Tag Archives: SSL VPN

HOWTO: Erstellen eines Zertifikats als Proxy Authority für die WatchGuard Firebox

Comment

In diesem Blog-Artikel zeigen wir Schritt für Schritt, wie ein Zertifikat als Proxy Authority für die WatchGuard Firebox mithilfe einer bestehenden Microsoft-Zertifizierungsstelle (CA) erstellt werden kann. Die Proxy Authority wird auf der Firewall dazu verwendet, den entschlüsselten Datentransfer nach dem durchlaufen der Deep-Inspection wieder zu verschlüsseln.

Hinweis: Voraussetzung ist eine funktionierende Zertifikatsinfrastruktur auf Basis von Microsoft Active Directory Certificate Services. Die grundlegende Einrichtung dieser Infrastruktur ist nicht Bestandteil dieses Artikels – hierzu gibt es zahlreiche Anleitungen online.

Schritte im Überblick:

  1. Zertifikatsanforderung erstellen
  2. Zertifikatanforderung bei der CA einreichen
  3. Zertifikat importieren und PFX exportieren

Weiterlesen »

HOWTO: Erstellen eines Zertifikats für den Webserver der WatchGuard Firebox

Comment

In diesem Blog-Artikel zeigen wir Schritt für Schritt, wie ein Zertifikat für den Webserver einer Watchguard Firebox mithilfe einer bestehenden Microsoft-Zertifizierungsstelle (CA) erstellt werden kann. Das Ziel ist, die bekannten Zertifikatswarnungen beim Zugriff auf das Webinterface, das Access Portal oder die Anmeldeseite zu vermeiden. Auch für den SSL-VPN-Zugriff kann dieses Zertifikat verwendet werden.

Hinweis: Voraussetzung ist eine funktionierende Zertifikatsinfrastruktur auf Basis von Microsoft Active Directory Certificate Services. Die grundlegende Einrichtung dieser Infrastruktur ist nicht Bestandteil dieses Artikels – hierzu gibt es zahlreiche Anleitungen online.

Schritte im Überblick:

  1. Zertifikatsanforderung erstellen
  2. Zertifikatanforderung bei der CA einreichen
  3. Zertifikat importieren und PFX exportieren

Weiterlesen »

HOWTO: Patch Management – Update des Mobile VPN with SSL Clients

Comment

In diesem Artikel erfahren Sie, wie Sie den WatchGuard Mobile VPN with SSL Client mithilfe von WatchGuard Patch Management effizient und automatisiert aktualisieren können. Bisher war die Verteilung dieser Software etwas umständlich und mit spürbarem Aufwand verbunden. Mit der neuesten Erweiterung der WatchGuard Patch Management Bibliothek ist der Update-Prozess nun deutlich komfortabler und entlastet insbesondere stark ausgelastete IT-Teams. Wir zeigen Ihnen Schritt für Schritt, wie Sie ein Update über die WatchGuard Cloud einrichten und verteilen. Weiterlesen »

HOWTO: Verteilung des WatchGuard SSLVPN Client mit Microsoft Intune

Comment

In der heutigen Zeit gibt es immer mehr Unternehmen, die keine On-Premises-Infrastruktur mehr betreiben, sondern die komplette Verwaltung der Benutzer und Endgeräte nach Microsoft Azure/Entra ID ausgelagert haben. Eine zentralisierte Verteilung des SSLVPN Clients ist über Gruppenrichtlinien dann nicht möglich.

Es gibt aber auch in der Cloud die Möglichkeit, Software – somit auch den SSLVPN Client von WatchGuard – für berechtigte Benutzer bereitzustellen. Diese Anleitung ist für Infrastrukturen, die ausschließlich über die Cloud verwaltet werden und gilt nicht für Hybrid-Strukturen!

Voraussetzungen

Weiterlesen »

HOWTO: Verteilung, Update und Konfiguration des WatchGuard SSLVPN Clients via Gruppenrichtlinien

Comment

Immer häufiger kommen Kundenanfragen, wie der SSLVPN zentral verteilt, mit Updates versorgt oder aus der Ferne konfiguriert werden kann. In diesem Blog-Artikel möchte ich einen Weg beschreiben, welcher sich bisher gut bewährt hat. Selbstverständlich gibt es viele verschiedene Möglichkeiten, um an sein Ziel zu gelangen. Weiterlesen »

HOWTO: Konvertierung von EXE zu MSI für die Softwareverteilung am Beispiel WatchGuard SSLVPN

1 Comment

In diesem Blog-Artikel möchte ich beschreiben, wie eine EXE-Datei für die Softwareverteilung (z.B. via Azure InTune oder Gruppenrichtlinien) zu einer MSI-Datei konvertiert werden kann. Als Beispiel führe ich den WatchGuard SSLVPN Client 12.10.4 an, welcher nicht als MSI Installer von WatchGuard bereitgestellt wird. Weiterlesen »

HOWTO: Härten einer WatchGuard Firebox mit fail2ban (Schutz gegen SSLVPN Logon Brute-Force)

4 Comments

Im Rahmen der Brute-Force-Angriffe auf das WatchGuard SSLVPN Portal haben wir ein Proof of Concept Setup mit einer externen Linux-VM gebaut, um IP-Adressen nach mehreren fehlerhaften Login-Versuchen auf die WatchGuard-eigene auto-blocklist zu setzen.
Die benötigten Scripte und Snippets sind unter der MIT-License auf Github veröffentlicht: https://watchguard-toolbox-project.github.io/

Update Fireware 12.10.4:  Mit dem aktuellen Fireware-Update (Version 12.10.4) kann auch das jetzt integrierte Feature “Block Failed Logins” verwendet werden.
Eine ausführliche Anleitung dazu finden Sie in diesem HOWTO-Artikel.

