Elegir correctamente DPI Engine o Web Proxy en Sophos Firewall

Para las nuevas reglas generales de acceso a Internet de clientes en SFOS 22, DPI Engine suele ser el punto de partida más adecuado. Procesa en una misma ruta las decisiones de firewall, Web Protection, Application Control, IPS, análisis de malware e inspección TLS. Web Proxy sigue siendo la opción correcta cuando se necesita una función propia del proxy: Policy Quota, análisis Batch, restricciones de SafeSearch o YouTube, limitación de inicios de sesión de Google Workspace a determinados dominios, Pharming Protection, Web Cache, Parent Proxy o un diseño de Direct Proxy.

La elección no es una decisión global para todo el firewall. Diferentes reglas de firewall y grupos de clientes pueden utilizar diferentes rutas. Sin embargo, para un flujo de prueba individual, debe quedar claro qué regla se aplica y si el DPI Engine, el Web Proxy transparente o un Direct Proxy configurado explícitamente procesa la solicitud.

Cuando un servicio proxy o de correo clásico debe procesar un protocolo conocido en otro puerto, Inspeccionar puertos no estándar explica la asignación global con service-param, la validación y el rollback.

⚠️ No se debe cambiar una regla de producción de forma espontánea entre DPI Engine y Web Proxy. El cambio modifica el descifrado TLS, las funciones admitidas, la vista de los registros y, en algunos casos, el comportamiento de navegadores y aplicaciones. Primero se prueba un cliente piloto en una regla propia, se documenta la ruta de retorno y solo después se amplía el alcance.

Decisión rápida

1. Recopile el grupo de clientes afectados, Firewall Rule ID, Web Policy, solicitud TLS y funciones web requeridas.
2. Seleccione DPI Engine si el tráfico de cliente enrutado normal se va a controlar sin una función de proxy especial.
3. Elija Web Proxy si se requiere escaneo Policy Quota, Batch, Web Cache o diseño de proxy intencional.
4. Para Direct Proxy, verifique también el escucha, Device Access, PAC o la configuración del navegador y los servicios de firewall local.
5. Configure el descifrado TLS en el lugar correcto: SSL/TLS inspection rule para DPI, descifrado HTTPS proxy para Web Proxy.
6. Incluya un host piloto en su propia regla registrada y active exactamente una solicitud permitida y una bloqueada.
7. Rule ID, verifique la acción del filtro web, el emisor del certificado, el resultado del análisis y la ruta de datos utilizados juntos.
8. Si hay desviaciones, regrese a la ruta de control anterior en lugar de cambiar ambos modos al mismo tiempo en el mismo flujo de prueba.

Comprender DPI Engine, Web Proxy transparente y Direct Proxy

Los tres términos no describen la misma configuración:

• DPI Engine: El tráfico normalmente enrutado se compara con la regla de firewall y SSL/TLS inspection rules. El cliente no conoce un proxy.
• Transparent Web Proxy: El cliente tampoco conoce un proxy. Sin embargo, la regla de firewall utiliza Use web proxy instead of DPI engine y pasa el tráfico web clásico al Web Proxy.
• Direct Web Proxy: El navegador o la aplicación se conecta expresamente al listener proxy del firewall, normalmente en el puerto TCP 3128. Esta ruta la crea la configuración del cliente, no la opción de la regla de firewall.

En todos los casos, Web Policy solo funciona si está seleccionada en la regla de firewall que realmente coincide. Scan HTTP and decrypted HTTPS tampoco activa por sí sola el descifrado TLS. Configurar Web Protection con Web Policies explica la planificación, las categorías y el orden de las reglas.

Con DPI Engine, Sophos procesa SSL/TLS Inspection, IPS, Application Control, Web Policies y antivirus en una ruta de inspección común. Según la plataforma y el flujo, esta ruta puede beneficiarse de la aceleración del firewall. Las conexiones proxy, en cambio, se terminan y se establecen de nuevo mediante un proceso proxy. Esto no permite afirmar de forma general que un modo sea siempre más rápido o más seguro. Solo son concluyentes las pruebas en la appliance real con reglas, aplicaciones de destino y caudal representativos.

¿Qué funciones determinan la decisión?

