Escolher corretamente entre DPI Engine e Web Proxy na Sophos Firewall

Para novas regras gerais de acesso dos clientes à Internet no SFOS 22, DPI Engine costuma ser o melhor ponto de partida. As decisões de firewall, Web Protection, Application Control, IPS, análise de malware e inspeção TLS são processadas no mesmo caminho. Web Proxy continua a ser a escolha certa quando é necessária uma função específica de proxy: Policy Quota, análise Batch, restrições SafeSearch ou YouTube, limitação dos inícios de sessão no Google Workspace a determinados domínios, Pharming Protection, Web Cache, Parent Proxy ou uma arquitetura Direct Proxy.

A escolha não é uma decisão global para todo o firewall. Diferentes regras de firewall e grupos de clientes podem usar caminhos diferentes. Para um fluxo de teste individual, entretanto, deve ficar claro qual regra se aplica e se o DPI Engine, o Web Proxy transparente ou um Direct Proxy configurado explicitamente processa a solicitação.

Quando um serviço proxy ou de e-mail clássico precisa de processar um protocolo conhecido noutra porta, Inspecionar portas não padrão explica a atribuição global com service-param, a validação e a reversão.

⚠️ Uma regra de produção não deve ser alternada de forma espontânea entre DPI Engine e Web Proxy. A mudança afeta a desencriptação TLS, as funções suportadas, a vista dos logs e, por vezes, o comportamento de navegadores e aplicações. Primeiro testa-se um cliente piloto numa regra separada, documenta-se o caminho de retorno e só depois se amplia o âmbito.

Decisão rápida

1. Colete o grupo de clientes afetados, Firewall Rule ID, Web Policy, solicitação TLS e funções da web necessárias.
2. Selecione DPI Engine se o tráfego normal do cliente roteado for controlado sem uma função de proxy especial.
3. Escolher Web Proxy quando for necessário Policy Quota, análise Batch, Web Cache ou um desenho de proxy deliberado.
4. Para Direct Proxy, verifique também o listener, Device Access, PAC ou a configuração do navegador e os serviços de firewall locais.
5. Configure a descriptografia TLS no lugar certo: SSL/TLS inspection rule para DPI, descriptografia proxy HTTPS para Web Proxy.
6. Inclua um host piloto em sua própria regra registrada e acione exatamente uma solicitação permitida e uma bloqueada.
7. Rule ID, verifique a ação do filtro da web, emissor do certificado, resultado da verificação e caminho de dados usados juntos.
8. Se houver desvios, volte ao caminho de controle anterior em vez de alterar os dois modos ao mesmo tempo no mesmo fluxo de teste.

Entenda DPI Engine, Web Proxy transparente e Direct Proxy

Os três termos não descrevem a mesma configuração:

• DPI Engine: O tráfego normalmente roteado é verificado em relação à regra de firewall e ao SSL/TLS inspection rules. O cliente não conhece um proxy.
• Transparent Web Proxy: O cliente também não conhece um proxy. No entanto, a regra de firewall usa Use web proxy instead of DPI engine e passa o tráfego da Web clássico para Web Proxy.
• Direct Web Proxy: O navegador ou a aplicação liga-se explicitamente ao listener do proxy da firewall, normalmente na porta TCP 3128. Este caminho é criado pela configuração do cliente, não pela opção na regra da firewall.

Em todos os casos, Web Policy só funciona se estiver selecionada na regra da firewall que realmente corresponde. Scan HTTP and decrypted HTTPS também não ativa por si só a desencriptação TLS. Configurar Web Protection com Web Policies explica o planeamento, as categorias e a ordem das regras.

Com DPI Engine, a Sophos processa SSL/TLS Inspection, IPS, Application Control, Web Policies e antivírus num único caminho de inspeção. Consoante a plataforma e o fluxo, este caminho pode beneficiar da aceleração da firewall. As ligações proxy são, por outro lado, terminadas e restabelecidas por um processo proxy. Isto não permite afirmar que um modo seja sempre mais rápido ou seguro. Apenas os testes na appliance real, com regras, aplicações de destino e débito representativos, são conclusivos.

