Usare in sicurezza le impostazioni VPN globali di Sophos Firewall

La Device Console di Sophos Firewall offre sotto set vpn impostazioni globali per il failover VPN, l’elaborazione IPsec e i protocolli legacy L2TP e PPTP. Non riguardano solo la connessione che si sta analizzando. Un test non mirato può influire su altri tunnel, eliminare sessioni esistenti o indebolire una funzione di protezione.

Non è una ricetta generale per le prestazioni: ipsec-max-workqueue-items, la finestra anti-replay e use-resolved-ip-address non vanno impostati preventivamente su valori maggiori o su enable. Sophos li definisce impostazioni avanzate da usare per una specifica esigenza di rete o su indicazione di Sophos Support.

Per i normali problemi di tunnel si parte dal troubleshooting VPN IPsec, che verifica IKE, Child SA, routing, NAT, regole e flusso reale dei pacchetti. Gli switch globali descritti qui diventano rilevanti solo quando il sintomo corrisponde esattamente al loro scopo.

Registrare lo stato iniziale prima di ogni modifica

I comandi vengono eseguiti in 4. Device Console. Prima di impostare un valore si documentano versione e build SFOS, orario, tunnel interessati, flusso di test previsto e un accesso di gestione indipendente. Si crea inoltre un backup aggiornato della configurazione. La guida CLI di SFOS 22 documenta per questi valori solo set vpn, non un comando di lettura. La documentazione delle modifiche e i backup sono elementi di supporto, ma non dimostrano il valore attualmente attivo. Sophos Support deve confermare un metodo per leggere il valore esatto nella build installata. Prima della modifica si registrano l’output e il comando set vpn di ripristino corrispondente. Se Support non può confermare un metodo di lettura o non è possibile stabilire il valore attuale, la procedura si interrompe e l’impostazione globale non va modificata.

La guida SFOS 22 specifica un default solo per MTU L2TP, anti-replay, soglia cookie e indirizzo peer risolto. Nemmeno questi default dimostrano che l’appliance specifica abbia ancora una configurazione invariata.

Il ripristino utilizza sempre il valore iniziale determinato in modo sicuro. La sintassi documentata non prevede un parametro default universale. I comandi per i valori predefiniti riportati più avanti sono adatti solo quando la modifica intende tornare esplicitamente al valore SFOS 22 documentato; non devono sovrascrivere un valore iniziale volutamente personalizzato.

Sessioni durante le transizioni di tunnel e WAN

conn-remove-tunnel-up stabilisce se rimuovere le connessioni esistenti quando si attiva un tunnel IPsec. Può servire quando un flusso è iniziato su un altro percorso e vi rimane bloccato dopo l’attivazione del tunnel. La rimozione può però interrompere sessioni produttive. La guida SFOS 22 non documenta un default; va quindi ripristinato il valore determinato in modo sicuro prima della modifica.

set vpn conn-remove-tunnel-up enable
set vpn conn-remove-tunnel-up disable

conn-remove-on-failover controlla la pulizia globale durante failover e failback. all riguarda tutte le connessioni, mentre non-tcp limita la pulizia al traffico non TCP come UDP o ICMP. Il valore appropriato non è quindi una decisione solo VPN: VoIP, videoconferenze, DNS e altre applicazioni UDP devono essere osservati nella stessa finestra di test.

set vpn conn-remove-on-failover all
set vpn conn-remove-on-failover non-tcp

La guida SFOS 22 non specifica un default per i due parametri conn-remove-*. Il rollback ripristina quindi esattamente il valore iniziale documentato.

In HA i protocolli vanno testati separatamente. Secondo la guida HA di SFOS 22, i tunnel IPsec route-based, policy-based e remote access vengono ripristinati durante il failover. Per il traffico nel tunnel IPsec, il failover di sessione supporta UDP e ICMP, ma non TCP. Gli switch conn-remove-* non sostituiscono il design HA né un test con un flusso TCP e uno UDP esistenti.

