Publikuj serwer poprzez DNAT do Sophos Firewall

Użycie DNAT powoduje publikację wewnętrznego serwera poprzez publiczny adres IP lub port. Następnie Sophos Firewall przekazuje ruch przychodzący do wewnętrznego serwera docelowego. Typowe typy serwerów WWW, zwrotnych serwerów proxy, bramek VPN lub innych opcji w strefie DMZ.

Szerszy kontekst hardening opisuje hub Sophos Firewall Hardening: best practices dla bezpiecznej konfiguracji.

Artykuł wyjaśnia, które punkty należy sprawdzić przed i po regule DNAT oraz jak najlepiej zabezpieczyć zwolnienie.

Planowanie przed wydaniem

Przed wydaniem DNAT powinno być jasne, czy usługa naprawdę musi być publicznie dostępna i który wariant techniczny jest dla niej najlepszy. Dobre planowanie zapobiega otwieraniu portów, duplikowaniu reguł NAT i trudnym do podążania ścieżkom powrotnym.

Wymagania wstępne

• Public IP address or WAN interface
• Serwer wewnętrzny ze stałym adresem IP
• Znana usługa i port, na przykład TCP 443
• Pasująca reguła zapory sieciowej
• Opcjonalnie: IPS, ochrona serwera WWW lub odwrotne proxy w zależności od usługi

⚠️ DNAT publikuje usługę wewnętrzną dla świata zewnętrznego. Każda opublikowana usługa zwiększa powierzchnię ataku. Publikowane powinno być tylko to, co jest naprawdę konieczne. Źródło, port i miejsce docelowe powinny być jak najwęższe.

Wyjaśnij wcześniej

Przed systemem sterowania powinieneś odpowiedzieć na następujące pytania:

• Który publiczny adres IP lub interfejs WAN jest używany?
• Który zewnętrzny port ma być osiągalny?
• Na który wewnętrzny adres IP ma być przekierowany ruch?
• Czy port pozostaje taki sam, czy został przetłumaczony?
• Czy dostęp powinien być dozwolony zewsząd, czy tylko z określonych sieci źródłowych?
• Czy należy brać pod uwagę źródło NAT lub zwrotne NAT?
• Czy istnieje potrzeba stosowania reguły pętli zwrotnej dla klientów wewnętrznych korzystających z publicznego FQDN?
• Czy zostanie opublikowany tylko jeden serwer wewnętrzny, czy wiele serwerów z równoważeniem obciążenia?
• Czy istnieje już reguła korzystająca z tego samego portu?
• Czy Sophos Firewall znajduje się bezpośrednio w Internecie, czy za routerem dostawcy?
• Czy w grupie zabezpieczeń Cloud należy otworzyć dodatkowe reguły?

Ta informacja zapobiega późniejszym konfliktom z istniejącymi NAT lub regułami zapory.

Jeśli terminy Original source, Original destination, Translated destination, Translated service, pętla zwrotna lub reguła zwrotna są w dalszym ciągu niejasne, powinieneś najpierw przeczytać NAT, aby zrozumieć Sophos Firewall: SNAT, DNAT, MASQ, PAT. Ta strona skupia się na konkretnej publikacji usługi wewnętrznej.

DNAT, WAF, VPN czy ZTNA?

Nie każda publicznie dostępna usługa powinna być automatycznie publikowana za pośrednictwem DNAT. DNAT jest technicznie proste, ale także bardzo bezpośrednie: zapora ogniowa przekazuje port do wewnętrznego miejsca docelowego. To, czy ma to sens, zależy od usługi, źródeł i potrzeby ochrony.

• Usługa inna niż HTTP z jasno określonymi źródłami: DNAT z ścisłymi ograniczeniami źródła, logowanie i IPS mogą się zmieścić.
• Aplikacja HTTP lub HTTPS: Najpierw sprawdź Sophos Firewall WAF.
• Dostęp administratora, taki jak SSH, RDP lub wewnętrzny portal administratora: Jeśli to możliwe, użyj VPN, ZTNA lub stałego źródłowego adresu IP zamiast otwartego DNAT.
• Dostęp tylko dla kilku partnerów lub lokalizacji: Preferuj źródłowy adres IP, VPN lub połączenie typu site-to-site.
• Aplikacja powinna być dostępna wewnętrznie i zewnętrznie pod tą samą nazwą: Sprawdź podział DNS lub celowo zaplanowaną regułę pętli zwrotnej.

W przypadku klasycznych aplikacji internetowych WAF jest często lepszym punktem wyjścia, ponieważ można uwzględnić nazwy hostów, certyfikaty, ścieżki, profile ochrony sieci i opcjonalnie uwierzytelnianie. W przypadku dostępu administracyjnego DNAT należy używać tylko w wyjątkowych przypadkach. Jeśli usługa wewnętrzna tak naprawdę nie musi być publiczna, VPN lub architektura ZTNA są zwykle czystszym rozwiązaniem. Istniejące podstawy ZTNA są dostępne w Jak skonfigurować Sophos ZTNA i Utwórz bramkę Sophos ZTNA.

Jeśli zapora sieciowa znajduje się za routerem

DNAT działa również, jeśli Sophos Firewall nie ma bezpośrednio publicznego adresu IP, ale znajduje się za routerem NAT od dostawcy.

