Välj DPI Engine eller Web Proxy korrekt på Sophos Firewall

För nya allmänna regler för klienters internetåtkomst i SFOS 22 är DPI Engine vanligtvis den bästa utgångspunkten. Brandvägg, Web Protection, Application Control, IPS, skanning av skadlig kod och TLS-inspektion hanteras i samma väg. Web Proxy är fortfarande rätt val när en proxyspecifik funktion behövs: Policy Quota, Batch-skanning, SafeSearch- eller YouTube-begränsningar, begränsning av Google Workspace-inloggningar till angivna domäner, Pharming Protection, Web Cache, Parent Proxy eller en Direct Proxy-arkitektur.

Valet är inte ett globalt antingen/eller beslut för hela brandväggen. Olika brandväggsregler och klientgrupper kan använda olika sökvägar. För ett individuellt testflöde måste det dock framgå vilken regel som gäller och om DPI Engine, den transparenta Web Proxy eller en explicit konfigurerad Direct Proxy behandlar begäran.

När en klassisk proxy- eller e-posttjänst ska behandla ett känt protokoll på en annan port förklarar Inspektera icke-standardportar den globala tilldelningen med service-param, valideringen och återställningen.

⚠️ En produktionsregel ska inte växlas spontant mellan DPI Engine och Web Proxy. Ändringen påverkar TLS-dekryptering, funktioner som stöds, loggvyn och ibland beteendet hos webbläsare och program. Först testas en pilotklient i en separat regel, returvägen dokumenteras och därefter utökas omfattningen.

Snabbt beslut

1. Samla in den berörda klientgruppen, Firewall Rule ID, Web Policy, TLS-förfrågan och nödvändiga webbfunktioner.
2. Välj DPI Engine om normal dirigerad klienttrafik ska styras utan en speciell proxyfunktion.
3. Välj Web Proxy om Policy Quota, Batch skanning, Web Cache eller avsiktlig proxydesign krävs.
4. För Direct Proxy, kontrollera även lyssnare, Device Access, PAC eller webbläsarkonfiguration och lokala brandväggstjänster.
5. Konfigurera TLS-dekryptering på rätt plats: SSL/TLS inspection rule för DPI, proxy HTTPS-dekryptering för Web Proxy.
6. Inkludera en pilotvärd i sin egen, loggade regel och utlös exakt en tillåten och en blockerad begäran.
7. Rule ID, kontrollera webbfilteråtgärd, certifikatutfärdare, skanningsresultat och datasökväg som används tillsammans.
8. Om det finns avvikelser, gå tillbaka till föregående kontrollväg istället för att ändra båda lägena samtidigt på samma testflöde.

Förstå DPI Engine, transparent Web Proxy och Direct Proxy

De tre termerna beskriver inte samma konfiguration:

• DPI Engine: Normalt dirigerad trafik kontrolleras mot brandväggsregeln och SSL/TLS inspection rules. Klienten känner inte till en proxy.
• Transparent Web Proxy: Klienten känner inte heller till en proxy. Brandväggsregeln använder dock Use web proxy instead of DPI engine och skickar klassisk webbtrafik till Web Proxy.
• Direct Web Proxy: Webbläsaren eller programmet ansluter uttryckligen till brandväggens proxylistener, normalt på TCP-port 3128. Den här vägen skapas av klientkonfigurationen, inte av alternativet i brandväggsregeln.

I samtliga fall fungerar Web Policy bara om den är vald i brandväggsregeln som faktiskt matchar. Scan HTTP and decrypted HTTPS aktiverar inte heller TLS-dekryptering på egen hand. Konfigurera Web Protection med Web Policies förklarar planering, kategorier och regelordning.

Med DPI Engine behandlar Sophos SSL/TLS Inspection, IPS, Application Control, Web Policies och antivirus i en gemensam inspektionsväg. Beroende på plattform och flöde kan vägen dra nytta av brandväggsacceleration. Proxyanslutningar avslutas och återupprättas däremot av en proxyprocess. Det innebär inte att ett läge alltid är snabbare eller säkrare. Endast tester på den verkliga appliance-enheten med representativa regler, målprogram och genomströmning är avgörande.

