Usar con seguridad una regla Bypass de Sophos Firewall

bypass-stateful-firewall-config excluye hosts o redes de la inspección normal del firewall. No es una regla Allow normal: el ejemplo publicado para SFOS 22 usa entradas de origen y destino separadas, y la sintaxis documentada no permite limitarlas a un servicio o puerto. Por tanto, una entrada de host tiene un alcance mayor de lo que sugiere la palabra «regla».

El método seguro consiste en guardar el estado actual, añadir las entradas dest_host y source_host más estrechas posibles para la prueba, validar con Packet capture y eliminar inmediatamente ambas entradas con del. Los selectores actúan de forma independiente: dest_host abarca el tráfico hacia el host de destino y source_host, el tráfico procedente del host de origen. Juntos no forman una pareja origen-destino.

⚠️ El Bypass reduce el control y la visibilidad del tráfico coincidente. Úselo solo durante una ventana de mantenimiento limitada y con la reversión preparada. Para acceso permanente, utilice una regla de firewall normal o una excepción de policy específica.

Qué tipo de Bypass trata este artículo

Este artículo trata exclusivamente de bypass-stateful-firewall-config en Device Console.

• Stateful firewall bypass: excluye un host o una red de la inspección del firewall.
• DoS bypass rule: excepción en Protect > Intrusion prevention > DoS & spoof protection. Además puede limitarse por versión IP, origen, destino, protocolo y puertos; no es la misma función.
• IPS Bypass session: acción dentro de una regla IPS.
• FastPath / Firewall acceleration: acelera tráfico conocido y de confianza. No es un bypass stateful manual.
• LAN bypass / fail-to-wire: función de hardware en appliances compatibles que conecta un par de puertos sin inspección durante un fallo eléctrico o de hardware.
• Excepción normal: ajuste específico de una policy de firewall, NAT, Web, TLS, IPS o Application Control.

Revisar primero las opciones específicas

Un Bypass solo responde una pregunta diagnóstica: ¿funciona el flujo cuando se evita la inspección del firewall? No identifica el módulo ni la configuración causante.

• La regla de firewall no coincide: comprobar orden, zonas, origen, destino y servicio.
• IPS bloquea el flujo: comprobar policy, firma y posible excepción.
• TLS Inspection interfiere: ajustar de forma precisa SSL/TLS Inspection Rule o TLS Exclusion.
• El filtro web bloquea: comprobar Web Policy, categoría, URL Group o Web Exception.
• Application Control clasifica mal: comprobar policy y aplicación detectada.
• NAT o routing parecen incorrectos: comparar NAT Rule ID, Firewall Rule ID, ruta de retorno y Packet capture.

Para una conexión permanente, la solución correcta sigue siendo una regla normal de Sophos Firewall con logging y las funciones de seguridad necesarias.

Requisitos y alcance del cambio

Antes de ejecutar add, defina:

• la pregunta de prueba y el origen, destino, protocolo y puerto del flujo;
• los hosts o redes más estrechos posibles, no intervalos completos de clientes, servidores o VPN;
• ticket, responsable, ventana de mantenimiento y criterio de interrupción;
• la salida de show advanced-firewall antes del cambio;
• un comando del exacto para cada comando add previsto;
• evidencia de Packet capture o del log del sistema de destino;
• una prueba de control después de la reversión.

Para rutas NAT o routing asimétrico, capture primero los recorridos de ida y vuelta. Un Bypass puede ocultar un problema de routing, NAT o policy; no lo corrige.

Trabajar en Device Console

Conéctese por SSH como admin y abra 4. Device Console en el menú. Permita SSH solo desde una red de administración de confianza. Consulte Conectar con Sophos Firewall por SSH para la preparación.

Primero muestre el estado y guárdelo en el ticket:

show advanced-firewall

La salida contiene otros ajustes globales. No los modifique durante esta tarea; Comprobar Advanced Firewall Settings de forma segura los explica.

Device Console ofrece ayuda contextual. Use Tab o ? después de un comando parcial en vez de adivinar parámetros. La ayuda de SFOS 22 advierte expresamente que no se ejecuten comandos incompletos.

