Configurar e testar um upstream proxy na Sophos Firewall

Um upstream proxy, também chamado parent proxy, é a instância proxy seguinte atrás da Sophos Firewall. Os clientes internos enviam primeiro os seus Web Requests para o Web Proxy da firewall. A firewall inspeciona o tráfego e encaminha-o depois para o proxy superior. Só este estabelece a ligação à Internet.

A Sophos Firewall suporta exatamente um upstream proxy. DPI Engine não pode utilizar este caminho. Por isso, as regras web afetadas têm de usar o modo proxy com Use web proxy instead of DPI engine.

⚠️ O parent proxy é uma dependência global para Web Requests em modo proxy. Antes de o ativar, documentar um backup atual, uma ligação administrativa independente, as regras proxy existentes, o caminho NAT original e um caminho de retorno testado. A Sophos Firewall não oferece uma segunda entrada de parent proxy como destino de failover integrado.

Este procedimento trata pedidos HTTP e HTTPS encaminhados a partir de redes internas. Não afirma que o tráfego de sistema da firewall, as atualizações de firmware ou as ligações de licenciamento utilizem o mesmo caminho do parent proxy.

Upstream proxy em dez passos

Definir um cliente piloto gerido, um pedido web permitido e outro bloqueado.
Decidir se o parent proxy está em WAN, LAN ou DMZ.
Documentar IP, porta, conta de serviço opcional, routing e caminho de retorno do proxy.
Criar o proxy como IP Host e verificar se a firewall consegue alcançá-lo.
Em Routing > Upstream proxy, selecionar Parent proxy e introduzir endereço, porta e credenciais opcionais.
Definir a regra web do cliente como Use web proxy instead of DPI engine e ativar o logging.
Para um proxy em WAN, criar uma regra limitada de cliente para proxy e verificar a regra SNAT efetiva.
Para um proxy em LAN ou DMZ, traduzir também o caminho do cliente com MASQ e criar uma regra própria de proxy para WAN sem Web Policy nem análise de malware.
Validar o acesso permitido, bloqueado e direto ao proxy através de Firewall Rule ID, NAT Rule ID, logs web e logs do proxy.
Testar a falha do proxy, o failover HA e o rollback numa janela de manutenção antes de adicionar mais redes.

Compreender duas ligações e duas topologias

O caminho de dados é composto por duas ligações separadas:

O cliente envia um pedido HTTP ou HTTPS para ou através do Web Proxy da Sophos Firewall.
A Sophos Firewall transforma-o numa ligação ao parent proxy, que encaminha o pedido para a Internet.

Por isso, o browser não tem de apontar diretamente para o parent proxy. Com um Direct Web Proxy e ficheiro PAC explícitos, a Sophos Firewall continua a ser o destino proxy do cliente. O parent proxy é o hop seguinte atrás da firewall.

Parent proxy na WAN

Se o parent proxy estiver na WAN, além da regra Web Proxy o caminho de dados necessita de uma regra de firewall das redes cliente internas para o host e a porta específicos do proxy. A regra Default SNAT IPv4 existente normalmente mascara os endereços de origem privados. Só é necessária uma regra SNAT separada se este caminho exigir outra Source Translation.

Parent proxy na LAN ou DMZ

Se o parent proxy estiver na LAN ou DMZ, o respetivo caminho para a Internet permanece atrás da Sophos Firewall. São necessários três componentes adicionais:

uma regra de firewall de cliente para proxy,
uma regra SNAT MASQ limitada apenas a este caminho,
uma regra de proxy para WAN sem Web Policy nem uma segunda análise de malware ou conteúdo.

A regra de proxy para WAN deve ficar acima das regras sobrepostas em modo Web Proxy. Caso contrário, o tráfego criado pelo parent proxy pode entrar novamente no caminho proxy ou ser inspecionado de forma diferente da prevista.

Exemplo e valores substituíveis

O artigo utiliza duas alternativas:

Cliente piloto: CLIENT-WEB-01
IP fixo do cliente: 10.20.30.50
Rede cliente: 10.20.30.0/24
Zona cliente: LAN
Regra web: LAN_Web_ParentProxy_Pilot
Porta do parent proxy: 3128
Proxy WAN: PARENT-WAN_192.0.2.80
IP do proxy WAN: 192.0.2.80
Proxy DMZ: PARENT-DMZ_10.20.40.20
IP do proxy DMZ: 10.20.40.20
Zona DMZ: DMZ
Conta proxy opcional: svc_sfos_parent_proxy

192.0.2.80 é um endereço de documentação e deve ser substituído pelo endereço IP público ou do lado do fornecedor real do upstream proxy. 10.20.40.20 representa um proxy interno na sua própria DMZ. Do ponto de vista da Sophos Firewall, o endereço escolhido tem de ser alcançável através do caminho previsto.

