Netzwerkgeräte / VLAN komplett freigeben (WAN out)

Halo fromthenorth ,

Vielen Dank, dass Sie sich an die Community gewandt haben. Ist die Protokollierung in den FW-Regeln aktiviert?

Halo fromthenorth ,

Vielen Dank, dass Sie sich an die Community gewandt haben. Ist die Protokollierung in den FW-Regeln aktiviert?

Hallo,

die Protokollierung ist aktiv und die Ergebnisse sehe ich. Es sind mehrere ext. IP-Adresse auf die Ports 123 und 1883 (Telemetrie). Im Webfilter wird weiterhin nichts angezeigt.

Können Sie die Ausgabe der Festplattenauslastung teilen?
Befehl  (aus dem Shell-Zugriff): #df -kh 

Ich sehe Ergebnisse anderer Netze im Webfilter. Die Firewall ist produktiv. Aus dem Netzwerk erhalte ich keine Ausgabe der Aktivitäten.

Eingestellt habe ich noch:

Unter Web Protection - Filtering Options - Misc sind noch eingestellt:

Allowed Target Services: Services/Ports 123/1883
Skip Transparent Mode Source Hosts/Nets: "VLAN XX"

können Sie die folgende Ausgabe teilen:
> df-kh
> ls -lrt /var/storage/cores
> tail -f /var/log/kernel.log
> tail -f /var/log/system.logs
>tail -f var/log/packet filtering.log

Hier sind die Ausgaben.

sophos01:/home/login # df -kh
Filesystem Size Used Avail Use% Mounted on
/dev/sda6 5.2G 4.8G 150M 98% /
udev 5.9G 104K 5.9G 1% /dev
tmpfs 5.9G 112K 5.9G 1% /dev/shm
/dev/sda1 331M 16M 295M 5% /boot
/dev/sda5 90G 4.8G 80G 6% /var/storage
/dev/sda7 117G 13G 99G 11% /var/log
/dev/sda8 4.9G 534M 4.1G 12% /tmp
/dev 5.9G 104K 5.9G 1% /var/storage/chroot-clie ntlessvpn/dev
tmpfs 5.9G 0 5.9G 0% /var/sec/chroot-httpd/de v/shm
/dev 5.9G 104K 5.9G 1% /var/sec/chroot-openvpn/ dev
/dev 5.9G 104K 5.9G 1% /var/sec/chroot-ppp/dev
/dev 5.9G 104K 5.9G 1% /var/sec/chroot-pppoe/de v
/dev 5.9G 104K 5.9G 1% /var/sec/chroot-pptp/dev
/dev 5.9G 104K 5.9G 1% /var/sec/chroot-pptpc/de v
/dev 5.9G 104K 5.9G 1% /var/sec/chroot-restd/de v
tmpfs 5.9G 0 5.9G 0% /var/storage/chroot-reve rseproxy/dev/shm
/opt/tmpfs 5.2G 4.8G 150M 98% /var/sec/chroot-httpd/op t/tmpfs
/var/storage/chroot-smtp/spool 90G 4.8G 80G 6% /var/sec/chroot-httpd/va r/spx/spool
/var/storage/chroot-smtp/spx 90G 4.8G 80G 6% /var/sec/chroot-httpd/va r/spx/public/images/spx
/etc/nwd.d/route 5.2G 4.8G 150M 98% /var/sec/chroot-ipsec/et c/nwd.d/route
tmpfs 5.9G 194M 5.7G 4% /var/storage/chroot-http /tmp
/var/sec/chroot-afc/var/run/navl 5.2G 4.8G 150M 98% /var/storage/chroot-http /var/run/navl
tmpfs 5.9G 60K 5.9G 1% /var/storage/chroot-smtp /tmp/ram
/var/storage 90G 4.8G 80G 6% /var/sec/chroot-snmp/var /storage
/var/log 117G 13G 99G 11% /var/sec/chroot-snmp/var /log

sophos01:/home/login # ls -lrt /var/storage/cores
total 465884
-rw-r--r-- 1 root root 12111872 Nov 30 2021 httpd.11203
-rw-r--r-- 1 root root 12120064 Feb 14 2022 httpd.31049
-rw-r--r-- 1 root root 48713728 Feb 16 2022 vncfreerdp.14650
-rw-r--r-- 1 root root 48476160 Feb 16 2022 vncfreerdp.15121
-rw-r--r-- 1 root root 48672768 Feb 16 2022 vncfreerdp.9584
-rw-r--r-- 1 root root 48521216 Feb 16 2022 vncfreerdp.9883
-rw-r--r-- 1 root root 48652288 Feb 16 2022 vncfreerdp.11248
-rw-r--r-- 1 root root 2596864 Mar 1 2022 argos.7566
-rw-r--r-- 1 root root 2596864 Mar 1 2022 argos.6511
-rw-r--r-- 1 root root 2596864 Mar 1 2022 argos.7293
-rw-r--r-- 1 root root 2592768 Mar 16 2022 argos.6699
-rw-r--r-- 1 root root 2592768 Mar 16 2022 argos.7491
-rw-r--r-- 1 root root 20774912 Jun 2 2022 httpd.31324
-rw-r--r-- 1 root root 20512768 Jun 22 2022 httpd.9598
-rw-r--r-- 1 root root 155529216 Aug 8 08:32 httpd.15273

sophos01:/home/login # tail -f /var/log/kernel.log
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766243] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766306] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766368] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766561] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766629] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766694] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766757] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766820] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766882] nf_queue: full at 2048 entries, dropping packets(s)
2023:01:30-12:30:12 sophos01-2 kernel: [22809030.766944] nf_queue: full at 2048 entries, dropping packets(s)

sophos01:/home/login # tail -f /var/log/system.logs
tail: cannot open `/var/log/system.logs' for reading: No such file or directory

sophos01:/home/login # tail -f var/log/packet filtering.log
tail: cannot open `var/log/packet' for reading: No such file or directory
tail: cannot open `filtering.log' for reading: No such file or directory

Basierend auf den Kernel-Protokollen sieht es so aus, als würde der Snort-Prozess für eine Weile hängen bleiben. Was ist das Regelalterslimit für Angriffsmuster in der UTM für IPS?

Möglicherweise haben wir es hier mit starkem Datenverkehr zu tun, und die Verringerung des Regelalterslimits kann die Leistung steigern. Außerdem würde ich Ihnen empfehlen, die queue_length auf 8192 zu erhöhen, bevor Sie das rule_age-Limit ändern. Führen Sie den folgenden Befehl über die Shell in der UTM als root aus.

Bitte beachten Sie das KBA - Niedriger Durchsatz mit Intrusion Prevention

Nachdem Sie die Änderungen vorgenommen haben, beobachten Sie die Situation an Ihrer Seite und lassen Sie mich wissen, wenn das Problem erneut auftritt.

HINWEIS: Wenn Sie einen lizenzierten Support haben, würde ich Ihnen empfehlen, das Support-Team anzurufen, um diese Änderungen über CC vorzunehmen.

Hallo,

die Lösung ist gefunden worden. Parallel hat die Antenne nicht gesendet und die falsche Regel "VLANXX - any - Ethernet (WAN)" war eingetragen. Any ist jetzt als Ziel hinterlegt und es ist alles in Ordnung.

Vielen Dank für die Hilfe!

Hallo FTN,

(Sorry, my German-speaking brain isn't creating thoughts at the moment. )

That was my guess when I saw this thread just now.  I was going to ask you to post a picture of the Edit of your firewall rule to confirm.  It's always a good policy to post original data instead of describing what only you can see.

MfG - Bob (Bitte auf Deutsch weiterhin.)