Sophos Firewall Direct Web Proxy met een PAC-bestand instellen

Met de Direct Web Proxy sturen browsers en applicaties die een proxy ondersteunen hun HTTP- en HTTPS-verbindingen bewust naar de Sophos Firewall. Dit verschilt van de transparante webproxy en de DPI Engine: de client kent het proxydoel en maakt normaal verbinding met TCP-poort 3128.

De Direct Web Proxy is nuttig wanneer webverkeer centraal via een PAC-bestand moet worden gestuurd, per gebruiker moet worden geauthenticeerd of moet worden verwerkt met functies die de webproxy vereisen. Het is echter geen algemene internetroute voor elke applicatie. Alleen verkeer dat de proxyconfiguratie daadwerkelijk gebruikt, volgt deze route.

⚠️ Een client met toegang tot de webproxy kan via deze route lokale HTTP- en HTTPS-services van de firewall bereiken, ook als WebAdmin, User Portal of VPN Portal voor zijn zone niet is ingeschakeld onder Device access. Open de proxy daarom eerst alleen voor één pilotclient en voer voor deze beheerdoelen expliciete negatieve tests uit.

Deze procedure behandelt een beheerde IPv4-pilotclient. Voor IPv6-only-clients legt NAT64 met Direct Web Proxy instellen de afzonderlijke IPv6-regel naar de proxy en IPv4-regel naar het A-only-doel uit.

Direct Web Proxy in tien stappen

1. Leg één beheerde pilotclient, het vaste IP-adres en de benodigde webdoelen vast.
2. Documenteer proxy-FQDN, DNS, listenerpoort en bestaande proxyafhankelijkheden.
3. Controleer onder Web > General settings de Web proxy listening port en de toegestane doelpoorten.
4. Sta onder Administration > Device access de service Web proxy alleen toe voor de pilot en het bedoelde firewalladres.
5. Maak een afzonderlijke gelogde firewallregel met de pilot als bron, WAN als bestemming, TCP-service 3128 en de gewenste Web Policy.
6. Bereid een PAC-bestand voor met bewuste interne DIRECT-doelen en zonder internetfallback die de proxy omzeilt.
7. Distribueer de PAC-URL alleen naar de pilotclient en controleer de proxyconfiguratie die daadwerkelijk is geladen.
8. Test één toegestane en één geblokkeerde HTTP-/HTTPS-aanroep en controleer de verwachte Firewall Rule ID.
9. Test lokale firewallportals, TLS-decryptie, applicaties zonder proxyondersteuning en een proxy-uitval negatief.
10. Voeg pas daarna meer beheerde clients toe en documenteer rollback, eigenaar en beoordelingsdatum.

Direct Web Proxy, transparante proxy of DPI?

De drie begrippen beschrijven verschillende verkeerspaden:

• Direct Web Proxy: De client is expliciet geconfigureerd voor de firewall en de proxypoort. Browser, besturingssysteem of applicatie stuurt het verzoek naar fw01.corp.example:3128.
• Transparante webproxy: De client is niet op de hoogte van de proxy. Als de service voor zijn zone actief is, onderschept de firewall HTTP op poort 80 en HTTPS op poort 443 transparant.
• DPI Engine: De firewall verwerkt gerouteerd verkeer zonder een klassieke webproxy af te dwingen en kan HTTP of TLS op andere poorten inspecteren volgens de firewall- en SSL/TLS inspection-regels.

De optie Use web proxy instead of DPI engine in een firewallregel is geen voorwaarde voor een expliciet geconfigureerde client om de Direct Web Proxy te gebruiken. Het clientpad ontstaat door de proxyconfiguratie. De optie bepaalt of de regel de webproxy in plaats van de DPI Engine gebruikt om normaal webverkeer op de gebruikelijke poorten te filteren.

De volledige moduskeuze, inclusief proxyfuncties, TLS-configuratie en gecontroleerde regelmigratie, staat in DPI Engine of Web Proxy correct kiezen.

Sophos noemt nog steeds afzonderlijke functies waarvoor Proxy Mode nodig is, waaronder SafeSearch, YouTube Restrictions, Google Workspace-domeinbeperkingen, Pharming Protection, Web Cache en een Parent Proxy. Web Protection op Sophos Firewall licht de keuze voor beleid en bescherming toe.

