DPI Engine of Web Proxy op Sophos Firewall correct kiezen

Voor nieuwe algemene internetregels voor clients in SFOS 22 is DPI Engine meestal het beste startpunt. Firewall-, Web Protection-, Application Control-, IPS-, malware- en TLS-inspectiebeslissingen worden in één pad verwerkt. Web Proxy blijft de juiste keuze als een proxyfunctie nodig is, zoals Policy Quota, Batch-scanning, SafeSearch- of YouTube-beperkingen, Google Workspace-aanmeldingen beperken tot bepaalde domeinen, Pharming Protection, Web Cache, een Parent Proxy of een Direct Proxy-ontwerp.

De keuze is geen globale of/of-beslissing voor de hele firewall. Verschillende firewallregels en clientgroepen kunnen verschillende paden gebruiken. Voor een individuele testflow moet echter duidelijk zijn welke regel van toepassing is en of de DPI Engine, de transparante Web Proxy of een expliciet geconfigureerde Direct Proxy de aanvraag verwerkt.

Als een klassieke proxy- of mailservice een bekend protocol op een andere poort moet verwerken, legt Niet-standaardpoorten inspecteren de globale toewijzing met service-param, validatie en rollback uit.

⚠️ Een productieregel mag niet spontaan worden omgeschakeld tussen DPI Engine en Web Proxy. De wijziging beïnvloedt TLS-decryptie, ondersteunde functies, de logweergave en soms het gedrag van browsers en toepassingen. Eerst wordt een pilotclient in een afzonderlijke regel getest, het terugkeerpad vastgelegd en pas daarna de scope uitgebreid.

Snelle keuze

1. Leg de betrokken clientgroep, Firewall Rule ID, Web Policy, TLS-vereisten en benodigde webfuncties vast.
2. Selecteer DPI Engine als normaal gerouteerd clientverkeer moet worden beheerd zonder een speciale proxyfunctie.
3. Kies Web Proxy als een van de hieronder genoemde proxyfuncties of een bewust proxy-ontwerp nodig is.
4. Controleer voor Direct Proxy ook de listener, Device Access, Allowed destination ports en de PAC- of browserconfiguratie.
5. Configureer TLS-ontsleuteling op de juiste plaats: SSL/TLS inspection rule voor DPI, HTTPS-ontsleuteling voor de proxy voor Web Proxy.
6. Neem een pilothost op in een afzonderlijke regel met logging en genereer precies één toegestane en één geblokkeerde aanvraag.
7. Controleer de Rule ID, webfilteractie, certificaatuitgever, scanresultaat en het gebruikte verkeerspad samen.
8. Als er afwijkingen zijn, ga dan terug naar het vorige regelpad in plaats van beide modi tegelijkertijd te wijzigen op dezelfde teststroom.

Begrijp DPI Engine, transparant Web Proxy en Direct Proxy

De drie termen beschrijven niet dezelfde configuratie:

• DPI Engine: Normaal gerouteerd verkeer wordt gecontroleerd aan de hand van de firewallregel en de SSL/TLS inspection rules. De client kent geen proxy.
• Transparent Web Proxy: De client kent ook geen proxy. De firewallregel gebruikt echter Use web proxy instead of DPI engine en geeft klassiek webverkeer door aan de Web Proxy.
• Direct Web Proxy: De browser of toepassing maakt expliciet verbinding met de proxylistener van de firewall, normaal op TCP-poort 3128. Dit pad ontstaat door de clientconfiguratie, niet door de optie in de firewallregel.

In alle gevallen werkt Web Policy alleen als die is geselecteerd in de firewallregel die werkelijk matcht. Scan HTTP and decrypted HTTPS schakelt TLS-decryptie evenmin zelf in. Web Protection met Web Policies configureren legt planning, categorieën en regelvolgorde uit.

Met DPI Engine verwerkt Sophos SSL/TLS Inspection, IPS, Application Control, Web Policies en antivirus in één inspectiepad. Afhankelijk van platform en stroom kan dit pad profiteren van firewallversnelling. Proxyverbindingen worden daarentegen door een proxyproces beëindigd en opnieuw opgebouwd. Daaruit volgt niet dat één modus in elke omgeving sneller of veiliger is. Alleen tests op de echte appliance met representatieve regels, doeltoepassingen en doorvoer zijn doorslaggevend.

