Verificare le Advanced Firewall Settings di Sophos Firewall

Le Advanced Firewall Settings di Sophos Firewall non sono una raccolta di innocue opzioni di comodità. Molti valori agiscono globalmente sull’ispezione dei pacchetti, sullo stato delle connessioni o sui timeout. Una modifica può quindi influire contemporaneamente su più regole firewall, VPN, applicazioni e percorsi utente.

Il punto di partenza sicuro è sempre in sola lettura: show advanced-firewall mostra lo stato corrente. Un singolo parametro viene modificato in una finestra di manutenzione solo quando un problema riproducibile corrisponde esattamente a quel parametro. Il valore precedente, un confronto di controllo e il rollback devono essere documentati prima di inserire il comando set.

⚠️ Non copiare le Advanced Firewall Settings da un elenco di tuning. I valori predefiniti documentati sono adatti alla maggior parte degli ambienti. Le funzioni di protezione globali come strict-policy o tcp-seq-checking non devono essere disattivate sulla base di ipotesi e i timeout non devono essere aumentati senza un’esigenza applicativa misurata.

Procedura rapida e sicura

1. Registrare il sintomo esatto in Log Viewer, Packet Capture e nell’applicazione interessata, indicando ora, origine, destinazione, servizio e direzione.
2. Salvare lo stato corrente dalla Device Console con show advanced-firewall.
3. Verificare se esiste già un articolo specifico sul parametro e se la causa più probabile è la regola firewall, NAT, il routing, la MTU o il peer.
4. Modificare un solo valore globale e preparare il valore precedente come comando di rollback pronto all’uso.
5. Ripetere il test sul flusso interessato e su almeno un flusso di controllo non correlato.
6. Se la modifica non porta un miglioramento evidente o crea nuovi sintomi, ripristinare immediatamente il valore iniziale documentato.

Una connessione verde o un singolo ping riuscito non bastano come prova di accettazione. A seconda della modifica, devono risultare corretti anche Rule ID, NAT Rule ID, comportamento TCP o UDP, flusso dei pacchetti, funzione applicativa e direzione inversa. La procedura è descritta in Verificare correttamente una regola Sophos Firewall.

Leggere lo stato e comprenderne l’effetto

I comandi vengono eseguiti nella Device Console, non nell’Advanced Shell. Dopo l’accesso SSH, selezionare 4. Device Console nel menu della console. Accesso, verifica della host key e autorizzazione di gestione limitata sono descritti in Troubleshooting CLI di Sophos Firewall.

show advanced-firewall

L’output è una baseline, non un Health Check. Un valore può essere visualizzato correttamente e risultare comunque inadatto a un’applicazione. Al contrario, un valore diverso da quello predefinito non dimostra da solo un errore. Contano il momento e il motivo per cui è stato impostato e il comportamento misurabile che modifica.

Effetto globale anziché per singola regola firewall

set advanced-firewall non modifica una singola regola firewall. I parametri si trovano al di sotto o accanto alla normale valutazione delle policy. Un timeout UDP aumentato globalmente non si applica quindi soltanto a una regola VoIP. Allo stesso modo, tcp-seq-checking off non limita l’allentamento a un server.

Prima di ogni modifica si documentano quattro elementi: valore corrente, flusso di test specifico, effetto atteso e comando di ripristino. Senza un test positivo e negativo mirato, la modifica non è pronta per la produzione.

Proteggere accesso e ispezione dei pacchetti

Bloccare globalmente WebAdmin dalla WAN

restrict-admin-console-wan-access è un interruttore di protezione globale poco granulare. Con enable, WebAdmin viene disattivato per tutte le origini WAN; Sophos documenta enable come valore predefinito. La formulazione apparentemente invertita è importante: enable attiva la restrizione, non l’accesso WAN.

set advanced-firewall restrict-admin-console-wan-access enable

Questa protezione non va semplicemente aperta con disable per una singola origine amministrativa fissa. Prima occorre verificare se bastano una VPN di gestione, Sophos Central o una Local Service ACL Exception mirata. La progettazione sicura è descritta in Device Access e Local Service ACL.