W tym przypadku potrzebne są dwa przekierowania:

1. Na routerze dostawcy port publiczny jest przekazywany do adresu IP WAN Sophos Firewall.
2. W Sophos Firewall port jest przekazywany do serwera wewnętrznego poprzez DNAT.

Wielu dostawców routerów oferuje klasyczne przekierowanie portów lub funkcję taką jak Host odsłonięty lub Host DMZ. W przypadku odsłoniętej funkcji hosta wiele lub wszystkie porty przychodzące są często przekazywane do zapory ogniowej. Może to być praktyczne, ale powinno być celowo zabezpieczone, ponieważ faktyczna kontrola leży wtedy całkowicie w rękach Sophos Firewall.

Jeśli nie ma stałego publicznego adresu IP, możesz użyć DynDNS. Sophos Firewall może ustawić Dynamiczny DNS tak, aby nazwa DNS zawsze wskazywała bieżący publiczny adres IP. Nadal jest ważne: przekierowanie portów na routerze dostawcy musi wskazywać Sophos Firewall.

Ta sama zasada ma zastosowanie w środowiskach chmurowych. W przypadku platformy Azure sama reguła DNAT dotycząca Sophos Firewall nie wystarczy. Dodatkowo w grupie zabezpieczeń Network należy otworzyć odpowiednie Reguły ruchu przychodzącego, w przeciwnym razie ruch w ogóle nie dotrze do firewalla.

DNAT i skonfiguruj regułę zapory

Publikacja serwera zawsze składa się z dwóch części: reguła NAT tłumaczy miejsce docelowe lub port, reguła zapory sieciowej zezwala na ruch i kontroluje go.

Asystent dostępu do serwera czy ręczna reguła DNAT?

Sophos Firewall oferuje dwa sposoby publikowania na serwerze:

• Asystent dostępu do serwera (DNAT): Pasuje jako szybki domyślny przypadek dla pojedynczej wersji. Kreator automatycznie tworzy wiele reguł i umieszcza je na górze bazy reguł.
• Ręczna reguła DNAT: pasuje do bardziej złożonych środowisk z aliasami IP, PAT, Load Balancing, specjalnymi źródłami lub świadomie zaprojektowanymi regułami. Każde pole trzeba ustawić i przetestować samodzielnie.

Kreator może być pomocny, ponieważ nie tylko tworzy przychodzącą regułę DNAT, ale w zależności od wyboru tworzy także regułę pętli zwrotnej, regułę zwrotną SNAT i odpowiednią regułę zapory ogniowej. Oszczędza to czas, ale nie zastępuje sprawdzania utworzonych reguł.

Użyj Asystenta dostępu do serwera

Kreator to najszybszy sposób na pierwszą publikację. Jest to szczególnie przydatne, gdy pojedynczy serwer wewnętrzny musi być dostępny poprzez adres WAN i przejrzystą usługę.

Procedura:

1. Otwórz Rules and policies > NAT rules.
2. Wybierz IPv4 lub IPv6.
3. Wybierz Add NAT rule > Server access assistant (DNAT). Alternatywnie można uruchomić asystenta także przez Rules and policies > Firewall rules > Add firewall rule.
4. W obszarze Adres IP serwera wewnętrznego wybierz serwer wewnętrzny lub wprowadź adres IP.
5. W polu WAN IP address wybierz interfejs WAN albo publiczny adres IP.
6. Wybierz usługę wewnętrzną w Services, na przykład HTTPS.
7. Ustaw dozwolone źródła w Zewnętrzne sieci i urządzenia źródłowe. W przypadku usług publicznych Any jest odpowiedni tylko wtedy, gdy usługa naprawdę musi być dostępna z całego Internetu.
8. Sprawdź reguły i zapisz za pomocą Save i zakończ.

Kreator bezpośrednio aktywuje wygenerowane reguły i umieszcza je na górze tabel NAT i reguł zapory ogniowej. Właśnie dlatego konieczna jest recenzja po zapisaniu. Automatycznie wygenerowana reguła może technicznie działać, a mimo to być zbyt szeroka, umieszczona zbyt wysoko lub mieć niewłaściwą nazwę do działania.

W przypadku automatycznie generowanej reguły sprzężenia zwrotnego należy wybrać interfejs zapory sieciowej jako cel WAN. Jeśli zamiast tego zostanie wprowadzony publiczny adres IP, kreator nie wygeneruje automatycznie tej samej logiki sprzężenia zwrotnego. W wielu środowiskach podział DNS jest i tak wyraźniejszy niż pętla zwrotna NAT.

Po użyciu asystenta należy zawsze sprawdzić:

• Czy NAT i reguła zapory sieciowej znajdują się we właściwej pozycji?
• Czy źródło jest naprawdę tak ciasne, jak planowano, czy nadal znajduje się na poziomie Any?
• Czy utworzono regułę pętli zwrotnej, mimo że podział DNS byłby czystszym rozwiązaniem?
• Czy utworzono regułę refleksyjną, która nie jest potrzebna dla wychodzącego ruchu serwerowego?
• Czy reguła zapory sieciowej pasuje do strefy docelowej po NAT i publicznego obiektu docelowego przed NAT?

