Thread Info
  • State Verified Answer
  • Locked Locked
  • Replies 17 replies
  • Subscribers 5 subscribers
  • Views 3889 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Fehlermeldung bei https Websites

Marcel Karl

Guten Tag,

wir haben derzeit ein regelmäßiges Problem mit unserer Firewall im Bereich Web-Filtering.
Die FW ist im Bereich Web Filtering auf transparent Mode gestellt, sowie die Standard Authentifizierung auf AD SSO.
Der HTTPS Scan ist auf URL filtering only gestellt.
Das HTTPS CA wird an die End-User auch verteilt.

Nun zum Problem. Alle 3-4 Wochen bekommen alle Nutzer eine Fehlermeldung der FW, dass die Website blockiert sei.
Unser aktueller Workaround ist es eine http Website, wie http://bild.de zu öffnen. Danach lässt sich auch jede https Website wieder öffnen.

Das wird aber nicht ewig lange gut gehen. 

Hat hier jemand einen Rat?



This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to Marcel Karl

    Hallo Marcel,

    Please show pictures of the 'Default Web Filter Profile' and of the Policies.  For some reason, the user initially fails to qualify for the 'Default content filter action' as the blocks are all done by the 'Default content filter block action'.  Does this also happen on other PCs?

    MfG - Bob (Bitte auf Deutsch weiterhin.)
    PS I'm like you, just with English and German switched. Wink

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson

    Hallo Bob,

    hier die Bilder der "Default Web Filter Profile" und der Policies.

    Ich glaube hier schon den Fehler gefunden zu haben.
    Die Policy 'Default Content Filter profile assignment' erlaubt einige Kategorien, die die Base Policy zuvor oder danach blockt. 
    Also eventuell ein Policy Konflikt? Oder der Block setzt sich durch, weil verneinen ja immer stärker ist von der Berechtigung.

    Gruß

    Marcel

    Policies:

    Base Policy: 'Default content filter block action':

    Default content filter profile assignment: 'Default content filter action'

  • 0 in reply to Marcel Karl

    Please show a picture of the "Default content filter profile assignment" Policy with 'Advanced' open.

    MfG - Bob (Bitte auf Deutsch weiterhin.)

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson

    Hallo Bob,

    Sorry war die letzten Tage verhindert.

    Hier das gewünschte Bild:

    Grüße

    Marcel

  • 0 in reply to Marcel Karl

    It's still a mystery why the initial requests did not qualify for the 'Default content filter action'.  How about a picture of the 'Global' tab?

    MfG - Bob (Bitte auf Deutsch weiterhin.)

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to Marcel Karl

    Hallo Bob,

    wie gewünscht hier das Bild des "global Tab".

    Die Device Specific Authentfizierung hatten wir mal zum Test aktiviert. Das hat jedoch auch nicht geholfen.

    Gruß

    Marcel Karl

  • +1 in reply to Marcel Karl

    Now we see it, Marcel - "authentication failure" is the reason.  That's supported by the fact that the log lines show "block" when the user is "" and "pass" when it's "joelgl".  That seems like a problem with the AD server or your LAN instead of Web Filtering on the UTM.

    MfG - Bob (Bitte auf Deutsch weiterhin.)

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • +1 in reply to BAlfson

    Hallo Bob,

    also muss ich entweder schauen, woran es am Domain Controller liegt oder ich nehme den Haken raus.
    Dann greift aber vermutlich die Filterung für die Benutzer nicht mehr oder?

    Ich habe gerade eben auch noch gelesen, dass es wohl eine Limitation des AD/SSO gibt.
    Hier mal der englische Auszug und Link:

    support.sophos.com/.../KB-000035087

    Limitations of AD SSO

    You can authenticate only standard HTTP requests through the proxy when using AD/SSO in Transparent Mode.
    This only works when your browser makes a standard (non HTTPS) web request, and may not work for the applications and services listed below:   

    • HTTPS
    • Any URL with a parameter
    • AJAX requests
    • Any application which does not contain Mozilla in the User Agent string (non browser)

    However, in UTM F/W >= 9.111, the proxy will use the last successful cached authentication for the same user, when non-standard web requests (HTTPS) are made, or when a non-browser application makes a web request.

    This feature will prevent further authentication challenges from the proxy as long as there is an initial (successful) standard HTTP request which has been authenticated.

    Gruß Marcel

  • +1 in reply to Marcel Karl

    Vielen Dank, Marcel !  Since I've always used Standard mode when configuring with AD/SSO, I've never run into this.

    In fact, if you configure the PCs to use the Proxy explicitly, Web Filtering will react as if you had configured it in Standard mode, so the limitation of being in Transparent would disappear.

    MfG - Bob (Bitte auf Deutsch weiterhin.)

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson

    Hallo Bob,

    vielen Dank für die Hilfe, das hat mich sehr weiter gebracht.
    Ich werde mal die letzten 3 Posts als Antwort markieren.

    Gruß Marcel

Unfiltered HTML