Vai al contenuto
Avanet

Utilizzare correttamente IP host, Services e gruppi in Sophos Firewall

Sophos Firewall

Gli IP host e i Services assegnano nomi comprensibili a indirizzi, reti e porte. Una regola firewall mostra così direttamente quale Source può comunicare con quale Destination e Service.

La decisione importante riguarda l’ambito corretto: un singolo indirizzo viene creato come IP, una subnet come Network, un intervallo contiguo come IP range e una piccola raccolta di indirizzi singoli come IP list. Per TCP e UDP, un Service descrive normalmente il Destination Port fisso, mentre il Source Port dinamico rimane invariato.

Scegliere l’oggetto host adatto

In Hosts and services > IP host sono disponibili quattro tipi:

  • IP: un solo indirizzo IPv4 o IPv6, ad esempio un server, una stampante o un sistema di amministrazione.
  • Network: una subnet completa con la relativa netmask, ad esempio 198.51.100.0/24.
  • IP range: un intervallo contiguo, ad esempio da 203.0.113.10 a 203.0.113.20.
  • IP list: più indirizzi singoli non contigui. Una lista supporta al massimo 800 indirizzi IP e non può appartenere a una IP Host Group.

Un FQDN Host è più adatto quando l’indirizzo di destinazione cambia ed esiste un nome DNS stabile. Risoluzione, wildcard e limiti sono spiegati in Utilizzare correttamente FQDN Hosts e Wildcard FQDN.

Come regola generale, si utilizza l’oggetto stabile più piccolo che descrive completamente il traffico necessario. Un oggetto di tipo IP copre un solo indirizzo ed è troppo ristretto per un’intera subnet; una rete /24 sarebbe inutilmente ampia per un singolo server.

Creare un IP host passo per passo

L’esempio seguente rappresenta un singolo server di test:

  1. Aprire Hosts and services > IP host e selezionare Add.
  2. Inserire host_test_web come Name.
  3. Impostare IP version su IPv4.
  4. Selezionare IP come Type.
  5. Inserire 192.0.2.10 in IP address.
  6. Salvare con Save.

Gli indirizzi seguenti appartenenti a 192.0.2.0/24, 198.51.100.0/24 e 203.0.113.0/24 sono riservati agli esempi di documentazione. In una configurazione produttiva, tutti i nomi, gli indirizzi e le dimensioni delle reti devono essere sostituiti con i valori della rete reale.

Network, range e IP list

I campi cambiano in base al tipo selezionato:

  • Network: net_test_branch con 198.51.100.0 e /24 rappresenta l’intera rete di test. Deve essere inserito l’indirizzo di rete, non quello del gateway.
  • IP range: range_test_admins da 203.0.113.10 a 203.0.113.20 rappresenta un pool contiguo.
  • IP list: list_test_hosts può contenere, ad esempio, 192.0.2.10,198.51.100.20. La lista è adatta a pochi indirizzi singoli fissi, non a Indicators of Compromise che cambiano continuamente.

Per indirizzi IP, domini o URL dannosi gestiti dinamicamente, la funzione più adatta è costituita dai Threat Feeds in Sophos Firewall. Una IP list manuale non viene aggiornata automaticamente.

IP Host Groups

In Hosts and services > IP host group è possibile raggruppare host con lo stesso scopo funzionale. Un gruppo può contenere, ad esempio, tutti i sistemi di amministrazione autorizzati ed essere poi utilizzato in più regole.

Si applicano tre limiti importanti:

  • Gli host IPv4 e IPv6 non possono appartenere alla stessa IP Host Group.
  • Un host normale può appartenere a più gruppi.
  • Un oggetto di tipo IP list non può essere aggiunto a una IP Host Group.

I gruppi devono avere un significato comune. Un gruppo che combina server, client ed eccezioni temporanee può ridurre i clic, ma rende poi difficile capire perché una regola consenta l’accesso.

Comprendere gli host di sistema e di interfaccia

SFOS crea automaticamente diversi oggetti host. Questi oggetti non devono essere ricreati come normali Custom Hosts né modificati nel posto sbagliato:

  • Gli Interface Hosts seguono la configurazione IP in Network > Interfaces e vengono modificati in tale posizione. Zone e interfacce in Sophos Firewall spiega il rapporto tra connessione, zona e regola.
  • ##WWAN1 viene gestito dinamicamente per l’interfaccia Cellular WAN.
  • ##ALL_SSLVPN_RW, ##ALL_SSLVPN_RW6, ##ALL_IPSEC_RW e ##ALL_RW rappresentano host dinamici di Remote Access.
  • Gli altri System Hosts non possono essere modificati o eliminati come oggetti personalizzati.

Gli host dinamici di Remote Access non possono essere aggiunti a un’altra IP Host Group. I Physical Interface Hosts non sono disponibili in determinati campi NAT, tra cui Translated source e Translated destination. In tal caso può essere necessario un IP host separato con lo stesso indirizzo. Il nome deve indicare chiaramente il legame con l’interfaccia, in modo che non sembri un indirizzo indipendente.

Creare un Service con il Destination Port corretto

Prima di creare un nuovo Service occorre verificare se esiste già un servizio standard adatto, ad esempio HTTP, HTTPS, DNS o NTP. Un Custom Service è utile quando un’applicazione richiede una porta diversa o una combinazione particolare di protocolli.

