Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 1 subscriber
  • Views 11917 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Sophos UTM - web filter skip (VPN)

medx
Hello Sophos Communty!

I made my UTM from my old home PC machine. Everything works great, but I have problem with OpenVPN. If I allow 1194 UDP traffic through the firewall I can connect to the remote OpenVPN server, but then Sophos UTM web filter doesn't scan traffic (it doesn't block any websites or dangerous sites). It works like standard mode, not transparent. When I turn off OpenVPN connection, eveyrthing works as usual. So my question is how can I scan/filter traffic while if I am connect to OpenVPN. (I have OpenVPN client installed on my local machine).

Thanks for any help.


This thread was automatically locked due to age.
  • 0
    I don't have a good answer for you on that. The UTM does use openvpn for remote and site-to-site however, I do not believe it is very easy to configure to connect to a non-UTM remote server. There are some threads on this with varying degrees of success that you could try. Alternatively, maybe the UTM's endpoint protection would be something you would be interested in using?
  • 0
    Yes, I saw some threads about configuration UTM to "support" OpenVPN remote connection, I will see and try if I could do something, and I will keep you guys posted. The main idea for home use was to optimize client machines, to remove endpoint protection and switch all security to UTM, just leave local Windows Firewall with basic rules for main applications. Everything works well as it can be, just OpenVPN problem.
  • 0
    Update
    I have managed to connect SophosUTM 9.2 as client to the remote OpenVPN server. One user had the same problem (Astaro as a client to OpenVPN Server - Sophos User Bulletin Board). He found .ovpn to .apc converter, because UTM won't support .ovpn client file, but it will .apc on SSL connection. The script will do what you need, but there as some bugs which you will need to fix manually, since the script is in the process of rewriting in Python.

    Website: OVPN to APC Converter | WhoCares?
    Link to the script: https://www.gitorious.org/admintools/ovpn-to-apc
    -----------
    After all those problems I have the new one. So, I can connect to the remote OpenVPN server, but when I am connected I can't reach DNS servers, although they are configured in SophosUTM (DNS section) and in resolv.conf file. I can open websites if I use direct IP addresses to the location, but the system can't resolv DNS query, can't pull. If I try to ping some site domain via SSH on SophosUTM while OpenVPN session is active, the system will resolve the query and the user will be able to see IP address of the location. I found on GitHub report about the same case in OpenVPN version 2.3.0 (http://goo.gl/BNFRd9), but since SophosUTM 9.2 is using OpenVPN 2.3.0 I think the same problem is present in a couple of other cases. Does anyone know how to solve this or some workaround.

    In the connection process I'm getting:

    [HTML]2014:04:30-00:35:22 firewall openvpn[10267]: Options error: option 'explicit-exit-notify' cannot be used in this context ([PUSH-OPTIONS])

    2014:04:30-00:35:22 firewall openvpn[10267]: Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:4: dhcp-pre-release (2.3.0)

    2014:04:30-00:35:22 firewall openvpn[10267]: Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:5: dhcp-renew (2.3.0)

    2014:04:30-00:35:22 firewall openvpn[10267]: Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:6: dhcp-release (2.3.0)

    2014:04:30-00:35:22 firewall openvpn[10267]: Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:18: register-dns (2.3.0)

    2014:04:30-00:35:22 firewall openvpn[10267]: Options error: Unrecognized option or missing parameter(s) in [PUSH-OPTIONS]:19: block-ipv6 (2.3.0) [/HTML]
  • 0
    The users of this forum are primarily focused on the http proxy.  Try asking about OpenVPN in the appropriate forum:
    https://www.astaro.org/gateway-products/vpn-site-site-remote-access/
  • 0
    Thank you for your reply Michael Dunn.