W środowiskach produkcyjnych ręcznie nazwana i celowo umieszczona reguła DNAT jest często łatwiejsza do zrozumienia. Kreator jest dobry do szybkiego startu, ale utworzone reguły podlegają tej samej recenzji, co reguły utworzone ręcznie.

Tworzenie reguły DNAT

Typowy przykład podręcznika DNAT publikuje zewnętrznie TCP 443 na wewnętrznym serwerze internetowym w strefie DMZ. Reguła tłumaczy tylko adres docelowy i opcjonalnie port docelowy. Nie zastępuje to reguły zapory sieciowej.

Procedura:

1. Otwórz Rules and policies > NAT rules.
2. Wybierz IPv4 lub IPv6.
3. Wybierz Add NAT rule > New NAT rule.
4. Ustaw Rule name mówiący, na przykład DNAT_WEB_DMZ_HTTPS.
5. Wybierz Rule position, aby określone reguły DNAT poprzedzały reguły ogólne.
6. Ustaw Oryginalne źródło na dozwolone źródła zewnętrzne. Używaj Any wyłącznie w przypadku celowo usług publicznych.
7. Ustaw Oryginalne miejsce docelowe na obiekt hosta WAN, publiczny adres IP lub odpowiedni interfejs WAN.
8. Ustaw Oryginalna usługa na usługę dostępną zewnętrznie, na przykład HTTPS.
9. Ustaw Przetłumaczone miejsce docelowe (DNAT) na serwer wewnętrzny lub grupę serwerów.
10. Pozostaw Translated service (PAT) na Original lub ustaw wewnętrzny port docelowy, jeśli konieczne jest przekierowanie portów.
11. Ustaw świadomie Interfejs przychodzący. W przypadku dostępu do Internetu jest to zazwyczaj interfejs WAN; W szczególnych przypadkach może być konieczne Any.
12. Interfejs wychodzący w DNAT na serwerach wewnętrznych powinien zwykle pozostać w Any, aby routing i strefa docelowa działały prawidłowo.
13. Aktywuj pętlę zwrotną, regułę refleksyjną, równoważenie obciążenia i kontrolę stanu tylko wtedy, gdy są one potrzebne ze względów technicznych.
14. Zapisz i aktywuj regułę.

Jeśli potrzebny jest dostęp tylko do kilku zewnętrznych adresów IP, pierwotnym źródłem nie powinien być Any, ale powinien być ograniczony do tych źródeł.

W wersjach produkcyjnych obiekt hosta dla publicznego adresu IP jest zwykle czystszy niż bezpośrednie wybranie interfejsu WAN. Obiekt pozostaje identyfikowalny, jeśli interfejsy, adresy aliasów lub szczegóły dostawcy ulegną późniejszej zmianie.

Poprawnie zrozum oryginał i tłumaczenie

W przypadku reguł NAT ważne jest rozróżnienie pomiędzy Oryginalnym i Przetłumaczonym.

• Oryginalne źródło/miejsce docelowe/usługa opisuje ruch docierający do Sophos Firewall.
• Przetłumaczone źródło / miejsce docelowe / usługa opisuje ruch opuszczający Sophos Firewall po tłumaczeniu.

Dla przychodzącej reguły DNAT oznacza to:

• Oryginalne miejsce docelowe to publiczny adres IP lub adres WAN zapory ogniowej.
• Oryginalna usługa to port zewnętrzny adresowany przez klienta.
• Przetłumaczone miejsce docelowe (DNAT) to serwer wewnętrzny.
• Usługa tłumaczona (PAT) to wewnętrzny port na serwerze docelowym, jeśli port ma zostać przetłumaczony.
• Przetłumaczone źródło (SNAT) przeważnie pozostaje przy Oryginalnym z normalnymi regułami DNAT.

Przekierowanie portów i PAT

Przekierowanie portów jest technicznie tłumaczeniem usługi. W Sophos Firewall używana jest do tego usługa tłumaczona (PAT).

Przykład:

• Zewnętrzny: TCP 20120
• Wewnętrzny: TCP 22

Klient zewnętrzny łączy się z portem 20120, ale Sophos Firewall przekazuje wewnętrznie do portu SSH 22. Może to być przydatne, ale nie zastępuje ograniczeń dostępu. Zmiana portu zewnętrznego może zmniejszyć część szumów tła, ale nie zapewnia bezpieczeństwa usługi.

Ważne: Protokół musi pozostać taki sam. TCP można przetłumaczyć na inny port TCP, UDP na inny port UDP. TCP na UDP nie jest prawidłową translacją portów.

Po opublikowaniu HTTPS należy również sprawdzić, czy nie ma konfliktów z WebAdmin lub User Portal z Sophos Firewall. Domyślnie konsola administracyjna używa portu HTTPS 4444, portu User Portal HTTPS 443. W przypadku nakładania się porty własne zapory lub opublikowane usługi muszą być wyraźnie oddzielone.

Świadomie planuj źródłowy adres IP i ścieżkę zwrotną

W przypadku normalnego wydania DNAT Przetłumaczone źródło (SNAT) powinno w większości pozostać na poziomie Oryginał. Następnie serwer wewnętrzny widzi rzeczywisty adres IP zewnętrznego źródła. Jest to ważne w przypadku dzienników serwera, limitów szybkości, mechanizmów ochrony typu Fail2Ban, dzienników aplikacji, oceny WAF lub odwrotnego proxy i późniejszej analizy incydentów.

