[2003] Sophos firewall probleem

[misterm90]

Hallo,
we hebben hier een virtuele server draaien met windows 2003 erop.
nu hebben we McAffee op Clients pc's alleen nu willen we Sophos erop
Sophos heeft een geweldige beheer tool die ook de oude meuk er af gooit.
maar nu is er 1 probleem. voordat je ook maar iets kan doen moet je op de client eerst
net stop sharedacces uitvoeren.

ik heb al een test group policy aangemaakt met poort 8192,8193,8194 open en allow ICMP en ongeveer alles wat kan tegenhouden heb ik gezorgt dat het verkeer er wel langs kan.. (. dit is wel test dus in het echie gaat er wel wat op slot)
dus verder gaat mijn kennis eigenlijk niet.. ( ik ben ook maar een stagiair )
ik heb uiteraard al gegoogled en rond gevraagd hier maar alles gaat over de sophos firewall en niet die standaard ingebouwde van XP ( SP3)

dus nadat ik op de testclient net stop sharedacces heb gegeven wil sophos wel alles uitvoeren.
terwijl alles op de group policy wel toegankelijk is..

weet iemand welke feature ik misschien kan zijn vergeten ?

[Verwijderd]

sharedaccess is toch de windows firewall? als die actief is kan ik me wel voorstellen dat tie bijt met een andere firewall pakket. service op disabled zetten is een optie?

[misterm90]

ja die zet je ook stop..
maar die wil je niet altijd stop hebben.
ik wil graag alleen de dingen unblocken die sophos nodig is/heeft.


// en sophos installeer ik zonder firewall client.
de standaard windows xp firewall staat aan.

[ Voor 27% gewijzigd door misterm90 op 02-09-2008 15:40 ]

[elevator]

Vermoedelijk gebruikt Sophos gewoon standaard CIFS om die files op de server te zetten en gewoon RPC om dat proces te laten starten. Je zal dus ben ik bang juist de poorten die je niet wilt (137, 445, etc) openzetten open moeten zetten voor die specifieke Sophos server

[Verwijderd]

elevator schreef op dinsdag 02 september 2008 @ 16:44:
Vermoedelijk gebruikt Sophos gewoon standaard CIFS om die files op de server te zetten en gewoon RPC om dat proces te laten starten. Je zal dus ben ik bang juist de poorten die je niet wilt (137, 445, etc) openzetten open moeten zetten voor die specifieke Sophos server

oh lol, ik dacht dat sophos een firewall product had ofzo. beetje verneukeratieve titel als je het mij vraagt

[misterm90]

oke ik heb weer wat geprobeerd

ik heb in een ( test ) groepsbeleid een aantal poorten open gezet.
namelijk
8192:TCP:LocalSubnet:Enabled:Sophos - Port 8192
8193:TCP:LocalSubnet:Enabled:Sophos - Port 8193
8194:TCP:LocalSubnet:Enabled:Sophos - Port 8194

2101:TCP:LocalSubnet:Enabled:Sophos - Port 2101
2103:TCP:LocalSubnet:Enabled:Sophos - Port 2103
2105:TCP:LocalSubnet:Enabled:Sophos - Port 2105
135:TCP:LocalSubnet:Enabled:Sophos - Port 135

hier heb ik een aantal poorten vandaan :
http://www.smallbizserver...23&postid=6545&view=topic

en het werkt nog steeds niet.
ik ga nu even proberen ipv LocalSubnet even het ip adres van de sophos server proberen met /24 ( 192 ip)
dan word het dus
135:TCP:192.169.200.x/24:Enabled:Sophos - Port 135

maar voor de rest heb ik toch alles wel aardig opengezet.
uiteraard heb ik op de client ook gpupdate /force gedaan.
iemand nog suggesties ?

[elevator]

Ik gok dat je eigenlijk vanuit de Sophos server zowel naar je PC moeten kunnen browsen (dus \\PcName\c$\), als dat je RPC calls moet kunnen doen (dus bv: sc \\PcName stop firewall)

[misterm90]

no networkprovider accepted the given network path dat kreeg ik..
waarschijnlijk omdat de client onder vmware draaide ?
op google kreeg ik dat het te maken had met enable simple file sharing. maar overal wordt dat afgeraden voor sophos ...