Wanneer Sophos Firewall Web Requests naar een andere proxy-instantie moet sturen, legt een upstream proxy in WAN of LAN/DMZ configureren het afzonderlijke regel-, NAT- en validatiepad uit.

De Direct Web Proxy verandert ook de zichtbaarheid van het verkeer. De client maakt eerst verbinding met de firewall; daarna maakt de firewall de verbinding met het doel. Sophos documenteert daarom twee belangrijke beperkingen:

• Een IPS Policy geldt tussen proxy en WAN, niet tussen gebruiker en proxy.
• Een Traffic Shaping Policy geldt niet voor Direct Proxy-verkeer.

Als een applicatie niet met een expliciete proxy kan werken, mag niet worden verwacht dat een PAC-bestand de verbindingen opvangt. Voor die applicatie blijft een normaal gerouteerd DPI-, firewall- of afzonderlijk proxypad nodig.

Voorbeeld en vervangbare waarden

Het artikel gebruikt een kleine pilot:

• Pilotclient: CLIENT-PROXY-01
• vast client-IP: 10.20.30.50
• clientzone: LAN
• firewall-FQDN en proxydoel: fw01.corp.example
• Direct Web Proxy-poort: 3128
• PAC-URL: https://config.corp.example/proxy.pac
• interne DNS-zone: .corp.example
• firewallregel: LAN_DirectProxy_Pilot
• Web Policy: Web_Standard_Pilot

Vervang 10.20.30.50 door het vaste IP-adres dat de firewall daadwerkelijk als bron van de pilot ziet. DHCP moet hiervoor een reservering leveren. Achter het adres mag geen NAT zitten die andere apparaten verbergt.

fw01.corp.example en config.corp.example zijn documentatienamen. Vervang ze door intern oplosbare FQDN’s waarvoor de juiste certificaten gelden. De proxy-FQDN verwijst naar het bedoelde LAN- of beheeradres van de firewall. De PAC-URL verwijst naar een gecontroleerde interne webserver of een bestaand endpointbeheerpad, niet naar een willekeurige openbare locatie.

Poort 3128 is de standaard voor de Direct Web Proxy. Als een andere Web proxy listening port wordt gebruikt, moeten Device Access, firewallregel, PAC-bestand, browser, SD-WAN Route en tests allemaal dezelfde poort bevatten. De naam van de regel of het beleid kan vrij worden gekozen, maar moet doel, bron en pilotstatus duidelijk maken.

Proxytoegang en beveiligingsregel voorbereiden

Listener en toegestane doelpoorten vastleggen

Controleer de basisinstellingen van de proxy onder Web > General settings > Web proxy configuration:

1. Web proxy listening port: in dit voorbeeld 3128.
2. Allowed destination ports: alleen poorten waarmee clients via de proxy werkelijk verbinding moeten maken.
3. Minimum TLS version: de gezamenlijke minimumversie voor webproxy en Captive Portal; een wijziging heeft gevolgen voor beide functies.

De toegestane doelpoorten zijn niet de listener. De client maakt verbinding met 3128 op de firewall, maar kan via HTTP CONNECT bijvoorbeeld een extern doel op poort 443 aanvragen. Voeg niet-standaard doelpoorten alleen toe na een concrete applicatietest. Een brede poortlijst maakt de proxy onnodig tot een generieke tunnel.

Doorzoek vóór een poortwijziging bestaande PAC-bestanden, GPO’s, browserbeleid, RDS-hosts, SD-WAN Routes en monitoring. De listener is een gedeelde instelling en geen waarde die alleen voor één pilot moet worden gewijzigd.

De Device Console kan de minimale TLS-versies voor Web Proxy en Captive Portal afzonderlijk behandelen en bevat verdere globale waarden voor time-outs, Via-headers, proxylussen en URL-categorisatie. HTTP-proxy-instellingen veilig controleren beschrijft de gedocumenteerde baseline, een gecontroleerde wijzigingstest en rollback zonder configuratie met globale tuning te vermengen.

Afzonderlijk beslissen over webcontentcaching

Onder Web > General settings > Web content caching bewaart Enable web content cache een kopie van recent bezochte content om bandbreedte te besparen en de prestaties te verbeteren. SFOS past deze instelling alleen toe met de webproxy; ze voegt geen cache toe aan een DPI-pad.