SNAT na zaporze lub adres wewnętrzny może być w dalszym ciągu konieczny, jeśli ścieżka powrotna nie przebiega przez Sophos Firewall. Jest to możliwe, jeśli na przykład opublikowany serwer korzysta z innej bramy domyślnej, znajduje się w obcym segmencie routingu lub ma asymetryczny routing.

Decyzję należy podjąć świadomie:

• Źródło pozostaje Original: Serwer widzi prawdziwy zewnętrzny adres IP. Aby to zrobić, ścieżka powrotna musi przebiegać bez zakłóceń przez zaporę.
• Źródło jest tłumaczone przez SNAT: Ścieżka powrotna jest łatwiejsza do kontrolowania. W tym celu serwer widzi tylko zaporę sieciową lub adres IP SNAT, a prawdziwy adres IP klienta zostaje utracony w dzienniku serwera.

Jeśli usługa działa tylko z SNAT, nie powinieneś się jej trzymać i zostawić temat za sobą. Lepiej najpierw sprawdzić, czy można poprawić bramę, trasę, VLAN, zaporę serwera lub projekt routingu. SNAT może być uzasadnionym obejściem problemu, ale utrudnia późniejszą analizę.

Podczas testowania należy zawsze sprawdzić, jaki źródłowy adres IP faktycznie widzi serwer. Jeśli zamiast adresu IP klienta zewnętrznego pojawia się tylko adres IP zapory sieciowej, należy wyraźnie udokumentować, czy jest to zamierzone.

Sprawdź regułę zapory

Sama reguła NAT nie zezwala automatycznie na ruch. Dodatkowo wymagana jest odpowiednia reguła zapory sieciowej.

W DNAT widok w regule zapory jest nietypowy, ponieważ zapora musi jednocześnie znać pierwotny dostęp z zewnątrz i przetłumaczony cel wewnętrzny.

Najważniejsza praktyczna zasada:

⚠️ W DNAT reguła zapory używa strefy docelowej po NAT, ale sieć docelowa przed NAT.

Proces jest ważny: Kiedy nadchodzi ruch, Sophos Firewall najpierw szuka odpowiedniej reguły DNAT i w ten sposób określa przetłumaczone miejsce docelowe. Następnie dopasowywana jest reguła zapory sieciowej. Dla Destination zone zapora wykorzystuje strefę, w której znajduje się przetłumaczony cel. Jednakże pierwotny obiekt docelowy z reguły DNAT pozostaje istotny dla Sieci docelowych.

Typowe przypisanie:

• Source zone: Przeważnie WAN, gdy dostęp pochodzi z Internetu.
• Sieci i urządzenia źródłowe: W miarę możliwości ograniczone, na przykład pojedyncze adresy IP, sieci, kraje lub grupy.
• Strefy docelowe: Strefa serwera wewnętrznego po DNAT, na przykład DMZ lub SERVER.
• Sieci docelowe: Publiczny adres docelowy lub obiekt hosta WAN z Original destination.
• Services: Usługa zewnętrzna z Original service, czyli portu, do którego klienci uzyskują dostęp z zewnątrz.
• Profil bezpieczeństwa: W zależności od usługi IPS, skanowanie w poszukiwaniu złośliwego oprogramowania, zasady sieciowe lub inna odpowiednia kontrola.
• Logowanie: Włącz dla opublikowanych usług.

Bez odpowiedniej reguły zapory sieciowej ruch jest przerywany pomimo DNAT.

Ten punkt jest częstym źródłem błędów: jeśli jako sieć docelową wpiszesz serwer wewnętrzny, nawet jeśli reguła oczekuje publicznego obiektu WAN, reguła nie będzie pasować. Dokładną logikę opisano bardziej szczegółowo w artykule NAT na temat Sophos Firewall Zrozumienie: SNAT, DNAT, MASQ, PAT.

Kolejność dotyczy również reguł NAT. Sophos sprawdza reguły NAT od góry do dołu i używa pierwszej pasującej reguły. Dlatego też powyższa zbyt ogólna reguła NAT może uniemożliwić zastosowanie konkretnej reguły DNAT.

Istniejące połączenia zachowują tłumaczenie NAT, nawet jeśli później zmienisz regułę NAT. Dlatego podczas testowania po zmianie powinieneś utworzyć nowe sesje lub całkowicie zakończyć stare połączenia, w przeciwnym razie możesz nadal oceniać stary stan.

Rozszerzone opcje NAT

Opcje te mają znaczenie tylko wtedy, gdy klienci wewnętrzni używają nazw publicznych, ścieżki powrotne wymagają specjalnego przetłumaczenia lub gdy zaangażowanych jest wiele serwerów docelowych.

