Usare in sicurezza una regola di bypass di Sophos Firewall

bypass-stateful-firewall-config esclude host o reti dalla normale ispezione del firewall. Non è una normale regola Allow: l’esempio pubblicato per SFOS 22 usa voci separate per sorgente e destinazione e la sintassi documentata non consente di limitarle a un servizio o una porta. Una voce host ha quindi una portata più ampia di quanto suggerisca la parola “regola”.

La procedura sicura consiste nel salvare lo stato corrente, aggiungere le voci dest_host e source_host più ristrette possibile per il test, verificare con Packet capture e rimuovere subito entrambe con del. I selettori agiscono in modo indipendente: dest_host comprende il traffico verso l’host di destinazione, mentre source_host comprende il traffico proveniente dall’host sorgente. Insieme non formano una coppia sorgente-destinazione.

⚠️ Il bypass riduce controllo e visibilità del traffico corrispondente. Usarlo solo in una finestra di manutenzione limitata e con il rollback già pronto. Per un accesso permanente usare una normale regola firewall o un’eccezione mirata della policy.

Quale tipo di bypass tratta l’articolo

Questo articolo riguarda esclusivamente bypass-stateful-firewall-config nella Device Console.

• Stateful firewall bypass: esclude un host o una rete dall’ispezione firewall.
• DoS bypass rule: eccezione in Protect > Intrusion prevention > DoS & spoof protection. Può essere limitata anche per versione IP, sorgente, destinazione, protocollo e porte e non è la stessa funzione.
• IPS Bypass session: azione interna a una regola IPS.
• FastPath / Firewall acceleration: accelera traffico noto e attendibile. Non è un bypass stateful manuale.
• LAN bypass / fail-to-wire: funzione hardware degli appliance supportati che collega una coppia di porte senza scansione in caso di guasto elettrico o hardware.
• Eccezione normale: modifica mirata di una policy firewall, NAT, web, TLS, IPS o Application Control.

Verificare prima le opzioni mirate

Un bypass risponde solo a una domanda diagnostica precisa: il flusso funziona senza l’ispezione firewall? Non identifica il modulo o la configurazione responsabile.

• La regola firewall non corrisponde: verificare ordine, zone, sorgente, destinazione e servizio.
• IPS blocca il flusso: verificare policy, firma ed eventuale eccezione.
• TLS Inspection interferisce: adattare in modo mirato SSL/TLS Inspection Rule o TLS Exclusion.
• Il filtro web blocca: verificare Web Policy, categoria, URL Group o Web Exception.
• Application Control classifica male: verificare policy e applicazione rilevata.
• NAT o routing sembrano errati: confrontare NAT Rule ID, Firewall Rule ID, percorso di ritorno e Packet capture.

Per una connessione permanente, la soluzione corretta resta una normale regola Sophos Firewall con logging e le funzioni di sicurezza necessarie.

Prerequisiti e ambito della modifica

Prima di eseguire add, definire:

• la domanda di test e sorgente, destinazione, protocollo e porta del flusso;
• gli host o le reti più ristretti possibile, non interi intervalli client, server o VPN;
• ticket, responsabile, finestra di manutenzione e criterio di interruzione;
• output di show advanced-firewall prima della modifica;
• un comando del esatto per ogni comando add previsto;
• evidenza da Packet capture o dal log del sistema di destinazione;
• un test di controllo dopo il rollback.

Per percorsi NAT o routing asimmetrico, acquisire prima andata e ritorno. Un bypass può nascondere un problema di routing, NAT o policy; non lo risolve.

Lavorare nella Device Console

Collegarsi via SSH come admin e aprire 4. Device Console dal menu. Consentire SSH solo da una rete di amministrazione attendibile. La preparazione è descritta in Collegarsi a Sophos Firewall via SSH.

Visualizzare prima lo stato e salvarlo nel ticket:

show advanced-firewall

L’output contiene altre impostazioni globali. Non modificarle durante questa attività; Verificare in sicurezza le Advanced Firewall Settings le spiega.

La Device Console offre una guida contestuale. Usare Tab o ? dopo un comando parziale invece di indovinare i parametri. La guida SFOS 22 avverte espressamente di non eseguire comandi incompleti.

