarthost im SBS konfiguriert.

Wie sollte ich da am besten Vorgehen und worauf sollte ich achten ?

Vielen Dank für Eure Antworten im voraus

 

[daheym]

Das hat eigentlich mit der UTM wenig zu tun.
Du musst auf deinem Exchange einen PO3 connector installieren (z.b. fetchmail), Anleitungen dazu gibt es genug.

Du kannst dann höchstens den POP3-Proxy auf der UTM aktivieren, um die Mails zu scannen/filtern.

---------- Post added at 14:53 ---------- Previous post was at 14:45 ----------

Habe in einem anderen Forum gelesen, dass man die Ports der Asg 220 rev3 in der Software auf gigabit schalten kann. Leider stand dort nicht wie man das genau macht.

Weil es nicht stimmt

Die 220 rev2 wurde ab Jun2008 mit 4x GBit + 4x 10/100MBit interfaces geliefert. Rev3 durchgängig in dieser Konfiguration, allerdings mit 1GB RAM statt nur 512MB
Erst die rev4 hatte nur GBit interfaces.

Ich habe auch geplant meine lokalen Virenscanner durch Sophos EndpointProtection Agents zu ersetzen, gibt es Gründe die eurer Meinung nach dagegen sprechen?

Nö

 

[GuNa]

Danke für die Antwort daheym.
Du hast recht - ich hab es falsch verstanden.
Frage: Der SBS 2011 bringt ja ein POP3 Connector mit. Damit sollte es doch auch gehn oder ? Oder ist fetchmail besser geeignet ?

Gruß

 

[teqqy]

Hab mal noch ne Frage, ob das so funktionieren könnte, wie ich mir das denke:

Wir haben bei meiner Freundin ein KD 32 MBit Anschluss. Derzeit noch mit dem Hitron-Router. Dieser soll gg. eine Fritzbox ausgetauscht werden, weil der vorhandene keine DDNS kann.

Zudem kaufen wir uns einen Homeserver auf Hyper-V Basis. Darauf soll unter anderem eine Sophos UTM. Ich würde dann gern den DHCP Server an der Fritzbox deaktivieren und vom Windows AD übernehmen lassen. Allerdings steckt ein PC in der Fritzbox an einem LAN Port. Der Server dann an einem anderen.

Die Sophos soll dann nur FW und VPN Server bereit stellen. Der Windows DC soll dann DHCP und DNS Server im Heimnetz spielen. PCs via LAN und WLAN sollen IPs vom DC erhalten und durch die Sophos an die FB ins Internet gelangen.

Die FB würde also als Switch und WLAN AP dienen. Funktioniert das? Oder sollte ich das Hitron Modem als Bridge aktivieren und mir ein DD-WRT Router (z. B. TP-Link) dahinter schalten?

 

[daheym]

Frage: Der SBS 2011 bringt ja ein POP3 Connector mit. Damit sollte es doch auch gehn oder ? Oder ist fetchmail besser geeignet ?
Gruß

Ja prinzipiell funktioniert der, allerdings kann man beim SBS2011 glaube ich nur alle 15 Minuten Mails abholen. (Beim SBS2003 waren es noch max. 5min soweit ich mich erinnere)
Fetchmail kannst du frei über den Task-Manager schedulen. Allerdings würde ich vorher erst mal schauen wie oft yahoo das Abholen per Pop3 überhaupt erlaubt. Ich glaub bei web.de gibt es auch ein Limit 1x alle 10Min oder so...

---------- Post added at 17:31 ---------- Previous post was at 17:26 ----------

@teqqy: Ich glaube du bringst einiges durcheinander (Modem als Bridge, etc.)

Lass die FritzBox ganz weg, oder nehm sie nur als AP.
Bei der UTM stellst du dein WAN-Interface auf DHCP-Client und lässt dir vom Kabel-Modem eine IP geben.
DHCP würde ich auch auf der UTM machen. DDNS kann sie auch.

Mit FritzBox hast du intern dann schon 2 Hops, musst alle Ports zur UTM natten. Und wenn du das WLAN der FB nutzen willst, musst du dir eine Verbindung an der FW vorbei bauen. Kompliziert und hässlich.

