Firewall-Regel, um den Zugriff auf Windows-Updates oder andere Ressourcen auf einem CDN zu ermöglichen?

Was ist der beste Weg, um ein Firewall-Loch in eine Border-Firewall zu stecken, um Windows-Updates zu ermöglichen?

Soweit ich das beurteilen kann, werden die Windows Update-Websites in einem Inhaltsverteilungsnetzwerk gehostet, das möglicherweise alle 30 Sekunden die IP-Adressen ändern kann.

Wenn ich unser Campus-DNS mit einer statischen Zuweisung für die Websites "vergifte", werde ich schließlich auf Websites verweisen, auf denen der Inhalt nicht mehr gehostet wird.

Gibt es IP-Adressen, die den Update-Inhalt hosten und die sich garantiert nie ändern?

Wie konfigurieren Benutzer Firewalls im Allgemeinen, um den Zugriff auf Ressourcen zu ermöglichen, die auf CDNs gehostet werden, auf denen sich die IPs ständig ändern werden? Die Firewall erkennt nur die Pakete und weiß nicht unbedingt, an welche URL (wenn https) die Anforderung gesendet wird. Daher kann die Firewall nicht direkt feststellen, dass dieses Paket an die Aktualisierungssite für Symantec-Virendefinitionen gesendet wird während dieser einen Weltcup-Stream betrachtet.

In meiner Situation kann ich nicht nur eine bestimmte Konfiguration für die Systeme im Netzwerk festlegen. Ah, die Freude, an einer Universität zu arbeiten ...

firewall cdn

— chris
quelle

Ich habe genau dieses Problem mit hostupdates.vmware.com, aber ich habe es schließlich geschafft, unser FW-Team davon zu überzeugen, dass ihr Kit basierend auf DNS-Einträgen eine Firewall erstellen kann, und nach monatelangen Tests haben sie dies schließlich implementiert.

— Chopper3

Oh, unsere Firewall kann DNS und IP synchron halten, aber mit TTLs einiger Sites nach 30 Sekunden und der stündlichen Synchronisierung der Firewall bleibt immer noch ein großes Fenster der DNS-Antwort für eine Clientanforderung für foo.microsoft. com entspricht nicht dem Firewalls-Begriff von foo.microsoft.com. Ich könnte DNS auch vergiften, indem ich TTLs überschreibe, aber das ist eine dunkle Straße voller Monster ...

— Chris

Das interessiert mich auch sehr. Könnten Sie einen Proxy mit einer Whitelist verwenden, die nur * .windowsupdate.microsoft.com und * .windowsupdate.com zulässt?

— Soße Gesicht

Ich muss etwas vermissen, aber wenn Windows seine Verbindungen zur Update-Site herstellt, warum dann ein Loch stecken? Würden ausgehende http / https-Verbindungen nicht standardmäßig geöffnet sein, wenn eine Site nicht auf der schwarzen Liste steht?

— Paul

@paul: Wir implementieren NAC und fordern Benutzer auf, eine Richtlinie einzuhalten, bevor sie das Netzwerk verwenden dürfen. Dies bedeutet, dass wir ausgehenden Datenverkehr erst zulassen, wenn Ihr System aktualisiert und ordnungsgemäß gepatcht wurde. Huhn, treffe Ei.

— Chris

Antworten:

Obwohl ich dies nicht ausprobiert habe (siehe meinen Kommentar oben), denke ich, dass die beste Lösung weiter oben im Stapel liegt: die Verwendung eines Proxyservers.

Sie können so etwas wie Squid vor Ihren Windows Update-Computern (oder eher vor WSUS-Servern) konfigurieren und * .windowsupdate.microsoft.com und * .windowsupdate.com ( usw. ) zulassen, während Sie alles andere ablehnen . Dies kann dann auf Ihrer Edge-Firewall erzwungen werden, indem TCP 80/443 für Ihren WSUS-Server blockiert und die Proxy-Konfiguration für den WinHTTP-Dienst auf den betreffenden Servern erzwungen wird.

Ich werde dies kurzfristig für einen bald gehärteten Server in einem Rechenzentrum implementieren müssen und werde dies wahrscheinlich verwenden, um dies zu erreichen.

