Bezpieczne używanie reguły obejścia Sophos Firewall

bypass-stateful-firewall-config wyłącza hosty lub sieci z normalnej inspekcji zapory. Nie jest to zwykła reguła Allow: opublikowany przykład SFOS 22 używa oddzielnych wpisów źródła i celu, a udokumentowana składnia nie pozwala ograniczyć ich do usługi ani portu. Wpis hosta ma więc szerszy zakres, niż sugeruje słowo „reguła”.

Bezpieczny wariant to zapisanie bieżącego stanu, dodanie możliwie wąskich wpisów dest_host i source_host na czas testu, sprawdzenie w Packet capture i natychmiastowe usunięcie obu wpisów przez del. Selektory działają niezależnie: dest_host obejmuje ruch do hosta docelowego, a source_host ruch od hosta źródłowego. Razem nie tworzą pary źródło–cel.

⚠️ Obejście ogranicza kontrolę i widoczność pasującego ruchu. Stosować je tylko w ograniczonym oknie serwisowym, z gotowym wycofaniem. Dla stałego dostępu użyć zwykłej reguły zapory lub precyzyjnego wyjątku policy.

Rodzaj obejścia opisany w artykule

Artykuł dotyczy wyłącznie bypass-stateful-firewall-config w Device Console.

• Stateful firewall bypass: wyłącza host lub sieć z inspekcji zapory.
• DoS bypass rule: wyjątek w Protect > Intrusion prevention > DoS & spoof protection. Można go dodatkowo ograniczyć według wersji IP, źródła, celu, protokołu i portów; to inna funkcja.
• IPS Bypass session: działanie w ramach reguły IPS.
• FastPath / Firewall acceleration: przyspiesza znany, zaufany ruch. Nie jest ręcznym obejściem zapory stanowej.
• LAN bypass / fail-to-wire: funkcja sprzętowa obsługiwanych urządzeń, która podczas awarii zasilania lub sprzętu łączy parę portów bez skanowania.
• Zwykły wyjątek: precyzyjna zmiana policy zapory, NAT, WWW, TLS, IPS lub Application Control.

Najpierw sprawdź rozwiązania precyzyjne

Obejście odpowiada tylko na wąskie pytanie diagnostyczne: czy przepływ działa bez inspekcji zapory? Nie wskazuje modułu ani konfiguracji będącej przyczyną.

• Reguła zapory nie pasuje: sprawdź kolejność, strefy, źródło, cel i usługę.
• IPS blokuje: sprawdź policy, sygnaturę i możliwy wyjątek.
• TLS Inspection zakłóca ruch: precyzyjnie dostosuj SSL/TLS Inspection Rule lub TLS Exclusion.
• Filtr WWW blokuje: sprawdź Web Policy, kategorię, URL Group lub Web Exception.
• Application Control błędnie klasyfikuje: sprawdź policy i wykrytą aplikację.
• NAT lub routing wygląda niepoprawnie: porównaj NAT Rule ID, Firewall Rule ID, trasę powrotną i Packet capture.

Dla stałego połączenia właściwym rozwiązaniem pozostaje zwykła reguła Sophos Firewall z rejestrowaniem i potrzebnymi funkcjami ochrony.

Wymagania i zakres zmiany

Przed add należy określić:

• pytanie testowe oraz źródło, cel, protokół i port przepływu;
• możliwie wąskie hosty lub sieci, nie całe zakresy klientów, serwerów ani VPN;
• zgłoszenie, właściciela, okno serwisowe i kryterium przerwania;
• wynik show advanced-firewall sprzed zmiany;
• dokładne polecenie del dla każdego planowanego add;
• dowód z Packet capture lub dziennika systemu docelowego;
• test kontrolny po wycofaniu.

Dla NAT lub routingu asymetrycznego najpierw zarejestrować drogę tam i z powrotem. Obejście może ukryć problem z routingiem, NAT lub policy; nie naprawia go.

Praca w Device Console

Połączyć się przez SSH jako admin i otworzyć 4. Device Console. SSH udostępniać wyłącznie z zaufanej sieci administracyjnej. Przygotowanie opisuje Połączenie z Sophos Firewall przez SSH.

Najpierw wyświetlić stan i zapisać go w zgłoszeniu:

show advanced-firewall

Wynik zawiera inne ustawienia globalne. Nie zmieniać ich przy tej okazji; artykuł Bezpieczne sprawdzanie Advanced Firewall Settings je wyjaśnia.

Device Console udostępnia pomoc kontekstową. Po częściowym poleceniu użyć Tab lub ?, zamiast zgadywać parametry. Pomoc SFOS 22 wyraźnie ostrzega przed uruchamianiem niepełnych poleceń.

