Sophos Firewall Direct Web Proxy met een PAC-bestand instellen

Met de Direct Web Proxy sturen browsers en applicaties die een proxy ondersteunen hun HTTP- en HTTPS-verbindingen bewust naar de Sophos Firewall. Dit verschilt van de transparante webproxy en de DPI Engine: de client kent het proxydoel en maakt normaal verbinding met TCP-poort 3128.

De Direct Web Proxy is nuttig wanneer webverkeer centraal via een PAC-bestand moet worden gestuurd, per gebruiker moet worden geauthenticeerd of moet worden verwerkt met functies die de webproxy vereisen. Het is echter geen algemene internetroute voor elke applicatie. Alleen verkeer dat de proxyconfiguratie daadwerkelijk gebruikt, volgt deze route.

⚠️ Een client met toegang tot de webproxy kan via deze route lokale HTTP- en HTTPS-services van de firewall bereiken, ook als WebAdmin, User Portal of VPN Portal voor zijn zone niet is ingeschakeld onder Device access. Open de proxy daarom eerst alleen voor één pilotclient en voer voor deze beheerdoelen expliciete negatieve tests uit.

Deze procedure behandelt een beheerde IPv4-pilotclient. Voor IPv6-only-clients legt NAT64 met Direct Web Proxy instellen de afzonderlijke IPv6-regel naar de proxy en IPv4-regel naar het A-only-doel uit.

Direct Web Proxy in tien stappen

1. Leg één beheerde pilotclient, het vaste IP-adres en de benodigde webdoelen vast.
2. Documenteer proxy-FQDN, DNS, listenerpoort en bestaande proxyafhankelijkheden.
3. Controleer onder Web > General settings de Web proxy listening port en de toegestane doelpoorten.
4. Sta onder Administration > Device access de service Web proxy alleen toe voor de pilot en het bedoelde firewalladres.
5. Maak een afzonderlijke gelogde firewallregel met de pilot als bron, WAN als bestemming, TCP-service 3128 en de gewenste Web Policy.
6. Bereid een PAC-bestand voor met bewuste interne DIRECT-doelen en zonder internetfallback die de proxy omzeilt.
7. Distribueer de PAC-URL alleen naar de pilotclient en controleer de proxyconfiguratie die daadwerkelijk is geladen.
8. Test één toegestane en één geblokkeerde HTTP-/HTTPS-aanroep en controleer de verwachte Firewall Rule ID.
9. Test lokale firewallportals, TLS-decryptie, applicaties zonder proxyondersteuning en een proxy-uitval negatief.
10. Voeg pas daarna meer beheerde clients toe en documenteer rollback, eigenaar en beoordelingsdatum.

Direct Web Proxy, transparante proxy of DPI?

De drie begrippen beschrijven verschillende verkeerspaden:

• Direct Web Proxy: De client is expliciet geconfigureerd voor de firewall en de proxypoort. Browser, besturingssysteem of applicatie stuurt het verzoek naar fw01.corp.example:3128.
• Transparante webproxy: De client is niet op de hoogte van de proxy. Als de service voor zijn zone actief is, onderschept de firewall HTTP op poort 80 en HTTPS op poort 443 transparant.
• DPI Engine: De firewall verwerkt gerouteerd verkeer zonder een klassieke webproxy af te dwingen en kan HTTP of TLS op andere poorten inspecteren volgens de firewall- en SSL/TLS inspection-regels.

De optie Use web proxy instead of DPI engine in een firewallregel is geen voorwaarde voor een expliciet geconfigureerde client om de Direct Web Proxy te gebruiken. Het clientpad ontstaat door de proxyconfiguratie. De optie bepaalt of de regel de webproxy in plaats van de DPI Engine gebruikt om normaal webverkeer op de gebruikelijke poorten te filteren.

De volledige moduskeuze, inclusief proxyfuncties, TLS-configuratie en gecontroleerde regelmigratie, staat in DPI Engine of Web Proxy correct kiezen.

Sophos noemt nog steeds afzonderlijke functies waarvoor Proxy Mode nodig is, waaronder SafeSearch, YouTube Restrictions, Google Workspace-domeinbeperkingen, Pharming Protection, Web Cache en een Parent Proxy. Web Protection op Sophos Firewall licht de keuze voor beleid en bescherming toe.

