Probar reglas de Sophos Firewall con Log Viewer

Una regla de firewall no debería simplemente guardarse, sino probarse de forma específica. Especialmente con filtrado web, TLS Inspection, NAT, IPS o User Matching, una regla puede parecer correcta en WebAdmin y aun así no aplicarse como se espera.

Para la prueba son útiles tres herramientas:

Log viewer para eventos reales y decisiones de reglas
Policy tester para la lógica web, firewall y SSL/TLS
Packet capture para el flujo real de paquetes

Antes de la prueba

Primero conviene definir exactamente qué se va a probar:

Punto	Ejemplo
Source IP	`172.16.10.25`
Usuario	`user@domain.local`
Source zone	`LAN`
Destination	`https://www.example.com`
Service	`HTTPS`
Regla esperada	`LAN_to_WAN_Clients`
Action esperada	permitido, bloqueado, decrypted, no decrypted

Después, activar Log firewall traffic en la regla afectada. Sin logging, el Log Viewer solo ayuda de forma limitada.

Regla de Sophos Firewall con la opción Log firewall traffic activada — La opción Log firewall traffic debería estar activada en las reglas que se quieran probar o revisar más adelante.

Paso 1: Comprobar la posición de la regla

Abrir Rules and policies > Firewall rules y comprobar:

¿Está la regla por encima de reglas más generales?
¿Está activa?
¿Está seleccionada la vista IPv4 o IPv6 correcta?
¿Está en una Rule group adecuada?
¿Hay Exclusions?
¿Hay una regla creada automáticamente por encima?

Cuando se prueba una regla nueva, conviene restablecer el Usage Counter de la regla. Así se ve mejor si la regla se ha alcanzado realmente durante la prueba.

Paso 2: Abrir Log Viewer

Abrir el Log viewer en la esquina superior derecha de la consola WebAdmin.

Filtros útiles:

Module: Firewall
Source IP
Destination IP
Destination port
Rule ID
Rule name
Action
User

Para tráfico web, comprobar también:

Web filter
SSL/TLS inspection
Application filter
IPS

El Log Viewer se actualiza automáticamente. Para un análisis más tranquilo, se puede pausar la vista en directo, filtrar y luego reanudarla.

Paso 3: Reproducir la prueba

La prueba debe ejecutarse desde un cliente definido:

Abrir un sitio web
Enviar un ping
Probar un puerto
Iniciar una aplicación
Establecer una conexión VPN
Descargar un archivo

Si es posible, realizar solo una prueba a la vez. De lo contrario, los logs se mezclan.

Después comprobar:

¿Aumenta el contador de la regla?
¿Se ve un log en Log Viewer?
¿Qué Rule ID se muestra?
¿Qué NAT Rule ID se muestra?
¿El tráfico se permite o se bloquea?
¿Interviene alguna función de seguridad?

Paso 4: Usar Policy tester

El Policy tester ayuda a comprobar qué regla de firewall, SSL/TLS inspection rule o Web Policy se aplicaría teóricamente al tráfico web.

Ruta de menú:

Diagnostics > Tools > Policy tester

Entradas típicas:

URL
Usuario
Hora y día
Source IP
Source zone
Test method

Como Test method, seleccionar por ejemplo Firewall, SSL/TLS, and web si se quiere comprobar la combinación de regla de firewall, SSL/TLS inspection rule y Web Policy.

Sophos Firewall Policy tester con resultado aceptado — El Policy tester muestra aquí que la conexión desde la Source IP indicada sería permitida por la regla de firewall coincidente.

El Policy tester no muestra solo Accepted o Blocked, sino también la regla de firewall coincidente, el destino detectado, la Source zone y, según el método de prueba, información adicional web o SSL/TLS. Así se ve rápidamente si el tráfico termina en la regla esperada.

Sophos Firewall Policy tester con resultado Web Policy bloqueado — Para tráfico web, el Policy tester muestra además la evaluación de Web protection, la categoría y la Web Policy coincidente.