Laat de cache op de gedocumenteerde baseline staan zolang de proxypilot geen meetbare doelstelling voor bandbreedte of prestaties heeft. Noteer bij activering eerst de vorige status, herhaal vanaf de pilot hetzelfde representatieve statische verzoek en vergelijk de proxylogs en WAN-overdracht, terwijl de verwachte Rule ID en webpolicy nog steeds moeten gelden. Dynamische of geauthenticeerde bedrijfsapplicaties vereisen ook een negatieve functietest; alleen een snellere laadtijd bewijst geen cache-effect.

Herstel voor rollback de vorige status van Enable web content cache en herhaal de verzoek- en policytests. Daarmee wordt alleen deze configuratiewijziging teruggedraaid, zonder scanning, TLS, Policy Overrides of het PAC-ontwerp te wijzigen.

Pharming Protection begrijpen

Onder Web > General settings > Malware and content scanning beschermt Enable pharming protection het proxypad tegen pharming: gebruikers worden van een legitiem domein naar een misleidende frauduleuze website doorgestuurd. SFOS herhaalt de DNS-query voordat de verbinding wordt opgebouwd om domain name poisoning tegen te gaan. Dit is een proxybeschermingsfunctie, geen configuratie van de DNS-service en geen bewijs dat elk DNS-antwoord betrouwbaar is.

Documenteer vóór een wijziging de vorige waarde en de betrokken proxyclients. Controleer in de pilot dezelfde toegestane en geblokkeerde doelen en bedrijfskritische toepassingen met nieuwe verbindingen en vergelijk Rule ID, webpolicy en fouten in Log Viewer. Een geslaagde paginaaanvraag bewijst op zichzelf niet dat een pharmingaanval is voorkomen. Herstel bij een regressie de gedocumenteerde vorige toestand; wijzig resolvers, PAC en webpolicy niet tegelijkertijd.

Device Access tot de pilot beperken

De service Web proxy is standaard ingeschakeld voor LAN en Wi-Fi. Een aanvullende Accept-uitzondering beperkt een al actieve brede zonetoestemming niet. Voor echte pilottoegang moet de brede toestemming daarom uitgeschakeld blijven of eerst gecontroleerd door beperktere uitzonderingen worden vervangen.

Onder Administration > Device access > Local service ACL exception rule > Add:

1. Rule name: Allow_DirectProxy_Pilot
2. Rule position: boven een passende Drop-uitzondering
3. IP version: IPv4
4. Source zone: LAN
5. Source Network / Host: CLIENT-PROXY-01 met 10.20.30.50
6. Destination host: het specifieke firewalladres waarnaar fw01.corp.example verwijst
7. Services: Web proxy
8. Action: Accept

Controleer voordat een brede zonetoestemming wordt uitgeschakeld of andere clients of services de directe of transparante proxy al gebruiken. De handleiding voor Device Access en Local Service ACL legt regelvolgorde, zonematrix en uitzonderingsregels uitgebreid uit.

Web Policy en firewallregel verbinden

Bereid de Web Policy voor onder Web > Policies. Deze bevat de gewenste categorieën, URL Groups, gebruikers- of groepsregels en acties. Voor de pilot moet minstens één bewust toegestaan en één bewust geblokkeerd doel zijn vastgelegd.

Maak vervolgens een afzonderlijke IPv4-regel onder Rules and policies > Firewall rules:

• Rule name: LAN_DirectProxy_Pilot
• Action: Accept
• Log firewall traffic: ingeschakeld
• Source zones: LAN
• Source networks and devices: CLIENT-PROXY-01
• Destination zones: WAN
• Destination networks: Any of een beperkter geplande doelgroep
• Services: afzonderlijke TCP-service voor 3128
• Match known users: alleen inschakelen als het gekozen authenticatiepad al positief is getest
• Use web authentication for unknown users: alleen inschakelen als onbekende gebruikers zich via AD SSO of Captive Portal moeten aanmelden en de bijbehorende service vanuit LAN bereikbaar is onder Device access
• Web filtering > Web policy: Web_Standard_Pilot
• Scan HTTP and decrypted HTTPS: alleen met de passende licentie en een bewust inspectieontwerp

Volgens Sophos is Any ook mogelijk als service voor Direct Proxy, maar dit is breder dan nodig. Een afzonderlijke TCP-service voor de werkelijke listener maakt de pilot inzichtelijker. Controleer na het selecteren van een Web Policy en andere beveiligingsfuncties de volledige regel opnieuw. De basisprincipes van firewallregels leggen volgorde, logging, gebruikersmatching en beveiligingsvelden uit.

