This discussion has been locked.

You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Nicht vorhandene Regeln werden angewandt

Mocho1989 over 3 years ago

Hallo zusammen,

Ich habe heut was ganz spezielles für euch

Dieses Problem hatte ich noch nie und kann es mir einfach nicht erklären.

Wir haben eine Sophos SG 135 HA-Cluster bei einem Kunden. Seit ca 3 Monaten können die Clients keine Windows Updates mehr ziehen.

Die Firewall ist per IPsec an eine weitere SG angebunden (Haupt Standort).

Ich hab etwas geforscht und überprüft. Nun kommt das komische verhalten. Es werden Firewall-rules angewandt, welche gar nicht existieren (ebenfalls NAT-Rules).

Z.B. Tauchen plötzlich Proxy anfragen am Haupt-Standort von einem Client auf (port 8080), aber es ergab keinen Sinn. Proxy ist am Client keiner eingerichtet (weder Wpad noch per regestry oder ähnliches).

Eine Entsprechende NAT-Rule existiert ebenfalls nicht auf der SG 135.

Ich habe nun testweise folgende D-NAT erstellt:

(NAT-Rule-2)

SG135-Netzwerk->Dienst-8080->Hauptstandort-Interface zu Ziel: -> SG135-Interface.

Plötzlich tauch im Log ein entsprechender Eintrag auf wie folgt:

SG-135-Netzwerk->Dienst-8080->Internet zu Ziel: -> Hauptstandort-Interface.

Diese Regel existiert jedoch gar nicht (oder gar nicht mehr? Habe die FW so übernommen).

Weiteres Phänomen es erscheint im Log:

Automatisch erzeugt Regel #7 TCP SG135-Netzwerk:Port XY -> Hauptstandort-Netzwerk:Port XY; Allerdings ist dies eigentlich die Automatische Firewall Regel 12 ?!

Weiter geht's:

Das Netzwerk aus dem Proxy rausgenommen, aber im log tauchen die anfragen weiter auf.

Und dieser startet ständig neu:

2021:08:06-11:22:09 Sulzberg-2 httpproxy[6637]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_reload_func" file="confd-client.c" line="594" message="reloading config"

2021:08:06-11:22:09 Sulzberg-1 httpproxy[5938]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="parse_address" file="util.c" line="540" message="getaddrinfo: passthrough6.fw-notify.net: Name or service not known"

2021:08:06-11:22:09 Sulzberg-1 httpproxy[5938]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_filter" file="confd-client.c" line="3882" message="failed to resolve passthrough6.fw-notify.net, using 2a01:198:200:680::8080"

Ich bin wirklich am verzweifeln, da mir dieses verhalten NICHT in mein logisch denkenden Kopf reingeht....Ich arbeite bereits seit 10 Jahren mit der Astaro/Sophos SG, aber dieses verhalten ist mir neu...

Auch ein Slave/Master Schwenk brachte nichts und auch das Update auf die 9.707-5 brachte keinen Erfolg......

Windows updates laufen weiterhin nicht, nicht mal mit einer FW-Regeln Any->Internet und (Für das NW)ausgeschalteten Proxy

Vielen Dank für eure Unterstützung,

Mocho

This thread was automatically locked due to age.

Parents

0 Jonas92 over 3 years ago

So, du weißt wie du automatisch vom system gesetzte FW Regeln anzeigen lassen kannst?:

Zurück zum Webfilter:

Fehler: failed to resolve passthrough6.fw-notify.net

Du/ihr habt wahrscheinlich einen internen Windows DNS-Server, hier musst du noch einen statischen DNS Eintrag setzen:

Ansonsten musst du dann auch noch im Webfilter Ausnahmen für das Quellnetzwerk als auch für das Zielnetzwerk setzen, damit jene nicht gewünschte Netzwerke ausgeschlossen werden.

Gruß, Jonas
Cancel
Vote Up 0 Vote Down

Cancel
0 Mocho1989 over 3 years ago in reply to Jonas92

Hi Jonas,

Ja, das ist mir klar, aber wie gesagt, die regeln stimmen nicht überein. Oder existieren erst gar nicht.

