Securepoint UTM: IDS/IPS lässt bestimmte Zugriffe nach Standby des Clients nicht zu

Interessante kleine Beobachtung: Ein WireGuard-VPN-Client, ein Windows 11-Notebook, kann nach dem Standby oder Ruhezustand keine Verbindung mehr zu Intranet-Seiten aufbauen. Die VPN-Verbindung wurde zuvor nicht abgebaut. Als Firewall kommt eine Securepoint UTM RC100 zum Stand, wobei das Modell keine Rolle spielen dürfte.

Versucht man nach dem Standby oder Ruhezustand eine bestimmte Ressource aufzurufen, kommt es schlicht zu einem Timeout. Betroffen sind offenbar nur Verbindungen vom Browser über den Reverse Proxy (Squid) der UTM, andere Verbindungen wie beispielsweise vom Mail-Client, RDP, usw. funktionieren.

Im Log der UTM finden sich dann Meldungen wie diese:

28.07.2024 08:36:45
ulogd
DROP: NewStateWithoutSyn <VPN-IP>:42606,wg0,<IP-der-UTM>:443TCP

Während beispielsweise der Zugriff auf Nextcloud via Browser unterbunden werden, läuft der Nextcloud Desktop Client wiederum ohne Probleme.

Offenbar blockiert das IDS/IPS den Zugriff, da es zu diesen Verbindungen kann vorigen “Syn” mehr kennt, da dieser evtl. schon eine Weile zurückliegt. Abhilfe schafft entweder die VPN-Verbindung einmal zu trennen und neu aufzubauen oder in der UTM-Konfiguration unter

Anwendungen - IDS / IPS - bei  "UNGÜLTIGE TCP-FLAGS" - "NewStateWithoutSyn"

zu deaktivieren.

Andy

Verheiratet, Vater von zwei Kindern, eines an der Hand, eines im Herzen. Schon immer Technik-Freund, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen.