Kategorie: Sophos

Sophos XG eigenes öffentliches Zertifikat verwenden

Um keine Fehlermeldungen zu erhalten beim Zugriff auf die Adminöberfläche  oder dem Userportal der Firewall setze ich ein öffentliches Zertifikat ein. Da ich das jedoch meistens nur selber nutze, reicht mir ein günstiges einfaches mit einer niedrigen Sicherheitsstufe aus.

Dazu verwende ich die SSL Zertifikate von SSLs.com – diese gibt es für ca. 15€ für 3 Jahre, das sind rund 0,42€ pro Monat.

Da ich nun von der Sophos UTM auf die Sophos XG umstelle, beschreibe ich hier den Weg wie man ein solches Zertifikat einrichtet, was unter der XG wesentlich einfacher geht als unter der UTM.

Als erstes müssen wir ein CSR erstellen, dazu gehen wir in der XG nach Certificates > Certificates > Add und erstellen folgenden CSR:

Da die Daten auch über das fertige Zertifikat einzusehen sind, habe ich die originalen Daten gelassen, ihr tragt da natürlich eure eigenen Daten ein. Da ich schon ein Zertifikat habe und das nur änder (was kostenlos ist bei SSLs.com) übernehme ich oben natürlich das originale Ablaufdatum.

Wenn ihr die Einstellungen bestätigt habt, könnt ihr dann das Zertifkat herunterladen (welches als GZ und TAR komprimiert ist, mit dem kostenlosen 7Zip könnt ihr diese entpacken).

Auf SSLS.com „kauft“ ihr dann das Zertifikat und verwendet das eben entpackte CSR.

Nun müsst ihr noch die Dateien zusammenbauen mit OpenSSL, dazu könnt ihr dann unter Windows OpenSSL installieren, auf einem Mac habt ihr das schon drauf. Dazu verwendet ihr den folgenden Befehl:

openssl pkcs12 -export -in url_domain_de.crt -inkey url_domain_de.key -out url_domain_de.p12

Mit dem neu erstellten Zertifikat könnt ihr nun in der Sophos XG das neue Zertifikat einfügen:

Dieses könnt ihr dann nun unter Administration > Port Settings for Admin Console > Certificate zurordnen.


Sophos: Umstellung von UTM auf XG

Wenn man Jahrelang mit der Sophos UTM gearbeitet hat und dann auf eine Sophos XG umstellt, steht man erst mal wie der Ochs vorm Berge (so zumindest ich), da die XG einen ganz anderen Ansatz verfolgt als die UTM.

Die XG ist ein zugekauftes Produkt und es wurde noch einige Jahre Support und gar Weiterentwicklung für UTM Produkte von Sophos zugesagt.

Sollte man eine UTM 9 Lizenz haben, so kann man diese zu einer XG Lizenz upgraden (Achtung: Dieser Vorgang ist laut Hinweismeldung nicht Reversible).

Auch hier gibt es eine kostenlose Version für den nicht kommerziellen Betrieb, welcher bis 100 Adressen unterstützt – in dieser Version ist fast alles aktiviert, bis auf die Sandstorm funktion (wie auch bei der UTM Home).

  • Dennoch könnte bei den folgenden Punkten der Umstieg interessant sein:
  • Umfangreicheres Muticast Routing
  • Umfangreiche Möglichkeiten bei der Webserververöffentlichung
  • In der kostenlosen Homeversion werden bei der XG 100 Adressen statt wie bei der UTM nur 50 Adressen unterstützt

Da ich einige Probleme mit dem Multicast Routing habe und mir eine Besserung bei diesem Problem erhoffe, habe ich mir die Lösung mal näher angeschaut.

Ich setze folgende Funktionen ein:

  • WLAN Intern und Gästenetz (mit eigenen Accesspoints)
  • Im Gästenetz Hotspot mit Vouchersystem
  • VPN Netze ins RZ und die Firma (unter anderem für Onlinebackup ins RZ)
  • VPN Einwahl
  • NAT / Firewall
  • Emailprotection
  • Webprotection
  • IPS
  • Öffentliches SSL Zertifikat für die Firewall und das Userportal

Die Umstellung hat ca. 8 Stunden gedauert.