Welke functies bepalen de beslissing

DPI Engine voor algemeen clientverkeer

De DPI Engine is een goed startpunt als de omgeving deze functies nodig heeft:

• normaal gerouteerd clientverkeer zonder PAC of standaard browserproxy
• SSL/TLS Inspection via op regels gebaseerde Decryption Profiles
• HTTP- of TLS-detectie ook buiten de klassieke poorten, mits de regels en detectie overeenkomen
• Gezamenlijke evaluatie met IPS, Application Control en malwarescans
• Een zo uniform mogelijk datapad voor nieuwe internetregels voor clients

In DPI Engine werkt malwarescanning altijd in Real-time. Malwarescanning op Sophos Firewall configureren en testen legt de scanengine, groottelimieten en foutacties uit.

Web Proxy is geschikt voor proxyfuncties

De Web Proxy is noodzakelijk of nuttig als minimaal één van deze eisen van toepassing is:

• een Web Policy gebruikt Quota
• Malwarescannen zou moeten werken in de Batch-modus in plaats van alleen in Real-time
• SafeSearch- of YouTube-beperkingen moeten worden afgedwongen
• Google Workspace-aanmeldingen moeten worden beperkt tot accounts in bepaalde domeinen
• Pharming Protection moet worden ingeschakeld
• Web Content Cache maakt deel uit van het ontwerp
• Clients gebruiken een Direct Proxy met PAC, GPO, MDM of applicatieconfiguratie
• er wordt voorzien in een bovenliggende proxy of een andere proxy-gerelateerde architectuur
• een bestaand, getest proxy-authenticatiepad moet behouden blijven

Policy Quota wordt niet ondersteund door de DPI Engine. Een overstap naar DPI zou een dergelijk beleid dus niet op dezelfde manier voeren. Omgekeerd is een bestaande proxy geen reden om elke nieuwe regel in de proxymodus te zetten. Per clientgroep zijn de benodigde functie en het werkelijke datapad bepalend.

Bij transparant Web Proxy verwerkt de proxy alleen HTTP op poort 80 en HTTPS op poort 443; HTTP- en TLS-verkeer op andere poorten blijft door DPI Engine worden verwerkt, ook als de proxyoptie is ingeschakeld. Direct Web Proxy luistert op de geconfigureerde listener, standaard TCP 3128. Direct Web Proxy met een PAC-bestand configureren brengt listener, PAC-bestand, beperkte Local Service ACL en proxyregel samen.

Wat beide modi gemeen hebben

Ongeacht de modus heeft webbescherming het volgende nodig:

• een firewallregel die het testverkeer echt raakt
• een geselecteerde Web Policy en geactiveerde logging
• duidelijke bron-, bestemmings-, service- en gebruikerscriteria
• een bewuste QUIC-beslissing voor browserverkeer
• TLS-zichtbaarheid wanneer HTTPS-inhoud of downloads moeten worden geïnspecteerd
• gerichte in plaats van brede Web- en TLS-uitzonderingen
• een positieve en negatieve test met echt verkeer

Ook routing en uitgaand NAT moeten vóór de pilot werken. Voor een normale internetverbinding kan dit een passende SNAT-regel zijn met Translated source (SNAT): MASQ onder Rules and policies > NAT rules. Wijzig een bestaande, correct passende NAT-regel niet alleen voor de modusvergelijking.

Web Exceptions kan in beide ontwerpen beveiligingscontroles overslaan. Onder Web > Exceptions > Add an exception worden verschillende criteriatypen met AND gecombineerd en meerdere waarden binnen één type met OR. Als HTTPS decryption wordt overgeslagen, worden ook alle controles overgeslagen die ontsleutelde inhoud nodig hebben; voor dit verkeer worden bovendien ongeldige certificaten toegestaan. Een criterium dat alleen op het pad van een HTTPS-URL past, werkt pas als het verkeer al wordt ontsleuteld. Stel een uitzondering daarom pas na oorzaakanalyse in en documenteer eigenaar en beoordelingsdatum. Web Exceptions veilig gebruiken legt het onderscheid tussen policy-, malware-, HTTPS- en certificaatuitzonderingen uit.

