Configurare e testare un upstream proxy su Sophos Firewall

Un upstream proxy, chiamato anche parent proxy, è l’istanza proxy successiva dietro Sophos Firewall. I client interni inviano prima le proprie Web Requests al Web Proxy del firewall. Il firewall ispeziona il traffico e poi lo inoltra al proxy superiore. Solo quest’ultimo stabilisce la connessione a Internet.

Sophos Firewall supporta esattamente un upstream proxy. DPI Engine non può utilizzare questo percorso. Le regole web interessate devono quindi usare la modalità proxy con Use web proxy instead of DPI engine.

⚠️ Il parent proxy è una dipendenza globale per le Web Requests in modalità proxy. Prima di attivarlo, documentare un backup aggiornato, una connessione amministrativa indipendente, le regole proxy esistenti, il percorso NAT originale e un percorso di ritorno testato. Sophos Firewall non offre una seconda voce parent proxy come destinazione di failover integrata.

Questa procedura tratta le richieste HTTP e HTTPS inoltrate dalle reti interne. Non afferma che il traffico di sistema del firewall, gli aggiornamenti firmware o le connessioni di licenza utilizzino lo stesso percorso del parent proxy.

Upstream proxy in dieci passaggi

1. Definire un client pilota gestito, una richiesta web consentita e una bloccata.
2. Decidere se il parent proxy si trova in WAN, LAN o DMZ.
3. Documentare IP, porta, account di servizio facoltativo, routing e percorso di ritorno del proxy.
4. Creare il proxy come IP Host e verificare che il firewall possa raggiungerlo.
5. In Routing > Upstream proxy, selezionare Parent proxy e inserire indirizzo, porta e credenziali facoltative.
6. Impostare la regola web del client su Use web proxy instead of DPI engine e attivare il logging.
7. Per un proxy in WAN, creare una regola limitata dal client al proxy e verificare la regola SNAT effettiva.
8. Per un proxy in LAN o DMZ, tradurre inoltre il percorso client con MASQ e creare una regola proxy-verso-WAN dedicata senza Web Policy né scansione malware.
9. Validare l’accesso consentito, bloccato e diretto al proxy tramite Firewall Rule ID, NAT Rule ID, log web e log del proxy.
10. Testare l’indisponibilità del proxy, il failover HA e il rollback in una finestra di manutenzione prima di aggiungere altre reti.

Comprendere due connessioni e due topologie

Il percorso dati è costituito da due connessioni separate:

1. Il client invia una richiesta HTTP o HTTPS al Web Proxy di Sophos Firewall o attraverso di esso.
2. Sophos Firewall la trasforma in una connessione al parent proxy, che inoltra la richiesta a Internet.

Il browser non deve quindi puntare direttamente al parent proxy. Con un Direct Web Proxy e un file PAC espliciti, Sophos Firewall rimane la destinazione proxy del client. Il parent proxy è l’hop successivo dietro il firewall.

Parent proxy nella WAN

Se il parent proxy si trova nella WAN, oltre alla regola Web Proxy il percorso dati necessita di una regola firewall dalle reti client interne verso l’host e la porta specifici del proxy. La regola Default SNAT IPv4 esistente normalmente maschera gli indirizzi sorgente privati. Una regola SNAT separata è necessaria solo se questo percorso richiede una Source Translation diversa.

Parent proxy nella LAN o DMZ

Se il parent proxy si trova nella LAN o DMZ, il suo percorso Internet rimane dietro Sophos Firewall. Sono necessari tre componenti aggiuntivi:

• una regola firewall dal client al proxy,
• una regola SNAT MASQ limitata esclusivamente a questo percorso,
• una regola proxy-verso-WAN senza Web Policy né una seconda scansione malware o dei contenuti.

La regola proxy-verso-WAN deve essere posizionata sopra le regole sovrapposte in modalità Web Proxy. In caso contrario, il traffico generato dal parent proxy può entrare nuovamente nel percorso proxy o essere ispezionato in modo diverso da quanto previsto.

Esempio e valori sostituibili

L’articolo utilizza due alternative:

• Client pilota: CLIENT-WEB-01
• IP fisso del client: 10.20.30.50
• Rete client: 10.20.30.0/24
• Zona client: LAN
• Regola web: LAN_Web_ParentProxy_Pilot
• Porta del parent proxy: 3128
• Proxy WAN: PARENT-WAN_192.0.2.80
• IP del proxy WAN: 192.0.2.80
• Proxy DMZ: PARENT-DMZ_10.20.40.20
• IP del proxy DMZ: 10.20.40.20
• Zona DMZ: DMZ
• Account proxy facoltativo: svc_sfos_parent_proxy

192.0.2.80 è un indirizzo di documentazione e deve essere sostituito con il reale indirizzo IP pubblico o lato provider dell’upstream proxy. 10.20.40.20 rappresenta un proxy interno nella propria DMZ. Dal punto di vista di Sophos Firewall, l’indirizzo scelto deve essere raggiungibile attraverso il percorso previsto.

