Bezpieczne używanie reguły obejścia Sophos Firewall

bypass-stateful-firewall-config wyłącza hosty lub sieci z normalnej inspekcji zapory. Nie jest to zwykła reguła Allow: opublikowany przykład SFOS 22 używa oddzielnych wpisów źródła i celu, a udokumentowana składnia nie pozwala ograniczyć ich do usługi ani portu. Wpis hosta ma więc szerszy zakres, niż sugeruje słowo „reguła”.

Bezpieczny wariant w skrócie: zapisać bieżący stan, porównać każdy planowany wpis dest_host i source_host z zapisanym stanem wyjściowym i kontynuować tylko wtedy, gdy jednoznacznie potwierdzono brak obu kombinacji selektora i adresu. Jeśli wpis już istnieje lub jego stan jest niejasny, przerwać test; nie dodawać go ponownie ani nie usuwać. Dopiero wtedy dodać możliwie wąskie wpisy testowe, sprawdzić ich działanie za pomocą Packet Capture i natychmiast usunąć poleceniem del wyłącznie wpisy, których dodanie w tym teście zostało potwierdzone. Selektory działają niezależnie: dest_host obejmuje ruch do hosta docelowego, a source_host ruch od hosta źródłowego. Razem nie tworzą pary źródło–cel.

⚠️ Obejście ogranicza kontrolę i widoczność pasującego ruchu. Stosować je tylko w ograniczonym oknie serwisowym, z gotowym wycofaniem. Dla stałego dostępu użyć zwykłej reguły zapory lub precyzyjnego wyjątku w polityce.

Rodzaj obejścia opisany w artykule

Artykuł dotyczy wyłącznie bypass-stateful-firewall-config w Device Console.

• Stateful firewall bypass: wyłącza host lub sieć z inspekcji zapory.
• DoS bypass rule: wyjątek w Protect > Intrusion prevention > DoS & spoof protection. Można go dodatkowo ograniczyć według wersji IP, źródła, celu, protokołu i portów; to inna funkcja.
• IPS Bypass session: działanie w ramach reguły IPS.
• FastPath / Firewall acceleration: przyspiesza znany, zaufany ruch. Nie jest ręcznym obejściem zapory stanowej.
• LAN bypass / fail-to-wire: funkcja sprzętowa obsługiwanych urządzeń, która podczas awarii zasilania lub sprzętu łączy parę portów bez skanowania.
• Zwykły wyjątek: precyzyjna zmiana polityki zapory, NAT, WWW, TLS, IPS lub Application Control.

Najpierw sprawdź rozwiązania precyzyjne

Obejście odpowiada tylko na wąskie pytanie diagnostyczne: czy przepływ działa bez inspekcji zapory? Nie wskazuje modułu ani konfiguracji będącej przyczyną.

• Reguła zapory nie pasuje: sprawdź kolejność, strefy, źródło, cel i usługę.
• IPS blokuje: sprawdź politykę, sygnaturę i możliwy wyjątek.
• TLS Inspection zakłóca ruch: precyzyjnie dostosuj SSL/TLS Inspection Rule lub TLS Exclusion.
• Filtr WWW blokuje: sprawdź Web Policy, kategorię, URL Group lub Web Exception.
• Application Control błędnie klasyfikuje: sprawdź politykę i wykrytą aplikację.
• NAT lub routing wygląda niepoprawnie: porównaj NAT Rule ID, Firewall Rule ID, trasę powrotną i Packet capture.

Dla stałego połączenia właściwym rozwiązaniem pozostaje zwykła reguła Sophos Firewall z rejestrowaniem i potrzebnymi funkcjami ochrony.

Wymagania i zakres zmiany

Przed add należy określić:

• pytanie testowe oraz źródło, cel, protokół i port przepływu;
• możliwie wąskie hosty lub sieci, nie całe zakresy klientów, serwerów ani VPN;
• zgłoszenie, właściciela, okno serwisowe i kryterium przerwania;
• wynik show advanced-firewall sprzed zmiany;
• dokładne polecenie del dla każdego planowanego add;
• dowód z Packet capture lub dziennika systemu docelowego;
• test kontrolny po wycofaniu.

