Utiliser une règle de bypass Sophos Firewall en toute sécurité

bypass-stateful-firewall-config soustrait des hôtes ou des réseaux à l’inspection normale du pare-feu. Ce n’est pas une règle Allow classique : l’exemple publié pour SFOS 22 utilise des entrées source et destination séparées, et la syntaxe documentée ne permet pas de les limiter à un service ou un port. Une entrée d’hôte a donc une portée plus large que le mot « règle » ne le laisse penser.

La méthode sûre en bref : sauvegarder l’état actuel, comparer chaque entrée dest_host et source_host prévue avec l’état de référence sauvegardé et ne poursuivre que si les deux combinaisons sélecteur/adresse sont clairement absentes. Si une entrée existe déjà ou si son état est incertain, arrêter le test ; ne pas l’ajouter à nouveau ni la supprimer. Uniquement si ces conditions sont remplies, ajouter des entrées de test aussi ciblées que possible, vérifier leur effet avec Packet Capture et supprimer immédiatement avec del les seules entrées dont l’ajout est confirmé. Les sélecteurs agissent indépendamment : dest_host couvre le trafic vers l’hôte de destination, tandis que source_host couvre le trafic provenant de l’hôte source. Ensemble, ils ne forment pas un couple source-destination.

⚠️ Le bypass réduit le contrôle et la visibilité du trafic correspondant. Ne l’utiliser que pendant une fenêtre de maintenance limitée, avec le rollback prêt. Pour un accès permanent, créer une règle de pare-feu normale ou une exception de policy ciblée.

Type de bypass traité ici

Cet article traite exclusivement de bypass-stateful-firewall-config dans la Device Console.

• Stateful firewall bypass : soustrait un hôte ou un réseau à l’inspection du pare-feu.
• DoS bypass rule : exception sous Protect > Intrusion prevention > DoS & spoof protection. Elle peut aussi être limitée par version IP, source, destination, protocole et ports ; ce n’est pas la même fonction.
• IPS Bypass session : action d’une règle IPS.
• FastPath / Firewall acceleration : accélère le trafic connu et fiable. Ce n’est pas un bypass stateful manuel.
• LAN bypass / fail-to-wire : fonction matérielle d’appliances compatibles qui relie une paire de ports sans analyse lors d’une panne d’alimentation ou matérielle.
• Exception normale : adaptation ciblée d’une policy de pare-feu, NAT, Web, TLS, IPS ou Application Control.

Vérifier d’abord les options ciblées

Un bypass ne répond qu’à une question de diagnostic précise : le flux fonctionne-t-il sans inspection du pare-feu ? Il n’identifie pas le module ni la configuration responsable.

• La règle de pare-feu ne correspond pas : vérifier ordre, zones, source, destination et service.
• IPS bloque le flux : vérifier policy, signature et exception éventuelle.
• L’inspection TLS gêne : adapter précisément la SSL/TLS Inspection Rule ou la TLS Exclusion.
• Le filtrage Web bloque : vérifier Web Policy, catégorie, URL Group ou Web Exception.
• Application Control classe mal le trafic : vérifier policy et application détectée.
• NAT ou routage paraît incorrect : comparer NAT Rule ID, Firewall Rule ID, route retour et Packet capture.

Pour une connexion permanente, une règle Sophos Firewall normale avec journalisation et fonctions de sécurité nécessaires reste la bonne solution.

Prérequis et cadre du changement

Avant la commande add, définir :

• la question de test ainsi que source, destination, protocole et port du flux ;
• les hôtes ou réseaux les plus précis possible, pas des plages client, serveur ou VPN entières ;
• ticket, responsable, fenêtre de maintenance et critère d’arrêt ;
• la sortie de show advanced-firewall avant le changement ;
• une commande del exacte pour chaque commande add prévue ;
• une preuve issue de Packet capture ou du journal du système cible ;
• un test de contrôle après rollback.

Pour les chemins NAT ou le routage asymétrique, capturer d’abord l’aller et le retour. Un bypass peut masquer un problème de routage, de NAT ou de policy ; il ne le corrige pas.

Travailler dans la Device Console

Se connecter en SSH comme admin, puis ouvrir 4. Device Console dans le menu. N’autoriser SSH que depuis un réseau d’administration fiable. La préparation est décrite dans Se connecter à Sophos Firewall en SSH.

Afficher d’abord l’état et l’enregistrer dans le ticket :

show advanced-firewall

La sortie contient d’autres réglages globaux. Ne pas les modifier au passage ; Contrôler les Advanced Firewall Settings en toute sécurité les explique.

La Device Console fournit une aide contextuelle. Utiliser Tab ou ? après une commande partielle plutôt que de deviner les paramètres. L’aide SFOS 22 déconseille explicitement d’exécuter des commandes incomplètes.

Ajouter les entrées d’hôte pour le test

Cet exemple utilise des adresses réservées à la documentation :

• Hôte source : 198.51.100.10
• Hôte de destination : 192.0.2.20

Remplacer les valeurs par les deux extrémités réelles du flux testé. Avant add, comparer chaque sélecteur et chaque adresse prévus avec l’état de référence sauvegardé. N’exécuter cet exemple que si les deux entrées exactes sont clairement absentes. Si l’une existe déjà ou si l’état des entrées est incertain, arrêter le test : ne pas ajouter à nouveau cette entrée ni la supprimer lors du rollback. Choisir un autre périmètre de test autorisé ou clarifier le bypass existant avec la personne responsable ou Sophos Support. Un bypass déjà actif ne permet pas une comparaison avant/après sans biais. Pour le bypass outbound complet décrit par Sophos, créer, sous ces conditions, des entrées distinctes pour Destination et Source :

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Contrôler aussitôt :

show advanced-firewall

Ces lignes suivent l’exemple publié pour SFOS 22. Elles ne constituent pas une règle reliant uniquement 198.51.100.10 à 192.0.2.20 : la première couvre le trafic de toute source vers 192.0.2.20, et la seconde le trafic de 198.51.100.10 vers toute destination. La syntaxe documentée ne possède pas non plus de paramètre de service ou de port. Pendant la fenêtre de maintenance, ne générer que le trafic prévu, empêcher si possible les autres accès aux deux hôtes et éviter les hôtes exposés plus largement que nécessaire.