Wanneer Sophos Firewall Web Requests naar een andere proxy-instantie moet sturen, legt een upstream proxy in WAN of LAN/DMZ configureren het afzonderlijke regel-, NAT- en validatiepad uit.

De Direct Web Proxy verandert ook de zichtbaarheid van het verkeer. De client maakt eerst verbinding met de firewall; daarna maakt de firewall de verbinding met het doel. Sophos documenteert daarom twee belangrijke beperkingen:

• Een IPS Policy geldt tussen proxy en WAN, niet tussen gebruiker en proxy.
• Een Traffic Shaping Policy geldt niet voor Direct Proxy-verkeer.

Als een applicatie niet met een expliciete proxy kan werken, mag niet worden verwacht dat een PAC-bestand de verbindingen opvangt. Voor die applicatie blijft een normaal gerouteerd DPI-, firewall- of afzonderlijk proxypad nodig.

Voorbeeld en vervangbare waarden

Het artikel gebruikt een kleine pilot:

• Pilotclient: CLIENT-PROXY-01
• vast client-IP: 10.20.30.50
• clientzone: LAN
• firewall-FQDN en proxydoel: fw01.corp.example
• Direct Web Proxy-poort: 3128
• PAC-URL: https://config.corp.example/proxy.pac
• interne DNS-zone: .corp.example
• firewallregel: LAN_DirectProxy_Pilot
• Web Policy: Web_Standard_Pilot

Vervang 10.20.30.50 door het vaste IP-adres dat de firewall daadwerkelijk als bron van de pilot ziet. DHCP moet hiervoor een reservering leveren. Achter het adres mag geen NAT zitten die andere apparaten verbergt.

fw01.corp.example en config.corp.example zijn documentatienamen. Vervang ze door intern oplosbare FQDN’s waarvoor de juiste certificaten gelden. De proxy-FQDN verwijst naar het bedoelde LAN- of beheeradres van de firewall. De PAC-URL verwijst naar een gecontroleerde interne webserver of een bestaand endpointbeheerpad, niet naar een willekeurige openbare locatie.

Poort 3128 is de standaard voor de Direct Web Proxy. Als een andere Web proxy listening port wordt gebruikt, moeten Device Access, firewallregel, PAC-bestand, browser, SD-WAN Route en tests allemaal dezelfde poort bevatten. De naam van de regel of het beleid kan vrij worden gekozen, maar moet doel, bron en pilotstatus duidelijk maken.

Proxytoegang en beveiligingsregel voorbereiden

Listener en toegestane doelpoorten vastleggen

Controleer de basisinstellingen van de proxy onder Web > General settings > Web proxy configuration:

1. Web proxy listening port: in dit voorbeeld 3128.
2. Allowed destination ports: alleen poorten waarmee clients via de proxy werkelijk verbinding moeten maken.
3. Minimum TLS version: de gezamenlijke minimumversie voor webproxy en Captive Portal; een wijziging heeft gevolgen voor beide functies.

De toegestane doelpoorten zijn niet de listener. De client maakt verbinding met 3128 op de firewall, maar kan via HTTP CONNECT bijvoorbeeld een extern doel op poort 443 aanvragen. Voeg niet-standaard doelpoorten alleen toe na een concrete applicatietest. Een brede poortlijst maakt de proxy onnodig tot een generieke tunnel.

Doorzoek vóór een poortwijziging bestaande PAC-bestanden, GPO’s, browserbeleid, RDS-hosts, SD-WAN Routes en monitoring. De listener is een gedeelde instelling en geen waarde die alleen voor één pilot moet worden gewijzigd.

Device Access tot de pilot beperken

De service Web proxy is standaard ingeschakeld voor LAN en Wi-Fi. Een aanvullende Accept-uitzondering beperkt een al actieve brede zonetoestemming niet. Voor echte pilottoegang moet de brede toestemming daarom uitgeschakeld blijven of eerst gecontroleerd door beperktere uitzonderingen worden vervangen.

