Wechseln zu:Navigation, Suche
Wiki

Securepoint Unified Threat Management (UTM) FAQ

Aus Securepoint Wiki

























































































De.png
En.png
Fr.png








FAQ
Letzte Anpassung: 07.2022
Neu:

notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
 -

Allgemein

  • Zugangsdaten

    Die Zugangsdaten zur UTM sind nicht mehr bekannt. Kann das Passwort zurückgesetzt werden?
    • Antwort

    Nein. Passwörter von Benutzern auf der UTM können ohne administrativen Zugriff nicht zurückgesetzt werden.

    Lösung

    Das UTM-System muss durch eine Neu-Installation in Werkseinstellung gebracht werden.
    Nach Rücksicherung der Konfiguration der UTM kann das Passwort angepasst werden.
    Für diesen Vorgang wird ein Backup der aktuellen Konfiguration benötigt.


  • Ersteinrichtung

    Was ist vor der Ersteinrichtung zu empfehlen?
    • Antwort

    Wir empfehlen unser aufgezeichnetes Webinar Gutes Netzwerkdesign und sichere Firewall Konfiguration. Außerdem haben wir eine UTM Firewall Basisschulung (Silver Level), welche regelmäßig stattfindent. Eine Übersicht mit den nächsten Terminen ist auf der Startseite der Securepoint Akademie zu finden.


  • CLI-Befehle

    Gibt es eine Dokumentation der CLI-Befehle?
    • Antwort

    Ja, die CLI-Befehle sind mit Beispielen im Wiki dokumentiert.


  • Durchsatzraten

    Gibt es Angaben zu den Durchsatzraten der unterschiedlichen Appliances?
    • Antwort

    Eine Übersicht ist auf securepoint.de zu finden.


  • Servereinstellungen werden nicht gespeichert

    Servereinstellungen können aufgrund fehlenden SNMP Eintrag nicht gespeichert werden.
    • Ursache

    Nach einem Update von einer Version < 11.7.3 kann es bei Änderungen in den Servereinstellungen dazu kommen, dass unter den SNMP Einstellungen ein Eintrag für "SNMP Pakete aus folgenden Netzwerken zulassen" benötigt wird.
    Lösung

    Wenn SNMP nicht in Verwendung war, muss nach einem Update auf die 11.7.3 SNMP v2c deaktiviert werden.


  • SIM PIN--Abfrage deaktivieren

    Wie kann die Abfrage der SIM PIN deaktiviert werden?
    • Antwort

    Der PIN einer SIM kann nur via SSH und mit einem root Benutzer entfernt werden.
    Dies ist hier beschrieben.


  • UTM Image installieren

    Wie kann das UTM Image auf einer UTM installiert werden?
    • Antwort

    Das ist in einem eigenen Artikel beschrieben: Installation / Update vom USB-Stick


  • Zertifikate konvertieren

    Wie kann ein Zertifikat konvertiert werden?
    • Antwort

    • Konvertierung DER (.crt .cer .der) zu PEM: openssl x509 -inform der -in certificate.cer -out certificate.pem
    • Konvertierung PEM zu DER: openssl x509 -outform der -in certificate.pem -out certificate.der
    • Konvertierung PKCS#12 (.pfx .p12) mit Private Key und Zertifikaten zu PEM: openssl pkcs12 -in keyStore.pfx -out keyStore.pem -nodes
    • Konvertierung PEM mit Private Key zu PKCS#12 (.pfx .p12): openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

    Mit -nocerts wird nur der Private key ausgegeben

    Mit -nokeys wird nur das Zertifikat ausgegeben.