Voorbeeld en pilot voorbereiden

De procedure gebruikt de volgende documentatiewaarden:

• Clientnetwerk: 10.20.30.0/24
• Pilot-client: CLIENT-WEB-01
• vast pilot-IP: 10.20.30.50
• bestaande regel: LAN_Clients_Web
• Pilotregel: LAN_Web_Mode_Pilot
• Web Policy: Web_Standard
• Proxy-FQDN op Direct Proxy: fw01.example.com
• Directe proxypoort: 3128

10.20.30.0/24 en 10.20.30.50 worden vervangen door het echte clientnetwerk en een vast pilot-IP zichtbaar op de firewall. Geen enkele NAT mag extra clients achter het pilotadres verbergen. example.com is een gereserveerd documentatiedomein; fw01.example.com wordt alleen vervangen door de intern oplosbare firewall FQDN tijdens een directe proxytest.

Vóór de wijziging zijn de huidige Rule ID, Web Policy, Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, QUIC-instelling, TLS-regels, CA, uitzonderingen en relevante logs gedocumenteerd. Daarnaast heeft de pilot een getest terugkeerpad nodig volgens de ongewijzigde bestaande regel.

De pilotregel staat boven de vorige clientregel en bevat alleen CLIENT-WEB-01 als bron. Bestemming, Services, Web Policy en andere beveiligingsprofielen worden in eerste instantie op identieke wijze overgenomen. De test verandert alleen het inspectiepad en niet tegelijkertijd de routing, NAT, categorieën of gebruikerslogica.

Configureer DPI Mode

Open de pilotregel onder Rules and policies > Firewall rules. De volgende opties staan onder Security features > Web filtering:

1. Schakel Use web proxy instead of DPI engine uit.
2. Selecteer Web_Standard onder Web filtering > Web policy.
3. Activeer Scan HTTP and decrypted HTTPS volgens geplande malware- en inhoudscans.
4. Activeer Log firewall traffic.
5. Laat onder Filtering common web ports Block QUIC protocol ingeschakeld. SFOS selecteert dit standaard zodra een Web Policy of Scan HTTP and decrypted HTTPS actief is; QUIC via UDP 80/443 kan niet worden gescand en omzeilt Web Filtering.
6. Gebruik Services: Any voor een brede DPI-pilot of neem alle werkelijk benodigde services op. DPI herkent HTTP en TLS op alle poorten; een te beperkte scope kan de vergelijking ongeldig maken.
7. Sla de regel op en controleer de positie boven de algemene clientregel.

TLS-ontsleuteling voor DPI is niet ingeschakeld in deze firewallregel. Onder Rules and policies > SSL/TLS inspection rules heeft de pilot een passende regel nodig met Action: Decrypt, de beoogde Decryption profile, actieve logging en de juiste bronscope. De CA die door dit pad wordt gebruikt, moet worden vertrouwd op de pilot-client.

TLS Inspection stapsgewijs invoeren beschrijft de gecontroleerde uitrol van de CA, het Decryption Profile, uitzonderingen en de SSL/TLS inspection rule. Zonder passende Decrypt-regel kan Web Policy nog steeds beslissingen over domeinen of categorieën nemen, maar blijft de verwachte inspectie van inhoud en downloads beperkt.

