This discussion has been locked.

You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Sophos XG - SFOS 19.5.1 MR-1-Build278 Firewall Deny obwohl Connection zu anderer Zeit erlaubt wurde

Hallo,

wir haben eine Sophos XG im Einsatz um einen IPSec Tunnel aus Azure in ein OnPrem Datacenter zu verbinden.

Das spannende ist das wir Pakete sehen die nachdem sie durch den Tunnel gekommen sind durch eine FW Rule geblockt worden, ein anderes Paket hingegen wurde dann durchgelassen. Unterschied ist nur die SRC/DST Port Kombiniation

Hier ein Log wo von der Src IP ein Paket zugelassen wird, im nächsten Moment wird es gedropped. Das Ziel ist eine IP in einem Subnet das freigegeben ist in den FW Rules.

Spannend ist das die FW bei TCP Paketen niemals solche Drops zu sehen sind sondern immer bei UDP Paketen

Ich kann nicht sehen woran die FW festmacht das ein Paket gedropped wird und ein anderes nicht. Gibt es evtl. noch weitere Loggingmöglichkeiten um dem Effekt auf den Grund zu gehen?

Gruß

This thread was automatically locked due to age.

0 LuCar Toni over 1 year ago

Was siehst du, wenn du ein Mouse Over über den Drop machst?

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 André Rink over 1 year ago in reply to LuCar Toni

Hier ein Auszug aus einem aktuellen Drop in ähnlicher Konstellation

Und hier mal ein Paket das Allowed ist:
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni over 1 year ago in reply to André Rink

Filter nach den IP Addressen von dir angegeben (als Plain text) im Logviewer und schalte den erweiterten View im Logviewer ein. Schau ob ein anderes Module das auslöst.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 André Rink over 1 year ago in reply to LuCar Toni

Ich habe mal eines rausgefiltert. Ich hoffe das ist die richtige Sicht. Ich kann aber hier auch nur wieder die FW sehen die hier greift
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni over 1 year ago in reply to André Rink

Du könntest auf der CLI ein live Packet dropping aktivieren und dann warten, bis es erneut auftritt.
Unter der Advanced Shell: drppkt

Kannst du auch mit drppkt | grep IP_Address kombinieren.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 André Rink over 1 year ago in reply to LuCar Toni

Wir sehen gerade das Pakete die verworfen werden ein app_name = X-VPn und ein App_Risk = 5 stehen haben...ist das ein Application Filter der greift? Wie können wir den deaktivieren?
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni over 1 year ago in reply to André Rink

Diese Drops müsstest du jedoch auch im Logviewer sehen, wenn du auf Detailed view umschaltest. Du kannst oben Rechts alle Module auswählen.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 André Rink over 1 year ago in reply to LuCar Toni

OK da sehe ich leine Logeinträge. In der FW Rule ist auch kein Application Filtering an(App Control) bzw. es steht auf None

Das live packet dropping lasse ich gereade laufen
Cancel
Vote Up 0 Vote Down

Cancel
0 André Rink over 1 year ago in reply to André Rink

Hab drppkt | grep 10.112.109.4 laufen und habe keinen Logeintrag, sehe aber im GUI Log zu der Zeit wo der Trace läuft folgendes:

Wie passt das nun zusammen?
Cancel
Vote Up 0 Vote Down

Cancel
0 André Rink over 1 year ago in reply to André Rink

Hab auch ohne Filter laufen lassen... sehe dort keine Dropped packets mit irgendeiner der IP's um die es geht, sehe aber sehr wohl andere erwartbare Drops, heißt das die FW droppt keine Pakete und das Log im GUI erzählt Blödsinn?
Cancel
Vote Up 0 Vote Down

Cancel