  • Ungewollter Aufruf von speedport.ip

    HTTP-Seiten werden auf speedport.ip umgeleitet
    • Ausgangslage

    Es wird versucht eine Website aufzurufen, entweder von einem Benutzer im Browser oder auch durch einen Dienst (Bspl: Securepoint AV baut eine http/https Verbindung zu den Lizenzservern auf) und es wird auf „speedport.ip“ umgeleitet. Diese Seite gibt aber nur einen DNS-Resolve Error zurück.
    Erklärung

    Speedport-Router übermitteln „Wichtige“ Nachrichten, wie z.B. „Volumen aufgebraucht“ oder auch „neues Update vorhanden“, über eine interne Website auf die aller http/https Traffic umgeleitet wird bis die Nachricht bestätigt wurde.
    Ursache

    Wenn der Speedport als Router vor der Securepoint hängt wird im Normalfall ein Transfernetz zwischen dem Speedport und der Securepoint aufgebaut sein. Wenn nun der Speedport eine „Nachricht“ hat und somit allen http/https Traffic auf seine interne Seite umleitet, bekommen die Clients aus dem internen Netz der UTM nur einen DNS-Resolve Error bei der Umleitung, da das interne Netz der Securepoint die interne Seite des Speedport nicht auflösen kann.
    Lösung

    Für diese Problematik gibt es zwei Lösungswege:
    • Am einfachsten wäre es, einen Client direkt an den Speedport zu hängen um darüber die Nachricht zu bestätigen.
    • Da das Problem daher kommt, dass das interne Netz die IP des Speedport nicht auflösen kann, wird einfach eine Forward-Zone angelegt. Dazu sind folgende Schritte nötig:
      • Unter → Anwendungen →NameserverReiter Zonen Schaltfläche Foreward-Zone hinzufügen muss eine Forward-Zone mit folgenden Einstellungen hinzugefügt werden:
        • Zonenname: speedport.ip
        • Nameserver Hostname: ns
        • IP-Adresse:     Den Nameserver wollen wir selber stellen.
      • Die soeben angelegte Foreward-Zone muss anschließend noch bearbeitet werden:
        • Unter Einträge findet sich nun ein Typ NS mit dem Wert ns. Der Punkt hinter dem ns muss entfernt werden.
      • Nun müssen noch zwei A-Records angelegt werden:
        • 1. A-Record: Eintrag hinzufügen
          • Name: ns
          • Typ: A
          • Wert: IP des internal-interface
            Dies wird benötigt damit das Interne Netz die Seite speedport.ip auflösen kann.
            Dies funktioniert nur wenn die Clients die Securepoint UTM als DNS-Server eingetragen haben.
        • 2. A-Record: Eintrag hinzufügen
          • Name: speedport.ip.
          • Typ: A
          • Wert: IP des Speedports Routers.
    Nun kann die Seite des Speedports auch aus dem internen Netz aufgelöst werden.


  • PPPoE auf Router Verbindung umstellen

    Was ist bei der Umstellung der Internet-Verbindung von einer PPPoE-Verbindung auf eine Router-Verbindung zu beachten?
    • Antwort

    Zur Umstellung der Internet-Verbindung von PPPoE auf einen Router-Zugang gibt es einen eigenen Wiki Artikel


  • PPPoE-Zugangsdaten auslesen

    Können die PPPoE-Zugangsdaten ausgelesen werden?
    • Antwort

    Ja, das Auslesen ist über das CLI-Kommando interface get möglich.


  • LOAD

    Was genau bezeichnet der LOAD?
    • Antwort

    • LOAD bezeichnet die Anzahl Prozesse, die gleichzeitig auf eine Verarbeitung (CPU oder IO) warten oder ausgeführt werden.
    • Die Anzahl ist immer Ganzzahlig - im Gegensastz zum Load Average, dem Durchschnittsawert der letzten 1, 5 oder 15 Minuten
    • Ist der LOAD Average über einen längeren Zeitraum höher als die Anzahl der Prozessoren bzw. der Threads in allen Prozessoren eines Systems, wird das System ausgebremst.
    • Kurzfristige Spitzen sind nicht unüblich
    • Der Load-Average sollte mittelfristig nicht über 3/4 der Prozessorzahl liegen


    Netzwerk

  • Netzwerktraffic auswerten

    Wie kann der Netzwerktraffic ausgewertet werden?
    • Antwort

    Der Netzwerktraffic kann unter anderem über die Webinterface Widgets ausgewertet werden.