Vilka funktioner avgör beslutet

DPI Engine för allmän klienttrafik

DPI Engine är en bra utgångspunkt om miljön behöver dessa funktioner:

• normal dirigerad klienttrafik utan PAC eller webbläsarproxystandard
• SSL/TLS Inspection över regelbaserad Decryption Profiles
• HTTP- eller TLS-detektering även utanför de klassiska portarna, förutsatt att reglerna och detekteringen matchar
• Gemensam utvärdering med IPS, Application Control och skanning av skadlig programvara
• En så enhetlig dataväg som möjligt för nya klientinternetregler

I DPI Engine sker skanning av skadlig programvara alltid i Real-time. Konfigurera och testa skanning av skadlig programvara på Sophos Firewall förklarar skanningsmotor, storleksgränser och felåtgärder.

Web Proxy är lämplig för proxyfunktioner

Web Proxy är nödvändig eller användbar om minst ett av dessa krav gäller:

• en Web Policy använder Quota
• Skanning av skadlig programvara bör fungera i Batch-läge istället för bara Real-time
• SafeSearch- eller YouTube-begränsningar måste tillämpas
• Google Workspace-inloggningar måste begränsas till konton i angivna domäner
• Pharming Protection måste aktiveras
• Web Content Cache är en del av designen
• Klienter använder en Direct Proxy med PAC, GPO, MDM eller applikationskonfiguration
• en överordnad proxy eller annan proxyrelaterad arkitektur tillhandahålls
• en befintlig, testad proxy-autentiseringsväg bör behållas

Policy Quota stöds inte av DPI Engine. En övergång till DPI skulle därför inte anta en sådan policy på samma sätt. Omvänt är en befintlig proxy ingen anledning att ställa in varje ny regel till proxyläge. Den önskade funktionen och den faktiska datavägen avgör för varje kundgrupp.

Med transparent Web Proxy behandlar proxyn endast HTTP på port 80 och HTTPS på port 443; HTTP- och TLS-trafik på andra portar fortsätter att hanteras av DPI Engine även när proxyalternativet är aktiverat. Direct Web Proxy lyssnar på konfigurerad listener, som standard TCP 3128. Konfigurera Direct Web Proxy med en PAC-fil samlar listener, PAC-fil, begränsad Local Service ACL och proxyregel.

Vad båda lägena behöver gemensamt

Oavsett läge behöver webbskydd:

• en brandväggsregel som verkligen träffar testtrafiken
• en vald Web Policy och aktiverad loggning
• tydlig källa, destination, tjänst och användarkriterier
• ett medvetet QUIC-beslut för webbläsartrafik
• TLS-synlighet när HTTPS-innehåll eller nedladdningar ska inspekteras
• riktade i stället för breda Web- och TLS-undantag
• ett positivt och negativt test med verklig trafik

Routing och utgående NAT måste också fungera före pilottestet. För vanlig internetåtkomst kan detta vara en matchande SNAT-regel med Translated source (SNAT): MASQ under Rules and policies > NAT rules. Ändra inte en befintlig NAT-regel som redan matchar korrekt enbart för att jämföra lägena.

Web Exceptions kan kringgå skyddskontroller i båda designerna. Under Web > Exceptions > Add an exception kombineras olika kriterietyper med AND, medan flera värden inom samma typ kombineras med OR. Om HTTPS decryption undantas, undantas även alla kontroller som kräver dekrypterat innehåll, och ogiltiga certifikat tillåts för den matchande trafiken. Ett kriterium som endast matchar sökvägen i en HTTPS-URL fungerar först när trafiken redan dekrypteras. Skapa därför ett undantag först efter orsaksanalys och dokumentera ägare och granskningsdatum. Använd Web Exceptions säkert förklarar skillnaden mellan policy-, malware-, HTTPS- och certifikatundantag.

Förbered exempel och pilot

Flödet använder följande dokumentationsvärden:

• Klientnätverk: 10.20.30.0/24
• Pilotklient: CLIENT-WEB-01
• fast pilot IP: 10.20.30.50
• befintlig regel: LAN_Clients_Web
• Pilotregel: LAN_Web_Mode_Pilot
• Web Policy: Web_Standard
• Proxy FQDN på Direct Proxy: fw01.example.com
• Direkt proxyport: 3128

10.20.30.0/24 och 10.20.30.50 ersätts av det riktiga klientnätverket och en fast pilot-IP synlig på brandväggen. Ingen NAT får gömma ytterligare klienter bakom pilotadressen. example.com är en reserverad dokumentationsdomän; fw01.example.com ersätts endast med den internt lösbara brandväggen FQDN under ett direkt proxytest.

Före ändringen dokumenteras nuvarande Rule ID, Web Policy, Use web proxy instead of DPI engine, Scan HTTP and decrypted HTTPS, QUIC-inställning, TLS-regler, CA, undantag och relevanta loggar. Dessutom behöver piloten en testad returrutt med den oförändrade befintliga regeln.

