Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 1 reply
  • Subscribers 2 subscribers
  • Views 2955 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Probleme mit Firewallregeln auf kurzlebigen DNS FQDN

LH-User

Hallo,

ich habe eine 9.407-3 auf der eine Firewallregel den Zugriff auf Port 4172 zu Amazon WorkSpace erlauben soll.

Die u.a. FQDN sind in der Regel eingetragen. Problem ist, dass die FQDN TTL sehr kurzlebig sind. Teilweise weniger als 60 Sekunden. Die IP Adressen hinter den FQDN wechseln sehr schnell. Frage ich die IP eines der FQDNs nach 2 Minuten erneut ab, ist sie eine andere. Das führt dazu, dass die Regel in der Praxis mal funktioniert, mal nicht.

Kann man irgendwas an der UTM einstellen, um diese Probleme in den Griff zu bekommen? Bspw für diese URL das Caching von DNS Einträgen verhindern oder zu verkürzen? Wobei ich hier deutliche Performanceprobleme befürchte.

Die IP's wechseln vermutlich auch, so dass man kaum IP-Adressbasierte Tegeln eintragen kann.

 

http://docs.aws.amazon.com/workspaces/latest/adminguide/whitelisted_ports.html

 

  • drp-iad.amazonworkspaces.com

  • drp-pdx.amazonworkspaces.com

  • drp-dub.amazonworkspaces.com

  • drp-fra.amazonworkspaces.com

  • drp-sin.amazonworkspaces.com

  • drp-syd.amazonworkspaces.com

  • drp-nrt.amazonworkspaces.com



This thread was automatically locked due to age.
Parents
  • 0

    Leider werden inzwischen auch die DNS-Groups der Sophos durch loadbalancer ausgetrickst, die genau sowas verhindern sollten.

    Ich behelfe mir doch so, dass ich mit nslookup und wohis versuche, feste Adressbereiche rauszufinden. Für ausgehende Verbindungen zu den grossen Cloudbetreibern sehe ich das als akzeptablen Kompromiss. Ist natürlich keine 100%-Lösung aber erleichtert den Supportaufwand enorm

Reply
  • 0

    Leider werden inzwischen auch die DNS-Groups der Sophos durch loadbalancer ausgetrickst, die genau sowas verhindern sollten.

    Ich behelfe mir doch so, dass ich mit nslookup und wohis versuche, feste Adressbereiche rauszufinden. Für ausgehende Verbindungen zu den grossen Cloudbetreibern sehe ich das als akzeptablen Kompromiss. Ist natürlich keine 100%-Lösung aber erleichtert den Supportaufwand enorm

Children
No Data