Voor Direct Proxy moet Destination zones op WAN of Any staan, zodat SFOS het verzoek aan de webproxycomponent doorgeeft. Dit geldt ook als de opgevraagde webserver zich feitelijk in LAN of DMZ bevindt. Destination networks kan daarentegen het werkelijke webdoel of Any bevatten.

Block QUIC protocol in juist deze regel is geen betrouwbare bypasscontrole: een regel die tot TCP 3128 is beperkt, matcht geen direct UDP 443-verkeer. Blokkeer of controleer daarom de directe internettoegang van de pilot met een afzonderlijke regel waarvan de criteria dat verkeer wel matchen. Als directe webtoegang toegestaan blijft, blokkeer QUIC dan in die regel. QUIC op Sophos Firewall controleren legt de achtergrond uit.

Een Linked NAT is voor deze pilot niet automatisch nodig. Het door de firewall opgebouwde internetpad heeft echter wel een passende WAN-gateway en de voor de omgeving geldige bronvertaling nodig. Routing en NAT worden afzonderlijk gecontroleerd.

PAC-bestand maken en distribueren

Een bewust beperkt PAC-voorbeeld

Een PAC-bestand is JavaScript met de functie FindProxyForURL. Dit voorbeeld laat alleen korte interne namen, de interne DNS-zone en de genoemde privénetwerken rechtstreeks lopen. Alle andere doelen moeten de proxy gebruiken:

function FindProxyForURL(url, host) {
  if (isPlainHostName(host) || host === "corp.example" ||
      dnsDomainIs(host, ".corp.example")) {
    return "DIRECT";
  }

  var isIPv4Literal = /^\d{1,3}(\.\d{1,3}){3}$/.test(host);
  if (isIPv4Literal && (
      isInNet(host, "10.0.0.0", "255.0.0.0") ||
      isInNet(host, "172.16.0.0", "255.240.0.0") ||
      isInNet(host, "192.168.0.0", "255.255.0.0"))) {
    return "DIRECT";
  }

  return "PROXY fw01.corp.example:3128";
}

Pas corp.example, .corp.example, de privénetwerken en de proxy-FQDN aan de eigen omgeving aan. De afzonderlijke vergelijking met corp.example omvat het domein zelf; dnsDomainIs(host, ".corp.example") omvat de subdomeinen. Niet elk RFC1918-netwerk hoeft intern bereikbaar te zijn. Een lijst met de werkelijk benodigde interne domeinen en netwerken is overzichtelijker.

Het voorbeeld roept bewust geen dnsResolve() aan voor openbare hostnamen. Dergelijke PAC-functies voeren extra DNS-query’s op de client uit en kunnen de verwerking vertragen; externe namen worden hier door de proxy opgelost. Interne namen worden via de domeinregels ingedeeld of, als de aanvraag rechtstreeks een IPv4-adres bevat, via isInNet(). Als een omgeving complexere DNS-afhankelijke uitzonderingen nodig heeft, plan en test die dan afzonderlijk met de gebruikte browsers.

Het voorbeeld bevat bewust geen DIRECT na de proxy-instructie. Een retourwaarde zoals PROXY fw01.corp.example:3128; DIRECT laat internetverkeer rechtstreeks doorgaan als de proxy uitvalt. Dit verhoogt de beschikbaarheid, maar omzeilt dan Web Policy, proxyauthenticatie en proxylogging. Voor een verplicht beveiligingspad raden we deze fail-open-fallback af.

Ook interne DIRECT-uitzonderingen zijn bypasses. Voeg ze alleen toe als het doel werkelijk rechtstreeks bereikbaar moet zijn en er een ander controlepad bestaat. Gevoelige SaaS-domeinen, identityproviders of algemene wildcards horen niet uit voorzorg in de bypasslijst.

PAC-bestand gecontroleerd uitrollen

1. Host het PAC-bestand op een intern HTTPS-endpoint met een vertrouwd certificaat.
2. Zorg dat https://config.corp.example/proxy.pac zonder reeds werkende proxy kan worden opgehaald.
3. Wijs de PAC-URL alleen via GPO, MDM of beheerd browserbeleid aan de pilot toe.
4. Documenteer eerst een bestaande handmatige proxyconfiguratie en andere PAC- of WPAD-instellingen.
5. Start browser en betrokken applicaties volledig opnieuw.
6. Controleer welke PAC-URL daadwerkelijk in het browser- of besturingssysteembeleid is geladen.
7. Blokkeer directe internettoegang buiten het proxypad voor de pilot gecontroleerd of test deze ten minste als bypass.