Quand une entrée réseau est justifiée

SFOS 22 accepte aussi dest_network et source_network. Une entrée réseau étend toutefois le bypass à tous les hôtes correspondants. Ne l’utiliser que si la même anomalie précisément définie touche manifestement plusieurs systèmes.

Sophos n’indique aucune limite au nombre d’hôtes ou de réseaux contournés. Il s’agit d’une capacité technique, pas d’une recommandation d’exploitation : de nombreuses entrées sont difficiles à contrôler et indiquent qu’il faut corriger la cause plutôt qu’allonger la liste de bypass.

La page publique de SFOS 22 ne fournit pas d’exemple réseau complet et exécutable. Vérifier la syntaxe exacte du réseau et du masque sur la version SFOS installée avec Tab ou ?, au lieu de copier un ancien exemple. Reproduire d’abord avec un hôte ; si c’est impossible, coordonner le bypass réseau avec Sophos Support.

Valider l’effet

Ne pas seulement vérifier le fonctionnement de l’application. Confirmer aussi que le changement respecte le périmètre prévu :

1. show advanced-firewall affiche les nouvelles entrées source et destination avec les sélecteurs et valeurs prévus ; les entrées antérieures restent inchangées.
2. Sous Diagnostics > Packet capture, filtrer les deux hôtes et le port attendu.
3. Lancer un test clairement horodaté et examiner les paquets aller et retour.
4. Rechercher tout autre trafic vers l’hôte de destination ou provenant de l’hôte source pendant la fenêtre ; il relève lui aussi de l’entrée de bypass correspondante.
5. En routage asymétrique, vérifier que le retour traverse réellement ce pare-feu.
6. Procéder immédiatement au rollback, quel que soit le résultat.

Packet capture affiche interfaces, source, destination, ports, NAT ID, Rule ID et état de traitement. Si un sens manque, vérifier d’abord routage, NAT et filtre de capture. L’absence d’entrées dans Log Viewer ne permet pas, à elle seule, de conclure pendant un bypass.

Supprimer entièrement le bypass

Préparer les commandes de suppression avant le test. Elles s’appliquent exclusivement aux entrées dont l’absence dans l’état de référence est confirmée et qui ont effectivement été ajoutées lors de ce test ; consigner ces modifications dans le ticket. Si une seule des deux entrées a été ajoutée, n’exécuter que la commande del correspondante. Ne pas supprimer les entrées préexistantes ou celles dont l’attribution au test est incertaine ; clarifier plutôt la situation avec la personne responsable ou Sophos Support. Les commandes doivent utiliser exactement les mêmes sélecteurs et valeurs que les commandes add correspondantes :

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Puis contrôler :

show advanced-firewall

La réussite signifie que toutes les entrées effectivement ajoutées pour le test ont disparu, que la liste de bypass correspond à nouveau exactement à l’état de référence sauvegardé, que les anciennes entrées documentées sont inchangées et qu’un test de contrôle fonctionne sans le bypass temporaire. Si une entrée dont l’ajout est confirmé reste présente, comparer le sélecteur saisi (dest_host ou source_host) et l’adresse IP avec la sortie ; ne pas remplacer cette vérification par une tentative de suppression plus large. Si l’attribution au test est incertaine ou si l’état des entrées diffère de manière inattendue de l’état de référence, ne plus rien supprimer et clarifier la situation avec la personne responsable ou Sophos Support.

Corriger la cause réelle

Un test réussi montre seulement que l’inspection du pare-feu intervient. Il faut ensuite isoler la cause :

• règle de pare-feu : ordre, zones, source, destination, service et affectation utilisateur ;
• IPS, Web Protection ou Application Control : signature, catégorie, application et policy détectées ;
• inspection TLS : règle correspondante, confiance du certificat et exclusion précise ;
• NAT et routage : NAT Rule ID, route precedence, décision SD-WAN et route retour.

La solution permanente doit fonctionner sans stateful firewall bypass et restaurer visibilité et contrôle. Un diagnostic temporaire ne doit pas devenir silencieusement l’architecture de production.

Documentation et erreurs courantes

Consigner dans le ticket au minimum heures de début et de fin, administrateur, motif, deux hôtes ou réseaux, application et service, toutes les commandes add et del, heure de capture, résultat et action de suivi.

Erreurs courantes :

• supposer que les deux entrées d’hôte forment un couple source-destination, ou copier des paramètres de masque non confirmés ;
• ne supprimer, après un test entièrement exécuté, qu’une seule des deux entrées d’hôte dont l’ajout est confirmé, ou traiter une entrée préexistante comme une modification liée au test ;
• utiliser un réseau entier quand deux hôtes suffisent ;
• prendre Log Viewer plutôt que Packet capture comme seule preuve ;
• confondre ce bypass avec DoS bypass rule, FastPath ou LAN bypass ;
• ne pas mettre en place de solution normale de règle, policy, NAT ou routage après le test.

Questions fréquentes