Distinguere le impostazioni con ambito diverso

• Profilo IPsec: in System > Profiles > IPsec profiles, Use strict profile e Pass data in compressed format valgono solo per le connessioni che usano quel profilo. La guida del profilo collega il profilo strict ai problemi di handshake causati dalla frammentazione e specifica che la compressione avviene prima della cifratura. Non sono switch globali.
• SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings vale per tutte le policy SSL VPN remote access e per il file .ovpn. La guida SSL VPN indica per Disconnect dead peer after i default 180 secondi con TCP e 100 con UDP; con UDP l’intervallo è 60-110. Disconnect idle peer after è espresso in minuti, senza un default documentato. Questi valori non valgono per IPsec o L2TP.
• L2TP nell’interfaccia web: Remote access VPN > L2TP > L2TP global settings vale per tutte le policy L2TP e controlla attivazione, intervallo di assegnazione, assegnazione RADIUS, DNS, WINS e membri. L’intervallo documentato deve essere privato, appartenere a una sottorete /24 o più piccola e contenere al massimo 254 indirizzi. Sophos afferma che gli intervalli L2TP e PPTP non devono sovrapporsi alle configurazioni IPsec di accesso remoto o SSL VPN; questa pagina non afferma che gli intervalli L2TP e PPTP non possano sovrapporsi tra loro. L’autenticazione e la MTU CLI descritte più avanti restano specifiche di L2TP.
• Valori globali del firewall: tcp-est-idle-timeout, udp-timeout, udp-timeout-stream e fragmented-traffic di set advanced-firewall non sono impostazioni VPN. La guida CLI indica 2700-432000 secondi per TCP stabilito, 30-3600 per ciascun timeout UDP e allow come default del traffico frammentato. Non modificarli per un solo tunnel.

Prestazioni IPsec e funzioni di protezione

Il gruppo ipsec-performance contiene quattro funzioni molto diverse. Il nome può indurre a esperimenti di tuning, anche se solo una funzione definisce direttamente la dimensione di una coda di lavoro.

Modificare la workqueue solo per un collo di bottiglia dimostrato

ipsec-max-workqueue-items accetta valori da 1024 a 10240. La coda contiene il lavoro per l’elaborazione IPsec. Un valore maggiore non garantisce più throughput e non risolve Packet Loss, problemi MTU, risultati scarsi con un singolo stream o una linea WAN satura.

set vpn ipsec-performance ipsec-max-workqueue-items <1024-10240>

Una modifica ha senso solo quando un test di carico riproducibile, l’utilizzo del sistema e la diagnostica Sophos indicano esattamente questo collo di bottiglia. Prima si verificano separatamente MTU e MSS, latenza, Packet Loss, profilo di cifratura, IPsec Acceleration e stream paralleli. Se non migliora, si ripristina il valore iniziale registrato.

Sophos non documenta un default per ipsec-max-workqueue-items. Il rollback usa set vpn ipsec-performance ipsec-max-workqueue-items <valore-iniziale-registrato>.

La finestra anti-replay è una funzione di sicurezza

IPsec registra nella finestra replay quali pacchetti ha già visto durante la decifratura. Può così rilevare e scartare pacchetti ripetuti. SFOS 22 accetta 0, 32, 64, 128, 256, 512, 1024, 2048 e 4096; il default documentato è 1024.

set vpn ipsec-performance anti-replay window-size <valore>

Una finestra più ampia può essere rilevante quando i pacchetti vengono fortemente riordinati su percorsi paralleli. Non è uno switch generale per il throughput. Il valore 0 elimina la protezione anti-replay e non è consigliato come soluzione. Un test simile richiede una finestra isolata, un’indicazione esplicita di Sophos Support e un rollback subito disponibile.

set vpn ipsec-performance anti-replay window-size 1024 ripristina il default documentato. Se il valore iniziale era personalizzato, ripristinare esattamente quel valore.

