Bei manchen Installationen zeigt die WatchGuard in Verbindungen mit PPPoE-Modems folgende  Log-Meldungen (Deny) auf dem Externen Interface an:

Source: 0.0.0.0
Destination: 255.255.255.255
Port 4944
Protocol: udp

Ursache: dies sind Management-Broadcasts des Modems an den dahinter gelegenen Router. Wenn das Modem “zu viel intelligenz” besitzt und dem Router (hier: WatchGuard) per Broadcast den Status der DSL-Leitung mitteilen will, wird dieses Paket auftreten.

Zuletzt gesehen in Verbindung mit einem Draytek Vigor 130 als PPPoE-Modem an einer VDSL-100/40 Leitung.

Abhilfe: Der Management-Broadcast kann oft im Router abgeschaltet werden. Beim Draytek unter:

System Maintenance => Management => Device Management => [ ] Broadcast DSL status to router in LAN

Die WatchGuard Fireboxen unterstützen SNMP – ein weitverbreitetes Protokoll, um Stati von Geräten abzufragen. In einer Monitoring-Software könnene diese Stati dann visualisiert werden und anhand entsprechender Schwellwerten zur Generierung von entsprechenden Alarmen genutzt werden. Ein Problem bei Monitoring ist jedoch meistens, daß die Setup- und Konfigurations-Zeiten für das Monitoring unterschätzt werden. Ein Monitoring kann nur so gut sein, wie es konfiguriert ist – und diese Konfiguration ist meistens sehr aufwändig.

Weiterlesen »

Ist auf einer WatchGuard Firebox ein HTTPS-Proxy mit aktivierter Deep Inspection eingerichtet, muß man üblicherweise eine Liste mit Ausnahmen zu dieser Deep Inspection pflegen. Diese Ausnahmen sind notwendig, weil entweder die dahinterliegende Applikation ein Certificate Pinning durchführt oder weil das verwendete Protokoll eventuell Erweiterungen enthält, die vom Proxy nicht verstanden werden.

Beispiele für möglicherweise notwendige Ausnahmen sind:

SSLVPN

• alle Zieladressen, zu denen ein SSLVPN aufgebaut werden soll

Banking/Elster

• s-*.s-fints-pt-by.de (Sparkassenverbund)
• hbci.postbank.de
• *.commerzbank.com
• *.elster.de (Finanzämter / Elster)

Skype

• login.live.com
• *.microsoft.com
• *.*.microsoft.com
• *.skype.com

Dropbox

• *.dropbox.com

Diese Liste ist natürlich nicht vollständig, wird aber gerne um Ihre Anmerkungen erweitert.

Letzte Woche hatte ich mit der SIP-Registrierung einer Auerswald TK Anlage an einem Telekom ALL-IP Anschluss zu tun.

• Einrichtung einer Auerswald TK-Anlage (hier: COMpact 5000) hinter einer Watchguard
• Telefonie mit einer Nummer eingerichtet, getestet, SIP / VOIP funktioniert.
• von einem Tag auf den anderen funktioniert Telefonie nicht mehr.

Was war passiert:

• bei der TK-Anlage wurde eine weitere Telefonnummer hinzugefügt, die sich ebenfalls per SIP registrieren sollte
• (vermutlich ab diesem Zeitpunkt) ist keine Telefonie mehr möglich
• Die SIP Fehlermeldung ist wie leider nicht sehr aussagekräftig: 400 BAD REQUEST

Nach einigem Suchen konnte das durch das entfernen des Häkchens SIP-Registrierung gemäß RFC 6140  gelöst werden.

Danach war eine registrierung sofort möglich.

Hintergrund: RFC-6140 beschreibt die (gleichzeitige) Registrierung mehrerer Telefonnummern bei einem SIP-Server. So wie es aussieht, unterstützt die Telekom dies nicht.

Es gibt an der Watchguard 3 Stellen, an denen Sie Benutzer (und teilweise Gruppen) anlegen können.

in der WEB-UI:

1) SYSTEM => Users and Roles
hier werden die Administrativen Benutzer angelegt, die sich auf der Firewall einloggen können und Berechtigungen haben, z.B. Policies zu editieren, etc. Hier findet man unter anderem die Benutzer status und admin.

2) AUTHENTICATION => Servers
dort sind die verschiedenen möglichen Authentication Server gelistet, ein Authentication Server ist die “Firebox” selbst. “Server” steht in diesem Fall für “Dienst zur Verfügung stellen”. Wenn man in dieser Liste auf “Firebox” klickt, erscheinen die Benutzer in der Firebox-DB. Dort kann man sie auch editieren oder löschen.

3) AUTHENTICATION => Users and Groups
hier werden die Benutzer und Gruppen definiert, die (von den Authentication Servern zur Verfügung gestellt werden und) in Policies verwendet werden  sollen.  Hier werden auch die Benutzer aus 2) angezeigt, sind hier aber nicht editierbar.

Im Policy-Manager finden sich die Punkte wie folgt:

1) File => Manage Users and Roles

2) Setup => Authentication => Authentication Servers => Tab Firebox

3) Setup => Authentication => Authorized Users and Groups
auch hier kann man die Benutzer, die über 2) angelegt werden, nicht unter 3) bearbeiten oder löschen.

Die jeweiligen Punkte sind austauschbar, d.h. was unter Web-UI 2) angelegt wurde, kann man im Policy-Manager unter 2) auch bearbeiten und umgekehrt.