Añadir entradas de host para la prueba

Este ejemplo utiliza direcciones reservadas para documentación:

• Host de origen: 198.51.100.10
• Host de destino: 192.0.2.20

Sustitúyalas por los dos extremos reales del flujo. Para el bypass outbound completo que describe Sophos, añada entradas separadas de destino y origen:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Compruebe inmediatamente:

show advanced-firewall

Estas líneas siguen el ejemplo publicado para SFOS 22. No forman una regla que vincule únicamente 198.51.100.10 con 192.0.2.20: la primera entrada abarca el tráfico desde cualquier origen hacia 192.0.2.20, y la segunda el tráfico desde 198.51.100.10 hacia cualquier destino. La sintaxis documentada tampoco contiene parámetros de servicio o puerto. Durante la ventana de mantenimiento, genere solo el tráfico previsto, impida si es posible otros accesos a ambos hosts y no elija hosts más expuestos de lo necesario.

Cuándo está justificada una entrada de red

SFOS 22 también admite dest_network y source_network. Sin embargo, una entrada de red amplía el Bypass a todos los hosts coincidentes. Úsela solo si el mismo fallo, definido con precisión, afecta de forma demostrable a varios sistemas.

Sophos no indica un límite para el número de hosts o redes con Bypass. Es capacidad técnica, no una recomendación operativa: muchas entradas son difíciles de auditar e indican que debe corregirse la causa en lugar de ampliar la lista Bypass.

La página pública de SFOS 22 no muestra un ejemplo de red completo y ejecutable. Compruebe la sintaxis exacta de red y máscara en la versión SFOS instalada con Tab o ?, en vez de copiar un ejemplo antiguo. Reproduzca primero con un host; si no es posible, coordine el bypass de red con Sophos Support.

Validar el efecto

No compruebe solo si funciona la aplicación. Confirme que el cambio respeta el alcance previsto:

1. show advanced-firewall muestra las entradas nuevas de origen y destino con los selectores y valores previstos; las entradas anteriores permanecen sin cambios.
2. En Diagnostics > Packet capture, filtre los dos hosts y el puerto esperado.
3. Ejecute una prueba con hora claramente registrada y examine paquetes de ida y vuelta.
4. Compruebe si durante la ventana existe otro tráfico hacia el host de destino o desde el host de origen; también queda incluido en la entrada de bypass correspondiente.
5. Con routing asimétrico, confirme que el retorno atraviesa realmente este firewall.
6. Proceda de inmediato a la reversión, sea cual sea el resultado.

Packet capture muestra interfaces, origen, destino, puertos, NAT ID, Rule ID y estado de procesamiento. Si falta un sentido, compruebe primero routing, NAT y filtro de captura. La ausencia de entradas en Log Viewer, por sí sola, no permite concluir de forma fiable durante un Bypass.

Eliminar completamente el Bypass

Prepare los comandos de eliminación antes de la prueba. Deben usar exactamente los mismos selectores y valores que los comandos add correspondientes:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

A continuación, compruebe:

show advanced-firewall

El resultado correcto es que ambas entradas de prueba hayan desaparecido, las entradas antiguas documentadas no hayan cambiado y una prueba de control funcione sin el Bypass temporal. Si queda una entrada, compare el selector (dest_host o source_host) y la IP con la salida; no intente una eliminación más amplia.

Corregir la causa real

Una prueba satisfactoria solo demuestra que la inspección del firewall intervino. Identifique después la causa:

• regla de firewall: orden, zonas, origen, destino, servicio y asignación de usuario;
• IPS, Web Protection o Application Control: firma, categoría, aplicación y policy detectadas;
• TLS Inspection: regla coincidente, confianza del certificado y exclusión estrecha;
• NAT y routing: NAT Rule ID, route precedence, decisión SD-WAN y ruta de retorno.

La solución permanente debe funcionar sin stateful firewall bypass y restaurar visibilidad y capacidad de revisión. Un diagnóstico temporal no debe convertirse silenciosamente en arquitectura de producción.

Documentación y errores habituales

Registre en el ticket, como mínimo, horas de inicio y fin, administrador, motivo, ambos hosts o redes, aplicación y servicio, todos los comandos add y del, hora de captura, resultado y tarea posterior.

Errores habituales:

• suponer que ambas entradas de host forman una pareja origen-destino o copiar parámetros de máscara no confirmados;
• añadir o eliminar solo una de las dos entradas de host previstas;
• usar una red completa cuando bastan dos hosts;
• confiar en Log Viewer en vez de Packet capture como única prueba;
• confundir este Bypass con DoS bypass rule, FastPath o LAN bypass;
• no implementar una solución normal de regla, policy, NAT o routing después de la prueba.

Preguntas frecuentes