WPAD-autodetectie is voor deze procedure niet nodig. Een expliciete beheerde PAC-URL is eenvoudiger te herkennen en terug te draaien. SFOS levert in dit ontwerp de listener; distributie, hosting en versiebeheer van het PAC-bestand blijven taken van client- en webserverbeheer.

Direct Web Proxy testen

Listener en toepassing van PAC controleren

Op een Windows-pilotclient zijn deze alleen-lezencontroles nuttig:

Resolve-DnsName fw01.corp.example
Test-NetConnection fw01.corp.example -Port 3128

DNS moet het bedoelde firewalladres teruggeven en de TCP-test moet de listener bereiken. Een geslaagde poorttest bewijst nog geen Web Policy, authenticatie, TLS-decryptie of internetverbinding.

Controleer daarna in de browser welk proxy- of PAC-beleid daadwerkelijk wordt toegepast. Een oude lokale instelling, een tweede beheerprofiel of gecachte PAC-inhoud kan de verwachte configuratie overschrijven.

Toegestaan en geblokkeerd verkeer valideren

1. Open een nieuw privévenster in de browser.
2. Open één bewust toegestaan HTTP- of HTTPS-doel.
3. Open één doel dat bewust door Web_Standard_Pilot wordt geblokkeerd.
4. Controleer in Log viewer tijd, bron, gebruiker, Web Policy, actie en Firewall Rule ID.
5. Leg bij HTTPS vast of de verbinding is ontsleuteld of bewust niet is ontsleuteld.
6. Beperk onder Diagnostics > Packet capture indien nodig de capture tot bron 10.20.30.50, proxypoort en doel.
7. Test een applicatie zonder proxyondersteuning en bevestig dat deze niet ten onrechte als proxyverkeer wordt beoordeeld.
8. Wijs de pilotclient tijdelijk een PAC-testkopie met een bewust ongebruikte proxypoort toe en controleer of internetverkeer volgens plan uitvalt in plaats van de proxy te omzeilen. Herstel daarna de productieversie van het PAC-bestand.

Succes betekent niet alleen dat een website wordt geladen. Het verzoek moet de verwachte Rule ID en Web Policy gebruiken, de blokkeertest moet werkelijk blokkeren en een proxy-uitval moet overeenkomen met het gekozen fail-closed-ontwerp.

Negatief testen of beheerservices worden blootgesteld

Test vanaf de pilotclient de bekende HTTP- en HTTPS-adressen van de firewall, vooral:

• WebAdmin
• User Portal
• VPN Portal
• Captive Portal
• andere lokale HTTP-/HTTPS-services op het gebruikte firewalladres

Het doel is niet om een geslaagde aanmelding te forceren. De test bepaalt of de service überhaupt via de proxy bereikbaar wordt. Stop de uitrol als een lokale service zichtbaar is die volgens het beveiligingsontwerp niet is toegestaan. Device Access kan deze intern door de proxy gegenereerde HTTP-/HTTPS-verzoeken niet achteraf per doelportal blokkeren.

Authenticatie, TLS, SD-WAN en HA afzonderlijk behandelen

Gebruikersidentiteit is een afzonderlijke bouwsteen

De Direct Web Proxy kan met of zonder gebruikersidentiteit worden gebruikt. Gebruikers die al via STAS of een andere clientloze methode zijn geïdentificeerd, kunnen met Match known users worden gekoppeld. Om onbekende gebruikers actief te authenticeren, heeft de regel ook Use web authentication for unknown users nodig; kies AD SSO of Captive Portal onder Authentication > Web authentication. De bijbehorende services moeten voor de clientzone zijn toegestaan onder Administration > Device access. De proxyconfiguratie alleen authenticeert niemand.

Voor RDS- of andere multi-userhosts waarop meerdere personen hetzelfde bron-IP delen, is Per-Connection AD SSO de passende specialistische procedure. Hierbij wordt elke HTTP-/HTTPS-proxyverbinding afzonderlijk geauthenticeerd; niet-proxyverkeer krijgt deze gebruikersidentiteit niet.