Onder Administration > Device access > Local service ACL exception rule > Add:

1. Rule name: Allow_DirectProxy_Pilot
2. Rule position: boven een passende Drop-uitzondering
3. IP version: IPv4
4. Source zone: LAN
5. Source Network / Host: CLIENT-PROXY-01 met 10.20.30.50
6. Destination host: het specifieke firewalladres waarnaar fw01.corp.example verwijst
7. Services: Web proxy
8. Action: Accept

Controleer voordat een brede zonetoestemming wordt uitgeschakeld of andere clients of services de directe of transparante proxy al gebruiken. De handleiding voor Device Access en Local Service ACL legt regelvolgorde, zonematrix en uitzonderingsregels uitgebreid uit.

Web Policy en firewallregel verbinden

Bereid de Web Policy voor onder Web > Policies. Deze bevat de gewenste categorieën, URL Groups, gebruikers- of groepsregels en acties. Voor de pilot moet minstens één bewust toegestaan en één bewust geblokkeerd doel zijn vastgelegd.

Maak vervolgens een afzonderlijke IPv4-regel onder Rules and policies > Firewall rules:

• Rule name: LAN_DirectProxy_Pilot
• Action: Accept
• Log firewall traffic: ingeschakeld
• Source zones: LAN
• Source networks and devices: CLIENT-PROXY-01
• Destination zones: WAN
• Destination networks: Any of een beperkter geplande doelgroep
• Services: afzonderlijke TCP-service voor 3128
• Match known users: alleen inschakelen als het gekozen authenticatiepad al positief is getest
• Web filtering > Web policy: Web_Standard_Pilot
• Block QUIC protocol: inschakelen als webverkeer de proxy-inspectie niet parallel via UDP 443 mag omzeilen; QUIC op Sophos Firewall controleren legt de achtergrond uit
• Scan HTTP and decrypted HTTPS: alleen met de passende licentie en een bewust inspectieontwerp

Volgens Sophos is Any ook mogelijk als service voor Direct Proxy, maar dit is breder dan nodig. Een afzonderlijke TCP-service voor de werkelijke listener maakt de pilot inzichtelijker. Controleer na het selecteren van een Web Policy en andere beveiligingsfuncties de volledige regel opnieuw. De basisprincipes van firewallregels leggen volgorde, logging, gebruikersmatching en beveiligingsvelden uit.

Een Linked NAT is voor deze pilot niet automatisch nodig. Het door de firewall opgebouwde internetpad heeft echter wel een passende WAN-gateway en de voor de omgeving geldige bronvertaling nodig. Routing en NAT worden afzonderlijk gecontroleerd.

PAC-bestand maken en distribueren

Een bewust beperkt PAC-voorbeeld

Een PAC-bestand is JavaScript met de functie FindProxyForURL. Dit voorbeeld laat alleen korte interne namen, de interne DNS-zone en de genoemde privénetwerken rechtstreeks lopen. Alle andere doelen moeten de proxy gebruiken:

function FindProxyForURL(url, host) {
  if (isPlainHostName(host) || dnsDomainIs(host, ".corp.example")) {
    return "DIRECT";
  }

  var isIPv4Literal = /^\d{1,3}(\.\d{1,3}){3}$/.test(host);
  if (isIPv4Literal && (
      isInNet(host, "10.0.0.0", "255.0.0.0") ||
      isInNet(host, "172.16.0.0", "255.240.0.0") ||
      isInNet(host, "192.168.0.0", "255.255.0.0"))) {
    return "DIRECT";
  }

  return "PROXY fw01.corp.example:3128";
}

Pas .corp.example, de privénetwerken en de proxy-FQDN aan de eigen omgeving aan. Niet elk RFC1918-netwerk hoeft intern bereikbaar te zijn. Een lijst met de werkelijk benodigde interne domeinen en netwerken is overzichtelijker.

Het voorbeeld roept bewust geen dnsResolve() aan voor openbare hostnamen. Dergelijke PAC-functies voeren extra DNS-query’s op de client uit en kunnen de verwerking vertragen; externe namen worden hier door de proxy opgelost. Interne namen worden via de domeinregels ingedeeld of, als de aanvraag rechtstreeks een IPv4-adres bevat, via isInNet(). Als een omgeving complexere DNS-afhankelijke uitzonderingen nodig heeft, plan en test die dan afzonderlijk met de gebruikte browsers.

