Gerir os System Modules do Sophos Firewall com segurança

O Sophos Firewall utiliza System Modules como helpers de protocolo quando a firewall precisa de acompanhar informação adicional ou considerar ligações dinâmicas. O SFOS 22 lista dns, h323, irc, pptp, sip e tftp. Estes módulos são carregados por predefinição.

Um módulo carregado não é uma regra de firewall nem uma recomendação para utilizar o protocolo correspondente. Não substitui uma regra NAT, uma rota ou uma política de segurança. Descarregar todos os helpers aparentemente não utilizados também não é uma medida de hardening sensata. A definição é global e pode afetar inesperadamente aplicações existentes.

⚠️ Regra operacional: Primeiro registar o estado e o fluxo concreto com falhas. Alterar no máximo um módulo, repetir o mesmo fluxo e repor o estado original se não houver melhoria.

Classificar corretamente os seis módulos

Em sip e h323, o helper é muitas vezes indicado demasiado cedo como causa ou solução. O processo completo com NAT, RTP, timeouts, porta SIP personalizada, Packet Capture e chamadas de teste está em Resolver problemas VoIP com SIP e RTP.

Registar a baseline na Device Console

Os comandos pertencem a 4. Device Console, não à Advanced Shell. Antes de uma alteração, ler o estado global:

system system_modules show

Guardar todo o output, mesmo quando apenas um módulo está a ser investigado. Assim permanece visível se um sistema migrado ou anteriormente alterado difere da predefinição. loaded apenas comprova o estado do módulo, não que o helper processe um fluxo específico ou cause a falha.

Registar também IP de origem e destino, porta, protocolo, Rule ID, NAT ID, hora e o teste exato da aplicação. Sem um fluxo reproduzível não é possível avaliar uma alteração global com fiabilidade. Log Viewer, Policy Test e Packet Capture são adequados para a validação técnica.

Carregar ou descarregar exatamente um módulo

Os comandos básicos seguem o mesmo padrão. A tabela é uma referência, não um bloco para executar na totalidade.

Antes da execução, verificar a sintaxe do build instalado com ?. Depois de exatamente uma alteração, executar novamente system system_modules show e repetir o fluxo da aplicação já documentado. Alterações paralelas ao NAT, regras, routing, timeouts ou PBX dificultam a atribuição e devem ser evitadas.

A Sophos documenta expressamente que load e unload do SIP persistem após um reinício. A página SFOS 22 não apresenta a mesma declaração precisa para os restantes módulos. Ler novamente o seu estado após um reinício planeado em vez de assumir a persistência.

Não deduzir portas personalizadas de uma sintaxe abreviada incompleta

A página lista para IRC, SIP e TFTP termos adicionais como port, portname, default ou show, mas não explica completamente a sua forma exata. Estes valores não devem ser adivinhados. A Device Console mostra a sintaxe do build instalado com ?.

Para SIP, a Sophos publica separadamente o comando exato system system_modules sip load ports <custom_port>. Esta decisão pertence à análise VoIP, não a um teste geral de helpers. Substituir o placeholder pela porta de sinalização realmente utilizada pelo fornecedor ou PBX.

Verificar o efeito e o caminho de retorno

Um teste adequado verifica mais do que o output da CLI. Depois de carregar ou descarregar, verificar o estabelecimento da ligação, o tráfego nas duas direções, Rule e NAT ID, drops e a aplicação afetada. Para SIP ou H.323, incluir registo, ligações de entrada e saída e multimédia bidirecional. Para DNS, verificar pedido e resposta com o nome esperado. Para TFTP, verificar também a transferência do ficheiro.

Se o sintoma não mudar ou surgirem novas falhas, repor apenas o módulo alterado no estado anteriormente registado. Depois, executar system system_modules show e o mesmo fluxo de teste. Um reinício não substitui este rollback.

Se o comportamento mudar mas a causa permanecer incerta, guardar os estados anterior e posterior, o build do firmware, os logs e o Packet Capture. Um helper descarregado globalmente não deve permanecer como solução definitiva apenas porque um teste curto pareceu melhor.

FAQ