Guest User!

You are not Sophos Staff.

[9.185][BUG] Many Suspicious TCP state log entry's

I've configured for android phones a Proxy Profile with transparent scanning and no HTTPS Scan. My firewall log shows many Suspicious TCP state entry's. See following extract:
Same result if I use Lync client on my notebook with same scan Settings.
 

17:44:40 Suspicious TCP state TCP 
192.168.24.69 : 40437
→ 
173.194.70.188 : 5228
 
[ACK PSH] len=145 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:50 Suspicious TCP state TCP 
192.168.24.69 : 37988
→ 
173.252.79.23 : 443
 
[ACK PSH] len=245 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:52 Suspicious TCP state TCP 
192.168.24.69 : 43438
→ 
173.194.112.67 : 443
 
[ACK] len=52 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:52 Suspicious TCP state TCP 
192.168.24.69 : 42822
→ 
173.194.112.67 : 443
 
[ACK] len=52 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:52 Suspicious TCP state TCP 
192.168.24.69 : 43438
→ 
173.194.112.67 : 443
 
[ACK] len=64 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:52 Suspicious TCP state TCP 
192.168.24.69 : 42822
→ 
173.194.112.67 : 443
 
[ACK] len=64 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:52 Suspicious TCP state TCP 
192.168.24.69 : 43438
→ 
173.194.112.67 : 443
 
[ACK] len=64 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:53 Suspicious TCP state TCP 
192.168.24.69 : 40321
→ 
173.252.79.23 : 443
 
[ACK PSH] len=245 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:54 Suspicious TCP state TCP 
192.168.24.69 : 37988
→ 
173.252.79.23 : 443
 
[RST] len=40 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b
17:44:54 Suspicious TCP state TCP 
192.168.24.69 : 37988
→ 
173.252.79.23 : 443
 
[RST] len=40 ttl=63 tos=0x00 srcmac=1c:7b:21:9d:7c:53 dstmac=0:15:5d:18:3:1b

 
The lync client disconnects the connection often if I use non https scanning. With "URL Filtering only", the client seems to work without disconnections. 
 
regards
mod
Parents
  • Hi mod2402, 

    I am the assigned person to look into this issue. I would like to reproduce your scenario.
    Could you please help me on the same. Does your setup and observation includes below ones?
    1. No HTTPS scan 
    2. Use Strict TCP session handling
    3. Are log messages are only for(HTTPS -- > port 443) ?
    4. Connection  disconnects only for HTTPS?
Reply
  • Hi mod2402, 

    I am the assigned person to look into this issue. I would like to reproduce your scenario.
    Could you please help me on the same. Does your setup and observation includes below ones?
    1. No HTTPS scan 
    2. Use Strict TCP session handling
    3. Are log messages are only for(HTTPS -- > port 443) ?
    4. Connection  disconnects only for HTTPS?
Children
No Data