Een upstream proxy op Sophos Firewall configureren en testen

Een upstream proxy, ook parent proxy genoemd, is de volgende proxy-instantie achter Sophos Firewall. Interne clients sturen hun Web Requests eerst naar de Web Proxy van de firewall. De firewall inspecteert het verkeer en stuurt het daarna door naar de bovenliggende proxy. Pas die proxy bouwt de verbinding met internet op.

Sophos Firewall ondersteunt precies één upstream proxy. DPI Engine kan dit pad niet gebruiken. De betreffende webregels moeten daarom de proxy-modus met Use web proxy instead of DPI engine gebruiken.

⚠️ De parent proxy is een globale afhankelijkheid voor Web Requests in proxy-modus. Documenteer vóór activering een actuele backup, een onafhankelijke beheerverbinding, de bestaande proxyregels, het oorspronkelijke NAT-pad en een getest retourpad. Sophos Firewall biedt geen tweede parent-proxyvermelding als ingebouwd failoverdoel.

Deze procedure behandelt doorgestuurde HTTP- en HTTPS-requests uit interne netwerken. Ze beweert niet dat systeemverkeer van de firewall, firmware-updates of licentieverbindingen hetzelfde parent-proxypad gebruiken.

Upstream proxy in tien stappen

1. Een beheerde pilotclient, één toegestane en één geblokkeerde webrequest vastleggen.
2. Bepalen of de parent proxy in WAN, LAN of DMZ staat.
3. Proxy-IP, poort, optioneel serviceaccount, routing en retourpad documenteren.
4. De proxy als IP Host aanmaken en controleren of de firewall hem kan bereiken.
5. Onder Routing > Upstream proxy Parent proxy selecteren en adres, poort en optionele aanmeldgegevens invoeren.
6. De webregel van de client op Use web proxy instead of DPI engine zetten en logging inschakelen.
7. Voor een proxy in WAN een beperkte client-naar-proxyregel maken en de effectieve SNAT-regel controleren.
8. Voor een proxy in LAN of DMZ ook het clientpad met MASQ vertalen en een aparte proxy-naar-WAN-regel zonder Web Policy of malwarescan maken.
9. Toegestane, geblokkeerde en directe proxytoegang valideren met Firewall Rule ID, NAT Rule ID, weblogs en proxylogs.
10. Proxy-uitval, HA-failover en rollback in een onderhoudsvenster testen voordat meer netwerken worden toegevoegd.

Twee verbindingen en twee topologieën begrijpen

Het gegevenspad bestaat uit twee afzonderlijke verbindingen:

1. De client stuurt een HTTP- of HTTPS-request naar of door de Web Proxy van Sophos Firewall.
2. Sophos Firewall maakt daarvan een verbinding met de parent proxy, die de request naar internet doorstuurt.

Een browser hoeft dus niet rechtstreeks naar de parent proxy te wijzen. Bij een expliciete Direct Web Proxy met PAC-bestand blijft Sophos Firewall het proxydoel van de client. De parent proxy is de volgende hop achter de firewall.

Parent proxy in WAN

Als de parent proxy in WAN staat, heeft het gegevenspad naast de Web Proxy-regel een firewallregel nodig van de interne clientnetwerken naar de specifieke proxyhost en proxypoort. De bestaande regel Default SNAT IPv4 maskeert doorgaans private bronadressen. Een aparte SNAT-regel is alleen nodig als dit pad een andere Source Translation vereist.

Parent proxy in LAN of DMZ

Als de parent proxy in LAN of DMZ staat, blijft zijn internetpad achter Sophos Firewall. Dan zijn drie extra onderdelen nodig:

• een client-naar-proxyfirewallregel,
• een beperkte MASQ-SNAT-regel uitsluitend voor dit pad,
• een proxy-naar-WAN-regel zonder Web Policy en zonder tweede malware- of contentscan.

