Verificar as definições HTTP Proxy da Sophos Firewall

As definições HTTP Proxy da Sophos Firewall controlam propriedades globais do Web Proxy e, em parte, do Captive Portal. Incluem versões TLS mínimas, timeouts, cabeçalhos Via, proteção contra loops de proxy e categorização de URLs durante o handshake TLS. Uma alteração pode, por isso, afetar simultaneamente várias regras, grupos de utilizadores e redes cliente.

O ponto de partida seguro é o comando só de leitura show http_proxy na Device Console. Apenas quando um problema reproduzível aponta para um parâmetro específico se deve alterar uma única definição com set http_proxy. Antes da alteração são registados o valor atual, um teste positivo e negativo focado e o comando de rollback.

⚠️ O resultado de show http_proxy é um baseline, não uma lista de otimização. Não se ativam preventivamente versões TLS obsoletas, a desativação da categorização nem o encaminhamento de tráfego não HTTP. Um valor predefinido documentado pela Sophos não é automaticamente uma recomendação para um novo desenho de segurança.

Configurar Direct Web Proxy com um ficheiro PAC aborda o listener, Device Access, a regra de firewall e o ficheiro PAC. Este artigo trata apenas dos parâmetros CLI globais subjacentes.

Procedimento curto e seguro

1. Reproduzir o sintoma e registar cliente, destino, hora, caminho de proxy e função afetada.
2. Executar show http_proxy na Device Console e guardar o resultado completo de forma protegida.
3. Documentar o parâmetro, o efeito atual e o comando exato de rollback.
4. Alterar apenas esse valor e criar uma nova ligação para o teste.
5. Testar Web Proxy e Captive Portal separadamente se o parâmetro afetar ambos.
6. Restaurar imediatamente o valor registado se o efeito esperado não surgir ou aparecer um efeito secundário.

Após um acesso SSH protegido, seleciona-se 4. Device Console. Troubleshooting de CLI na Sophos Firewall explica a verificação da chave do host, Device Access e a diferença entre Device Console e Advanced Shell.

show http_proxy

Interpretar corretamente os valores documentados

A Sophos documenta a seguinte saída predefinida para SFOS 22. O valor efetivamente mostrado pela firewall continua a ser o baseline válido para alteração e rollback.

Os valores TLS 1.1 surpreendentemente ativos não justificam permitir TLS 1.1 num novo desenho. A Sophos classifica TLS 1.0 e TLS 1.1 como inseguros e não os recomenda. São determinantes o estado real, a dependência legacy comprovada e um teste controlado do portal ou destino proxy afetado.

Cabeçalhos Via e loops de proxy

Com add_via_header on, o proxy adiciona um cabeçalho HTTP Via. Este torna visíveis os intermediários, transmite informações do protocolo e ajuda a detetar loops. É o valor predefinido documentado.

block_proxy_loop on elimina pedidos quando valores Via duplicados indicam um loop. A Sophos documenta esta proteção como off por predefinição. Um loop pode surgir quando um upstream proxy envia o pedido de volta para a mesma Sophos Firewall devido a DNS, PAC ou routing.

Antes da alteração verificam-se o ficheiro PAC, Upstream Proxy, a resolução DNS e o caminho de retorno real. Um interruptor não substitui a correção desse caminho.

set http_proxy block_proxy_loop on

Para um rastreio temporário, a Sophos também exige debug do serviço awarrenhttp. awarrenhttp.log pode então mostrar Duplicate Via header values, proxy loop. O debug está desativado por predefinição e pode afetar desempenho, armazenamento e privacidade. Só deve ficar ativo durante um teste reproduzível e ser desligado depois. Serviços e ficheiros de log da Sophos Firewall explica a análise segura.

TLS para Web Proxy e Captive Portal

Tratar as versões mínimas separadamente

A Device Console pode controlar TLS 1.0 e TLS 1.1 separadamente para Web Proxy e Captive Portal. Um teste legacy focado não flexibiliza automaticamente ambas as funções. WebAdmin mostra depois apenas a versão mínima do proxy e a Sophos avisa quando os valores são diferentes.

Os quatro interruptores são:

set http_proxy captive_portal_tlsv1_0 off
set http_proxy captive_portal_tlsv1_1 off
set http_proxy proxy_tlsv1_0 off
set http_proxy proxy_tlsv1_1 off

Estes comandos mostram o objetivo seguro para ambientes sem dependência legacy, não uma instrução geral de migração. Antes de desativar uma versão, inventariam-se logins reais do portal, clientes Direct Proxy, destinos HTTPS desencriptados e aplicações antigas geridas. Cada função é testada com um novo handshake do cliente. Para uma alteração maior, segue-se o rollout faseado de TLS Inspection.

Se um cliente antigo suportar comprovadamente apenas TLS 1.0 ou TLS 1.1, a versão não é reativada globalmente sem análise. Primeiro verificam-se atualização, substituição ou um caminho separado e restrito. Uma exceção temporária inevitável necessita de responsável, validade, risco documentado e um teste que prove qual função precisa dela.

X-Frame-Options protege o portal

captive_portal_x_frame_options on protege o Captive Portal contra incorporação num frame externo e, por isso, contra clickjacking. Este valor documentado permanece ativo. A desativação só se justifica para uma necessidade controlada e comprovada, após avaliação separada do risco.

