Vollständiger Schutz vor Viren und Downloads durch Webfilter

Die Konfiguration

Zur Integration der Lösung im Netz stehen drei unterschiedliche Möglichkeiten zur Verfügung: Für den „expliziten Proxy“ reicht es, das Produkt zu konfigurieren und über das LAN-Interface ins Netz zu hängen. Die WS1000 muss dann allerdings auf allen LAN-Clients als Proxy für HTTP, SSL und FTP eingetragen werden.

Der letztgenannte Schritt lässt sich in Windows-Netzen beispielsweise durch Gruppenrichtlinien automatisieren.

Beim „transparenten Proxy“ ist die Hardware-Anbindung genauso, es muss aber im LAN ein Router zur Verfügung stehen, der in der Lage ist, den zu analysierenden Verkehr automatisch an das Sophos-Produkt weiterzuleiten, beispielsweise über das Web Cache Control Protocol (WCCP).

In diesem Fall können sich die Administratoren die zusätzliche Konfiguration der einzelnen Clients sparen. Im „Bridged-Mode“ arbeitet die Appliance mit ihren WAN- und LAN-Ports direkt zwischen Router und LAN-Switch. Auch bei dieser Konfiguration untersucht sie nur Datenübertragungen über HTTP, außerdem kann sie sich als Bridged-Appliance nicht ins Active Directory integrieren - was zum Beispiel zum Authentifizieren von Benutzern sinnvoll sein kann.

Inbetriebnahme

Im Test entschieden wir uns dazu, die Appliance als expliziten Proxy zu betreiben, da wir ihren ganzen Funktionsumfang untersuchen wollten. Dabei muss der Administrator darauf achten, dass für externe Verbindungen ins Internet in der Firewall die Ports 20, 21 (beides FTP), 25 (SMTP) und 123 (NTP) offen stehen. Datenübertragungen zu Sophos laufen zudem auch noch über die ausgehenden Ports 22 (SSH), 80 (HTTP) und 443 (SSL).

Für interne Verbindungen vom LAN zur Appliance benötigen die Anwender die Ports 80, 443 und 8080 (für Proxy-Verbindungen). Die Appliance wiederum muss über die Ports 20, 21 und 53 (DNS) mit dem LAN kommunizieren können.

Für die inbetriebnahme müssen die zuständigen Mitarbeiter den LAN-Port der Lösung an ihren Switch anschließen und den Konfigurationsanschluss mit einem Setup-Client verbinden. Anschließend genügt es, den Client in das Klasse-C-Subnetz 172.24.24.0 zu verschieben und via https://172.24.24.173 auf das Konfigurationsinterface der Lösung zuzugreifen.

(ID:2015717)