Reguły pętli zwrotnej, zwrotne i połączone NAT

Sophos Firewall oferuje kilka opcji NAT, które można łatwo pomylić:

• Reguła sprzężenia zwrotnego: Pomaga, gdy klienci wewnętrzni powinni łączyć się z wewnętrznym serwerem poprzez publiczny adres IP lub publiczną nazwę DNS.
• Reguła refleksyjna: Tworzy lustrzaną regułę SNAT z regułą DNAT, dzięki czemu ruch powrotny lub pewne przeciwne kierunki są odpowiednio tłumaczone.
• Połączona reguła NAT: Utworzona na podstawie reguły zapory sieciowej i jest powiązaną regułą SNAT. Połączona reguła NAT nie jest tym samym, co przychodząca reguła DNAT dla opublikowanego serwera.

W przypadku klasycznych publikacji serwerowych niezależna reguła DNAT plus odpowiednia reguła zapory sieciowej jest zwykle najjaśniejsza. Połączone reguły NAT mogą być przydatne, jeśli reguła zapory wymaga bezpośrednio specjalnego tłumaczenia SNAT. Jednak w środowiskach ogólnych samodzielne reguły o wyraźnie nazwanych NAT są zwykle łatwiejsze do zrozumienia i utrzymania.

Ważne: Reguły sprzężenia zwrotnego i zwrotnego wywodzą się z oryginalnej reguły DNAT. Jeżeli pierwotna reguła DNAT zostanie później zmieniona, należy osobno sprawdzić reguły pochodne. W przeciwnym razie może się zdarzyć, że dostęp zewnętrzny został poprawnie dostosowany, ale dostęp do wewnętrznej pętli zwrotnej lub ruch wychodzący z serwera nadal będzie przebiegał zgodnie ze starą logiką.

To nie jest kosmetyczny szczegół. Sophos tworzy reguły zwrotne i zwrotne w oparciu o nazwę i identyfikator oryginalnej reguły DNAT, ale późniejsze zmiany w oryginalnej regule nie powodują automatycznej aktualizacji reguł pochodnych. Po zmianach w publicznym adresie IP, serwerze docelowym, usłudze lub źródłach należy zatem świadomie otworzyć i porównać te reguły.

Równoważenie obciążenia i Health Check

Kiedy wiele serwerów wewnętrznych jest opublikowanych za publicznym adresem IP, DNAT może być również użyte do równoważenia obciążenia lub przełączania awaryjnego.

Możliwe metody obejmują:

• Okrężny
• Pierwszy żywy
• Losowo
• Przyklejony adres IP
• Jeden do jednego

Jeśli chcesz, aby zapora sieciowa wykrywała, czy serwer docelowy jest dostępny, należy skonfigurować Kontrolę stanu. Bez Health Check zapora sieciowa może również przekazywać ruch do serwera, do którego nie można się dostać.

Zabezpieczanie i uruchamianie

Opublikowana usługa natychmiast staje się częścią publicznej powierzchni ataku. Dlatego też zamykanie dostępu, rejestrowanie, profile bezpieczeństwa i wyraźne wycofywanie zmian stanowią część uruchomienia.

Zaplanuj uruchomienie i wycofanie

Wydanie DNAT należy traktować jako drobną zmianę produkcyjną. Gdy tylko reguła zostanie aktywowana, dostęp do usługi będzie możliwy z Internetu. Dlatego przed uruchomieniem powinno być jasne, która reguła zostanie aktywowana, w jaki sposób będzie testowany dostęp i jak wrócić w przypadku problemów.

Sprawdź przed uruchomieniem:

• Utwórz kopię zapasową bieżącej konfiguracji zapory lub przynajmniej dokumentu, którego dotyczy NAT i reguły zapory.
• Sprawdź istniejące reguły NAT dla tego samego publicznego adresu IP, portu zewnętrznego i interfejsu WAN.
• Dopasuj router dostawcy, grupę zabezpieczeń w chmurze lub reguły zapory nadrzędnej do konfiguracji Sophos.
• Weź pod uwagę DNS-TTL, gdy nazwa hosta wskazuje na opublikowany adres.
• Przygotuj źródło testowe poza własnym LAN, na przykład sieć komórkową, lokalizację zewnętrzną lub test kontrolowanego portu online.
• Ustaw oczekiwane lokalizacje dzienników: Log Viewer, NAT Rule ID, Firewall Rule ID, Packet Capture i dziennik serwera.
• Zdefiniuj kryteria wycofywania, na przykład niedostępna usługa, serwer nie odpowiada, błąd certyfikatu, profil zabezpieczeń blokuje prawidłowy ruch lub nieoczekiwany źródłowy adres IP na serwerze.

Proste wycofanie polega zazwyczaj na wyłączeniu nowej reguły DNAT i odpowiadającej jej reguły zapory sieciowej. Jeżeli stara publikacja została zastąpiona, powinno być jasne, czy można ponownie aktywować starą regułę, czy też należy najpierw zresetować przekierowanie portów dostawcy, DNS lub monitorowanie.

W przypadku usług krytycznych nie należy zmieniać kilku rzeczy jednocześnie. Jeśli DNS, router dostawcy, reguła NAT, reguła zapory sieciowej i konfiguracja serwera zostaną dostosowane w tym samym czasie, trudno będzie później przypisać błąd. Lepszy jest krótki proces z jasnymi krokami: przygotuj, aktywuj, przetestuj zewnętrznie, sprawdź logi, sprawdź serwery, udokumentuj wyniki.

Ogranicz dostęp tak ściśle, jak to możliwe

Nie każda opublikowana usługa musi być dostępna z całego Internetu. Jeśli to możliwe, dostęp powinien być ograniczony.