    Mit einem SSH-Programm und dem Benutzer "root" stehen noch folgende Möglichkeiten zur Verfügung:

    iftop -i $Schnittstelle oder vnstat


  • IPSec Verbindung baut sich nicht auf

    Die IPSec Verbindung baut sich nicht auf
    • Antwort

    1. Prüfen ob die Empfehlungen eingehalten wurden → IPSec S2S Empfehlungen
    2. Die Logmeldungen im Livelog überprüfen → IPSec Troubleshooting
    3. Sind Portweiterleitungen vorhanden, welche die Pakete an ein Gerät hinter der UTM weiterleiten?
    4. Mit einem SSH-Programm und dem Benutzer "root" kann man mit dem tcpdump prüfen, ob auf dem WAN-Interface die IPSec Pakete ankommen:
      tcpdump -i eth0 -nnp host IP-Adresse des Remote Gateways


  • Keine Kommunikation bei einer Site2Site Verbindung

    Die Site-to-Site Verbindung steht, aber die Kommunikation geht nicht
    • Antwort

    1. Zunächst sollte geprüft werden, ob Portfilterregeln für die Netzwerke erstellt sind.
      Bei IPSec Verbindungen sollte in den Impliziten Regeln beide Optionen aktiviert sein.
    2. Wenn Pakete mit dem Port 80 (HTTP) nicht ankommen kann der Transparente HTTP-Proxy die Pakete abfangen. Dafür muss dann ein Exclude erstellt werden.
    3. Das Zielgerät kann die Pakete ggf. nicht annehmen, da diese aus einem anderen Subnet kommen. Entweder die Firewall des Ziels anpassen oder aber eine Portfilterregel mit einem HideNat auf das Interne Interface erstellen.

    Um die Wege der Pakete zu überprüfen kann hierfür WireShark oder auch alternativ mit einem SSH-Programm und dem Benutzer "root" der tcpdump genutzt werden.

    Beispiel für ein tcpdump auf der Schnittstelle eth1, wobei man die IP-Adressen und Ports sieht und Pakete mit dem Protokoll 1 (ICMP Echo Request) filtert: tcpdump -i eth1 -nnp proto 1


  • HTTPS-Webseiten werden nicht vom Webfilter erfasst

    HTTP-Webseiten werden vom Webfilter gefiltert, HTTPS nicht
    • Ursache

    Der Transparente HTTP-Proxy kann nur HTTP Pakete annehmen.
    Lösung

    Wenn auch HTTPS-Webseiten vom Webfilter gefiltert werden sollen, muss der HTTP-Proxy in den Browsereinstellungen / Internetoptionen des Clients hinterlegt werden. Zusätzlich sollte eine direkte Kommunikation in das Internet nicht erlaubt werden, damit der Proxy nicht deaktiviert werden kann. (Standard Regel internal-network -> Internet | ANY, HN)


  • Verbindungsabbrüche bei Lancom-Routern

    Abbrüche bei VPN Verbindungen mit vorgeschalteten Lancom Router
    • Lösung

    Bei VPN Verbindungen (IPSec und SSL-VPN, Site-to-Site oder Roadwarrior) kann es zu Abbrüchen kommen, wenn davor ein Lancom Router VoIP macht. In diesem Fall kann es helfen, wenn auf dem Lancom in der Konfiguration → Voice Call Manager → Erweitert bei "Abgehende Pakete bevorzugen" der Wert "keine Veränderung" eingetragen wird.


  • Interface umbenennen

    Wie kann ich ein Interface der UTM umbennen?
    • Lösung

    Umbennenung per CLI:

    1. ID des Interfaces ermitteln: 

    interface get
id |name	|type	|flags	|qos	|zones	|options			|adi				|state
156|A0.7	|VLAN	|	|	|	|vlan_id=7,vlan_parent=A0	|mac=00:01:02:03:04:05,mtu=1500	|UP

    2. Mit ID kann dann der Name angepasst werden: 

    interface rename id 156 name A99.7

    3. Prüfung 

    interface get
id |name	|type	|flags	|qos	|zones	|options			|adi				|state
156|A99.7	|VLAN	|	|	|	|vlan_id=7,vlan_parent=A0	|mac=00:01:02:03:04:05,mtu=1500	|UP


    MAC-Adresse bestimmen

    Wie kann ich die MAC-Adresse einer Schnittstelle der UTM herausfinden?

