Filter access on vpn ssl connection

Are you trying to limit all users of the SSL VPN, or just one particular person?

Do you already have User1, User2 and User3 in different Active Directory groups?  If so, then you can authenticate them into different backend user groups in the Astaro.

List your existing packet rules.  You may have one that allows the traffic before the one that would block it.

Cheers - Bob

Hello,

Are you trying to limit all users of the SSL VPN, or just one particular person?

I'm trying to limit one user not all.

Do you already have User1, User2 and User3 in different Active Directory groups? If so, then you can authenticate them into different backend user groups in the Astaro.

I have only one group for this user and one backend group, but if necessary it's possible to create some group and/or backend groups.

List your existing packet rules. You may have one that allows the traffic before the one that would block it.

sorry, is it not possible at this time, but i don't have any packet rules for the vpn subnet.

I have packet rules for lan1 and other private network to wan1 and wan1 to lan1.
I think i have policy routing for smtp traffic only on wan1.


My topology :

1ISP router -- smtp traffic ----|

                                 --Astaro 2 wan---lan1---router---other lan...

2ISP router --vpn ssl traffic --|

You were very close.

I don't know if it should work with remote authentication of the user, but if you only have the one user, change that user to local authentication, then put your blocking packet filter rule first, at the top of the list.

Source: 'A-user (Network)'
Service: Any
Destination: Lan2
Action: Drop

Good luck - Bob

ah ok but it's not possible.
At this time this solution is on test mode.

If this entering in production mode i would have approximatly 100 users. it's not possible to create and manage many users on AD and on local.

OK, now we're learning that there's more to the story!

It might work to create different users groups based on 'Backend membership' in 'Active Directory' with 'limit to backend group(s) membership'.  Substitute that group for A-user in the above.  I haven't tried that.  Perhaps someone else here has.

Of cousre, that will apply to the group members no matter where they login from.  If you want different behavior from inside the network, then you'll need filter rules to explicitly alolow that traffic before the block rule.

Maybe there's a better solution if you could help us understand what traffic you want to control.  The HTTP Proxy solves this problem very elegantly.

Cheers - Bob

Ok tis so good.

i have just uncheck "Automatic packet filter rules"


thank's for your answer

You're welcome for whatever help I was able to provide.  As I said, I was making suggestions based on my understanding, not my experience, so I'm guessing that you used a little of my thoughts but had to do other things to accomplish what you wanted.  Could you tell us what you are doing that works?

Thanks - Bob

yes of course,

1) I have activate Active directory authentication in User/Authentication/ Active directory and i bind it with AD user with no right and no DN base

2) I have added some AD groups in Users/group/add new group :
- backend membership
- Active directory
- check box limit to backend group membership

3) In remote access i have added some object has AD groups and all networks are routing with the astaro needed for my users and be shure uncheck the box in /remote acces/ssl/advenced " Automatic packet filter rules "

4) In /network security/packet filter i have create one rule with IP SSL vpn pool services all destination all > Deny
and u have create some rules with:
My AD groups, specific services, specific destination on my primary network and or other network routed by my astaro.

------------------------------------------------

My problem was : i haven't see the specific check box "Automatic packet filter rules" if this are checked astaro create automatic rules and it's overwrite all rules define on packet filter.
If you uncheck this checkbox you need to create some rules in packet filter for accept or deny traffic ^^

------------------------------------------------

Thank's for your help.

There is one problem :

I can't see how many users are connected [:(]
Online users stay at 0, i have see in the forum that is a bug with a version 7.302 it's very not funny ...

i'm waiting an update to fix this, it's very important to know who is connected


bye ++

Thank you, lester.  I thought it would work like that.

The main page for 'Remote Access' lists active connections by name and IP.  If you want to see who was connected in the past, look in the logs for the file and date you want then search on 'name =' or on the name of the specific person you're interested in tracking.

Cheers - Bob