Het voorbeeld bevat bewust geen DIRECT na de proxy-instructie. Een retourwaarde zoals PROXY fw01.corp.example:3128; DIRECT laat internetverkeer rechtstreeks doorgaan als de proxy uitvalt. Dit verhoogt de beschikbaarheid, maar omzeilt dan Web Policy, proxyauthenticatie en proxylogging. Voor een verplicht beveiligingspad raden we deze fail-open-fallback af.

Ook interne DIRECT-uitzonderingen zijn bypasses. Voeg ze alleen toe als het doel werkelijk rechtstreeks bereikbaar moet zijn en er een ander controlepad bestaat. Gevoelige SaaS-domeinen, identityproviders of algemene wildcards horen niet uit voorzorg in de bypasslijst.

PAC-bestand gecontroleerd uitrollen

1. Host het PAC-bestand op een intern HTTPS-endpoint met een vertrouwd certificaat.
2. Zorg dat https://config.corp.example/proxy.pac zonder reeds werkende proxy kan worden opgehaald.
3. Wijs de PAC-URL alleen via GPO, MDM of beheerd browserbeleid aan de pilot toe.
4. Documenteer eerst een bestaande handmatige proxyconfiguratie en andere PAC- of WPAD-instellingen.
5. Start browser en betrokken applicaties volledig opnieuw.
6. Controleer welke PAC-URL daadwerkelijk in het browser- of besturingssysteembeleid is geladen.
7. Blokkeer directe internettoegang buiten het proxypad voor de pilot gecontroleerd of test deze ten minste als bypass.

WPAD-autodetectie is voor deze procedure niet nodig. Een expliciete beheerde PAC-URL is eenvoudiger te herkennen en terug te draaien. SFOS levert in dit ontwerp de listener; distributie, hosting en versiebeheer van het PAC-bestand blijven taken van client- en webserverbeheer.

Direct Web Proxy testen

Listener en toepassing van PAC controleren

Op een Windows-pilotclient zijn deze alleen-lezencontroles nuttig:

Resolve-DnsName fw01.corp.example
Test-NetConnection fw01.corp.example -Port 3128

DNS moet het bedoelde firewalladres teruggeven en de TCP-test moet de listener bereiken. Een geslaagde poorttest bewijst nog geen Web Policy, authenticatie, TLS-decryptie of internetverbinding.

Controleer daarna in de browser welk proxy- of PAC-beleid daadwerkelijk wordt toegepast. Een oude lokale instelling, een tweede beheerprofiel of gecachte PAC-inhoud kan de verwachte configuratie overschrijven.

Toegestaan en geblokkeerd verkeer valideren

1. Open een nieuw privévenster in de browser.
2. Open één bewust toegestaan HTTP- of HTTPS-doel.
3. Open één doel dat bewust door Web_Standard_Pilot wordt geblokkeerd.
4. Controleer in Log viewer tijd, bron, gebruiker, Web Policy, actie en Firewall Rule ID.
5. Leg bij HTTPS vast of de verbinding is ontsleuteld of bewust niet is ontsleuteld.
6. Beperk onder Diagnostics > Packet capture indien nodig de capture tot bron 10.20.30.50, proxypoort en doel.
7. Test een applicatie zonder proxyondersteuning en bevestig dat deze niet ten onrechte als proxyverkeer wordt beoordeeld.
8. Wijs de pilotclient tijdelijk een PAC-testkopie met een bewust ongebruikte proxypoort toe en controleer of internetverkeer volgens plan uitvalt in plaats van de proxy te omzeilen. Herstel daarna de productieversie van het PAC-bestand.

Succes betekent niet alleen dat een website wordt geladen. Het verzoek moet de verwachte Rule ID en Web Policy gebruiken, de blokkeertest moet werkelijk blokkeren en een proxy-uitval moet overeenkomen met het gekozen fail-closed-ontwerp.