A Sophos aceita um endereço IPv4, IPv6 ou nome de domínio. Para um caminho de dados controlável, é preferível o endereço IP: a Sophos recomenda-o para impedir que os clientes contornem o Web Proxy da firewall através de acesso direto ao upstream proxy. Um nome de domínio não é um segundo proxy nem um mecanismo de failover documentado.

A porta 3128 é frequentemente utilizada por proxies, mas não é um valor imutável do produto. Se o parent proxy utilizar outro listener, o objeto host/serviço, as regras de firewall, Packet Capture, o monitoring e os testes têm de usar a mesma porta.

A conta opcional só é utilizada se o parent proxy exigir autenticação. Utilizar uma conta de serviço dedicada e com privilégios mínimos, documentar a rotação da palavra-passe e o responsável, e não guardar contas administrativas pessoais.

Introduzir globalmente o parent proxy

Antes da alteração, a firewall tem de conseguir alcançar o proxy através do routing e do caminho de firewall previstos. Uma porta TCP aberta, por si só, não prova que a autenticação do proxy ou o encaminhamento HTTP funcionem.

Em Hosts and services > IP host, criar o host específico do proxy.
Em Routing > Upstream proxy, selecionar Parent proxy.
Introduzir o endereço IP ou nome de domínio do parent proxy. Para este procedimento, utilizar o IP confirmado.
Introduzir a porta real do proxy, 3128 neste exemplo.
Introduzir nome de utilizador e palavra-passe apenas se o proxy exigir autenticação.
Guardar com Apply.

Esta definição não funciona como uma regra de firewall individual limitada ao piloto. Regras restritas e a respetiva ordem limitam o piloto. Antes de guardar, registar todas as regras existentes que já utilizam Use web proxy instead of DPI engine.

Definir a regra web no modo proxy

A regra web da rede interna para WAN associa Web Policy e análise à primeira parte do caminho de dados. Regras de firewall na Sophos Firewall explica o funcionamento geral.

Criar uma regra própria para o piloto ou adaptar de forma limitada uma regra piloto existente:

Source zones: LAN
Source networks and devices: CLIENT-WEB-01 ou a rede piloto confirmada
Destination zones: WAN
Destination networks: apenas os destinos web previstos ou deliberadamente Any
Services: os serviços HTTP/HTTPS necessários
Web policy: a política piloto preparada
Scan HTTP and decrypted HTTPS: apenas se a proteção planeada o exigir
Use web proxy instead of DPI engine: ativado
Log firewall traffic: ativado

Web Protection na Sophos Firewall explica como validar categorias, exceções e destinos reais permitidos e bloqueados.

O parent proxy não funciona com DPI Engine. O estado verde de uma regra não prova o caminho real. Depois de guardar, o pedido de teste tem de mostrar a Firewall Rule ID e a Web Policy esperadas.

A desencriptação HTTPS é uma decisão separada. Se tanto a Sophos Firewall como o parent proxy desencriptarem TLS, tem de ficar claro que instância emite cada certificado e onde se origina um erro. O rollout controlado de TLS Inspection continua a ser o procedimento detalhado.

Ligar um parent proxy na WAN

Para um proxy na WAN, criar uma regra adicional que permita explicitamente o hop para o proxy:

Name: LAN_to_PARENT-WAN_3128
Source zones: LAN
Source networks and devices: 10.20.30.0/24 ou o piloto mais limitado
Destination zones: WAN
Destination networks: PARENT-WAN_192.0.2.80
Services: um serviço TCP próprio para 3128
Log firewall traffic: ativado

A regra não pode transformar-se numa permissão geral ampla de LAN para WAN. Manter específicos o host e a porta do proxy. Após o teste, confirmar através da Firewall Rule ID que corresponde exatamente esta regra.

Numa configuração padrão, Default SNAT IPv4 mascara frequentemente os endereços privados dos clientes. Mesmo assim, verificar a NAT Rule ID efetiva no Log Viewer e Packet Capture. Uma nova regra SNAT só faz sentido se o proxy do fornecedor exigir um endereço de origem específico ou se o caminho NAT existente não corresponder. NAT na Sophos Firewall explica os fundamentos.

Ligar um parent proxy na LAN ou DMZ

Para um proxy na LAN ou DMZ, manter o respetivo tráfego de Internet separado do caminho cliente-para-proxy.

