Sophos Firewall QUIC und HTTP/3 richtig blockieren

QUIC ist ein modernes Transportprotokoll, das heute vor allem im Zusammenhang mit HTTP/3 relevant ist. Viele Browser und Webdienste nutzen QUIC, um Webverbindungen schneller aufzubauen und stabiler zu halten. Für Administratoren ist aber ein anderer Punkt entscheidend: QUIC läuft über UDP, meistens über UDP 443, und verhält sich deshalb anders als klassisches HTTPS über TCP.

Auf der Sophos Firewall ist das wichtig, weil Webfiltering, Malware-Scanning, TLS Inspection und Application Control nur dann zuverlässig bewertet werden können, wenn der Traffic in der erwarteten Form durch die Regel läuft. In vielen Umgebungen bleibt Block QUIC protocol deshalb eine sinnvolle Einstellung in Client-Internetregeln.

Welcher Web-Protection-Artikel passt?

QUIC ist meistens nicht das eigentliche Ziel, sondern ein Störfaktor in Web-Protection-, TLS-Inspection- oder Troubleshooting-Szenarien. Je nach Aufgabe passt ein anderer Einstieg:

• Web Policy, URL Groups, SafeSearch und Webfilter grundsätzlich planen: Sophos Firewall Web Protection mit Web Policies einrichten.
• Web-Kategorien und Instant Alerts betreiben: Sophos Firewall Web-Kategorien und Instant Alerts nutzen.
• HTTPS-Traffic entschlüsseln und kontrolliert ausrollen: Sophos Firewall TLS Inspection richtig einführen.
• Prüfen, welche Firewall-Regel wirklich matched: Sophos Firewall Regel testen mit Log Viewer und Packet Capture.

Dieser Artikel beantwortet vor allem die Frage, wann und wie man QUIC beziehungsweise HTTP/3 in der passenden Firewall-Regel blockiert und danach sauber validiert.

Was QUIC für die Firewall bedeutet

Klassisches HTTPS läuft meistens über TCP 443. Die Firewall kann dabei je nach Regel, Web Policy, DPI Engine, Web Proxy und SSL/TLS Inspection entscheiden, ob Traffic nur erlaubt, kategorisiert, entschlüsselt, gescannt oder blockiert wird.

QUIC verschiebt diesen Webtraffic auf UDP. Für Benutzer ist das oft schneller. Für die Firewall bedeutet es aber:

• Webtraffic sieht nicht mehr wie klassisches HTTPS über TCP aus.
• UDP 443 kann an Webfilter- und Scanning-Erwartungen vorbeilaufen.
• TLS Inspection greift nicht wie bei normalem HTTPS über TCP.
• Troubleshooting wird schwieriger, wenn Browser automatisch zwischen TCP und QUIC wechseln.
• Policy Tester, Log Viewer und Packet Capture müssen bewusst mit Protokoll und Port verglichen werden.

Die Option Block QUIC protocol blockiert ausgehende UDP-Pakete zu Port 80 und 443 für Traffic, der zur jeweiligen Firewall-Regel passt. Das ist der entscheidende Punkt: Wenn ein Client über eine andere Regel ins Internet geht, hat die Einstellung in der Standardregel keine Wirkung auf diesen Traffic. Browser fallen nach der Blockade normalerweise auf HTTPS über TCP zurück.

Dabei wird HTTPS nicht automatisch entschlüsselt. QUIC-Block bringt den Traffic nur in einen besser kontrollierbaren TCP-Pfad. Ob danach Web Policy, Malware Scan, Application Control oder TLS Inspection greifen, entscheidet die restliche Regel- und Inspection-Konfiguration.

Wann man QUIC blockieren sollte

In vielen produktiven Client-Netzen ist das Blockieren von QUIC sinnvoll, wenn eine oder mehrere dieser Aussagen zutreffen:

• Webfiltering soll zuverlässig greifen.
• Malware-Scanning für Webdownloads ist wichtig.
• TLS Inspection wird für ausgewählte Kategorien oder Benutzergruppen eingesetzt.
• Application Control soll Webanwendungen besser erkennen.
• Webzugriffe sollen im Log Viewer nachvollziehbar sein.
• Helpdesk und Security-Team sollen reproduzierbare Tests durchführen können.

Für ein Gäste-WLAN ohne tiefere Inspection kann QUIC weniger kritisch sein. Für verwaltete Client-Netze, Server mit ausgehendem Internetzugriff oder Umgebungen mit Compliance-Anforderungen sollte man QUIC dagegen bewusst entscheiden und nicht einfach dem Browser überlassen.

Einstellung in der Firewall Regel prüfen

Der normale Ort ist die ausgehende Firewall Regel, zum Beispiel LAN_to_WAN_Clients. Die Einstellung befindet sich direkt in der Regel unter Security features > Web filtering > Block QUIC protocol.

Wichtig ist: Das ist kein globaler Schalter für die ganze Firewall. Die Option wirkt nur auf Traffic, der tatsächlich durch diese Firewall Regel läuft. Wenn eine allgemeinere Allow-Regel oberhalb bereits matched, muss QUIC dort blockiert oder die Regelreihenfolge korrigiert werden.