Aggiungere voci host per il test

L’esempio usa indirizzi riservati alla documentazione:

• Host sorgente: 198.51.100.10
• Host di destinazione: 192.0.2.20

Sostituirli con i due endpoint reali del flusso. Per il bypass outbound completo descritto da Sophos, aggiungere voci separate per destinazione e sorgente:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Controllare subito:

show advanced-firewall

Queste righe seguono l’esempio pubblicato per SFOS 22. Non costituiscono una regola che collega soltanto 198.51.100.10 a 192.0.2.20: la prima voce comprende il traffico da qualsiasi sorgente verso 192.0.2.20, la seconda quello da 198.51.100.10 verso qualsiasi destinazione. La sintassi documentata non contiene neppure un parametro di servizio o porta. Durante la finestra di manutenzione generare solo il traffico previsto, impedire se possibile altri accessi ai due host e non scegliere host esposti più del necessario.

Quando è giustificata una voce di rete

SFOS 22 supporta anche dest_network e source_network. Una voce di rete estende però il bypass a tutti gli host corrispondenti. Usarla solo se lo stesso problema, definito con precisione, interessa dimostrabilmente più sistemi.

Sophos non indica limiti al numero di host o reti in bypass. È una capacità tecnica, non una raccomandazione operativa: molte voci sono difficili da controllare e indicano che occorre correggere la causa invece di ampliare l’elenco dei bypass.

La pagina pubblica di SFOS 22 non mostra un esempio di rete completo ed eseguibile. Controllare la sintassi esatta di rete e netmask sulla versione installata con Tab o ?, invece di copiare un vecchio esempio. Riprodurre prima con un host; se non è possibile, concordare il bypass di rete con Sophos Support.

Verificare l’effetto

Non controllare soltanto se l’applicazione funziona. Confermare che la modifica rimanga nell’ambito previsto:

1. show advanced-firewall mostra le nuove voci sorgente e destinazione con selettori e valori previsti; le voci preesistenti rimangono invariate.
2. In Diagnostics > Packet capture, filtrare i due host e la porta prevista.
3. Eseguire un test con timestamp chiaro e controllare pacchetti di andata e ritorno.
4. Verificare se durante la finestra esiste altro traffico verso l’host di destinazione o dall’host sorgente; anch’esso rientra nella rispettiva voce di bypass.
5. Con routing asimmetrico, verificare che il ritorno attraversi davvero questo firewall.
6. Procedere subito al rollback, indipendentemente dal risultato.

Packet capture mostra interfacce, sorgente, destinazione, porte, NAT ID, Rule ID e stato di elaborazione. Se manca una direzione, verificare prima routing, NAT e filtro di acquisizione. La sola assenza di voci nel Log Viewer non consente conclusioni affidabili durante un bypass.

Rimuovere completamente il bypass

Preparare i comandi di rimozione prima del test. Devono usare esattamente gli stessi selettori e valori dei comandi add:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Quindi verificare:

show advanced-firewall

Il risultato è corretto quando entrambe le voci di test sono scomparse, le vecchie voci documentate sono invariate e un test di controllo funziona senza bypass temporaneo. Se una voce rimane, confrontare selettore (dest_host o source_host) e indirizzo IP con l’output; non tentare una cancellazione più ampia.

Correggere la causa reale

Un test riuscito dimostra solo il coinvolgimento dell’ispezione firewall. Individuare quindi la causa:

• regola firewall: ordine, zone, sorgente, destinazione, servizio e assegnazione utente;
• IPS, Web Protection o Application Control: firma, categoria, applicazione e policy rilevate;
• TLS Inspection: regola corrispondente, attendibilità del certificato ed esclusione ristretta;
• NAT e routing: NAT Rule ID, route precedence, decisione SD-WAN e percorso di ritorno.

La soluzione permanente deve funzionare senza stateful firewall bypass e ripristinare visibilità e verificabilità. Una diagnostica temporanea non deve diventare silenziosamente architettura di produzione.

Documentazione ed errori comuni

Nel ticket registrare almeno ora iniziale e finale, amministratore, motivo, entrambi gli host o reti, applicazione e servizio, tutti i comandi add e del, timestamp dell’acquisizione, risultato e attività successiva.

Errori comuni:

• presumere che le due voci host formino una coppia sorgente-destinazione o copiare parametri netmask non confermati;
• aggiungere o eliminare solo una delle due voci host previste;
• usare un’intera rete quando bastano due host;
• affidarsi al Log Viewer invece che a Packet capture come unica prova;
• confondere il bypass con DoS bypass rule, FastPath o LAN bypass;
• non implementare una normale soluzione di regola, policy, NAT o routing dopo il test.

Domande frequenti