Een Sophos Firewall-bypassregel veilig gebruiken

bypass-stateful-firewall-config sluit hosts of netwerken uit van de normale firewallinspectie. Het is geen gewone Allow-regel: het gepubliceerde SFOS 22-voorbeeld gebruikt afzonderlijke bron- en bestemmingsvermeldingen, en de gedocumenteerde syntaxis kan deze niet tot een service of poort beperken. Een hostvermelding heeft dus een ruimer bereik dan het woord “regel” suggereert.

De veilige aanpak in het kort: sla de huidige status op, vergelijk elke geplande dest_host- en source_host-vermelding met de baseline en ga alleen verder als beide selector/adres-combinaties aantoonbaar ontbreken. Stop de test bij een bestaande of onduidelijke vermelding; voeg deze niet opnieuw toe en verwijder deze niet. Voeg alleen dan zo nauw mogelijk afgebakende testvermeldingen toe, controleer het effect met Packet Capture en verwijder onmiddellijk uitsluitend de aantoonbaar nieuw toegevoegde vermeldingen met del. De selectors werken onafhankelijk: dest_host omvat verkeer naar de bestemmingshost en source_host verkeer vanaf de bronhost. Samen vormen ze geen bron-bestemmingspaar.

⚠️ De bypass vermindert controle en zichtbaarheid voor overeenkomend verkeer. Gebruik deze alleen in een beperkt onderhoudsvenster met een voorbereide rollback. Gebruik voor permanente toegang een normale firewallregel of gerichte policy-uitzondering.

Welk type bypass hier wordt behandeld

Dit artikel behandelt uitsluitend bypass-stateful-firewall-config in Device Console.

• Stateful firewall bypass: sluit een host of netwerk uit van firewallinspectie.
• DoS bypass rule: uitzondering onder Protect > Intrusion prevention > DoS & spoof protection. Deze kan ook worden beperkt op IP-versie, bron, bestemming, protocol en poorten en is niet dezelfde functie.
• IPS Bypass session: actie binnen een IPS-regel.
• FastPath / Firewall acceleration: versnelt bekend, vertrouwd verkeer. Dit is geen handmatige stateful firewall-bypass.
• LAN bypass / fail-to-wire: hardwarefunctie op ondersteunde appliances die bij stroom- of hardwareuitval een bypass-poortpaar zonder inspectie verbindt.
• Normale uitzondering: gerichte wijziging van een firewall-, NAT-, web-, TLS-, IPS- of Application Control-policy.

Controleer eerst gerichte opties

Een bypass beantwoordt slechts één diagnosevraag: werkt de flow wanneer firewallinspectie wordt overgeslagen? De verantwoordelijke module of configuratie wordt er niet mee vastgesteld.

• Firewallregel matcht niet: controleer volgorde, zones, bron, bestemming en service.
• IPS blokkeert: controleer policy, signature en mogelijke uitzondering.
• TLS Inspection stoort: pas SSL/TLS Inspection Rule of TLS Exclusion gericht aan.
• Webfilter blokkeert: controleer Web Policy, categorie, URL Group of Web Exception.
• Application Control classificeert verkeerd: controleer policy en gedetecteerde applicatie.
• NAT of routing lijkt fout: vergelijk NAT Rule ID, Firewall Rule ID, retourroute en Packet capture.

Voor een permanente verbinding blijft een normale Sophos Firewall-regel met logging en benodigde beveiligingsfuncties de juiste oplossing.

Vereisten en wijzigingskader

Leg vóór add het volgende vast:

• testvraag en bron, bestemming, protocol en poort van de testflow;
• de nauwst mogelijke hosts of netwerken, niet volledige client-, server- of VPN-bereiken;
• ticket, eigenaar, onderhoudsvenster en afbreekcriterium;
• uitvoer van show advanced-firewall vóór de wijziging;
• een exacte del-opdracht voor elke geplande add-opdracht;
• bewijs uit Packet capture of het log van het doelsysteem;
• een controletest na de rollback.