Menüpfad:

Rules and policies > Firewall rules

Vorgehen:

1. Betroffene Client-Internetregel öffnen.
2. Zum Bereich Security features > Web filtering gehen.
3. Log firewall traffic aktivieren, damit Tests im Log Viewer sichtbar werden.
4. Web Policy oder Malware-Scanning prüfen.
5. Block QUIC protocol aktiviert lassen oder bewusst aktivieren.
6. Scan HTTP and decrypted HTTPS nur aktivieren, wenn auch klar ist, wie HTTPS entschlüsselt wird.
7. Bei DPI Mode prüfen, dass Use web proxy instead of DPI engine nicht versehentlich aktiv ist.
8. Bei Web Proxy Mode prüfen, ob Decrypt HTTPS during web proxy filtering und die CA-Verteilung zum Ziel passen.
9. Regel speichern.
10. Testclient prüfen und Log Viewer kontrollieren.

In aktuellen SFOS-Versionen ist Block QUIC protocol direkt in der Firewall-Regel sichtbar. Die Option wird standardmässig aktiviert, wenn in einer Regel eine Web Policy ausgewählt oder HTTP und entschlüsseltes HTTPS gescannt wird. Trotzdem sollte man die Einstellung bei wichtigen Internetregeln bewusst kontrollieren, besonders nach Migrationen, alten Regelsets, kopierten Regeln oder automatisch neu sortierten Regelwerken.

Mehr zu den einzelnen Optionen einer Firewall Regel steht in Sophos Firewall-Regeln verstehen und richtig konfigurieren.

QUIC nicht nur per Browser deaktivieren

Früher war es üblich, QUIC direkt im Browser oder über Chrome Flags zu deaktivieren. Das kann für Tests helfen, ist aber kein belastbares Sicherheitskonzept:

• Browser-Einstellungen ändern sich.
• Nicht nur Chrome kann QUIC oder HTTP/3 verwenden.
• Benutzer oder Updates können Einstellungen zurücksetzen.
• BYOD-, Gast- und unmanaged Geräte lassen sich damit kaum kontrollieren.
• Security Policies sollten zentral auf der Firewall nachvollziehbar sein.

Für produktive Umgebungen ist die Firewall-Regel der bessere Ort. Browser-seitige Tests können ergänzend nützlich sein, wenn man einen Fehler eingrenzen möchte.

Alternative: Application Control oder UDP-Regel

Neben Block QUIC protocol gibt es weitere Möglichkeiten, QUIC-Traffic einzuschränken.

• Block QUIC protocol in der Firewall Regel: Standardfall für Webfiltering und Scanning. Grenze: Die Einstellung greift nur für Traffic, der diese Regel matched.
• Application Control: Ergänzende Kontrolle über App-Erkennung. Das ist hilfreich, wenn QUIC zusätzlich sichtbar oder als Anwendung blockiert werden soll. Grenze: Es braucht eine passende Application-Control-Policy in der passenden Firewall Regel.
• Eigene Drop-Regel für UDP 80/443: Sehr klare technische Blockade. Grenze: Die Regel muss richtig positioniert und auf Client-Netze begrenzt werden.
• Browser-Konfiguration: Nützlich für Kurztests oder verwaltete Spezialumgebungen. Grenze: Nicht robust genug als alleinige Firewall-Policy.

Wenn eine eigene Drop-Regel verwendet wird, sollte sie oberhalb allgemeiner Client-Internetregeln stehen und sauber geloggt werden. Sonst ist später nicht erkennbar, ob QUIC bewusst blockiert wurde oder ob der Traffic an einer anderen Stelle hängen bleibt.

Application Control kann QUIC zusätzlich sichtbar machen, ist aber kein Freipass für ungeprüften Webtraffic. Einige Web-Micro-Apps lassen sich zuverlässiger erkennen, wenn die Firewall den URL-Kontext aus entschlüsseltem Traffic auswerten kann. Wenn TLS Inspection nicht aktiv ist oder der Traffic wegen QUIC nicht im erwarteten Pfad landet, sollte man die Application-Control-Logs immer zusammen mit Firewall-, Web- und SSL/TLS-Inspection-Logs lesen.

Zusammenhang mit TLS Inspection

Block QUIC protocol ist kein Ersatz für TLS Inspection. Die Einstellung sorgt nur dafür, dass Browser bei passendem Traffic nicht über QUIC weiterkommunizieren, sondern normalerweise auf HTTPS über TCP zurückfallen.

Erst danach stellt sich die eigentliche TLS-Frage:

• Gibt es eine passende SSL/TLS Inspection Rule?
• Ist das CA-Zertifikat auf den Clients verteilt?
• Wird der Traffic entschlüsselt oder bewusst nicht entschlüsselt?
• Ist Scan HTTP and decrypted HTTPS in der Firewall Regel aktiv?
• Gibt es Ausnahmen für Anwendungen mit Certificate Pinning?