ICMP, frammenti ed estensioni IPv6

icmp-error-message controlla i messaggi di errore ICMP come Network, Host o Port Unreachable. Il valore predefinito documentato è allow. Un deny generalizzato può nascondere importanti segnali di errore e Path MTU, rendendo più difficile la diagnosi.

fragmented-traffic consente o nega il traffico IP frammentato; il valore predefinito è allow. La frammentazione non è automaticamente un attacco. Prima di un deny globale vanno chiariti MTU, PMTUD, overhead VPN, protocollo e flusso reale dei pacchetti.

ipv6-unknown-extension-header gestisce pacchetti IPv6 con Extension Headers sconosciuti. Sophos documenta deny come valore predefinito. Un allentamento richiede un caso d’uso legittimo dimostrato e un Packet Capture IPv6, non soltanto un problema generale di raggiungibilità.

ipv6-ready-logo-compliance è impostato su off per impostazione predefinita. Con on, il firewall adatta il proprio comportamento al programma formale di test IPv6 Ready Logo. Non è né l’interruttore per attivare IPv6 né un workaround IPv6 generale. Le basi e l’accettazione di un percorso IPv6 produttivo sono descritte in Supporto IPv6 su Sophos Firewall.

strict-policy è impostato su on per impostazione predefinita e scarta determinati pacchetti insoliti e attacchi basati su IP. Per l’errore specifico Invalid TCP reserved bit è disponibile la procedura mirata Verificare Accurate ECN e Strict Policy. Senza questa prova o un’evidenza equivalente, la funzione rimane attiva.

ftpbounce-prevention protegge dagli attacchi FTP bounce in cui un comando PORT contiene un indirizzo estraneo di terze parti. Il parametro distingue il controllo sulla connessione di comando o dati; Sophos documenta control come valore predefinito. Un passaggio a data viene valutato solo con un chiaro caso di compatibilità FTP, una regola mirata e un test documentato di trasferimento file.

Verificare in modo mirato il comportamento TCP

Sophos attiva Selective Acknowledgement per impostazione predefinita con tcp-selective-acknowledgement on. SACK consente al destinatario di indicare esattamente i segmenti mancanti, evitando la ritrasmissione dell’intera finestra TCP. Anche tcp-window-scaling on è il valore predefinito e consente finestre superiori a 64 KB. Entrambe le funzioni sono particolarmente utili su percorsi con elevata larghezza di banda o latenza; disattivarle non è una soluzione generale di stabilità.

tcp-frto e tcp-timestamp sono impostati su off per impostazione predefinita. F-RTO migliora il recupero lato mittente dopo Retransmission Timeouts, soprattutto quando la perdita è causata da interferenze radio casuali anziché da congestione. TCP Timestamps consente una misurazione più precisa del tempo di andata e ritorno. Ogni opzione viene attivata solo con un test TCP riproducibile e un confronto di controllo, non insieme come tuning generico delle prestazioni.

Controllo delle sequenze e connessioni midstream

Con tcp-seq-checking on, il firewall verifica per impostazione predefinita che Sequence e Acknowledgement Numbers corrispondano allo stato TCP noto. Alcune applicazioni non conformi agli RFC possono inviare numeri di sequenza non validi. Tuttavia, off allenta globalmente questo controllo. Packet Capture, il motivo dello scarto e il peer devono prima confermare il sospetto.

midstream-connection-pickup è impostato su off per impostazione predefinita. Con on, il firewall può acquisire connessioni TCP già in corso ma non ancora tracciate. Sophos cita, ad esempio, l’introduzione di un bridge in una rete attiva o particolari design asimmetrici. L’opzione non sostituisce né il routing simmetrico né regole firewall corrette e non deve rimanere attiva dopo una migrazione senza motivo.

Timeout di inattività per connessioni TCP stabilite

tcp-est-idle-timeout determina per quanto tempo una connessione TCP stabilita ma inattiva resta nello stato. L’intervallo consentito va da 2700 a 432000 secondi.

Una durata maggiore può aiutare un’applicazione con periodi di inattività realmente lunghi, ma aumenta anche il numero di stati obsoleti e non risolve timeout sul server, load balancer, gateway NAT o client. Prima di una modifica vanno confrontati entrambi gli endpoint, i keepalive e il momento dell’interruzione. Se il test non mostra un beneficio evidente, si ripristina esplicitamente il valore numerico precedente.

