Usar con seguridad una regla Bypass de Sophos Firewall

bypass-stateful-firewall-config excluye hosts o redes de la inspección normal del firewall. No es una regla Allow normal: el ejemplo publicado para SFOS 22 usa entradas de origen y destino separadas, y la sintaxis documentada no permite limitarlas a un servicio o puerto. Por tanto, una entrada de host tiene un alcance mayor de lo que sugiere la palabra «regla».

El resumen seguro: guarde el estado actual, compare cada entrada dest_host y source_host prevista con el estado de referencia guardado y continúe solo si ambas combinaciones exactas de selector y dirección están claramente ausentes. Si una entrada ya existe o su estado no está claro, detenga la prueba; no vuelva a añadirla ni la elimine. Solo entonces añada entradas de prueba con el alcance más limitado posible, compruebe el efecto con Packet Capture y elimine inmediatamente con del únicamente las entradas que se hayan añadido como nuevas de forma demostrable. Los selectores actúan de forma independiente: dest_host abarca el tráfico hacia el host de destino y source_host, el tráfico procedente del host de origen. Juntos no forman una pareja origen-destino.

⚠️ El Bypass reduce el control y la visibilidad del tráfico coincidente. Úselo solo durante una ventana de mantenimiento limitada y con la reversión preparada. Para acceso permanente, utilice una regla de firewall normal o una excepción de policy específica.

Qué tipo de Bypass trata este artículo

Este artículo trata exclusivamente de bypass-stateful-firewall-config en Device Console.

• Stateful firewall bypass: excluye un host o una red de la inspección del firewall.
• DoS bypass rule: excepción en Protect > Intrusion prevention > DoS & spoof protection. Además puede limitarse por versión IP, origen, destino, protocolo y puertos; no es la misma función.
• IPS Bypass session: acción dentro de una regla IPS.
• FastPath / Firewall acceleration: acelera tráfico conocido y de confianza. No es un bypass stateful manual.
• LAN bypass / fail-to-wire: función de hardware en appliances compatibles que conecta un par de puertos sin inspección durante un fallo eléctrico o de hardware.
• Excepción normal: ajuste específico de una policy de firewall, NAT, Web, TLS, IPS o Application Control.

Revisar primero las opciones específicas

Un Bypass solo responde una pregunta diagnóstica: ¿funciona el flujo cuando se evita la inspección del firewall? No identifica el módulo ni la configuración causante.

• La regla de firewall no coincide: comprobar orden, zonas, origen, destino y servicio.
• IPS bloquea el flujo: comprobar policy, firma y posible excepción.
• TLS Inspection interfiere: ajustar de forma precisa SSL/TLS Inspection Rule o TLS Exclusion.
• El filtro web bloquea: comprobar Web Policy, categoría, URL Group o Web Exception.
• Application Control clasifica mal: comprobar policy y aplicación detectada.
• NAT o routing parecen incorrectos: comparar NAT Rule ID, Firewall Rule ID, ruta de retorno y Packet capture.

Para una conexión permanente, la solución correcta sigue siendo una regla normal de Sophos Firewall con logging y las funciones de seguridad necesarias.

Requisitos y alcance del cambio

Antes de ejecutar add, defina:

• la pregunta de prueba y el origen, destino, protocolo y puerto del flujo;
• los hosts o redes más estrechos posibles, no intervalos completos de clientes, servidores o VPN;
• ticket, responsable, ventana de mantenimiento y criterio de interrupción;
• la salida de show advanced-firewall antes del cambio;
• un comando del exacto para cada comando add previsto;
• evidencia de Packet capture o del log del sistema de destino;
• una prueba de control después de la reversión.

Para rutas NAT o routing asimétrico, capture primero los recorridos de ida y vuelta. Un Bypass puede ocultar un problema de routing, NAT o policy; no lo corrige.

Trabajar en Device Console

Conéctese por SSH como admin y abra 4. Device Console en el menú. Permita SSH solo desde una red de administración de confianza. Consulte Conectar con Sophos Firewall por SSH para la preparación.

Primero muestre el estado y guárdelo en el ticket:

show advanced-firewall

La salida contiene otros ajustes globales. No los modifique durante esta tarea; Comprobar Advanced Firewall Settings de forma segura los explica.

Device Console ofrece ayuda contextual. Use Tab o ? después de un comando parcial en vez de adivinar parámetros. La ayuda de SFOS 22 advierte expresamente que no se ejecuten comandos incompletos.

Añadir entradas de host para la prueba

Este ejemplo utiliza direcciones reservadas para documentación:

• Host de origen: 198.51.100.10
• Host de destino: 192.0.2.20

Sustituya los valores por los dos extremos reales del flujo de prueba. Antes de ejecutar add, compare cada selector y dirección previstos con el estado de referencia guardado. Ejecute este ejemplo solo si ambas entradas exactas están claramente ausentes. Si alguna ya existe o el estado actual no está claro, detenga la prueba: no vuelva a añadir esa entrada ni la elimine durante la reversión. Elija otro alcance de prueba autorizado o aclare el bypass existente con la persona responsable o con Sophos Support. Un bypass ya activo no permite una comparación sin interferencias entre el antes y el después. Para el bypass outbound completo que describe Sophos, y siempre que se cumplan estas condiciones, se crean entradas separadas de destino y origen:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Compruebe inmediatamente:

show advanced-firewall

Estas líneas siguen el ejemplo publicado para SFOS 22. No forman una regla que vincule únicamente 198.51.100.10 con 192.0.2.20: la primera entrada abarca el tráfico desde cualquier origen hacia 192.0.2.20, y la segunda el tráfico desde 198.51.100.10 hacia cualquier destino. La sintaxis documentada tampoco contiene parámetros de servicio o puerto. Durante la ventana de mantenimiento, genere solo el tráfico previsto, impida si es posible otros accesos a ambos hosts y no elija hosts más expuestos de lo necesario.

