Sophos: UTM Quarantäne Statusmails senden

Sophos: UTM Quarantäne Statusmails senden

Wenn bei der Sophos UTM der Maulfilter aktiviert wird, gelangen einige Mails in die Quarantäne. Per Default sendet keine Mails mit dem Hinweis, das Mails in der Quarantäne sind.

Wenn man solche Mails erhalten möchte, muss man dies unter Webadmin > Email Protection > Quarantine Report aktivieren und einrichten.

manager


Astaro / Sophos UTM: Updates per Shell verwalten

Möchte man eine Sophos schnell bereitstellen und nicht warten bis alle Updates gefunden wurden, kann man unter Verwaltung > Up2Date > Konfiguration die Intervalle für Firmware- und Patterndownloads auf Manuell umstellen und dann unter Übersicht direkt suchen lassen.

Sollte es nicht gehen oder ein Update fehlgeschlagen sein, so kommt man mit der Shell weiter.

Dazu muss man per SSH auf die Sophos mit Root rechten (einschalten über Webgui > Verwaltung > Systemeinstellungen > Shell Zugriff). Erst mit loginuser anmelden und mit su dann zu root wechseln.

Updates bereinigen:

cd /var/up2date/sys
rm u2d*
auisys.plx

Manuell suchen lassen:

audld.plx

Ansicht in der Webgui aktualisieren:

auisys.plx --showdesc

Eigene Voucher erstellen für Sophos UTM Wireless Portal

Die Sophos UTM Firewall bietet unter anderem die Möglichkeit Wireless Netzwerke zu verteilen. Dies muss nicht nur zwangsläufig mit den eigenen Accesspoints geschehen, sondern geht auch mit fremden.

Zuvor hatte ich dazu Airport Express verwendet, mittlerweile nutze ich Linksys LAPAC1200. Im Prinzip kann man jedoch jeden Accesspoint nehmen, der VLANs unterstütz.

So habe ich auf den untagged VLAN das interne Datennetz und im VLAN 1003 das Gästenetz.

Das Gästenetz ist umverschlüsselt und hat keinen Zugriff auf das interne Netz, sondern nur auf das Internet selber. Damit nun jedoch nicht jeder mit meinem Netz surft, habe ich von der Sophos das Vouchersystem vorgeschaltet.

Mit dem Vouchersystem kann man nun PDF Dateien erstellen, die Codes für das WLAN enthalten – es können auch verschiedene Zeiten und Volumen vergeben können.

Mit dem Zugang kann man nun Besuch oder deinen eigenen Kindern (wobei meine noch zu klein sind dafür) Codes zur Verfügung stellen, womit sie nach dem vordefinierten Umfang surfen können. Ich habe sogar schon gehört, das sowas als „Belohnungssystem“ verwendet wird (z.B. wenn du spülst bekommst du einen Gutschein für eine Stunde surfen).

Da diese in Englisch sind, habe ich mir diese angepasst.

Mit einem Mac ist das sehr einfach, da er direkt PDFs erstellen kann, aber unter Windows dürfte das auch mit PDF Export Tools wie FreePDFXP gut gehen.

Ich habe dazu in Word (natürlich geht auch Pages usw.) einfach ein A6 Dokument erstellt in Querformat und mir dazu die angehangene Vorlage erstellt.

Wichtig ist die Zeile mit den Zahlen und Ziffern, diese wird später nicht angezeigt – sorgt jedoch dafür, das die Variablen später die angegebenen Zeichen verwenden können. Soll z.B. eine Variable in Fett verwendet werden, so muss die Zeile auch noch mal in Fett eingefügt werden.

Diese dann als PDF speichern (Version 1.4) und in der Sophos unter Wireless Protection > Hotspots > Hotspots > erstellten bearbeiten > ganz unten unter Hotspot Customization > Voucher Template ändern.

Das interessante ist, das dieses feature komplett genutzt werden kann in der kostenlosen Home Version ;).

Beispielvoucher:

voucher

Anleitung zum einrichten des Gäste-WLAN/VLAN: Anleitung

Download Wordvorlage: Voucher-Leibling

P.s.: Beachten Sie auch, das die Seitenränder richtig eingestellt sind (z.B. 0,8 cm) und auch der Abstand zum Seitenrand. Bei Word 2011 finden Sie die Einstellungen unter Datei > Seite einrichten … > Einstellungen: Microsoft Word > Seitenränder … > Einstellungen wie folgt:

Bildschirmfoto 2015-07-16 um 15.31.56


VPN mit UTM über Fritzbox

Als erstes muss die Fritzbox folgende Weiterleitungen bekommen:

  • Exposed Host -> Interne IP UTM
  • ESP -> Interne IP UTM
  • ISAKMP (UDP 500) -> Interne IP UTM
  • NAT Traversal (UDP 4500) -> Internet IP UTM

Danach müssen die Remotegateway eingerichtet werden. Dabei darauf achten, das bei der UTM OHNE Fritzbox bei der VPN ID die NAT IP des UTM Netzes eingestellt ist:

Bildschirmfoto 2014-12-08 um 15.00.57

Danach nur noch den Tunnel einrichten wie gehabt:

Bildschirmfoto 2014-12-08 um 15.02.06

Nun auf der Seite MIT der Fritzbox ebenfalls das Remotegateway einrichten, jedoch mit der VPN ID vom Ziel (öffentliche Adresse):

Bildschirmfoto 2014-12-08 um 15.06.45

Sowie den Tunnel selber:

Bildschirmfoto 2014-12-08 um 15.07.00

 

P.s.: Sollte auf dem anderen Netz auch eine Fritzbox sein, so muss natürlich nicht die externe IP in die VPN ID, sondern die NAT IP vom externen Interface der entfernten UTM.