Przydatne ograniczenia:

• Zezwalaj tylko na pojedyncze źródłowe adresy IP.
• Zezwalaj na znane hosty FQDN tylko wtedy, gdy lokalizacja zdalna używa dynamicznych adresów IP.
• Zezwalaj tylko na niektóre kraje.
• Jawnie blokuj określone kraje.
• Zezwalaj na dostęp tylko przez VPN.
• Użyj rozwiązania ZTNA zamiast bezpośredniego publikowania.

W przypadku usług administracyjnych, takich jak SSH, RDP lub wewnętrzne portale administracyjne, DNAT zwykle nie jest najlepszym rozwiązaniem. Jeśli dostęp nie musi być publiczny, VPN lub ZTNA jest prawie zawsze lepszym wyborem.

Popraw bezpieczeństwo

W przypadku opublikowanych usług powinieneś sprawdzić:

• Czy serwer jest obecnie poprawiony?
• Czy dostępna jest opcja WAF lub odwrotnego proxy?
• Czy IPS jest aktywne w regule zapory?
• Czy otwarte są tylko niezbędne porty?
• Czy usługa jest zarejestrowana?
• Czy istnieją ograniczenia geograficzne adresu IP, źródła zagrożeń lub źródłowego adresu IP?
• Czy MFA jest możliwe, jeśli jest to portal?

W przypadku aplikacji internetowych opcja Ochrona serwera WWW / WAF może również mieć sens zamiast czystego DNAT.

Boty i źródła zagrożeń

Porty publiczne, takie jak HTTP, HTTPS, SSH lub RDP są stale w centrum uwagi botów. Gdy tylko port stanie się dostępny w Internecie, często szybko zauważysz próby połączenia, skany, próby logowania lub wykorzystania ruchu w Log Viewer.

Nie oznacza to automatycznie, że serwer został naruszony. Pokazuje jednak, że usługa jest częścią publicznej powierzchni ataku. Dlatego zalecamy dodatkowe zabezpieczenie opublikowanych usług za pomocą IPS, rejestrowania, wąskich źródeł i źródeł zagrożeń stron trzecich.

Kanały zagrożeń stale dostarczają zaporze aktualne wskaźniki naruszenia, na przykład złośliwe adresy IP lub domeny. Dzięki temu zapora może blokować znanych napastników, botnety lub skanery, zanim dotrą one do opublikowanej usługi.

Więcej informacji: Sophos Firewall Kanały o zagrożeniach

Test

Po zapisaniu reguły DNAT:

• Test z sieci zewnętrznej, innej niż ta sama LAN
• Sprawdź tylko oczekiwany port publiczny, nie skanuj szeroko pod kątem obcych adresów
• Sprawdź Log Viewer pod kątem Firewall Rule ID, NAT Rule ID, źródła, oryginalnego miejsca docelowego, przetłumaczonego miejsca docelowego oraz statusu dozwolonego lub odrzuconego
• Porównaj Packet Capture ze źródłem zewnętrznym, miejscem docelowym publicznym i miejscem docelowym wewnętrznym
• Sprawdź dzienniki serwera
• Kontroluj widoczny źródłowy adres IP w systemie docelowym

Jeśli test ma zostać przeprowadzony z wewnętrznego LAN na publiczny adres IP, konieczne może być dodatkowe rozwiązanie NAT lub wewnętrzne rozwiązanie DNS.

Matryca testowa dla wydań DNAT

Test pojedynczego portu rzadko wystarcza do produktywnego wydania DNAT. Lepsza jest mała macierz testowa, która oddziela dozwolone i niepożądane ścieżki. Oznacza to, że możesz nie tylko sprawdzić, czy usługa jest dostępna, ale także, czy ograniczenia, rejestrowanie i ścieżki zwrotne działają poprawnie.

Przydatne źródła testów:

• Dozwolone zewnętrzne źródło: Sprawdź połączenie z telefonu komórkowego, lokalizacji zewnętrznej lub sieci partnerskiej pod kątem publicznego adresu IP i portu zewnętrznego. Oczekiwane Firewall Rule ID i NAT Rule ID muszą pojawić się w Log Viewer.
• Zewnętrzne niedozwolone źródło: Jeśli wydanie jest ograniczone do określonych źródeł, test z niedozwolonego źródła powinien celowo zakończyć się niepowodzeniem. W przeciwnym razie ograniczenie źródła jest zbyt szerokie.
• Klient wewnętrzny z wewnętrzną nazwą DNS: Sprawdź, czy użytkownicy wewnętrzni łączą się bezpośrednio z adresem IP serwera wewnętrznego. Jest to często czystsze niż pętla zwrotna NAT.
• Klient wewnętrzny z publicznym FQDN: Testuj tylko, czy ten dostęp jest naprawdę potrzebny. Jeśli się nie powiedzie, najpierw sprawdź podział DNS i nie dodawaj automatycznie pętli zwrotnej NAT.
• Sam serwer docelowy: Sprawdź dziennik serwera, lokalną zaporę ogniową, powiązaną usługę, certyfikat i widoczny źródłowy adres IP. W ten sposób możesz stwierdzić, czy serwer widzi prawdziwy zewnętrzny adres IP, czy adres SNAT.
• Monitorowanie lub zewnętrzne Health Check: Sprawdź, czy test wykorzystuje ten sam adres URL, port i logikę źródłową, co rzeczywisty monitoring.