Configureer Web Proxy Mode

Dezelfde pilotregel is aangepast voor de transparante Web Proxy:

1. Selecteer onder Security features > Web filtering de Web Policy Web_Standard.
2. Schakel onder Malware and content scanning Scan HTTP and decrypted HTTPS in volgens het scanontwerp.
3. Schakel onder Filtering common web ports Use web proxy instead of DPI engine in.
4. Schakel direct daaronder Decrypt HTTPS during web proxy filtering alleen in als de proxy-CA op de pilot wordt vertrouwd en de HTTPS-test is voorbereid. Deze optie ontsleutelt ook Direct Proxy-verkeer.
5. Laat Block QUIC protocol ingeschakeld en schakel Log firewall traffic in.
6. Neem voor transparante proxy ten minste de services HTTP en HTTPS op. Voeg voor Direct Proxy ook de poort toe die onder Web > General settings > Web proxy configuration > Web proxy listening port is ingesteld; standaard is dit TCP 3128.
7. Controleer onder Web > General settings > Malware and content scanning Web proxy scanning mode. Controleer onder HTTPS decryption and scanning HTTPS scanning certificate authority (CA), Block unrecognized SSL protocols en Block invalid certificates.
8. Controleer de regelpositie en pilotbron opnieuw.

In deze modus wordt decryptie in de firewallregel ingeschakeld; de CA en certificaatverwerking komen uit Web > General settings. Een DPI SSL/TLS inspection rule schakelt proxydecryptie niet in. Bij een moduswijziging volstaat het daarom niet om naar een bestaand Decryption Profile te zoeken: ook de certificaatuitgever die werkelijk in de browser wordt getoond, moet worden gecontroleerd.

Direct Proxy is een afzonderlijk clientpad. De browser of toepassing maakt verbinding met fw01.example.com:3128; listener, Device Access, firewallregel en clientconfiguratie moeten overeenkomen. Use web proxy instead of DPI engine is niet vereist voor deze expliciete aanvraag. Direct Proxy-verkeer heeft ook eigen grenzen: Traffic Shaping geldt niet voor dit pad en IPS inspecteert tussen proxy en WAN, niet tussen client en proxy.

⚠️ Sta voor Direct Proxy onder Administration > Device access > Other services > Web proxy alleen de benodigde clientzone toe; voor één pilotclient is een strikt beperkte Local Service ACL-uitzondering beter dan brede zonetoegang. Een bereikbare proxy kan de lokale HTTP- en HTTPS-services van de firewall toegankelijk maken, ook als de zonematrix ze voor de client blokkeert, omdat de firewall deze aanvragen als afkomstig van de proxy zelf ziet. Test WebAdmin, User Portal, VPN Portal en andere lokale webbestemmingen negatief en stop de uitrol bij ongewenste blootstelling. Houd Allowed destination ports onder Web > General settings > Web proxy configuration zo beperkt mogelijk en zet tijdelijke wijzigingen aan ACL, listener en doelpoorten na de pilot terug naar de gedocumenteerde vorige toestand.

Ongeldige SSL-protocollen en servercertificaten controleren

Onder Web > General settings > HTTPS decryption and scanning voorkomt Block unrecognized SSL protocols dat verkeer met ongeldige SSL-protocollen de HTTPS-inspectie omzeilt. Dit is een beschermingskeuze, geen schakelaar die elke incompatibele toepassing ontsleutelbaar maakt.

Block invalid certificates laat de webproxy alleen verbinding maken met websites met een geldig servercertificaat. De optie geldt uitsluitend voor de proxy; in het DPI-pad wordt certificaatvalidatie via Decryption profiles ingesteld. Het vertrouwen van de client in de Signing CA lost een ander probleem op en herstelt geen ongeldig origineel certificaat. Voor een uitdrukkelijk goedgekeurd bijzonder geval kan onder Web > Exceptions certificaatvalidatie gericht worden overgeslagen op basis van websites, webcategorieën of bron- en doel-IP-adressen. Sla alleen de noodzakelijke controle over in plaats van ook alle HTTPS-decryptie uit te schakelen.

Leg vóór een wijziging de globale proxywaarden vast en bevestig het betrokken datapad. Vergelijk met een geldig doel en een gecontroleerd testdoel met een ongeldig certificaat het clientresultaat, Rule ID en web-/TLS-logs; test een uitzondering ook negatief tegen een niet-goedgekeurd doel. Vergroot de scope niet als de oorzaak onduidelijk blijft. Herstel voor rollback alleen de gewijzigde waarden of pilotuitzondering naar de vorige toestand en controleer nieuwe verbindingen.