 

[GuNa]

Hi teqqy,

ich habe eine ähnliche Konfig.
Es kommt auf die WAN Schnittstelle Deiner UTM an. Ein Beispiel (hoffe es ist verständlich...):

Internet <- Fritzbox (192.168.1.1 (ohne DHCP) ) <- Sophos UTM (WAN: 192.168.1.10, Exposed Host) (Erste NIC des Servers) <- Sophos UTM (LAN: 192.168.178.1) <- Windows Server (192.168.178.10) (Zweite NIC des Servers) <- Switch <- Clients + AP

Wenn Du jetzt einen Client direkt an der FB betreibst, dann musst du dem Client eine feste IP aus dem 192.168.1.X Segment zuweisen. Dann kommt der auch ins Internet (aber NICHT ins LAN). Das gilt auch für WLAN über die FB. Wenn Du WLAN für die Clients HINTER der UTM verfügbar machen willst (inkl. DHCP vom Server), dann müsstest du einen weiteren Access Point in den 192.168.178.x Segment hängen. Somit würden die Clients vom Server mit DHCP und DNS Dienste versorgt und von der Firewall geschützt.

Gruß
PS: Für den AD muss DNS und DHCP auf dem AD konfiguriert werden. Was Du aber machen kannst, unter Network Services der UTM, den Windows Server als DNS Forwarder und als DHCP Relay anzugeben.

 

[teqqy]

Wenn dann habe ich es nur falsch beschrieben. Den Router von KD kann man auch im Bridge-Modus verwenden, sodass er nur Modem spielt. Dann ist aber der Switch in dem Teil nicht mehr zu verwenden (zumindest lt. inof. KD-Forum).

Wenn die FB nur AP spielen soll, dann nehm ich lieber ein günstigeren. Weil 200 Euro wäre mir etwas viel. Da würde ich fast eher eine AP10 von Sophos nehmen.

Warum DHCP auf der UTM und nicht am Windows Server?

Btw: Kann die UTM DynDNS?

 

[GuNa]

Ja prinzipiell funktioniert der, allerdings kann man beim SBS2011 glaube ich nur alle 15 Minuten Mails abholen. (Beim SBS2003 waren es noch max. 5min soweit ich mich erinnere)
Fetchmail kannst du frei über den Task-Manager schedulen. Allerdings würde ich vorher erst mal schauen wie oft yahoo das Abholen per Pop3 überhaupt erlaubt. Ich glaub bei web.de gibt es auch ein Limit 1x alle 10Min oder so...

Danke daheym. Ich werde mich mal schlau machen wegen den Zeitlimits.

 

[daheym]

Internet <- Fritzbox (192.168.1.1 (ohne DHCP) ) <- Sophos UTM (WAN: 192.168.1.10, Exposed Host) (Erste NIC des Servers) <- Sophos UTM (LAN: 192.168.178.1) <- Windows Server (192.168.178.10) (Zweite NIC des Servers) <- Switch <- Clients + AP

DHCP kann auf der FB aktiv bleiben. UTM kann feste oder dynamische IP auf der WAN-Schnittstelle haben

Wenn Du jetzt einen Client direkt an der FB betreibst, dann musst du dem Client eine feste IP aus dem 192.168.1.X Segment zuweisen.

Die manuelle IP-Adressvergabe kann man sich dann sparen.

PS: Für den AD muss DNS und DHCP auf dem AD konfiguriert werden. Was Du aber machen kannst, unter Network Services der UTM, den Windows Server als DNS Forwarder und als DHCP Relay anzugeben.

AD braucht nur einen DNS. Dieser kan integriert oder extern sein.
Ich würde nie DNS + DHCP auf einem AD betreiben. DNS + DHCP sind Basisdienste, welche auch von Devices ohne AD-Koppelung essentiel sind.
Genau aus dem Grund gibt es auch so Produkte wie Infoblox, EfficientIP etc. welche in vernünftigen Umgebungen zum Einsatz kommen. Zuhause reicht DNS + DHCP auf der UTM. Wenn die nicht läuft, geht wohl eh recht wenig...