Plaats de proxy-naar-WAN-regel boven overlappende regels in Web Proxy-modus. Anders kan verkeer dat de parent proxy genereert opnieuw in het proxypad terechtkomen of anders worden geïnspecteerd dan gepland.

Voorbeeld en vervangbare waarden

Het artikel gebruikt twee alternatieven:

• Pilotclient: CLIENT-WEB-01
• Vast client-IP: 10.20.30.50
• Clientnetwerk: 10.20.30.0/24
• Clientzone: LAN
• Webregel: LAN_Web_ParentProxy_Pilot
• Parent-proxypoort: 3128
• WAN-proxy: PARENT-WAN_192.0.2.80
• WAN-proxy-IP: 192.0.2.80
• DMZ-proxy: PARENT-DMZ_10.20.40.20
• DMZ-proxy-IP: 10.20.40.20
• DMZ-zone: DMZ
• Optioneel proxyaccount: svc_sfos_parent_proxy

192.0.2.80 is een documentatieadres en wordt vervangen door het echte publieke of provider-IP van de upstream proxy. 10.20.40.20 staat voor een interne proxy in een eigen DMZ. Vanuit Sophos Firewall moet het gekozen adres via het geplande pad bereikbaar zijn.

Sophos accepteert een IPv4-adres, IPv6-adres of domeinnaam. Voor een controleerbaar gegevenspad heeft het IP-adres de voorkeur: Sophos raadt dit aan om te voorkomen dat clients de Web Proxy van de firewall omzeilen door de upstream proxy rechtstreeks te benaderen. Een domeinnaam is geen gedocumenteerde tweede proxy of failovermechanisme.

Poort 3128 wordt vaak voor proxies gebruikt, maar is geen onveranderlijke productwaarde. Als de parent proxy een andere listener gebruikt, moeten het host-/serviceobject, de firewallregels, Packet Capture, monitoring en tests allemaal dezelfde poort gebruiken.

Gebruik het optionele account alleen als de parent proxy authenticatie vereist. Gebruik een speciaal serviceaccount met zo weinig mogelijk rechten, documenteer wachtwoordrotatie en eigenaar en sla geen persoonlijke beheeraccounts op.

De parent proxy globaal invoeren

Vóór de wijziging moet de firewall de proxy via het geplande routing- en firewallpad kunnen bereiken. Alleen een open TCP-poort bewijst nog geen werkende proxyauthenticatie of HTTP-forwarding.

1. Onder Hosts and services > IP host de specifieke proxyhost maken.
2. Onder Routing > Upstream proxy Parent proxy selecteren.
3. Het IP-adres of de domeinnaam van de parent proxy invoeren. Voor deze procedure het bevestigde IP gebruiken.
4. De werkelijke proxypoort invoeren, in dit voorbeeld 3128.
5. Alleen een gebruikersnaam en wachtwoord invoeren als de proxy authenticatie vereist.
6. Met Apply opslaan.

Deze instelling werkt niet als één firewallregel die alleen voor de pilot geldt. Beperkte regels en hun volgorde begrenzen de pilot. Leg vóór het opslaan alle bestaande regels vast die al Use web proxy instead of DPI engine gebruiken.

De webregel op proxy-modus zetten

De webregel van het interne netwerk naar WAN koppelt Web Policy en scanning aan het eerste deel van het gegevenspad. Firewallregels op Sophos Firewall legt de algemene regelwerking uit.

Maak een aparte regel voor de pilot of pas een bestaande pilotregel beperkt aan:

• Source zones: LAN
• Source networks and devices: CLIENT-WEB-01 of het bevestigde pilotnetwerk
• Destination zones: WAN
• Destination networks: alleen de geplande webdoelen of bewust Any
• Services: de vereiste HTTP-/HTTPS-services
• Web policy: het voorbereide pilotbeleid
• Scan HTTP and decrypted HTTPS: alleen als de geplande bescherming dit vereist
• Use web proxy instead of DPI engine: ingeschakeld
• Log firewall traffic: ingeschakeld

Web Protection op Sophos Firewall legt uit hoe categorieën, uitzonderingen en echte toegestane en geblokkeerde doelen worden gevalideerd.

