Sophos Firewall: Invalid TCP reserved bit durch Accurate ECN

Wenn Sophos Firewall legitimen TCP-Traffic mit Invalid TCP reserved bit verwirft, kann Accurate ECN die Ursache sein. Eine zusätzliche Allow-Regel oder eine Ausnahme im Webfilter hilft dann nicht, weil der Drop bereits bei der strikten TCP-Prüfung erfolgt.

Sophos nennt als Workaround das globale Abschalten von strict-policy. Diese Änderung sollte erst nach einem eindeutigen Nachweis erfolgen: Sie gilt für die ganze Firewall und lockert nicht nur den betroffenen Datenstrom.

Fehler eindeutig erkennen

Der Workaround passt nur, wenn alle folgenden Punkte zusammenkommen:

• Eine bestimmte TCP-Verbindung bricht reproduzierbar ab oder baut sich gar nicht auf.
• Log Viewer oder Packet Capture zeigt Invalid TCP reserved bit als Drop-Grund.
• Firewall-Regel, NAT und Routing passen zum erwarteten Datenpfad.
• Eine breite Allow-Regel ändert das Verhalten nicht.
• Der Paketmitschnitt zeigt das wiederverwendete reservierte TCP-Bit, das Sophos als NS bezeichnet. ECE und CWR können zusätzlich gesetzt sein, sind allein aber noch kein eindeutiger Accurate-ECN-Nachweis.

Für den ersten Test unter Log viewer > Firewall nach Quell-IP, Ziel-IP und Uhrzeit filtern und auch Invalid Traffic einblenden. Danach unter Diagnostics > Packet capture genau einen Verbindungsversuch aufzeichnen. Der allgemeine Ablauf steht in Sophos Firewall verworfene Pakete analysieren.

Fehlt der konkrete Drop-Grund, sollte strict-policy nicht auf Verdacht deaktiviert werden. Dann zuerst Firewall-Regel, NAT und Paketfluss prüfen.

Warum Accurate ECN als ungültig erkannt wird

Explicit Congestion Notification, kurz ECN, signalisiert eine Überlastung, ohne ein Paket allein zu diesem Zweck zu verwerfen. Accurate ECN erweitert dieses Verfahren, verwendet das reservierte NS-Bit neu und kombiniert es mit ECE und CWR für eine genauere Rückmeldung.

Sophos beschreibt unter NC-169842, dass die strikte Paketprüfung das dabei verwendete NS-Bit als gesetztes reserviertes TCP-Bit interpretieren und den Traffic verwerfen kann. Im Log erscheint deshalb Invalid TCP reserved bit, obwohl der Sender die Bits für Accurate ECN verwendet.

Die aktuelle Sophos Known Issues List nennt SFOS 21.5.0 GA Build 171 als betroffene Version und führt noch keine Fix-Version. Wenn das gleiche Verhalten auf einer anderen SFOS-Version auftritt, sollte ein Support Case mit Paketmitschnitt und Logauszug eröffnet werden, statt die Versionszuordnung zu vermuten.

Strict Policy prüfen

Die Befehle werden am Prompt console> der Device Console ausgeführt, nicht in der Advanced Shell:

1. Per SSH oder über die lokale Konsole an der Firewall anmelden.
2. Im Hauptmenü 4. Device Console wählen.
3. Aktuellen Zustand anzeigen:

show advanced-firewall

In der Ausgabe nach dieser Zeile suchen:

Strict Policy                  : on

Die vollständige Ausgabe enthält weitere globale Firewall-Parameter. Diese sollten für diesen Test nicht verändert werden. Falls der Zugang noch nicht eingerichtet ist, hilft Sophos Firewall per SSH verbinden.

Workaround kontrolliert testen

⚠️ Sicherheitswirkung: strict-policy off schaltet die strikte Paketprüfung global aus. Sophos Firewall verwirft dann bestimmte ungewöhnliche oder potenziell schädliche Paketmuster nicht mehr über diese Prüfung. Der Befehl ist keine Ausnahme für eine einzelne IP, Domain oder Firewall-Regel.

Vor der Änderung einen aktuellen Konfigurationsstand sichern, den betroffenen Testfall dokumentieren und ein Wartungsfenster festlegen. Anschliessend:

set advanced-firewall strict-policy off

Den neuen Zustand prüfen:

show advanced-firewall

Erwartete Zeile:

Strict Policy                  : off

Jetzt ausschliesslich den zuvor dokumentierten Datenstrom erneut testen. Funktioniert er unmittelbar und verschwindet der Drop-Grund Invalid TCP reserved bit, ist der Zusammenhang mit der Strict Policy belegt.

Bleibt der Fehler unverändert, strict-policy sofort wieder aktivieren. Die Ursache liegt dann wahrscheinlich an einer anderen Stelle im Paketfluss.

Strict Policy wieder aktivieren

Der Rückkehrbefehl lautet:

set advanced-firewall strict-policy on

Danach erneut mit show advanced-firewall prüfen, ob Strict Policy : on angezeigt wird, und den normalen Datenverkehr kontrollieren.

Auch wenn der Workaround funktioniert, sollte strict-policy off nicht ohne Bewertung zum Dauerzustand werden. Die bevorzugte Reihenfolge ist:

1. Prüfen, ob Sender, Betriebssystem, Anwendung oder vorgelagerter Dienst Accurate ECN deaktivieren beziehungsweise anders aushandeln kann.
2. Aktuelle SFOS Maintenance Releases und die Sophos Known Issues List auf eine Fix-Version prüfen.
3. Sophos Support mit SFOS-Version, Zeitstempel, Source und Destination, Drop-Grund sowie Packet Capture einbeziehen.
4. Nur wenn keine engere Lösung möglich ist, die globale Änderung mit Risikoakzeptanz, Monitoring und dokumentiertem Rückweg weiterbetreiben.

Die benötigten Nachweise lassen sich mit der Anleitung Sophos Firewall Logs für einen Support Case sichern zusammenstellen.

Was nicht hilft

• Eine breitere Firewall-Regel: Die strikte TCP-Prüfung ist kein normales Rule-Matching.
• Web- oder TLS-Ausnahmen: Der Drop kann vor der Verarbeitung durch diese Policies erfolgen.
• Eine IPS-Ausnahme auf Verdacht: Sophos nennt für NC-169842 ausdrücklich die Strict Policy als Ursache und Workaround.
• Das globale Abschalten ohne Baseline: Ohne reproduzierbaren Vorher-nachher-Test ist nicht belegt, dass Accurate ECN die Ursache war.