Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 26 replies
  • Subscribers 2 subscribers
  • Views 12799 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DMZ Hosts can connect to the internal hosts?

jimmyone
Hi all,

how can it be that my DMZ hosts can connect to the Internal Network?

There is no NAT Rule defined for that.
When i try a ping or a telnet to a machine in the internal Network, its successful.

Whats the problem here?
I have looked into the NAT and Packetfilter Rules, there is no visible problem.

Do you have any ideas?

Thenak...

Greetz
Tom


This thread was automatically locked due to age.
  • 0 in reply to BAlfson
    That make sense and that'y I've blocked on the HTTPS DMZ proxy filter the \192.168.2.31 which is the specific hosts but the traffic still goes through.
    I can try to change the DMZ proxy profile to Standard if that will make a change
  • 0 in reply to wingman
    I guess that would just change from 80 to 8080, but I haven't tried it, so if you do try it, please post your results here.

    Have you tried putting \198.162.2 into 'Always block'?
  • 0 in reply to BAlfson
    Bob, is there a way to have the proxy not listen at all on the DMZ interface?

    Barry
  • 0 in reply to BarryG
    I think it listens to everything.
  • 0 in reply to BarryG
    Wingman, if everything fails and you just want to block something. Just blackhole it via dnat. Dnat is always applied before everything. 

    Here is how to dnat(screenshot attached)
    Create a host that doesn't exist in the IP range of dmz
    Create a rule dnat 
    Source: Host that you want to block (I am blocking the whole dmz network)
    Traffic service: service that you want to block (ping in this case)
    destination: LAN (important if you only want to block lan, put any and block all)
    NAT mode DNAT
    Destination: Host that doesn't exist

    You can block anything this way.

    Bob, is there a way to have the proxy not listen at all on the DMZ interface?

    You have to explicitly allow dmz to use proxy like any other proxy on astaro otherwise its denied by default.

    P.S Also in my opinion, the block ping /traceroute  in the ICMP section of the packet filter should take care of icmp and traceroute and should block as advertised but it doesn't. ICMP is only blocked to the firewall and all the other buttons are just taking space doing nothing. Someone wants to submit a bug since its still non functional in 7.5beta... Maybe I will go and mention that
  • 0 in reply to Billybob
    I am trying to understand the reason behind this issue as I still believe it's a bug related issue.

    I 've now created a specific DMZ filter proxy where I block everything by default. PF has no rules associated to port 80,8080,3128 and DMZ Zone. 

    I've tried to telnet and I got the result below: 

    2009:06:14-10:04:16 Astaro httpproxy[16603]: id="0002" severity="info" sys="SecureWeb" sub="http" name="web request blocked" action="block" method="" srcip="172.16.1.2" user="" statuscode="400" cached="0" profile="REF_SMhzaanRSw (DMZ Internet Filter)" filteraction=" ()" size="2117" time="344 ms" request="0xb2363f00" url="" exceptions="" error="Received invalid request from client"


    Astaro HTTPS log can see the traffic and is blocked, However telneting from DMZ zone to port 80 is still permitted.