Pilotregeln ligger över den tidigare klientregeln och innehåller endast CLIENT-WEB-01 som källa. Destination, Services, Web Policy och andra skyddsprofiler antas initialt identiskt. Testet ändrar bara inspektionsvägen och inte routing, NAT, kategorier eller användarlogik samtidigt.

Konfigurera DPI Mode

Öppna pilotregeln under Rules and policies > Firewall rules. Följande alternativ finns under Security features > Web filtering:

1. Inaktivera Use web proxy instead of DPI engine.
2. Välj Web_Standard under Web filtering > Web policy.
3. Aktivera Scan HTTP and decrypted HTTPS enligt schemalagd skadlig programvara och innehållsskanning.
4. Aktivera Log firewall traffic.
5. Låt Block QUIC protocol vara aktiverat under Filtering common web ports. SFOS väljer alternativet som standard när en Web Policy eller Scan HTTP and decrypted HTTPS aktiveras; QUIC över UDP 80/443 kan inte skannas och kringgår Web Filtering.
6. Använd Services: Any för ett brett DPI-pilottest eller inkludera alla tjänster som verkligen behövs. DPI identifierar HTTP och TLS på alla portar; ett alltför snävt tjänsteomfång kan göra jämförelsen missvisande.
7. Spara regeln och kontrollera dess position ovanför den allmänna klientregeln.

TLS-dekryptering för DPI är inte aktiverat i den här brandväggsregeln. Under Rules and policies > SSL/TLS inspection rules behöver piloten en lämplig regel med Action: Decrypt, den avsedda Decryption profile, aktiv loggning och rätt källomfattning. Den CA som används av den här sökvägen måste vara betrodd på pilotklienten.

Inför TLS Inspection stegvis beskriver en kontrollerad utrullning av CA, Decryption Profile, undantag och SSL/TLS inspection rule. Utan en passande Decrypt-regel kan Web Policy fortfarande fatta beslut per domän eller kategori, men den förväntade innehålls- och nedladdningsinspektionen förblir begränsad.

Konfigurera Web Proxy Mode

Samma pilotregel är anpassad för den transparenta Web Proxy:

1. Välj Web Policy Web_Standard under Security features > Web filtering.
2. Aktivera Scan HTTP and decrypted HTTPS under Malware and content scanning enligt skanningsdesignen.
3. Aktivera Use web proxy instead of DPI engine under Filtering common web ports.
4. Aktivera direkt nedanför Decrypt HTTPS during web proxy filtering endast om proxy-CA:n är betrodd på pilotklienten och HTTPS-testet är förberett. Alternativet dekrypterar även Direct Proxy-trafik.
5. Låt Block QUIC protocol vara aktiverat och aktivera Log firewall traffic.
6. Inkludera minst tjänsterna HTTP och HTTPS för transparent proxy. För Direct Proxy lägger du även till porten som anges under Web > General settings > Web proxy configuration > Web proxy listening port; standardvärdet är TCP 3128.
7. Kontrollera Web proxy scanning mode under Web > General settings > Malware and content scanning. Kontrollera HTTPS scanning certificate authority (CA), Block unrecognized SSL protocols och Block invalid certificates under HTTPS decryption and scanning.
8. Kontrollera regelpositionen och pilotkällan igen.

I detta läge aktiveras dekrypteringen i brandväggsregeln; CA och certifikathantering kommer från Web > General settings. En DPI SSL/TLS inspection rule aktiverar inte proxydekryptering. Vid ett lägesbyte räcker det därför inte att leta efter en befintlig Decryption Profile: även certifikatutfärdaren som faktiskt visas i webbläsaren måste kontrolleras.

Direct Proxy är en separat klientväg. Webbläsaren eller programmet ansluter till fw01.example.com:3128; listener, Device Access, brandväggsregel och klientkonfiguration måste stämma överens. Use web proxy instead of DPI engine krävs inte för denna uttryckliga begäran. Direct Proxy-trafik har också egna begränsningar: Traffic Shaping gäller inte för denna väg och IPS inspekterar mellan proxy och WAN, inte mellan klient och proxy.

