Naar de inhoud
Avanet

Sophos Firewall Packet Capture gebruiken in WebAdmin

Sophos Firewall

Onder Diagnostics > Packet capture kan één netwerkflow rechtstreeks in WebAdmin worden gevolgd. Stel een nauwkeurig BPF-filter in, start de opname, reproduceer het probleem één keer en controleer daarna interfaces, Rule ID, NAT ID, Status en Reason.

Packet Capture toont de werkelijke pakketstroom. Welke policy de beslissing heeft genomen, controleert men daarnaast in Log Viewer. Voor langere opnamen of een .pcap-bestand is tcpdump via SSH nodig, omdat de WebAdmin-opname niet als PCAP kan worden gedownload.

Als de verbinding al is opgebouwd en eerst alleen de actieve sessie met gebruiker, interfaces, Rule ID, NAT ID of gateway moet worden gevonden, begin dan met Live Connections en Connection List. Packet Capture volgt wanneer het daadwerkelijke heen- en terugpad moet worden bewezen.

Packet Capture in zes stappen

  1. Source IP, bestemming, protocol, poort en testtijd noteren. Voorbeeld: client 172.16.10.25 naar 93.184.216.34 via TCP 443.
  2. Diagnostics > Packet capture openen en op Configure klikken.
  3. Een BPF-string instellen en opslaan, bijvoorbeeld host 172.16.10.25 and port 443.
  4. Packet Capture op Trace On zetten. In SFOS 22 verschijnen de pakketdetails in een nieuw browservenster.
  5. Precies één test reproduceren en de opname daarna met Trace Off stoppen.
  6. De volgorde van onder naar boven lezen en letten op In/Out interface, Rule ID, NAT ID, Status, Reason en antwoordpakketten.

Als de BPF-string tijdens een lopende opname wordt gewijzigd, Packet Capture eerst op Trace Off en daarna weer op Trace On zetten, zodat het nieuwe filter wordt toegepast.

⚠️ Een brede, doorlopende opname maakt de analyse onoverzichtelijk en verzamelt onnodig veel bedrijfsgegevens. Stel een nauwkeurig filter in, houd de test kort en schakel Packet Capture daarna uit.

Een gericht Capture Filter instellen

Het Capture Filter bepaalt vóór de opname welke pakketten in de buffer van 2048 KB terechtkomen. Het Display Filter beperkt alleen de weergave van reeds opgenomen gegevens. Een interface selecteert men daarom niet in het Capture Filter, maar later in het Display Filter.

Voor een HTTPS-test moeten minimaal bron, bestemming en poort bekend zijn. Als de bestemming door DNS, een CDN of NAT nog onduidelijk is, kan men beter alleen met de Source IP beginnen en de zichtbare flow daarna verder beperken.

Voor de start moeten deze punten vaststaan:

  • Source IP en actuele Destination IP
  • protocol en Source- en Destination-port, voor zover relevant
  • verwachte inkomende en uitgaande interface of de zones
  • verwachte Firewall Rule en NAT Rule
  • verwacht resultaat, zoals toegestaan, geblokkeerd, DNAT, SNAT of VPN
  • exacte testtijd en één reproduceerbare actie

BPF-voorbeelden

  • Host: host 10.10.10.1
  • Source IP: src host 10.10.10.1
  • Destination IP: dst host 10.10.10.1
  • Netwerk: net 10.10.10.0
  • Bronnetwerk: src net 10.10.10.0
  • Doelnetwerk: dst net 10.10.10.0
  • Poort: port 443
  • Bronpoort: src port 443
  • Doelpoort: dst port 443
  • Protocol: proto TCP, proto UDP of proto ICMP

Een gerichte webtest kan er zo uitzien:

host 172.16.10.25 and host 93.184.216.34 and port 443

Voor een pingtest volstaat meestal:

host 172.16.10.25 and proto ICMP

Sophos documenteert deze BPF-basisvormen. Dat garandeert niet automatisch dat elke willekeurige tcpdump-expressie in WebAdmin werkt.

