Testa Sophos Firewall-regler med Log Viewer

En firewall-regel bör inte bara sparas, utan också testas målmedvetet. Särskilt med Webfilter, TLS Inspection, NAT, IPS eller User Matching kan en regel se korrekt ut i WebAdmin men ändå inte fungera som förväntat.

Tre verktyg är användbara för testet:

Log viewer för verkliga events och regelbeslut
Policy tester för web-, firewall- och SSL/TLS-policylogik
Packet capture för det faktiska paketflödet

Före testet

Först bör man definiera exakt vad som ska testas:

Punkt	Exempel
Source IP	`172.16.10.25`
Användare	`user@domain.local`
Source zone	`LAN`
Destination	`https://www.example.com`
Service	`HTTPS`
Förväntad regel	`LAN_to_WAN_Clients`
Förväntad action	tillåten, blockerad, decrypted, inte decrypted

Aktivera därefter Log firewall traffic i den berörda firewall-regeln. Utan logging är Log Viewer bara begränsat användbar.

Sophos Firewall-regel med aktiverad Log firewall traffic — Alternativet Log firewall traffic bör vara aktiverat för regler som ska testas eller analyseras senare.

Steg 1: Kontrollera regelns position

Öppna Rules and policies > Firewall rules och kontrollera:

Ligger regeln ovanför mer generella regler?
Är den aktiv?
Är rätt IPv4- eller IPv6-vy vald?
Ligger den i en rimlig Rule group?
Finns det Exclusions?
Finns det en automatiskt skapad regel ovanför?

När en ny regel testas bör regelns Usage Counter återställas. Då blir det lättare att se om regeln verkligen träffades under testet.

Steg 2: Öppna Log Viewer

Öppna Log viewer uppe till höger i WebAdmin-konsolen.

Användbara filter:

Module: Firewall
Source IP
Destination IP
Destination port
Rule ID
Rule name
Action
User

För webbtrafik bör man även kontrollera:

Web filter
SSL/TLS inspection
Application filter
IPS

Log Viewer uppdateras automatiskt. För lugnare analys kan live-vyn pausas, filtreras och sedan startas igen.

Steg 3: Reproducera testet

Testet bör köras från en definierad klient:

Öppna en webbplats
Skicka ping
Testa en port
Starta en applikation
Upprätta en VPN-anslutning
Ladda ned en fil

Kör om möjligt bara ett test åt gången. Annars blandas loggarna snabbt.

Kontrollera därefter:

Ökar regelräknaren?
Syns en loggpost i Log Viewer?
Vilken Rule ID visas?
Vilken NAT Rule ID visas?
Tillåts eller blockeras trafiken?
Aktiveras en securityfunktion?

Steg 4: Använd Policy tester

Policy tester är användbar när man vill kontrollera vilken firewall-regel, SSL/TLS inspection rule eller Web Policy som teoretiskt skulle gälla för webbtrafik.

Menysökväg:

Diagnostics > Tools > Policy tester

Typiska indata:

URL
Användare
Tid och dag
Source IP
Source zone
Test method

Som Test method väljer man till exempel Firewall, SSL/TLS, and web när kombinationen av firewall-regel, SSL/TLS inspection rule och Web Policy ska kontrolleras.

Sophos Firewall Policy tester med accepterat resultat — Policy tester visar här att anslutningen från angiven Source IP skulle tillåtas av den matchade firewall-regeln.

Policy tester visar inte bara Accepted eller Blocked, utan även den matchade firewall-regeln, upptäckt destination, Source zone och beroende på testmetod ytterligare web- eller SSL/TLS-information. Det gör det snabbt tydligt om trafiken i grunden hamnar i den förväntade regeln.

Sophos Firewall Policy tester med blockerat Web Policy-resultat — För webbtrafik visar Policy tester även Web protection-bedömningen, kategori och matchad Web Policy.

Viktigt:

⚠️ Policy tester ersätter inte ett verkligt paketflödestest. Sophos anger att Policy tester-resultat inte speglar SD-WAN routes. Det faktiska beteendet kan därför avvika när SD-WAN, routing eller gateways är inblandade.