La soglia dei cookie IKEv2 protegge le SA semiaperte

Secondo Sophos, la validazione dei cookie è sempre attiva ed è disponibile solo per IKEv2. cookie_threshold non la attiva o disattiva. Quando il numero di IKE SA simultaneamente semiaperte supera la soglia, il responder chiede un cookie all’initiator. Lo stato di creazione viene così protetto dal carico DoS. Il default documentato è 30.

set vpn ipsec-performance cookie_threshold <numero>

Un valore più basso o più alto va scelto solo in base al carico IKE reale e alla diagnostica del supporto. Non corregge Child SA mancanti, proposals incompatibili o errori di autenticazione. Durante la validazione si osservano nuove connessioni IKEv2, strongswan.log, carico CPU e accessi simultanei legittimi.

set vpn ipsec-performance cookie_threshold 30 ripristina il default documentato. Una soglia personalizzata si ripristina con la stessa sintassi.

Usare l’indirizzo risolto del peer solo per il caso Charon documentato

use-resolved-ip-address è destinato a molti tunnel IPsec site-to-site con peer FQDN e risoluzione DNS lenta. Secondo Sophos, proprio questa combinazione può bloccare un thread charon. Con enable, il firewall usa l’indirizzo già risolto invece di avviare il tunnel risolvendo di nuovo il FQDN remoto.

set vpn ipsec-performance use-resolved-ip-address enable
set vpn ipsec-performance use-resolved-ip-address disable

L’FQDN deve essere già stato risolto correttamente. Il default documentato è Off; set vpn ipsec-performance use-resolved-ip-address disable lo ripristina. Se enable era il valore iniziale registrato, usarlo invece come rollback personalizzato. L’opzione non sostituisce un DNS funzionante o resolver raggiungibili. Prima dell’attivazione si correlano tempo di risoluzione, indirizzo peer risolto, numero di tunnel e charon.log. Dopo un cambio DNS o provider si conferma che il firewall utilizzi il nuovo indirizzo peer nei tempi previsti.

Controllo rigoroso delle policy IPsec secondo la guida SFOS 23

La guida CLI di SFOS 23 documenta ipsec-strict-policy-check come opzione separata di set vpn, non come parte di ipsec-performance. Le Security Associations (SA) sono le associazioni di sicurezza del traffico IPsec protetto. Con enable, Sophos Firewall verifica la coppia di sottoreti rispetto alla SA associata; il traffico IPsec in ingresso che non corrisponde alla SA prevista può essere scartato. Non si tratta di Use strict profile in System > Profiles > IPsec profiles, che riguarda problemi di handshake causati dalla frammentazione nell’ambito del profilo.

Considerare disable solo per il caso di compatibilità documentato: un peer di terze parti usa SA condivise per più coppie di sottoreti nei tunnel IPsec site-to-site. Questo disattiva il controllo rigoroso dell’associazione. Problemi generici di tunnel, routing o autenticazione non lo giustificano; prima occorre dimostrare che si applica esattamente questo caso di SA condivise.

Prima di impostare il valore: sono necessari un accesso di gestione indipendente, un backup aggiornato e un metodo di lettura del valore attivo confermato da Sophos Support per la build installata. Registrare prima l’output, il valore attuale e il ripristino esatto di quel valore iniziale. Senza un metodo di lettura affidabile o un valore attuale determinato in modo sicuro, non modificare l’impostazione.

La sintassi documentata per 4. Device Console è:

set vpn ipsec-strict-policy-check [enable | disable]

Le parentesi quadre indicano alternative: sostituirle solo con il valore di destinazione giustificato, enable o disable. La guida SFOS 23 non fornisce né un valore predefinito né un getter/comando di lettura per questa opzione. Qui non viene quindi proposto alcun comando di default, reset o lettura inventato. L’assenza nella guida SFOS 22 confrontata non dimostra né un’introduzione con SFOS 23 né la mancanza di supporto in SFOS 22.

In una finestra di manutenzione controllata modificare solo questo valore globale. Prima e dopo, testare le coppie di sottoreti interessate e i tunnel fino a quel momento non interessati, con flussi esistenti e nuovi in entrambe le direzioni. Test negativi controllati del traffico devono anche confermare che il traffico non consentito resti bloccato; analizzare le associazioni SA e i motivi di scarto con i controlli IPsec e di cattura pacchetti della sezione di test e ripristino più avanti. Rileggere il valore di destinazione con il metodo confermato da Support. Se non vi è miglioramento o compaiono regressioni, ripristinare esattamente il valore iniziale registrato con la stessa sintassi e rileggerlo, quindi ricontrollare tunnel e traffico utente. I quattro comandi dei valori predefiniti SFOS 22 riportati sotto non ripristinano questa impostazione.