Criar a regra de cliente para proxy

A primeira regra permite apenas o caminho de cliente confirmado:

Name: LAN_to_PARENT-DMZ_3128
Source zones: LAN
Source networks and devices: 10.20.30.0/24 ou o piloto mais limitado
Destination zones: DMZ
Destination networks: PARENT-DMZ_10.20.40.20
Services: um serviço TCP próprio para 3128
Log firewall traffic: ativado

Se o proxy estiver na LAN, utilizar a respetiva zona real. O procedimento de produção da Avanet não necessita de Any como Source nem como Destination.

Criar SNAT apenas para este caminho

Em Rules and policies > NAT rules, criar uma regra Source NAT limitada:

Original source: 10.20.30.0/24 ou o piloto mais limitado
Translated source (SNAT): MASQ
Original destination: PARENT-DMZ_10.20.40.20
Translated destination (DNAT): Original
Original service: TCP 3128
Inbound interface: a interface cliente confirmada ou deliberadamente Any
Outbound interface: a interface para o proxy ou deliberadamente Any

Definir os campos de interface apenas quando o caminho real for estável. Uma interface incorreta impede a correspondência. Validar a regra através da NAT Rule ID esperada e não apenas pela posição.

Criar a regra de proxy para WAN sem outra inspeção web

O parent proxy precisa de uma regra própria para as suas ligações à Internet:

Name: PARENT-DMZ_to_WAN
Source zones: DMZ
Source networks and devices: PARENT-DMZ_10.20.40.20
Destination zones: WAN
Destination networks: os destinos necessários ou deliberadamente Any
Web policy: None
Malware and content scanning: desativado
Log firewall traffic: ativado

Colocar esta regra acima de outras que possam corresponder à mesma combinação Source/Destination em modo Web Proxy. É possível selecionar conscientemente uma IPS Policy se a operação a exigir para o caminho de proxy para WAN. Não aplicar uma segunda vez Web Policy e análise de malware.

Para o hop WAN do parent proxy volta a aplicar-se a regra SNAT que efetivamente corresponde. Default SNAT IPv4 pode ser suficiente; a NAT Rule ID decide.

Validar o caminho de dados de forma controlada

Um teste bem-sucedido não confirma apenas que um site qualquer abre. Relaciona cliente, regra, NAT, Web Policy e parent proxy numa única linha temporal.

Registar a hora com fuso horário, IP piloto, URL de destino e ação esperada.
Abrir uma página HTTP ou HTTPS permitida.
Abrir uma categoria ou URL de teste que a Web Policy piloto deve bloquear.
No Log Viewer, verificar Firewall Rule ID, NAT Rule ID, Web Policy, ação, Source e Destination esperadas.
No logging ou monitoring do parent proxy, confirmar que ambos os pedidos chegam a partir da Source Sophos ou NAT esperada.
No Built-in Packet Capture, utilizar host 192.0.2.80 and port 3128, ou o IP real do proxy, para verificar os caminhos de ida e retorno.
A partir do cliente piloto, testar o acesso direto ao IP e à porta do proxy. Quando o endereço do parent proxy é introduzido como IP, a política Sophos também tem de se aplicar a este caminho; um bypass não testado é uma condição de paragem.
Tornar o parent proxy indisponível de forma controlada ou bloquear a porta de teste durante uma janela de manutenção. Documentar a falha observada e o comportamento dos alertas sem presumir um segundo proxy automático.

O teste só é aprovado quando o pedido permitido e o bloqueado se comportam corretamente, o parent proxy vê ambos e o acesso direto não contorna a política de segurança. Testar sistematicamente uma regra de firewall explica em detalhe a validação com Rule IDs e Packet Capture.

Testar HA separadamente

Em Active-Active, a Sophos pode distribuir tráfego TCP do parent proxy entre os nós. No entanto, cada nó só guarda logs do tráfego que processou. Por isso, durante o troubleshooting devem ser examinados ambos os nós ou o nó que processava o tráfego no momento do evento.

Repetir um failover controlado com uma nova ligação do browser. Depois, voltar a verificar Firewall Rule ID, NAT Rule ID, log do parent proxy, a ação permitida e a bloqueada. Não presumir que uma ligação proxy existente continua sem interrupção.

Isolar erros sistematicamente

Os sites abrem diretamente, mas não através do parent proxy

Verificar se a regra web do cliente utiliza Use web proxy instead of DPI engine.
Verificar a Firewall Rule ID real e a ordem das regras.
Verificar route, IP do proxy, porta, NAT Rule ID e caminho de retorno.
Se houver autenticação, comparar nome de utilizador, palavra-passe, estado de bloqueio e log do parent proxy.
Uma porta TCP aberta não comprova um pedido proxy bem-sucedido nem uma autenticação válida.

