- CheckMates
- :
- Non-English Discussions
- :
- Russian
- :
- Re: HTTPS access to CheckPoint firewall R80.10 dro...
- Subscribe to RSS Feed
- Mark Topic as New
- Mark Topic as Read
- Float this Topic for Current User
- Bookmark
- Subscribe
- Mute
- Printer Friendly Page
Are you a member of CheckMates?
×- Mark as New
- Bookmark
- Subscribe
- Mute
- Subscribe to RSS Feed
- Permalink
- Report Inappropriate Content
HTTPS access to CheckPoint firewall R80.10 dropped by Implied Rule 0
Всем привет.
Столкнулся с проблемой при переходе с R77.30 на R80.10 - в какой-то момент потерял доступ по HTTPs на свои устройства 4600 в кластере. Сразу на обе (позже пришел к выводу, что потерял после активации application blade - смотрите ниже).
Думал поначалу, что мешает MAB blade. Искал-искал проблему - не нашел. Открыл кейс (3-0610437711). Там мне предложили поставить обновление (крайний take). Очевидно, что мне это бы не помогло. Кейс закрыл. Пошел разбираться сам.
В логах видел следующее:
Dropped by multiportal infrastructure - Implied Rule 0
При этом на вкладке со связанными правилами вижу, что все разрешено:
Просмотрел в политике Implied Rules - там все разрешено, нигде не встрелил действия drop. Правила с номером 0 тоже не нашел.
В политике POLICY-FW (network) у меня было явное разрешающее правило (доступ из локальной сети к коробкам по https). Правило было перенесено вручную при подготовке миграции с R77.30 на R80.20 (у меня выделенный сервер управления - переносил правила с имеющегося сервера управления).
Однако на уровне приложений явного правила, разрешающего доступ по https к коробкам не было. Дописал. Установил политику. Получил доступ.
Такое решение проблемы меня сильно удивило, т.к. в конце политики приложений у меня стоит deny ip any. И устройство должно было блокировать трафик по этому правилу с указанием в логах номера этого запрещающего правила. Тогда бы и проблемы такой не встало - вполне штатная ситуация, не заслуживающая какого-либо обсуждения.
- Mark as New
- Bookmark
- Subscribe
- Mute
- Subscribe to RSS Feed
- Permalink
- Report Inappropriate Content
Не знаю что тут особо сказать. Есть похожий тред, с вроде бы похожей причиной и решением - Loss of HTTPS and SSH access to ClusterXL members, help?
И есть sk с указанием на MAB, но я так понял, что у вас он выключен. Gaia Web Portal connections are dropped with "dropped by multiportal infrastructure" error in the lo...
Но Jumbo Hotfix и правда лучше установить на R80.10. Только в тексте вы пишете и про R80.10, и про R80.20.
- Mark as New
- Bookmark
- Subscribe
- Mute
- Subscribe to RSS Feed
- Permalink
- Report Inappropriate Content
Привет.
Да собственно проблему я решил. Потому это не вопрос. А скорее делюсь опытом.
MAB у меня активирован. Пользуюсь VPNом с мобильных устройств. Из-за этого тоже был затык - перебрасывало на портал вместо доступа к интерфейсу GAIA, а потом отваливалось (после ввода учетных данных, т.к. WEB авторизация у меня отключена). Но это я решил - сам виноват.
Что касается версий, то:
У меня была инсталлация 77.30 где на кластере из двух 4600 крутились и МСЭ и управление. Я их разнес. Теперь у меня система управления 80.20, а кластер межсетевых экранов 80.10.
- Mark as New
- Bookmark
- Subscribe
- Mute
- Subscribe to RSS Feed
- Permalink
- Report Inappropriate Content
Ситуация таки похожа на грабли описаные мной в https://community.checkpoint.com/thread/6544-loss-of-https-and-ssh-access-to-clusterxl-members-help
Для заметки: если лицензия на APPC/URLF просрочена, возможна потеря контроля над устройствами.
В таком случае только unloadlocal через локальную консоль и пераработать политику.
