Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 5 subscribers
  • Views 1254 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Port 443 eingehend härten (wegen on-premises exchange) und Smartphones

peter meyer

Hallo, 

Frage1:  hätte jemand eine Idee ob man a) realisieren kann?

Frage2:  wenn Sophos WAF eingerichtet werden, wie würden die Smartphones dann mobil Email empfangen?

Frage3:  das man die "IP-Ranges" von T-Mobile Deutschland oder Vodafone kaufen kann ist un-wahrscheinlich oder? 

a)

Kann man erreichen das eingehend via Port 443 zum lokalen eigenen Exchange Server nur T-Mobile "erlaubt" sind?
Ziel: Härtung der 443 Verbindungen, Sophos WAF noch nicht vorhanden.

Grund: es werden nur T-Mobile-Smartphones mit Exchange-Email App verwendet (exchange 2013 vorhanden)
Die Smartphones haben anhand von www.wieistmeineip.de ja immer eine IP aus der Funkzelle mit 1000 anderen im gleichen Bereich. 
Der Endung vom rDNS: *.d1-online.com jedoch ist  m.W. nach immer gleich.

Outlook Anywhere nicht vorhanden.

Probleme:  man kann die öffentlichen IPs von T-Mobile scheinbar nicht so leicht öffentlich errmitteln, wäre ja egal wenn die Sophos Box den o.g. rDNS im FROM "resolven" könnte.

Bei Watchgard geht das m.A. nach nicht: (weil bei FROM kein rDNS bzw. Resolve durchgeführt wird.

https://www.watchguard.com/help/docs/help-center/en-US/Content/en-US/Fireware/policies/fqdn_about_c.html

Only A and CNAME records are used. Any other records are ignored

 

b)

WAF Anleitungen meines Wissens nach:  

https://www.frankysweb.de/exchange-2013-sophos-utm-9-3-waf-als-reverse-proxy-fr-outlook-anywhere-owa-activesync-und-autodiscover/

https://networkguy.de/secure-exchange-webservices-with-sophos-utm-waf/



This thread was automatically locked due to age.
  • 0

    Hallo,

    jede WAF Rule ist besser als DNAT.

    Die vorhandenen WAF-Policies bringen schon einiges und im Log sieht man, was alles geblockt wird.

    Ich verwende häufig Country-Blocking. Beschränkt man die Zugriffe auf Deutschland + angrenzende Länder, sind schon 95% der Welt ausgesperrt.

    Nicht vergessen: Ausnahmen für eingehende Mails ... die kommen heute ja von überall, auch wenn vom Nachbar gesendet.

    Die T-Com IP-Blöcke sollten herauszubekommen sein. Wenn man eine IP hat, bekommt man mit eine Suchmaschiene bei "whois xx.yy.zz.ss" auch die zugehörigen Netzblöcke.

    Zu den Anleitungen kann ich nichts sagen...


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • 0 in reply to dirkkotte

    Guten Morgen, 

    danke für Kommentar!

    >Ich verwende häufig Country-Blocking. Beschränkt man die Zugriffe auf Deutschland + angrenzende Länder, sind schon 95% der Welt ausgesperrt.

    Bei ESET Mail Security unter LOG Netzwerkschutz kann man das auch gut sehen, das die 443 Angriffe abprupt aufhören sobald Country-Blocking aktiviert wird.

    >Die T-Com IP-Blöcke sollten herauszubekommen sein. Wenn man eine IP hat, bekommt man mit eine Suchmaschiene bei "whois xx.yy.zz.ss" auch >die zugehörigen Netzblöcke.

    Ok, danke auf diesen Seiten kann man "scheinbar" auch fündig werden.
    Ich vermute jedoch das Ziel "nur T-Mobile Deutschland" eingehend für Port 443 zu erlauben unrealistisch ist, weil 

    a) die Outlook App würde im Homeoffice WLAN nicht funktionieren (weil der Aussendienstler Vodafone hat) und man kann in der App nicht festlegen wie sie ins Internet geht

    b) bei T-Mobile gibt es einfach zuviele IP/Networks:

    https://bgpview.io/reports/countries/DE

    https://www.ripe.net/manage-ips-and-asns/db

    networksdb.io/.../deutsche-telekom-ag

  • 0 in reply to peter meyer

    Daher beschränke ich mich meist auf "Deutschland" .... hier sitzen doch eh nur die "Guten"  ;-)


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • 0 in reply to dirkkotte

    Moin,

    ich empfehle und nutze ebenfalls Country-Blocking (alles blockieren aus DE) für die WAF. Guter Hinweis die CB-Ausnahme für den SMTP-Proxy.

    Bitte ggf. die neuste WAF-Anleitung von Franky nutzen, hat noch ein paar Optimierungen welche auch für Exchange 2013 laufen:

    Sophos UTM 9.6: Let's Encrypt, Webserver Protection und Exchange 2016/2019 - Frankys Web

Unfiltered HTML