Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 62 replies
  • Subscribers 2 subscribers
  • Views 135498 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Despite Masquerading Internal Addresses Appear On WAN-Interface

Xavier2
Hi,

my Astaro (9.106-17) is placed on it's WAN-Interface behind another router.
The Astaro is the only device behind the other router and there's just one link
between them.

On the Astaro for all internal networks masquerading is switch on by rules like
'Internal network XX' to WAN-Interface.

Everything worked unsuspicious and quite well until yesterday.

On the external router I switched on a feature called Backroute Verify on the interface to the Astaro.. This means that incoming data packets are only accepted over this interface if outgoing response packets are routed over the same interface.

The subnet between the external router and the Astaro is 10.15.95.0/24.
Astaro has 10.15.95.10. the other has 10.15.95.20
Therefore the external router drops all packets not coming from an address within that subnet. This should be no problem since masquerading is turned on.


The other router logs dropped packets. 
In the logs I can see a lot of of dropped packets from source addresses
behind the Astaro.

How can this happen with masquerading turned on?

It seems like the Astaro doesn' substitute the source address with it's own WAN address.

Surfing, Mailing everything seems to work from inside the Astaros's internal LANs.

But some TCP messages [RST or FIN,ACK odr RST,ACK] go trough. TCP Seq is always '1'.
Only these types of packets. No TCP payload packets and also no UDP.


I can see the with Wireshark too.

I've no clue.
What can I check?

Best regards
Xavier


-----------------------------

Sorry, by posting this messages there appear also some payload packets with internal addresses on the WAN Interface.


This thread was automatically locked due to age.
Parents
  • 0
    Hi Barry, i'm a little confused. I thought you were able to reproduce the Problem? For the http/https connections could you explain why the firewall drops the connection whilst the Server seems to have not closed it yet and especially why these packets don't get masked then? is this a normal behaviour or  shouldn't these also be masked or at least dropped? Would you agree this is a security issue?

    We have a couple proxy systems behind the firewall so there are http/https connections.
  • 0 in reply to T-Roc_01
    Hi,
    I got an answer from the sophos support.

    Here is the answer:

    I looked at the dumps again and I can't see any umasked packets leaving the firewall.
    As the customer allready mentioned the problem only exists with a router (avm fritzbox in my case) installed in front of the utm, so I guess it is not a mistake in the config nor in the utm.
    the customer could for example install a different router and monitor the traffic.
    the description from the customer indicates that the problem arises from the router.
    -------------------------------------------------------------------------------------

    Well, I never said that the problem arises from the router so I guess there won't be any more information or effort from sophos in this case. Nevertheless I wrote back that xavier2 ist using a cisco router and the technician from sophos contradicts itself. In the first answer he wrote that the packets are sent out unmasked and now there are no packets sent out at all.

    Sorry, I tried.
    I will of course tell you if there will be any more information from sophos.
Reply
  • 0 in reply to T-Roc_01
    Hi,
    I got an answer from the sophos support.

    Here is the answer:

    I looked at the dumps again and I can't see any umasked packets leaving the firewall.
    As the customer allready mentioned the problem only exists with a router (avm fritzbox in my case) installed in front of the utm, so I guess it is not a mistake in the config nor in the utm.
    the customer could for example install a different router and monitor the traffic.
    the description from the customer indicates that the problem arises from the router.
    -------------------------------------------------------------------------------------

    Well, I never said that the problem arises from the router so I guess there won't be any more information or effort from sophos in this case. Nevertheless I wrote back that xavier2 ist using a cisco router and the technician from sophos contradicts itself. In the first answer he wrote that the packets are sent out unmasked and now there are no packets sent out at all.

    Sorry, I tried.
    I will of course tell you if there will be any more information from sophos.
Children
Cookie Information Banner