 

[GuNa]

Btw: Kann die UTM DynDNS?

Ja sie kann

 

[daheym]

Wenn dann habe ich es nur falsch beschrieben. Den Router von KD kann man auch im Bridge-Modus verwenden, sodass er nur Modem spielt. Dann ist aber der Switch in dem Teil nicht mehr zu verwenden (zumindest lt. inof. KD-Forum).

Ahso, die neuen Modems mit Switch kenn ich gar nicht...

Wenn die FB nur AP spielen soll, dann nehm ich lieber ein günstigeren. Weil 200 Euro wäre mir etwas viel. Da würde ich fast eher eine AP10 von Sophos nehmen.

Die Vorteile von den Sophos APs sind das zentrale Management, sonst können die eigentlich recht wenig. Wenn du nur 1-2 APs zuhause hast, dann nehm lieber was günstiges, z.B. TP-Link 1043ND @DD-WRT

Warum DHCP auf der UTM und nicht am Windows Server?

Siehe oben. Aber du kannst DHCP natürlich auch auf Windows machen, wenn dir das lieber ist.

Btw: Kann die UTM DynDNS?

Jep, dyndns.org, no-ip und ein paar weitere Anbieter sind implementiert.

 

[GuNa]

DHCP kann auf der FB aktiv bleiben. UTM kann feste oder dynamische IP auf der WAN-Schnittstelle haben

Die manuelle IP-Adressvergabe kann man sich dann sparen.

Da hast Du recht. DHCP off war nur wegen der Angabe von Teqqy weiter oben.

AD braucht nur einen DNS. Dieser kan integriert oder extern sein.
Ich würde nie DNS + DHCP auf einem AD betreiben. DNS + DHCP sind Basisdienste, welche auch von Devices ohne AD-Koppelung essentiel sind.
Genau aus dem Grund gibt es auch so Produkte wie Infoblox, EfficientIP etc. welche in vernünftigen Umgebungen zum Einsatz kommen. Zuhause reicht DNS + DHCP auf der UTM. Wenn die nicht läuft, geht wohl eh recht wenig...

Das kann ich nicht genau sagen. Ich weiss nicht ob Teqqy solche Devices einsetzt. Ich weiss auch nicht welchen Server er jetzt genau einsetzen will - wenn er z.b einen SBS einsetzen will dann muss er die Dienste auch auf dem SBS betreiben.

 

[daheym]

Ich weiss nicht ob Teqqy solche Devices einsetzt. Ich weiss auch nicht welchen Server er jetzt genau einsetzen will - wenn er z.b einen SBS einsetzen will dann muss er die Dienste auch auf dem SBS betreiben.

Wie gesagt, die UTM tuts genau so gut. Eine Infoblox zuhause wäre etwas Overkill. Ich wollte nur sagen dass DNS + DHCP essentiel sind und immer zur Verfügung stehen sollten. Ein AD muss das nicht zwingend (wenn du Linux Büchsen, IP-Telefone, etc. im Netz hast, denen ist es wurst ob dein AD Brummt, hauptsache sie bekommen ne IP, ihr Default-GW ist erreichbar und sie können Namen auflösen). Daher würde ich es trennen.
Ein AD (ob auf SBS oder nicht) braucht nur ein DNS, DHCP interessiert das AD nicht. DNS kann auf dem AD integriert sein, oder extern.

 

[GuNa]

Ich wollte nur sagen dass DNS + DHCP essentiel sind und immer zur Verfügung stehen sollten

100% Zustimmung.

Bei den anderen Punkten sehe ich das ähnlich aber ich denke es kommt dann doch darauf an was er nun wirklich einsetzt. (Linux mit oder ohne SAMBA z.b, NAS (Windows Home Server oder OmniOS mit AD Anbindung ?).
Der springende Punkt ist aber das was Du auch schon weiter oben gesagt hast: Womit Teqqy am besten zurecht kommt und das, was für sein Vorhaben am einfachsten ist.

Ich denke, egal wo die Dienste laufen, getrennt oder auf dem AD, wenn der AD down ist hat Teqqy genauso ein Problem wie wenn einer der Dienste nicht gehen würde

... und wenn man es wirklich genau nehmen will, dann sollte die Firewall mit diesen Diensten auf einer eigenen Kiste laufen und nicht in einer VM.

