Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

WatchGuard Firebox

De collector toestaan op een WatchGuard Firebox (Fireware 12.x): uitzondering op Blocked Sites voor Block Port Scan en Block IP Scan, IPS en HTTPS-inspectie.

Een WatchGuard Firebox blokkeert standaard elke bron die meer dan 10 poorten of hosts per seconde benadert. De collector komt dan op de lijst met geblokkeerde adressen en de scan stopt halverwege. In dit artikel zorg je dat de collector niet meer geblokkeerd wordt.

Wat je nodig hebt

  • COLLECTOR_IP: het IP-adres van de collector;
  • PLATFORM_FQDN: het adres van het portaal (bijv. portal.obsolens.com).

Beide staan in het portaal onder Toegang regelen bij de collector. Kies daar WatchGuard Firebox bij Stappen voor voor de stappen met ingevulde waarden.

Hoe de blokkade werkt

Block Port Scan en Block IP Scan staan onder Firewall > Default Packet Handling (Web UI) of Setup > Default Threat Protection > Default Packet Handling (Policy Manager). De drempel is het aantal scans per seconde per bron-IP en staat standaard op 10. Een bron boven die drempel komt op de Blocked Sites-lijst.

WatchGuard documenteert dat je deze functies niet voor specifieke IP-adressen kunt uitzetten. De oplossing is een uitzondering op de Blocked Sites-lijst.

Uitzondering op Blocked Sites

  1. Ga naar Firewall > Blocked Sites.
  2. Open het tabblad Blocked Sites Exceptions en klik Add.
  3. Kies bij Choose Type de optie Host IPv4.
  4. Vul COLLECTOR_IP in en klik OK.
  5. Klik Save.

Staat de collector al bij de geblokkeerde adressen, haal hem daar dan ook af.

Tot de uitzondering er is: scanprofiel Voorzichtig

Kun je de uitzondering niet meteen maken, kies dan per locatie onder Planning het scanprofiel Voorzichtig. De collector maakt dan maximaal 8 nieuwe verbindingen per seconde, onder de standaarddrempel van 10. De scan duurt wel langer: een /24 ongeveer 7 minuten. Ook met een uitzondering voorkomt een rustiger tempo ruis in de logs.

IPS

Bij Subscription Services > Intrusion Prevention maak je uitzonderingen op signature-ID. Kijk in de log welke signature op de collector afgaat en zet die op de uitzonderingenlijst. Of IPS ook een uitzondering op IP-adres kent, is niet bevestigd in de documentatie van de fabrikant.

HTTPS-inspectie en WebBlocker

  • In de HTTPS-proxy action kun je bij Content Inspection een Domain Names-regel voor PLATFORM_FQDN op Allow zetten, zodat dat verkeer niet geïnspecteerd wordt.
  • In WebBlocker voeg je PLATFORM_FQDN toe als Exception met Allow.

Beide stappen zijn niet bevestigd in de documentatie van de fabrikant. Controleer de labels in je eigen Fireware-versie.

Controleren

  1. Voer op de collector obsolens-collector diagnose uit voor de verbinding met het platform.
  2. Start in het portaal Nu scannen. Meldt het portaal geen Scan gehinderd meer en antwoorden de VLAN's in het blok Netwerken, dan werkt de uitzondering.
  3. Controleer in Firewall > Blocked Sites dat COLLECTOR_IP er niet meer op komt.

Bronnen

Zie ook