Idee / Funktionsweise

Weiterlesen »

Massive Angriffe auf SSLVPN – Maßnahmen und Härtung der Firewall

9 Comments

Update: 20.12.2024
Neben dem SSL-VPN verzeichnen wir zunehmend auch Brute-Force-Angriffe auf das Access Portal von WatchGuard Firewalls.
Falls Sie das genannte Feature nutzen, sollten Sie unbedingt die im Artikel empfohlenen Best-Practices (“Block Failed Authentications”, MFA, Geo-Filter,…) umsetzen.

Update: 23.10.2024
WatchGuard hat weltweit Brute-Force-Angriffe auf SSL-VPNs festgestellt, die zu einer ungewöhnlich hohen Anzahl unbekannter Anmeldeversuche beim AuthPoint-Authentifizierungsdienst geführt haben. Diese Angriffe können Dienstunterbrechungen verursachen, die die Servicequalität beeinträchtigen und bei einigen Kunden zu fehlgeschlagenen Authentifizierungssitzungen, Zeitüberschreitungen oder Abbrüchen führen können. Die Brute-Force-Angriffe sind jedoch nicht direkt gegen AuthPoint gerichtet und haben keine Sicherheitsverletzungen bei den WatchGuard-Diensten verursacht. Weitere Infos unter https://status.watchguard.com oder im WatchGuard Support Center unter >> Detect and mitigate brute force attacks that target Mobile VPN with SSL (SSLVPN).

Problem:

Aktuell sehen wir in den Logs vieler Kundenfirewalls Brute-Force-Attacken auf den WatchGuard SSLVPN bzw. das dazugehörige SSLVPN Portal (https://<Ext.-IP>/sslvpn_logon.shtml).

Die Logs zeigen, dass die Angreifer nicht nur Benutzernamen und Passwörter „raten“, sondern auch gezielt die Anmeldeserver des SSLVPN Portals auslesen. Neben typischen Benutzernamen werden so auch alternative Anmeldeserver angesprochen, welche ggf. keine MFA (Multifaktor-Authentifizierung) konfiguriert haben. Weiterlesen »

Best Practices: Integration von Authpoint in VPN-Verbindungen bei der Firebox (Cloud/Lokal)

Comment

VPN-Verbindungen sind in den letzten Jahren zu einer immer wichtigeren Komponente der hybriden Arbeitswelt geworden. Es ist nicht nur essentieller geworden Mitarbeitern von extern einen Zugang auf die interne Infrastruktur und dahinterliegenden Ressourcen zu gewähren, sondern diese auch mit mehr als nur einem Benutzernamen und Passwort zu sichern. Des Weiteren ist die Wahl des Protokolls und Komplexität der Verwaltung ein weiterer Faktor, der den Einsatz der “richtigen” VPN-Lösung für den eigenen Use Case bestimmt.

In diesem Webinar stellen WatchGuard Security-Experten die Kombination der Multifaktor-Lösung WatchGuard AuthPoint mit den Mobile VPN Varianten von IKEv2 und SSL der WatchGuard Fireboxen (Cloud/Lokal) dar.

Das Video wird mit freundlicher Unterstützung von Herrn Kanders (Sales Engineering Central Europe, WatchGuard) bereitgestellt.

Das Webinar hat am 04.02.2022 stattgefunden. Es handelt sich hier um eine Aufzeichnung, die Sie sich jederzeit anschauen können.
Mit den technischen Webinaren sollen Ihnen umfassende Hintergrundinformationen vermittelt werden.
Anhand von Konfigurationsbeispielen wird dargestellt, wie Sie die Security Appliances von WatchGuard optimal und noch effektiver einsetzen können.

Weitere Informationen unter >> HOWTO: Integration von AuthPoint in VPN-Verbindungen bei der Firebox (Cloud/Lokal).

HOWTO: Integration von AuthPoint in VPN-Verbindungen bei der Firebox (Cloud/Lokal)

1 Comment

Seit der Fireware Version 12.7 kann AuthPoint als Authentication Server auf der Firebox genutzt werden. Hierzu muss lediglich ein LDAP Sync der User stattfinden. Dies erlaubt es einfacher AuthPoint sowohl für Mobile VPN mit SSL oder IKEv2 (auch Cloud-Managed möglich) als auch für Firebox WebUI oder Firebox Authentication Portal (nur Local-Managed möglich) zu nutzen.

Voraussetzungen
  • In AuthPoint muss zunächst eine Gruppe existieren oder angelegt werden
  • Die Firebox muss als Cloud- oder Local-Managed in der WatchGuard Cloud eingebunden sein

Weiterlesen »