De parent proxy werkt niet met DPI Engine. Een groene regelstatus bewijst het werkelijke pad niet. Na het opslaan moet de testrequest de verwachte Firewall Rule ID en Web Policy tonen.

HTTPS-decryptie is een aparte beslissing. Als zowel Sophos Firewall als de parent proxy TLS ontsleutelen, moet duidelijk zijn welke instantie welk certificaat uitgeeft en waar een fout ontstaat. De gecontroleerde TLS Inspection-rollout blijft hiervoor de detailprocedure.

Een parent proxy in WAN aansluiten

Voor een proxy in WAN wordt een extra regel gemaakt die de proxyhop uitdrukkelijk toestaat:

• Name: LAN_to_PARENT-WAN_3128
• Source zones: LAN
• Source networks and devices: 10.20.30.0/24 of de beperktere pilot
• Destination zones: WAN
• Destination networks: PARENT-WAN_192.0.2.80
• Services: een aparte TCP-service voor 3128
• Log firewall traffic: ingeschakeld

De regel mag geen brede algemene LAN-naar-WAN-toestemming worden. Houd proxyhost en proxypoort specifiek. Controleer na de test met de Firewall Rule ID dat precies deze regel overeenkomt.

In een standaardconfiguratie maskeert Default SNAT IPv4 vaak private clientadressen. Controleer toch de effectieve NAT Rule ID in Log Viewer en Packet Capture. Een nieuwe SNAT-regel is alleen zinvol als de providerproxy een specifiek bronadres vereist of het bestaande NAT-pad niet overeenkomt. NAT op Sophos Firewall legt de basis uit.

Een parent proxy in LAN of DMZ aansluiten

Houd bij een proxy in LAN of DMZ het eigen internetverkeer gescheiden van het client-naar-proxypad.

De client-naar-proxyregel maken

De eerste regel staat alleen het bevestigde clientpad toe:

• Name: LAN_to_PARENT-DMZ_3128
• Source zones: LAN
• Source networks and devices: 10.20.30.0/24 of de beperktere pilot
• Destination zones: DMZ
• Destination networks: PARENT-DMZ_10.20.40.20
• Services: een aparte TCP-service voor 3128
• Log firewall traffic: ingeschakeld

Gebruik de werkelijke zone als de proxy in LAN staat. In de productieprocedure van Avanet is Any niet nodig als Source of Destination.

SNAT alleen voor dit pad maken

Maak onder Rules and policies > NAT rules een beperkte Source NAT-regel:

• Original source: 10.20.30.0/24 of de beperktere pilot
• Translated source (SNAT): MASQ
• Original destination: PARENT-DMZ_10.20.40.20
• Translated destination (DNAT): Original
• Original service: TCP 3128
• Inbound interface: de bevestigde clientinterface of bewust Any
• Outbound interface: de interface naar de proxy of bewust Any

Stel de interfacevelden alleen in als het werkelijke pad stabiel is. Een verkeerde interface verhindert een match. Valideer de regel met de verwachte NAT Rule ID, niet alleen op basis van de positie.

De proxy-naar-WAN-regel zonder tweede webinspectie maken

De parent proxy heeft een aparte regel nodig voor zijn internetverbindingen:

• Name: PARENT-DMZ_to_WAN
• Source zones: DMZ
• Source networks and devices: PARENT-DMZ_10.20.40.20
• Destination zones: WAN
• Destination networks: de vereiste doelen of bewust Any
• Web policy: None
• Malware and content scanning: uitgeschakeld
• Log firewall traffic: ingeschakeld

Plaats deze regel boven andere regels die in Web Proxy-modus dezelfde Source/Destination-combinatie kunnen matchen. Een IPS Policy kan bewust worden gekozen als de bedrijfsvoering dit voor het proxy-naar-WAN-pad vereist. Pas Web Policy en malwarescanning hier niet opnieuw toe.

