Usare in sicurezza una regola di bypass di Sophos Firewall

bypass-stateful-firewall-config esclude host o reti dalla normale ispezione del firewall. Non è una normale regola Allow: l’esempio pubblicato per SFOS 22 usa voci separate per sorgente e destinazione e la sintassi documentata non consente di limitarle a un servizio o una porta. Una voce host ha quindi una portata più ampia di quanto suggerisca la parola “regola”.

La procedura sicura in breve: salvare lo stato corrente, confrontare ogni voce dest_host e source_host prevista con la baseline e procedere solo se entrambe le combinazioni selettore/indirizzo risultano inequivocabilmente assenti. Se una voce è già presente o il suo stato non è chiaro, interrompere il test senza aggiungerla nuovamente né eliminarla. Solo a queste condizioni aggiungere voci di test il più possibile circoscritte, verificarne l’effetto con Packet Capture e rimuovere subito con del esclusivamente le voci di cui è comprovata la nuova aggiunta. I selettori agiscono in modo indipendente: dest_host comprende il traffico verso l’host di destinazione, mentre source_host comprende il traffico proveniente dall’host sorgente. Insieme non formano una coppia sorgente-destinazione.

⚠️ Il bypass riduce controllo e visibilità del traffico corrispondente. Usarlo solo in una finestra di manutenzione limitata e con il rollback già pronto. Per un accesso permanente usare una normale regola firewall o un’eccezione mirata della policy.

Quale tipo di bypass tratta l’articolo

Questo articolo riguarda esclusivamente bypass-stateful-firewall-config nella Device Console.

• Stateful firewall bypass: esclude un host o una rete dall’ispezione firewall.
• DoS bypass rule: eccezione in Protect > Intrusion prevention > DoS & spoof protection. Può essere limitata anche per versione IP, sorgente, destinazione, protocollo e porte e non è la stessa funzione.
• IPS Bypass session: azione interna a una regola IPS.
• FastPath / Firewall acceleration: accelera traffico noto e attendibile. Non è un bypass stateful manuale.
• LAN bypass / fail-to-wire: funzione hardware degli appliance supportati che collega una coppia di porte senza scansione in caso di guasto elettrico o hardware.
• Eccezione normale: modifica mirata di una policy firewall, NAT, web, TLS, IPS o Application Control.

Verificare prima le opzioni mirate

Un bypass risponde solo a una domanda diagnostica precisa: il flusso funziona senza l’ispezione firewall? Non identifica il modulo o la configurazione responsabile.

• La regola firewall non corrisponde: verificare ordine, zone, sorgente, destinazione e servizio.
• IPS blocca il flusso: verificare policy, firma ed eventuale eccezione.
• TLS Inspection interferisce: adattare in modo mirato SSL/TLS Inspection Rule o TLS Exclusion.
• Il filtro web blocca: verificare Web Policy, categoria, URL Group o Web Exception.
• Application Control classifica male: verificare policy e applicazione rilevata.
• NAT o routing sembrano errati: confrontare NAT Rule ID, Firewall Rule ID, percorso di ritorno e Packet capture.

Per una connessione permanente, la soluzione corretta resta una normale regola Sophos Firewall con logging e le funzioni di sicurezza necessarie.

Prerequisiti e ambito della modifica

Prima di eseguire add, definire:

• la domanda di test e sorgente, destinazione, protocollo e porta del flusso;
• gli host o le reti più ristretti possibile, non interi intervalli client, server o VPN;
• ticket, responsabile, finestra di manutenzione e criterio di interruzione;
• output di show advanced-firewall prima della modifica;
• un comando del esatto per ogni comando add previsto;
• evidenza da Packet capture o dal log del sistema di destinazione;
• un test di controllo dopo il rollback.

Per percorsi NAT o routing asimmetrico, acquisire prima andata e ritorno. Un bypass può nascondere un problema di routing, NAT o policy; non lo risolve.

Lavorare nella Device Console

Collegarsi via SSH come admin e aprire 4. Device Console dal menu. Consentire SSH solo da una rete di amministrazione attendibile. La preparazione è descritta in Collegarsi a Sophos Firewall via SSH.

Visualizzare prima lo stato e salvarlo nel ticket:

show advanced-firewall

L’output contiene altre impostazioni globali. Non modificarle durante questa attività; Verificare in sicurezza le Advanced Firewall Settings le spiega.

La Device Console offre una guida contestuale. Usare Tab o ? dopo un comando parziale invece di indovinare i parametri. La guida SFOS 22 avverte espressamente di non eseguire comandi incompleti.

Aggiungere voci host per il test

L’esempio usa indirizzi riservati alla documentazione:

• Host sorgente: 198.51.100.10
• Host di destinazione: 192.0.2.20

Sostituire i valori con i due endpoint reali del flusso di test. Prima di eseguire add, confrontare ogni selettore e indirizzo previsto con la baseline salvata. Eseguire questo esempio solo se entrambe le voci esatte risultano inequivocabilmente assenti. Se una è già presente o lo stato delle voci non è chiaro, interrompere il test: non aggiungere nuovamente la voce né eliminarla durante il rollback. Scegliere un altro ambito di test autorizzato oppure chiarire il bypass esistente con il responsabile o con Sophos Support. Un bypass già attivo non è adatto a un confronto prima/dopo privo di interferenze. Per il bypass outbound completo descritto da Sophos, a queste condizioni vengono aggiunte voci separate per destinazione e sorgente:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Controllare subito:

show advanced-firewall

Queste righe seguono l’esempio pubblicato per SFOS 22. Non costituiscono una regola che collega soltanto 198.51.100.10 a 192.0.2.20: la prima voce comprende il traffico da qualsiasi sorgente verso 192.0.2.20, la seconda quello da 198.51.100.10 verso qualsiasi destinazione. La sintassi documentata non contiene neppure un parametro di servizio o porta. Durante la finestra di manutenzione generare solo il traffico previsto, impedire se possibile altri accessi ai due host e non scegliere host esposti più del necessario.