Compatibilità L2TP, MTU e PPTP

set vpn include anche i protocolli di autenticazione per L2TP e PPTP e la MTU L2TP globale. Ciò non rende PPTP adatto a nuovi ambienti. PPTP è obsoleto e non dovrebbe essere introdotto. Anche L2TP Remote Access rimane una soluzione di compatibilità controllata, non lo standard preferito per nuovi client gestiti.

Per L2TP e PPTP sono disponibili ANY, CHAP, MS_CHAPv2 e PAP:

set vpn l2tp authentication <ANY|CHAP|MS_CHAPv2|PAP>
set vpn pptp authentication <ANY|CHAP|MS_CHAPv2|PAP>

Il valore non si sceglie solo in base al nome che sembra più forte. Client, server di autenticazione e metodo VPN configurato in Authentication > Services devono supportare lo stesso protocollo. Con Active Directory, la combinazione supportata può differire da un percorso RADIUS. ANY non migliora la sicurezza: amplia i metodi accettati e richiede una decisione di rischio consapevole.

Sophos non documenta un default per questi due valori CLI. Il rollback usa il token iniziale registrato con la stessa sintassi, ad esempio set vpn l2tp authentication MS_CHAPv2 se quello era il valore iniziale.

La MTU L2TP può essere impostata da 576 a 1460; il default documentato è 1410:

set vpn l2tp mtu <576-1460>

La MTU L2TP non modifica un’interfaccia IPsec site-to-site route-based o policy-based. Viene regolata gradualmente solo per un problema di frammentazione L2TP riproducibile. Dopo la modifica devono continuare a funzionare trasferimenti grandi e piccoli, DNS, autenticazione e riconnessione.

set vpn l2tp mtu 1410 ripristina il default documentato. Se la MTU iniziale era intenzionalmente personalizzata, ripristinare invece quel valore registrato.

Testare e ripristinare in modo controllato

Per tornare ai default esplicitamente documentati:

set vpn ipsec-performance anti-replay window-size 1024
set vpn ipsec-performance cookie_threshold 30
set vpn ipsec-performance use-resolved-ip-address disable
set vpn l2tp mtu 1410

Per conn-remove-*, ipsec-max-workqueue-items e i due protocolli di autenticazione Sophos non indica un default. Una configurazione personalizzata si ripristina sempre con il valore annotato prima del test e la stessa sintassi set vpn.

In ogni finestra di manutenzione si modifica esattamente un valore globale. Prima e dopo si usano gli stessi tunnel, flusso di test e transizione WAN o HA. Per IPsec si registrano stato del tunnel, Child SA, contatori, strongswan.log, charon.log, CPU e Packet Loss. Per la pulizia delle sessioni si includono VoIP, DNS e altri flussi UDP.

Un ping riuscito non è un collaudo completo. Verificare un flusso esistente, una nuova connessione, entrambe le direzioni e un test negativo controllato. Current activities > IPsec connections mostra IPsec e Current activities > Remote users gli utenti SSL VPN. La guida ai log associa IPsec a strongswan.log, ipsec_monitor.log e charon.log, SSL VPN a sslvpn.log e L2TP a l2tpd.log. Diagnostics > Packet capture mostra le interfacce di ingresso e uscita, l’ID regola, lo stato e il motivo dello scarto; usare un filtro ristretto sugli endpoint di test anonimizzati per evitare di raccogliere dati estranei. Dopo la modifica, verificare il valore di destinazione con il metodo di lettura confermato da Support. L’accettazione del comando e il traffico osservato non dimostrano da soli quale valore globale sia attivo.

Se il miglioramento previsto non compare o si verificano nuove interruzioni, si imposta esattamente il valore annotato prima del test. Quindi si ricontrollano tunnel e traffico. Senza stato iniziale noto, accesso di gestione indipendente e sintomo fondato, non si esegue alcuna modifica set vpn.

FAQ