Da  die XG einen anderer Ansatz verfolgt als bei der UTM habe ich mich mit der Umstellung schwer getan und mir hier alle Informationen zusammengeschrieben:

*: Bei den SMTP Regeln steht nicht drin, das unter Administration > Device Access > SMTP Relay noch das entsprechende Netz (z.B. WAN) noch aktiviert werden muss.

*: Bei VPN mit SSL zu einer UTM steht nicht dabei, das die Einstellungen anders sind, diese können unter VPN > SSL > Advanced angepasst werden. Bitte dabei jedoch beachten, das dies auf alle SSL Tunnel gilt.

Ich hoffe der Beitrag hilft den einem oder anderem.


Sophos: Öffentliches Zertifikat verwenden

Um eine Sophos ein eigenes Zertifikat zuzuordnen sind nur wenige Handgriffe erforderlich.

Am einfachsten geht das, wenn man auf einem Rechner (Windows oder Mac) schon OpenSSL installiert hat.

Dann im BIN-Unterordner des OpenSSL-Programmordners wechseln um das CSR zu erstellen mit folgenden Befehl:

openssl req -new -newkey rsa:2048 -nodes -out url_domain_de.csr -keyout url_domain_de.key -subj "/C=DE/ST=NorthRhine-Westphalia/L=Ort/O=Firma GmbH/OU=EDV/CN=url.domain.de"

Den Befehl für das CSR kann man sich Online erstellen lassen unter https://www.digicert.com/easy-csr/openssl.htm.

Das entsprechende CSR einreichen (ich verwende gerne z.B. von PSW.net das Limitbreaker 3 Jahre für 99€ inkl. Steuer.

Nachdem das Zertifikat zugesendet wurde, dieses einfach kopieren in das BIN Verzeichnis und die benötigte PK12 Datei erstellen mit den folgendem Befehl:

openssl pkcs12 -export -in url_domain_de.crt -inkey url_domain_de.key -out url_domain_de.p12

Achtet bitte darauf das vorne ein CRT statt einem CSR verwendet wird, merkt euch auch bitte das Passwort DRINGEND!!!.

Nun das entsprechende Zertifikat auf der Sophos im WebAdmin unter Webserver Protection > Zertifikatsverwaltung hinzufügen und auswählen unter Verwaltung > WebAdmin-Einstellungen > HTTPS-Zertifikat > WebAdmin/Benutzerportal Zertifikat .

 

 


Sophos: SSH Befehle für HA Verwaltung

Auszug aus der Sophos Doku:

<p“>Overview

If you are using High Availability you have different Shellprompts depending on the type of your node:

<M>: Node is master
<S>: Node is slave

<W>: Node is worker

High Availability command line tools

ha_daemon -c help : help

ha_daemon -c status : status information, like fifo output

ha_daemon -c takeover : start manual takeover

ha_daemon -c up2date VERSION : start up2date to VERSION

ha_daemon -c build : print running ha_daemon build info

ha_daemon build : print ha_daemon build info

ha_daemon build verbose : print verbose ha_daemon build info sethacfg: shows current HA/Cluster config

sethacfg -help: shows help

sethacfg -m off: disables ha/cluster

ha_utils status: Show HA/Cluster status overview

ha_utils debug ipsec on/off: Enable/Disable IPSec HA debug

ha_utils ssh: Connect to slave/workers

ha_utils verbose cluster on/off: Enable/Disable verbose messages

</p“>

 

Quelle: https://community.sophos.com/kb/en-us/115616


Sophos: Keine Einwahl mit Open VPN Client unter iOS und Android

Der aktuelle Open VPN Client unterstützt kein Passworthash mit MD5 mehr. Sollte das noch in der Sophos eingestellt sein, so kann sich der Open VPN Client unter iOS und Android nicht mehr einwählen. Prüfen Sie, ob das Problem mit umstellen auf z.B. SHA1 behoben ist.