Sophos accetta un indirizzo IPv4, IPv6 o un nome di dominio. Per un percorso dati controllabile è preferibile l’indirizzo IP: Sophos lo consiglia per impedire ai client di bypassare il Web Proxy del firewall accedendo direttamente all’upstream proxy. Un nome di dominio non è un secondo proxy né un meccanismo di failover documentato.

La porta 3128 è comunemente utilizzata per i proxy, ma non è un valore immutabile del prodotto. Se il parent proxy usa un altro listener, l’oggetto host/servizio, le regole firewall, Packet Capture, il monitoring e i test devono utilizzare tutti la stessa porta.

L’account facoltativo viene utilizzato solo se il parent proxy richiede l’autenticazione. Utilizzare un account di servizio dedicato e con privilegi minimi, documentare la rotazione della password e il responsabile, e non memorizzare account amministrativi personali.

Inserire globalmente il parent proxy

Prima della modifica, il firewall deve poter raggiungere il proxy tramite il routing e il percorso firewall previsti. Una porta TCP aperta da sola non dimostra il corretto funzionamento dell’autenticazione proxy o dell’inoltro HTTP.

1. In Hosts and services > IP host, creare l’host specifico del proxy.
2. In Routing > Upstream proxy, selezionare Parent proxy.
3. Inserire l’indirizzo IP o il nome di dominio del parent proxy. Per questa procedura, utilizzare l’IP confermato.
4. Inserire la porta effettiva del proxy, 3128 in questo esempio.
5. Inserire nome utente e password solo se il proxy richiede l’autenticazione.
6. Salvare con Apply.

Questa impostazione non funziona come una singola regola firewall limitata al pilota. Il pilota viene circoscritto mediante regole limitate e il loro ordine. Prima di salvare, registrare tutte le regole esistenti che utilizzano già Use web proxy instead of DPI engine.

Impostare la regola web in modalità proxy

La regola web dalla rete interna alla WAN associa Web Policy e scansione alla prima parte del percorso dati. Le regole firewall su Sophos Firewall spiegano il funzionamento generale.

Creare una regola dedicata per il pilota o adattare in modo limitato una regola pilota esistente:

• Source zones: LAN
• Source networks and devices: CLIENT-WEB-01 o la rete pilota confermata
• Destination zones: WAN
• Destination networks: solo le destinazioni web previste o deliberatamente Any
• Services: i servizi HTTP/HTTPS necessari
• Web policy: la policy pilota preparata
• Scan HTTP and decrypted HTTPS: solo se la protezione prevista lo richiede
• Use web proxy instead of DPI engine: attivato
• Log firewall traffic: attivato

Web Protection su Sophos Firewall spiega come validare categorie, eccezioni e destinazioni reali consentite e bloccate.

Il parent proxy non funziona con DPI Engine. Lo stato verde di una regola non dimostra il percorso effettivo. Dopo il salvataggio, la richiesta di test deve mostrare la Firewall Rule ID e la Web Policy previste.

La decrittografia HTTPS è una decisione separata. Se sia Sophos Firewall sia il parent proxy decifrano TLS, deve essere chiaro quale istanza emette quale certificato e dove ha origine un errore. Il rollout controllato di TLS Inspection rimane la procedura dettagliata.

Collegare un parent proxy nella WAN

Per un proxy nella WAN, creare una regola aggiuntiva che consenta esplicitamente l’hop verso il proxy:

• Name: LAN_to_PARENT-WAN_3128
• Source zones: LAN
• Source networks and devices: 10.20.30.0/24 o il pilota più limitato
• Destination zones: WAN
• Destination networks: PARENT-WAN_192.0.2.80
• Services: un servizio TCP dedicato per 3128
• Log firewall traffic: attivato

La regola non deve diventare un’autorizzazione generale e ampia da LAN a WAN. Mantenere specifici l’host e la porta del proxy. Dopo il test, usare la Firewall Rule ID per confermare che corrisponda esattamente questa regola.

In una configurazione standard, Default SNAT IPv4 spesso maschera gli indirizzi privati dei client. Verificare comunque la NAT Rule ID effettiva in Log Viewer e Packet Capture. Una nuova regola SNAT ha senso solo se il proxy del provider richiede un indirizzo sorgente specifico o se il percorso NAT esistente non corrisponde. NAT su Sophos Firewall ne spiega i fondamenti.

Collegare un parent proxy nella LAN o DMZ

Per un proxy nella LAN o DMZ, mantenere il suo traffico Internet separato dal percorso client-verso-proxy.

