Usar uma regra de bypass do Sophos Firewall com segurança

bypass-stateful-firewall-config exclui hosts ou redes da inspeção normal da firewall. Não é uma regra Allow normal: o exemplo publicado do SFOS 22 usa entradas separadas de origem e destino, e a sintaxe documentada não permite limitá-las a um serviço ou porta. Por isso, uma entrada de host tem um âmbito mais amplo do que a palavra “regra” sugere.

A abordagem segura é guardar o estado atual, adicionar entradas dest_host e source_host tão restritas quanto possível para o teste, validar com Packet capture e remover imediatamente ambas com del. Os seletores atuam de forma independente: dest_host abrange o tráfego para o host de destino e source_host o tráfego proveniente do host de origem. Em conjunto, não formam um par origem-destino.

⚠️ O bypass reduz o controlo e a visibilidade do tráfego correspondente. Use-o apenas numa janela de manutenção limitada, com o rollback preparado. Para acesso permanente, use uma regra normal da firewall ou uma exceção de policy direcionada.

Tipo de bypass abordado

Este artigo trata exclusivamente de bypass-stateful-firewall-config na Device Console.

• Stateful firewall bypass: exclui um host ou uma rede da inspeção da firewall.
• DoS bypass rule: exceção em Protect > Intrusion prevention > DoS & spoof protection. Também pode ser limitada por versão IP, origem, destino, protocolo e portas; não é a mesma função.
• IPS Bypass session: ação dentro de uma regra IPS.
• FastPath / Firewall acceleration: acelera tráfego conhecido e confiável. Não é um bypass stateful manual.
• LAN bypass / fail-to-wire: função de hardware em appliances suportados que liga um par de portas sem inspeção durante uma falha de energia ou hardware.
• Exceção normal: alteração direcionada de uma policy de firewall, NAT, Web, TLS, IPS ou Application Control.

Verificar primeiro as opções direcionadas

Um bypass responde apenas a uma pergunta de diagnóstico: o fluxo funciona quando a inspeção da firewall é ignorada? Não identifica o módulo nem a configuração responsável.

• A regra da firewall não corresponde: verificar ordem, zonas, origem, destino e serviço.
• IPS bloqueia: verificar policy, assinatura e possível exceção.
• TLS Inspection interfere: ajustar SSL/TLS Inspection Rule ou TLS Exclusion de forma restrita.
• O filtro Web bloqueia: verificar Web Policy, categoria, URL Group ou Web Exception.
• Application Control classifica incorretamente: verificar policy e aplicação detetada.
• NAT ou routing parece incorreto: comparar NAT Rule ID, Firewall Rule ID, rota de retorno e Packet capture.

Para uma ligação permanente, a solução correta continua a ser uma regra normal do Sophos Firewall com logging e os recursos de segurança necessários.

Pré-requisitos e âmbito da alteração

Antes de executar add, defina:

• a pergunta de teste e a origem, destino, protocolo e porta do fluxo;
• os hosts ou redes mais restritos possível, não intervalos completos de clientes, servidores ou VPN;
• ticket, responsável, janela de manutenção e critério de interrupção;
• a saída de show advanced-firewall antes da alteração;
• um comando del exato para cada comando add planeado;
• evidência do Packet capture ou do log do sistema de destino;
• um teste de controlo após o rollback.

Para caminhos NAT ou routing assimétrico, capture primeiro os percursos de ida e volta. Um bypass pode ocultar um problema de routing, NAT ou policy; não o corrige.

Trabalhar na Device Console

Ligue-se por SSH como admin e abra 4. Device Console no menu. Permita SSH apenas a partir de uma rede de administração confiável. Consulte Ligar ao Sophos Firewall por SSH.

Primeiro, mostre o estado e guarde-o no ticket:

show advanced-firewall

A saída contém outras definições globais. Não as altere nesta tarefa; Verificar Advanced Firewall Settings em segurança explica-as.

A Device Console oferece ajuda contextual. Use Tab ou ? após um comando parcial em vez de adivinhar parâmetros. A ajuda do SFOS 22 alerta expressamente para não executar comandos incompletos.

