Sophos Firewall Packet Capture gebruiken in WebAdmin

Onder Diagnostics > Packet capture kan één netwerkflow rechtstreeks in WebAdmin worden gevolgd. Stel een nauwkeurig BPF-filter in, start de opname, reproduceer het probleem één keer en controleer daarna interfaces, Rule ID, NAT ID, Status en Reason.

Packet Capture toont de werkelijke pakketstroom. Welke policy de beslissing heeft genomen, controleert men daarnaast in Log Viewer. Voor langere opnamen of een .pcap-bestand is tcpdump via SSH nodig, omdat de WebAdmin-opname niet als PCAP kan worden gedownload.

Als de verbinding al is opgebouwd en eerst alleen de actieve sessie met gebruiker, interfaces, Rule ID, NAT ID of gateway moet worden gevonden, begin dan met Live Connections en Connection List. Packet Capture volgt wanneer het daadwerkelijke heen- en terugpad moet worden bewezen.

Packet Capture in zes stappen

1. Source IP, bestemming, protocol, poort en testtijd noteren. Voorbeeld: client 172.16.10.25 naar 93.184.216.34 via TCP 443.
2. Diagnostics > Packet capture openen en op Configure klikken.
3. Een BPF-string instellen en opslaan, bijvoorbeeld host 172.16.10.25 and port 443.
4. Packet Capture op Trace On zetten. In actuele SFOS-versies verschijnen de pakketdetails in een nieuw browservenster.
5. Precies één test reproduceren en de opname daarna met Trace Off stoppen.
6. De volgorde van onder naar boven lezen en letten op In/Out interface, Rule ID, NAT ID, Status, Reason en antwoordpakketten.

Als de BPF-string tijdens een lopende opname wordt gewijzigd, Packet Capture eerst op Trace Off en daarna weer op Trace On zetten, zodat het nieuwe filter wordt toegepast.

⚠️ Een brede, doorlopende opname maakt de analyse onoverzichtelijk en verzamelt onnodig veel bedrijfsgegevens. Stel een nauwkeurig filter in, houd de test kort en schakel Packet Capture daarna uit.

Een gericht Capture Filter instellen

Het Capture Filter bepaalt vóór de opname welke pakketten in de buffer van 2048 KB terechtkomen. Het Display Filter beperkt alleen de weergave van reeds opgenomen gegevens. Een interface selecteert men daarom niet in het Capture Filter, maar later in het Display Filter.

Voor een HTTPS-test moeten minimaal bron, bestemming en poort bekend zijn. Als de bestemming door DNS, een CDN of NAT nog onduidelijk is, kan men beter alleen met de Source IP beginnen en de zichtbare flow daarna verder beperken.

Voor de start moeten deze punten vaststaan:

• Source IP en actuele Destination IP
• protocol en Source- en Destination-port, voor zover relevant
• verwachte inkomende en uitgaande interface of de zones
• verwachte Firewall Rule en NAT Rule
• verwacht resultaat, zoals toegestaan, geblokkeerd, DNAT, SNAT of VPN
• exacte testtijd en één reproduceerbare actie

BPF-voorbeelden

• Host: host 10.10.10.1
• Source IP: src host 10.10.10.1
• Destination IP: dst host 10.10.10.1
• Netwerk: net 10.10.10.0/24
• Poort: port 443
• Doelpoort: dst port 443
• Protocol: proto TCP, proto UDP of proto ICMP

Een gerichte webtest kan er zo uitzien:

host 172.16.10.25 and host 93.184.216.34 and port 443

Voor een pingtest volstaat meestal:

host 172.16.10.25 and proto ICMP

Sophos documenteert deze BPF-basisvormen. Dat garandeert niet automatisch dat elke willekeurige tcpdump-expressie in WebAdmin werkt.

Bij NAT is het perspectief belangrijk: een filter op het interne client-IP kan de WAN-zijde na MASQ verbergen. Als pakketten ontbreken, eerst alleen op bron, bestemming of poort filteren en controleren of beide richtingen zichtbaar blijven.