Voor de WAN-hop van de parent proxy geldt opnieuw de SNAT-regel die werkelijk matcht. Default SNAT IPv4 kan voldoende zijn; de NAT Rule ID beslist.

Het gegevenspad gecontroleerd valideren

Een geslaagde test bevestigt niet alleen dat een willekeurige website opent. Hij verbindt client, regel, NAT, Web Policy en parent proxy in één tijdlijn.

1. Tijd met tijdzone, pilot-IP, doel-URL en verwachte actie noteren.
2. Een toegestane HTTP- of HTTPS-pagina openen.
3. Een categorie of test-URL openen die de pilot-Web Policy moet blokkeren.
4. In Log Viewer de verwachte Firewall Rule ID, NAT Rule ID, Web Policy, actie, Source en Destination controleren.
5. In de logging of monitoring van de parent proxy bevestigen dat beide requests van de verwachte Sophos- of NAT-Source komen.
6. In Built-in Packet Capture host 192.0.2.80 and port 3128, of het echte proxy-IP, gebruiken om het heen- en retourpad te controleren.
7. Vanaf de pilotclient directe toegang tot proxy-IP en proxypoort testen. Als het adres van de parent proxy als IP is ingevoerd, moet het Sophos-beleid ook voor dit pad gelden; een niet-geteste bypass is een stopvoorwaarde.
8. De parent proxy gecontroleerd onbereikbaar maken of de testpoort in een onderhoudsvenster blokkeren. Het waargenomen fout- en alarmeringsgedrag documenteren zonder een automatische tweede proxy te veronderstellen.

De test slaagt pas als de toegestane en geblokkeerde requests correct werken, de parent proxy beide ziet en directe toegang het beveiligingsbeleid niet omzeilt. Een firewallregel systematisch testen legt de validatie met Rule ID’s en Packet Capture in detail uit.

HA apart testen

In Active-Active kan Sophos parent-proxy-TCP-verkeer over de nodes verdelen. Elke node bewaart echter alleen logs voor het verkeer dat hij zelf heeft verwerkt. Onderzoek daarom bij troubleshooting beide nodes of de node die het verkeer op het moment van het incident verwerkte.

Herhaal een gecontroleerde failover met een nieuwe browserverbinding. Controleer daarna opnieuw Firewall Rule ID, NAT Rule ID, parent-proxylog en de toegestane en geblokkeerde acties. Ga er niet van uit dat een bestaande proxyverbinding zonder onderbreking doorgaat.

Fouten systematisch afbakenen

Websites openen rechtstreeks, maar niet via de parent proxy

• Controleren of de webregel van de client Use web proxy instead of DPI engine gebruikt.
• De werkelijke Firewall Rule ID en regelvolgorde controleren.
• Route, proxy-IP, poort, NAT Rule ID en retourpad controleren.
• Bij authenticatie gebruikersnaam, wachtwoord, blokkeerstatus en parent-proxylog vergelijken.
• Een open TCP-poort bewijst geen succesvolle proxyrequest of geldige authenticatie.

De parent proxy antwoordt met 407 of een authenticatiefout

Controleer aanmeldgegevens en accountstatus op de parent proxy. Sla geen persoonlijk beheeraccount op als snelle omweg. Werk na een wachtwoordwijziging de globale vermelding gecontroleerd bij, test een nieuwe verbinding en trek toegang tot het oude secret in.

Een proxy in LAN of DMZ bereikt internet niet

• De client-naar-proxyregel en Rule ID controleren.
• De beperkte MASQ-regel en NAT Rule ID controleren.
• De proxy-naar-WAN-regel, positie en werkelijke proxy-Source controleren.
• Controleren dat Web policy op None staat en Malware and content scanning niet opnieuw is ingeschakeld.
• Route en SNAT voor de WAN-hop van de parent proxy afzonderlijk controleren.