Importante:

⚠️ El Policy tester no sustituye una prueba real del flujo de paquetes. Sophos indica que los resultados del Policy tester no reflejan las SD-WAN routes. Por tanto, el comportamiento real puede variar si intervienen SD-WAN, routing o gateways.

El Policy tester es especialmente útil para:

Web Policy
Categorización de URL
Contexto de usuario
Schedule
SSL/TLS inspection rule
Matching de reglas de firewall para tráfico web

Es menos útil para:

decisiones reales de routing
ruta de retorno NAT
pérdida de paquetes
problemas de proveedor o switch
aplicaciones con múltiples conexiones y puertos

Paso 5: Usar Packet Capture

Si Log Viewer y Policy tester no bastan, usar Diagnostics > Packet capture.

Configurar un filtro estrecho, por ejemplo:

Source IP del cliente
Destination IP del servidor
Destination port
Protocolo

Después:

Iniciar Packet Capture.
Reproducir la prueba.
Detener Packet Capture.
Comparar eventos Incoming y Forwarded.
Comparar Rule ID y NAT ID con Log Viewer.

Interpretación:

Observación	¿Qué comprobar?
No llega ningún paquete	Cliente, VLAN, switch, gateway, proveedor, Cloud Security Group
El paquete entra, pero no sale	Regla de firewall, NAT, routing, función de seguridad
El paquete sale, pero falta la respuesta	Ruta de retorno, sistema de destino, NAT, firewall externo
El paquete tiene estado `Violation`	Policy, IPS, filtro web, Application Control
NAT ID inesperada	Orden NAT y reglas NAT genéricas

Más información: Usar Packet Capture en WebAdmin.

Paso 6: Validar las funciones de seguridad por separado

Si coincide la regla correcta pero el tráfico no funciona, comprobar las funciones activadas.

Función	¿Qué comprobar?
Web policy	Categoría, usuario, schedule, orden de policies
Scan HTTP and decrypted HTTPS	HTTPS solo se escanea si ya ha sido decrypted
SSL/TLS inspection	Regla coincidente, Decryption Profile, certificado CA en los clientes
IPS	Firma, policy, falso positivo
Application Control	Aplicación detectada, categoría, detección de cloud apps
Security Heartbeat	Endpoint envía heartbeat, estado verde/amarillo/rojo
Traffic Shaping	Policy activa, aplicación o regla correcta
NAT	Regla SNAT/DNAT/PAT correcta, orden

Para HTTPS, una regla de firewall con filtrado web no basta para inspeccionar contenido HTTPS. También se necesita una SSL/TLS inspection rule adecuada con decryption y certificado CA distribuido.

Más información: Implementar TLS Inspection en Sophos Firewall paso a paso.

Paso 7: Comprobar archivos de log

Si las herramientas WebAdmin no bastan, comprobar los archivos de log correspondientes.

Archivos típicos:

Tema	Archivo de log
Regla de firewall	`firewall_rule.log`
NAT	`nat_rule.log`
Conexiones de firewall	`fwlog.log`
IPS y DPI	`ips.log`
Web Proxy	`awarrenhttp.log`
IPsec	`strongswan.log`, `charon.log`
SSL VPN	`sslvpn.log`
DNS	`dnsd.log`, `dnsgrabber.log`
DHCP	`dhcpd.log`

Hay una vista detallada aquí: Sophos Firewall Troubleshooting: servicios y logs.

Ejemplo: probar una regla web LAN a WAN

Crear la regla de firewall LAN_to_WAN_Clients.
Activar logging.
Configurar Services en HTTP y HTTPS.
Seleccionar Web Policy.
Mantener activado Block QUIC protocol.
Activar Scan HTTP and decrypted HTTPS.
Crear una SSL/TLS inspection rule para el grupo de prueba.
Instalar el certificado CA en el cliente de prueba.
Restablecer el contador de la regla.
Abrir un sitio web.
Filtrar Log Viewer por Source IP.
Ejecutar Policy tester para la misma URL.
Si hay diferencias, iniciar Packet Capture.

Así se ve si la regla coincide, si HTTPS se descifra realmente y si intervienen Webfilter, IPS o Application Control.