Gestern bin ich über das folgende Problem gestolpert:

In Versionen 11.11.x bis 11.12.2 gibts manchmal probleme beim Cluster-Upgrade.

Symtom:

• Update des Clusters im Policy Manager klappt scheinbar erfolgreich: Popup “upgrade erfolgreich” erscheint
• Die Box läuft nach Reboot weiter auf altem OS bzw. wird manchmal erst gar nicht rebootet (zu sehen anhand der Uptime der jeweiligen Box im FSM (Frontpage bzw. Status-Report)
• Web-UI im Bereich Firmware-Upgrade sagt: Upgrade failed
• FSM => Status-Report => [support] => zeigt einen Fehler “upgrade / assertion failed”

Lösung:

In diesem Fall kann man mit dem WSM auf die Management-IPs der jeweiligen Boxen connecten anstelle auf die Cluster-IP. Danach funktioniert das Update der jeweiligen Boxen. (Meistens – eine Box mußte ich auch hier 2x upgraden). Bitte darauf achten, beide Boxen zu aktualisieren, damit der Cluster hinterher auch wirklich auf dem gleichen Build läuft.

Weitere Infos dazu gibt es in diesem Knowledge-Base-Artikel.

Beim Update auf die Versionen 1.11.2, 11.11.4 oder 11.11.4U1 werden die Partition-Größen der Flash Card auf der Firebox angepasst.

In seltenen Fällen kann es dazu dazu kommen, daß der Compact Flash  Speicher anschließend nicht mehr lesbar ist.

In diesen Fällen kann die Firewall nicht mehr booten und auch nicht mehr wiederhergestellt werden. Dieser Zustand efordert einen RMA austausch.

In Version 11.11.4 U2 und neuer wird die Partition Size nicht mehr vergrößert,

Die Modelle  M400/M500 sollten auf v11.12 U1 oder höher aktualisiert werden.

Für das Modell M440 ist der Fix in Version 11.12.1 oder höher enthalten.

Mehr Infos dazu sind im entsprechenden Knowledge-Base-Artikel 000009881 zu finden.

Update: 09.05.2017: Es gibt ein neues Fireware-Release 11.12.2U1, das dieses Problem behebt. 

Wie in einer Meldung auf heise.de heute erwähnt wurde, kam es in der letzten Zeit wohl durch Security Scans einer Universität und der Verwendung von kritischen IKEv2-Paketen zu Abstürzen des iked auf WatchGuard Appliances. Die Scans kamen von 158.130.6.191, einer IP der University of Pennsylvania und sollten keinen Angriff darstellen. Von den Projektbetreibern wird empfohlen, die IP in der Firewall zu sperren.

Weiterlesen »

Bei manchen Installationen zeigt die WatchGuard in Verbindungen mit PPPoE-Modems folgende  Log-Meldungen (Deny) auf dem Externen Interface an:

Source: 0.0.0.0
Destination: 255.255.255.255
Port 4944
Protocol: udp

Ursache: dies sind Management-Broadcasts des Modems an den dahinter gelegenen Router. Wenn das Modem “zu viel intelligenz” besitzt und dem Router (hier: WatchGuard) per Broadcast den Status der DSL-Leitung mitteilen will, wird dieses Paket auftreten.

Zuletzt gesehen in Verbindung mit einem Draytek Vigor 130 als PPPoE-Modem an einer VDSL-100/40 Leitung.

Abhilfe: Der Management-Broadcast kann oft im Router abgeschaltet werden. Beim Draytek unter:

System Maintenance => Management => Device Management => [ ] Broadcast DSL status to router in LAN

Die WatchGuard Fireboxen unterstützen SNMP – ein weitverbreitetes Protokoll, um Stati von Geräten abzufragen. In einer Monitoring-Software könnene diese Stati dann visualisiert werden und anhand entsprechender Schwellwerten zur Generierung von entsprechenden Alarmen genutzt werden. Ein Problem bei Monitoring ist jedoch meistens, daß die Setup- und Konfigurations-Zeiten für das Monitoring unterschätzt werden. Ein Monitoring kann nur so gut sein, wie es konfiguriert ist – und diese Konfiguration ist meistens sehr aufwändig.

Weiterlesen »

Ist auf einer WatchGuard Firebox ein HTTPS-Proxy mit aktivierter Deep Inspection eingerichtet, muß man üblicherweise eine Liste mit Ausnahmen zu dieser Deep Inspection pflegen. Diese Ausnahmen sind notwendig, weil entweder die dahinterliegende Applikation ein Certificate Pinning durchführt oder weil das verwendete Protokoll eventuell Erweiterungen enthält, die vom Proxy nicht verstanden werden.

Beispiele für möglicherweise notwendige Ausnahmen sind:

SSLVPN

• alle Zieladressen, zu denen ein SSLVPN aufgebaut werden soll

Banking/Elster

• s-*.s-fints-pt-by.de (Sparkassenverbund)
• hbci.postbank.de
• *.commerzbank.com
• *.elster.de (Finanzämter / Elster)

Skype

• login.live.com
• *.microsoft.com
• *.*.microsoft.com
• *.skype.com

Dropbox

• *.dropbox.com

Diese Liste ist natürlich nicht vollständig, wird aber gerne um Ihre Anmerkungen erweitert.