⚠️ Tillåt endast den klientzon som behövs för Direct Proxy under Administration > Device access > Other services > Web proxy; för en enskild pilotklient är ett snävt avgränsat Local Service ACL-undantag bättre än bred zonåtkomst. En nåbar proxy kan exponera brandväggens lokala HTTP- och HTTPS-tjänster även om zonmatrisen nekar klienten åtkomst till dem, eftersom brandväggen ser dessa förfrågningar som om de kommer från proxyn själv. Negativtesta WebAdmin, User Portal, VPN Portal och andra lokala webbmål och avbryt utrullningen om en otillåten exponering uppstår. Håll Allowed destination ports under Web > General settings > Web proxy configuration så snävt som möjligt och återställ tillfälliga ändringar av ACL, listener och målportar till det dokumenterade föregående läget efter pilottestet.

Kontrollera ogiltiga SSL-protokoll och servercertifikat

Under Web > General settings > HTTPS decryption and scanning förhindrar Block unrecognized SSL protocols att trafik med ogiltiga SSL-protokoll kringgår HTTPS-inspektionen. Detta är ett skyddsbeslut, inte en inställning som gör varje inkompatibelt program möjligt att dekryptera.

Block invalid certificates låter webbproxyn ansluta endast till webbplatser med giltiga servercertifikat. Alternativet gäller bara proxyn; på DPI-vägen konfigureras certifikatvalidering via Decryption profiles. Klientens förtroende för Signing CA löser ett annat problem och reparerar inte ett ogiltigt originalcertifikat. För ett uttryckligen godkänt specialfall kan certifikatvalidering undantas selektivt under Web > Exceptions, utifrån webbplatser, webbkategorier eller käll- och mål-IP-adresser. Hoppa bara över den nödvändiga kontrollen i stället för att också stänga av all HTTPS-dekryptering.

Spara de globala proxyvärdena före en ändring och bekräfta den berörda datavägen. Jämför klientresultat, Rule ID och webb-/TLS-loggar med ett giltigt mål och ett kontrollerat testmål med ogiltigt certifikat; testa även ett undantag negativt mot ett mål som inte har godkänts. Utöka inte omfattningen om orsaken fortfarande är oklar. Vid återställning återförs endast de ändrade värdena eller pilotundantaget till det tidigare läget, varefter nya anslutningar kontrolleras.

Ändra på ett säkert sätt befintliga regler

Bytet genomförs inte genom att den enda produktionsregeln redigeras under testet:

1. Exportera eller dokumentera befintlig regel och relevanta webb-/TLS-inställningar.
2. Skapa en pilotregel med identiska kriterier och endast en pilotvärd.
3. Replikera först det aktuella läget i pilotregeln och bekräfta initialtillståndet.
4. Ändra endast läget och dess obligatoriska tillhörande TLS-konfiguration.
5. Kontrollera tillåten, blockerad och dekrypterad trafik.
6. Testa affärskritiska webbläsare, uppdateringar, samarbeten och inloggningsflöden.
7. Om det lyckas, utöka omfattningen gradvis.
8. Om det finns en avvikelse, avaktivera pilotregeln och testa den oförändrade returvägen igen.

En regelmigrering är inte ett bra tillfälle att ändra webbkategorier, autentisering, NAT, SD-WAN, undantag och skadlig programvara samtidigt. Flera samtidiga ändringar gör det svårt att tilldela ett annat resultat.

Kontrollera resultatet korrekt

Minst samma fyra förfrågningar används för varje läge:

1. en medvetet tillåten HTTPS-sida
2. en kategori eller test-URL som avsiktligt blockerats av Web_Standard
3. en kontrollerad HTTPS-nedladdning fångad av den schemalagda sökvägen
4. en affärskritisk applikation med inloggning eller certifikatförväntning

I Log Viewer kontrolleras tid, käll-IP, användare, Firewall Rule ID, Web Policy, kategori, åtgärd och skanningsresultat tillsammans. Rule ID måste tillhöra pilotregeln. En synlig webbplats ensam bevisar inte rätt regel eller rätt inspektionsväg.

Under HTTPS-testet kontrolleras även certifikatutfärdaren i webbläsaren. I DPI Mode måste den stämma med CA för den SSL/TLS inspection rule som matchade. I Proxy Mode måste den stämma med proxy-CA under Web > General settings. Om webbläsaren visar serverns ursprungliga offentliga certifikat kanske anslutningen inte dekrypterades eller så matchade ett undantag.

För en blockerad anslutning på port 80 eller 443 kan brandväggsloggen visa anslutningen som tillåten, medan Web Filter-loggen visar begäran som blockerad. Det stämmer med proxybeteendet: brandväggen tillåter flödet till proxyn, som sedan skapar blocksidan. Därför tidskorreleras de två loggarna i stället för att betraktas som motsägelsefulla.