Twee andere gedocumenteerde vormen helpen bij gerichte varianten:

  • Meerdere poorten met OR: port 80 or port 443 legt pakketten met een van beide poorten vast, bijvoorbeeld voor een korte HTTP/HTTPS-vergelijking. Zonder hostvoorwaarde geldt het filter voor alle hosts; houd de opname daarom kort.
  • Eén poort voor een host uitsluiten: host 172.16.10.25 and port not 22 legt deze host vast, maar laat pakketten met bron- of doelpoort 22 weg. Dit kan SSH-beheerverkeer verbergen, maar legt nog steeds alle andere poorten van deze host vast.

De operatoren or, and en port not horen bij de syntaxis. IP-adressen en poortnummers zijn voorbeeldwaarden: vervang het host-IP door de eigen testhost en de poorten door de daadwerkelijk onderzochte diensten. Ook de bestemming van het bestaande webtestvoorbeeld, 93.184.216.34, is geen bevestigd testeindpunt en moet door het actuele bestemmings-IP worden vervangen. Controleer na een korte test of de gewenste pakketten zichtbaar zijn en uitgesloten poorten ontbreken; het filter verandert geen firewallregels.

Bij NAT is het perspectief belangrijk: een filter op het interne client-IP kan de WAN-zijde na MASQ verbergen. Als pakketten ontbreken, eerst alleen op bron, bestemming of poort filteren en controleren of beide richtingen zichtbaar blijven.

Sophos Firewall Packet Capture met Configure-venster, BPF-string en Trace-schakelaar
De BPF-string wordt onder Configure ingesteld; daarna start Trace On de opname.

Buffer en opnameopties

  • Number of bytes to capture (per packet) bepaalt hoeveel bytes per pakket worden opgeslagen. Voor een eerste test zijn headergegevens vaak voldoende.
  • Zonder Wrap capture buffer once full stopt de opname automatisch bij 2048 KB. Met Wrap worden de oudste gegevens overschreven.
  • Clear maakt de buffer leeg vóór een nieuwe test.
  • Buffer used toont de actuele bezetting van 0 tot 2048 KB, niet de vaste totale capaciteit. Zo is zichtbaar hoe dicht de opname bij de bufferlimiet komt.
  • De details van opgenomen pakketten kunnen worden vernieuwd. Vernieuw voor de actuele stand de pakketdetails en lees Buffer used af; dit is niet hetzelfde als de buffer legen met Clear.
  • De opname loopt door wanneer men in WebAdmin naar een andere pagina gaat. Zet haar daarom na de test bewust op Trace Off.

Resultaten correct lezen

Een pakketstroom verschijnt meerdere keren omdat de firewall ingress en egress op de interfaces vastlegt. Een volledige pinguitwisseling bestaat meestal uit vier regels: het verzoek komt binnen op LAN, verlaat WAN, het antwoord komt binnen op WAN en verlaat LAN. De nieuwste vermeldingen staan bovenaan; voor de chronologische volgorde leest men de lijst van onder naar boven.

Sophos Firewall Packet Capture met actief BPF-filter, interfaces, NAT ID, Rule ID en Status
De pakketlijst toont de flow op de interfaces en de bijbehorende NAT ID, Rule ID en Status.

De belangrijkste velden

  • In interface / Out interface: Waar het pakket aankomt en via welke interface het vertrekt.
  • Source IP / Destination IP / Ports: Welke flow wordt bekeken.
  • Rule ID: Welke firewallregel het verkeer verwerkt.
  • NAT ID: Welke NAT-regel betrokken is.
  • Status: Wat de firewall in deze pakketstap doet.
  • Reason: Waarom een pakket wordt verworpen.

Time, Ethernet Type en Packet Type helpen om elke regel chronologisch te plaatsen en het protocol te herkennen. De pakketlijst bevat ook Connection ID, Connection status, Gateway ID, Username en de ID’s van toegepaste Web-, Application-, IPS-, Remote Access- en Bandwidth-policies. Voor het geselecteerde pakket toont de detailweergave daarnaast headers en Hex- en ASCII-gegevens.

Lees voor een nauwkeuriger verband de aanvullende metadata afzonderlijk:

  • Connection flags: Systeemflags van de verbinding; niet verwarren met het pakketveld Status.
  • User group: Het groepslidmaatschap van de gebruiker, niet diens Username.
  • Master connection ID: ID van de primaire verbinding die bij de huidige verbinding hoort; Connection ID identificeert de huidige verbinding zelf.
  • Application ID / Application category ID: De identificatie van de applicatie respectievelijk de categorie ervan.
  • Application filter ID: De identificatie van de application-filterpolicy die op het verbindingsverkeer wordt toegepast, niet die van de applicatie.
  • Web category ID / Web filter ID: De webcategorie respectievelijk de toegepaste webfilterpolicy. Categorie- en policy-ID’s zijn verschillende verwijzingen.