Quais funções determinam a decisão

DPI Engine para o tráfego geral dos clientes

O DPI Engine é um bom ponto de partida se o ambiente precisar destes recursos:

• tráfego de cliente roteado normal sem PAC ou padrão de proxy do navegador
• SSL/TLS Inspection sobre Decryption Profiles baseado em regras
• Detecção de HTTP ou TLS também fora das portas clássicas, desde que as regras e a detecção correspondam
• Avaliação conjunta com IPS, Application Control e verificação de malware
• Um caminho de dados tão uniforme quanto possível para novas regras de Internet de clientes

Em DPI Engine, a análise de malware funciona sempre em Real-time. Configurar e testar a análise de malware na Sophos Firewall explica o motor de análise, os limites de tamanho e as ações em caso de erro.

Web Proxy é adequado para funções de proxy

O Web Proxy é necessário ou útil se pelo menos um destes requisitos se aplicar:

• um Web Policy usa Quota
• A verificação de malware deve funcionar no modo Batch em vez de apenas Real-time
• é necessário aplicar restrições SafeSearch ou YouTube
• os inícios de sessão no Google Workspace devem ficar limitados a contas de domínios específicos
• é necessário ativar Pharming Protection
• Web Content Cache faz parte do design
• Os clientes usam um Direct Proxy com PAC, GPO, MDM ou configuração de aplicativo
• um proxy pai ou outra arquitetura relacionada a proxy é fornecida
• um caminho de autenticação de proxy testado e existente deve ser mantido

Policy Quota não é suportado pelo DPI Engine. Uma mudança para o DPI não adoptaria, portanto, tal política da mesma forma. Por outro lado, um proxy existente não é motivo para definir todas as novas regras no modo proxy. A função necessária e o caminho de dados real são decididos para cada grupo de clientes.

Com Web Proxy transparente, o proxy processa apenas HTTP na porta 80 e HTTPS na porta 443; o tráfego HTTP e TLS noutras portas continua a ser processado por DPI Engine, mesmo com a opção de proxy ativada. Direct Web Proxy escuta no listener configurado, por predefinição em TCP 3128. Configurar Direct Web Proxy com um ficheiro PAC reúne listener, ficheiro PAC, Local Service ACL limitada e regra proxy.

O que ambos os modos precisam em comum

Independentemente do modo, a proteção da web precisa de:

• uma regra de firewall que realmente atinge o tráfego de teste
• um Web Policy selecionado e registro ativado
• critérios claros de origem, destino, serviço e usuário
• uma decisão QUIC consciente para o tráfego do navegador
• Visibilidade TLS quando conteúdo ou downloads HTTPS devem ser inspecionados
• exceções Web e TLS específicas em vez de amplas
• um teste positivo e negativo com tráfego real

O routing e o NAT de saída também têm de funcionar antes do piloto. Num acesso normal à Internet, pode existir uma regra SNAT correspondente com Translated source (SNAT): MASQ em Rules and policies > NAT rules. Não altere uma regra NAT existente que já corresponda corretamente ao tráfego apenas para comparar os modos.

Web Exceptions pode ignorar controlos de proteção em ambos os desenhos. Em Web > Exceptions > Add an exception, tipos de critério diferentes são combinados com AND, enquanto vários valores do mesmo tipo são combinados com OR. Ignorar HTTPS decryption também ignora todos os controlos que dependem do conteúdo desencriptado e permite certificados inválidos para o tráfego correspondente. Um critério baseado apenas no caminho de um URL HTTPS só funciona se o tráfego já estiver a ser desencriptado. Por isso, uma exceção só deve ser criada após a análise da causa e deve ser documentada com proprietário e data de revisão. Utilizar Web Exceptions com segurança explica a separação entre exceções de política, malware, HTTPS e certificado.

Preparar exemplo e piloto

O fluxo usa os seguintes valores de documentação:

• Rede do cliente: 10.20.30.0/24
• Cliente piloto: CLIENT-WEB-01
• IP piloto fixo: 10.20.30.50
• regra existente: LAN_Clients_Web
• Regra piloto: LAN_Web_Mode_Pilot
• Web Policy: Web_Standard
• Proxy FQDN em Direct Proxy: fw01.example.com
• Porta proxy direta: 3128

10.20.30.0/24 e 10.20.30.50 são substituídos pela rede do cliente real e um IP piloto fixo visível no firewall. Nenhum NAT pode ocultar clientes adicionais por trás do endereço piloto. example.com é um domínio de documentação reservado; fw01.example.com só é substituído pelo FQDN de firewall resolvível internamente durante um teste de proxy direto.