Buffer en opnameopties

• Number of bytes to capture (per packet) bepaalt hoeveel bytes per pakket worden opgeslagen. Voor een eerste test zijn headergegevens vaak voldoende.
• Zonder Wrap capture buffer once full stopt de opname automatisch bij 2048 KB. Met Wrap worden de oudste gegevens overschreven.
• Clear maakt de buffer leeg vóór een nieuwe test.
• De opname loopt door wanneer men in WebAdmin naar een andere pagina gaat. Zet haar daarom na de test bewust op Trace Off.

Resultaten correct lezen

Een pakketstroom verschijnt meerdere keren omdat de firewall ingress en egress op de interfaces vastlegt. Een volledige pinguitwisseling bestaat meestal uit vier regels: het verzoek komt binnen op LAN, verlaat WAN, het antwoord komt binnen op WAN en verlaat LAN. De nieuwste vermeldingen staan bovenaan; voor de chronologische volgorde leest men de lijst van onder naar boven.

De belangrijkste velden

• In interface / Out interface: Waar het pakket aankomt en via welke interface het vertrekt.
• Source IP / Destination IP / Ports: Welke flow wordt bekeken.
• Rule ID: Welke firewallregel het verkeer verwerkt.
• NAT ID: Welke NAT-regel betrokken is.
• Status: Wat de firewall in deze pakketstap doet.
• Reason: Waarom een pakket wordt verworpen.

De pakketlijst bevat zo nodig extra velden zoals Connection ID, Gateway ID, Username en Web-, Application- of IPS-policy-ID’s. Voor het geselecteerde pakket toont de detailweergave daarnaast headers en Hex- en ASCII-gegevens.

Status correct interpreteren

• Incoming: Het pakket is op een interface ontvangen; een latere beslissing is daarmee nog niet bewezen.
• Forwarded: De firewall heeft het pakket via een uitgaande interface doorgestuurd.
• Consumed: Het pakket is voor de firewall zelf bestemd, bijvoorbeeld voor WebAdmin, VPN Portal, SSH, DNS of een VPN-dienst.
• Generated: De firewall heeft het pakket zelf gegenereerd, bijvoorbeeld als antwoord of door een systeemdienst.
• Violation: De firewall heeft het pakket wegens een policy-overtreding verworpen.

Bij Consumed zijn vaak Administration > Device access, een Local Service ACL of de betrokken firewalldienst bepalend. Sophos Firewall Device Access beveiligen legt de relevante configuratie uit.

Rule ID, NAT ID en Reason samen controleren

Een onverwachte Rule ID bewijst niet dat een regel defect is. Controleer eerst regelvolgorde, zones en matching in Log Viewer. De volledige procedure staat in Een Sophos Firewall-regel correct testen.

Bij NAT kan dezelfde flow vóór en na de vertaling met andere adressen verschijnen. De verwachte NAT ID, In/Out interface en antwoordpakketten zijn doorslaggevend. NAT op Sophos Firewall begrijpen legt de vertaallogica uit.

Als Reason bijvoorbeeld LOCAL_ACL, IPS, APPLICATION_FILTER, USER_IDENTITY of IP_SPOOF toont, controleer dan de betreffende module in Log Viewer. Een uitgebreide indeling staat in Verworpen pakketten op Sophos Firewall analyseren.

Voor de vergelijking met Log Viewer:

1. Log Viewer en Packet Capture naast elkaar openen.
2. Capture Filter instellen en precies één test reproduceren.
3. In Packet Capture interfaces, antwoordpakketten, Rule ID en NAT ID controleren.
4. In de passende Log Viewer-module controleren welke regel of Security Policy de beslissing heeft genomen.
5. Pas daarna gericht de regel, NAT, routing of de betrokken beveiligingsmodule onderzoeken.

Display Filter gebruiken

Display Filter helpt bij een pakketlijst die al gegevens bevat. Er kan onder andere worden gefilterd op interface, IPv4/IPv6/ARP, Packet type, Source/Destination IP en poort, Reason, Status, Rule ID, User of Connection ID. Allowed is daar ook beschikbaar als filterwaarde voor toegestane pakketten; de pakketregels zelf tonen verwerkingsstappen zoals Incoming of Forwarded.

