Een Sophos Firewall-bypassregel veilig gebruiken

bypass-stateful-firewall-config sluit hosts of netwerken uit van de normale firewallinspectie. Het is geen gewone Allow-regel: het gepubliceerde SFOS 22-voorbeeld gebruikt afzonderlijke bron- en bestemmingsvermeldingen, en de gedocumenteerde syntaxis kan deze niet tot een service of poort beperken. Een hostvermelding heeft dus een ruimer bereik dan het woord “regel” suggereert.

De veilige aanpak: sla de huidige status op, voeg voor de test zo nauw mogelijke dest_host- en source_host-vermeldingen toe, controleer met Packet capture en verwijder beide onmiddellijk met del. De selectors werken onafhankelijk: dest_host omvat verkeer naar de bestemmingshost en source_host verkeer vanaf de bronhost. Samen vormen ze geen bron-bestemmingspaar.

⚠️ De bypass vermindert controle en zichtbaarheid voor overeenkomend verkeer. Gebruik deze alleen in een beperkt onderhoudsvenster met een voorbereide rollback. Gebruik voor permanente toegang een normale firewallregel of gerichte policy-uitzondering.

Welk type bypass hier wordt behandeld

Dit artikel behandelt uitsluitend bypass-stateful-firewall-config in Device Console.

• Stateful firewall bypass: sluit een host of netwerk uit van firewallinspectie.
• DoS bypass rule: uitzondering onder Protect > Intrusion prevention > DoS & spoof protection. Deze kan ook worden beperkt op IP-versie, bron, bestemming, protocol en poorten en is niet dezelfde functie.
• IPS Bypass session: actie binnen een IPS-regel.
• FastPath / Firewall acceleration: versnelt bekend, vertrouwd verkeer. Dit is geen handmatige stateful firewall-bypass.
• LAN bypass / fail-to-wire: hardwarefunctie op ondersteunde appliances die bij stroom- of hardwareuitval een bypass-poortpaar zonder inspectie verbindt.
• Normale uitzondering: gerichte wijziging van een firewall-, NAT-, web-, TLS-, IPS- of Application Control-policy.

Controleer eerst gerichte opties

Een bypass beantwoordt slechts één diagnosevraag: werkt de flow wanneer firewallinspectie wordt overgeslagen? De verantwoordelijke module of configuratie wordt er niet mee vastgesteld.

• Firewallregel matcht niet: controleer volgorde, zones, bron, bestemming en service.
• IPS blokkeert: controleer policy, signature en mogelijke uitzondering.
• TLS Inspection stoort: pas SSL/TLS Inspection Rule of TLS Exclusion gericht aan.
• Webfilter blokkeert: controleer Web Policy, categorie, URL Group of Web Exception.
• Application Control classificeert verkeerd: controleer policy en gedetecteerde applicatie.
• NAT of routing lijkt fout: vergelijk NAT Rule ID, Firewall Rule ID, retourroute en Packet capture.

Voor een permanente verbinding blijft een normale Sophos Firewall-regel met logging en benodigde beveiligingsfuncties de juiste oplossing.

Vereisten en wijzigingskader

Leg vóór add het volgende vast:

• testvraag en bron, bestemming, protocol en poort van de testflow;
• de nauwst mogelijke hosts of netwerken, niet volledige client-, server- of VPN-bereiken;
• ticket, eigenaar, onderhoudsvenster en afbreekcriterium;
• uitvoer van show advanced-firewall vóór de wijziging;
• een exacte del-opdracht voor elke geplande add-opdracht;
• bewijs uit Packet capture of het log van het doelsysteem;
• een controletest na de rollback.

Leg bij NAT of asymmetrische routing eerst de heen- en retourroute vast. Een bypass kan een routing-, NAT- of policyprobleem verbergen; hij lost het niet op.

Werken in Device Console

Maak via SSH verbinding als admin en open 4. Device Console. Sta SSH alleen toe vanuit een vertrouwd beheernetwerk. Zie Via SSH verbinding maken met Sophos Firewall.

Toon eerst de status en sla deze op in het ticket:

show advanced-firewall

De uitvoer bevat andere globale instellingen. Wijzig die niet tijdens deze taak; Advanced Firewall Settings veilig controleren licht ze toe.

Device Console biedt contextuele hulp. Gebruik na een gedeeltelijke opdracht Tab of ? in plaats van parameters te raden. De SFOS 22-help waarschuwt expliciet voor het uitvoeren van onvolledige opdrachten.