DPI Engine para el tráfico general de clientes

El DPI Engine es un buen punto de partida si el entorno necesita estas características:

• Tráfico de cliente enrutado normal sin PAC o proxy del navegador predeterminado
• SSL/TLS Inspection sobre Decryption Profiles basado en reglas
• Detección HTTP o TLS también fuera de los puertos clásicos, siempre que las reglas y la detección coincidan
• Evaluación conjunta con IPS, Application Control y escaneo de malware
• Una ruta de datos lo más uniforme posible para las nuevas reglas de Internet de los clientes

En DPI Engine, el análisis de malware siempre funciona en Real-time. Configurar y probar el análisis de malware en Sophos Firewall explica el motor de análisis, los límites de tamaño y las acciones ante errores.

Web Proxy es adecuado para funciones de proxy

El Web Proxy es necesario o útil si se aplica al menos uno de estos requisitos:

• un Web Policy usa Quota
• El análisis de malware debería funcionar en modo Batch en lugar de solo Real-time
• se deben aplicar restricciones de SafeSearch o YouTube
• los inicios de sesión de Google Workspace deben limitarse a cuentas de dominios concretos
• se debe activar Pharming Protection
• Web Content Cache es parte del diseño.
• Los clientes utilizan un Direct Proxy con PAC, GPO, MDM o configuración de aplicación
• Se proporciona un proxy principal u otra arquitectura relacionada con el proxy.
• se debe conservar una ruta de autenticación de proxy existente y probada

Policy Quota no es compatible con DPI Engine. Por lo tanto, un cambio al DPI no adoptaría esa política de la misma manera. Por el contrario, un proxy existente no es motivo para establecer cada nueva regla en modo proxy. La función requerida y la ruta de datos real deciden para cada grupo de clientes.

Con Web Proxy transparente, el proxy solo procesa HTTP en el puerto 80 y HTTPS en el puerto 443; el tráfico HTTP y TLS de otros puertos sigue en DPI Engine aunque la opción de proxy esté activada. Direct Web Proxy escucha en el listener configurado, de forma predeterminada en TCP 3128. Configurar Direct Web Proxy con un archivo PAC reúne listener, archivo PAC, Local Service ACL restringida y regla proxy.

Lo que ambos modos necesitan en común

Independientemente del modo, la protección web necesita:

• una regla de firewall que realmente afecta el tráfico de prueba
• un Web Policy seleccionado y un registro activado
• criterios claros de origen, destino, servicio y usuario
• una decisión consciente QUIC para el tráfico del navegador
• Visibilidad de TLS cuando se deben inspeccionar el contenido o las descargas HTTPS
• excepciones Web y TLS específicas en lugar de amplias
• una prueba positiva y negativa con tráfico real

Antes del piloto también deben funcionar el enrutamiento y el NAT de salida. En un acceso a Internet habitual, puede tratarse de una regla SNAT coincidente con Translated source (SNAT): MASQ en Rules and policies > NAT rules. No cambie una regla NAT existente que ya coincide correctamente solo para comparar los modos.

Web Exceptions puede omitir comprobaciones de protección en ambos diseños. En Web > Exceptions > Add an exception, los distintos tipos de criterio se combinan con AND, mientras que varios valores del mismo tipo se combinan con OR. Omitir HTTPS decryption también omite todas las comprobaciones que dependen del contenido descifrado y permite certificados no válidos para ese tráfico. Un criterio basado solo en la ruta de una URL HTTPS únicamente funciona si el tráfico ya se está descifrando. Por eso una excepción solo se configura tras analizar la causa y se documenta con propietario y fecha de revisión. Usar Web Exceptions de forma segura explica la separación entre excepciones de política, malware, HTTPS y certificados.

Preparar ejemplo y piloto.

El flujo utiliza los siguientes valores de documentación:

• Red de clientes: 10.20.30.0/24
• Cliente piloto: CLIENT-WEB-01
• IP piloto fija: 10.20.30.50
• regla existente: LAN_Clients_Web
• Regla piloto: LAN_Web_Mode_Pilot
• Web Policy: Web_Standard
• FQDN de proxy en Direct Proxy: fw01.example.com
• Puerto proxy directo: 3128

10.20.30.0/24 y 10.20.30.50 se reemplazan por la red del cliente real y una IP piloto fija visible en el firewall. Ninguna NAT puede ocultar clientes adicionales detrás de la dirección piloto. example.com es un dominio de documentación reservado; fw01.example.com solo se reemplaza con el FQDN del firewall que se puede resolver internamente durante una prueba de proxy directa.

