Sophos Firewall: Device Access e Local Service ACL

In Administration > Device access si definisce da quali zone sono accessibili i servizi locali di Sophos Firewall. Questi includono HTTPS per WebAdmin e API, SSH, Ping, DNS, SNMP, SSL VPN, User Portal e VPN Portal.

Questi servizi terminano direttamente sul firewall e costituiscono la sua superficie di gestione e di servizio. Se un’autorizzazione è troppo ampia, bot, client interni compromessi o aggressori esterni possono raggiungere direttamente le pagine di accesso, l’API e SSH per provare credenziali, vulnerabilità note o errori di configurazione. MFA e password sicure restano importanti, ma non limitano la raggiungibilità: Device Access riduce la superficie di attacco prima dell’accesso ed è quindi una delle prime misure di hardening.

La fonte dell’identità resta separata. Se WebAdmin deve usare credenziali TACACS+ centrali, TACACS+ per gli amministratori di Sophos Firewall descrive l’integrazione del server, l’assegnazione locale del profilo, il login pilota e il fallback; la raggiungibilità HTTPS continua a essere limitata qui.

È determinante la destinazione della connessione:

• Tabella delle zone di Device Access: consente in linea generale l’accesso a un servizio locale del firewall da una zona.
• Local service ACL exception rule: consente o blocca un servizio locale per origini, destinazioni e servizi specifici.
• Regola firewall: controlla il traffico attraverso il firewall, ad esempio da LAN a un server in DMZ.

Se, ad esempio, si apre https://172.16.16.16:4444, la connessione termina sul firewall. Una normale regola firewall non sostituisce quindi un’autorizzazione di Device Access.

⚠️ WebAdmin, SSH e i portali dovrebbero essere accessibili solo dalle reti che ne hanno realmente bisogno. Per l’amministrazione esterna, una VPN amministrativa, Sophos Central Firewall Management, una rete di gestione o un’eccezione ACL restrittiva sono più sicuri di un’ampia autorizzazione dalla WAN.

Due casi particolari possono aggirare la tabella delle zone per i servizi HTTP e HTTPS:

• Web Proxy: le richieste che passano attraverso il Web Proxy sono considerate interne e non possono essere controllate in base alla zona di origine tramite Device Access. Chi può utilizzare il proxy può quindi raggiungere WebAdmin, Captive Portal, VPN Portal e User Portal anche se il servizio è disattivato per la propria zona.
• Port Sharing: se VPN Portal e SSL VPN utilizzano la stessa porta e lo stesso protocollo, VPN Portal diventa accessibile da tutte le zone di accesso SSL VPN. Inoltre, le impostazioni in Login security non sono più applicate.

Questi due percorsi devono essere testati separatamente durante il collaudo. L’articolo generale Sophos Firewall Hardening inquadra Device Access nell’hardening complessivo del sistema.

Pianificare zone e servizi locali

La tabella delle zone è adatta per autorizzazioni di base chiare, ad esempio DNS dalla LAN, Ping da una zona di monitoraggio o HTTPS da una rete di gestione. Se l’accesso è necessario solo per un singolo indirizzo IP o una piccola rete, una ACL Exception Rule è più precisa.

Decisioni tipiche:

• HTTPS: WebAdmin e API solo da reti di gestione o da origini amministrative definite in modo restrittivo.
• SSH: solo per amministrazione o supporto e, se possibile, con Public Key. Gli amministratori con il profilo Administrator possono ottenere l’accesso CLI; solo il Default Admin gestisce le impostazioni e le chiavi Public Key.
• DNS: solo per le zone client interne che utilizzano il firewall come resolver DNS. Il DNS dalla WAN non è un normale caso d’uso client.
• Ping/Ping6: per il monitoraggio necessario, non in modo indiscriminato da zone non sicure.
• SNMP: solo dal sistema o dalla rete di monitoraggio; la configurazione è descritta in Monitoraggio hardware SNMP.
• RADIUS SSO: Solo dal mittente accounting fisso. RADIUS SSO con accounting spiega l’associazione tra IP client e utente.
• SSL VPN: verso l’esterno solo nella misura necessaria e con MFA, logging e porta e protocollo scelti consapevolmente.
• VPN Portal: da SFOS 20 mette a disposizione Sophos Connect e le configurazioni IPsec e SSL VPN.
• User Portal: serve, tra l’altro, per dati personali, token OTP, quarantena, eccezioni e Policy Overrides, non per scaricare la configurazione VPN.
• RED, SMTP Relay e Dynamic Routing: solo nelle reti previste o per controparti definite. Configurare PIM-SM su Sophos Firewall mostra come verificare questo limite per i neighbor multicast; per piccoli domini di routing IPv4, configurare RIPv2 su Sophos Firewall spiega l’autorizzazione separata della zona del peer e del traffico dati.