Hostvermeldingen voor de test toevoegen

Het voorbeeld gebruikt gereserveerde documentatieadressen:

• Bronhost: 198.51.100.10
• Bestemmingshost: 192.0.2.20

Vervang deze door de twee werkelijke eindpunten. Voeg voor de volledige outbound bypass die Sophos beschrijft afzonderlijke bestemmings- en bronvermeldingen toe:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Controleer onmiddellijk:

show advanced-firewall

Deze regels volgen het gepubliceerde SFOS 22-voorbeeld. Ze vormen geen regel die alleen 198.51.100.10 met 192.0.2.20 verbindt: de eerste vermelding omvat verkeer van elke bron naar 192.0.2.20, de tweede verkeer van 198.51.100.10 naar elke bestemming. De gedocumenteerde syntaxis bevat evenmin een service- of poortparameter. Genereer tijdens het onderhoudsvenster alleen het bedoelde verkeer, voorkom waar mogelijk andere toegang tot beide hosts en kies geen hosts die ruimer zijn blootgesteld dan nodig.

Wanneer een netwerkvermelding verantwoord is

SFOS 22 ondersteunt ook dest_network en source_network. Een netwerkvermelding breidt de bypass echter uit naar alle overeenkomende hosts. Gebruik deze alleen als dezelfde nauw omschreven fout aantoonbaar meerdere systemen treft.

Sophos noemt geen limiet voor het aantal bypasshosts of -netwerken. Dat is technische capaciteit, geen operationeel advies: veel vermeldingen zijn moeilijk te controleren en wijzen erop dat de oorzaak moet worden opgelost in plaats van de bypasslijst uit te breiden.

De openbare SFOS 22-pagina geeft geen compleet uitvoerbaar netwerkvoorbeeld. Controleer de exacte netwerk- en netmaskersyntaxis op de geïnstalleerde release met Tab of ? in plaats van een ouder voorbeeld te kopiëren. Reproduceer eerst met een host; lukt dat niet, stem de netwerkbypass dan af met Sophos Support.

Het effect controleren

Controleer niet alleen of de applicatie werkt, maar ook of de wijziging binnen het geplande bereik blijft:

1. show advanced-firewall toont de nieuwe bron- en bestemmingsvermeldingen met de geplande selectors en waarden; bestaande vermeldingen blijven ongewijzigd.
2. Filter onder Diagnostics > Packet capture op beide hosts en de verwachte poort.
3. Voer een duidelijk gedateerde test uit en inspecteer heen- en retourpakketten.
4. Controleer tijdens het venster op ander verkeer naar de bestemmingshost of vanaf de bronhost; ook dat valt onder de bijbehorende bypassvermelding.
5. Controleer bij asymmetrische routing of de retourroute echt deze firewall passeert.
6. Ga ongeacht het resultaat direct over tot rollback.

Packet capture toont interfaces, bron, bestemming, poorten, NAT ID, Rule ID en verwerkingsstatus. Ontbreekt één richting, controleer dan eerst routing, NAT en het capturefilter. Alleen ontbrekende Log Viewer-vermeldingen ondersteunen tijdens een bypass geen betrouwbare conclusie.

De bypass volledig verwijderen

Bereid de verwijderopdrachten vóór de test voor. Ze moeten exact dezelfde selectors en waarden gebruiken als de bijbehorende add-opdrachten:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Controleer daarna:

show advanced-firewall

Succes betekent dat beide testvermeldingen weg zijn, oudere gedocumenteerde vermeldingen ongewijzigd zijn en een controletest zonder tijdelijke bypass werkt. Blijft een vermelding staan, vergelijk dan selector (dest_host of source_host) en IP-adres met de uitvoer; probeer geen ruimere verwijdering.

De werkelijke oorzaak oplossen

Een geslaagde bypass-test toont alleen dat firewallinspectie betrokken was. Bepaal vervolgens de oorzaak:

• firewallregel: volgorde, zones, bron, bestemming, service en gebruikerstoewijzing;
• IPS, Web Protection of Application Control: gedetecteerde signature, categorie, applicatie en policy;
• TLS Inspection: overeenkomende regel, certificaatvertrouwen en nauw afgebakende exclusion;
• NAT en routing: NAT Rule ID, route precedence, SD-WAN-besluit en retourroute.

De permanente oplossing moet zonder stateful firewall-bypass werken en zichtbaarheid en controle herstellen. Tijdelijke diagnostiek mag niet ongemerkt productiearchitectuur worden.

Documentatie en veelgemaakte fouten

Noteer minimaal start- en eindtijd, beheerder, reden, beide hosts of netwerken, applicatie en service, alle add- en del-opdrachten, capturetijd, resultaat en vervolgtaak in het ticket.

Veelgemaakte fouten:

• aannemen dat beide hostvermeldingen samen een bron-bestemmingspaar vormen, of onbevestigde netmaskerparameters kopiëren;
• slechts één van de twee geplande hostvermeldingen toevoegen of verwijderen;
• een volledig netwerk gebruiken wanneer twee hosts volstaan;
• alleen Log Viewer gebruiken in plaats van Packet capture als bewijs;
• deze bypass verwarren met DoS bypass rule, FastPath of LAN bypass;
• na de test geen normale regel-, policy-, NAT- of routingoplossing implementeren.

Veelgestelde vragen