Antes del cambio, se documentan la configuración actual de Rule ID, Web Policy, Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, QUIC, las reglas TLS, la CA, las excepciones y los registros relevantes. Además, el piloto necesita una ruta de regreso probada utilizando la regla existente sin cambios.

La regla piloto está por encima de la regla de cliente anterior y solo contiene CLIENT-WEB-01 como fuente. Destino, Servicios, Web Policy y otros perfiles de protección se adoptan inicialmente de forma idéntica. La prueba solo cambia la ruta de inspección y no el enrutamiento, NAT, categorías o lógica de usuario al mismo tiempo.

Configurar DPI Mode

Abra la regla piloto en Rules and policies > Firewall rules. Las siguientes opciones están en Security features > Web filtering:

1. Deshabilite Use web proxy instead of DPI engine.
2. Seleccione Web_Standard en Web filtering > Web policy.
3. Active Scan HTTP and decrypted HTTPS según el escaneo de contenido y malware programado.
4. Activa Log firewall traffic.
5. En Filtering common web ports, mantenga activado Block QUIC protocol. SFOS lo activa de forma predeterminada al seleccionar una Web Policy o Scan HTTP and decrypted HTTPS; QUIC sobre UDP 80/443 no se puede analizar y elude Web Filtering.
6. Para un piloto DPI amplio, use Services: Any o incluya todos los servicios realmente necesarios. DPI detecta HTTP y TLS en todos los puertos; un alcance demasiado limitado puede falsear la comparación.
7. Guarde la regla y compruebe su posición por encima de la regla general de clientes.

El descifrado TLS para DPI no está activado en esta regla de firewall. Bajo Rules and policies > SSL/TLS inspection rules, el piloto necesita una regla adecuada con Action: Decrypt, el Decryption profile previsto, registro activo y el alcance de origen correcto. La CA utilizada por esta ruta debe ser de confianza en el cliente piloto.

Introducir TLS Inspection de forma gradual explica la distribución controlada de la CA, el Decryption Profile, las excepciones y la SSL/TLS inspection rule. Sin una regla Decrypt adecuada, Web Policy aún puede decidir por dominio o categoría, pero la inspección prevista del contenido y las descargas queda limitada.

Configurar Web Proxy Mode

La misma regla piloto se adapta para el Web Proxy transparente:

1. En Security features > Web filtering, seleccione la Web Policy Web_Standard.
2. En Malware and content scanning, active Scan HTTP and decrypted HTTPS según el diseño de análisis.
3. En Filtering common web ports, active Use web proxy instead of DPI engine.
4. Justo debajo, active Decrypt HTTPS during web proxy filtering solo si la CA del proxy es de confianza en el piloto y la prueba HTTPS está preparada. Esta opción también descifra el tráfico de Direct Proxy.
5. Mantenga activado Block QUIC protocol y active Log firewall traffic.
6. Para proxy transparente, incluya al menos los servicios HTTP y HTTPS. Para Direct Proxy, añada el puerto configurado en Web > General settings > Web proxy configuration > Web proxy listening port; el valor predeterminado es TCP 3128.
7. En Web > General settings > Malware and content scanning, compruebe Web proxy scanning mode. En HTTPS decryption and scanning, compruebe HTTPS scanning certificate authority (CA), Block unrecognized SSL protocols y Block invalid certificates.
8. Compruebe de nuevo la posición de la regla y el origen del piloto.

En este modo, el descifrado se activa en la regla de firewall; la CA y el tratamiento de certificados proceden de Web > General settings. Una SSL/TLS inspection rule de DPI no activa el descifrado del proxy. Al cambiar de modo, no basta con buscar un Decryption Profile existente: también se debe comprobar el emisor del certificado que aparece realmente en el navegador.

Direct Proxy es una ruta de cliente independiente. El navegador o la aplicación se conecta a fw01.example.com:3128; listener, Device Access, regla de firewall y configuración del cliente deben coincidir. Use web proxy instead of DPI engine no es un requisito para esta solicitud explícita. El tráfico de Direct Proxy también tiene límites propios: Traffic Shaping no se aplica a esta ruta e IPS inspecciona entre el proxy y WAN, no entre el cliente y el proxy.