Configurar e testar Captive Portal explica o desenho completo com Device Access, regra de utilizador, certificado e logout.

A string de cifras aplica-se às duas funções

tlsciphers_server define em conjunto as cifras oferecidas por Web Proxy e Captive Portal. Uma suposta correção do proxy pode alterar o portal e vice-versa. A Sophos documenta este valor:

HIGH:!RC4:!MD5:!aNULL

Não se copia uma string de um blog ou de outra plataforma. As cifras suportadas dependem da versão SFOS, versão TLS, cliente e servidor. Antes da alteração definem-se o resultado atual, a correspondência esperada e os testes para ambas as funções. Se uma ligação falhar, separam-se primeiro a versão TLS, cadeia de certificados, policy de desencriptação e confiança do cliente.

Quatro timeouts com efeitos diferentes

Segundo a Sophos, os quatro aceitam de 1 a 2147483647 segundos ou default. Um valor extremo tecnicamente válido não é necessariamente adequado.

client_timeout aplica-se a clientes proxy estabelecidos. connect_timeout limita uma tentativa de ligação. response_timeout controla quanto tempo o proxy espera pela resposta de uma nova ligação. tunnel_timeout aplica-se ao estabelecer um túnel HTTPS e tem um valor documentado de 300 segundos, contra 60 dos restantes.

set http_proxy client_timeout 60
set http_proxy connect_timeout 60
set http_proxy response_timeout 60
set http_proxy tunnel_timeout 300

São valores documentados, não uma reparação automática. Primeiro determina-se a fase da interrupção e se cliente, servidor de destino, upstream proxy, caminho WAN ou aplicação impõem um timeout menor. Aumentar só ajuda se for o valor do Sophos Proxy a terminar a ligação. Também se observam ligações abertas e recursos.

Para rollback restaura-se explicitamente o valor lido antes com show http_proxy. default só é usado para regressar conscientemente ao valor documentado, não porque o valor anterior é desconhecido.

Não desativar cegamente a categorização TLS

disable_tls_url_categories on desativa a pesquisa de categorias para regras SSL/TLS Inspection. Durante o handshake TLS, o tráfego fica sem categoria. Nesta fase só podem corresponder regras SSL/TLS Inspection com Categories and websites: Any. A Web Policy também pode tomar uma decisão diferente.

A definição não altera a categorização de pedidos HTTP normais nem a categorização posterior de conteúdo HTTPS desencriptado. Uma página pode carregar enquanto a seleção da regra e a proteção já mudaram.

Antes de usar, analisam-se as regras SSL/TLS Inspection, condições de categoria, correspondências de sites e tratamento pretendido para tráfego sem categoria. Depois verifica-se se um destino permitido, bloqueado e não categorizável usa as regras esperadas. Web Protection na Sophos Firewall explica a interação entre categorias e ações.

Não forçar tráfego não HTTP pelo proxy

relay_invalid_http_traffic on encaminha tráfego não HTTP enviado pelas portas normalmente usadas para HTTP e HTTPS, 80 e 443. Pode parecer corrigir um protocolo legacy, mas alarga o caminho do proxy e dificulta a avaliação de segurança.

A Sophos aconselha um bypass de proxy específico para a aplicação. Este é limitado tanto quanto possível por origem, destino e serviço, e protegido por uma regra de firewall normal e, se aplicável, SSL/TLS Inspection. O interruptor global permanece normalmente off.

Core dump e debug apenas para diagnóstico

core_dump on cria um core dump se o processo proxy falhar. Pode ajudar o Sophos Support num erro reproduzível, mas não é um Health Check nem uma opção de desempenho. O ficheiro pode conter dados sensíveis e ocupar armazenamento.

A função só é utilizada numa janela concreta de suporte ou diagnóstico. Antes verificam-se espaço livre, passos de reprodução e transferência segura. Depois restaura-se o valor anterior e tratam-se os ficheiros segundo as instruções do suporte.

Validar e reverter uma alteração

Usam-se a mesma origem, destino e uma nova ligação antes e depois. Para uma alteração global de TLS ou cifras testa-se pelo menos um pedido Direct Proxy e um login Captive Portal. Para um timeout valida-se a fase; para um loop, a mensagem exata; para a categorização, a regra SSL/TLS Inspection realmente escolhida.

No Log Viewer registam-se hora, cliente, Web Policy e Rule ID. Se a seleção da regra continuar pouco clara, Testar corretamente uma regra Sophos Firewall combina Policy Test, Log Viewer e Packet Capture.

O rollback usa o valor previamente registado:

set http_proxy <parameter> <previous-value>
show http_proxy

Depois cria-se um novo fluxo de teste. O valor antigo em show http_proxy confirma apenas a configuração; o teste real do proxy ou portal confirma o funcionamento.

Checklist operacional

• Resultado completo de show http_proxy, build SFOS, hora e responsável registados.
• Função afetada e exatamente um parâmetro isolados.
• Efeito em Web Proxy, Captive Portal, TLS Inspection e Web Policy avaliado.
• Valor anterior preparado como comando de rollback executável.
• Testes positivo, negativo e de controlo definidos.
• Debug e core dump usados apenas por tempo limitado.
• Nova ligação testada após alteração e após rollback.
• Exceção legacy temporária com responsável e data de validade.

FAQ