 

[daheym]

Jo, wenn er eh nur Devices hat die gegen AD Authentifizieren etc. und ohne AD nicht laufen ist es vollkommen Latte. Dann ist da dein Single Point of Failure.

Gleiches gilt wie du schon gesagt hast mit der Firewall auf ESX/Hyper-V. Wenn der nicht brummt, hat sich's eh ausgebrummt Zumal eine virtualisierte Firewall auch aus Security Sicht nicht unbedingt optimal ist, aber für zuhause durchaus legitim.

 

[GuNa]

Jop - dann ist es aus mit brum brum
Vielleicht könnte jemand von der NSA noch ein paar Tipps zum Thema Firewallsicherheit geben
Das wären dann die echten Tipps für uns alle

 

[teqqy]

Um die geplante Infrastruktur etwas zu erläutern:
Geplant ist ein Hyper-V Host mit 2012er AD, Exchange und Sharepoint, dazu würde ich gern eine UTM gesellen. Mehr ist derzeit an Servern nicht geplant. Dazu gesellt sich auf jeden Fall noch ein TP-Link 1043DN Router als AP mit DD-WRT.

Wenn die FB als AP nicht den Client durch die Sophos leiten kann, ist es eh uninteressant. Das Problem ist derzeit dazu noch die nicht vorhandene anständige Verkabelung.

Das sieht nämlich ungefähr so aus:

KD-Anschluss -> Hitron Router -> PC1 via LAN
------------------------------------> WLAN für Geräte in Reichweite
------------------------------------> DLAN ins 1. OG -> TP-Link 1043DN -> TimeCapsule (via LAN)
--------------------------------------------------------------------------------> WLAN Clients
------------------------------------> DLAN ins UG -> Hyper-V Server -> Sophos UTM
-----------------------------------------------------------------------------> Windows 2012 AD
-----------------------------------------------------------------------------> Windows 2012 Exchange 2013
-----------------------------------------------------------------------------> Windows 2012 Sharepoint 2013

Der Server kommt in Keller und würde via DLAN angebunden werden (derzeit). Im Laufe dieses oder nächsten Jahres wird hier Cat 6a Kabel verlegt, da sieht das dann nicht mehr so grausig aus. Bis dahin muss ich mir etwas überlegen wie ich es gescheit aufbaue. (grün ist geplant)

Ich habe auch keine zwei getrennten Verbindungen zw. Modem -> Server -> Clients. Wird sich bald ändern, aber derzeit muss ich mit Subnetzen oder anderen sehr unschönen Dingen tricksen. Nehme zu dem ganzen aber auch gern weitere Vorschläge an.

Der Server muss wg. Lautstärke und Temperatur in den Keller.

P.S.
Leider zur Visualisierung kein Visio derzeit zur Hand. Könnte ich aber zur genaueren Verdeutlichung morgen oder so nach reichen.

 

[GuNa]

Oh wow.

Wenn die FB als AP nicht den Client durch die Sophos leiten kann, ist es eh uninteressant

Ich kann mich absolut irren aber ich denke nicht das das so möglich ist. Wenn ich Dich jetzt richtig verstanden habe dann ist dieser PC auf der WAN Seite der UTM, d.h VOR der Firewall geschaltet.
Mir würde spontan folgende Lösung einfallen:
Ich würde den PC wie ein Laptop/Remote Arbeitsstation behandeln. Ich würde den PC via VPN über die Firewall ins LAN anbinden. Somit würde er "logisch" wie ein normaler Client im Netzwerk angemeldet sein und auch auf die Ressourcen und Dienste zugreifen können. Da es auch unterschiedliche Netzsegmente sind wird es auch bei der Adressierung keine Probleme geben.
Müsste man nochmal im Detail schauen ob das Sinn macht - z.b Performance der DLAN Anbindung ?

Ich habe auch keine zwei getrennten Verbindungen zw. Modem -> Server -> Clients. Wird sich bald ändern, aber derzeit muss ich mit Subnetzen oder anderen sehr unschönen Dingen tricksen. Nehme zu dem ganzen aber auch gern weitere Vorschläge an.