Beachten sie, das Sie dann auf allen Clients die Profile neu einrichten müssen.

160705 Sophos VPN Mobilgeräte problem


Sophos: UTM Quarantäne Statusmails senden

Wenn bei der Sophos UTM der Maulfilter aktiviert wird, gelangen einige Mails in die Quarantäne. Per Default sendet keine Mails mit dem Hinweis, das Mails in der Quarantäne sind.

Wenn man solche Mails erhalten möchte, muss man dies unter Webadmin > Email Protection > Quarantine Report aktivieren und einrichten.

manager


outlook.com bzw. Office365 Server whitelisten

Ich hatte das Problem bei einem Kunden, das dieser keine Emails von Empfängern erhalten konnten, die outlook.com bzw. Office 365 nutzten.

Laut mxtoolbox.com war jedoch alles ok.

In den Logs der Sophos fand ich jedoch folgende Zeilen:

2015:08:12-22:37:59 gateway exim-in[16769]: 2015-08-12 22:37:59 TLS error on connection from mail-db3on0121.outbound.protection.outlook.com (emea01-db3-obe.outbound.protection.outlook.com) [157.55.234.121]:2048 (SSL_accept): error:00000000:lib(0):func(0):reason(0)
2015:08:12-22:37:59 gateway exim-in[16769]: 2015-08-12 22:37:59 TLS client disconnected cleanly (rejected our certificate?)
2015:08:12-22:37:59 gateway exim-in[16769]: 2015-08-12 22:37:59 SMTP connection from mail-db3on0121.outbound.protection.outlook.com (emea01-db3-obe.outbound.protection.outlook.com) [157.55.234.121]:2048 closed by EOF

Nachdem ich das TLS Zertifikat der Firewall noch mal ausgetauscht hatte, funktionierte die Kommunikation einwandfrei:

2015:08:14-13:27:03 gateway exim-out[23820]: 2015-08-14 13:27:03 1ZQD8W-0006C6-Ip => absender@url.com P=<empfaenger@ulr.org> R=dnslookup T=remote_smtp H=xxxx.mail.protection.outlook.com [213.199.04.0]:25 X=TLSv1.2:ECDHE-RSA-AES256-SHA384:256 C="250 2.6.0 <9101E7B53B7D6E40AF7D0311DBxxxxxxxx@server> [InternalId=126186139xxxx"
2015:08:14-13:27:03 gateway exim-out[23820]: 2015-08-14 13:27:03 1ZQD8W-0006C6-Ip Completed

Dennoch habe ich die Mailserver von Outlook.com whitegelistet (zumindest bezüglich der Kommunikation, nicht in der inhaltlichen Prüfung bezüglich Spam oder Viren).

Die Adressen findet man hier: https://technet.microsoft.com/en-us/library/dn163583(v=exchg.150).aspx

 


Astaro / Sophos UTM: Updates per Shell verwalten

Möchte man eine Sophos schnell bereitstellen und nicht warten bis alle Updates gefunden wurden, kann man unter Verwaltung > Up2Date > Konfiguration die Intervalle für Firmware- und Patterndownloads auf Manuell umstellen und dann unter Übersicht direkt suchen lassen.

Sollte es nicht gehen oder ein Update fehlgeschlagen sein, so kommt man mit der Shell weiter.

Dazu muss man per SSH auf die Sophos mit Root rechten (einschalten über Webgui > Verwaltung > Systemeinstellungen > Shell Zugriff). Erst mit loginuser anmelden und mit su dann zu root wechseln.

