Category Archives: Technischer Blog

HOWTO: Access Point AP130 AP330 AP332CR AP430CR AP432 Ersteinrichtung

Comment

Diese Anleitung soll einen kurzen Überblick über die Ersteinrichtung eines neuen WatchGuard Access Points AP130, AP330, AP332CR, AP430CR oder AP432 geben. Eine ausführliche Anleitung finden Sie unter >> Get Started with Wi-Fi in WatchGuard Cloud im WatchGuard Help Center.

Aktivierung

Zunächst wird der Access Point im WatchGuard Portal unter My WatchGuard > Activate Products registriert. Im gleichen Dialog wird die verfügbare Add-In License des Access Points aktiviert.

Danach wird für den Access Point automatisch ein FeatureKey erzeugt, der dem AP dann zugewiesen wird. Dieser kann wie auch bei den Firewalls direkt heruntergeladen werden.

Weiterlesen »

IKEv2 und L2TP VPN Probleme nach Windows Update

3 Comments

Die neuen Windows Updates KB5009566 (Windows 11) sowie KB5009543 (Windows 10) führen zu VPN Verbindungsproblemen via IKEv2 und L2TP.

Symptom:

  • Mobile VPN Verbindungen via IKEv2 und L2TP schlagen fehl, nachdem Sie das Microsoft Windows Update KB5009543 für Windows 10 oder Update KB5009566 für Windows 11 installiert haben.
  • Beim Versuch die Verbindung aufzubauen erscheint die Fehlermeldung „Can’t connect to <MY_VPN> General processing error“.

Lösung:

  • Bisher hilft es nur, die neuen Windows Updates KB5009566 (Windows 11) sowie KB5009543 (Windows 10) wieder zu deinstallieren.
  • Beachten Sie dabei allerdings die weiteren Sicherheitspatches der Windows-Updates und deinstallieren Sie diese nur dann, wenn Sie auch alle Auswirkungen vollständig verstehen.
  • Microsoft wird in Kürze ein neues Update bereitstellen, welches diese Probleme behebt.

Wir als BOC empfehlen grundsätzlich eine Kombination von zwei VPN Technologien. IKEv2 sollte bevorzugt werden und SSLVPN mit identischen Berechtigungen und Sicherheitsmaßnahmen (MFA) für den Notfall-Zugriff bereitstehen (IKEv2 könnte z.B. in Hotels oder diversen Ländern geblockt sein, Probleme mit Windows-Updates, NAT-Probleme,…).

UPDATE 17.01.2022: die neuen Patches KB5010793 (Windows 10) und KB5010795 (Windows 11) von Microsoft behebt die Probleme wieder:

HOWTO: HTTPS-DPI mit dem WebBlocker inkl. WatchGuard Deny Messages

1 Comment

Bevor die Content Inspection aktiviert werden kann, wird ein Proxy Zertifikat für die WatchGuard Firebox benötigt, welchem Ihre Clients vertrauen.

Um zu erfahren, wie ein Zertifikat importiert, ein Certificate Signing Request erstellt oder das selbstsignierte WatchGuard Zertifikat im AD bekannt gemacht wird, empfehlen wir folgende Blog-Artikel:

Im letzten Blog-Artikel >> Keine Fehlermeldung von HTTPS Proxy (deny message) haben wir erklärt warum Benutzer bei gesperrten HTTPS Webseiten keine Blockbenachrichtigung angezeigt bekommen. In diesem Artikel zeigen wir Ihnen wie Sie die Content Inspection aktivieren und konfigurieren können, sodass entsprechende Deny Messages ausgegeben werden.

Weiterlesen »

Keine Fehlermeldung von HTTPS Proxy (deny message)

1 Comment

Sie haben den HTTPS-Proxy sowie den WebBlocker für Ihr Unternehmen aktiviert und Ihre Benutzer erhalten beim Aufruf der gesperrten HTTPS Seiten keine explizite Benachrichtigung, dass die Seite durch Sie gesperrt bzw. weshalb der Zugriff blockiert wurde:

Im Gegensatz dazu erhalten Sie bei gesperrten HTTP Seiten eine Benachrichtigung, die wie folgt aussehen kann:

Im Folgenden erklären wir Ihnen warum Benutzer bei gesperrten HTTPS Webseiten keine Blockbenachrichtigung angezeigt bekommen.

Weiterlesen »

Microsoft Teams Best Practice

Comment

Microsoft Teams gewinnt (neben anderer Kommunikationssoftware) im Alltag immer mehr an Bedeutung. Da MS-Teams Mitarbeiter rund um den Globus vernetzt, gibt es bei der Schnittstelle in Richtung Internet einiges zu beachten. Im folgenden Beispiel möchte ich ein einfach zu implementierendes, aber gut funktionierendes Lösungskonzept vorstellen.

Problem: Schlechte Sprach- und Bildqualität.
Idee: Identifizieren und Priorisieren von MS-Teams Traffic oder umleiten auf zweite Internetleitung (wenn verfügbar)

Microsoft stellt uns die benötigten Ports und Endpoints unter folgendem Link bereit: https://docs.microsoft.com/de-de/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide

Meine Kollegen nutzen das bereitgestellte JSON-File und erzeugen daraus ein Text-File, welches unkompliziert in das Regelwerk der WatchGuard importiert werden kann. Das File wird beim Abruf automatisch mit den aktuellen Daten generiert.

Konfiguration der WatchGuard

Weiterlesen »

LTE-Failover für jede WatchGuard inkl. Cluster und LTE-Passthrough

1 Comment

Mobilfunk eignet sich spätestens seit LTE nicht nur als „Notlösung“ in schwach ausgebauten Regionen, sondern auch als performanter Failover ohne auf Kabelinfrastruktur angewiesen zu sein (Kupfer/Glas/Koax nutzt häufig die gleiche Gebäudeeinführung und dient daher nur bedingt als Ausfallsicherheit).

LTE bietet zudem die Möglichkeit einen Standort temporär anzubinden, welcher sich noch im Aufbau befindet (Schalttermin des Providers steht aus, Baumaßnahmen notwendig, etc.)

Labor-Umgebung:
WatchGuard T35-W (v12.5.7)
MikroTik LtAP mini (6.47.10)
Telekom SIM-Karte mit Datentarif

Ziel:
Anbindung der WatchGuard an das LTE-Netz und Terminierung der ext. IP direkt auf der WatchGuard.

Konfiguration MikroTik:
Den MikroTik via LAN an ein Notebook anschließen und mittels WinBox die Konfigurationsoberfläche öffnen:

Weiterlesen »