Verstehe ich nicht ganz. Meinst Du Dein Server hat nur eine Netzwerkschnittstelle ?

LG

 

[teqqy]

Das ich nur eine krüppelige DLAN Verbindung zum Server habe.

Per VPN? Fände ich etwas overkill, zumal es auch um die Eltern meiner Freundin geht. Die würden eher weniger auf die Dienste des Servers zugreifen. Möchte die nur durch die FW geschützt haben.

 

[thha]

Hallo Forum!

Ich habe mich gerade hier angemeldet, da ich gesehen habe, dass es hier in diesem Thema viele Profis im Bereich der Sophos UTM gibt.

Da es bei mir demnächst auch eine Einsatzmöglichkeit für die Sophos UTM gibt, wollte ich mich nun schonmal bzgl. geeigneter Hardware dafür umsehen.

Es gibt hier in der Wohnung 2 Internet Anschlüsse, diese möchte ich nach dem Modem direkt an die UTM anschließen. Ein Anschluss gehört meinen Eltern und einer mir. Diese möchte ich via vLAN voneinander trennen. Von außen sollte ein Zugriff via VPN Verbindung möglich sein.

Bei der Hardware habe ich bislang nur dieses Mainboard gefunden, welches 4 LAN Anschlüsse hat: Mini-ITX - Jetway JNF9HQL-525 - Mainboard, Mini-ITX, Intel D5 149527

Würde UTM damit funktionieren?

4x Lan weil: 2 Ports für WAN (Eingang für die 2 Internetanschlüsse) und 2 Ports fürs LAN (vLan von mir und vLan meiner Eltern).

Vielen Dank schonmal für eure Hilfe!!!

 

[daheym]

Würde UTM damit funktionieren?

Jep

4x Lan weil: 2 Ports für WAN (Eingang für die 2 Internetanschlüsse) und 2 Ports fürs LAN (vLan von mir und vLan meiner Eltern).

Jep
(Allerdings sind das dann keine VLANs, sondern normale phyiskalische LANs. Wenn du einen VLAN fähigen Switch hast, würden dir auch 3 LAN Interface reichen, wenn du per trunk an die UTM gehst.)

 

[GuNa]

@daheym
@ all

ich versuche mich gerade an dem pop3 Proxy der UTM um die Umstellung (siehe weiter oben) hin zu bekommen.
Allerdings jetzt erstmal test weise nur mit dem Outlook Client. Wenn das klappt teste ich die Server Umstellung.
Der pop3 Port zum abholen ist die 995.
Die Mails kommen in Outlook an aber im Log sehe ich keine Information ob es durch den Proxy gegangen ist. Live Log zeigt mir nur an das der Dienst gestartet wurde.
Hab im I-Net gesucht aber keine Anleitung gefunden. Wie kann ich sehn ob die Mail durch den Proxy gegangen ist ? bzw. Wie müsste ich das korrekt einstellen ?
"Global Allowed Networks" ist "Internal Network". Alle anderen Einstellungen sind Default.
So sieht meine Advanced Einstellung aus.

 

[daheym]

Du scheinst schon mal die richtige Version (>9.1) zu haben, denn erst ab dieser wird SSL/TLS für POP3 supported.
Allerdings musst du halt unten noch den Haken setzen und ggf. das Zertifikat von yahoo hochladen, damit dein Client keine Zertifikatswarnung bekommt.

Wenn du alles richtig gemacht hast, solltest du solche Zeilen im POP3 Log sehen:
2013:07:22-02:42:37 XXXXXX pop3proxy[31907]: id="1100" severity="info" sys="SecureMail" sub="pop3" name="email passed" from="amazon-buyvip-promotion@amazon.de" to="XXXXXX@XXXXXXXX.XXX" subject="Emporio Armani, Peace & Love, Seiko, Timberland und mehr" size="60448" srcip="176.32.105.73" dstip="XXX.XXX.XXX.XXX" uid="UID9999-1331554130" ident="0/31907-1-1374453756"

Mit dem prefetching musst du noch aufpassen:
1. Erlaubt yahoo alle 900sec die Abholung via POP3? Zu häufiges Abholen kann evtl. den POP3 Zugriff auf deinen Account längerfristig sperren (ist/war bei web.de so)
2. Es bringt nichts wenn du das prefetching auf 900sec stehen hast, dein Client aber jede Minute abfragt. Die UTM triggert deshalb keine neue Anfrage vor Ablauf der 900sec nach extern und wird intern dann nur "no mail for bla@blub.de" zurückliefern.

