AWS Sophos UTM 9(v9.105) for Tokyo region

Hi,

I just started testing the Sophos UTM 9 on AWS (Tokyo region) with ami-6d00936c (m1.medium instance).  I have made security group to be opened for all ports and protocols and verified it working correctly with ssh to the instance.

But I can not connect to web page of the system using the port 4444.  I tested to see if the port 4444 is opened using telnet but it seems like it is not accepting the request.

I have set it up using the VPC environment and gave it EIP. Do anyone of you got it working with the image described above?

Which interface did you define for the webinterface?
Ralf

Make sure that under Management -> Webadmin settings -> Allowed networks the networks are added that need access to Webadmin.
It's not best practice to put any inthere, this would work but I think it's better to use Remote access (VPN) and put the VPN-pool in the allowed networks so that you can VPN into the UTM to manage it remotely.

@rprengel,

I created two interfaces - eth0 & eth1.  eth0 is attached to the EIP (public IP) and eth1 has internal IP address which is within the "private IP address range".

I assumed, UTM would respond to both interfaces for web-accesses.  I am using the EIP with port #4444 to access to the web-admin page.  I can't even get to the first page of the admin page.  It times out for the request.

@apijnappels,

Currently UTM installed is not responding to my web-access request (https://***.***.***.***:4444).  It times out and can't connect to the initial page.

I will make sure the webadmin page is only accessed from the internal network for better security once I can get the web-admin page.

If you really want access from EIP interface you will have to add the source (the IP you're coming from) to the Allowed networks as I mentioned above. However you'll probably only be able to do this from the inside if you don't have access now.
If you wan't to quickly enable without hassle, you can put any in, but be warned that anyone in the world would then be able to access the login page. If you have a fixed IP-address, it's better to add this IP-address (or -range) to the Allowed networks list.

Hi, cool, and welcome to the User BB!

I guess that it's the AWS firewall that's blocking you.  Make an "Open" firewall profile for your instance that lets everything in and out.

For testing/learning, a micro instance is adequate.

Cheers - Bob

I am not sure exactly when this started causing me trouble but the same basic thing happened. I have two Sophos units that I could access outside the network from my home, a UTM120 and UTM220.  Suddenly I no longer could access the UTM220.  The only changes that I had made recently was bridging two of my interfaces on the 220 to the WAN port.  Other than that they are both on 9.106-17 and no other changes were made prior to me noticing I could no longer access outside the intranet on the 220.  The UTM120 is still working fine and I made no changes. For testing I disabled IPS as well.

The only work around I found was on the UTMI create a rule to allow Specified IPs on port 4444 traffic to go to ANY destination.  The ANY DESTINATION is the key, and might hold the answer to what the problem is!  

This of course is not ideal but it is a working temporary solution.  I did try to create a new Destination definition for both the internel and external ips of the UTM, that did not work either.  The only thing that resulted in and positive change was putting ANY in the destination.  Atleast with this solution the only port you are allowing ANY to go to is 4444

Never the less just wanted to share what my work around was.  If anyone has a better solution please share!

Thank

bridging two of my interfaces on the 220 to the WAN port

allow Specified IPs on port 4444 traffic to go to ANY destination

I don't "see" what you mean by either of these statements.

Cheers - Bob

Sorry Bob.... To clarify


bridging two of my interfaces on the 220 to the WAN port
eth1 and eth2 are bridged - I made that change last week.  Not sure if it is part of what caused the issue.

allow Specified IPs on port 4444 traffic to go to ANY destination
In the Firewall I set the following rule:
Source: home_ip_address
Port: 4444
Destination: ANY  (this was the key, no other setting worked)

eth1 and eth2 are bridged

Why did you do this and are both connected to a switch that's also connected to your ISP?

Source: home_ip_address

Do you mean the public IP on the bridge?

Cheers - Bob