⚠️ Para Direct Proxy, permita solo la zona de clientes necesaria en Administration > Device access > Other services > Web proxy; para un único piloto es preferible una excepción Local Service ACL estrictamente limitada que el acceso de toda una zona. Un proxy accesible puede exponer los servicios HTTP y HTTPS locales del firewall aunque la matriz de zonas los deniegue al cliente, porque el firewall considera que estas solicitudes proceden del propio proxy. Realice pruebas negativas contra WebAdmin, User Portal, VPN Portal y otros destinos web locales, y detenga el despliegue si aparece una exposición no permitida. Mantenga Allowed destination ports en Web > General settings > Web proxy configuration lo más restringido posible y, tras el piloto, restaure los cambios temporales de ACL, listener y puertos de destino al estado anterior documentado.

Comprobar protocolos SSL y certificados de servidor no válidos

En Web > General settings > HTTPS decryption and scanning, Block unrecognized SSL protocols impide que el tráfico con protocolos SSL no válidos eluda la inspección HTTPS. Es una decisión de protección, no una opción que permita descifrar cualquier aplicación incompatible.

Block invalid certificates permite al proxy web conectarse únicamente a sitios con un certificado de servidor válido. La opción solo se aplica al proxy; en la ruta DPI, la validación de certificados se configura mediante Decryption profiles. La confianza del cliente en la Signing CA resuelve otro problema y no repara un certificado original no válido. Para un caso especial expresamente aprobado, Web > Exceptions permite omitir de forma selectiva la validación de certificados según sitios, categorías web o direcciones IP de origen y destino. Omitir solo la comprobación necesaria, en lugar de desactivar también todo el descifrado HTTPS.

Guardar los valores globales del proxy antes de un cambio y confirmar la ruta afectada. Con un destino válido y un destino de prueba controlado con certificado no válido, comparar el resultado del cliente, Rule ID y los registros web/TLS; probar también la excepción frente a un destino no autorizado como caso negativo. Si la causa sigue sin estar clara, no ampliar el alcance. Para revertir, restaurar solo los valores modificados o la excepción piloto a su estado anterior y comprobar nuevas conexiones.

Cambie de forma segura las reglas existentes

El cambio no se realiza editando la única regla de producción durante la prueba:

1. Exporte o documente reglas existentes y configuraciones web/TLS relevantes.
2. Cree una regla piloto con criterios idénticos y solo un host piloto.
3. Primero replique el modo actual en la regla piloto y confirme el estado inicial.
4. Cambie únicamente el modo y su configuración TLS asociada obligatoria.
5. Verifique el tráfico permitido, bloqueado y descifrado.
6. Pruebe los flujos de inicio de sesión, colaboración, actualización y navegador críticos para el negocio.
7. Si tiene éxito, amplíe gradualmente el alcance.
8. Si hay una desviación, desactive la regla piloto y pruebe nuevamente la ruta de retorno sin cambios.

Una migración de reglas no es un buen momento para cambiar categorías web, autenticación, NAT, SD-WAN, excepciones y motor de malware al mismo tiempo. Varios cambios simultáneos dificultan asignar un resultado diferente.

Comprobar correctamente el resultado

Se utilizan al menos las mismas cuatro solicitudes para cada modo:

1. una página HTTPS deliberadamente permitida
2. una categoría o URL de prueba bloqueada deliberadamente por Web_Standard
3. una descarga HTTPS controlada capturada por la ruta de escaneo programada
4. una aplicación crítica para el negocio con expectativa de inicio de sesión o certificado

En Log Viewer, la hora, la IP de origen, el usuario, Firewall Rule ID, Web Policy, la categoría, la acción y el resultado del escaneo se verifican juntos. El Rule ID debe pertenecer a la regla piloto. Un sitio web visible por sí solo no prueba la regla correcta ni la ruta de inspección correcta.

En la prueba HTTPS también se comprueba el emisor del certificado en el navegador. En DPI Mode debe coincidir con la CA de la SSL/TLS inspection rule que ha coincidido. En Proxy Mode debe coincidir con la CA del proxy configurada en Web > General settings. Si el navegador muestra el certificado público original del servidor, es posible que la conexión no se haya descifrado o que haya coincidido una excepción.

En una conexión bloqueada en el puerto 80 o 443, el registro del firewall puede mostrar la conexión como permitida mientras el registro de Web Filter muestra la solicitud bloqueada. Esto es compatible con el comportamiento del proxy: el firewall permite el flujo hacia el proxy y este genera después la página de bloqueo. Por eso se correlacionan ambos registros por tiempo en lugar de considerarlos contradictorios.