Quando è giustificata una voce di rete

SFOS 22 supporta anche dest_network e source_network. Una voce di rete estende però il bypass a tutti gli host corrispondenti. Usarla solo se lo stesso problema, definito con precisione, interessa dimostrabilmente più sistemi.

Sophos non indica limiti al numero di host o reti in bypass. È una capacità tecnica, non una raccomandazione operativa: molte voci sono difficili da controllare e indicano che occorre correggere la causa invece di ampliare l’elenco dei bypass.

La pagina pubblica di SFOS 22 non mostra un esempio di rete completo ed eseguibile. Controllare la sintassi esatta di rete e netmask sulla versione installata con Tab o ?, invece di copiare un vecchio esempio. Riprodurre prima con un host; se non è possibile, concordare il bypass di rete con Sophos Support.

Verificare l’effetto

Non controllare soltanto se l’applicazione funziona. Confermare che la modifica rimanga nell’ambito previsto:

1. show advanced-firewall mostra le nuove voci sorgente e destinazione con selettori e valori previsti; le voci preesistenti rimangono invariate.
2. In Diagnostics > Packet capture, filtrare i due host e la porta prevista.
3. Eseguire un test con timestamp chiaro e controllare pacchetti di andata e ritorno.
4. Verificare se durante la finestra esiste altro traffico verso l’host di destinazione o dall’host sorgente; anch’esso rientra nella rispettiva voce di bypass.
5. Con routing asimmetrico, verificare che il ritorno attraversi davvero questo firewall.
6. Procedere subito al rollback, indipendentemente dal risultato.

Packet capture mostra interfacce, sorgente, destinazione, porte, NAT ID, Rule ID e stato di elaborazione. Se manca una direzione, verificare prima routing, NAT e filtro di acquisizione. La sola assenza di voci nel Log Viewer non consente conclusioni affidabili durante un bypass.

Rimuovere completamente il bypass

Preparare i comandi di rimozione prima del test. Si applicano esclusivamente alle voci di cui è comprovata l’assenza nella baseline e che sono state effettivamente aggiunte durante questo test; registrare queste modifiche nel ticket. Se è stata aggiunta solo una delle due voci, eseguire soltanto il relativo comando del. Non eliminare voci preesistenti o non chiaramente riconducibili al test, ma chiarirne lo stato con il responsabile o con Sophos Support. I comandi devono usare esattamente gli stessi selettori e valori dei corrispondenti comandi add:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Quindi verificare:

show advanced-firewall

Il risultato è corretto quando tutte le voci di test effettivamente aggiunte sono scomparse, l’elenco dei bypass corrisponde di nuovo esattamente alla baseline salvata, le vecchie voci documentate sono invariate e un test di controllo viene eseguito senza il bypass temporaneo. Se rimane una voce di cui è comprovata la nuova aggiunta, confrontare il selettore inserito (dest_host o source_host) e l’indirizzo IP con l’output; non sostituire questa verifica con un tentativo di rimozione più ampio. Se non è chiaro a quale modifica sia riconducibile una voce o lo stato delle voci differisce inaspettatamente dalla baseline, non procedere con altre rimozioni, ma chiarire la situazione con il responsabile o con Sophos Support.

Correggere la causa reale

Un test riuscito dimostra solo il coinvolgimento dell’ispezione firewall. Individuare quindi la causa:

• regola firewall: ordine, zone, sorgente, destinazione, servizio e assegnazione utente;
• IPS, Web Protection o Application Control: firma, categoria, applicazione e policy rilevate;
• TLS Inspection: regola corrispondente, attendibilità del certificato ed esclusione ristretta;
• NAT e routing: NAT Rule ID, route precedence, decisione SD-WAN e percorso di ritorno.

La soluzione permanente deve funzionare senza stateful firewall bypass e ripristinare visibilità e verificabilità. Una diagnostica temporanea non deve diventare silenziosamente architettura di produzione.

Documentazione ed errori comuni

Nel ticket registrare almeno ora iniziale e finale, amministratore, motivo, entrambi gli host o reti, applicazione e servizio, tutti i comandi add e del, timestamp dell’acquisizione, risultato e attività successiva.

Errori comuni:

• presumere che le due voci host formino una coppia sorgente-destinazione o copiare parametri netmask non confermati;
• rimuovere, dopo un test eseguito completamente, solo una delle due voci host di cui è comprovata la nuova aggiunta, oppure trattare una voce preesistente come una modifica del test;
• usare un’intera rete quando bastano due host;
• affidarsi al Log Viewer invece che a Packet capture come unica prova;
• confondere il bypass con DoS bypass rule, FastPath o LAN bypass;
• non implementare una normale soluzione di regola, policy, NAT o routing dopo il test.

Domande frequenti