 

[GuNa]

Danke daheym.
Ja - es ist die aktuellste Version (v. 9.103-5).
Habe versucht das Zertifikat von Yahoo zu importieren - was auch klappt aber leider wird mir das Zertifikat nicht in der Auswahlliste angezeigt.
Exportieren kann ich das Zertifikat als PEM (über den Browser). Importieren kann ich es als "PEM only" und es erscheint auch korrekt in der Webserver Protection -> Certificate Management (mit einem blauem Symbol statt grün wie bei den anderen) aber eben nicht in der TLS Auswahlliste...
Irgendwas mache ich falsch...

 

[daheym]

Hast du das richtige Zertifikat erwischt? Ist es auch für den richtigen DNS-Namen ausgestellt?
Welchen Client hast du denn bzw. was kommt für eine Fehlermeldung? Bei Fetchmail z.B. kannst du die Zertifikatswarnung auch ignorieren (nicht schön, aber geht).
Alternativ kannst du ja auch mal per POP3 also TCP110 ohne SSL/TLS abholen, ob der Proxy auf der UTM überhaupt funktioniert.

 

[GuNa]

danke daheym.

Ich denke nicht das ich das richtige Zertifikat habe. Aber es ist das einzige welches ich exportieren kann. Soweit ich das verstehe müsste ich eigentlich ein User Cert in die UTM importieren aber ich kann keins exportieren...
Als Client zum testen benutze ich Outlook 2010. Eine Fehlermeldung bekomme ich nicht - und da im Live Log auch nichts erscheint - glaube ich das der Pop3 Proxy entweder nicht geht oder nicht korrekt angesprochen wird.
Steh da wirklich auf dem Schlauch...

 

[daheym]

Nein du benötigst das Zertifikat, welches auf dem POP3 Server bei yahoo installiert ist. Das wird benötigt, damit die UTM deinem Client "vorgaukeln" kann sie sei der yahoo POP3.
Es kann natürlich sein, dass der POP3 Proxy erst dann TLS scannt, wenn ein Zertifikat hochgeladen ist.
Schalte doch einfach mal TLS in Outlook aus und schau was dann passiert.

 

[GuNa]

hmmm....
habe in Outlook die Verbindung von "Server erfordert eine SSL Verbindung" abgeschaltet. Port ist dann natürlich die 110.
In dieser Einstellung funktioniert auch der Proxy. Ich kann sehn wie die Mails von der UTM verarbeitet werden... (Live Log)
Das ist natürlich nicht optimal...
Das Zertifikat welches ich in die UTM uploade ist das Yahoo Cert. der Anmeldung.
In der Firewall ist der Port 995 ja freigeschaltet. Verstehe das ganze noch nicht so wirklich...

 

[daheym]

Lad mal das Zertifikat im Anhang hoch.

Ich habe auch gerade gesehen, dass die Einstellung innerhalb der 9.1 geändert wurde. Welche hast du denn? 9.103-5?
Edit: Ach hattest du ja oben schon geschrieben. Dann musst du nur das Zertifikat hochladen und gut ist. Steht je nebendran: Nur wenn die UTM keins findet, kann ein default Cert vorgezeigt werden, welches man hier auswählt.

 

[GuNa]

hab die Datei jetzt hoch geladen. Danke!
Aber immer noch die selbe Situation. Es wird mir im Feld Pop3 -> Advanced -> TLS Settings kein Yahoo Cert angezeigt.

Steht je nebendran: Nur wenn die UTM keins findet, kann ein default Cert vorgezeigt werden, welches man hier auswählt.

Verstehe ich das richtig- heisst das ich muss kein TLS auswählen ? Dann wäre Default ja "none".