VDSL mit Zyxel Modem

Um ein Zyxel VDSL Modem nutzen zu können, muss man die richtigen Einstellungen vornehmen.

Z.B. diese hier:

Bildschirmfoto 2014-09-23 um 14.22.45

In der Astaro / Sophos eine neue Schnittstelle einrichten und keinen Hacken bei VDSL setzen.

 


Sophos: Urlrewrite bzw. Reverse Proxy

Um interne Server verfügbar zu machen über nur eine externe URL kann man den URLRewrite nutzen. Dies bietet die Sophos unter Webserver Protection > Web Application Firewall > Site Path Routing an.

Dies Einrichten geht wie folgt:

Erstellt erst die Real Webserver. Diese sind die internen Server mit den internen Adressen:

Bildschirmfoto 2014-07-22 um 08.35.12

Erstellt einen Virtual Webserver (das ist der, auf dem von außen Zugegriffen wird. Stört euch nicht daran, das bei mir Internat steht – ich kann die Sophos nicht direkt ans Internet anbinden – deswegen routet meine Fritzbox http auf die Sohos von intern. Ihr stellt hier eure externe Adresse ein.), dieser muss die externe Domain enthalten (nur diese wird aufgelöst! Es geht nicht, das man dann mit einem internen Namen oder eine IP testet!).

Aktiviert auch Pass Host Header und Rewrite HTML/Cookies. Es müssen nun alle

Bildschirmfoto 2014-07-22 um 08.32.27

Nun kommt das wichtigste, das Site Path Routing – das erledigt die Zuordnung der externen URL (Path) zu der internen Ressource (Real Webserver):

Bildschirmfoto 2014-07-22 um 08.39.06

 

 

Weitere Informationen:

http://ictschule.wordpress.com/2013/12/07/exchange-ber-sophos-utm-verffentlichen/

https://www.winsec.nl/2013/10/11/publishing-exchange-utm-web-application-firewall/

http://www.sophos.com/de-de/support/knowledgebase/117511.aspx


Fritzbox VPN zu Sophos UTM

In der Fritzbox folgende Konfigurationsdatei einspielen (vorher anpassen):

vpncfg {
     connections {
             enabled = yes;
             conn_type = conntype_lan;
             name = "Name wie er in der FritzBox erscheinen soll";
             always_renew = no;
             reject_not_encrypted = no;
             dont_filter_netbios = yes;
             localip = 0.0.0.0;
             local_virtualip = 0.0.0.0;
             remoteip = x.x.x.x;                 //Feste IP der UTM
             remote_virtualip = 0.0.0.0;
             localid {
                     ipaddr =  169.254.1.100;        // APIPA-IP-Adresse, hie die gleiche nehmen wie in der UTM beim Remote Gateway konfiguriert
             }
             remoteid {
                     ipaddr = x.x.x.x;                  //Feste IP der UTM
             }
             mode = phase1_mode_idp;
             phase1ss = "alt/all-no-aes/all";
             keytype = connkeytype_pre_shared;
             key = "hier irgendwas kompliziertes und geheimes";      //Hier muss der Preshared Key rein, wie auf der UTM im Remote Gateway eingetragen
             cert_do_server_auth = no;
             use_nat_t = no;
             use_xauth = no;
             use_cfgmode = no;
             phase2localid {
                     ipnet {
                             ipaddr = 192.168.0.0;                 //Internes Netz der FritzBox
                             mask = 255.255.255.0;
                     }
             }
             phase2remoteid {
                     ipnet {
                             ipaddr = 192.168.10.0;           // Inernal Netwok der UTM
                             mask = 255.255.255.0;
                     }
             }            
             phase2ss = "esp-3des-sha/ah-no/comp-no/pfs";
             accesslist = "permit ip any 192.168.10.0 255.255.255.0";      // Hier nochmal den Zugriff aus dem UTM-Internal-Netz erlauben
     }
     ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                         "udp 0.0.0.0:4500 0.0.0.0:4500";
}

 

Danach in der Sophos wie folgt einrichten:

Policy:

UTM-FB_IPSec_Policy

 

Gateway einrichten:

UTM-FB_IPSec_RemoteGW

 

Und dann noch den Tunnel:

UTM-FB_IPSec_Connection

 

Original URL: http://www.astaro.org/local-language-forums/german-forum/48528-vpn-einstellungen-utm9-fritzbox-7360-a.html

Hinwesi: Geht nur mit fester IP (evtl. dynamisch auf der Fritzboxseite).

 

 

 

 

 


UTM an ADS anbinden

Anleitung hier:

http://www.stknetwork.com/2013/01/astaro-v7-active-directory-sso-setup.html