Dimensionare gli stati UDP in base all’applicazione

UDP non ha un handshake TCP. Sophos distingue quindi due valori temporali globali. udp-timeout si applica alle connessioni UDP non ancora riconosciute come stream. udp-timeout-stream si applica quando entrambi gli endpoint hanno inviato traffico sulla stessa porta tra segmenti di rete. Entrambi i valori supportano da 30 a 3600 secondi.

set advanced-firewall udp-timeout <30-3600>
set advanced-firewall udp-timeout-stream <30-3600>

Un valore elevato non è automaticamente migliore. Mantiene più a lungo gli stati, ma può anche creare sessioni obsolete e più stati. Per VoIP, SIP o RTP vanno controllati insieme segnalazione, porte multimediali, entrambe le direzioni e il momento esatto dell’interruzione audio. La procedura specifica è disponibile in Ottimizzare e verificare VoIP su Sophos Firewall.

Non confondere bypass e NAT del traffico di sistema

Bypassare lo stateful firewall solo in un caso speciale dimostrato

bypass-stateful-firewall-config esclude host o reti dal normale percorso stateful del firewall. Sophos richiede voci in entrambe le direzioni per un percorso completo di connessione in uscita. Il numero di voci possibili non è limitato, ma proprio per questo una vecchia lista di bypass può diventare rapidamente poco chiara e critica per la sicurezza.

Una regola di bypass non è una rapida regola Allow né un normale interruttore di prestazioni. Può aggirare valutazione delle policy, logging e funzioni di sicurezza. Sintassi, test bidirezionale e rollback sono descritti in Usare in sicurezza una regola Bypass di Sophos Firewall.

NAT per il traffico generato dal firewall

sys-traffic-nat modifica l’indirizzo sorgente del traffico generato dal firewall stesso verso una destinazione specifica. destination e snatip sono obbligatori; interface e netmask possono restringere ulteriormente la voce se necessario.

Non sostituisce una normale regola SNAT o MASQ per il traffico client inoltrato. Inoltre non crea una route. I casi speciali tipici e la rimozione sicura sono descritti separatamente in Alias di interfaccia per il traffico di sistema, Routing SD-WAN per Reply Packets e traffico di sistema e IPsec Route e traffico di sistema.

Convalidare e annullare una modifica

Salvare show advanced-firewall prima e dopo la modifica. Ripetere quindi esattamente lo stesso test controllato con la stessa origine, destinazione, servizio, direzione e, se possibile, un carico comparabile. Il risultato supporta la modifica solo se il sintomo atteso scompare e un flusso di controllo non correlato rimane invariato.

Il rollback usa lo stesso parametro con il valore documentato in precedenza. Per un valore numerico si ripristina il valore iniziale effettivamente salvato, non un valore predefinito presunto. Anche per on, off, allow, deny, enable o disable viene ripristinato lo stato letto nella baseline.

Se la modifica non aiuta

• Nessuna differenza nel flusso interessato: Ripristinare il valore iniziale e verificare regola, NAT, route, peer o applicazione.
• Solo le nuove sessioni si comportano diversamente: Terminare in modo controllato le vecchie connessioni o utilizzare un nuovo flusso di test; gli stati esistenti possono falsare la valutazione.
• Altre applicazioni diventano instabili: Eseguire immediatamente il rollback. Questo dimostra l’effetto globale, non la necessità di ulteriori modifiche Advanced Firewall.
• Cluster HA: Documentare stato e test sul nodo che elabora il traffico e ripetere la verifica con una nuova connessione dopo un failover pianificato. Non presumere il trasferimento senza interruzioni di uno stato di connessione modificato.

Checklist operativa

• Output iniziale di show advanced-firewall, ora, build e persona responsabile documentati.
• Un singolo parametro selezionato con un problema concreto e un effetto atteso.
• Effetto globale su sicurezza e prestazioni valutato.
• Rollback preparato con il valore precedente effettivo.
• Flusso interessato, direzione inversa e flusso di controllo non correlato testati.
• Voci Bypass e sys-traffic-nat inventariate separatamente.
• show advanced-firewall salvato nuovamente dopo il test e modifica non necessaria annullata.

FAQ