Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 4 subscribers
  • Views 889 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Port 443 eingehend härten (wegen on-premises exchange) und Smartphones

peter meyer

Hallo, 

Frage1:  hätte jemand eine Idee ob man a) realisieren kann?

Frage2:  wenn Sophos WAF eingerichtet werden, wie würden die Smartphones dann mobil Email empfangen?

Frage3:  das man die "IP-Ranges" von T-Mobile Deutschland oder Vodafone kaufen kann ist un-wahrscheinlich oder? 

a)

Kann man erreichen das eingehend via Port 443 zum lokalen eigenen Exchange Server nur T-Mobile "erlaubt" sind?
Ziel: Härtung der 443 Verbindungen, Sophos WAF noch nicht vorhanden.

Grund: es werden nur T-Mobile-Smartphones mit Exchange-Email App verwendet (exchange 2013 vorhanden)
Die Smartphones haben anhand von www.wieistmeineip.de ja immer eine IP aus der Funkzelle mit 1000 anderen im gleichen Bereich. 
Der Endung vom rDNS: *.d1-online.com jedoch ist  m.W. nach immer gleich.

Outlook Anywhere nicht vorhanden.

Probleme:  man kann die öffentlichen IPs von T-Mobile scheinbar nicht so leicht öffentlich errmitteln, wäre ja egal wenn die Sophos Box den o.g. rDNS im FROM "resolven" könnte.

Bei Watchgard geht das m.A. nach nicht: (weil bei FROM kein rDNS bzw. Resolve durchgeführt wird.

https://www.watchguard.com/help/docs/help-center/en-US/Content/en-US/Fireware/policies/fqdn_about_c.html

Only A and CNAME records are used. Any other records are ignored

 

b)

WAF Anleitungen meines Wissens nach:  

https://www.frankysweb.de/exchange-2013-sophos-utm-9-3-waf-als-reverse-proxy-fr-outlook-anywhere-owa-activesync-und-autodiscover/

https://networkguy.de/secure-exchange-webservices-with-sophos-utm-waf/



This thread was automatically locked due to age.
Parents
  • 0

    Hallo,

    jede WAF Rule ist besser als DNAT.

    Die vorhandenen WAF-Policies bringen schon einiges und im Log sieht man, was alles geblockt wird.

    Ich verwende häufig Country-Blocking. Beschränkt man die Zugriffe auf Deutschland + angrenzende Länder, sind schon 95% der Welt ausgesperrt.

    Nicht vergessen: Ausnahmen für eingehende Mails ... die kommen heute ja von überall, auch wenn vom Nachbar gesendet.

    Die T-Com IP-Blöcke sollten herauszubekommen sein. Wenn man eine IP hat, bekommt man mit eine Suchmaschiene bei "whois xx.yy.zz.ss" auch die zugehörigen Netzblöcke.

    Zu den Anleitungen kann ich nichts sagen...

Reply
  • 0

    Hallo,

    jede WAF Rule ist besser als DNAT.

    Die vorhandenen WAF-Policies bringen schon einiges und im Log sieht man, was alles geblockt wird.

    Ich verwende häufig Country-Blocking. Beschränkt man die Zugriffe auf Deutschland + angrenzende Länder, sind schon 95% der Welt ausgesperrt.

    Nicht vergessen: Ausnahmen für eingehende Mails ... die kommen heute ja von überall, auch wenn vom Nachbar gesendet.

    Die T-Com IP-Blöcke sollten herauszubekommen sein. Wenn man eine IP hat, bekommt man mit eine Suchmaschiene bei "whois xx.yy.zz.ss" auch die zugehörigen Netzblöcke.

    Zu den Anleitungen kann ich nichts sagen...

Children