Antes da alteração, a configuração atual de Rule ID, Web Policy, Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, QUIC, regras TLS, CA, exceções e logs relevantes são documentados. Além disso, o piloto precisa de uma rota de retorno testada usando a regra existente inalterada.

A regra piloto está acima da regra do cliente anterior e contém apenas CLIENT-WEB-01 como origem. Destino, Serviços, Web Policy e outros perfis de proteção são inicialmente adotados de forma idêntica. O teste altera apenas o caminho de inspeção e não o roteamento, NAT, categorias ou lógica do usuário ao mesmo tempo.

Configurar DPI Mode

Abra a regra piloto em Rules and policies > Firewall rules. As opções seguintes encontram-se em Security features > Web filtering:

1. Desative Use web proxy instead of DPI engine.
2. Selecione Web_Standard em Web filtering > Web policy.
3. Ative o Scan HTTP and decrypted HTTPS de acordo com a verificação programada de malware e conteúdo.
4. Ative Log firewall traffic.
5. Em Filtering common web ports, mantenha Block QUIC protocol ativado. O SFOS seleciona esta opção por predefinição quando uma Web Policy ou Scan HTTP and decrypted HTTPS está ativa; QUIC sobre UDP 80/443 não pode ser analisado e contorna Web Filtering.
6. Para um piloto DPI amplo, use Services: Any ou inclua todos os serviços realmente necessários. DPI deteta HTTP e TLS em todas as portas; um âmbito demasiado restrito pode invalidar a comparação.
7. Guarde a regra e confirme a posição acima da regra geral dos clientes.

A descriptografia TLS para DPI não está ativada nesta regra de firewall. Em Rules and policies > SSL/TLS inspection rules, o piloto precisa de uma regra adequada com Action: Decrypt, o Decryption profile pretendido, registro ativo e o escopo de origem correto. A CA usada por esse caminho deve ser confiável no cliente piloto.

Introduzir TLS Inspection passo a passo descreve a implementação controlada da CA, do Decryption Profile, das exceções e da SSL/TLS inspection rule. Sem uma regra Decrypt adequada, Web Policy ainda pode decidir por domínio ou categoria, mas a inspeção esperada de conteúdos e downloads fica limitada.

Configurar Web Proxy Mode

A mesma regra piloto é adaptada para o Web Proxy transparente:

1. Em Security features > Web filtering, selecione a Web Policy Web_Standard.
2. Em Malware and content scanning, ative Scan HTTP and decrypted HTTPS de acordo com o desenho da análise.
3. Em Filtering common web ports, ative Use web proxy instead of DPI engine.
4. Logo abaixo, ative Decrypt HTTPS during web proxy filtering apenas se a CA do proxy for fidedigna no piloto e o teste HTTPS estiver preparado. Esta opção também desencripta tráfego Direct Proxy.
5. Mantenha Block QUIC protocol ativado e ative Log firewall traffic.
6. Para proxy transparente, inclua pelo menos os serviços HTTP e HTTPS. Para Direct Proxy, adicione a porta definida em Web > General settings > Web proxy configuration > Web proxy listening port; a predefinição é TCP 3128.
7. Em Web > General settings > Malware and content scanning, confirme Web proxy scanning mode. Em HTTPS decryption and scanning, confirme HTTPS scanning certificate authority (CA), Block unrecognized SSL protocols e Block invalid certificates.
8. Confirme novamente a posição da regra e a origem piloto.

Neste modo, a desencriptação é ativada na regra da firewall; a CA e o tratamento de certificados vêm de Web > General settings. Uma DPI SSL/TLS inspection rule não ativa a desencriptação do proxy. Ao mudar de modo, não basta procurar um Decryption Profile existente: também é necessário verificar o emissor do certificado realmente apresentado no navegador.

Direct Proxy é um caminho de cliente separado. O navegador ou a aplicação liga-se a fw01.example.com:3128; listener, Device Access, regra da firewall e configuração do cliente devem corresponder. Use web proxy instead of DPI engine não é necessário para este pedido explícito. O tráfego Direct Proxy também tem limites próprios: Traffic Shaping não se aplica a este caminho e IPS inspeciona entre o proxy e WAN, não entre o cliente e o proxy.