Status correct interpreteren

  • Incoming: Het pakket is op een interface ontvangen; een latere beslissing is daarmee nog niet bewezen.
  • Forwarded: De firewall heeft het pakket via een uitgaande interface doorgestuurd.
  • Consumed: Het pakket is voor de firewall zelf bestemd, bijvoorbeeld voor WebAdmin, VPN Portal, SSH, DNS of een VPN-dienst.
  • Generated: De firewall heeft het pakket zelf gegenereerd, bijvoorbeeld als antwoord of door een systeemdienst.
  • Violation: De firewall heeft het pakket wegens een policy-overtreding verworpen.

Bij Consumed zijn vaak Administration > Device access, een Local Service ACL of de betrokken firewalldienst bepalend. Sophos Firewall Device Access beveiligen legt de relevante configuratie uit.

Rule ID, NAT ID en Reason samen controleren

Een onverwachte Rule ID bewijst niet dat een regel defect is. Controleer eerst regelvolgorde, zones en matching in Log Viewer. De volledige procedure staat in Een Sophos Firewall-regel correct testen.

Bij NAT kan dezelfde flow vóór en na de vertaling met andere adressen verschijnen. De verwachte NAT ID, In/Out interface en antwoordpakketten zijn doorslaggevend. NAT op Sophos Firewall begrijpen legt de vertaallogica uit.

Als Reason bijvoorbeeld LOCAL_ACL, IPS, APPLICATION_FILTER, USER_IDENTITY of IP_SPOOF toont, controleer dan de betreffende module in Log Viewer. Een uitgebreide indeling staat in Verworpen pakketten op Sophos Firewall analyseren.

Voor de vergelijking met Log Viewer:

  1. Log Viewer en Packet Capture naast elkaar openen.
  2. Capture Filter instellen en precies één test reproduceren.
  3. In Packet Capture interfaces, antwoordpakketten, Rule ID en NAT ID controleren.
  4. In de passende Log Viewer-module controleren welke regel of Security Policy de beslissing heeft genomen.
  5. Pas daarna gericht de regel, NAT, routing of de betrokken beveiligingsmodule onderzoeken.

In SFOS 22 biedt Log Viewer ook Open PCAP wanneer Packet Capture is ingeschakeld, zodat pakketinformatie kan worden geopend. Een ontbrekende Firewall-logregel tijdens een lopende test bewijst nog geen captureprobleem: Firewall-sessies worden normaal pas gelogd wanneer de firewall het Connection Destroy-event ontvangt. Voor directe padanalyse blijft de pakketlijst daarom leidend.

Display Filter gebruiken

Display Filter helpt bij een pakketlijst die al gegevens bevat. Er kan onder andere worden gefilterd op interface, IPv4/IPv6/ARP, Packet type, Source/Destination IP en poort, Reason, Status, Rule ID, User of Connection ID. Allowed is daar ook beschikbaar als filterwaarde voor toegestane pakketten; de pakketregels zelf tonen verwerkingsstappen zoals Incoming of Forwarded.

Onder User kiest men een gebruiker uit de lijst van bestaande gebruikers. Naast de hierboven toegelichte voorbeelden biedt de keuzelijst Reason nog andere gedocumenteerde waarden: DOS_ATTACK, INVALID_FRAGMENTED_TRAFFIC, ICMP_REDIRECT, SOURCE_ROUTED_PACKET, FRAGMENTED_TRAFFIC, MAC_FILTER, IPMAC_FILTER, NEIGHBOR_POISONING en ICMP ERROR MESSAGE. Behoud de schrijfwijze, inclusief spaties. Kies de waarde die bij de waargenomen regel past om de weergave te beperken; de naam alleen vervangt geen oorzaakanalyse in de betreffende Log Viewer-module.

Bij ARP- of NDP-problemen laat De ARP- en NDP-neighbor-cache controleren zien hoe men de captureweergave vergelijkt met de lokale neighbor-cache en statische koppelingen.