Dodawanie wpisów hosta na czas testu

Przykład używa adresów zarezerwowanych do dokumentacji:

• Host źródłowy: 198.51.100.10
• Host docelowy: 192.0.2.20

Zastąpić je rzeczywistymi punktami końcowymi przepływu. Dla pełnego obejścia outbound opisanego przez Sophos dodać osobne wpisy celu i źródła:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Natychmiast sprawdzić:

show advanced-firewall

Te wiersze odpowiadają opublikowanemu przykładowi SFOS 22. Nie tworzą reguły łączącej wyłącznie 198.51.100.10 z 192.0.2.20: pierwszy wpis obejmuje ruch z dowolnego źródła do 192.0.2.20, a drugi ruch z 198.51.100.10 do dowolnego celu. Udokumentowana składnia nie ma też parametru usługi ani portu. W oknie serwisowym generować tylko zamierzony ruch, w miarę możliwości zablokować inne połączenia z oboma hostami i nie wybierać hostów wystawionych szerzej, niż to konieczne.

Kiedy wpis sieciowy jest uzasadniony

SFOS 22 obsługuje również dest_network i source_network. Wpis sieciowy rozszerza jednak obejście na wszystkie pasujące hosty. Używać go tylko wtedy, gdy ten sam precyzyjnie określony błąd rzeczywiście dotyczy wielu systemów.

Sophos nie podaje limitu liczby omijanych hostów ani sieci. Jest to możliwość techniczna, a nie zalecenie operacyjne: wiele wpisów trudno kontrolować i wskazują one, że należy usunąć przyczynę zamiast rozszerzać listę obejścia.

Publiczna strona SFOS 22 nie pokazuje pełnego wykonywalnego przykładu sieci. Dokładną składnię sieci i maski sprawdzić w zainstalowanej wersji przez Tab lub ?, zamiast kopiować starszy przykład. Najpierw odtworzyć problem dla hosta; jeśli to niemożliwe, uzgodnić obejście sieci z Sophos Support.

Weryfikacja działania

Nie wystarczy sprawdzić działania aplikacji. Trzeba potwierdzić zakres zmiany:

1. show advanced-firewall pokazuje nowe wpisy źródła i celu z planowanymi selektorami i wartościami; wcześniejsze wpisy pozostają bez zmian.
2. W Diagnostics > Packet capture ustawić filtr na oba hosty i oczekiwany port.
3. Wykonać test z jednoznacznym znacznikiem czasu i sprawdzić pakiety w obu kierunkach.
4. Sprawdzić, czy w czasie okna występuje inny ruch do hosta docelowego lub od hosta źródłowego; również podlega on odpowiedniemu wpisowi obejścia.
5. Przy routingu asymetrycznym sprawdzić, czy droga powrotna faktycznie przechodzi przez tę zaporę.
6. Niezależnie od wyniku natychmiast przejść do wycofania.

Packet capture pokazuje interfejsy, źródło, cel, porty, NAT ID, Rule ID i stan przetwarzania. Gdy brakuje jednego kierunku, najpierw sprawdzić routing, NAT i filtr przechwytywania. Sam brak wpisów w Log Viewer nie daje wiarygodnego wniosku podczas obejścia.

Całkowite usunięcie obejścia

Polecenia usunięcia przygotować przed testem. Muszą używać dokładnie tych samych selektorów i wartości co odpowiednie polecenia add:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Następnie sprawdzić:

show advanced-firewall

Sukces oznacza, że oba wpisy testowe zniknęły, starsze udokumentowane wpisy nie uległy zmianie, a test kontrolny działa bez tymczasowego obejścia. Jeśli wpis pozostał, porównać selektor (dest_host lub source_host) i adres IP z wynikiem; nie stosować szerszej próby usuwania.

Usunięcie właściwej przyczyny

Udany test pokazuje tylko udział inspekcji zapory. Następnie trzeba ustalić przyczynę:

• reguła zapory: kolejność, strefy, źródło, cel, usługa i przypisanie użytkownika;
• IPS, Web Protection lub Application Control: wykryta sygnatura, kategoria, aplikacja i policy;
• TLS Inspection: pasująca reguła, zaufanie certyfikatu i wąskie exclusion;
• NAT i routing: NAT Rule ID, route precedence, decyzja SD-WAN i trasa powrotna.

Stałe rozwiązanie musi działać bez stateful firewall bypass i przywrócić widoczność oraz możliwość kontroli. Tymczasowa diagnostyka nie może po cichu stać się architekturą produkcyjną.

Dokumentacja i typowe błędy

W zgłoszeniu zapisać co najmniej czas rozpoczęcia i zakończenia, administratora, powód, oba hosty lub sieci, aplikację i usługę, wszystkie polecenia add i del, czas przechwycenia, wynik i dalsze zadanie.

Typowe błędy:

• zakładanie, że dwa wpisy hosta tworzą parę źródło–cel, lub kopiowanie niepotwierdzonych parametrów maski;
• dodanie lub usunięcie tylko jednego z dwóch planowanych wpisów hosta;
• użycie całej sieci, gdy wystarczą dwa hosty;
• używanie wyłącznie Log Viewer zamiast Packet capture jako dowodu;
• mylenie obejścia z DoS bypass rule, FastPath lub LAN bypass;
• brak zwykłego rozwiązania regułą, policy, NAT lub routingiem po teście.

Często zadawane pytania