XML-API: globale scan- en HTTPS-waarden duiden

Voor automatisering of het vergelijken van een export met Web > General settings toont de XML-API-referentie van SFOS 22 en 23 het buitenste knooppunt AntiVirusHTTPsConfiguration: direct daaronder staan ScanMode, FileSizeThreshold, AudioVideoFileScanning en PUADetection. Het daarin geneste knooppunt HTTPSConfigurations bevat HTTPSScanningCA, DenyUnknownProtocol, AllowInvalidCertificate en NoHttpsNotification. Deze structuur beschrijft scan- en HTTPS-instellingen, niet de keuze van het DPI-/proxypad of een DPI-SSL/TLS inspection rule. Een globale proxywaarde kan ook andere proxyregels beïnvloeden; een nauw afgebakende pilotregel beperkt deze wijziging niet automatisch.

De parametertabel vereist ScanMode met RealTime of BatchMode, FileSizeThreshold als geheel getal van 1 tot 1572864 KB met maximaal zeven cijfers, evenals AudioVideoFileScanning en HTTPSScanningCA. Voor de CA wordt een string zonder gedocumenteerde standaardwaarde opgegeven; de keuze moet overeenkomen met de beoogde proxy-CA die op de client wordt vertrouwd. Voor de groottedrempel noemt de referentie de standaardwaarde 1024 KB: grotere bestanden worden niet gescand. Dit is noch een bewijs voor de opgeslagen waarde van de eigen firewall, noch een blokkeerlimiet. Audio-/videoscanning betreft audio- en videostreams die worden gedownload; PUADetection moet downloads van potentieel ongewenste toepassingen voorkomen. De hier beschreven keuze van de scanmodus maakt Batch-scanning niet beschikbaar in het DPI-pad.

De voorbeeldwaarden zijn geen API-sjabloon dat kan worden gekopieerd. Bij AudioVideoFileScanning toont het voorbeeld Enable/Disable, terwijl de tabel on/off toestaat en de standaardwaarde Disable noemt. Bij DenyUnknownProtocol toont het voorbeeld eveneens Enable/Disable, maar de tabel alleen on met als standaardwaarde Disable; een ondersteunde schrijfwijze om dit uit te schakelen is daarmee niet aangetoond. Bij AllowInvalidCertificate staat in het voorbeeld Enable/Disable, en in de tabel on/off met als standaardwaarde Enable. De veldnaam beschrijft het toestaan van ongeldige certificaten, niet de positieve beveiligingsoptie Block invalid certificates; neem deze standaardwaarde uit de documentatie niet over als veilige aanbeveling. Voor PUADetection staan in plaats van concrete waarden de symbolen $ANTIVIRUS{PUA_DETECTION_ENABLE} en $ANTIVIRUS{PUA_DETECTION_DISABLE} in de tabel, met als standaardwaarde Disable. Ga er niet van uit dat deze schrijfwijzen gelijkwaardig zijn en verstuur geen symbolen zonder ze te controleren.

NoHttpsNotification is optioneel; de tabel noemt Enable en Disable, evenals de standaardwaarde Disable. De tabel beschrijft meldingen voor HTTPS met Decrypt-and-Scan, maar legt geen volledige meldingslogica uit. Een zichtbare of ontbrekende melding bewijst daarom niet dat ontsleuteling of malwarecontrole succesvol is uitgevoerd. Ook DenyUnknownProtocol, AllowInvalidCertificate en PUADetection zijn als optioneel gemarkeerd; daaruit volgt niet dat een weggelaten veld bij een update ongewijzigd blijft. De referentie vermeldt de statussen 200 en 500, maar bevat alleen meldingssymbolen in plaats van concrete meldingsteksten.

