Thread Info
  • State Suggested Answer
  • Locked Locked
  • Replies 13 replies
  • Answers 1 answer
  • Subscribers 6 subscribers
  • Views 6946 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

WebProtection -> BUG? -> VLAN / LAN Zugriff untereinander möglich zu unterbinden?

nd

Hallo zusammen,

 

ich habe hier privat eine Sophos UTM im Einsatz.

Folgende Netzwerke sind definiert / vorhanden:

- external (WAN; eth0)

- internal (eigenes LAN; eth4; 172.16.0.0/16)

- guest (Test / Guest LAN; eth1; 192.168.69.0/24)

- guest-wlan1 (Gäste WLAN; wlan1 (separate zone); 192.168.88.0/24)

- guest-wlan2 (Gäste WLAN mit Captive-Portal, offen / nicht verschluesselt; wlan2 (separate zone); 192.168.89.0/24)

- mgmt (only Management, falls mal was schief geht und ich aus dem internal nicht mehr auf die UTM kommen sollte; eth3)

 

Fuer internal, guest, guest-wlan1, guest-wlan2 ist die WebProtection aktiviert, jedes Netzwerk hat sein eigenes Profil mit eigenen Policies.

 

Jetzt ist es ab diesem Punkt aber moeglich, dass die Netzwerke indirekt miteinander sprechen koennen, d.h. ich kann z.B. aus dem "guest" via Port 80,443,53 auf IP Adressen aus dem "Internal" zugreifen, das ist insofern problematisch, da keiner aus den Gaestenetzen z.B. auf die zwei managebaren Switche zugreifen koennen soll (wozu auch?) oder z.B. auf den "Test-Server", den ich fuer die Arbeit und private Tests am laufen habe.

 

Ich habe nun den Zugriff auf die Switche insofern unterbunden, indem ich die einzelnen IPs als "geblockt" in die Policies hinterlegt habe.

 

Gibt es hier eine "sauberere" und einfachere Methode, um den Zugriff auf das komplette Subnetz / Netzwerk zu unterbinden, anstatt jede IP einzeln in die jeweiligen Policies zu pruegeln?

Manuell erstellte Firewall-Regeln greifen hier nicht, da die WebProtection diese wohl aushebelt.

 

Ich vermute, dass das hier kein "Feature" ist, sondern ein Bug / Fehler!?

 

Vielen Dank vorab und Gruesse!

Andy.



This thread was automatically locked due to age.
Parents
  • 0

    Hallo Andy,

    das ist normal und war schon immer so.

    Arbeitest du im Transparenzmodus?
    Wenn ja, dann einfach unter Filteroptionen -> Sonstiges die entsprechenden Subnetze als Zielnetze ausnehmen und den HTTP-Verkehr nicht zulassen.
    In dem Fall greift dann wieder das Firewallregelwerk.

    Grüße
    Sebastian

  • 0 in reply to SebastianMeeseAW

    Danke nochmal!

    Also das funktioniert so wie von dir beschrieben.

     

    Was mich momentan noch interessieren wuerde:

    Warum ist das "normal" und welchen Sinn ergibt das, dass die Netze hier mit den oben genannten Ports sprechen koennen? Hier gruebel ich grad ein wenig. Ja, ich bin noch recht am Anfang, was "Netzwerk-Skills" angeht - vielleicht erschliesst sich mir das deshalb nicht... ;)

     

    Die Netze, welche ich unter "Skip Transparent Mode Destination Hosts/Nets" eintrage sind aber weiterhin durch WebProtection geschuetzt? Ich surfe initial ja nach Aussen hin...

    Das betrifft ja nur den Traffic, der speziell und initial an dieses Netz adressiert ist und hier sollte soweit eh nichts von Haus aus durchkommen, da die Anfragerichtung von Aussen und den anderen Netzen aus auf das "Internal" durch die Firewall-Regelung ja komplett geblockt ist!?

     

    Danke nochmal und sorry fuer die vielleicht duemmlichen Fragen. :)

  • 0 in reply to nd

    Das ist ein technisches Problem. Da die Firewall/Paketfilter nichts zu sagen haben, wenn der Webproxy sich um Traffic kümmert, kann man hier auch nichts blocken.

    Für ein Paket, welches vom Gäste-Netz kommt und den Proxy verwendet, ist eine "Interne-IP" durchaus ein legitimes Ziel (Destination). (warum auch nicht)

    Trägt man dieses Netz in die Destination-skiplist ein, so wird der Proxy hier nicht aktiv und damit das Firewall Regelwerk wieder relevant.

    Das bedeutet nicht, daß Traffic aus dem internen Netz kommend (source) auch ignoriert wird. Da ist der proxy/Webprotection weiterhin aktiv.

Reply
  • 0 in reply to nd

    Das ist ein technisches Problem. Da die Firewall/Paketfilter nichts zu sagen haben, wenn der Webproxy sich um Traffic kümmert, kann man hier auch nichts blocken.

    Für ein Paket, welches vom Gäste-Netz kommt und den Proxy verwendet, ist eine "Interne-IP" durchaus ein legitimes Ziel (Destination). (warum auch nicht)

    Trägt man dieses Netz in die Destination-skiplist ein, so wird der Proxy hier nicht aktiv und damit das Firewall Regelwerk wieder relevant.

    Das bedeutet nicht, daß Traffic aus dem internen Netz kommend (source) auch ignoriert wird. Da ist der proxy/Webprotection weiterhin aktiv.

Children
No Data