// even een edit gemaakt ipv een nieuwe post

hmm daar heeft het niks mee te maken . ik heb het aan en uit gehad
en zo gauw ik net stop sharedaccess doe ploept sophos zo binnen.
ik snap er niks van..
alle poorten van RPC en Sophos staan open.
Ik kan alleen nog een programma proberen toegang te verlenen. maar deze moet ik c:\Program Files staan.. maar daar staat hij in het begin natuurlijk nog niet..

ik heb ondertussen ook Sophos een email gestuurd met de vraag wat te doen .
ik hoop binnenkort email terug te verwachten..

[ Voor 54% gewijzigd door misterm90 op 04-09-2008 13:52 ]

[elevator]

Welke heb je dan allemaal openstaan - enkel die tcp/135?

[misterm90]

nee nee nee ; dit is een regel die je in Group Policy zet in de Computer / Administrative Template/Networking/Windows Firewall /Domain Profile\ ( uit mijn hoofd)
daar vind je Define Port exceptions.
-------
deze regels heb ik allemaal toegevoegd.

8192:TCP:LocalSubnet:Enabled:Sophos - Port 8192
8193:TCP:LocalSubnet:Enabled:Sophos - Port 8193
8194:TCP:LocalSubnet:Enabled:Sophos - Port 8194

2101:TCP:LocalSubnet:Enabled:Sophos - Port 2101
2103:TCP:LocalSubnet:Enabled:Sophos - Port 2103
2105:TCP:LocalSubnet:Enabled:Sophos - Port 2105
135:TCP:LocalSubnet:Enabled:Sophos - Port 135

die allemaal....
daarbij heb ik uit pure wanhoop ook alles aangevinkt ( achja. het istoch test.)
en daarbij heb ik %program files%\Sophos\Remote Management System\RoueNT.exe ook toegang gegeven..

nu heb ik een leuk mailtje gekregen van sophos dat ik in de wacht sta....kortom daar hoor ik volgende week pas weer wat van.

[ Voor 15% gewijzigd door misterm90 op 04-09-2008 16:57 ]

[elevator]

Mjah, je hebt dus voor Windows zijnde enkel TCP/135 open staan - zoals je zelf ook al zegt "no networkprovider accepted the given network path dat kreeg ik..", ik vermoed toch echt dat het daar aan ligt.

Nu heb je in de GPO's onder de firewall settings ook de mogelijkheid om "Remote Administration" en "Remote filesharing" en dergelijke aan te zetten als ik het me goed heinner, probeer dat eens? Verder moet je ook eens 135, 137, 139 en 445 voor zoverl TCP als UDP toevoegen (ik kan me even niet herinneren welke welke is, dus het is veel breder dan noodzakelijk )

[misterm90]

oke ik heb reactie terug gehad..
Moet ik de mail hier posten ? misschien wel interessant voor latere sophos gebruikers
ik ga het in ieder geval nu even testen

[misterm90]

Het probleem was dat ik de optie in Group Policy van File and Printer sharing moest enablen.
Alle andere poorten zijn overbodig...
als ik de mail alsnog moet posten moet je het even zeggen. maar wat mij betreft is het opgelost.

[elevator]

En in de description daarvan staat:

Allows file and printer sharing. To do this, Windows firewall opens UDP ports 137 and 138, and TCP ports 139 and 445

Je zal ook zien als je nu naar de die PC browsed (\\PcNaam\c$) dat je gewoon de inhoud te zien krijgt

[misterm90]

jep maar die poorten hoef je niet open te zetten.
je kan het gewoon als een regel in de group policy zetten;
Enable File and Printer Sharing exception ( zoiets)

[elevator]

Dat bedoelde ik met "Remote filesharing" ja

[misterm90]

haha.
hoe gaat het nu verder ? de oplossing is er . moet ik de topic nu sluiten of doe jij dat of laat je het altijd open staan voor andere mensen of gaat het automatisch ?

[elevator]

Zo'n topic blijft eeuwig open