Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 14 replies
  • Subscribers 1 subscriber
  • Views 5513 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Possible Certificate issue

rrosson
I followed the steps outlined in this link:

Speeding up webbrowsing by blocking advertisers and trackers

To have my Sophos UTM Home edition running 9.200-11 filter out ads and such. Everything is working as it should with Web Filter operation mode in transparent, but I think I uncovered a failure for me to RTFM (I failed to give the system a FQDN) when I initially setup the gateway.

What is occurring is that when a block comes up I am getting a certificate popup for trust. The system's CA is in my client host systems certificate of trust.

Is there any way to update the FQDN and regenerate the certificates that are used by the UTM without having to reinstall and recreate everything from scratch?

TIA


This thread was automatically locked due to age.
Parents
  • 0
    Changing the HTTPS CA will not affect Site to Site VPN.  I do not know if changing the hostname will.

    Go to Site to Site VPN, SSL, Advanced.  Look at the Server Certificate.  It is a dropdown list of certificates, by default it uses one called "Local X509 Cert".  The main thing is that you do not want this one to change.  I don't know if changing the hostname changes this default certificate.  If you are using your own uploaded cert then you should definitely be fine.

    There is one other potential option in 9.2, though I don't know if it solves your problem.  The Proxy CA is actually used for two different things.  The first is for HTTPS scanning and redirection - for example if you go to a blocked HTTPS site, it uses the CA to display the blocked page HTML.  That HTML then loads images that are from passthrough.fw-notify.net, which is a special URL that the UTM recognizes and displays internal content.  The CA is also used to sign those pages.  In 9.2 you can change this to your own custom hostname such as passthrough.proxy.yourdomain.com and your own Certificate.  This is under Filter Options, Misc.  It probably won't help your situation, though.

    Note: What is the underlying issue?  Are you using Transparent Mode AD SSO?  Are you doing HTTPS Scanning?
Reply
  • 0
    Changing the HTTPS CA will not affect Site to Site VPN.  I do not know if changing the hostname will.

    Go to Site to Site VPN, SSL, Advanced.  Look at the Server Certificate.  It is a dropdown list of certificates, by default it uses one called "Local X509 Cert".  The main thing is that you do not want this one to change.  I don't know if changing the hostname changes this default certificate.  If you are using your own uploaded cert then you should definitely be fine.

    There is one other potential option in 9.2, though I don't know if it solves your problem.  The Proxy CA is actually used for two different things.  The first is for HTTPS scanning and redirection - for example if you go to a blocked HTTPS site, it uses the CA to display the blocked page HTML.  That HTML then loads images that are from passthrough.fw-notify.net, which is a special URL that the UTM recognizes and displays internal content.  The CA is also used to sign those pages.  In 9.2 you can change this to your own custom hostname such as passthrough.proxy.yourdomain.com and your own Certificate.  This is under Filter Options, Misc.  It probably won't help your situation, though.

    Note: What is the underlying issue?  Are you using Transparent Mode AD SSO?  Are you doing HTTPS Scanning?
Children
  • 0 in reply to Michael Dunn


    Note: What is the underlying issue?  Are you using Transparent Mode AD SSO?  Are you doing HTTPS Scanning?


    I am using transparent mode with HTTPS scanning of URL's only. Currently I have application control set to block web ads ( I think I posted the link I used to set this up in the beginning of this thread). When a web ad is blocked I get a pop-up about the certificate. I narrowed it down to that I did not use a FQDn when I setup the UTM and have since changed it to a FQDN that resolves both internally and externally on my network.

    I was hoping that there was an easy way t regenerate the Local X509 that contains the hostname of the UTM.  [:)]