Da SFOS 22, WebAdmin, VPN Portal e User Portal supportano TLS 1.3. Una buona cifratura, tuttavia, non riduce la superficie di attacco di un servizio accessibile senza necessità.

Device Access stabilisce soltanto da quale rete è raggiungibile la console WebAdmin. Se il login deve avvenire tramite Microsoft Entra ID, Entra ID SSO per WebAdmin di Sophos Firewall spiega l’associazione separata di ruoli e gruppi Entra ai profili amministratore locali.

Limitare rigorosamente le origini

Come origine, una ACL Exception Rule supporta Country, Country group, FQDN host/group, Host group, IP address/list/range, MAC address/list e Network. I Wildcard FQDN non sono supportati.

Per WebAdmin dalla WAN non si può utilizzare un’autorizzazione per tutte le origini. Un IP amministrativo fisso, una piccola rete di gestione o un oggetto FQDN ben mantenuto sono molto più sicuri. Per gli utenti mobili con indirizzi di origine variabili, l’accesso amministrativo dovrebbe avvenire tramite VPN o Sophos Central.

Da SFOS 19.5 MR2, le autorizzazioni WAN estese per WebAdmin e User Portal vengono disattivate automaticamente dopo 90 giorni consecutivi senza accessi riusciti. Le origini WAN specifiche nelle ACL Exception Rules non sono interessate e devono continuare a essere verificate regolarmente. Il Sophos Firewall Health Check aiuta nella revisione periodica degli accessi di gestione, dell’MFA e della configurazione.

Verificare in anticipo Web Proxy e Port Sharing

Prima di procedere con l’hardening, annotare le porte e i protocolli utilizzati in Administration > Admin and user settings e nelle SSL VPN global settings.

• WebAdmin utilizza per impostazione predefinita TCP 4444, User Portal TCP 4443 e VPN Portal TCP 443.
• SSL VPN utilizza per impostazione predefinita TCP o UDP 8443.
• WebAdmin e User Portal non possono condividere la propria porta con altri servizi.
• VPN Portal e SSL VPN non dovrebbero utilizzare la stessa porta e lo stesso protocollo, perché altrimenti le restrizioni di zona e Login Security non funzionano come previsto.

Se il Web Proxy è attivo, un test senza proxy non è sufficiente. La stessa chiamata a un portale o a WebAdmin deve essere verificata anche tramite il proxy esplicito da una zona che dovrebbe essere bloccata.

Configurare Direct Web Proxy con un file PAC spiega come limitare il listener proxy a un client pilota e verificare questa esposizione in modo controllato.

Creare una Local Service ACL Exception Rule restrittiva

Un’eccezione tipica consente WebAdmin dalla WAN solo per un IP di supporto fisso. Il percorso è Administration > Device access > Local service ACL exception rule > Add.

1. Rule name: admin-https-from-support-ip
2. Description: documentare scopo, ticket e data di scadenza prevista.
3. Rule position: per un’eccezione WAN specifica, scegliere Top e verificare le altre regole per eventuali sovrapposizioni.
4. IP version: selezionare la versione adatta all’origine, generalmente IPv4.
5. Source zone: WAN
6. Source Network / Host: selezionare un IP amministrativo specifico o un oggetto restrittivo e ben mantenuto.
7. Destination host: limitare l’accesso all’indirizzo o all’interfaccia del firewall necessari. Any amplia gli indirizzi o le interfacce di destinazione raggiungibili, non i servizi selezionati in Services.
8. Services: selezionare solo HTTPS, senza aggiungere SSH per comodità.
9. Action: Accept

Salvare quindi la regola e testarla da un’origine consentita e da una non consentita. La posizione della regola è importante: le regole più in alto possono influenzare il risultato. In caso di regole sovrapposte, verificarne quindi l’effetto reale sul firewall senza dedurlo unicamente dall’elenco.

Accesso API

Per l’API devono essere soddisfatte tre condizioni:

1. L’API è attivata in Administration > API access.
2. L’indirizzo di origine è incluso in Allowed IP hosts.
3. Device Access consente HTTPS dalla zona interessata o tramite un’eccezione ACL appropriata.