Dla NAT lub routingu asymetrycznego najpierw zarejestrować drogę tam i z powrotem. Obejście może ukryć problem z routingiem, NAT lub polityką; nie naprawia go.

Praca w Device Console

Połączyć się przez SSH jako admin i otworzyć 4. Device Console. SSH udostępniać wyłącznie z zaufanej sieci administracyjnej. Przygotowanie opisuje Połączenie z Sophos Firewall przez SSH.

Najpierw wyświetlić stan i zapisać go w zgłoszeniu:

show advanced-firewall

Wynik zawiera inne ustawienia globalne. Nie zmieniać ich przy tej okazji; artykuł Bezpieczne sprawdzanie Advanced Firewall Settings je wyjaśnia.

Device Console udostępnia pomoc kontekstową. Po częściowym poleceniu użyć Tab lub ?, zamiast zgadywać parametry. Pomoc SFOS 22 wyraźnie ostrzega przed uruchamianiem niepełnych poleceń.

Dodawanie wpisów hosta na czas testu

Przykład używa adresów zarezerwowanych do dokumentacji:

• Host źródłowy: 198.51.100.10
• Host docelowy: 192.0.2.20

Wartości należy zastąpić rzeczywistymi adresami obu punktów końcowych przepływu testowego. Przed add porównać każdy planowany selektor i adres z zapisanym stanem wyjściowym. Ten przykład wykonać tylko wtedy, gdy jednoznacznie potwierdzono brak obu dokładnych wpisów. Jeśli którykolwiek już istnieje lub stan wpisów jest niejasny, przerwać test: nie dodawać wpisu ponownie ani nie usuwać go podczas wycofywania zmian. Wybrać inny zatwierdzony zakres testu lub wyjaśnić istniejące obejście z osobą odpowiedzialną albo Sophos Support. Już aktywne obejście nie nadaje się do miarodajnego porównania stanu przed zmianą i po niej. Aby uzyskać opisane przez Sophos pełne obejście ruchu wychodzącego, po spełnieniu tych warunków tworzy się oddzielne wpisy celu i źródła:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Natychmiast sprawdzić:

show advanced-firewall

Te wiersze odpowiadają opublikowanemu przykładowi SFOS 22. Nie tworzą reguły łączącej wyłącznie 198.51.100.10 z 192.0.2.20: pierwszy wpis obejmuje ruch z dowolnego źródła do 192.0.2.20, a drugi ruch z 198.51.100.10 do dowolnego celu. Udokumentowana składnia nie ma też parametru usługi ani portu. W oknie serwisowym generować tylko zamierzony ruch, w miarę możliwości zablokować inne połączenia z oboma hostami i nie wybierać hostów wystawionych szerzej, niż to konieczne.

Kiedy wpis sieciowy jest uzasadniony

SFOS 22 obsługuje również dest_network i source_network. Wpis sieciowy rozszerza jednak obejście na wszystkie pasujące hosty. Używać go tylko wtedy, gdy ten sam precyzyjnie określony błąd rzeczywiście dotyczy wielu systemów.

Sophos nie podaje limitu liczby omijanych hostów ani sieci. Jest to możliwość techniczna, a nie zalecenie operacyjne: wiele wpisów trudno kontrolować i wskazują one, że należy usunąć przyczynę zamiast rozszerzać listę obejścia.

Publiczna strona SFOS 22 nie pokazuje pełnego wykonywalnego przykładu sieci. Dokładną składnię sieci i maski sprawdzić w zainstalowanej wersji przez Tab lub ?, zamiast kopiować starszy przykład. Najpierw odtworzyć problem dla hosta; jeśli to niemożliwe, uzgodnić obejście sieci z Sophos Support.

Weryfikacja działania

Nie wystarczy sprawdzić działania aplikacji. Trzeba potwierdzić zakres zmiany:

1. show advanced-firewall pokazuje nowe wpisy źródła i celu z planowanymi selektorami i wartościami; wcześniejsze wpisy pozostają bez zmian.
2. W Diagnostics > Packet capture ustawić filtr na oba hosty i oczekiwany port.
3. Wykonać test z jednoznacznym znacznikiem czasu i sprawdzić pakiety w obu kierunkach.
4. Sprawdzić, czy w czasie okna występuje inny ruch do hosta docelowego lub od hosta źródłowego; również podlega on odpowiedniemu wpisowi obejścia.
5. Przy routingu asymetrycznym sprawdzić, czy droga powrotna faktycznie przechodzi przez tę zaporę.
6. Niezależnie od wyniku natychmiast przejść do wycofania.

