Usare Packet Capture di Sophos Firewall in WebAdmin

In Diagnostics > Packet capture è possibile seguire un singolo flusso di rete direttamente in WebAdmin. Si imposta un filtro BPF preciso, si avvia l’acquisizione, si riproduce il problema una volta e poi si controllano interfacce, Rule ID, NAT ID, Status e Reason.

Packet Capture mostra il flusso effettivo dei pacchetti. La policy che ha preso la decisione va controllata anche in Log Viewer. Per acquisizioni più lunghe o un file .pcap serve invece tcpdump tramite SSH, perché l’acquisizione di WebAdmin non può essere scaricata come PCAP.

Packet Capture in sei passaggi

1. Annotare Source IP, destinazione, protocollo, porta e ora del test. Esempio: client 172.16.10.25 verso 93.184.216.34 tramite TCP 443.
2. Aprire Diagnostics > Packet capture e fare clic su Configure.
3. Impostare e salvare una stringa BPF, ad esempio host 172.16.10.25 and port 443.
4. Impostare Packet Capture su Trace On. Nelle versioni attuali di SFOS, i dettagli dei pacchetti appaiono in una nuova finestra del browser.
5. Riprodurre esattamente un test e poi interrompere l’acquisizione con Trace Off.
6. Leggere la sequenza dal basso verso l’alto e controllare In/Out interface, Rule ID, NAT ID, Status, Reason e i pacchetti di risposta.

Se la stringa BPF viene modificata durante un’acquisizione, impostare prima Packet Capture su Trace Off e poi di nuovo su Trace On affinché venga applicato il nuovo filtro.

⚠️ Un’acquisizione ampia e continua rende difficile l’analisi e raccoglie inutilmente molti dati operativi. Usare un filtro preciso, eseguire un test breve e disattivare Packet Capture al termine.

Impostare un Capture Filter preciso

Il Capture Filter determina prima dell’acquisizione quali pacchetti entrano nel buffer da 2048 KB. Il Display Filter limita solo la visualizzazione dei dati già acquisiti. L’interfaccia non si seleziona quindi nel Capture Filter, ma successivamente nel Display Filter.

Per un test HTTPS si dovrebbero conoscere almeno origine, destinazione e porta. Se la destinazione non è ancora chiara a causa di DNS, CDN o NAT, è meglio iniziare solo con Source IP e restringere in seguito il flusso visibile.

Prima di iniziare, devono essere definiti questi elementi:

• Source IP e Destination IP attuale
• protocollo e porte di origine e destinazione, se pertinenti
• interfacce di ingresso e uscita previste oppure le zone
• Firewall Rule e NAT Rule previste
• risultato previsto, ad esempio consentito, bloccato, DNAT, SNAT o VPN
• ora esatta del test e una singola azione riproducibile

Esempi BPF

• Host: host 10.10.10.1
• Source IP: src host 10.10.10.1
• Destination IP: dst host 10.10.10.1
• Rete: net 10.10.10.0/24
• Porta: port 443
• Porta di destinazione: dst port 443
• Protocollo: proto TCP, proto UDP o proto ICMP

Un test web preciso può essere:

host 172.16.10.25 and host 93.184.216.34 and port 443

Per un test ping di solito è sufficiente:

host 172.16.10.25 and proto ICMP

Sophos documenta queste forme BPF di base. Ciò non garantisce automaticamente che qualsiasi espressione tcpdump funzioni in WebAdmin.

Con NAT, la prospettiva è importante: un filtro sull’IP interno del client può nascondere la voce sul lato WAN dopo MASQ. Se mancano pacchetti, filtrare prima solo per origine, destinazione o porta e verificare che entrambe le direzioni restino visibili.