Policy tester är särskilt användbar för:

Web Policy
URL-kategorisering
User-kontext
Schedule
SSL/TLS inspection rule
Matchning av firewall-regler för webbtrafik

Den är mindre användbar för:

verkliga routingbeslut
NAT-returväg
paketförlust
provider- eller switchproblem
applikationer med flera anslutningar och portar

Steg 5: Använd Packet Capture

Om Log Viewer och Policy tester inte räcker använder man Diagnostics > Packet capture.

Sätt ett snävt filter, till exempel:

Source IP för klienten
Destination IP för servern
Destination port
Protokoll

Därefter:

Starta Packet Capture.
Reproducera testet.
Stoppa Packet Capture.
Jämför Incoming och Forwarded events.
Jämför Rule ID och NAT ID med Log Viewer.

Tolkning:

Observation	Vad ska kontrolleras?
Inget paket kommer fram	Klient, VLAN, switch, gateway, provider, Cloud Security Group
Paket kommer in men går inte ut	Firewall-regel, NAT, routing, securityfunktion
Paket går ut men svar saknas	Returrutt, målsystem, NAT, extern firewall
Paket har status `Violation`	Policy, IPS, webfilter, Application Control
NAT ID är oväntad	NAT-ordning och generiska NAT-regler

Mer information: Använd Packet Capture i WebAdmin.

Steg 6: Validera securityfunktioner enskilt

Om rätt regel matchar men trafiken inte fungerar, kontrollera de aktiverade funktionerna.

Funktion	Vad ska kontrolleras?
Web policy	Kategori, användare, schedule, policyordning
Scan HTTP and decrypted HTTPS	HTTPS skannas bara om den redan har decrypted
SSL/TLS inspection	Matchande regel, Decryption Profile, CA-certifikat på klienter
IPS	Signatur, policy, false positive
Application Control	Identifierad applikation, kategori, cloud app-detektering
Security Heartbeat	Endpoint skickar heartbeat, status grön/gul/röd
Traffic Shaping	Policy aktiv, rätt applikation eller regel
NAT	Korrekt SNAT/DNAT/PAT-regel, ordning

För HTTPS räcker det inte med en firewall-regel med webfiltering för att inspektera HTTPS-innehåll. Det krävs även en matchande SSL/TLS inspection rule med decryption och distribuerat CA-certifikat.

Mer information: Rulla ut TLS Inspection på Sophos Firewall steg för steg.

Steg 7: Kontrollera loggfiler

Om WebAdmin-verktygen inte räcker kontrollerar man motsvarande loggfiler.

Typiska filer:

Ämne	Loggfil
Firewall-regel	`firewall_rule.log`
NAT	`nat_rule.log`
Firewall-anslutningar	`fwlog.log`
IPS och DPI	`ips.log`
Web Proxy	`awarrenhttp.log`
IPsec	`strongswan.log`, `charon.log`
SSL VPN	`sslvpn.log`
DNS	`dnsd.log`, `dnsgrabber.log`
DHCP	`dhcpd.log`

En detaljerad översikt finns här: Sophos Firewall Troubleshooting: tjänster och loggar.

Exempel: testa en LAN till WAN-webbregel

Skapa firewall-regeln LAN_to_WAN_Clients.
Aktivera logging.
Sätt Services till HTTP och HTTPS.
Välj Web Policy.
Låt Block QUIC protocol vara aktiverat.
Aktivera Scan HTTP and decrypted HTTPS.
Skapa en SSL/TLS inspection rule för testgruppen.
Installera CA-certifikatet på testklienten.
Återställ regelräknaren.
Öppna en webbplats.
Filtrera Log Viewer efter Source IP.
Kör Policy tester för samma URL.
Starta Packet Capture vid avvikelse.

På så sätt ser man om regeln matchar, om HTTPS faktiskt dekrypteras och om Webfilter, IPS eller Application Control ingriper.