Bij ARP- of NDP-problemen laat De ARP- en NDP-neighbor-cache controleren zien hoe men de captureweergave vergelijkt met de lokale neighbor-cache en statische koppelingen.

Met Save wordt het filter toegepast en met Clear wordt het gereset. Voor VPN-verkeer stelt men Capture Filter bijvoorbeeld in op een host of netwerk en beperkt men de weergave daarna tot de verwachte XFRM- of tunnelinterface.

Snelle foutanalyse

Geen pakketten zichtbaar: Capture Filter en Display Filter controleren. Bij FQDN’s en CDN’s het actuele bestemmings-IP controleren; bij NAT aanvankelijk alleen op Source IP filteren. Blijft de lijst leeg, controleer dan clientgateway, VLAN, switchpoort en voorliggende apparaten.

Client bereikt internet niet: Filter op het client-IP en bijvoorbeeld TCP 443. Komt niets aan, dan ligt de oorzaak vóór de firewall. Komt het verzoek aan maar wordt het niet doorgestuurd, controleer dan firewallregel, NAT en routing.

Alleen Incoming zichtbaar: Zoek naar Forwarded, Consumed of Violation en zorg dat het filter de volgende stappen niet verbergt. In SFOS 22.0 MR1 kunnen default drops met Firewall ID 0 door Known Issue NC-178387 zonder regel Violation Firewall verschijnen. Controleer dan met Policy tester of maak voor de betrokken flow een expliciete gelogde dropregel aan het einde van de firewallregellijst. Stel bron- en bestemmingszones gericht in; details staan in Verworpen pakketten op Sophos Firewall analyseren.

Forwarded, maar geen antwoord: Controleer retourroute, NAT, doelsysteem, lokale firewall van het doel en de tegenpartij. Forwarded bewijst alleen dat Sophos Firewall het pakket heeft doorgestuurd.

Onverwachte Rule ID of NAT ID: Vergelijk de ID’s met Log Viewer en de regelpositie. Wijzig niet meerdere regels tegelijk; Sophos Firewall-regel matcht niet helpt bij matchingproblemen.

DNAT werkt niet: Controleer of de request op WAN aankomt, welke NAT ID deze verwerkt en of deze naar de interne server wordt doorgestuurd. Verschijnt niets op WAN, dan ligt de oorzaak vaak vóór de firewall. Een server publiceren met DNAT toont de volledige configuratie.

VPN-verkeer ontbreekt: Leg vast op host, netwerk of protocol en selecteer de verwachte tunnel- of XFRM-interface in Display Filter. Voor verdere analyse past Sophos Firewall IPsec-probleemoplossing.

Webfilter blokkeert onverwacht: Packet Capture toont de pakketstroom, maar niet de volledige Web-, Application Control- of SSL/TLS-beslissing. Controleer deze in de passende Log Viewer-module.

Kleine tests werken, maar grote overdrachten lopen vast: Let in WebAdmin op ontbrekende antwoorden en pakketgroottes. Retransmissies kunnen betrouwbaar worden onderzocht met een PCAP-bestand in Wireshark. Controleer ook MTU en MSS.

Packet Capture start niet: Maak eerst de buffer leeg en controleer het nieuwe browservenster. Blijft het probleem bestaan, start dan onder System services > Services de dienst Packet capture and Live connections opnieuw. De herstart onderbreekt ook tijdelijk de weergave Live Connections.

Privacy en overschakelen naar tcpdump

Opnamegegevens kunnen interne IP-adressen, hostnamen, gebruikersnamen, communicatierelaties en bij onversleutelde protocollen ook payload bevatten. Controleer vóór delen de ontvanger, omvang en bewaartermijn; vaak volstaan enkele relevante regels in plaats van de volledige opname.

Voor langere opnamen, een specifieke interface, een vast pakketaantal, Snap Length of een .pcap-bestand gebruikt men tcpdump op Sophos Firewall. Draag het bestand daarna veilig over en verwijder het van de firewall.