Creare la regola client-verso-proxy

La prima regola consente solo il percorso client confermato:

• Name: LAN_to_PARENT-DMZ_3128
• Source zones: LAN
• Source networks and devices: 10.20.30.0/24 o il pilota più limitato
• Destination zones: DMZ
• Destination networks: PARENT-DMZ_10.20.40.20
• Services: un servizio TCP dedicato per 3128
• Log firewall traffic: attivato

Se il proxy si trova nella LAN, utilizzare la sua zona reale. La procedura di produzione Avanet non richiede Any né come Source né come Destination.

Creare SNAT solo per questo percorso

In Rules and policies > NAT rules, creare una regola Source NAT limitata:

• Original source: 10.20.30.0/24 o il pilota più limitato
• Translated source (SNAT): MASQ
• Original destination: PARENT-DMZ_10.20.40.20
• Translated destination (DNAT): Original
• Original service: TCP 3128
• Inbound interface: l’interfaccia client confermata o deliberatamente Any
• Outbound interface: l’interfaccia verso il proxy o deliberatamente Any

Impostare i campi delle interfacce solo quando il percorso reale è stabile. Un’interfaccia errata impedisce la corrispondenza. Validare la regola con la NAT Rule ID prevista, non soltanto in base alla posizione.

Creare la regola proxy-verso-WAN senza un’altra ispezione web

Il parent proxy necessita di una regola dedicata per le proprie connessioni Internet:

• Name: PARENT-DMZ_to_WAN
• Source zones: DMZ
• Source networks and devices: PARENT-DMZ_10.20.40.20
• Destination zones: WAN
• Destination networks: le destinazioni necessarie o deliberatamente Any
• Web policy: None
• Malware and content scanning: disattivato
• Log firewall traffic: attivato

Posizionare questa regola sopra le altre che potrebbero corrispondere alla stessa combinazione Source/Destination in modalità Web Proxy. È possibile selezionare consapevolmente una IPS Policy se l’operatività la richiede per il percorso proxy-verso-WAN. Non applicare una seconda volta Web Policy e scansione malware.

Per l’hop WAN del parent proxy si applica di nuovo la regola SNAT che corrisponde effettivamente. Default SNAT IPv4 può essere sufficiente; decide la NAT Rule ID.

Validare il percorso dati con un test controllato

Un test riuscito non conferma soltanto che si apre un qualsiasi sito web. Collega client, regola, NAT, Web Policy e parent proxy in un’unica sequenza temporale.

1. Annotare l’ora con fuso orario, IP pilota, URL di destinazione e azione prevista.
2. Aprire una pagina HTTP o HTTPS consentita.
3. Aprire una categoria o un URL di test che la Web Policy pilota deve bloccare.
4. In Log Viewer, verificare Firewall Rule ID, NAT Rule ID, Web Policy, azione, Source e Destination previste.
5. Nel logging o monitoring del parent proxy, confermare che entrambe le richieste arrivino dalla Source Sophos o NAT prevista.
6. In Built-in Packet Capture, usare host 192.0.2.80 and port 3128, o l’IP reale del proxy, per verificare andata e ritorno.
7. Dal client pilota, testare l’accesso diretto all’IP e alla porta del proxy. Quando l’indirizzo del parent proxy è inserito come IP, la policy Sophos deve applicarsi anche a questo percorso; un bypass non verificato è una condizione di arresto.
8. Rendere il parent proxy indisponibile in modo controllato o bloccare la porta di test durante una finestra di manutenzione. Documentare l’errore osservato e il comportamento degli alert senza presupporre un secondo proxy automatico.

Il test è superato solo quando la richiesta consentita e quella bloccata si comportano correttamente, il parent proxy le vede entrambe e l’accesso diretto non bypassa la policy di sicurezza. Testare sistematicamente una regola firewall spiega in dettaglio la validazione con Rule ID e Packet Capture.

Testare HA separatamente

In Active-Active, Sophos può distribuire il traffico TCP del parent proxy tra i nodi. Tuttavia, ogni nodo conserva solo i log del traffico che ha elaborato. Durante il troubleshooting occorre quindi esaminare entrambi i nodi o quello che elaborava il traffico al momento dell’evento.

Ripetere un failover controllato con una nuova connessione del browser. Verificare poi nuovamente Firewall Rule ID, NAT Rule ID, log del parent proxy, l’azione consentita e quella bloccata. Non presupporre che una connessione proxy esistente continui senza interruzione.