Stel vóór een schrijfbewerking de opgeslagen vorige toestand veilig en verduidelijk de syntaxis, verplichte velden en het updategedrag aan de hand van de API-help van de geïnstalleerde build. Gebruik tot die tijd de hierboven beschreven UI-controles; probeer geen verschillende API-waarden uit in productie en schakel de certificaat-/protocolbescherming niet zonder onderscheid uit. Lees na een goedgekeurde wijziging de daadwerkelijk opgeslagen waarden opnieuw uit en controleer met nieuwe pilotverbindingen de Rule ID, certificaatuitgever, web-/TLS-logs en het scanresultaat; een statuscode alleen volstaat niet. Lees bij afwijkingen vóór een nieuwe poging de toestand uit, zet alleen de gewijzigde waarden via het bevestigde configuratiepad terug naar de veiliggestelde vorige toestand en herhaal dezelfde tests.

Wijzig veilig bestaande regels

De wijziging wordt niet uitgevoerd door tijdens de test de enige productieregel te bewerken:

1. Exporteer of documenteer de bestaande regel en relevante web-/TLS-instellingen.
2. Maak een pilotregel met identieke criteria en slechts één pilothost.
3. Repliceer eerst de huidige modus in de pilotregel en bevestig de beginstatus.
4. Wijzig alleen de modus en de verplichte bijbehorende TLS-configuratie.
5. Controleer toegestaan, geblokkeerd en ontsleuteld verkeer.
6. Test bedrijfskritische browser-, update-, samenwerkings- en inlogstromen.
7. Als dit lukt, breidt u de reikwijdte geleidelijk uit.
8. Als er een afwijking is, deactiveer dan de pilotregel en test het ongewijzigde retourpad opnieuw.

Een regelmigratie is geen goed moment om tegelijkertijd webcategorieën, authenticatie, NAT, SD-WAN, uitzonderingen en malware-engine te wijzigen. Meerdere gelijktijdige wijzigingen maken een afwijkend resultaat moeilijk te herleiden.

Het resultaat correct controleren

Voor elke modus worden ten minste dezelfde vier verzoeken gebruikt:

1. een opzettelijk toegestane HTTPS-pagina
2. een categorie- of test-URL die opzettelijk is geblokkeerd door Web_Standard
3. een gecontroleerde HTTPS-download die door het geplande scanpad wordt gescand
4. een bedrijfskritische applicatie met login- of certificaatverwachting

In de Log Viewer worden tijd, bron-IP, gebruiker, Firewall Rule ID, Web Policy, categorie, actie en scanresultaat samen gecontroleerd. De Rule ID moet bij de pilotregel horen. Een zichtbare website alleen bewijst niet de juiste regel of het juiste inspectiepad.

Bij de HTTPS-test wordt ook de certificaatuitgever in de browser gecontroleerd. In DPI Mode moet die overeenkomen met de CA van de toegepaste SSL/TLS inspection rule. In Proxy Mode moet die overeenkomen met de proxy-CA onder Web > General settings. Als de browser het oorspronkelijke openbare servercertificaat toont, is de verbinding mogelijk niet ontsleuteld of heeft een uitzondering gematcht.

Bij een geblokkeerde verbinding op poort 80 of 443 kan het firewalllog de verbinding als toegestaan tonen, terwijl het Web Filter-log de aanvraag als geblokkeerd weergeeft. Dit past bij het proxygedrag: de firewall staat de stroom naar de proxy toe, waarna de proxy de blokkeerpagina maakt. Beide logs worden daarom op basis van hun tijdstempels gecorreleerd en niet als tegenstrijdig beschouwd.

Sophos Firewall-regels gecontroleerd testen combineert regelmatching, Log Viewer, Policy Tester en Packet Capture. Tijdens een capture kunnen diagnostische hulpmiddelen het versnellingspad tijdelijk wijzigen. Een prestatieverschil dat tijdens de actieve capture wordt gemeten, is daarom geen zuivere vergelijking van beide modi.

Isoleer fouten per symptoom

Web Policy werkt niet

Controleer Rule ID, regelpositie, bron, gebruiker, service en geselecteerde Web Policy. Controleer met de Direct Proxy ook of de browser of applicatie de listener daadwerkelijk gebruikt. Voeg geen bredere Any-regel toe voordat duidelijk is welke regel daadwerkelijk matcht.

