Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 5 subscribers
  • Views 1255 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Port 443 eingehend härten (wegen on-premises exchange) und Smartphones

peter meyer

Hallo, 

Frage1:  hätte jemand eine Idee ob man a) realisieren kann?

Frage2:  wenn Sophos WAF eingerichtet werden, wie würden die Smartphones dann mobil Email empfangen?

Frage3:  das man die "IP-Ranges" von T-Mobile Deutschland oder Vodafone kaufen kann ist un-wahrscheinlich oder? 

a)

Kann man erreichen das eingehend via Port 443 zum lokalen eigenen Exchange Server nur T-Mobile "erlaubt" sind?
Ziel: Härtung der 443 Verbindungen, Sophos WAF noch nicht vorhanden.

Grund: es werden nur T-Mobile-Smartphones mit Exchange-Email App verwendet (exchange 2013 vorhanden)
Die Smartphones haben anhand von www.wieistmeineip.de ja immer eine IP aus der Funkzelle mit 1000 anderen im gleichen Bereich. 
Der Endung vom rDNS: *.d1-online.com jedoch ist  m.W. nach immer gleich.

Outlook Anywhere nicht vorhanden.

Probleme:  man kann die öffentlichen IPs von T-Mobile scheinbar nicht so leicht öffentlich errmitteln, wäre ja egal wenn die Sophos Box den o.g. rDNS im FROM "resolven" könnte.

Bei Watchgard geht das m.A. nach nicht: (weil bei FROM kein rDNS bzw. Resolve durchgeführt wird.

https://www.watchguard.com/help/docs/help-center/en-US/Content/en-US/Fireware/policies/fqdn_about_c.html

Only A and CNAME records are used. Any other records are ignored

 

b)

WAF Anleitungen meines Wissens nach:  

https://www.frankysweb.de/exchange-2013-sophos-utm-9-3-waf-als-reverse-proxy-fr-outlook-anywhere-owa-activesync-und-autodiscover/

https://networkguy.de/secure-exchange-webservices-with-sophos-utm-waf/



This thread was automatically locked due to age.
Parents
  • 0

    Hallo,

    jede WAF Rule ist besser als DNAT.

    Die vorhandenen WAF-Policies bringen schon einiges und im Log sieht man, was alles geblockt wird.

    Ich verwende häufig Country-Blocking. Beschränkt man die Zugriffe auf Deutschland + angrenzende Länder, sind schon 95% der Welt ausgesperrt.

    Nicht vergessen: Ausnahmen für eingehende Mails ... die kommen heute ja von überall, auch wenn vom Nachbar gesendet.

    Die T-Com IP-Blöcke sollten herauszubekommen sein. Wenn man eine IP hat, bekommt man mit eine Suchmaschiene bei "whois xx.yy.zz.ss" auch die zugehörigen Netzblöcke.

    Zu den Anleitungen kann ich nichts sagen...


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

Reply
  • 0

    Hallo,

    jede WAF Rule ist besser als DNAT.

    Die vorhandenen WAF-Policies bringen schon einiges und im Log sieht man, was alles geblockt wird.

    Ich verwende häufig Country-Blocking. Beschränkt man die Zugriffe auf Deutschland + angrenzende Länder, sind schon 95% der Welt ausgesperrt.

    Nicht vergessen: Ausnahmen für eingehende Mails ... die kommen heute ja von überall, auch wenn vom Nachbar gesendet.

    Die T-Com IP-Blöcke sollten herauszubekommen sein. Wenn man eine IP hat, bekommt man mit eine Suchmaschiene bei "whois xx.yy.zz.ss" auch die zugehörigen Netzblöcke.

    Zu den Anleitungen kann ich nichts sagen...


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

Children
Unfiltered HTML