UTM Archive - Tech Base

Pre-Authentication Sophos UTM Webserver Protection

Auswahl des Authentifizierungsprofiles

Grundsätzlich stehen 2 Default-Profile zur Verfügung. Basic und das Advanced Form. Basic ist die Standard Authentifizierung des Browsers. Im Google Chrome sieht das Formular folgendermaßen aus:

Das Form kann Frei angepasst werden und sieht im Default wie folgt aus:

Zuweisen des Authentifizierungsprofiles

Im Site-Path Routing die Route für den richtigen Virtuellen Webserver auswählen und auf Editieren klicken.

An dieser Stelle kann das Authentifizierungsprofil ausgewählt werden.

Es ist außerdem möglich eine Passthrough-Authentifizierung einzurichten, sodass nur ein einmaliges Anmelden nötig ist.

Sophos Webserver Protection | Reverse Proxy | Web Application Firewall

Anlegen des echten Webservers

Hier muss der echte Webserver angegeben werden, der veröffentlicht werden soll. Ich habe hier zur Demo meinen CheckMK Server verwendet. Dieser ist auf Port 443 erreichbar. Um den Server von extern via https erreichen zu können ist das an dieser Stelle aber noch nicht zwingend notwendig. Hier reicht http aus.

Anlegen Virtueller Webserver

Hier muss bei Interface das Interface gewählt werden über das der Virtuelle Webserver erreichbar sein soll. In meinem Fall das WAN-Interface. Bei Typ kannst du entscheiden, ob du http oder https verwenden möchtest. Ich empfehle hier https mit Umleitung von http.

Als Port kannst du hier ganz frei wählen. Wenn du noch weitere Anwendungen veröffentlichen willst und nur eine Domain zur verfügung hast macht es Sinn hier den Port anzupassen. Sonst kannst du alles auf 443 laufen lassen und über die Domäne erkennt die Sophos welcher Webserver angesprochen wurde. Auch, wenn alle auf die gleiche IP-Adresse zeigen.

Ein Zertifikat ist für https erforderlich. Hier kannst du ein selbst signiertes nehmen, eins hochladen oder einfach eins über Let’s Encrypt ausstellen. https://tech-base.club/ausstellen-von-lets-encrypt-zertifikaten-in-sophos-utm-9

Die Domain in dem Zertifikat bestimmt automatisch, welche Domain auf den Webserver zeigt.

Nun den echten Webserver auswählen.

Firewall Profile werden von Sophos viele als Presets vorgegeben. von Basic und Advanced Protection bis hin zu Profilen für MS Exchnageserver owa und Autodiscover.

Für CheckMK ist ein eigenes Profil erforderlich. Die Konfiguration sieht folgendermaßen aus:

Das wars auch schon, nun ist der Webserver über die Sophos abgesichert erreichbar.