Cuándo está justificada una entrada de red

SFOS 22 también admite dest_network y source_network. Sin embargo, una entrada de red amplía el Bypass a todos los hosts coincidentes. Úsela solo si el mismo fallo, definido con precisión, afecta de forma demostrable a varios sistemas.

Sophos no indica un límite para el número de hosts o redes con Bypass. Es capacidad técnica, no una recomendación operativa: muchas entradas son difíciles de auditar e indican que debe corregirse la causa en lugar de ampliar la lista Bypass.

La página pública de SFOS 22 no muestra un ejemplo de red completo y ejecutable. Compruebe la sintaxis exacta de red y máscara en la versión SFOS instalada con Tab o ?, en vez de copiar un ejemplo antiguo. Reproduzca primero con un host; si no es posible, coordine el bypass de red con Sophos Support.

Validar el efecto

No compruebe solo si funciona la aplicación. Confirme que el cambio respeta el alcance previsto:

1. show advanced-firewall muestra las entradas nuevas de origen y destino con los selectores y valores previstos; las entradas anteriores permanecen sin cambios.
2. En Diagnostics > Packet capture, filtre los dos hosts y el puerto esperado.
3. Ejecute una prueba con hora claramente registrada y examine paquetes de ida y vuelta.
4. Compruebe si durante la ventana existe otro tráfico hacia el host de destino o desde el host de origen; también queda incluido en la entrada de bypass correspondiente.
5. Con routing asimétrico, confirme que el retorno atraviesa realmente este firewall.
6. Proceda de inmediato a la reversión, sea cual sea el resultado.

Packet capture muestra interfaces, origen, destino, puertos, NAT ID, Rule ID y estado de procesamiento. Si falta un sentido, compruebe primero routing, NAT y filtro de captura. La ausencia de entradas en Log Viewer, por sí sola, no permite concluir de forma fiable durante un Bypass.

Eliminar completamente el Bypass

Prepare los comandos de eliminación antes de la prueba. Se aplican exclusivamente a las entradas cuya ausencia en el estado de referencia esté demostrada y que realmente se hayan añadido como nuevas durante esta prueba; registre estos cambios en el ticket. Si solo se ha añadido una de las dos entradas como nueva, ejecute únicamente su comando del. No elimine entradas preexistentes ni aquellas que no puedan atribuirse inequívocamente a la prueba; aclare el estado con la persona responsable o con Sophos Support. Los comandos deben usar exactamente los mismos selectores y valores que los comandos add correspondientes:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

A continuación, compruebe:

show advanced-firewall

El resultado correcto es que todas las entradas de prueba realmente añadidas como nuevas hayan desaparecido, la lista de bypass vuelva a coincidir exactamente con el estado de referencia guardado, las entradas anteriores documentadas permanezcan sin cambios y una prueba de control funcione sin el bypass temporal. Si permanece una entrada que se haya añadido como nueva de forma demostrable, compare el selector introducido (dest_host o source_host) y la dirección IP con la salida; no lo sustituya por un intento de eliminación de mayor alcance. Si no está claro a qué cambio corresponde una entrada o el estado actual difiere inesperadamente del estado de referencia, no siga eliminando entradas; aclárelo con la persona responsable o con Sophos Support.

Corregir la causa real

Una prueba satisfactoria solo demuestra que la inspección del firewall intervino. Identifique después la causa:

• regla de firewall: orden, zonas, origen, destino, servicio y asignación de usuario;
• IPS, Web Protection o Application Control: firma, categoría, aplicación y policy detectadas;
• TLS Inspection: regla coincidente, confianza del certificado y exclusión estrecha;
• NAT y routing: NAT Rule ID, route precedence, decisión SD-WAN y ruta de retorno.

La solución permanente debe funcionar sin stateful firewall bypass y restaurar visibilidad y capacidad de revisión. Un diagnóstico temporal no debe convertirse silenciosamente en arquitectura de producción.

Documentación y errores habituales

Registre en el ticket, como mínimo, horas de inicio y fin, administrador, motivo, ambos hosts o redes, aplicación y servicio, todos los comandos add y del, hora de captura, resultado y tarea posterior.

Errores habituales:

• suponer que ambas entradas de host forman una pareja origen-destino o copiar parámetros de máscara no confirmados;
• eliminar, tras una prueba ejecutada por completo, solo una de las dos entradas de host que se hayan añadido como nuevas de forma demostrable, o tratar una entrada preexistente como un cambio de la prueba;
• usar una red completa cuando bastan dos hosts;
• confiar en Log Viewer en vez de Packet capture como única prueba;
• confundir este Bypass con DoS bypass rule, FastPath o LAN bypass;
• no implementar una solución normal de regla, policy, NAT o routing después de la prueba.

Preguntas frecuentes