O parent proxy responde com 407 ou um erro de autenticação

Verificar as credenciais e o estado da conta no parent proxy. Não guardar uma conta administrativa pessoal como solução rápida. Depois de alterar a palavra-passe, atualizar de forma controlada a entrada global, testar uma nova ligação e revogar o acesso ao secret antigo.

Um proxy na LAN ou DMZ não alcança a Internet

Verificar a regra de cliente para proxy e a respetiva Rule ID.
Verificar a regra MASQ limitada e a NAT Rule ID.
Verificar a regra de proxy para WAN, a posição e a Source real do proxy.
Garantir que Web policy está definida como None e que Malware and content scanning não voltou a ser ativado.
Verificar separadamente a route e o SNAT do hop WAN do parent proxy.

A Web Policy é aplicada duas vezes ou o caminho entra em loop

A regra de proxy para WAN tem de aparecer antes das regras sobrepostas em modo Web Proxy. Comparar Source, Destination, Service e Rule ID de cada hop. Procurar em awarrenhttp.log, fwlog.log, firewall_rule.log e nat_rule.log a mesma hora, IP do cliente, IP do proxy e endereço de destino. Logs de serviço da Sophos Firewall explica a correspondência dos ficheiros.

Não reiniciar serviços proxy nem deixar a saída de debug ativada. Primeiro guardar dados do Log Viewer, Packet Capture e os ficheiros de log disponíveis. awarrenhttp_access.log contém pedidos individuais detalhados apenas quando o debug está ativo, pelo que não é uma prova padrão para todos os incidentes.

HTTPS apresenta certificados inesperados ou erros de certificado

Determinar se a Sophos Firewall, o parent proxy ou ambos desencriptam TLS. Comparar o certificado emissor no browser, a Web Policy correspondente, a SSL/TLS Inspection Rule e o log do upstream proxy. Não alterar simultaneamente e apenas com base numa suspeita a distribuição de CA, a desencriptação e as regras do parent proxy.

Apenas algumas aplicações contornam o proxy

Nem todas as aplicações utilizam as definições proxy do browser ou do sistema operativo. O parent proxy não é um túnel geral para tráfego TCP ou UDP arbitrário. Registar o caminho de dados real da aplicação afetada e a regra de firewall correspondente, em vez de deduzir o comportamento de todos os programas a partir de um teste bem-sucedido no browser.

Operação e rollback

O único parent proxy é uma dependência documentada. O monitoring deve verificar mais do que a porta TCP: utilizar um pedido HTTP ou HTTPS real, autenticação, latência e a resposta upstream esperada. Documentar responsável, janela de manutenção, expiração do secret e caminho de recuperação.

Para efetuar rollback:

Guardar hora, configuração, Rule IDs e NAT Rule IDs anteriores à alteração.
Em Routing > Upstream proxy, restaurar o estado anterior documentado.
Repor a regra web do cliente no modo DPI ou proxy anterior.
Desativar regras temporárias de cliente para proxy, proxy para WAN e SNAT apenas depois de confirmar o caminho de substituição.
Abrir uma nova ligação do browser ou da aplicação e repetir o pedido permitido e o bloqueado.
Em HA, repetir o teste para o nó que está a processar e depois de um failover planeado.
Remover acessos proxy e secrets já desnecessários apenas após uma validação bem-sucedida.

Checklist

Estão documentados um backup atual, uma ligação administrativa independente e o estado anterior.
Estão confirmados localização WAN, LAN ou DMZ, IP, porta, routing e caminho de retorno do proxy.
O parent proxy está introduzido como IP ou a decisão de FQDN está justificada.
A regra web do cliente utiliza Use web proxy instead of DPI engine.
A regra de cliente para proxy, Firewall Rule ID e porta do proxy correspondem.
Para LAN/DMZ existem regras limitadas de SNAT MASQ e proxy para WAN.
A regra de proxy para WAN tem Web Policy None e nenhuma segunda análise de malware.
Foram testados os acessos permitido, bloqueado e direto ao proxy.
Foram testados falha do parent proxy, alertas, failover HA e rollback.
Estão documentados responsável, rotação do secret, monitoring e data de revisão.

Perguntas frequentes

Não. Com Web Proxy transparente, o cliente não conhece o proxy. Com Direct Web Proxy, o browser aponta para a Sophos Firewall. Em ambos os casos, o parent proxy é o hop proxy seguinte atrás da firewall.

Não. A Sophos documenta o upstream proxy apenas para o modo Web Proxy. A regra web afetada tem de utilizar Use web proxy instead of DPI engine.

Não. A Sophos documenta uma única entrada de upstream proxy. A alta disponibilidade tem de ser fornecida no lado upstream através de um endereço estável testado ou de um serviço HA nesse lado. Um nome de domínio, por si só, não é um mecanismo de failover documentado para o parent proxy.