Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Zugriff auf internen Exchange vom Gast-WLAN

Hallo zusammen;

ich habe ein Problem bei dem sich der Sophos-Support leider auch die Zähne aus beißt.

Gegeben ist ein OneAccess-Router von O2 auf den nur O2 Zugriff hat, eine XGS116 und ein APX320. Intern steht unter anderem ein MS Exchange Server. Es sind 2 SSIDs auf der XGS116 konfiguriert. Ein internalwlan (bridge ins interne Netzwerk) und ein externalwlan (für private Handys etc.) das keinen Zugriff auf das interne Netzwerk hat. Nun müssen bestimmte Geräte aus dem externalwlan aber Mails vom internen Exchange abrufen. Eine NAT-Regel kommt hier nicht in Frage da man dadurch die WAF umgehen würde. Ich hatte das Problem auf einer SG115 vor ein paar Jahren schon einmal. Da wurde schlussendlich nur ein Objekt, das auf die Subdomain des Exchange verweist, angelegt aber mit der IP des WAN-Ports der SG anstatt der eigentlichen öffentlichen IP der Subdomain. Dadurch wurde der Datenverkehr am WAN-Port der SG „umgebogen“ und lief wieder nach intern (durch die WAF). Das geht aber auf der XGS116 nicht mehr. Wurde schon getestet. Hat jemand eine Idee wie man das auf der XGS116 realisieren kann?

 

Grüße

Simson



This thread was automatically locked due to age.
Parents
  • Hallo,

    ganz frisch getestet - 3 Varianten und alle funktionieren ...

    - am externen Router gibt es bei mir ein Portforwarding zur ext. FW-IP, welches auch funktioniert, wenn man von "drinnen" kommt - geht

    - DNS-Eintrag auf die externe Firewall-IP gedreht - in der WAF "block unknown countries" rausgenommen - geht

    - DNS Eintrag auf die interne IP und die WAF-regel kopiert und an das interne Interface gebunden - geht

    Was sagt denn der LogViewer unter "WebserverProtection"?


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • PS: könnte natürlich noch Probleme geben, wenn die Clientgeräte deinen DNS nicht nutzen oder gezielt umgehen ...


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Hallo Dirk,

    vielen Dank für die Antworten. Kannst du mir bitte sagen wie du das genau gemacht hast? "DNS-Eintrag auf die externe Firewall-IP gedreht"

    Wegen dem DNS: Die Schnittstelle externalwlan hat die IP 172.16.28.254. Das müsste ich dann auch im DHCP des externalwlan auf der XGS als DNS eintragen, oder?

  • "Das müsste ich dann auch im DHCP des externalwlan auf der XGS als DNS eintragen, oder?"
    genau.
    Um die Exchange-WAF-DNS-Auflösung zu manipulieren, muss die Firewall DNS-Server für das Gast-Netz sein. Das bringt man den Clients via DHCP bei.
    Und unter "Netzwerk / DNS / DNS host entry" kannst du "eigene" DNS-Einträge hinterlegen, die vor "echten" Vorrang haben.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

Reply
  • "Das müsste ich dann auch im DHCP des externalwlan auf der XGS als DNS eintragen, oder?"
    genau.
    Um die Exchange-WAF-DNS-Auflösung zu manipulieren, muss die Firewall DNS-Server für das Gast-Netz sein. Das bringt man den Clients via DHCP bei.
    Und unter "Netzwerk / DNS / DNS host entry" kannst du "eigene" DNS-Einträge hinterlegen, die vor "echten" Vorrang haben.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

Children
  • Ok. Ich habe der Exchange-URL per statischem DNS-Eintrag die IP der WAN-Schnittstelle der XGS gegeben und im DHCP des externalwlan das DNS auf die IP 172.16.28.254 angepasst. Testen kann ich es aber leider erst morgen. Ich melde mich dann nochmal.

  • Hallo Dirk. Die Prüfung hat länger gedauert als geplant. Es gab noch Probleme die aber nichts mit diesem Fall zu tun haben. Unterm Strich funktioniert jetzt alles. Dank deinem Konfigurationsvorschlag. Vielen Dank für deine Hilfe.

    Grüße

    Simson