WAF Security

Hi, the WAF proxy is not restricted via firewall rules.

What do you want to block?

Barry

hi BarryG,
is there any way to restrict the waf proxy to some IPs or something like that?
here is the question in more detail:
we have got a web application running on port ***X on a real web server behind the Astro UTM 120,and we can just use Dnat to transfer the traffic from astro interface to our webserver running that application and create some firewall rules for our Dnat. but we are gonna use WAF and it's advanced protection to transfer the traffic but this way those firewall rules are not gonna work as u confirm it.
what should we do to use waf and some restriction rules for my waf proxy?


regards
Shahram

First, consider #2 in https://community.sophos.com/products/unified-threat-management/astaroorg/f/51/t/22065.

I'm still not sure what you want to do - do you want to limit access to just a few IPs?  If that's the case, then make two NAT rules, in order:

• NoNAT : {Allowed IPs} -> {port ***X} -> External (Address)
  
• DNAT : Internet -> {port ****X} -> External (Address) : to {non-existent IP}

Cheers - Bob

First, consider #2 in http://www.astaro.org/gateway-products/general-discussion/49065-rulz.html.

I'm still not sure what you want to do - do you want to limit access to just a few IPs?  If that's the case, then make two NAT rules, in order:

• NoNAT : {Allowed IPs} -> {port ***X} -> External (Address)
  
• DNAT : Internet -> {port ****X} -> External (Address) : to {non-existent IP}

Cheers - Bob

hi Bob, thanks for help but i have got another question, is the NoNat rule you have mentioned here for the blocking IPs on web application firewall? or let me make it cristal clear!

i have got a vm with a private ip (192.x.x.x) behind my UTM astro 120 ...the UTM Astro has got two interface assigned to it ...one has got a public ip address and the other one has got the same range and subnet as my private ip(192.x.x.x)

the problem is when i try to use DNAT rules (internet -> (private ip : port)  ) the web application firewall (after creating real and virtual web server)
and if i use the waf rules to bypass the traffic to my web server those firewall rules wont act as they should !

do i need another interface or device to be assigned to my structure ? for ex internet ===>using DNAT to 3rd interface ===> use waf to bypass the traffic to my real web server?

regards
shahram

Just try what I suggested.  The NoNAT rule is what allows selected IPs to reach the WAF.  The DNAT rule sends all other attempts to reach your server into a black hole.

Cheers - Bob