    Antwort

    Die MAC-Adresse lässt sich an zwei Stellen anzeigen: 1. Im Dashboard über die Schnittstelle der Appliance-Abbildung hovern
    Neu ab v12.2.2
     2. Im Menü → Netzwerk →Netzwerkschnittstellen mit der Maus über den Namen einer Schnittstelle hovern
    Neu ab v12.2.2


    iTunes zulassen

    Wie kann ich den online-Zugang für iTunes sicherstellen?

    Antwort

    Konfiguration unter → Anwendungen →HTTP-ProxyReiter Virenscanner Abschnitt Webseiten-Allowlist

    Folgende Einträge sind in der Virenscanner-Allowlist des HTTP-Proxys notwendig, damit iTunes in bestimmten Setups korrekt mit dem Internet kommunizieren kann:

    ^[^:]*://[^\.]*\.service\.gracenote\.com/
^[^:]*://[^\.]*\.mgr-mid\.gcsp\.cddbp\.net/
^[^:]*://[^\.]*\.mgr\.gcsp\.cddbp\.net/
^[^:]*://[^\.]*\.gcsp\.cddbp\.net/
^[^:]*://[^\.]*\.cddbp\.net/
^[^:]*://updates-http\.cdn-apple\.com/


    Firewall

  • SIP-Helper laden / entladen

    Wie können die SIP-Helper entladen / geladen werden?
    • Antwort

    Das entladen ist nur über das CLI möglich. Folgende Befehle sind dafür auszuführen:

    debug kmod unload module nf_nat_sip
    debug kmod unload module nf_nat_h323
    debug kmod unload module nf_conntrack_sip
    debug kmod unload module nf_conntrack_h323

    Laden der SIP-Helper über CLI:
    debug kmod load module nf_nat_sip
    debug kmod load module nf_nat_h323
    debug kmod load module nf_conntrack_sip
    debug kmod load module nf_conntrack_h323
    Anschließend als root-user per ssh den Befehl conntrack -F mehrmals ausführen

  • Das Laden der SIP-Helper per CLI sollte eigentlich nicht mehr erforderlich sein.
    Dies geschieht automatisch mit der Verwendung der Dienstegruppe VoIP im Portfilter.
    Weitere Angaben dazu unter VoIP FAQ


    • Authentifizierung

  • SSL-VPN mit OTP

    Bei aktivierter OTP-Funktion muss der Benutzer sich nach einer Stunde manuell authentifizieren.
    • Ursache

    Im Standard wird nach einer Stunde die Verschlüsselung erneut ausgehandelt (Renegotiation). Hierbei erfolgt auch eine erneute Authentifizierung des Benutzers. Ist die OTP-Funktion aktiv muss zu diesem Zeitpunkt ein aktueller OTP übergeben werden.
    Lösung

    Ist dies nicht gewünscht kann die Zeitspanne bis zur erneuten Renegotiation erhöht werden:

    → VPN →SSL-VPN → SSL-VPN-Instanz bearbeiten → Reiter Allgemein Renegotiation 2/4/8 Stunden

  • Achtung: Wird die Renegotiation erhöht, werden mehr Daten mit den gleichen Keys verschlüsselt.


  • Fehlermeldung bei AD Anbindung

    Bei einem Einbinden der UTM in ein Microsoft Active Directory wird die Fehlermeldung Failed to join domain: failed to set machine spn: Constraint violation angezeigt.
    • Lösung

    Das Computer-Konto der UTM muss aus dem Active Directory gelöscht werden.
    Danach kann die UTM erneut in das Active Directory eingebunden werden.


  • Keine E-Mail Adressen per LDAP Abfrage

    Das Abfragen von E-Mail Adressen per LDAP funktioniert nicht.
    • Lösung

    Bitte hierfür unseren Support kontaktieren.


    Update

  • Online Update nur verzögert

    Warum erhält die UTM das Online-Update nicht direkt nach der Freigabe des Updates?
    • Antwort

    Die Verteilung der Firmware-Updates der UTM erfolgt über einen längeren Zeitraum.
    Der genaue Zeitraum ist in der Ankündigung im Support-Forum ersichtlich.
    Dieser Vorgang erfolgt automatisiert und kann nicht manuell beeinflusst werden.
    Lösung

    Die UTM kann über eine Update-Image aus dem Resellerportal jederzeit manuell aktualisiert werden.


    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/FAQ&oldid=84239“