Met Save wordt het filter toegepast en met Clear wordt het gereset. Voor VPN-verkeer stelt men Capture Filter bijvoorbeeld in op een host of netwerk. Als Display Filter de verwachte XFRM- of tunnelinterface aanbiedt, kan de weergave daartoe worden beperkt. Anders leest men In/Out interface rechtstreeks in de pakketregels.

Snelle foutanalyse

Geen pakketten zichtbaar: Capture Filter en Display Filter controleren. Bij FQDN’s en CDN’s het actuele bestemmings-IP controleren; bij NAT aanvankelijk alleen op Source IP filteren. Blijft de lijst leeg, controleer dan clientgateway, VLAN, switchpoort en voorliggende apparaten.

Client bereikt internet niet: Filter op het client-IP en bijvoorbeeld TCP 443. Komt niets aan, dan ligt de oorzaak vóór de firewall. Komt het verzoek aan maar wordt het niet doorgestuurd, controleer dan firewallregel, NAT en routing.

Alleen Incoming zichtbaar: Zoek naar Forwarded, Consumed of Violation en zorg dat het filter de volgende stappen niet verbergt. In SFOS 22.0.1 MR1 Build 490 kunnen default drops met Firewall ID 0 door Known Issue NC-178387 zonder regel Violation Firewall verschijnen. Volgens het Known Issues-item plant Sophos een oplossing in de volgende maintenance release; het item noemt geen specifieke versie of build waarvoor de fix bevestigd is. De beschikbaarheid van MR2 alleen bewijst daarom geen fix. Zolang de fix niet bevestigd is voor de gebruikte build, controleer met Policy tester of maak voor de betrokken flow een expliciete gelogde dropregel aan het einde van de firewallregellijst. Stel bron- en bestemmingszones gericht in; details staan in Verworpen pakketten op Sophos Firewall analyseren.

Forwarded, maar geen antwoord: Controleer retourroute, NAT, doelsysteem, lokale firewall van het doel en de tegenpartij. Forwarded bewijst alleen dat Sophos Firewall het pakket heeft doorgestuurd.

Onverwachte Rule ID of NAT ID: Vergelijk de ID’s met Log Viewer en de regelpositie. Wijzig niet meerdere regels tegelijk; Sophos Firewall-regel matcht niet helpt bij matchingproblemen.

DNAT werkt niet: Controleer of de request op WAN aankomt, welke NAT ID deze verwerkt en of deze naar de interne server wordt doorgestuurd. Verschijnt niets op WAN, dan ligt de oorzaak vaak vóór de firewall. Een server publiceren met DNAT toont de volledige configuratie.

VPN-verkeer ontbreekt: Leg vast op host, netwerk of protocol. Selecteer de verwachte tunnel- of XFRM-interface in Display Filter als deze daar beschikbaar is. Controleer anders de waarden voor In/Out interface in de pakketregels. Voor verdere analyse past Sophos Firewall IPsec-probleemoplossing.

Webfilter blokkeert onverwacht: Packet Capture toont de pakketstroom, maar niet de volledige Web-, Application Control- of SSL/TLS-beslissing. Controleer deze in de passende Log Viewer-module.

Kleine tests werken, maar grote overdrachten lopen vast: Let in WebAdmin op ontbrekende antwoorden en pakketgroottes. Retransmissies kunnen betrouwbaar worden onderzocht met een PCAP-bestand in Wireshark. Controleer ook MTU en MSS.

Packet Capture start niet: Maak eerst de buffer leeg en controleer het nieuwe browservenster. Blijft het probleem bestaan, start dan onder System services > Services de dienst Packet capture and Live connections opnieuw. De herstart onderbreekt ook tijdelijk de weergave Live Connections.

Privacy en overschakelen naar tcpdump

Opnamegegevens kunnen interne IP-adressen, hostnamen, gebruikersnamen, communicatierelaties en bij onversleutelde protocollen ook payload bevatten. Controleer vóór delen de ontvanger, omvang en bewaartermijn; vaak volstaan enkele relevante regels in plaats van de volledige opname.

Voor langere opnamen, een specifieke interface, een vast pakketaantal, Snap Length of een .pcap-bestand gebruikt men tcpdump op Sophos Firewall. Draag het bestand daarna veilig over en verwijder het van de firewall.