Wenn HTTPS-Inhalte geprüft werden sollen, braucht es einen geplanten TLS-Rollout. Die Details stehen in Sophos Firewall TLS Inspection richtig einführen.

Wichtig ist die Betriebsart der Regel. Im DPI Mode greifen SSL/TLS Inspection Rules unter Rules and policies > SSL/TLS inspection rules. Im Web Proxy Mode wird HTTPS-Decryption über die Web-Proxy-Einstellungen und die Option Decrypt HTTPS during web proxy filtering gesteuert. Wenn man diese beiden Modelle vermischt, sieht QUIC schnell wie das Hauptproblem aus, obwohl eigentlich die Inspection-Architektur unklar ist.

Test und Validierung

Nach einer Änderung sollte man prüfen, ob der Client wirklich auf HTTPS über TCP zurückfällt und ob die erwartete Firewall Regel matched.

Praktischer Testablauf:

1. Usage Counter der betroffenen Firewall Regel zurücksetzen.
2. Browser auf dem Testclient vollständig neu starten, damit bestehende Verbindungen und HTTP/3-Zustände nicht den Test verfälschen.
3. Eine Webseite öffnen, die vorher QUIC genutzt hat.
4. Im Log Viewer nach Source IP, Rule ID, Protokoll und Destination Port filtern.
5. Prüfen, ob UDP 443 blockiert oder nicht mehr genutzt wird.
6. Prüfen, ob HTTPS über TCP 443 in der erwarteten Regel erscheint.
7. Falls Webfilter oder TLS Inspection aktiv ist, die entsprechenden Log-Module prüfen.
8. Bei Unklarheit Packet Capture auf dem Client- oder Firewall-Interface verwenden.

Für Regeltests passt die Anleitung Sophos Firewall Regel testen mit Log Viewer und Packet Capture.

Typische Fehler

• QUIC-Block nur in einer alten oder falschen Regel aktiviert: Der aktuelle Client-Traffic läuft über eine andere Regel.
• Regel steht unterhalb einer allgemeineren Allow-Regel: QUIC wird vorher erlaubt.
• Logging ist deaktiviert: Im Log Viewer ist nicht sichtbar, was passiert.
• Bestehende Browser-Session wird weiterverwendet: Browser neu starten oder Testprofil verwenden, bevor man Logs bewertet.
• Nur Chrome lokal angepasst: Andere Browser oder Geräte nutzen QUIC weiterhin.
• TLS Inspection wird erwartet, aber nicht konfiguriert: HTTPS-Inhalte werden trotz QUIC-Block nicht entschlüsselt.
• Scan HTTP and decrypted HTTPS wird falsch verstanden: Die Option scannt nur bereits entschlüsseltes HTTPS.
• DPI Mode und Web Proxy Mode werden vermischt: Die gesuchte Einstellung liegt dann möglicherweise an einer anderen Stelle.
• UDP 443 wird global blockiert: Spezialanwendungen können unerwartet betroffen sein.

Troubleshooting

Wenn Webfiltering oder Scanning nicht wie erwartet greift, sollte man diese Reihenfolge prüfen:

1. Welche Firewall Regel matched der Client-Traffic wirklich?
2. Ist Block QUIC protocol in genau dieser Regel aktiv?
3. Nutzt der Client UDP 443 oder TCP 443?
4. Ist Log firewall traffic aktiviert?
5. Greift eine spezifischere Regel oberhalb?
6. Gibt es eine Application-Control-Policy, die QUIC anders behandelt?
7. Ist eine SSL/TLS Inspection Rule vorhanden, wenn HTTPS-Inhalte geprüft werden sollen?
8. Wird DPI Mode oder Web Proxy Mode verwendet?
9. Zeigt Packet Capture ausgehende UDP 443 Pakete trotz erwarteter Blockade?

Wenn die Regel nicht matched, ist nicht QUIC das Hauptproblem, sondern Regelreihenfolge, Source Zone, Source Network, Destination, Service oder Exclusion. Dafür hilft Firewall-Regel greift nicht: Ursachen prüfen.

Betriebscheckliste

• Betroffene Client-Internetregel eindeutig identifiziert.
• Web Policy, Malware Scan oder TLS Inspection in genau dieser Regel geprüft.
• Block QUIC protocol bewusst aktiviert oder begründet deaktiviert.
• DPI Mode oder Web Proxy Mode bewusst entschieden.
• Regelreihenfolge und allgemeinere Allow-Regeln geprüft.
• Log firewall traffic aktiv.
• Test mit Browser und echter Zielseite durchgeführt.
• Log Viewer auf UDP 443, TCP 443, Rule ID und Web-Events geprüft.
• Bei TLS Inspection zusätzlich SSL/TLS-inspection-Logs kontrolliert.
• Ausnahmen oder eigene UDP-Regeln dokumentiert.
• Helpdesk weiss, dass Webseiten nach QUIC-Block normalerweise weiter funktionieren sollten.

Häufige Fragen