Buffer e opzioni di acquisizione

• Number of bytes to capture (per packet) definisce quanti byte vengono memorizzati per pacchetto. Per un primo test spesso sono sufficienti i dati dell’header.
• Senza Wrap capture buffer once full, l’acquisizione si interrompe automaticamente a 2048 KB. Con Wrap, i dati meno recenti vengono sovrascritti.
• Clear svuota il buffer prima di un nuovo test.
• L’acquisizione continua se si passa a un’altra pagina di WebAdmin. Al termine del test, impostarla quindi consapevolmente su Trace Off.

Leggere correttamente i risultati

Un flusso appare più volte perché il firewall acquisisce ingresso e uscita sulle interfacce. Un round trip ping comprende normalmente quattro righe: la richiesta entra dalla LAN, esce dalla WAN, la risposta entra dalla WAN ed esce dalla LAN. Le voci più recenti sono in alto; per seguire l’ordine cronologico, leggere l’elenco dal basso verso l’alto.

I campi più importanti

• In interface / Out interface: Dove arriva il pacchetto e da quale interfaccia esce.
• Source IP / Destination IP / Ports: Quale flusso viene esaminato.
• Rule ID: Quale regola firewall elabora il traffico.
• NAT ID: Quale regola NAT è coinvolta.
• Status: Che cosa fa il firewall in questa fase di elaborazione del pacchetto.
• Reason: Perché un pacchetto viene scartato.

L’elenco dei pacchetti contiene, quando necessario, altri campi come Connection ID, Gateway ID, Username e ID delle policy Web, Application o IPS. Per il pacchetto selezionato, la vista dei dettagli mostra inoltre header e dati Hex e ASCII.

Interpretare correttamente Status

• Incoming: Il pacchetto è stato ricevuto su un’interfaccia; ciò non dimostra ancora una decisione successiva.
• Forwarded: Il firewall ha inoltrato il pacchetto tramite un’interfaccia di uscita.
• Consumed: Il pacchetto è destinato al firewall stesso, ad esempio a WebAdmin, VPN Portal, SSH, DNS o a un servizio VPN.
• Generated: Il firewall ha generato il pacchetto, ad esempio come risposta o tramite un servizio di sistema.
• Violation: Il firewall ha scartato il pacchetto a causa di una violazione della policy.

Con Consumed, sono spesso determinanti Administration > Device access, una Local Service ACL o il servizio firewall interessato. Proteggere Device Access di Sophos Firewall spiega la configurazione pertinente.

Controllare insieme Rule ID, NAT ID e Reason

Una Rule ID inattesa non dimostra che una regola sia difettosa. Controllare prima ordine delle regole, zone e matching in Log Viewer. La procedura completa è descritta in Testare correttamente una regola Sophos Firewall.

Con NAT, lo stesso flusso può apparire con indirizzi diversi prima e dopo la traduzione. Sono determinanti NAT ID prevista, In/Out interface e pacchetti di risposta. Comprendere NAT su Sophos Firewall spiega la logica di traduzione.

Se Reason mostra, ad esempio, LOCAL_ACL, IPS, APPLICATION_FILTER, USER_IDENTITY o IP_SPOOF, controllare il modulo corrispondente in Log Viewer. Una classificazione dettagliata è disponibile in Analizzare i pacchetti scartati su Sophos Firewall.

Per il confronto con Log Viewer:

1. Aprire Log Viewer e Packet Capture in parallelo.
2. Impostare Capture Filter e riprodurre esattamente un test.
3. In Packet Capture, controllare interfacce, pacchetti di risposta, Rule ID e NAT ID.
4. Nel modulo appropriato di Log Viewer, verificare quale regola o Security Policy ha preso la decisione.
5. Solo dopo analizzare in modo mirato regola, NAT, routing o il modulo di sicurezza interessato.

Usare Display Filter

Display Filter aiuta quando l’elenco contiene già pacchetti. Può filtrare, tra gli altri, per interfaccia, IPv4/IPv6/ARP, Packet type, Source/Destination IP e porta, Reason, Status, Rule ID, User o Connection ID. Allowed è inoltre disponibile come valore di filtro per i pacchetti consentiti; le righe dei pacchetti mostrano le fasi di elaborazione come Incoming o Forwarded.