— Soßengesicht
quelle

Ich kontrolliere nicht die Systeme im Netzwerk - es ist eine Universität. Die Helpdesk-Mitarbeiter würden mich lynchen, wenn Benutzer ihre Browser für die Verwendung eines Proxyservers konfigurieren müssten. Ich habe darüber nachgedacht, einen Reverse-Proxy-Server zu verwenden und DNS für diese Dienste zu vergiften, aber das fügt viele bewegliche Teile hinzu, um dieses Problem zu lösen.

— Chris

Ja, das ist verrückt. Viel Glück.

— Soße Gesicht

Dieser Link "Proxy-Konfiguration erzwingen" sieht ziemlich nützlich aus. Ich muss das noch genauer untersuchen. Vielen Dank!

— Chris

Ich habe dieses Problem etwas gelöst, indem ich Reverse-Proxy-Server eingerichtet und DNS vergiftet habe.

Geben Sie für jeden Dienst eine IP-Adresse an, binden Sie HAproxy an diese IP und konfigurieren Sie HAproxy so, dass Anforderungen, die auf dieser IP angezeigt werden, entgegengenommen und an die DNS-Adresse dieses Dienstes weitergeleitet werden. (10.10.10.30 Proxy-Anfragen an www.apple.com, 10.10.10.31 Proxy-Anfragen an update.microsoft.com, 10.10.10.32 Proxys an windowsupdate.com usw.)
Konfigurieren Sie diesen HAproxy-Server so, dass er einen nicht vergifteten DNS-Server verwendet
Gift Campus DNS, um diese Dienste auf die internen HAproxy-IPs zu verweisen (windowsupdate.com -> 10.10.10.32, 10.10.10.30 -> www.apple.com, 10.10.10.31 -> update.microsoft.com usw.)
Stellen Sie sicher, dass der Proxyserver nicht den Einschränkungen für ausgehenden Datenverkehr an der Grenzfirewall unterliegt.

Ich habe dies auf einer begrenzten Basis getestet und es funktioniert. Wenn dies in die reale Produktion geht, wird es wahrscheinlich mit einem F5 anstelle von HAproxy durchgeführt.

Dies ist jedoch weitaus komplexer, als nur die Firewall den Zugriff zu ermöglichen. Leider scheint dies nicht möglich zu sein.

Ich hoffe, jemand hat eine elegantere Lösung als meine ...

— chris
quelle

Ich empfehle, WSUS auf einem Server in Ihrer DMZ zu installieren und ihm uneingeschränkten Zugriff zu gewähren microsoft.com

Dann würde ich durch Gruppenrichtlinien alle Ihre anderen Machiens auf die Verwendung Ihres WSUS-Servers hinweisen. Es gibt ein paar Vorteile:

Nur ein Server hat Zugriff über die "Firewall-Lücke"
Über ein zentrales Control Panel können Sie steuern, welche Updates an welchen Server gesendet werden.
Reduzierte Bandbreitennutzung, da nur ein Server aus dem Internet heruntergeladen wird, der Rest über Ihr LAN.

— Nate
quelle

Ich habe keine Kontrolle über die Endpunktsysteme. Es handelt sich um Studenten- / Fakultätscomputer, die sich nicht in der Domäne befinden und nicht im Besitz der IT-Organisation des Campus sind oder von dieser verwaltet werden.

— Chris

Ah ... habe das bisschen verpasst.

— Nate

Es fügt dem Problem eine entzückende Wendung hinzu ...

— Chris

Unterstützt Ihre Firewall DNS-Lookups? Dh können Sie uneingeschränkten Datenverkehr basierend auf DNS ausführen? Wenn ja, finden Sie hier eine Liste der Domains von Microsoft - technet.microsoft.com/en-us/library/bb693717.aspx

— Nate

bross: Ja, aber die Firewall sucht den Datensatz einmal pro Stunde und die TTL in den Datensätzen beträgt normalerweise 30 Sekunden oder weniger. Daher gibt es ein riesiges Fenster, in dem die Firewall glaubt, dass sich die Domäne an einer Adresse befindet (und dafür eine Lücke hat) Adresse), aber der Client erhält einen anderen Datensatz und seine Verbindungen werden von der Firewall blockiert.

— Chris