Da SFOS 22, la configurazione API si trova in Administration e supporta oggetti IP host per indirizzi, intervalli e reti. Sono possibili fino a 64 oggetti. Non è necessaria un’ampia autorizzazione HTTPS. La configurazione completa è descritta in Limitare in sicurezza l’accesso API a Sophos Firewall.

DNS dalla WAN

Una sola eccezione ACL DNS dalla WAN non fa sì che il firewall risponda alle richieste DNS su tale zona. Sarebbe inoltre necessario configurare in Network > DNS un DNS Host statico con Publish on WAN. Questa opzione dovrebbe essere utilizzata solo per un caso d’uso autoritativo specifico; il firewall non deve diventare un resolver ricorsivo pubblico. Configurare e testare le DNS Host Entry su Sophos Firewall spiega la delega, la DNS Host Entry e i test positivi e negativi.

Applicare le modifiche senza lockout

Le modifiche a Device Access hanno effetto immediato. Durante gli interventi da remoto, il secondo percorso amministrativo deve essere realmente connesso e testato prima della modifica.

1. Documentare le attuali autorizzazioni di zona, le eccezioni ACL, le porte e i servizi necessari.
2. Aprire un accesso indipendente, ad esempio console locale, Management LAN, Admin VPN o Sophos Central.
3. Per modifiche più estese, tenere disponibili un backup aggiornato e la Secure Storage Master Key.
4. Creare la nuova eccezione Accept restrittiva senza rimuovere ancora l’autorizzazione di zona più ampia esistente.
5. Verificare l’accesso consentito come baseline. Finché l’ampia autorizzazione di zona rimane attiva, questo test non dimostra ancora che la nuova eccezione sia applicata.
6. In Diagnostics > Packet capture, impostare un filtro restrittivo per origine, destinazione e porta e attivare Trace On.
7. Tramite il percorso amministrativo indipendente, rimuovere la vecchia autorizzazione di zona più ampia.
8. Subito dopo, testare funzionalmente il servizio dall’origine consentita. Una connessione TCP/TLS o al servizio riuscita e, di norma, Status: Consumed confermano il caso positivo; Reason: LOCAL_ACL non deve necessariamente apparire.
9. Testare lo stesso servizio da un’origine non consentita. Per il tentativo bloccato sono generalmente attesi Status: Violation e Reason: LOCAL_ACL.
10. Per HTTP/HTTPS, verificare inoltre il percorso Web Proxy e, per i portali, le zone di accesso SSL VPN.
11. Arrestare Packet Capture e controllare nel Log viewer gli eventi aggiuntivi relativi al servizio o all’accesso. La Rule-ID mostrata in Packet Capture è l’ID della regola firewall, non l’ID della ACL Exception Rule, e per il traffico locale può essere 0.
12. Documentare regola, scopo, responsabile, ticket, origine, servizio e data di revisione o scadenza.

Interruzione e ripristino: se l’origine consentita non funziona dopo la rimozione dell’autorizzazione più ampia o se un’origine bloccata riesce ancora a raggiungere il servizio, ripristinare immediatamente l’autorizzazione più ampia tramite il percorso amministrativo indipendente. Correggere quindi la nuova regola ACL o un’altra regola in conflitto e ripetere la procedura.

Esempi di documentazione compatti facilitano le revisioni successive:

• HTTPS: regola admin-https-from-mgmt, origine mgmt-net, scopo WebAdmin, revisione trimestrale.
• SSH: origine support-ip-temporary, scopo intervento di supporto, eliminare alla chiusura del ticket.
• SNMP: origine monitoring-server, scopo monitoraggio hardware e interfacce, revisione semestrale.
• SSL VPN: origine WAN, scopo Remote Access, controllo mensile dei log.

Per più firewall o un cluster HA, modificare innanzitutto un sistema con una buona possibilità di ripristino. La guida Configurare Sophos Firewall High Availability tratta il cambio di ruolo e l’accesso durante la manutenzione.

Casi particolari e protezione aggiuntiva

User Portal, VPN Portal e SSL VPN

Occorre innanzitutto chiarire quale portale sia realmente necessario. Client e configurazioni VPN appartengono a VPN Portal; User Portal svolge altre funzioni utente. Una panoramica è disponibile in Confronto dei portali Sophos Firewall.