Po każdym teście należy ocenić tylko jeden wynik: jeśli ruch dociera do Sophos Firewall, stosowana jest oczekiwana reguła NAT, stosowana jest oczekiwana reguła zapory sieciowej, pakiet dociera do serwera i zwracana jest odpowiedź. Jeśli jednocześnie zostanie zmienionych kilka rzeczy, w przeciwnym razie trudno będzie zidentyfikować następny błąd.

Czysty test DNAT porównuje trzy punkty widzenia:

• Klient zewnętrzny: Połączenie z publicznym adresem IP i portem zewnętrznym działa lub jest celowo zablokowane.
• Sophos Firewall: Log Viewer pokazuje oczekiwane Firewall Rule ID i NAT Rule ID.
• Serwer wewnętrzny: Usługa widzi oczekiwany źródłowy adres IP, odpowiada za pośrednictwem właściwej bramy i rejestruje dostęp.

Jeśli zostanie zaznaczony tylko jeden z tych widoków, typowe błędy pozostaną niewykryte. Na przykład pomyślny test portu zewnętrznego nie pozwala jeszcze stwierdzić, czy logowanie, IPS, ograniczenia źródła lub właściciele serwerów są prawidłowo udokumentowani.

Rozwiązywanie problemów i operacje

Po uruchomieniu powinieneś nie tylko sprawdzić, czy usługa jest dostępna. Ważne są Log Viewer, NAT Rule ID, Firewall Rule ID, logi serwera i regularne przeglądy starych wydań.

Rozwiązywanie problemów

Typowe błędy:

• Brak reguły zapory sieciowej
• Wybrano nieprawidłowy adres IP WAN
• Na routerze dostawcy brakuje przekierowania portów
• Grupa zabezpieczeń Azure Network blokuje port
• Usługa nie działa wewnętrznie
• Brama serwera nie wskazuje Sophos Firewall
• Reguła NAT znajduje się pod inną regułą, która zaczyna obowiązywać wcześniej
• Reguła zapory sieciowej używa niewłaściwej sieci docelowej w DNAT
• Port jest już używany przez inną usługę
• Brak pętli zwrotnej, gdy klienci wewnętrzni korzystają z publicznego FQDN
• Brak Health Check lub jest on nieprawidłowy podczas korzystania z równoważenia obciążenia
• Test jest przeprowadzany z sieci wewnętrznej, a nie zewnętrznej
• Serwer docelowy odpowiada przez inną bramę
• Profil zabezpieczeń blokuje ruch, ale nie jest wyszukiwany w prawidłowym dzienniku

Log Viewer jest najważniejszym punktem wyjścia dla problemów DNAT. Można tam zobaczyć, czy ruch przychodzi, która reguła zapory sieciowej i która reguła NAT ma zastosowanie oraz czy ruch jest dozwolony, czy odrzucany. Jeśli trafienie nie spełnia oczekiwań, zasada Sophos Firewall nie ma zastosowania: sprawdź przyczyny.

Aby uzyskać głębsze informacje o rozwiązywaniu problemów, nie powinieneś tylko patrzeć na Sophos Firewall. Jeśli Log Viewer zezwala na ruch, a Packet Capture pokazuje, że pakiety nadal płyną do serwera, przyczyna często leży w systemie docelowym: lokalna zapora ogniowa, nieprawidłowa brama domyślna, brak powiązania z usługą, problem z certyfikatem, aplikacja nasłuchująca na innym porcie lub odwrotne proxy nadrzędne nie odpowiada zgodnie z oczekiwaniami.

Szybka klasyfikacja pomaga uniknąć szukania w niewłaściwym miejscu:

• W Log Viewer nie pojawia się żadne trafienie: Ruch nie dociera do zapory ogniowej lub adresowany jest niewłaściwy adres IP WAN. Sprawdź router dostawcy, grupę zabezpieczeń w chmurze, publiczny adres IP i Packet Capture dla WAN.
• Firewall Rule ID pasuje, NAT brakuje Rule ID: Reguła NAT nie pasuje lub jest za niska. Sprawdź Original destination, Original service, interfejs przychodzący i sekwencję NAT.
• NAT Rule ID pasuje, usługa nie odpowiada: Serwer docelowy lub ścieżka zwrotna jest nieprawidłowa. Sprawdź zaporę serwera, bramę domyślną, routing i serwer kierunku Packet Capture.
• Działa zewnętrznie, ale nie wewnętrznie poprzez FQDN: Brakuje podziału DNS lub pętli zwrotnej. Sprawdź rozdzielczość wewnętrzną DNS i tylko świadomie dodawaj pętlę zwrotną.
• Po zmianie kreatora tylko część zachowuje się niepoprawnie: Wyprowadzona pętla zwrotna lub reguła zwrotna już nie pasują. Sprawdź indywidualnie wygenerowane NAT i reguły zapory sieciowej.

