Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 13 replies
  • Subscribers 1 subscriber
  • Views 9670 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Web Protection Blocking All Traffic

ltdowntown
Hello!  I'm testing UTM 9.3 in full transparent mode with no authentication (first time using Sophos).  I have UTM set up as a VM sitting between two virtual switches "internal" and "external."  "External" connects to the LAN of my network.  "Internal" has only a test Windows machine on the same subnet as my LAN, which is forced to send all traffic through the UTM.  The UTM has three network interfaces.  One is used for management, and two interfaces are bridged, with one interface on "internal" and one on "external."

I have an ANY/ANY firewall rule, allowing all traffic to pass.  In this configuration, everything works.  My main testing revolves around Web Protection and Web Reporting.  Web Protection is set to pass all, but log activity.  When I enable Web Protection with Allowed Networks of "Any," I am not able to reach the internet.  However, I am able to ping to the internet and resolve DNS queries. The live log shows my requests from my test Windows machine, and even recognizes forbidden URL requests.

If I remove "Any" from Allowed Networks and replace it with "Bridge (Network)," I am able to reach the internet from my test Windows machine.  Unfortunately, with "Any," the live log does not show my requests, and I'm able to reach blocked websites.  No traffic is logged.

I have attempted to configure a single host with just the IP address of my Windows machine, but I still can't reach the internet, even though the live log shows the requests.  

What am I missing?  [:S]

Thanks in advance for any suggestions you can provide.


This thread was automatically locked due to age.
Parents
  • 0
    Hi, and welcome to the User BB!

    Statuscode="504" means that the server did not like the proxy.  I have no problem with this here, so it must be your configuration/topology.  I wish I had an idea of what could be causing this.  The only thing I can think of is burning the ISO to a new CD at a speed of 4x or less and then re-installing from scratch.  Hopefully, someone else here has an idea.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    Hi, and welcome to the User BB!

    Statuscode="504" means that the server did not like the proxy.  I have no problem with this here, so it must be your configuration/topology.  I wish I had an idea of what could be causing this.  The only thing I can think of is burning the ISO to a new CD at a speed of 4x or less and then re-installing from scratch.  Hopefully, someone else here has an idea.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
  • 0 in reply to BAlfson
    I'm getting the same problem too. The UTM has been placed between a switch and an ASA using an Ethernet bridge. All the traffic goes through OK until Web Protection is switched on and then no http or https traffic is passed. After switching it back off, it goes through OK. I followed the instructions in this article:
    https://www.sophos.com/en-us/support/knowledgebase/119360.aspx
    (apart from giving the application control part)

    Here's the web protection log:

    2015:08:24-09:07:01 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="main" file="httpproxy.c" line="271" message="reading configuration"
    2015:08:24-09:07:01 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="parse_address" file="util.c" line="464" message="getaddrinfo: passthrough6.fw-notify.net: Name or service not known"
    2015:08:24-09:07:01 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_filter" file="confd-client.c" line="3545" message="failed to resolve passthrough6.fw-notify.net, using 2a01:198:200:680::8080"
    2015:08:24-09:07:02 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="main" file="httpproxy.c" line="295" message="caching templates"
    2015:08:24-09:07:02 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="main" file="httpproxy.c" line="298" message="reading profiles"
    2015:08:24-09:07:02 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="scanner_init" file="aptpscanner.c" line="173" message="ATP unavailable"
    2015:08:24-09:07:36 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="scanner_init" file="saviscanner.c" line="371" message="Successfully loaded SAVI threat data, engine 3.61.0, threat data 5.17 from 21/7/2015 (9570220 detected threats)"
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="main" file="httpproxy.c" line="337" message="notifiying argos daemon
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="argos_notify" file="httpproxy.c" line="199" message="connect: Connection refused"
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="main" file="httpproxy.c" line="343" message="finished startup"
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: Integrated HTTP-Proxy (c) 2007-2015 Sophos Ltd, Release 182.ge50f432
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_reload_func" file="confd-client.c" line="580" message="reloading config"
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="parse_address" file="util.c" line="464" message="getaddrinfo: passthrough6.fw-notify.net: Name or service not known"
    2015:08:24-09:07:37 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_filter" file="confd-client.c" line="3545" message="failed to resolve passthrough6.fw-notify.net, using 2a01:198:200:680::8080"
    2015:08:24-09:07:39 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_reload_func" file="confd-client.c" line="636" message="reloading config done, new version 38"
    2015:08:24-09:07:58 opsfltr01 URID[17593]: T=17593 ------ 2   - Warning: EARLY TIMEOUT: dns context 0 has 5832 ms before it should time out\n
    2015:08:24-09:08:57 opsfltr01 URID[17593]: T=17593 ------ 2   - Warning: EARLY TIMEOUT: dns context 1 has 5993 ms before it should time out\n
    2015:08:24-09:09:32 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_reload_func" file="confd-client.c" line="580" message="reloading config"
    2015:08:24-09:09:32 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="parse_address" file="util.c" line="464" message="getaddrinfo: passthrough6.fw-notify.net: Name or service not known"
    2015:08:24-09:09:32 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_filter" file="confd-client.c" line="3545" message="failed to resolve passthrough6.fw-notify.net, using 2a01:198:200:680::8080"
    2015:08:24-09:09:32 opsfltr01 URID[17593]: T=17593 ------ 1 - [exit] SIGTERM: exiting
    2015:08:24-09:09:34 opsfltr01 httpproxy[17660]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="confd_config_reload_func" file="confd-client.c" line="636" message="reloading config done, new version 39"

    I've logged a call with Sophos Support for it.
    Thanks.
Unfiltered HTML