De Web Policy wordt dubbel toegepast of het pad loopt in een lus

De proxy-naar-WAN-regel moet vóór overlappende regels in Web Proxy-modus staan. Vergelijk Source, Destination, Service en Rule ID van elke hop. Zoek in awarrenhttp.log, fwlog.log, firewall_rule.log en nat_rule.log naar dezelfde tijd, client-IP, proxy-IP en het doeladres. Sophos Firewall-servicelogs legt de bestandsindeling uit.

Start geen proxydiensten opnieuw en laat debuguitvoer niet ingeschakeld. Bewaar eerst gegevens uit Log Viewer, Packet Capture en de beschikbare logbestanden. awarrenhttp_access.log bevat alleen bij ingeschakelde debug gedetailleerde afzonderlijke requests en is daarom geen standaardbewijs voor elk incident.

HTTPS toont onverwachte certificaten of certificaatfouten

Bepaal of Sophos Firewall, de parent proxy of beide TLS ontsleutelen. Vergelijk het uitgeverscertificaat in de browser, de matchende Web Policy, de SSL/TLS Inspection Rule en het upstream-proxylog. Wijzig CA-distributie, decryptie en parent-proxyregels niet tegelijk op basis van alleen een vermoeden.

Alleen bepaalde toepassingen omzeilen de proxy

Niet elke toepassing gebruikt de proxyinstellingen van browser of besturingssysteem. De parent proxy is geen algemene tunnel voor willekeurig TCP- of UDP-verkeer. Leg het werkelijke gegevenspad en de matchende firewallregel van de betreffende toepassing vast in plaats van het gedrag van alle programma’s af te leiden uit een geslaagde browsertest.

Beheer en rollback

De enige parent proxy is een gedocumenteerde afhankelijkheid. Monitoring moet meer dan de TCP-poort controleren: gebruik een echte HTTP- of HTTPS-request, authenticatie, latency en de verwachte upstreamreactie. Documenteer eigenaar, onderhoudsvenster, verloopdatum van het secret en herstelpad.

Voor een rollback:

1. Tijd, configuratie, Rule ID’s en NAT Rule ID’s van vóór de wijziging bewaren.
2. Onder Routing > Upstream proxy de gedocumenteerde vorige toestand herstellen.
3. De webregel van de client terugzetten naar de vorige DPI- of proxy-modus.
4. Tijdelijke client-naar-proxy-, proxy-naar-WAN- en SNAT-regels pas uitschakelen nadat het vervangende pad is bevestigd.
5. Een nieuwe browser- of toepassingsverbinding openen en de toegestane en geblokkeerde requests herhalen.
6. In HA de test herhalen voor de huidige verwerkende node en na een geplande failover.
7. Ongebruikte proxytoegang en secrets pas na succesvolle validatie verwijderen.

Checklist

• Een actuele backup, onafhankelijke beheerverbinding en vorige toestand zijn gedocumenteerd.
• Proxylocatie WAN, LAN of DMZ, IP, poort, routing en retourpad zijn bevestigd.
• De parent proxy is als IP ingevoerd of de FQDN-keuze is gemotiveerd.
• De webregel van de client gebruikt Use web proxy instead of DPI engine.
• Client-naar-proxyregel, Firewall Rule ID en proxypoort komen overeen.
• Voor LAN/DMZ bestaan beperkte MASQ-SNAT- en proxy-naar-WAN-regels.
• De proxy-naar-WAN-regel heeft Web Policy None en geen tweede malwarescan.
• Toegestane, geblokkeerde en directe proxytoegang zijn getest.
• Parent-proxy-uitval, alarmering, HA-failover en rollback zijn getest.
• Eigenaar, secretrotatie, monitoring en beoordelingsdatum zijn gedocumenteerd.

Veelgestelde vragen