Isolare gli errori in modo sistematico

I siti si aprono direttamente, ma non tramite il parent proxy

• Verificare che la regola web del client utilizzi Use web proxy instead of DPI engine.
• Controllare la Firewall Rule ID effettiva e l’ordine delle regole.
• Controllare route, IP del proxy, porta, NAT Rule ID e percorso di ritorno.
• Se viene usata l’autenticazione, confrontare nome utente, password, stato di blocco e log del parent proxy.
• Una porta TCP aperta non dimostra né una richiesta proxy riuscita né un’autenticazione valida.

Il parent proxy risponde con 407 o un errore di autenticazione

Controllare le credenziali e lo stato dell’account sul parent proxy. Non memorizzare un account amministrativo personale come soluzione rapida. Dopo una modifica della password, aggiornare in modo controllato la voce globale, testare una nuova connessione e revocare l’accesso al vecchio secret.

Un proxy nella LAN o DMZ non raggiunge Internet

• Controllare la regola client-verso-proxy e la relativa Rule ID.
• Controllare la regola MASQ limitata e la NAT Rule ID.
• Controllare la regola proxy-verso-WAN, la posizione e la Source effettiva del proxy.
• Assicurarsi che Web policy sia impostata su None e che Malware and content scanning non sia stato riattivato.
• Controllare separatamente la route e lo SNAT per l’hop WAN del parent proxy.

La Web Policy viene applicata due volte o il percorso entra in loop

La regola proxy-verso-WAN deve precedere le regole sovrapposte in modalità Web Proxy. Confrontare Source, Destination, Service e Rule ID di ogni hop. Cercare in awarrenhttp.log, fwlog.log, firewall_rule.log e nat_rule.log la stessa ora, IP client, IP proxy e indirizzo di destinazione. I log di servizio Sophos Firewall spiegano l’associazione dei file.

Non riavviare i servizi proxy e non lasciare abilitato l’output di debug. Salvare prima i dati di Log Viewer, Packet Capture e i file di log disponibili. awarrenhttp_access.log contiene richieste individuali dettagliate solo quando il debug è attivo, quindi non è una prova standard per ogni incidente.

HTTPS mostra certificati inattesi o errori di certificato

Determinare se Sophos Firewall, il parent proxy o entrambi decifrano TLS. Confrontare il certificato emittente nel browser, la Web Policy corrispondente, la SSL/TLS Inspection Rule e il log dell’upstream proxy. Non modificare contemporaneamente e solo per sospetto la distribuzione della CA, la decrittografia e le regole del parent proxy.

Solo alcune applicazioni bypassano il proxy

Non tutte le applicazioni utilizzano le impostazioni proxy del browser o del sistema operativo. Il parent proxy non è un tunnel generale per traffico TCP o UDP arbitrario. Rilevare il percorso dati effettivo dell’applicazione interessata e la regola firewall corrispondente invece di dedurre il comportamento di tutti i programmi da un test riuscito del browser.

Operatività e rollback

L’unico parent proxy è una dipendenza documentata. Il monitoring deve verificare più della porta TCP: utilizzare una vera richiesta HTTP o HTTPS, autenticazione, latenza e la risposta upstream prevista. Documentare responsabile, finestra di manutenzione, scadenza del secret e percorso di ripristino.

Per eseguire il rollback:

1. Salvare ora, configurazione, Rule ID e NAT Rule ID precedenti alla modifica.
2. In Routing > Upstream proxy, ripristinare lo stato precedente documentato.
3. Riportare la regola web del client alla precedente modalità DPI o proxy.
4. Disattivare le regole temporanee client-verso-proxy, proxy-verso-WAN e SNAT solo dopo aver confermato il percorso sostitutivo.
5. Aprire una nuova connessione del browser o dell’applicazione e ripetere la richiesta consentita e quella bloccata.
6. In HA, ripetere il test per il nodo che sta elaborando il traffico e dopo un failover pianificato.
7. Rimuovere accessi proxy e secret non più necessari solo dopo una validazione riuscita.

Checklist

• Sono documentati un backup aggiornato, una connessione amministrativa indipendente e lo stato precedente.
• Sono confermati posizione WAN, LAN o DMZ, IP, porta, routing e percorso di ritorno del proxy.
• Il parent proxy è inserito come IP oppure la scelta del FQDN è motivata.
• La regola web del client utilizza Use web proxy instead of DPI engine.
• Regola client-verso-proxy, Firewall Rule ID e porta del proxy corrispondono.
• Per LAN/DMZ esistono regole SNAT MASQ e proxy-verso-WAN limitate.
• La regola proxy-verso-WAN ha Web Policy None e nessuna seconda scansione malware.
• Sono stati testati gli accessi consentito, bloccato e diretto al proxy.
• Sono stati testati indisponibilità del parent proxy, alert, failover HA e rollback.
• Sono documentati responsabile, rotazione del secret, monitoring e data di revisione.

Domande frequenti