HTTPS wordt niet ontsleuteld

Bepaal eerst de actieve modus. Controleer voor DPI de toegepaste SSL/TLS inspection rule, Action, Decryption profile en CA. Controleer voor Web Proxy Decrypt HTTPS during web proxy filtering in de firewallregel en de proxy-CA en certificaatopties onder Web > General settings > HTTPS decryption and scanning; controleer daarna eventuele Web Exceptions. Scan HTTP and decrypted HTTPS vervangt geen van deze decryptiestappen.

Na de wijziging treden certificaatfouten op

Controleer de uitgever die zichtbaar is in de client, truststore, TLS-uitzondering, certificaatpinning en eigen applicatieopslag. Maak niet onmiddellijk een brede Don't decrypt- of webuitzondering. De uitzondering moet zo dicht mogelijk beperkt worden tot het domein of de applicatie waar het daadwerkelijk om gaat.

Quota of Batch-scanning ontbreekt

Deze functies vereisen Web Proxy Mode. Controleer de actieve pilotregel, Use web proxy instead of DPI engine, de policytoewijzing en de proxyscanmodus. Een geslaagde DPI-test bevestigt deze proxyfunctie niet.

De website is geblokkeerd, maar het firewalllog toont de verbinding als toegestaan

Correleer de Web Filter- en Firewall-logs op basis van hun tijdstempels. Voor proxyverkeer kan de firewall de verbinding met de proxy toestaan voordat de proxy de URL blokkeert en een blokkeerpagina levert. Categorie, Action, Rule ID en de Web Policy-regel tonen de eigenlijke beslissing.

Alleen individuele poorten of applicaties falen

Verduidelijk of transparante proxy, Direct Proxy of DPI wordt gebruikt. Transparante proxy richt zich op de klassieke webpoorten; Direct Proxy heeft een ondersteunde client en de listener nodig; DPI kan TLS op extra TCP-poorten herkennen als de regel en ontsleuteling passen. Sta niet alle poorten toe als vervanging voor diagnose.

De logs zijn onvoldoende om de oorzaak vast te stellen

Firewall- en Web-logging activeren en de test met een eenduidig tijdstip herhalen. Afhankelijk van het pad zijn Web-proxy-, TLS- en inspectielogs relevant. Sophos Firewall-services en logbestanden legt de indeling en een veilige export uit.

Terugdraaien en bediening

Voor de rollback wordt de pilotregel uitgeschakeld zonder de productie-Web Policy te verwijderen. Daarna moet de pilot weer de gedocumenteerde Rule ID en het oorspronkelijke verkeerspad gebruiken. Tijdelijke Device Access-toegang voor de proxy, PAC-toewijzingen en pilotuitzonderingen worden teruggezet naar de vorige toestand.

Tijdens de werking heeft elke regelgerelateerde modusbeslissing een eigenaar en een begrijpelijke reden. Proxy-only-functies, Decryption Profiles, CA-wijzigingen, uitzonderingen en clientgroepen worden regelmatig gecontroleerd. Een latere wijziging begint opnieuw met een pilot omdat nieuwe browser-, TLS- en applicatieversies het resultaat kunnen veranderen.

Controlelijst voor operaties

• Clientgroep, pilot-IP en retourpad zijn gedocumenteerd.
• Werkelijke Firewall Rule ID en regelpositie zijn bekend.
• Web Policy en logboekregistratie zijn actief in de pilotregel.
• Functies voor alleen proxy’s werden vastgelegd vóór modusselectie.
• DPI- en proxy-TLS-ontsleuteling worden niet verward.
• De feitelijk gebruikte CA wordt vertrouwd op de pilotclient.
• QUIC is opzettelijk behandeld en getest met browsers.
• Toegestaan, geblokkeerd en gescand echt verkeer werd gecontroleerd.
• Certificaatuitgever en webfilteractie komen overeen met de modus.
• Zonetoegang en Allowed destination ports van Direct Proxy zijn zo beperkt mogelijk als dit pad wordt gebruikt.
• Firewall- en weblogs werden samen geëvalueerd.
• Er is geen brede uitzondering of Any-regel ingesteld als snelle oplossing.
• Terugdraaien, eigenaar en beoordelingsdatum zijn gedocumenteerd.

Veelgestelde vragen