⚠️ Para Direct Proxy, permita apenas a zona de clientes necessária em Administration > Device access > Other services > Web proxy; para um único cliente piloto, uma exceção Local Service ACL estritamente limitada é preferível ao acesso amplo de toda uma zona. Um proxy acessível pode expor os serviços HTTP e HTTPS locais da firewall, mesmo que a matriz de zonas os negue ao cliente, porque a firewall considera que estes pedidos provêm do próprio proxy. Efetue testes negativos ao WebAdmin, User Portal, VPN Portal e a outros destinos web locais e interrompa a implementação se surgir uma exposição não permitida. Mantenha Allowed destination ports em Web > General settings > Web proxy configuration tão restrito quanto possível e, após o piloto, restaure as alterações temporárias de ACL, listener e portas de destino para o estado anterior documentado.

Verificar protocolos SSL e certificados de servidor inválidos

Em Web > General settings > HTTPS decryption and scanning, Block unrecognized SSL protocols impede que tráfego com protocolos SSL inválidos contorne a inspeção HTTPS. É uma decisão de proteção, não uma opção que torne qualquer aplicação incompatível desencriptável.

Block invalid certificates permite ao web proxy ligar-se apenas a sites com um certificado de servidor válido. A opção aplica-se apenas ao proxy; no percurso DPI, a validação dos certificados é configurada através de Decryption profiles. A confiança do cliente na Signing CA resolve outro problema e não repara um certificado original inválido. Para um caso especial expressamente aprovado, Web > Exceptions permite ignorar seletivamente a validação de certificados com base em sites, categorias Web ou endereços IP de origem e destino. Ignorar apenas a verificação necessária, em vez de desativar também toda a desencriptação HTTPS.

Guardar os valores globais do proxy antes de uma alteração e confirmar o percurso afetado. Com um destino válido e um destino de teste controlado com certificado inválido, comparar o resultado no cliente, Rule ID e logs Web/TLS; testar também a exceção contra um destino não aprovado como caso negativo. Se a causa continuar pouco clara, não alargar o âmbito. Para o rollback, restaurar apenas os valores alterados ou a exceção piloto ao estado anterior e verificar novas ligações.

Altere com segurança as regras existentes

A mudança não é feita através da edição da única regra de produção durante o teste:

1. Exporte ou documente regras existentes e configurações web/TLS relevantes.
2. Crie uma regra piloto com critérios idênticos e apenas um host piloto.
3. Primeiro replique o modo atual na regra piloto e confirme o estado inicial.
4. Altere apenas o modo e sua configuração TLS obrigatória associada.
5. Verifique o tráfego permitido, bloqueado e descriptografado.
6. Teste fluxos de navegador, atualização, colaboração e login críticos para os negócios.
7. Se tiver sucesso, expanda gradualmente o escopo.
8. Se houver um desvio, desative a regra piloto e teste novamente o caminho de retorno inalterado.

Uma migração de regras não é um bom momento para alterar categorias da web, autenticação, NAT, SD-WAN, exceções e mecanismo de malware ao mesmo tempo. Várias alterações simultâneas dificultam a atribuição de um resultado diferente.

Verificar corretamente o resultado

Pelo menos as mesmas quatro solicitações são usadas para cada modo:

1. uma página HTTPS deliberadamente permitida
2. uma categoria ou URL de teste deliberadamente bloqueado por Web_Standard
3. um download HTTPS controlado capturado pelo caminho de verificação agendada
4. um aplicativo crítico para os negócios com expectativa de login ou certificado

No Log Viewer, hora, IP de origem, usuário, Firewall Rule ID, Web Policy, categoria, ação e resultado da verificação são verificados juntos. O Rule ID deve pertencer à regra piloto. Um site visível por si só não prova a regra correta ou o caminho de inspeção correto.

Durante o teste HTTPS também se verifica o emissor do certificado no navegador. Em DPI Mode deve corresponder à CA da SSL/TLS inspection rule aplicada. Em Proxy Mode deve corresponder à CA do proxy configurada em Web > General settings. Se o navegador mostrar o certificado público original do servidor, a ligação pode não ter sido desencriptada ou uma exceção pode ter correspondido.

Numa ligação bloqueada na porta 80 ou 443, o log da firewall pode mostrar a ligação como permitida enquanto o log Web Filter apresenta o pedido como bloqueado. Isto é compatível com o comportamento do proxy: a firewall permite o fluxo para o proxy e este gera depois a página de bloqueio. Por isso, ambos os logs são correlacionados pelo tempo em vez de serem tratados como contraditórios.

