Schlagwort: UTM9

Kategorien
Firewall IT Security Server Sophos

Pre-Authentication Sophos UTM Webserver Protection

Auswahl des Authentifizierungsprofiles

Grundsätzlich stehen 2 Default-Profile zur Verfügung. Basic und das Advanced Form. Basic ist die Standard Authentifizierung des Browsers. Im Google Chrome sieht das Formular folgendermaßen aus:

Das Form kann Frei angepasst werden und sieht im Default wie folgt aus:

Zuweisen des Authentifizierungsprofiles

Im Site-Path Routing die Route für den richtigen Virtuellen Webserver auswählen und auf Editieren klicken.

An dieser Stelle kann das Authentifizierungsprofil ausgewählt werden.

Es ist außerdem möglich eine Passthrough-Authentifizierung einzurichten, sodass nur ein einmaliges Anmelden nötig ist.

Kategorien
Firewall IT Security Server Sophos

Sophos Webserver Protection | Reverse Proxy | Web Application Firewall

Anlegen des echten Webservers

Hier muss der echte Webserver angegeben werden, der veröffentlicht werden soll. Ich habe hier zur Demo meinen CheckMK Server verwendet. Dieser ist auf Port 443 erreichbar. Um den Server von extern via https erreichen zu können ist das an dieser Stelle aber noch nicht zwingend notwendig. Hier reicht http aus.

Anlegen Virtueller Webserver

Hier muss bei Interface das Interface gewählt werden über das der Virtuelle Webserver erreichbar sein soll. In meinem Fall das WAN-Interface. Bei Typ kannst du entscheiden, ob du http oder https verwenden möchtest. Ich empfehle hier https mit Umleitung von http.

Als Port kannst du hier ganz frei wählen. Wenn du noch weitere Anwendungen veröffentlichen willst und nur eine Domain zur verfügung hast macht es Sinn hier den Port anzupassen. Sonst kannst du alles auf 443 laufen lassen und über die Domäne erkennt die Sophos welcher Webserver angesprochen wurde. Auch, wenn alle auf die gleiche IP-Adresse zeigen.

Ein Zertifikat ist für https erforderlich. Hier kannst du ein selbst signiertes nehmen, eins hochladen oder einfach eins über Let’s Encrypt ausstellen. https://tech-base.club/ausstellen-von-lets-encrypt-zertifikaten-in-sophos-utm-9

Die Domain in dem Zertifikat bestimmt automatisch, welche Domain auf den Webserver zeigt.

Nun den echten Webserver auswählen.

Firewall Profile werden von Sophos viele als Presets vorgegeben. von Basic und Advanced Protection bis hin zu Profilen für MS Exchnageserver owa und Autodiscover.

Für CheckMK ist ein eigenes Profil erforderlich. Die Konfiguration sieht folgendermaßen aus:

Das wars auch schon, nun ist der Webserver über die Sophos abgesichert erreichbar.

Kategorien
Firewall IT Security Let's Encrypt Sophos

Ausstellen von Let’s Encrypt Zertifikaten in Sophos UTM 9

Vorbereitung

Als erstes das verwenden von Let’s Encrypt zulassen:

Ausstellen des Zertifikates

Anschließend in der Zertifikatsverwaltung unter Zertifikate ein neues Zertifikat erstellen:

Hier ist bei Methode Let’s Encrypt auszuwählen. Bei Schnittstelle muss das Interface der Sophos verwendet werden, das über das Internet erreichbar ist und auf das die DNS-Einträge der Domäne zeigen auf die du das Zertifikat ausstellen möchten.

Die Domäne oder bei Bedarf auch mehrere können im Reiter Domänen hinzugefügt werden. Wichtig ist, dass die IP-Adressen auf die die Domänen verweisen via Port 80 auf die Sophos zeigen. Sonst kann kein Zertifikat ausgestellt werden.

Häufiger Fehler

Ein häufiger Fehler ist, dass das Ausstellen des Zertifikates fehlschlägt da Country Blocking für eingehende Anfragen aktiviert ist. Dieses blockt natürlich dann auch die Let’s Encrypt Server, da diese zur Zeit noch nicht in Europa stehen.

Erneuern des Zertifikates

Grundsätzlich verlängert sich das Zertifikat automatisch. Falls dies fehlschlägt wird das Verlängern nach 24 Stunden erneut versucht. Du kannst das Erneuern des Zertifikates aber auch jederzeit selber anstoßen: