Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 1 subscriber
  • Views 955 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Machine names in users - HTTP Live Log

MojoQC
Hi guys,

Following multiple question on this forum, I am pleased to annouce you that we have succesfully implemented our proxy using AD SSO! And it works like a charm.

For some reasons though, I can see some strange things in my logs today (We have put our proxy in production this morning). 

See those lines : 


2010:06:29-04:45:46 monfw01 httpproxy[4061]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="HEAD" srcip="192.191.190.97" user="STA203$" statuscode="200" cached="0" profile="REF_wdKqMpbtaX (Arborite Proxy)" filteraction="REF_BusmyQzNvV (Allow All Filter)" size="0" time="233 ms" request="0xb1c9cd20" url="download.windowsupdate.com/.../muv4wuredir.cab

2010:06:29-04:45:49 monfw01 httpproxy[4061]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="CONNECT" srcip="192.191.190.97" user="STA203$" statuscode="200" cached="0" profile="REF_wdKqMpbtaX (Arborite Proxy)" filteraction="REF_BusmyQzNvV (Allow All Filter)" size="0" time="0 ms" request="0xaf6a7fc8" url="www.update.microsoft.com/.../Hardware"


If you check, you will see something strange in the username. This is actually a workstation name followed by a $... What does it mean. Personnally, my thoughs about this is that the same user is connected at multiple places (our domain admin which we are using for instance) and it only successfully logs in at one place and at the other it generates those log lines...

What do you think?

Thanks,
MojoQC


This thread was automatically locked due to age.
  • 0
    Très intreressante, mon vieux!

    Thanks, that's the first time I've seen that, but I'll guess what it is.  Check the exception for software updates from microsoft.com and windowsupdate.com, and I bet you have them listed to skip authentication.  I'm going to guess that some smart programmer at Astaro decided to do an RDNS lookup on the IP when in AD-SSO mode and authentication is skipped.

    Very cool that he or she did that, and very cool that you found it!

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    Très intreressante, mon vieux!

    Thanks, that's the first time I've seen that, but I'll guess what it is.  Check the exception for software updates from microsoft.com and windowsupdate.com, and I bet you have them listed to skip authentication.  I'm going to guess that some smart programmer at Astaro decided to do an RDNS lookup on the IP when in AD-SSO mode and authentication is skipped.

    Very cool that he or she did that, and very cool that you found it!

    Cheers - Bob
    Yes, that is correct. Thanks for the answer. But again, since I wasn't the guy who configured this part of the Astaro, what is the point to skipping authentication for certain websites?

    Thanks,
    MojoQC
  • 0
    Those sites are really picky, and won't work with the proxy without the exception.

    In the German forum, gkemter wanted to be able to prevent software updates from those sites from hogging the bandwidth.  Since there's no way to use QoS to prefer specific traffic going through the proxy, Christianlouis suggested that the update traffic be removed from the proxy (GPO, Proxy Auto Config file or 'Transparent mode skiplist), and an upper limit put on the unproxied traffic with those sites.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA