Sophos Firewall Bypass-Regel sicher verwenden

Mit bypass-stateful-firewall-config nimmt man Hosts oder Netze aus der normalen Firewall-Inspection. Das ist keine normale Allow-Regel: Das veröffentlichte SFOS-22-Beispiel verwendet getrennte Source- und Destination-Einträge; einen Dienst oder Port kann die dokumentierte Syntax nicht eingrenzen. Ein Host-Eintrag wirkt deshalb breiter, als der Begriff “Regel” vermuten lässt.

Die sichere Kurzfassung: aktuellen Zustand sichern, jeden geplanten dest_host- und source_host-Eintrag mit der Baseline vergleichen und nur fortfahren, wenn beide Selektor/Adresse-Kombinationen eindeutig fehlen. Bei einem bestehenden oder unklaren Eintrag den Test stoppen; diesen weder erneut hinzufügen noch löschen. Nur dann möglichst enge Testeinträge setzen, die Wirkung mit Packet Capture prüfen und sofort ausschliesslich die nachweislich neu hinzugefügten Einträge mit del entfernen. Die Selektoren wirken unabhängig: dest_host erfasst Traffic zum Zielhost, source_host Traffic vom Quellhost. Zusammen bilden sie kein Source-Destination-Paar.

⚠️ Der Bypass reduziert Kontrolle und Sichtbarkeit für den passenden Traffic. Nur in einem befristeten Wartungsfenster und mit vorbereitetem Rückbau einsetzen. Für eine dauerhafte Freigabe eine normale Firewall-Regel oder eine gezielte Policy-Ausnahme verwenden.

Welche Bypass-Art gemeint ist

Dieser Artikel behandelt ausschliesslich bypass-stateful-firewall-config in der Device Console.

• Stateful-Firewall-Bypass: nimmt einen Host oder ein Netz aus der Firewall-Inspection.
• DoS bypass rule: Ausnahme unter Protect > Intrusion prevention > DoS & spoof protection. Sie lässt sich zusätzlich nach IP-Version, Source, Destination, Protocol und Ports eingrenzen und ist nicht dasselbe.
• IPS Bypass session: Aktion innerhalb einer IPS-Regel.
• FastPath / Firewall acceleration: beschleunigt bekannten, vertrauenswürdigen Traffic. Es ist kein manueller Stateful-Firewall-Bypass.
• LAN bypass / fail-to-wire: Hardware-Funktion unterstützter Appliances, die ein Bypass-Portpaar bei Strom- oder Hardwareausfall ohne Scanning verbindet.
• Normale Ausnahme: gezielte Anpassung einer Firewall-, NAT-, Web-, TLS-, IPS- oder Application-Control-Policy.

Vor dem Bypass gezielter prüfen

Ein Bypass beantwortet nur eine enge Diagnosefrage: Funktioniert der Flow, wenn die Firewall-Inspection umgangen wird? Er zeigt nicht, welches Modul oder welche Konfiguration die Ursache ist.

• Firewall-Regel matcht nicht: Reihenfolge, Zonen, Source, Destination und Service prüfen.
• IPS blockiert: Policy, Signatur und mögliche Ausnahme prüfen.
• TLS Inspection stört: SSL/TLS Inspection Rule oder TLS Exclusion gezielt anpassen.
• Webfilter blockiert: Web Policy, Kategorie, URL Group oder Web Exception prüfen.
• Application Control greift falsch: Policy und erkannte Anwendung prüfen.
• NAT oder Routing ist verdächtig: NAT Rule ID, Firewall Rule ID, Rückroute und Packet Capture vergleichen.

Für dauerhafte Verbindungen bleibt eine normale Sophos-Firewall-Regel mit Logging und den benötigten Security Features die richtige Lösung.

Voraussetzungen und Änderungsrahmen

Vor dem add-Befehl sollten folgende Punkte feststehen:

• konkrete Testfrage sowie Source, Destination, Protokoll und Port des Testflows;
• engstmögliche Hosts oder Netze statt ganzer Client-, Server- oder VPN-Bereiche;
• Ticket, verantwortliche Person, Wartungsfenster und Abbruchkriterium;
• Ausgabe von show advanced-firewall vor der Änderung;
• exakter del-Befehl für jeden geplanten add-Befehl;
• Testnachweis per Packet Capture oder Log des Zielsystems;
• Kontrolltest nach dem Rückbau.

Bei NAT- oder asymmetrischen Routing-Pfaden zuerst Hin- und Rückweg erfassen. Ein Bypass kann ein Routing-, NAT- oder Policy-Problem verdecken; er repariert es nicht.

In der Device Console arbeiten

Per SSH als admin verbinden und im Konsolenmenü 4. Device Console öffnen. SSH sollte nur aus einem vertrauenswürdigen Admin-Netz erreichbar sein. Die Vorbereitung erklärt Sophos Firewall per SSH verbinden.

Zuerst den Zustand anzeigen und im Ticket sichern:

show advanced-firewall

Die Ausgabe enthält weitere globale Einstellungen. Diese nicht nebenbei ändern; Advanced Firewall Settings sicher prüfen ordnet sie ein.

SFOS bietet in der Device Console kontextbezogene Hilfe. Nach einem unvollständigen Kommando besser Tab oder ? verwenden, statt Parameter zu erraten. Sophos warnt in der SFOS-22-Hilfe ausdrücklich davor, unvollständige Befehle auszuführen.

Host-Einträge für den Test setzen

Das folgende Beispiel verwendet reservierte Dokumentationsadressen:

• Source-Host: 198.51.100.10
• Destination-Host: 192.0.2.20

Die Werte müssen durch die beiden tatsächlichen Endpunkte des Testflows ersetzt werden. Vor add jeden geplanten Selektor und jede Adresse mit der gesicherten Baseline vergleichen. Dieses Beispiel nur ausführen, wenn beide exakten Einträge eindeutig fehlen. Ist einer bereits vorhanden oder der Bestand unklar, den Test stoppen: den Eintrag weder erneut hinzufügen noch im Rückbau löschen. Einen anderen autorisierten Testumfang wählen oder den bestehenden Bypass mit der verantwortlichen Person beziehungsweise Sophos Support klären. Ein bereits aktiver Bypass eignet sich nicht für einen unverfälschten Vorher/Nachher-Vergleich. Für den von Sophos beschriebenen vollständigen Outbound-Bypass werden unter diesen Voraussetzungen getrennte Einträge für Destination und Source angelegt:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Danach sofort kontrollieren:

show advanced-firewall

Die beiden Zeilen folgen dem veröffentlichten SFOS-22-Beispiel. Sie sind keine Regel, die nur 198.51.100.10 mit 192.0.2.20 verknüpft: Der erste Eintrag erfasst Traffic beliebiger Quellen zu 192.0.2.20, der zweite Traffic von 198.51.100.10 zu beliebigen Zielen. Die dokumentierte Syntax kennt zudem keinen Service- oder Port-Parameter. Deshalb während des Wartungsfensters nur den vorgesehenen Traffic erzeugen, andere Zugriffe auf die beiden Hosts möglichst unterbinden und keine unnötig breit erreichbaren Hosts wählen.

Wann ein Netz statt eines Hosts vertretbar ist

SFOS 22 unterstützt auch dest_network und source_network. Ein Netz vergrössert den Bypass jedoch auf alle passenden Hosts. Es ist erst vertretbar, wenn derselbe eng definierte Fehler nachweislich mehrere Systeme betrifft.

Sophos nennt kein Limit für die Anzahl der Bypass-Hosts oder -Netze. Das ist eine technische Kapazität, keine Betriebsempfehlung: Viele Einträge sind schwer zu überblicken und sprechen dafür, die eigentliche Ursache statt der Bypass-Liste zu bearbeiten.

Die öffentliche SFOS-22-Seite zeigt kein vollständiges ausführbares Netzbeispiel. Deshalb die genaue Netz- und Netmask-Syntax auf der installierten SFOS-Version mit Tab oder ? anzeigen und nicht aus älteren Beispielen übernehmen. Zuerst mit einem Host reproduzieren; lässt sich das nicht, den Netzbypass mit Sophos Support abstimmen.

Wirkung kontrollieren

Nach dem Setzen nicht nur prüfen, ob die Anwendung funktioniert. Ebenso wichtig ist, ob die Änderung den geplanten Umfang einhält:

1. show advanced-firewall zeigt die neuen Source- und Destination-Einträge mit den geplanten Selektoren und Werten; zuvor vorhandene Einträge sind unverändert.
2. Packet Capture unter Diagnostics > Packet capture auf die beiden Hosts sowie den erwarteten Port filtern.
3. Einen eindeutig datierten Test ausführen und Hin- sowie Rückpakete prüfen.
4. Prüfen, ob während des Fensters anderer Traffic zum Destination-Host oder vom Source-Host läuft; auch er fällt in den jeweiligen Bypass-Eintrag.
5. Bei asymmetrischem Routing prüfen, ob der Rückweg tatsächlich über diese Firewall läuft.
6. Unabhängig vom Testergebnis unmittelbar zum Rückbau übergehen.

Packet Capture zeigt Interface, Source und Destination, Ports, NAT ID, Rule ID sowie den Verarbeitungsstatus. Fehlt eine Richtung, zuerst Routing, NAT und den Capture-Filter prüfen. Aus fehlenden Log-Viewer-Einträgen allein lässt sich beim Bypass kein sicherer Schluss ziehen.

Bypass vollständig entfernen

Die Löschbefehle sollten bereits vor dem Test bereitliegen. Sie gelten ausschliesslich für Einträge, die in der Baseline nachweislich fehlten und in diesem Test tatsächlich neu hinzugefügt wurden; diese Änderungen im Ticket festhalten. Wurde nur einer der beiden Einträge neu hinzugefügt, nur dessen del ausführen. Bestehende oder nicht eindeutig zuordenbare Einträge nicht löschen, sondern den Zustand mit der verantwortlichen Person oder Sophos Support klären. Die Befehle müssen exakt dieselben Selektoren und Werte wie die zugehörigen add-Befehle verwenden:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Anschliessend kontrollieren:

show advanced-firewall

Erfolg bedeutet: Alle tatsächlich neu hinzugefügten Testeinträge sind verschwunden, die Bypass-Liste entspricht wieder exakt der gesicherten Baseline, ältere dokumentierte Einträge sind unverändert und ein Kontrolltest läuft ohne den temporären Bypass. Bleibt ein nachweislich neu hinzugefügter Eintrag bestehen, den eingegebenen Selektor (dest_host oder source_host) und die IP-Adresse mit der Ausgabe vergleichen; nicht durch einen breiteren Löschversuch ersetzen. Ist die Zuordnung unklar oder weicht der Bestand unerwartet von der Baseline ab, nicht weiter löschen, sondern mit der verantwortlichen Person oder Sophos Support klären.

Ursache sauber beheben

Ein erfolgreicher Bypass-Test zeigt nur, dass die Firewall-Inspection am Verhalten beteiligt ist. Danach die eigentliche Ursache gezielt bestimmen:

• Firewall-Regel: Reihenfolge, Zonen, Source, Destination, Service und Benutzerzuordnung;
• IPS, Web Protection oder Application Control: erkannte Signatur, Kategorie, Anwendung und Policy;
• TLS Inspection: passende Regel, Zertifikatsvertrauen und eng begrenzte Exclusion;
• NAT und Routing: NAT Rule ID, Route Precedence, SD-WAN-Entscheidung und Rückroute.

Die dauerhafte Lösung muss ohne Stateful-Firewall-Bypass funktionieren und wieder sichtbar sowie überprüfbar sein. Eine temporäre Diagnose darf nicht stillschweigend zur Betriebsarchitektur werden.

Dokumentation und typische Fehler

Im Ticket gehören mindestens Start- und Endzeit, Administrator, Grund, beide Hosts oder Netze, Anwendung und Dienst, alle add- und del-Befehle, Capture-Zeitpunkt, Ergebnis und Folgeaufgabe.

Typische Fehler sind:

• anzunehmen, die beiden Host-Einträge bildeten zusammen ein Source-Destination-Paar, oder nicht bestätigte Netmask-Parameter zu kopieren;
• bei einem vollständig ausgeführten Test nur einen der beiden nachweislich neu hinzugefügten Host-Einträge zu entfernen, oder einen vorbestehenden Eintrag als Teständerung zu behandeln;
• ein ganzes Netz zu verwenden, obwohl zwei Hosts genügen;
• Log Viewer statt Packet Capture als einzigen Nachweis zu verwenden;
• Bypass mit DoS bypass rule, FastPath oder LAN bypass zu verwechseln;
• nach einem erfolgreichen Test keine normale Regel-, Policy-, NAT- oder Routing-Lösung umzusetzen.

Häufige Fragen