Leg bij NAT of asymmetrische routing eerst de heen- en retourroute vast. Een bypass kan een routing-, NAT- of policyprobleem verbergen; hij lost het niet op.

Werken in Device Console

Maak via SSH verbinding als admin en open 4. Device Console. Sta SSH alleen toe vanuit een vertrouwd beheernetwerk. Zie Via SSH verbinding maken met Sophos Firewall.

Toon eerst de status en sla deze op in het ticket:

show advanced-firewall

De uitvoer bevat andere globale instellingen. Wijzig die niet tijdens deze taak; Advanced Firewall Settings veilig controleren licht ze toe.

Device Console biedt contextuele hulp. Gebruik na een gedeeltelijke opdracht Tab of ? in plaats van parameters te raden. De SFOS 22-help waarschuwt expliciet voor het uitvoeren van onvolledige opdrachten.

Hostvermeldingen voor de test toevoegen

Het voorbeeld gebruikt gereserveerde documentatieadressen:

• Bronhost: 198.51.100.10
• Bestemmingshost: 192.0.2.20

Vervang de waarden door de twee werkelijke eindpunten van de testflow. Vergelijk vóór add elke geplande selector en elk adres met de opgeslagen baseline. Voer dit voorbeeld alleen uit als beide exacte vermeldingen aantoonbaar ontbreken. Stop de test als een van de vermeldingen al bestaat of als de huidige configuratie onduidelijk is: voeg de vermelding niet opnieuw toe en verwijder deze ook niet bij de rollback. Kies een ander geautoriseerd testbereik of bespreek de bestaande bypass met de verantwoordelijke persoon of Sophos Support. Een reeds actieve bypass is niet geschikt voor een zuivere vergelijking vóór en na de wijziging. Voor de volledige outbound bypass die Sophos beschrijft, worden onder deze voorwaarden afzonderlijke bestemmings- en bronvermeldingen toegevoegd:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Controleer onmiddellijk:

show advanced-firewall

Deze regels volgen het gepubliceerde SFOS 22-voorbeeld. Ze vormen geen regel die alleen 198.51.100.10 met 192.0.2.20 verbindt: de eerste vermelding omvat verkeer van elke bron naar 192.0.2.20, de tweede verkeer van 198.51.100.10 naar elke bestemming. De gedocumenteerde syntaxis bevat evenmin een service- of poortparameter. Genereer tijdens het onderhoudsvenster alleen het bedoelde verkeer, voorkom waar mogelijk andere toegang tot beide hosts en kies geen hosts die ruimer zijn blootgesteld dan nodig.

Wanneer een netwerkvermelding verantwoord is

SFOS 22 ondersteunt ook dest_network en source_network. Een netwerkvermelding breidt de bypass echter uit naar alle overeenkomende hosts. Gebruik deze alleen als dezelfde nauw omschreven fout aantoonbaar meerdere systemen treft.

Sophos noemt geen limiet voor het aantal bypasshosts of -netwerken. Dat is technische capaciteit, geen operationeel advies: veel vermeldingen zijn moeilijk te controleren en wijzen erop dat de oorzaak moet worden opgelost in plaats van de bypasslijst uit te breiden.

De openbare SFOS 22-pagina geeft geen compleet uitvoerbaar netwerkvoorbeeld. Controleer de exacte netwerk- en netmaskersyntaxis op de geïnstalleerde release met Tab of ? in plaats van een ouder voorbeeld te kopiëren. Reproduceer eerst met een host; lukt dat niet, stem de netwerkbypass dan af met Sophos Support.

Het effect controleren

Controleer niet alleen of de applicatie werkt, maar ook of de wijziging binnen het geplande bereik blijft:

1. show advanced-firewall toont de nieuwe bron- en bestemmingsvermeldingen met de geplande selectors en waarden; bestaande vermeldingen blijven ongewijzigd.
2. Filter onder Diagnostics > Packet capture op beide hosts en de verwachte poort.
3. Voer een duidelijk gedateerde test uit en inspecteer heen- en retourpakketten.
4. Controleer tijdens het venster op ander verkeer naar de bestemmingshost of vanaf de bronhost; ook dat valt onder de bijbehorende bypassvermelding.
5. Controleer bij asymmetrische routing of de retourroute echt deze firewall passeert.
6. Ga ongeacht het resultaat direct over tot rollback.