Con Save si applica il filtro e con Clear lo si reimposta. Per il traffico VPN, ad esempio, si imposta Capture Filter su un host o una rete e poi si restringe la visualizzazione all’interfaccia XFRM o tunnel prevista.

Analisi rapida degli errori

Nessun pacchetto visibile: Controllare Capture Filter e Display Filter. Per FQDN e CDN, verificare l’IP di destinazione attuale; con NAT, filtrare inizialmente solo per Source IP. Se l’elenco resta vuoto, controllare gateway del client, VLAN, porta dello switch e dispositivi a monte.

Il client non raggiunge Internet: Filtrare per IP del client e, ad esempio, TCP 443. Se non arriva nulla, la causa si trova prima del firewall. Se la richiesta arriva ma non viene inoltrata, controllare regola firewall, NAT e routing.

È visibile solo Incoming: Cercare Forwarded, Consumed o Violation e assicurarsi che il filtro non nasconda le fasi successive. In SFOS 22.0 MR1, il Known Issue NC-178387 può far apparire i drop predefiniti con Firewall ID 0 senza una riga Violation Firewall. Confrontare quindi con Policy tester oppure creare, per il flusso interessato, una regola di drop esplicita con logging alla fine dell’elenco delle regole. Impostare in modo mirato le zone di origine e destinazione; i dettagli sono disponibili in Analizzare i pacchetti scartati su Sophos Firewall.

Forwarded, ma nessuna risposta: Controllare rotta di ritorno, NAT, sistema di destinazione, firewall locale del sistema e controparte. Forwarded dimostra solo che Sophos Firewall ha inoltrato il pacchetto.

Rule ID o NAT ID inattesa: Confrontare gli ID con Log Viewer e la posizione della regola. Non modificare più regole contemporaneamente; La regola Sophos Firewall non corrisponde aiuta con i problemi di matching.

DNAT non funziona: Controllare se la richiesta arriva sulla WAN, quale NAT ID la elabora e se viene inoltrata al server interno. Se sulla WAN non appare nulla, la causa si trova spesso prima del firewall. Pubblicare un server con DNAT mostra la configurazione completa.

Manca traffico VPN: Acquisire per host, rete o protocollo e selezionare l’interfaccia tunnel o XFRM prevista in Display Filter. Per continuare l’analisi, consultare Risoluzione dei problemi IPsec su Sophos Firewall.

Il filtro web blocca in modo inatteso: Packet Capture mostra il flusso, ma non la decisione completa Web, Application Control o SSL/TLS. Verificarla nel modulo Log Viewer appropriato.

I test piccoli funzionano, ma i trasferimenti grandi si bloccano: In WebAdmin controllare risposte mancanti e dimensioni dei pacchetti. Le ritrasmissioni possono essere analizzate in modo affidabile con un file PCAP in Wireshark. Inoltre, controllare MTU e MSS.

Packet Capture non si avvia: Prima svuotare il buffer e controllare la nuova finestra del browser. Se il problema persiste, riavviare il servizio Packet capture and Live connections in System services > Services. Il riavvio interrompe temporaneamente anche la visualizzazione Live Connections.

Privacy e passaggio a tcpdump

I dati acquisiti possono contenere indirizzi IP interni, nomi host, nomi utente, relazioni di comunicazione e, con protocolli non cifrati, anche payload. Prima della condivisione, controllare destinatario, ambito e conservazione; spesso bastano poche righe pertinenti invece dell’intera acquisizione.

Per acquisizioni più lunghe, un’interfaccia specifica, un numero fisso di pacchetti, Snap Length o un file .pcap, utilizzare tcpdump su Sophos Firewall. Trasferire poi il file in modo sicuro e rimuoverlo dal firewall.