Sophos XG135 - Tablets per MAC-Adresse Internetzugang verweigern?!

[owl2010]

Ich habe drei Android-Tablets die zwar im internen WLan verbunden sind, denen ich aber den Zugriff ins Internet untersagen möchte. Ich habe eine Sophos XG135. Ich habe für jedes Tablet einen MAC-Host angelegt mit der jeweiligen MAC-Adresse des Tablets.

Dann habe ich die folgende Regel erstellt:

Aber diese Regel schein nicht zu greifen. Die Tablets kommen trotzdem weiterhin ins Internet ohne Einschränkungen. Erst wenn ich beim Quellnetzwerk die IP-Adresse des Tablets hinterlege, dann wird das Internet auch geblockt.

Problem ist jedoch, dass ich dem Tablet keine feste IP zuweisen kann.

Warum funktioniert die Sperre anhand der MAC-Adresse nicht? Diese wäre ja immer dieselbe.

Dank und Gruß im Voraus!

 

[Masamune2]

Liegt das WLAN Netz denn auch direkt an der Sophos an oder routet da noch ein anderes Gerät in eurem Netz?

 

[JohnStorm]

Kannst Du nicht im Router/ DHCP Server festlegen, dass alle/bestimmte Geräte immer die gleiche IP erhalten?

 

[WhiteHelix]

Dann habe ich die folgende Regel erstellt:

In welcher Zone hast du die denn angelegt?

 

[Raijin]

Warum funktioniert die Sperre anhand der MAC-Adresse nicht? Diese wäre ja immer dieselbe.

Nicht zwingend bzw. anders als du vielleicht denkst. Bei Mobilgeräten wie Tablets und Smartphones musst du dir die Geräteeinstellungen genau ansehen. Wenn die Funktion "Random-MAC" aktiviert ist (je nach OS ggfs etwas anders benannt), wird nicht die Hardware-MAC des NIC verwendet, sondern eine Zufalls-MAC. Diese erkennt man daran, dass an zweiter Stelle der MAC 2, 6, A oder E steht. Zwar wird die Random-MAC je Netzwerk intern gespeichert und wiederverwendet, aber es ist eben nicht die Hardware-MAC. Sperrst du nun aber die Hardware-MAC, greift die Sperre nicht, weil sich das Gerät mit der besagten Random-MAC präsentiert.

Die verwendete Random-MAC kannst du entweder im Gerät bei der jeweiligen WLAN-Verbindung nachschauen und wenn sie dort nicht stehen sollte, kannst du beispielsweise am Gerät einen Ping ins Internet starten, an der Sophos mit dem Paketfilter auf ICMP filtern und dort die Source-MAC auslesen.

 

[owl2010]

Also das wäre z.B. eine MAC von einem Tablet:
A8:81:95:18:A2:70
Das WLAN wird auch direkt von der Sophos verwaltet.

Nach deiner Aussage wäre das dann keine "Random-Mac" ?

Ergänzung (13. Juni 2023)

Nachtrag:
Was merkwürdig ist:
Ich kann ja bei dem WLAN in der Sophos z.B. einen MAC-Filter aktivieren. Wenn ich da die MAC-Adressen der Tablets eintrage und sie auf die Blacklist setze, so können sich die Tablets nicht mehr mit dem WLAN verbinden. Hier scheint die Sophos ja anscheinend richtig mit dem MAC-Adressen arbeiten zu können.

 

[Raijin]

Nein, das ist tatsächlich keine Random-MAC. Sieht man auch zB bei https://macvendors.com/, weil dort Samsung als Vendor erkannt wird. Random-MACs haben keinen gültigen Vendor.

So wie es aussieht ist es also nicht die falsche MAC, die dazu führt, dass die Regel nicht greift. Ich kenne mich mit Sophos leider 0 aus und kann darüber hinaus keine Hilfestellung leisten.

 

[owl2010]

Kennt sich vielleicht hier jemand mit der Sophos im Speziellem aus?

 

[WhiteHelix]

In welcher Zone hast du die denn angelegt?

 

[owl2010]

Was genau meinst du damit?

Ergänzung (13. Juni 2023)

 

[WhiteHelix]

Die XG hat doch Zonen in denen die Interfaces zugewiesen werden, WAN, LAN, DMZ, WLAN etc. Zumindest kenn ich das nur so von den aktuellen XGS, aber die FW ist ja afaik die gleiche wie auf den XG.

 

[owl2010]

Hier sind meine Zoneneinstellungen:

 

[WhiteHelix]

Zielzone in deiner FW Regel ist dann vermutlich WAN? Ich würde mal testweise noch die Zone aus der die Geräte kommen mti eintragen, wenn du die MAC als Identifizierung am laufen hast. "Eigentlich" sollte das kein Problem sein das so zu konfigurieren, aber ich hab bei den XGSs die ich betreuen durfte schon jede Menge seltsamer Sachen gesehen.

Da das via IP funktioniert, machst du DHCP auch über die Sophos? Dann leg da einfach eine Reservierung auf die MAC der Tablets an. Ist zwar mehr ein Workaround, aber immerhin bekommst du das damit dann auch zum laufen.

 

[owl2010]

Hm....das mit den IP`s wollte ich ja vermeiden...gibt es keinen Weg nur über die MAC-Adressen zu gehen?

 

[WhiteHelix]

Also wie gesagt, meiner Meinung nach sollte das eigentlich so gehen. Sophos Support anfragen wäre noch ne Möglichkeit, falls vorhanden. Aber ich tippe mal auf nein Nachdem wie unser Dienstleister über die XG(S) geschimpft hat, kann ich mir schon vorstellen das das ein, ziemlich schwacher Softwarebug ist.

 

[owl2010]

Ok, schade

 

[WhiteHelix]

Was spricht denn das Livelog der FW, wenn du von einem der Tablets nen Aufruf startest? Da stehen ja die angewendeten Regeln auch mit drin.

 

[Raijin]

Hm....das mit den IP`s wollte ich ja vermeiden...gibt es keinen Weg nur über die MAC-Adressen zu gehen?

Was ist denn das Problem, das über die IP zu lösen? MAC-Adressen lassen sich ähnlich einfach ändern, wenn es das ist was du bei der IP befürchtest.

 

[owl2010]

 

[BFF]

Waere es nicht einfacher die Tablets in ein eigenes (Wifi) VLAN zu verbannen und das VLAN nicht in das Internet zu lassen?

Wer macht DHCP in Deinem Netz? @owl2010