Packet capture toont interfaces, bron, bestemming, poorten, NAT ID, Rule ID en verwerkingsstatus. Ontbreekt één richting, controleer dan eerst routing, NAT en het capturefilter. Alleen ontbrekende Log Viewer-vermeldingen ondersteunen tijdens een bypass geen betrouwbare conclusie.

De bypass volledig verwijderen

De verwijderopdrachten moeten al vóór de test klaarstaan. Ze gelden uitsluitend voor vermeldingen die aantoonbaar ontbraken in de baseline en tijdens deze test daadwerkelijk nieuw zijn toegevoegd; leg deze wijzigingen vast in het ticket. Als slechts één van de twee vermeldingen nieuw is toegevoegd, voer dan alleen de bijbehorende del uit. Verwijder geen bestaande vermeldingen of vermeldingen die niet eenduidig aan de test kunnen worden toegeschreven, maar bespreek de status met de verantwoordelijke persoon of Sophos Support. De opdrachten moeten exact dezelfde selectors en waarden gebruiken als de bijbehorende add-opdrachten:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Controleer daarna:

show advanced-firewall

Succes betekent: alle daadwerkelijk nieuw toegevoegde testvermeldingen zijn verdwenen, de bypasslijst komt weer exact overeen met de opgeslagen baseline, oudere gedocumenteerde vermeldingen zijn ongewijzigd en een controletest werkt zonder de tijdelijke bypass. Als een aantoonbaar nieuw toegevoegde vermelding blijft staan, vergelijk dan de ingevoerde selector (dest_host of source_host) en het IP-adres met de uitvoer; vervang dit niet door een ruimere verwijderpoging. Als niet duidelijk is welke vermeldingen bij de test horen of als de huidige configuratie onverwacht afwijkt van de baseline, verwijder dan niets meer en bespreek dit met de verantwoordelijke persoon of Sophos Support.

De werkelijke oorzaak oplossen

Een geslaagde bypass-test toont alleen dat firewallinspectie betrokken was. Bepaal vervolgens de oorzaak:

• firewallregel: volgorde, zones, bron, bestemming, service en gebruikerstoewijzing;
• IPS, Web Protection of Application Control: gedetecteerde signature, categorie, applicatie en policy;
• TLS Inspection: overeenkomende regel, certificaatvertrouwen en nauw afgebakende exclusion;
• NAT en routing: NAT Rule ID, route precedence, SD-WAN-besluit en retourroute.

De permanente oplossing moet zonder stateful firewall-bypass werken en zichtbaarheid en controle herstellen. Tijdelijke diagnostiek mag niet ongemerkt productiearchitectuur worden.

Documentatie en veelgemaakte fouten

Noteer minimaal start- en eindtijd, beheerder, reden, beide hosts of netwerken, applicatie en service, alle add- en del-opdrachten, capturetijd, resultaat en vervolgtaak in het ticket.

Veelgemaakte fouten:

• aannemen dat beide hostvermeldingen samen een bron-bestemmingspaar vormen, of onbevestigde netmaskerparameters kopiëren;
• bij een volledig uitgevoerde test slechts één van de twee aantoonbaar nieuw toegevoegde hostvermeldingen verwijderen, of een reeds bestaande vermelding als testwijziging behandelen;
• een volledig netwerk gebruiken wanneer twee hosts volstaan;
• alleen Log Viewer gebruiken in plaats van Packet capture als bewijs;
• deze bypass verwarren met DoS bypass rule, FastPath of LAN bypass;
• na de test geen normale regel-, policy-, NAT- of routingoplossing implementeren.

Veelgestelde vragen