Kiedy czarna dziura DNAT pomaga dodatkowo

Jeśli usługa celowo musi pozostać publicznie dostępna, ale niektóre źródła powinny zostać przechwycone przed faktyczną publikacją, przydatna może być reguła czarnej dziury DNAT powyżej produktywnej reguły DNAT. Działa to na przykład w przypadku list znanych złych adresów IP, trwale niechcianych krajów lub powtarzających się źródeł skanerów.

Ta technika nie zastępuje czystej wersji. Produktywna reguła DNAT musi być nadal rygorystyczna, rejestrowanie musi być aktywne, a opublikowany serwer musi być na bieżąco aktualizowany. Black Hole DNAT to dodatkowa warstwa bloków przed wydaniem, a nie rzeczywista architektura bezpieczeństwa.

Czarna dziura DNAT jest szczególnie przydatna w następujących przypadkach:

• Powtarzające się źródła skanerów trafiające do tej samej opublikowanej usługi: Źródła mogą wygasnąć przed produktywną regułą DNAT.
• Poszczególne kraje nie powinny mieć dostępu do przekierowania portów: Regułę blokowania można umieścić nad faktyczną regułą DNAT.
• Utrzymywana grupa złych adresów IP już istnieje: Grupy można użyć jako Original source reguły czarnej dziury.
• Usługa musi pozostać publiczna, ale powinna generować mniejszy ruch botów: Reguła produktywności zostaje zachowana, a niechciane źródła są wcześniej przechwytywane.

Black Hole DNAT nie nadaje się do lokalnych usług zapory ogniowej, takich jak WebAdmin, User Portal, VPN Portal lub SSH dla samej zapory. Odpowiadają za to reguły wyjątków Device Access i Local Service ACL. W przypadku serwerów WWW powyżej WAF powinieneś najpierw sprawdzić regułę WAF, zablokowane kraje, logi Authentication i WAF.

Kolejność jest ważna: reguła czarnej dziury DNAT musi znajdować się powyżej produktywnej reguły DNAT. Następnie powinieneś sprawdzić Log Viewer, czy zablokowane źródła rzeczywiście spełniają regułę czarnej dziury i dozwolone źródła w dalszym ciągu korzystają z produktywnej reguły NAT i reguły zapory ogniowej. Dokładną procedurę można znaleźć w Sophos Firewall: Blokuj kraje i złośliwe adresy IP.

Kontrola działania

Należy regularnie sprawdzać reguły DNAT. Stare wersje stanowią typowe zagrożenie bezpieczeństwa, ponieważ opublikowane usługi często pozostają dostępne, nawet jeśli aplikacja została już dawno przeniesiona, zastąpiona lub potrzebna tylko tymczasowo.

W przypadku produktywnych reguł DNAT należy udokumentować co najmniej następujące elementy:

• Cel wydania: Później musi być jasne, dlaczego usługa jest w ogóle dostępna publicznie.
• Odpowiedzialna osoba lub zespół: Bez właściciela stare udziały rzadko są usuwane.
• Publiczny adres IP i port zewnętrzny: Ułatwia audyt, monitorowanie i skanowanie zewnętrzne.
• Wewnętrzny serwer docelowy i port docelowy: Ważne w przypadku migracji serwerów, równoważenia obciążenia i zmian certyfikatów.
• Oczekiwane źródła: Pomaga określić, czy Any jest naprawdę konieczne.
• Środki ochrony: IPS, WAF alternatywa, MFA, źródła zagrożeń, rejestrowanie i status poprawek powinny być identyfikowalne.
• Data ważności lub data przeglądu: Tymczasowe wydania wymagają wyraźnego zakończenia.

Znacząca recenzja nie polega tylko na przyjrzeniu się regule. Powinieneś sprawdzić zewnętrznie, czy otwarte są tylko oczekiwane porty, sprawdzić w Log Viewer, które źródła faktycznie uzyskują dostęp i sprawdzić na serwerze docelowym, czy aplikacja jest nadal utrzymywana. Jeśli usługa jest potrzebna tylko wewnętrznie lub dla kilku partnerów, należy ponownie ocenić VPN, ZTNA, ograniczenie źródłowego adresu IP lub regułę WAF.

Usuwając stare reguły DNAT, nie należy po prostu usuwać reguły NAT. Często dołączone są do niego reguły zapory sieciowej, obiekty hosta, obiekty usług, reguły sprzężenia zwrotnego, reguły refleksyjne, wpisy DNS, kontrole monitorowania lub przekierowanie portów dostawcy. Lepszy jest krótki proces likwidacji:

1. Sprawdź ostatnie dostępy w Log Viewer.
2. Poproś osobę odpowiedzialną lub dział o potwierdzenie, że usługa nie jest już potrzebna.
3. Najpierw dezaktywuj regułę NAT i pasującą regułę zapory sieciowej.
4. Sprawdź zewnętrznie, czy port jest zamknięty.
5. Sprawdź dzienniki monitorowania i serwera pod kątem błędów.
6. Dopiero wtedy wyczyść obiekty, wpisy DNS i reguły dostawcy, które nie są już potrzebne.

Jeśli nadal wymagana jest wersja, przegląd powinien zakończyć się konkretnym rezultatem: pozostawić ją bez zmian, zawęzić ją, przenieść do WAF, przenieść za VPN/ZTNA lub ponownie sprawdzić z datą wygaśnięcia.

Często zadawane pytania