HTTPS-decryptie vereist een vertrouwde CA

Scan HTTP and decrypted HTTPS activeert geen decryptie. In webproxymodus wordt daarnaast Decrypt HTTPS during web proxy filtering gebruikt. De CA die op clients is geïnstalleerd, moet exact overeenkomen met de CA die onder Web > General settings > HTTPS decryption and scanning is geselecteerd.

De veilige uitrol staat beschreven in TLS Inspection correct invoeren. Het Sophos Firewall CA-certificaat distribueren legt de distributie en controle van de re-signing CA uit. Certificate Pinning, eigen truststores en applicaties met afwijkend TLS-gedrag vereisen gerichte tests in plaats van een brede uitzondering.

HTTPS-blokkades zonder reguliere decryptie controleren

De Web Policy kan ook ingrijpen bij HTTPS-doelen die normaal niet worden ontsleuteld, op basis van domeininformatie die onversleuteld in de eerste TLS-handshake wordt verzonden. Kies het meldingsgedrag onder Web > General settings > HTTPS decryption and scanning > Block undecrypted connections:

• Decrypt connection and show block page: SFOS ontsleutelt de verbinding om een HTML-blokkeerpagina met de reden te tonen. Voor blokkeer-, waarschuwings-, quota- of foutpagina’s moet de client de Signing CA vertrouwen; anders kan een certificaatwaarschuwing verschijnen in plaats van de uitleg. Dit is niet hetzelfde als reguliere decryptie en inspectie van alle toegestane HTTPS-inhoud.
• Drop connection without the block page: SFOS verbreekt de verbinding tijdens de SSL/TLS-handshake. De browser toont een verbindingsfout, zonder reden voor de blokkade. Dit bewijst geen uitval van de listener of WAN.

Leg vóór een wijziging de vorige waarde vast: deze gedeelde instelling is niet beperkt tot de pilotclient. Test via de expliciete proxy een bewust geblokkeerd HTTPS-domein dat normaal niet wordt ontsleuteld en een toegestaan doel; vergelijk Rule ID, Web Policy, actie en browserresultaat in Log Viewer. Controleer ook updaters en andere niet-browserclients op certificaatfouten, verbindingsfouten en herhaalde verbindingspogingen. Herstel bij een regressie de vorige meldingswaarde en herhaal beide verzoeken, in plaats van de Web Policy breed te versoepelen.

SD-WAN en HA afzonderlijk testen

Een SD-WAN Route met de services HTTP en HTTPS matcht Direct Proxy-verkeer op 3128 niet. Gebruik de werkelijke proxypoort of bewust Any. Source Network en Incoming Interface matchen reply packets in dit speciale geval niet. Voor het retourpad van de proxy is bovendien minstens één WAN-gateway of een passende statische route nodig. De volledige toelichting staat in SD-WAN Routes instellen en testen.

Beloof in HA geen ononderbroken voortzetting van bestaande proxy- of authenticatiesessies. Maak na een gecontroleerde failover een nieuwe browserverbinding en controleer PAC-bestand, Rule ID, beleid en decryptie opnieuw. Elk node bewaart de logs van het verkeer dat het zelf heeft verwerkt; bij analyse is daarom het node relevant dat het verkeer op het moment van de gebeurtenis verwerkte.

Systematisch problemen oplossen

Proxypoort is niet bereikbaar

Controleer DNS-antwoord, firewalladres, listener, clientzone en Web proxy onder Device Access. Bij een ACL-uitzondering moeten bron, Destination host, service, actie en positie overeenkomen. Een geslaagde ping bewijst de TCP-listener niet; Test-NetConnection is de specifiekere voorcontrole.

Browser gaat rechtstreeks naar internet

Controleer de effectieve PAC-URL, inhoud van het geladen bestand, lokale browseruitzonderingen en extra GPO- of MDM-profielen. Een DIRECT-fallback na PROXY creëert bewust een bypass als de proxy niet bereikbaar is. Applicaties met een eigen netwerkstack kunnen systeemproxyinstellingen eveneens negeren.

Proxy geeft fout 407 of vraagt om aanmeldgegevens

Dit is een authenticatieprobleem, geen listenerfout. Controleer authenticatiemethode, gebruikersdetectie, groepsimport, browserondersteuning en zo nodig FQDN/SPN. Verbreed de regel niet preventief naar Any alleen om de aanmeldvraag te vermijden.

