[9.171][NOTREPROD] UTM Home Version upgrade to Beta

The update package is here ftp://ftp.astaro.de/UTM/v9/beta/u2d-sys-9.106017-165015.tgz.gpg as detailed in the post https://community.sophos.com/products/unified-threat-management/astaroorg/f/81/t/65198 You want to upgrage from 9.160 to 9.165 before you can apply the patch that you have downloaded (9.165 to 9.171).

I would caution against running a beta version if you are not fully comfortable with the product. Also every now and then, you will have random things broken in the beta release that are fully functional in a GA so keep that in mind.
 
Having said that, more testers the merrier.

Thanks - don't know what I did wrong... it worked that time.  Thanks for the Beta warning... I realize that.  It is worth taking the risk for me.  Mantis ID 27685  was killing me.  OK, maybe not killing... but causing a lot of strife with the family when the kids internet wasn't shutting down at night or during school hours.  It appears to be fixed in this release.

How does this thread get marked answered?

Bob.

So Mantis ID 27685 doesn't appear to be fixed in 9.171 (unless it only addresses UDP).  After upgrading to 9.171 I tested if firewall rules that are time based would begin to block already established connections.  That appeared to be successful.

Then, in the evening when the firewall rules are supposed to block internet access for my kids were supposed to kick in.  Nothing happened.  Nada, nil, zero, zilch.  In fact, things got worse.  Manual rules I have to block specific kids did nothing anymore.  The really SCARY part is the firewall log is logging blocked connections (while I watch my kids surf, I am watching the firewall log scroll by with line after line of red "drops").

So I rolled back to 9.106-17.2 which is a little better.  But I think I am going to have to go back to version 8.311-3.1 where the firewall actually blocked outbound connections.  Right now, it seems more like firewall "suggestions" instead of firewall rules.  This issue is NOT just with time based rules, nor just UDP.

Bob.

This is very good information. Can you tell us a little more about your setup. Probably a few screenshots of http-proxy time based rules setup and the firewall rules that are being bypassed would be great. 

If you are trying to block any traffic in progress with firewall rule that would be great too.

Thanks again for testing.

So... Basically I have 2 teenagers at home and we homeschool.  If the internet isn't blocked at night... they would stay up all night... if it isn't blocked during school, they would be distracted during school.   There is almost always web surfing or gaming going on at 21:00 when the internet is off at night and at 7:00 when school is supposed to start.  So there is always traffic going on when these rules "kick in".  I have had flakey results even just turning rules off/on - their connections don't get dropped consistently.  Sometimes for 10-15 minutes, sometimes never.

I will attach a zipped document with my settings...
Bob.

If I turn on/off either of my rules to block my kids individually (Block David), (Block Nathan) - the traffic is NOT blocked.  

I figured out their DNS requests were getting blocked, but not the web traffic.  If I turn on DNS Forwarding and provide DNS services to them internally, then they can happily surf the web - EVEN when the block rule is on.  

Very bizzarre.

So Mantis ID 27685 doesn't appear to be fixed in 9.171 (unless it only addresses UDP).  After upgrading to 9.171 I tested if firewall rules that are time based would begin to block already established connections.  That appeared to be successful.

Hi Bob,

Thanks for reporting this. Mantis ID 27685 is now fixed and tested for the new release of 9.1, 9.107. 
We will do a test for this beta version if time based packet rules work accordingly. 
In the meantime can u double check with 9.107 if your rules work properly with your setup?

Usually we set the threads as Answered, Open , bug, and so on. I will leave this one open since we are investigating it. 
Best regards,
Bianca

I tested in u2d-sys-9.170021-171002.tgz.gpg and the connections are not blocked.  The firewall log reports the connection being blocked, but in fact, it is not.  Thanks,  Bob

Just for confirmation: Are you using the proxy?

Yes, I use the proxy in transparent mode, not enforced for streaming media.