Negatief testen of beheerservices worden blootgesteld

Test vanaf de pilotclient de bekende HTTP- en HTTPS-adressen van de firewall, vooral:

• WebAdmin
• User Portal
• VPN Portal
• Captive Portal
• andere lokale HTTP-/HTTPS-services op het gebruikte firewalladres

Het doel is niet om een geslaagde aanmelding te forceren. De test bepaalt of de service überhaupt via de proxy bereikbaar wordt. Stop de uitrol als een lokale service zichtbaar is die volgens het beveiligingsontwerp niet is toegestaan. Device Access kan deze intern door de proxy gegenereerde HTTP-/HTTPS-verzoeken niet achteraf per doelportal blokkeren.

Authenticatie, TLS, SD-WAN en HA afzonderlijk behandelen

Gebruikersidentiteit is een afzonderlijke bouwsteen

De Direct Web Proxy kan met of zonder gebruikersidentiteit worden gebruikt. Normale clients kunnen afhankelijk van de omgeving AD SSO, STAS, Captive Portal of een andere ondersteunde methode gebruiken. De proxyconfiguratie alleen authenticeert niemand.

Voor RDS- of andere multi-userhosts waarop meerdere personen hetzelfde bron-IP delen, is Per-Connection AD SSO de passende specialistische procedure. Hierbij wordt elke HTTP-/HTTPS-proxyverbinding afzonderlijk geauthenticeerd; niet-proxyverkeer krijgt deze gebruikersidentiteit niet.

HTTPS-decryptie vereist een vertrouwde CA

Scan HTTP and decrypted HTTPS activeert geen decryptie. In webproxymodus wordt daarnaast Decrypt HTTPS during web proxy filtering gebruikt. De CA die op clients is geïnstalleerd, moet exact overeenkomen met de CA die onder Web > General settings > HTTPS decryption and scanning is geselecteerd.

De veilige uitrol staat beschreven in TLS Inspection correct invoeren. Het Sophos Firewall CA-certificaat distribueren legt de distributie en controle van de re-signing CA uit. Certificate Pinning, eigen truststores en applicaties met afwijkend TLS-gedrag vereisen gerichte tests in plaats van een brede uitzondering.

SD-WAN en HA afzonderlijk testen

Een SD-WAN Route met de services HTTP en HTTPS matcht Direct Proxy-verkeer op 3128 niet. Gebruik de werkelijke proxypoort of bewust Any. Source Network en Incoming Interface matchen reply packets in dit speciale geval niet. Voor het retourpad van de proxy is bovendien minstens één WAN-gateway of een passende statische route nodig. De volledige toelichting staat in SD-WAN Routes instellen en testen.

Beloof in HA geen ononderbroken voortzetting van bestaande proxy- of authenticatiesessies. Maak na een gecontroleerde failover een nieuwe browserverbinding en controleer PAC-bestand, Rule ID, beleid en decryptie opnieuw. Elk node bewaart de logs van het verkeer dat het zelf heeft verwerkt; bij analyse is daarom het node relevant dat het verkeer op het moment van de gebeurtenis verwerkte.

Systematisch problemen oplossen

Proxypoort is niet bereikbaar

Controleer DNS-antwoord, firewalladres, listener, clientzone en Web proxy onder Device Access. Bij een ACL-uitzondering moeten bron, Destination host, service, actie en positie overeenkomen. Een geslaagde ping bewijst de TCP-listener niet; Test-NetConnection is de specifiekere voorcontrole.

Browser gaat rechtstreeks naar internet

Controleer de effectieve PAC-URL, inhoud van het geladen bestand, lokale browseruitzonderingen en extra GPO- of MDM-profielen. Een DIRECT-fallback na PROXY creëert bewust een bypass als de proxy niet bereikbaar is. Applicaties met een eigen netwerkstack kunnen systeemproxyinstellingen eveneens negeren.

Proxy geeft fout 407 of vraagt om aanmeldgegevens

Dit is een authenticatieprobleem, geen listenerfout. Controleer authenticatiemethode, gebruikersdetectie, groepsimport, browserondersteuning en zo nodig FQDN/SPN. Verbreed de regel niet preventief naar Any alleen om de aanmeldvraag te vermijden.