Website laadt, maar de Web Policy wordt niet toegepast

Controleer firewallregel, volgorde, bron, service 3128, geselecteerde Web Policy en Rule ID samen. Een geslaagd proxyverzoek kan een andere of bredere regel hebben gematcht. De gecontroleerde regeltest combineert Policy Test, Log Viewer en Packet Capture.

HTTPS toont certificaatfouten

Controleer of decryptie actief is, welke CA de webproxy gebruikt en of precies die CA in de truststore van de client staat. Als alleen afzonderlijke applicaties uitvallen, onderzoek dan Certificate Pinning, een eigen truststore, de TLS-versie en een zo beperkt mogelijke uitzondering.

Een afzonderlijke applicatie of doelpoort werkt niet

Bepaal eerst of de applicatie een expliciete proxy ondersteunt. Controleer daarna Allowed destination ports, PAC-bypasses, DNS en TLS-gedrag. Voeg een niet-standaard doelpoort alleen voor de concrete applicatie toe en valideer die met een echt verzoek.

SD-WAN Route of WAN-pad is onverwacht

Controleer servicematching met de proxypoort, Rule ID, WAN-gateway, statische route en Route Precedence. Source Network en Incoming Interface zijn geen betrouwbare matchcriteria voor proxy-reply-packets. Wijzig Route Precedence niet globaal als eerste maatregel.

Logs ontbreken of tonen te weinig

Controleer Log firewall traffic in de regel en de lokale, Central- of Syslog-doelen onder System services > Log settings. Voor de webproxy is awarrenhttp.log relevant en voor authenticatie access_server.log. Sophos Firewall-services en logbestanden legt de indeling en veilige logverzameling uit.

Rollback en beheer

Bereid de rollback vóór de pilot voor:

1. Documenteer de vorige proxy-, PAC-, GPO- of MDM-instelling.
2. Geef de pilotregel en Local Service ACL-uitzondering eenduidige namen.
3. Test het vorige directe DPI- of firewallpad als terugvalroute.
4. Verwijder de PAC-toewijzing van de pilotclient of herstel de vorige versie.
5. Start browser en applicaties volledig opnieuw.
6. Schakel de pilotregel uit en test een echte directe webflow via de terugvalroute.
7. Verwijder de pilot-ACL-uitzondering en zet tijdelijke brede Web proxy-zonetoestemmingen terug naar hun vorige staat.
8. Controleer live- en loggegevens en documenteer vanaf welk tijdstip geen proxyverkeer meer wordt verwacht.

In bedrijf heeft het PAC-bestand een versiegeschiedenis, eigenaar en beoordelingsdatum. Elke nieuwe DIRECT-uitzondering is een beleidsuitzondering en moet net als een firewall- of webuitzondering worden gemotiveerd, getest en later opnieuw beoordeeld. Ook listener, toegestane doelpoorten en brede zonetoestemmingen horen in de periodieke beoordeling.

Checklist

• Direct Proxy is het passende model voor de betrokken browsers en applicaties.
• De IPv4-pilotclient en het vaste bron-IP zijn gedocumenteerd.
• Proxy-FQDN, PAC-URL en certificaten worden correct opgelost.
• Listener en toegestane doelpoorten zijn zo beperkt mogelijk.
• De brede webproxy-zonetoestemming is gecontroleerd en waar nodig vervangen.
• De Local Service ACL-uitzondering beperkt bron en firewall-doeladres.
• De firewallregel gebruikt de proxypoort, logging en de verwachte Web Policy.
• Gebruikersmatching en webauthenticatie zijn afzonderlijk geconfigureerd en positief getest.
• Het PAC-bestand bevat alleen gemotiveerde interne DIRECT-uitzonderingen.
• Er is niet ongemerkt een internetfallback actief die de proxy omzeilt.
• Direct egress, inclusief QUIC, wordt bewust geblokkeerd of gecontroleerd buiten de TCP 3128-regel.
• Echt toegestaan en geblokkeerd verkeer matcht de verwachte Rule ID.
• Lokale HTTP-/HTTPS-services van de firewall zijn negatief getest.
• Authenticatie, TLS-decryptie, QUIC en niet-proxyapplicaties zijn afzonderlijk beoordeeld.
• SD-WAN- en HA-gedrag is getest als deze functies worden gebruikt.
• Rollback, eigenaar, versiebeheer en beoordelingsdatum zijn gedocumenteerd.

Veelgestelde vragen