Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 16 replies
  • Subscribers 1 subscriber
  • Views 9669 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Google search coming up with China block

Bluedog
I am getting about a 8% to 10% China block with Apple products  that are newly re imaged for  two different desktop and two different iPads that for all intensive purposes do not get infected


This thread was automatically locked due to age.
  • 0
    Surfed with Google  search with Windows 7 on BootCamp and no blocking??   Any ideas??
  • 0
    Both log lines you provided are missing the dstip field - did you remove it or is it missing in the source logs?

    Check (or list here) each IP in the DNS results for www.google.com from each system and the UTM.  

    It also might be worth confirming your DNS configurations and checking hosts files.
  • 0
    I will check into the others. I did not pull out the "dstip field"  and any reason my logs don't show it? What is a  dstip field?
  • 0
    dstip is destination ip
    If you know the Destination IP, you can run GeoIP to find out where in the world the IP is hosted.  Not sure why it is not shown in your logs.

    Please note in this thread:

    Someone reported something similar in a recent thread, and Google is indeed having IPs that are within China.
    https://community.sophos.com/products/unified-threat-management/astaroorg/f/55/t/46201


    Apparently lots of people are finding this:
    https://www.google.ca/#q=google+Ip+china
  • 0
    This can be run on the UTM.  Works with loginuser in 9.111-7.  It grabs the forwarders from named.conf and queries each of those DNS servers for the A records of www.google.com and checks the results with geoip information on the UTM. 

    for DNSSERVER in `pcregrep -M  'forwarders(\n|.)*?}'  /var/chroot-bind/etc/named.conf | sed -e /[}{]/d -e s/[\;\t]//g` ; do for IP in `dig +short www.google.com A @$DNSSERVER` ; do echo -en $DNSSERVER\t$IP\t;geoiplookup $IP; done ; done


    Example output: 

    8.8.4.4 74.125.29.105   GeoIP Country Edition: US, United States

    8.8.4.4 74.125.29.103   GeoIP Country Edition: US, United States

    8.8.4.4 74.125.29.104   GeoIP Country Edition: US, United States

    8.8.4.4 74.125.29.147   GeoIP Country Edition: US, United States

    8.8.4.4 74.125.29.106   GeoIP Country Edition: US, United States

    8.8.4.4 74.125.29.99    GeoIP Country Edition: US, United States

    8.8.8.8 74.125.21.105   GeoIP Country Edition: US, United States

    8.8.8.8 74.125.21.104   GeoIP Country Edition: US, United States

    8.8.8.8 74.125.21.99    GeoIP Country Edition: US, United States

    8.8.8.8 74.125.21.147   GeoIP Country Edition: US, United States

    8.8.8.8 74.125.21.103   GeoIP Country Edition: US, United States

    8.8.8.8 74.125.21.106   GeoIP Country Edition: US, United States
  • 0 in reply to teched_01
    I was doing a Google search in Safari which is not my main browser, I use Firefox with a lot of security extensions. I had thiscert warning pop up tonight. Does this tell you their is something wrong with Apples certs? It is seems to be using Sophos cert? I have "URL filtering only" in Web Filter enabled for Http/Https scanning. Could that be doing it?
  • 0
    If you are using "URL Filtering Only" then in normal operation the UTM does not do man-in-the-middle SSL.  However if the UTM needs to display a block page or error page it must interrupt and insert itself into the HTTPS stream, which will produce the above certificate warning if the Proxy CA is not installed in your browser.
  • 0
    Statuscode="403" is the reason there's no dstip.  Are you also blocking outbound traffic to China?

    Cheers - Bob

    Sorry for any short responses.  Posted from my iPhone.
  • 0 in reply to BAlfson
    Yes, but where would the IP or URL be in the logs that it wanted to go to in China before it was blocked, to double check it really is an IP or URL wanting to go to China?
  • 0
    It seems that the logic for blocking a country comes before the logic that adds the dstip in the log.  Either Google has a server in China or the geoip database has an error.

    What is the reason for blocking traffic to China?

    Cheers - Bob