Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 11 replies
  • Subscribers 0 subscribers
  • Views 9131 views
  • Users 0 members are here
Options
Suggested

[9.306-6] Issues with Exchange ActiveSync and WAF

FrancWest
Hi,

I already posted this in the webserver protection forum, but perhaps this Beta forum is a better place.

This week I migrated from TMG to Sophos UTM for publishing our Exchange servers using passthrough authentication on the UTM. Since then users with mobile devices are complaining that they get random password prompts when the device wants to sync. After entering the correct password, it works for some time until they receive the password prompt again some time later.


It's not happening for all users, but random for some.


when the issue occurs, the WAF logs report the following:


2015:01:29-09:11:29 firewall-1 reverseproxy: [Thu Jan 29 09:11:29.269404 2015] [proxy_http:error] [pid 30725:tid 3987327856] (70007)The timeout specified has expired: [client :53509] AH01102: error reading status line from remote server :443
2015:01:29-09:11:29 firewall-1 reverseproxy: [Thu Jan 29 09:11:29.269438 2015] [proxy:error] [pid 30725:tid 3987327856] [client :53509] AH00898: Error reading from remote server returned by /Microsoft-Server-ActiveSync
2015:01:29-09:11:29 firewall-1 reverseproxy: id="0299" srcip="" localip="" size="434" user="" host="" method="POST" statuscode="502" reason="-" extra="-" exceptions="SkipURLHardening, SkipFormHardening, SkipThreatsFilter_XssAttacks" time="300130669" url="/Microsoft-Server-ActiveSync" server="" referer="-"


When disabling the WAF virtual servers and switching back to the DNAT rule which points to our TMG server, the issues are gone. So it looks like it's not a problem with our Exchange servers but with WAF.


Any idea what might cause this?
Parents
  • 0
    Yes, I'm using basic authentication profile (with the default settings). There are no authentication errors in the log, so I suspect the issue is with WAF.

    I've reproduced it with two environments. One lab environment with the following:

    exchange services (OWA, ActiveSync, Autodiscover). All published using one firewall profile and one virtual server and one real server. I've 2 sitepath rules. Forms authentication for '/' and for '/owa'. Basic Authentication for /Autodiscover and /Microsoft-Server-ActiveSync.

    And a production environment with 3 virtual servers for Mapi/Http + OAB + EWS, Autodiscover and OWA + Activesync. The first two are configured with a Basic Authentication profile and the last one with 2 sitepath rules for activesync (basic) and owa (forms). This setup is experiencing the exact same behaviour as my lab. Regular password prompts on the mobile devices and the same errors in the logs.

    In both setups, the firewall profile is only configured for Static URL Hardening, no other security features were enabled yet (to keep it simple for troubleshooting). As the docs state I've also created the needed exceptions for the static URLs.
Reply
  • 0
    Yes, I'm using basic authentication profile (with the default settings). There are no authentication errors in the log, so I suspect the issue is with WAF.

    I've reproduced it with two environments. One lab environment with the following:

    exchange services (OWA, ActiveSync, Autodiscover). All published using one firewall profile and one virtual server and one real server. I've 2 sitepath rules. Forms authentication for '/' and for '/owa'. Basic Authentication for /Autodiscover and /Microsoft-Server-ActiveSync.

    And a production environment with 3 virtual servers for Mapi/Http + OAB + EWS, Autodiscover and OWA + Activesync. The first two are configured with a Basic Authentication profile and the last one with 2 sitepath rules for activesync (basic) and owa (forms). This setup is experiencing the exact same behaviour as my lab. Regular password prompts on the mobile devices and the same errors in the logs.

    In both setups, the firewall profile is only configured for Static URL Hardening, no other security features were enabled yet (to keep it simple for troubleshooting). As the docs state I've also created the needed exceptions for the static URLs.
Children
No Data
Unfiltered HTML