Se un servizio di Remote Access deve essere raggiungibile in tutto il mondo, MFA, gruppi utenti restrittivi e logging sono più importanti di una limitazione geografica inadeguata. La configurazione è descritta in MFA per WebAdmin, VPN Portal e Remote Access. Il Port Sharing deve comunque essere evitato: l’autenticazione non sostituisce un corretto controllo della raggiungibilità.

Gli accessi WebAdmin, User Portal, VPN Portal e SSL VPN pubblicamente raggiungibili vengono individuati rapidamente da scanner e bot. Anche con MFA generano traffico brute-force, rumore nei log e carico aggiuntivo.

Se si verificano già molti accessi non riusciti al VPN Portal o blocchi degli account, Proteggere il VPN Portal di Sophos Firewall dagli attacchi brute force riunisce controllo dei log, verifica dell’identità, contenimento tramite ACL e controllo finale in un processo di risposta agli incidenti.

Se un portale deve rimanere accessibile in tutto il mondo, Sophos Firewall Threat Feeds con l’azione Block può bloccare anche le origini IPv4 note come dannose provenienti da Third-Party Feeds come Cybora, incluso il traffico verso il firewall stesso. Gli IoC di tipo dominio o URL non proteggono un accesso da un indirizzo IP di origine dannoso; le origini IPv6 non sono attualmente supportate. I Threat Feeds sono quindi una protezione aggiuntiva, non un sostituto di ACL restrittive. L’articolo collegato spiega la configurazione, i test e l’allowlisting.

SSH e regole di supporto temporanee

SSH dovrebbe essere accessibile solo quando necessario, da una rete di gestione, tramite VPN o per un IP di supporto fisso. È preferibile l’autenticazione Public Key. Dopo un intervento di supporto, l’eccezione ACL temporanea viene eliminata; non si dovrebbe presumere uno stato di disattivazione non confermato nell’interfaccia corrente. Ulteriori passaggi sono descritti in Connettersi a Sophos Firewall tramite SSH.

Troubleshooting

Se un servizio locale non è accessibile o bloccato come previsto, verificare quanto segue nell’ordine indicato:

1. Destinazione e porta: l’indirizzo del firewall è corretto e il servizio utilizza la porta prevista?
2. Zona di origine: il client proviene direttamente dalla zona prevista, tramite VPN o tramite Web Proxy?
3. Tabella delle zone: il servizio è consentito per questa zona in Administration > Device access?
4. Eccezioni ACL: IP version, Source zone, oggetto di origine, Destination host, Service, Action e Position sono corretti?
5. Port Sharing: VPN Portal e SSL VPN condividono porta e protocollo?
6. API: attivazione API, Allowed IP hosts e HTTPS Device Access sono tutti coerenti?
7. DNS: DNS è consentito per i client interni? Per la pubblicazione WAN è inoltre necessario Publish on WAN.
8. Log: il Log Viewer mostra eventi aggiuntivi relativi al servizio o all’accesso?
9. Packet Capture: avviare Trace prima di ripetere il test. L’accesso consentito deve funzionare e mostra generalmente Status: Consumed; il tentativo bloccato mostra generalmente Status: Violation e Reason: LOCAL_ACL. La Rule-ID non è l’ID dell’eccezione ACL. L’utilizzo è descritto in Sophos Firewall Packet Capture.

Se WebAdmin o un portale rimangono accessibili nonostante la zona di origine sia disattivata, verificare innanzitutto Web Proxy e Port Sharing. Una regola firewall aggiuntiva non risolve questo problema.

Per una tracciabilità a lungo termine sono adatti Central Firewall Reporting o Inviare i log di Sophos Firewall a un SIEM tramite Syslog.

Checklist operativa

• WebAdmin non è accessibile indiscriminatamente da WAN, zone guest, IoT o VoIP.
• HTTPS, SSH e SNMP sono limitati a origini di gestione o monitoraggio specifiche.
• User Portal, VPN Portal e SSL VPN sono attivi solo se richiesti dal modello operativo.
• VPN Portal e SSL VPN non condividono la stessa porta e lo stesso protocollo.
• L’accesso tramite Web Proxy ai servizi locali HTTP/HTTPS è stato testato separatamente.
• API access, Allowed IP hosts e HTTPS Device Access sono coordinati.
• Le eccezioni ACL temporanee contengono scopo e data di scadenza e vengono eliminate dopo l’intervento.
• Sono state testate origini consentite e bloccate; i log confermano il risultato.
• Le regole vengono controllate regolarmente per individuare origini obsolete, servizi non necessari ed eccezioni Accept troppo ampie.

FAQ