Disattivare il CAPTCHA di Sophos Firewall: WebAdmin e User Portal

Il CAPTCHA per l’accesso a WebAdmin e a User Portal può essere disattivato nella Device Console. Se possibile, utilizzare l’impostazione specifica per VPN. L’impostazione globale si applica a WAN e VPN; quando viene disattivata, prevale sulla configurazione specifica per VPN.

Per gli accessi da WAN o VPN, SFOS richiede per impostazione predefinita un CAPTCHA agli amministratori che accedono a WebAdmin e agli utenti locali e ospiti che accedono a User Portal. Un CAPTCHA errato non viene conteggiato come tentativo di login fallito e non attiva Block login. Gli errori di password, MFA e autenticazione vengono valutati separatamente; il CAPTCHA non sostituisce quindi né Block login né MFA.

⚠️ Attenzione: se la pagina di accesso rimane raggiungibile dalla WAN o da una rete non attendibile, il CAPTCHA dovrebbe rimanere attivo e l’accesso dovrebbe essere ulteriormente limitato con MFA e Device Access.

Modificare il CAPTCHA tramite Device Console

Aprire tramite SSH Main Menu > 4. Device Console. I comandi seguenti vanno eseguiti al prompt console>, non nella Advanced Shell. L’articolo Connettersi a Sophos Firewall tramite SSH descrive l’accesso.

Verifiche prima della disattivazione

• WebAdmin o User Portal è raggiungibile solo dalle zone e dalle origini realmente necessarie.
• MFA è attivo per gli amministratori e per gli utenti Remote Access interessati.
• Annotare lo stato attuale prima della modifica e usarlo per definire il rollback.
• Per le connessioni IPsec Site-to-Site con Remote Subnet Any, il CAPTCHA si applica a tutti questi tunnel. Prima di procedere a una disattivazione più ampia, occorre quindi valutare la seguente alternativa mirata.

Per questo caso, Sophos documenta una rotta IPsec per un determinato host remoto o una determinata rete remota, affinché il CAPTCHA non venga applicato agli accessi provenienti da tale host o rete. Invece di disattivare il CAPTCHA per tutti gli accessi VPN, si associa al tunnel esistente appropriato solo l’host o la rete effettivamente necessari. Per tunnelname si sceglie il nome di una connessione IPsec originale, così come viene visualizzato nella CLI; non inventare un nuovo nome e non scegliere un tunnel sulla base di supposizioni.

La rotta manuale supportata con ipsec_route si applica a IPsec policy-based, non a IPsec route-based con XFRM. Prima di apportare una modifica, seguire la procedura per le rotte IPsec: salvare le rotte iniziali e Route Precedence, verificare il tipo di tunnel, i Traffic Selectors, le rotte concorrenti e il percorso di ritorno, quindi associare solo l’host remoto o la rete remota necessari. L’esempio NAT riportato nella procedura non è un invito a creare regole NAT per questo caso relativo al CAPTCHA. Successivamente, verificare la rotta, i percorsi di andata e ritorno e l’accesso tramite il tunnel previsto; in fase di ripristino, dopo un confronto con lo stato iniziale, rimuovere solo la rotta appena creata e inequivocabilmente identificata come tale. Una rotta non sostituisce né Device Access né MFA. Se l’applicabilità alla build SFOS in uso, il nome della connessione originale o il percorso di ritorno non sono chiari, fermarsi prima della modifica e chiarire il caso specifico con Sophos Support; non aggiungere una rotta alla cieca e non disattivare invece il CAPTCHA a livello globale.

I comandi controllano esclusivamente WebAdmin e User Portal. Non disattivano il CAPTCHA di VPN Portal o SPX Portal e non modificano i tunnel SSL VPN o IPsec. Il CAPTCHA rimane quindi sempre attivo nel processo di crittografia email SPX.

SFOS 22.0 GA: a causa dell’errore NC-173054, la disattivazione specifica per VPN non funziona in modo affidabile per gli utenti SSL VPN. Aggiornare a SFOS 22.0 MR1 Build 490 o versione successiva. La disattivazione globale non è una soluzione alternativa adeguata.

I comandi seguono questa sintassi:

system captcha-authentication-SCOPE ACTION for TARGET

Sostituire i segnaposto come segue:

La sintassi con SCOPE, ACTION e TARGET serve solo a spiegare la struttura e non è un comando da copiare.

Metodo consigliato: modificare WebAdmin solo tramite VPN

Verificare innanzitutto il valore corrente e annotare se webadminconsole risulta attivo o disattivato:

system captcha-authentication-vpn show for webadminconsole

Disattivare quindi il CAPTCHA solo per gli accessi a WebAdmin tramite un’interfaccia VPN:

system captcha-authentication-vpn disable for webadminconsole

Verificare subito l’impostazione memorizzata con lo stesso comando di sola lettura:

system captcha-authentication-vpn show for webadminconsole

Lo stato deve ora indicare che il CAPTCHA è disattivato. Eseguire anche una prova in una nuova finestra privata del browser attraverso l’interfaccia VPN prevista. Una prova dalla LAN non è adatta, perché SFOS non richiede comunque il CAPTCHA in quel caso.

Scegliere User Portal o l’ambito globale

Per User Portal, utilizzare userportal come destinazione. La sequenza sicura di verifica iniziale, modifica e verifica finale rimane la stessa:

system captcha-authentication-vpn show for userportal
system captcha-authentication-vpn disable for userportal
system captcha-authentication-vpn show for userportal

Utilizzare l’ambito globale solo se si vuole disattivare consapevolmente il CAPTCHA per gli accessi sia WAN sia VPN. Questo aumenta la superficie di attacco e un’impostazione globale disattivata prevale su quella specifica per VPN:

system captcha-authentication-global show for webadminconsole
system captcha-authentication-global disable for webadminconsole
system captcha-authentication-global show for webadminconsole

Anche in questo caso, sostituire webadminconsole con userportal se la modifica riguarda User Portal. Non confondere le destinazioni: ogni comando modifica solo la pagina di accesso specificata.

Ripristinare esattamente il valore iniziale

Non impostare automaticamente enable: ripristinare il valore annotato durante la verifica iniziale. Se l’impostazione VPN di WebAdmin era attiva prima della modifica, il rollback è:

system captcha-authentication-vpn enable for webadminconsole
system captcha-authentication-vpn show for webadminconsole

Se era già disattivata, lasciarla disattivata o ripristinarla con system captcha-authentication-vpn disable for webadminconsole. Lo stesso principio vale per userportal e per l’ambito globale: riutilizzare esattamente ambito, destinazione e valore precedente, quindi verificare con show.

Il valore predefinito documentato è enabled. La CLI di SFOS 22 non documenta un’azione reset separata per questi comandi. Per tornare consapevolmente al valore predefinito del prodotto, utilizzare enable per l’ambito e la destinazione interessati, quindi verificare il risultato con show.

Domande frequenti