Packet capture pokazuje interfejsy, źródło, cel, porty, NAT ID, Rule ID i stan przetwarzania. Gdy brakuje jednego kierunku, najpierw sprawdzić routing, NAT i filtr przechwytywania. Sam brak wpisów w Log Viewer nie daje wiarygodnego wniosku podczas obejścia.

Całkowite usunięcie obejścia

Polecenia usunięcia powinny być przygotowane jeszcze przed testem. Dotyczą wyłącznie wpisów, których brak w zapisanym stanie wyjściowym został potwierdzony i które faktycznie dodano w tym teście; zmiany te należy odnotować w zgłoszeniu. Jeśli dodano tylko jeden z dwóch wpisów, wykonać wyłącznie odpowiadające mu polecenie del. Nie usuwać wpisów istniejących wcześniej ani takich, których nie można jednoznacznie przypisać do testu; zamiast tego wyjaśnić stan z osobą odpowiedzialną lub Sophos Support. Polecenia muszą używać dokładnie tych samych selektorów i wartości co odpowiadające im polecenia add:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Następnie sprawdzić:

show advanced-firewall

Sukces oznacza, że wszystkie wpisy faktycznie dodane w tym teście zniknęły, lista obejścia ponownie odpowiada dokładnie zapisanemu stanowi wyjściowemu, starsze udokumentowane wpisy pozostały niezmienione, a test kontrolny przebiega bez tymczasowego obejścia. Jeśli wpis, którego dodanie w tym teście zostało potwierdzone, nadal istnieje, porównać wprowadzony selektor (dest_host lub source_host) i adres IP z wynikiem polecenia; nie zastępować tego szerszą próbą usuwania. Jeśli przypisanie wpisu do testu jest niejasne lub stan wpisów nieoczekiwanie różni się od stanu wyjściowego, nie usuwać kolejnych wpisów, lecz wyjaśnić sytuację z osobą odpowiedzialną lub Sophos Support.

Usunięcie właściwej przyczyny

Udany test pokazuje tylko udział inspekcji zapory. Następnie trzeba ustalić przyczynę:

• reguła zapory: kolejność, strefy, źródło, cel, usługa i przypisanie użytkownika;
• IPS, Web Protection lub Application Control: wykryta sygnatura, kategoria, aplikacja i polityka;
• TLS Inspection: pasująca reguła, zaufanie certyfikatu i wyjątek o wąskim zakresie;
• NAT i routing: NAT Rule ID, route precedence, decyzja SD-WAN i trasa powrotna.

Stałe rozwiązanie musi działać bez stateful firewall bypass i przywrócić widoczność oraz możliwość kontroli. Tymczasowa diagnostyka nie może po cichu stać się architekturą produkcyjną.

Dokumentacja i typowe błędy

W zgłoszeniu zapisać co najmniej czas rozpoczęcia i zakończenia, administratora, powód, oba hosty lub sieci, aplikację i usługę, wszystkie polecenia add i del, czas przechwycenia, wynik i dalsze zadanie.

Typowe błędy:

• zakładanie, że dwa wpisy hosta tworzą parę źródło–cel, lub kopiowanie niepotwierdzonych parametrów maski;
• usunięcie po w pełni wykonanym teście tylko jednego z dwóch wpisów hosta, których dodanie w tym teście zostało potwierdzone, lub potraktowanie wpisu istniejącego wcześniej jako zmiany testowej;
• użycie całej sieci, gdy wystarczą dwa hosty;
• używanie wyłącznie Log Viewer zamiast Packet capture jako dowodu;
• mylenie obejścia z DoS bypass rule, FastPath lub LAN bypass;
• brak zwykłego rozwiązania regułą, polityką, NAT lub routingiem po teście.

Często zadawane pytania