L’esempio seguente crea il servizio TCP per iPerf3:

  1. Aprire Hosts and services > Services e selezionare Add.
  2. Inserire svc_iperf3_tcp come Name.
  3. Impostare Type su TCP/UDP e Protocol su TCP.
  4. Lasciare invariato il Source Port predefinito 1:65535.
  5. Inserire 5201 come Destination Port.
  6. Salvare con Save.

Il client sceglie normalmente il Source Port in modo dinamico. Se anche il Service lo limitasse a 5201, una connessione normale non corrisponderebbe più. La porta fissa del server appartiene quindi a Destination Port. Un Source Port ristretto è corretto solo quando il protocollo lo richiede espressamente e il traffico reale conferma tale comportamento.

Per un test UDP di iPerf3 viene creato anche svc_iperf3_udp con protocollo UDP e Destination Port 5201. Poiché iPerf3 continua a utilizzare una connessione di controllo TCP per il test UDP, i due Services vengono raggruppati:

  1. Aprire Hosts and services > Service group e selezionare Add.
  2. Inserire grp_iperf3 come Name.
  3. Selezionare svc_iperf3_tcp e svc_iperf3_udp.
  4. Salvare con Save.

La procedura di misurazione completa è descritta in Speedtest iPerf3 attraverso Sophos Firewall.

IP, ICMP e ICMPv6

Oltre a TCP e UDP, un Custom Service può descrivere un numero di protocollo IP o tipi e codici ICMP/ICMPv6. Questi tipi sono destinati ai protocolli che non utilizzano una porta TCP o UDP. I valori devono provenire dalla documentazione tecnica dell’applicazione e non essere ipotizzati dopo un singolo test non riuscito.

Utilizzare gli oggetti in una regola firewall

Un oggetto host o Service non consente traffico da solo. Diventa efficace solo quando viene utilizzato come criterio di corrispondenza in una regola. Un esempio ristretto potrebbe essere:

  • Source zones: LAN
  • Source networks and devices: net_test_branch
  • Destination zones: DMZ
  • Destination networks: host_test_web
  • Services: HTTPS
  • Log firewall traffic: attivato

Zone, indirizzi e Service devono essere adattati alla rete reale. Il traffico di risposta di una connessione stateful consentita viene restituito automaticamente. Questa regola non consente tuttavia nuove connessioni indipendenti dalla DMZ verso la LAN. Comprendere e configurare in modo sicuro le regole di Sophos Firewall spiega ordine, funzioni di protezione e test.

Dopo il salvataggio, è opportuno verificare un tentativo di connessione reale nel Log Viewer. Devono comparire il Rule ID, la Source IP, la Destination IP e il Destination Port previsti. In questo modo è possibile distinguere un oggetto definito in modo errato dal traffico elaborato da un’altra regola.

Aggiornare Object Usage prima delle modifiche

Un oggetto può essere utilizzato in regole firewall e NAT, VPN, route SD-WAN o altre configurazioni. Prima di modificarlo o eliminarlo è quindi necessario controllarne le dipendenze.

La colonna Usage nell’elenco degli oggetti mostra il numero noto di riferimenti. Questo contatore viene aggiornato automaticamente solo una volta al giorno. Prima di una modifica:

  1. Selezionare Refresh accanto a Usage.
  2. Aprire il contatore aggiornato dell’oggetto interessato.
  3. Espandere le categorie e controllare ogni regola o Policy dipendente.
  4. Solo dopo decidere se l’oggetto può essere modificato, sostituito o eliminato.

Non tutte le dipendenze possono essere modificate direttamente dalla vista Usage. Alcune, tra cui i WAN gateways e le configurazioni CLI, devono essere aperte separatamente nella posizione di configurazione indicata. Un contatore pari a zero è una base affidabile solo dopo un Refresh manuale.

Evitare gli errori comuni

  • Host invece di Network: Un singolo indirizzo IP non copre automaticamente la subnet associata.
  • Indirizzo di rete o maschera errati: In un oggetto Network, l’indirizzo di rete e il prefisso devono corrispondere alla segmentazione reale.
  • Source Port ristretto: Nelle normali connessioni client-server si mantiene 1:65535 e si limita il Destination Port.
  • Troppo Any: Un oggetto host preciso perde il proprio valore di sicurezza se la Source o il Service rimangono inutilmente ampi.
  • Oggetto di sistema duplicato: SFOS gestisce gli host di interfaccia e Remote Access, che non devono quindi essere copiati senza una ragione concreta.
  • IP list come Threat Feed: Una IP list rimane statica e non sostituisce gli indicatori di minaccia aggiornati automaticamente.
  • Dipendenze non aggiornate: Prima di modificare o eliminare un oggetto, selezionare sempre Refresh in Object Usage.

Prefissi descrittivi come host_, net_, range_, svc_ e grp_ non sono un requisito tecnico, ma semplificano la ricerca e la revisione. Più importante dello schema specifico è l’uso coerente di nomi, scopi e ambiti nell’intero set di regole.

SFOS supporta fino a 16.000 host complessivi per tutti i tipi. Per l’operatività quotidiana, una base di oggetti più piccola e comprensibile rimane comunque più utile di molte voci quasi identiche. Gli oggetti non più necessari devono essere rimossi in modo controllato dopo aver aggiornato e verificato il relativo Usage.