Dein Screenshot bezieht sich auf das Enduserportal, mit welchen wir keine Probleme haben. Wir betreiben den Proxy auch vorerst nur mit URL-Filtering, also kein Webproxy Zertifikat.

Zum Webfilter:

Wir haben keinen internen Windows DNS-Server. Wir haben ein Forwarding für die Domain zum DC am Hauptstandort.

Bzgl. der Ausnahme: Was meinst du genau mit Ausnahme im Webfilter?

Wir haben entsprechende Exceptions für die Windows Server erstellt. Es läuft auch "angeblich" alles durch laut dem Web Proxy (wenn er gerade nicht ständig Neustart).

Grüße,

Mocho
Cancel
Vote Up 0 Vote Down

Cancel
0 Jonas92 over 3 years ago in reply to Mocho1989

dann nimm den Client mal raus als Netzwerkausnahme unter erweitert bei beiden webfiltern (beide fws), dann schritt für Schritt weiterarbeiten damit wir erstmal einen Stand haben, welcher Webfilter sich den client greift.
Cancel
Vote Up 0 Vote Down

Cancel
0 Mocho1989 over 3 years ago in reply to Jonas92

Bereits erledigt, der Client landet dennoch in der policy. Als ob er nicht in der Ausnahme wäre...
Cancel
Vote Up 0 Vote Down

Cancel
0 Jonas92 over 3 years ago in reply to Mocho1989

bitte einmal ein Screenshot von Transparenzmodus-Ausnahmen machen, da wo der Client drin ist als Ausnahme.

Dann, nutzt ihr "nur" den Webfilter oder auch Webfilterprofile?
Cancel
Vote Up 0 Vote Down

Cancel
0 Mocho1989 over 3 years ago in reply to Jonas92

Wir nutzen nur den Webfilter
Cancel
Vote Up 0 Vote Down

Cancel
0 Jonas92 over 3 years ago in reply to Mocho1989

Mach mal den Haken weg bei --> HTTP-Verkehr für aufgeführte Hosts/Netze zulassen ;-)
Cancel
Vote Up 0 Vote Down

Cancel
0 Mocho1989 over 3 years ago in reply to Jonas92

Keine änderung
Cancel
Vote Up 0 Vote Down

Cancel
0 Jonas92 over 3 years ago in reply to Mocho1989

Damit sollte ein surfen (über den webfilter) nicht möglich sein, erst wenn du dem client eine fw regel für http/https -> Internet zuweist, sollte er surfen können. Wie ist hier der Stand?
Cancel
Vote Up 0 Vote Down

Cancel
0 Mocho1989 over 3 years ago in reply to Jonas92

Wie gesagt, das verhalten bleibt (logs in der web-protection, surfen ohne einer http/s regel, etc.) . Und Microsoft Updates gehen weiterhin nicht
Cancel
Vote Up 0 Vote Down

Cancel
0 Jonas92 over 3 years ago in reply to Mocho1989

also der client ist in der Zweigstelle und es füllen sich die logs der webprotection der fw in der Zweigstelle, korrekt?
Cancel
Vote Up 0 Vote Down

Cancel
0 Mocho1989 over 3 years ago in reply to Jonas92

Ja genau so ist es.
Cancel
Vote Up 0 Vote Down

Cancel

Reply

0 Mocho1989 over 3 years ago in reply to Jonas92

Ja genau so ist es.
Cancel
Vote Up 0 Vote Down

Cancel

Children

0 Jonas92 over 3 years ago in reply to Mocho1989

okay, dann testweise mal alle webfilterprofile löschen und den webfilter (Zugelassene Netzwerke) auf das interne netzwerk und testweise auf ein anderes fremdes internes netzwerk legen. Springt der client dann immer noch an in beiden fällen im Richtlinientest?
Cancel
Vote Up 0 Vote Down

Cancel