Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 1 subscriber
  • Views 3818 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

[8.000][QUESTION] Web Application Firewall with OWA and iPhone ActiveSync

MarCow
Hi,

I have Exchange 2007 running under VMWare, and up until ASG 8.0 had DNAT set up to route incoming HTTPS on port 443 to this VM.  After upgrading to ASG 8.000 a few days ago, this setup continued to work as you'd expect, but I decided to use Web Application Security instead.  I've set up the necessary  real web server, fronted by a virtual web server using advanced protection (and with the original DNAT entry turned off).  Initially I got a 403 error when accessing externally via Internet Explorer, until I switched my URL in IE to use the same FQDN as the ASG hostname, at which point everything started working.  It's been working well for the last 24 hours, until maybe 3 hours ago.

This morning, I found I was suddenly unable to access OWA via IE through the ASG from outside my network.  IE reports an "HTTP 403 Forbidden", with the actual message being "You don't have permission to access /owa on this server.".  What I don't understand was that this was working fine earlier today, and I didn't change anything related to this WAF (which I've confirmed by reviewing my change log under the Management menu).  I've tried restarting the Web App Security, and have even rebooted the ASG, but I still can't access OWA.  In the meantime, I'm still able to access my Exchange server via ActiveSync on my iPhone just fine, so the problem appears to be specific to OWA. 

Any suggestions on what I did wrong?  I could just revert to my original DNAT approach with WAF disabled, but I'd like to use WAF if I can.  What's puzzling me the most is that OWA access stopped working for no clear reason, while iPhone ActiveSync continued to work without an issue.

Thanks in advance,
Martin.


This thread was automatically locked due to age.
Parents
  • 0
    The quick and easy way (without WAF) is to simply set up a DNAT rule to translate traffic from source "Any", service "HTTPS", destination "External (Address)" to a destination of your internal Exchange server.  It probably wouldn't be a bad thing to attempt this first, to confirm that you can indeed access OWA when outside your network.  If you can't, then there could be some other issue preventing access, such as firewall settings on the Exchange server itself, or an ISP block on inbound port 443 traffic.

    As for WAF, here's my configuration.  On WAF | Real Web Servers, I have my Exchange 2007 server set as the host, type SSL (HTTPS), port 443.  On WAF | Virtual Web Servers, I have a virtual web server set up of type SSL (HTTPS), certificate Local X509 Cert, interface External (Address), port 443, and my real web server checked in the box below.  I also have it set up to use Advanced Protection as the firewall profile.  Under WAF | Firewall Profiles, I had to edit the Advanced Protection profile to disable Cookie signing and URL hardening - I kept all other settings as they were originally.  Lastly, I enabled WAF on WAF | Global, and also disabled/deleted my original DNAT rule.

    Hope this helps - it ended up being quick to set up following these steps, and the DNAT-only approach took no time.

    Cheers,
    Martin.
Reply
  • 0
    The quick and easy way (without WAF) is to simply set up a DNAT rule to translate traffic from source "Any", service "HTTPS", destination "External (Address)" to a destination of your internal Exchange server.  It probably wouldn't be a bad thing to attempt this first, to confirm that you can indeed access OWA when outside your network.  If you can't, then there could be some other issue preventing access, such as firewall settings on the Exchange server itself, or an ISP block on inbound port 443 traffic.

    As for WAF, here's my configuration.  On WAF | Real Web Servers, I have my Exchange 2007 server set as the host, type SSL (HTTPS), port 443.  On WAF | Virtual Web Servers, I have a virtual web server set up of type SSL (HTTPS), certificate Local X509 Cert, interface External (Address), port 443, and my real web server checked in the box below.  I also have it set up to use Advanced Protection as the firewall profile.  Under WAF | Firewall Profiles, I had to edit the Advanced Protection profile to disable Cookie signing and URL hardening - I kept all other settings as they were originally.  Lastly, I enabled WAF on WAF | Global, and also disabled/deleted my original DNAT rule.

    Hope this helps - it ended up being quick to set up following these steps, and the DNAT-only approach took no time.

    Cheers,
    Martin.
Children
No Data