Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 38 subscribers
  • Views 1377 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

[ASG7] VNC NAT-Regel wird ab 7.500 ignoriert

Wolfpack
Hallo zusammen,

seit dem ASG-Update auf 7.500 kann ich plötzlich von aussen keine VNC-Verbindung (REALVNC, Port 6666) mehr zum Server im Netzwerk herstellen. An der Config habe ich keine Veränderungen vorgenommen und habe auch versucht, die Regel zu löschen und neu zu erstellen, ohne Erfolg

Das Angriffsschutzsystem spuckt folgendes aus:
2009:10:14-09:22:47 ****** snort[14512]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="POLICY VNC server response" group="130" srcip="***.***.***.***" dstip="192.168.3.11" proto="6" srcport="6666" dstport="1224" sid="560" class="Misc activity" priority="3" generator="1" msgid="0"

2009:10:14-09:24:45 ****** snort[14512]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="POLICY VNC server response" group="130" srcip="***.***.***.***" dstip="192.168.3.100" proto="6" srcport="44937" dstport="6666" sid="560" class="Misc activity" priority="3" generator="1" msgid="0" 


...wobei .100 der Server ist und .11 der lokale (Test)-Client. Es liegt aber nicht am Routing, von aussen kommt die entsprechend gleiche Meldung.

Gleichzeitig spuckt aber der NAT-Log ein positives Ergebnis aus:

09:22:48  Connection using NAT  TCP 
***.***.***.***  :  44937 ->
192.168.1.2  :  6666
[SYN]  len=64  ttl=125  tos=0x00  srcmac=00:00:00:00:00:00  dstmac=00:a1:b0:10:a0:4b


Sehe ich das richtig: Das NAT schickt brav die Pakete weiter, aber irgendein Angriffsmuster sieht VNC als generelle Bedrohung? Wenn ja, welches Muster ist das bzw. was muss ich abstellen?

Danke im Voraus für eure Hilfe!


This thread was automatically locked due to age.
  • 0
    Unter "Erweitert" bzw "advanced" kannst du die Entsprechende Regel deaktivieren (modify rules). Laut deinem Log wäre das wohl die "2101".

    Ansonsten kannst du es auch mit einer exception versuchen.
  • 0
    Danke schon mal für deine Antwort!

    Ich habe die Regel 2101 jetzt deaktiviert, dennoch springt sie im Log wieder darauf an, mit derselben Meldung wie vorhin... sehr komisch!

    Mit der exception bin ich nicht wirklich weitergekommen, da diese offenbar nur segmentweise arbeitet und ich damit größere Teile des Netzwerks bzw. den Server als gesamtes freilegen würde.

    So, aber jetzt hab ich über trial-and-error was gefunden: Die problematische Regel befindet sich in der Gruppe "operating-system specific attacks" => "others". Nach dem deaktivieren NUR dieser Gruppe läuft die VNC-Verbindung wieder durch. Wohl nicht die schönste Lösung, aber es funktioniert.
    Die Tatsache, dass die Regel immer noch greift, obwohl sie unter Erweitert disabled wurde, scheint wohl ein bug zu sein, oder?
  • 0
    Da bin ich leider überfragt... Du hast den Haken bei "Disable this rule" gesetzt? Sorry für die simplen Fragen aber manchmal übersieht man ja das offensichtliche. ;-)
    Ansonsten kann ich mir das gerade nicht erklären.
  • 0
    Nee, ist klar - im Endeffekt hakt es doch immer zu 99% an irgend einer kleinen Sache!
    Aber der Haken ist gesetzt - Regel-ID 2101 eingetragen und darunter "diese Regel deaktivieren" mit dem Haken versehen. Und natürlich gespeichert! ;-)

    Aber zumindest funktionierts jetzt erstmal wieder!
Unfiltered HTML