Testar regras da Sophos Firewall de forma controlada reúne a correspondência de regras, Log Viewer, Policy Tester e Packet Capture. Durante uma captura, as ferramentas de diagnóstico podem alterar temporariamente o caminho de aceleração. Uma diferença de desempenho observada com a captura ativa não permite, por isso, comparar corretamente os dois modos.

Isolar erros por sintoma

Web Policy não funciona

Verifique Rule ID, posição da regra, origem, usuário, serviço e Web Policy selecionado. Com o Direct Proxy, verifique também se o navegador ou aplicação realmente utiliza o listener. Não adicione uma regra Any mais ampla antes que a correspondência real seja resolvida.

HTTPS não é descriptografado

Primeiro determine o modo ativo. Para DPI, verifique SSL/TLS inspection rule, Action, Decryption Profile e CA. Para Web Proxy Decrypt HTTPS during web proxy filtering, verifique proxy CA e possível Web Exceptions. Scan HTTP and decrypted HTTPS não substitui nenhuma dessas etapas de descriptografia.

Após a alteração, ocorrem erros de certificado

Verifique o emissor visível no cliente, armazenamento confiável, exceção TLS, fixação de certificado e armazenamento próprio do aplicativo. Não crie imediatamente um Don't decrypt amplo ou uma exceção da web. A exceção deve ser limitada tanto quanto possível ao domínio ou aplicação efetivamente afetado.

Falta Quota ou análise Batch

Estas funções exigem Web Proxy Mode. Devem ser verificados a regra piloto ativa, Use web proxy instead of DPI engine, a atribuição da política e o modo de análise do proxy. Um teste DPI bem-sucedido não confirma esta função do proxy.

O site está bloqueado, mas o log da firewall mostra a ligação como permitida

Mesclar Web Filter e firewall a tempo. Para tráfego de proxy, o firewall pode permitir a conexão com o proxy antes que o proxy bloqueie a URL e entregue uma página de bloqueio. Categoria, Ação, Rule ID e Regra de Política da Web fornecem a decisão real.

Somente portas ou aplicativos individuais falham

Esclareça se o proxy transparente, Direct Proxy ou DPI é usado. O proxy transparente concentra-se nas portas web clássicas; Direct Proxy precisa de um cliente compatível e do ouvinte; O DPI pode reconhecer TLS em portas TCP adicionais se a regra e a descriptografia corresponderem. Não defina o compartilhamento de porta universal como um substituto de diagnóstico.

Os logs não bastam para identificar a causa

Ativar o logging da firewall e Web e repetir o teste com uma hora inequívoca. Consoante o caminho, são relevantes os logs do proxy Web, TLS e de inspeção. Serviços e ficheiros de log da Sophos Firewall explica a sua classificação e uma exportação segura.

Reversão e operação

Para reverter, desativa-se a regra piloto sem eliminar a Web Policy de produção. Depois, o piloto deve voltar a usar a Rule ID documentada e o caminho de tráfego original. As autorizações temporárias de Device Access para o proxy, as atribuições PAC e as exceções do piloto são repostas no estado anterior.

Durante a operação, toda decisão de modo relacionada a regras tem um proprietário e uma razão compreensível. Funções somente proxy, Decryption Profiles, alterações de CA, exceções e grupos de clientes são verificados regularmente. Uma mudança posterior começa novamente com um piloto porque novas versões de navegador, TLS e aplicativos podem alterar o resultado.

Lista de verificação de operações

• Grupo de clientes, IP piloto e caminho de retorno estão documentados.
• O Firewall Rule ID real e a posição da regra são conhecidos.
• Web Policy e a criação de log estão ativas na regra piloto.
• As funções somente proxy foram capturadas antes da seleção do modo.
• A descriptografia DPI e Proxy TLS não são confundidas.
• A CA real usada é confiável no cliente piloto.
• QUIC foi manuseado e testado intencionalmente com navegadores.
• O tráfego real permitido, bloqueado e verificado foi verificado.
• O emissor do certificado e a ação do filtro da web correspondem ao modo.
• O acesso por zona e as Allowed destination ports de Direct Proxy estão limitados ao necessário se este caminho for usado.
• Os logs do firewall e da web foram avaliados em conjunto.
• Nenhuma exceção ampla ou regra Any foi definida como uma solução rápida.
• A reversão, o proprietário e a data de revisão são documentados.

Perguntas frequentes