Testa Sophos Firewall-regler kontrollerat kombinerar regelmatchning, Log Viewer, Policy Tester och Packet Capture. Under en capture kan diagnostikverktyg tillfälligt ändra accelerationsvägen. En prestandaskillnad som observeras medan capture är aktiv ger därför ingen rättvis jämförelse av de två lägena.

Isolera fel efter symptom

Web Policy fungerar inte

Kontrollera Rule ID, regelposition, källa, användare, tjänst och vald Web Policy. Med Direct Proxy, kontrollera också om webbläsaren eller applikationen verkligen använder lyssnaren. Lägg inte till en bredare Any-regel innan den faktiska matchningen är löst.

HTTPS är inte dekrypterad

Bestäm först det aktiva läget. För DPI, kontrollera SSL/TLS inspection rule, Action, Decryption Profile och CA. För Web Proxy Decrypt HTTPS during web proxy filtering, kontrollera proxy CA och eventuell Web Exceptions. Scan HTTP and decrypted HTTPS ersätter inte något av dessa dekrypteringssteg.

Efter ändringen uppstår certifikatfel

Kontrollera utfärdaren som är synlig i klienten, förtroendebutik, TLS-undantag, certifikatpinning och egen applikationslagring. Skapa inte omedelbart ett omfattande Don't decrypt eller webbundantag. Undantaget måste begränsas så nära som möjligt till den domän eller applikation som faktiskt berörs.

Quota eller Batch-skanning saknas

Dessa funktioner kräver Web Proxy Mode. Kontrollera aktiv pilotregel, Use web proxy instead of DPI engine, policytilldelning och proxyskanningsläge. Ett lyckat DPI-test bekräftar inte denna proxyfunktion.

Webbplatsen är blockerad, men brandväggsloggen visar anslutningen som tillåten

Slå samman Web Filter och brandvägg i tid. För proxytrafik kan brandväggen tillåta anslutning till proxyn innan proxyn blockerar URL:en och levererar en blockeringssida. Kategori, Åtgärd, Rule ID och webbpolicyregel ger det faktiska beslutet.

Endast enskilda portar eller applikationer misslyckas

Förtydliga om transparent proxy, Direct Proxy eller DPI används. Transparent proxy fokuserar på de klassiska webbportarna; Direct Proxy behöver en klient som stöds och lyssnaren; DPI kan känna igen TLS på ytterligare TCP-portar om regeln och dekrypteringen matchar. Ställ inte in universell portdelning som en diagnostisk ersättning.

Loggarna räcker inte för att fastställa orsaken

Aktivera brandväggs- och Web-loggning och upprepa testet med en entydig tidpunkt. Beroende på vägen är Web-proxy-, TLS- och inspektionsloggar relevanta. Sophos Firewall-tjänster och loggfiler förklarar indelningen och en säker export.

Återställning och drift

Vid återställning inaktiveras pilotregeln utan att Web Policy för produktion tas bort. Därefter ska piloten åter använda dokumenterad Rule ID och den ursprungliga trafikvägen. Tillfälliga Device Access-behörigheter för proxyn, PAC-tilldelningar och pilotundantag återställs till föregående läge.

Under drift har varje regelrelaterat lägesbeslut en ägare och ett begripligt skäl. Endast proxyfunktioner, Decryption Profiles, CA-ändringar, undantag och klientgrupper kontrolleras regelbundet. En senare ändring börjar igen med en pilot eftersom nya webbläsare, TLS och applikationsversioner kan ändra resultatet.

Checklista för verksamheten

• Klientgrupp, pilot-IP och returväg dokumenteras.
• Faktisk Firewall Rule ID och regelposition är kända.
• Web Policy och loggning är aktiva i pilotregeln.
• Funktioner med endast proxy registrerades före val av läge.
• DPI och Proxy TLS-dekryptering förväxlas inte.
• Den faktiska CA som används är betrodd på pilotklienten.
• QUIC hanterades och testades avsiktligt med webbläsare.
• Tillåten, blockerad och skannad verklig trafik kontrollerades.
• Certifikatutfärdare och webbfilteråtgärd matchar läget.
• Zonåtkomst och Allowed destination ports för Direct Proxy är snävt begränsade om den här vägen används.
• Brandvägg och webbloggar utvärderades tillsammans.
• Inget brett undantag eller Any-regel sattes som en snabb lösning.
• Återställning, ägare och granskningsdatum dokumenteras.

Vanliga frågor