Probar reglas de Sophos Firewall de forma controlada reúne la coincidencia de reglas, Log Viewer, Policy Tester y Packet Capture. Durante una captura, las herramientas de diagnóstico pueden cambiar temporalmente la ruta de aceleración. Por eso, una diferencia de rendimiento observada mientras la captura está activa no permite comparar limpiamente ambos modos.

Aislar errores por síntoma

Web Policy no funciona

Marque Rule ID, posición de regla, fuente, usuario, servicio y Web Policy seleccionado. Con el Direct Proxy, compruebe también si el navegador o la aplicación realmente utiliza el oyente. No agregue una regla Any más amplia antes de que se resuelva la coincidencia real.

HTTPS no está descifrado

Primero determine el modo activo. Para DPI, verifique SSL/TLS inspection rule, Action, Decryption Profile y CA. Para Web Proxy Decrypt HTTPS during web proxy filtering, verifique la CA de proxy y posible Web Exceptions. Scan HTTP and decrypted HTTPS no reemplaza ninguno de estos pasos de descifrado.

Después del cambio, se producen errores de certificado.

Verifique el emisor visible en el cliente, el almacén de confianza, la excepción TLS, la fijación de certificados y el almacenamiento de la aplicación propia. No cree inmediatamente un Don't decrypt amplio o una excepción web. La excepción debe limitarse lo más posible al dominio o aplicación realmente afectada.

Falta Quota o el análisis Batch

Estas funciones requieren Web Proxy Mode. Se comprueban la regla piloto activa, Use web proxy instead of DPI engine, la asignación de la política y el modo de análisis del proxy. Una prueba DPI correcta no confirma esta función del proxy.

El sitio está bloqueado, pero el registro del firewall muestra la conexión como permitida

Fusione Web Filter y el firewall a tiempo. Para el tráfico de proxy, el firewall puede permitir la conexión al proxy antes de que el proxy bloquee la URL y entregue una página de bloqueo. Categoría, Acción, Rule ID y Regla de política web proporcionan la decisión real.

Sólo fallan los puertos o aplicaciones individuales

Aclare si se utiliza proxy transparente, Direct Proxy o DPI. El proxy transparente se centra en los puertos web clásicos; Direct Proxy necesita un cliente y un oyente compatibles; DPI puede reconocer TLS en puertos TCP adicionales si la regla y el descifrado coinciden. No establezca el uso compartido de puertos universal como reemplazo del diagnóstico.

Los registros no bastan para identificar la causa

Activar el registro de firewall y Web y repetir la prueba con una hora inequívoca. Según la ruta, son relevantes los registros del proxy Web, TLS y la inspección. Servicios y archivos de registro de Sophos Firewall explica su clasificación y una exportación segura.

Reversión y operación

Para volver atrás se desactiva la regla piloto, sin eliminar la Web Policy de producción. Después, el piloto debe volver a utilizar la Rule ID documentada y la ruta de tráfico original. Las autorizaciones temporales de Device Access para el proxy, las asignaciones PAC y las excepciones del piloto se restauran al estado anterior.

Durante la operación, cada decisión de modo relacionada con reglas tiene un dueño y una razón comprensible. Las funciones exclusivas de proxy, Decryption Profiles, cambios de CA, excepciones y grupos de clientes se verifican periódicamente. Un cambio posterior comienza nuevamente con una prueba piloto porque las nuevas versiones del navegador, TLS y la aplicación pueden cambiar el resultado.

Lista de verificación de operaciones

• Se documentan el grupo de clientes, la IP piloto y la ruta de regreso.
• Se conocen el Firewall Rule ID real y la posición de la regla.
• Web Policy y el registro están activos en la regla piloto.
• Las funciones de solo proxy se capturaron antes de la selección del modo.
• El descifrado DPI y Proxy TLS no se confunden.
• La CA real utilizada es de confianza en el cliente piloto.
• QUIC fue manejado y probado intencionalmente con navegadores.
• Se comprobó el tráfico real permitido, bloqueado y escaneado.
• El emisor del certificado y la acción del filtro web coinciden con el modo.
• El acceso de zona y los Allowed destination ports de Direct Proxy están limitados a lo estrictamente necesario si se utiliza esta ruta.
• El firewall y los registros web se evaluaron juntos.
• No se estableció ninguna excepción amplia ni regla Any como solución rápida.
• La fecha de reversión, propietario y revisión están documentadas.

Preguntas frecuentes