Website laadt, maar de Web Policy wordt niet toegepast

Controleer firewallregel, volgorde, bron, service 3128, geselecteerde Web Policy en Rule ID samen. Een geslaagd proxyverzoek kan een andere of bredere regel hebben gematcht. De gecontroleerde regeltest combineert Policy Test, Log Viewer en Packet Capture.

HTTPS toont certificaatfouten

Controleer of decryptie actief is, welke CA de webproxy gebruikt en of precies die CA in de truststore van de client staat. Als alleen afzonderlijke applicaties uitvallen, onderzoek dan Certificate Pinning, een eigen truststore, de TLS-versie en een zo beperkt mogelijke uitzondering.

Een afzonderlijke applicatie of doelpoort werkt niet

Bepaal eerst of de applicatie een expliciete proxy ondersteunt. Controleer daarna Allowed destination ports, PAC-bypasses, DNS en TLS-gedrag. Voeg een niet-standaard doelpoort alleen voor de concrete applicatie toe en valideer die met een echt verzoek.

SD-WAN Route of WAN-pad is onverwacht

Controleer servicematching met de proxypoort, Rule ID, WAN-gateway, statische route en Route Precedence. Source Network en Incoming Interface zijn geen betrouwbare matchcriteria voor proxy-reply-packets. Wijzig Route Precedence niet globaal als eerste maatregel.

Logs ontbreken of tonen te weinig

Controleer Log firewall traffic in de regel en de lokale, Central- of Syslog-doelen onder System services > Log settings. Voor de webproxy is awarrenhttp.log relevant en voor authenticatie access_server.log. Sophos Firewall-services en logbestanden legt de indeling en veilige logverzameling uit.

Rollback en beheer

Bereid de rollback vóór de pilot voor:

1. Documenteer de vorige proxy-, PAC-, GPO- of MDM-instelling.
2. Geef de pilotregel en Local Service ACL-uitzondering eenduidige namen.
3. Test het vorige directe DPI- of firewallpad als terugvalroute.
4. Verwijder de PAC-toewijzing van de pilotclient of herstel de vorige versie.
5. Start browser en applicaties volledig opnieuw.
6. Schakel de pilotregel uit en test een echte directe webflow via de terugvalroute.
7. Verwijder de pilot-ACL-uitzondering en zet tijdelijke brede Web proxy-zonetoestemmingen terug naar hun vorige staat.
8. Controleer live- en loggegevens en documenteer vanaf welk tijdstip geen proxyverkeer meer wordt verwacht.

In bedrijf heeft het PAC-bestand een versiegeschiedenis, eigenaar en beoordelingsdatum. Elke nieuwe DIRECT-uitzondering is een beleidsuitzondering en moet net als een firewall- of webuitzondering worden gemotiveerd, getest en later opnieuw beoordeeld. Ook listener, toegestane doelpoorten en brede zonetoestemmingen horen in de periodieke beoordeling.

Checklist

• Direct Proxy is het passende model voor de betrokken browsers en applicaties.
• De IPv4-pilotclient en het vaste bron-IP zijn gedocumenteerd.
• Proxy-FQDN, PAC-URL en certificaten worden correct opgelost.
• Listener en toegestane doelpoorten zijn zo beperkt mogelijk.
• De brede webproxy-zonetoestemming is gecontroleerd en waar nodig vervangen.
• De Local Service ACL-uitzondering beperkt bron en firewall-doeladres.
• De firewallregel gebruikt de proxypoort, logging en de verwachte Web Policy.
• Het PAC-bestand bevat alleen gemotiveerde interne DIRECT-uitzonderingen.
• Er is niet ongemerkt een internetfallback actief die de proxy omzeilt.
• Echt toegestaan en geblokkeerd verkeer matcht de verwachte Rule ID.
• Lokale HTTP-/HTTPS-services van de firewall zijn negatief getest.
• Authenticatie, TLS-decryptie, QUIC en niet-proxyapplicaties zijn afzonderlijk beoordeeld.
• SD-WAN- en HA-gedrag is getest als deze functies worden gebruikt.
• Rollback, eigenaar, versiebeheer en beoordelingsdatum zijn gedocumenteerd.

Veelgestelde vragen