Updates bereinigen:

cd /var/up2date/sys
rm u2d*
auisys.plx

Manuell suchen lassen:

audld.plx

Ansicht in der Webgui aktualisieren:

auisys.plx --showdesc

Eigene Voucher erstellen für Sophos UTM / XG Wireless Portal

Die Sophos UTM Firewall bietet unter anderem die Möglichkeit Wireless Netzwerke zu verteilen. Dies muss nicht nur zwangsläufig mit den eigenen Accesspoints geschehen, sondern geht auch mit fremden.

Zuvor hatte ich dazu Airport Express verwendet, mittlerweile nutze ich Linksys LAPAC1200. Im Prinzip kann man jedoch jeden Accesspoint nehmen, der VLANs unterstütz.

So habe ich auf den untagged VLAN das interne Datennetz und im VLAN 1003 das Gästenetz.

Das Gästenetz ist umverschlüsselt und hat keinen Zugriff auf das interne Netz, sondern nur auf das Internet selber. Damit nun jedoch nicht jeder mit meinem Netz surft, habe ich von der Sophos das Vouchersystem vorgeschaltet.

Mit dem Vouchersystem kann man nun PDF Dateien erstellen, die Codes für das WLAN enthalten – es können auch verschiedene Zeiten und Volumen vergeben können.

Mit dem Zugang kann man nun Besuch oder deinen eigenen Kindern (wobei meine noch zu klein sind dafür) Codes zur Verfügung stellen, womit sie nach dem vordefinierten Umfang surfen können. Ich habe sogar schon gehört, das sowas als „Belohnungssystem“ verwendet wird (z.B. wenn du spülst bekommst du einen Gutschein für eine Stunde surfen).

Da diese in Englisch sind, habe ich mir diese angepasst.

Mit einem Mac ist das sehr einfach, da er direkt PDFs erstellen kann, aber unter Windows dürfte das auch mit PDF Export Tools wie FreePDFXP gut gehen.

Ich habe dazu in Word (natürlich geht auch Pages usw.) einfach ein A6 Dokument erstellt in Querformat und mir dazu die angehangene Vorlage erstellt.

Wichtig ist die Zeile mit den Zahlen und Ziffern, diese wird später nicht angezeigt – sorgt jedoch dafür, das die Variablen später die angegebenen Zeichen verwenden können. Soll z.B. eine Variable in Fett verwendet werden, so muss die Zeile auch noch mal in Fett eingefügt werden.

Diese dann als PDF speichern (Version 1.4) und in der Sophos unter Wireless Protection > Hotspots > Hotspots > erstellten bearbeiten > ganz unten unter Hotspot Customization > Voucher Template ändern.

Das interessante ist, das dieses feature komplett genutzt werden kann in der kostenlosen Home Version ;).

Beispielvoucher:

voucher

Anleitung zum einrichten des Gäste-WLAN/VLAN: Anleitung

Download Wordvorlage: Voucher-Leibling

P.s.: Beachten Sie auch, das die Seitenränder richtig eingestellt sind (z.B. 0,8 cm) und auch der Abstand zum Seitenrand. Bei Word 2011 finden Sie die Einstellungen unter Datei > Seite einrichten … > Einstellungen: Microsoft Word > Seitenränder … > Einstellungen wie folgt:


Bildschirmfoto 2015-07-16 um 15.31.56

 

Dieser Voucher kann auch für die Sophos XG verwendet werden, beachten sie bitte nur das sie keine Sonderzeichen (z.B. Minuszeichen) im Dateinamen beim Upload verwenden.


Sophos neues LAN Modul suchen

Kategorie: Sophos , Support

Bei einer SG230 hatte ich ein 8 x 1 GbE Flexiport hinzugefügt. Leider wurden diese auch nach einem Neustart nicht angezeigt.

Um zu kontrollieren ob dieses gefunden wurde, kann man einfach folgendes eingeben per SSH:

lspci |grep Eth
Werden dort mehr als 6 LAN Ports aufgelistet (z.B. 14) wurde das Modul gefunden.
Um auf einen eventuell vorhanden passive HA-Knoten zu wechseln, benötigt man den folgenden Befehl:
ha_utils ssh