Adicionar entradas de host para o teste

O exemplo usa endereços reservados para documentação:

• Host de origem: 198.51.100.10
• Host de destino: 192.0.2.20

Substitua-os pelos dois endpoints reais do fluxo. Para o bypass outbound completo descrito pela Sophos, adicione entradas separadas de destino e origem:

set advanced-firewall bypass-stateful-firewall-config add dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config add source_host 198.51.100.10

Verifique imediatamente:

show advanced-firewall

Estas linhas seguem o exemplo publicado do SFOS 22. Não formam uma regra que ligue apenas 198.51.100.10 a 192.0.2.20: a primeira entrada abrange tráfego de qualquer origem para 192.0.2.20, e a segunda tráfego de 198.51.100.10 para qualquer destino. A sintaxe documentada também não tem parâmetro de serviço ou porta. Durante a janela de manutenção, gere apenas o tráfego previsto, impeça se possível outros acessos aos dois hosts e não escolha hosts mais expostos do que o necessário.

Quando uma entrada de rede se justifica

O SFOS 22 também suporta dest_network e source_network. No entanto, uma entrada de rede alarga o bypass a todos os hosts correspondentes. Use-a apenas quando a mesma falha, definida com precisão, afeta comprovadamente vários sistemas.

A Sophos não indica um limite para o número de hosts ou redes em bypass. É uma capacidade técnica, não uma recomendação operacional: muitas entradas são difíceis de auditar e indicam que se deve corrigir a causa em vez de ampliar a lista de bypass.

A página pública do SFOS 22 não mostra um exemplo de rede completo e executável. Verifique a sintaxe exata da rede e máscara na versão instalada com Tab ou ?, em vez de copiar um exemplo antigo. Reproduza primeiro com um host; se não for possível, coordene o bypass de rede com o Sophos Support.

Validar o efeito

Não verifique apenas se a aplicação funciona. Confirme também que a alteração respeita o âmbito planeado:

1. show advanced-firewall mostra as novas entradas de origem e destino com os seletores e valores planeados; as entradas anteriores permanecem inalteradas.
2. Em Diagnostics > Packet capture, filtre pelos dois hosts e pela porta esperada.
3. Execute um teste com timestamp claro e examine os pacotes de ida e volta.
4. Verifique se existe outro tráfego para o host de destino ou proveniente do host de origem durante a janela; também fica abrangido pela respetiva entrada de bypass.
5. Com routing assimétrico, confirme que o retorno atravessa realmente esta firewall.
6. Avance imediatamente para o rollback, independentemente do resultado.

Packet capture mostra interfaces, origem, destino, portas, NAT ID, Rule ID e estado de processamento. Se faltar uma direção, verifique primeiro routing, NAT e o filtro de captura. A ausência de entradas no Log Viewer, por si só, não permite uma conclusão fiável durante um bypass.

Remover completamente o bypass

Prepare os comandos de remoção antes do teste. Devem usar exatamente os mesmos seletores e valores dos comandos add correspondentes:

set advanced-firewall bypass-stateful-firewall-config del dest_host 192.0.2.20
set advanced-firewall bypass-stateful-firewall-config del source_host 198.51.100.10

Depois, verifique:

show advanced-firewall

O sucesso significa que ambas as entradas de teste desapareceram, as entradas antigas documentadas continuam inalteradas e um teste de controlo funciona sem o bypass temporário. Se uma entrada permanecer, compare o seletor (dest_host ou source_host) e o IP com a saída; não tente uma remoção mais ampla.

Corrigir a causa real

Um teste bem-sucedido mostra apenas que a inspeção da firewall estava envolvida. Em seguida, determine a causa:

• regra da firewall: ordem, zonas, origem, destino, serviço e atribuição de utilizador;
• IPS, Web Protection ou Application Control: assinatura, categoria, aplicação e policy detetadas;
• TLS Inspection: regra correspondente, confiança do certificado e exclusion restrita;
• NAT e routing: NAT Rule ID, route precedence, decisão SD-WAN e rota de retorno.

A solução permanente deve funcionar sem stateful firewall bypass e restaurar a visibilidade e a capacidade de revisão. Um diagnóstico temporário não pode tornar-se silenciosamente arquitetura de produção.

Documentação e erros comuns

Registe no ticket, no mínimo, horas de início e fim, administrador, motivo, ambos os hosts ou redes, aplicação e serviço, todos os comandos add e del, hora da captura, resultado e tarefa seguinte.

Erros comuns:

• presumir que as duas entradas de host formam um par origem-destino ou copiar parâmetros de máscara não confirmados;
• adicionar ou remover apenas uma das duas entradas de host planeadas;
• usar uma rede completa quando dois hosts são suficientes;
• usar apenas Log Viewer em vez de Packet capture como prova;
• confundir este bypass com DoS bypass rule, FastPath ou LAN bypass;
• não implementar uma solução normal de regra, policy, NAT ou routing após o teste.

Perguntas frequentes