Nexwall Firewall 26.0.0-rc1

El primer arranque le guía por todo lo que necesita un firewall nuevo: la contraseña del administrador, el nombre del firewall, cómo se conecta a Internet (DHCP automático de forma predeterminada, dirección IP fija o PPPoE), el acceso remoto y los servicios de seguridad. Terminada la configuración, el firewall protege la red sin más ajustes.

• Durante la configuración se muestran la interfaz WAN y la dirección que recibió.
• El nombre predeterminado es FIREWALL.
• Los servicios de seguridad vienen activados; los países o regiones a bloquear se eligen en las últimas páginas.
• Un icono de idioma en todas las páginas, también en el inicio de sesión, cambia el idioma y la elección se recuerda.
• No se aplica nada hasta que termine la configuración.

Prevención de intrusiones en línea que inspecciona el tráfico reenviado y bloquea los ataques antes de que lleguen a sus servidores y usuarios. La página que se llamaba IPS / IDS ahora es Protección de red (IPS) y la acción predeterminada para las amenazas detectadas es Bloquear. Puede cambiar a Solo detectar y activar o desactivar el registro de alertas.

• El paquete de firmas combina tres orígenes en niveles de política: las reglas de la comunidad de Snort (4.017 reglas), un conjunto abierto de reglas convertido (51.873 reglas) y reglas escritas por Nexwall Labs. Se construye en los servidores de Nexwall, se firma y se actualiza a diario.
• El firewall verifica cada paquete, lo valida con Snort antes de instalarlo y vuelve al anterior si no carga.
• Una tarjeta de firmas muestra el paquete en uso y permite actualizarlo bajo demanda.
• Las colas y los hilos de análisis siguen el número de núcleos de CPU.
• Cuando la licencia ya no permite el servicio, la página muestra un aviso y la inspección se suspende en lugar de fallar en silencio.

Las actualizaciones de firmas requieren licencia; la prueba las incluye. Las fuentes abiertas utilizadas se redistribuyen bajo sus propias licencias.

Reconoce las aplicaciones y servicios que cruzan el firewall y permite bloquearlos, priorizarlos de otra forma o registrarlos. El motor de clasificación de tráfico es Netify Agent 5.2.8 con plugins propios de Nexwall, y la aplicación de las reglas se hace en el firewall como reglas de nftables que se validan antes de sustituir a las que están en ejecución.

• Cada día se entrega un catálogo de aplicaciones de Nexwall. La primera compilación conocía unas 1.500 aplicaciones con unas 26.000 reglas de dominio, 783 reglas de red y 26 disectores, frente a las 199 aplicaciones de la lista abierta que incluye el motor, de modo que muchos menos flujos quedan como Desconocido.
• Una pestaña de Ajustes muestra el estado del catálogo y permite actualizar ahora o elegir la frecuencia de actualización automática.
• Las reglas pueden actuar sobre una aplicación o sobre una categoría completa.
• La aplicación de las reglas depende de un token de función de corta duración del servicio de licencias. Si el token no se puede renovar, se suspende en segundos y un aviso lo indica; se reanuda cuando el servicio vuelve.
• Las estadísticas de tráfico por aplicación están disponibles mientras la licencia esté activa.

Nexwall ahora construye y sirve sus propias listas de bloqueo. El firewall las descarga de Nexwall, comprueba la firma y la suma de verificación de cada archivo y las aplica localmente, en lugar de leer listas de servidores de terceros.

• Doce categorías DNS, unas 3,2 millones de entradas en total: publicidad y rastreo, contenido para adultos, evasión de filtros, minería de criptomonedas, drogas, juegos de azar, malware (básico y ampliado), phishing, piratería, ransomware y estafas.
• Dos listas de IP: atacantes conocidos y servidores de comando de botnets.
• Cada lista muestra un título legible, el número de entradas y un nivel de confianza, para que usted decida qué activar.
• Las listas se reconstruyen a diario; el firewall comprueba cada 30 minutos y recarga el servicio DNS solo cuando algo cambió.
• Se activa de forma predeterminada un conjunto sensato de categorías y sus propias elecciones se conservan al actualizar. Una selección hecha con las categorías anteriores se migra.

Las listas de Nexwall requieren licencia; la prueba las incluye. Se construyen solo con fuentes cuyas licencias permiten la redistribución.

Las listas grandes necesitan memoria. La página de listas de bloqueo DNS ahora muestra cuánta memoria necesitan las categorías activadas en comparación con la memoria instalada, y avisa cuando usarían más de una quinta parte (error por encima de un tercio).

• Como referencia, cada dominio bloqueado ocupa unos 75 bytes.

El bloqueo por país ahora usa listas de direcciones que Nexwall construye a partir de los datos públicos de asignación de los registros de Internet (cinco registros regionales), separadas por país y publicadas en el mismo paquete firmado que las demás listas. El firewall las carga desde archivos locales en segundos, en lugar de descargar una lista por país cada vez que arranca el servicio.

• Cubre IPv4 (unos 179.000 bloques) e IPv6 (unos 70.000 bloques).
• Los datos de los registros muestran dónde se asignó un bloque de direcciones, no siempre dónde se usa hoy.

Un nuevo visor de los registros del firewall, que se abre desde la página Registros en su propia ventana. Los registros se guardan localmente durante 30 días y el visor sigue el idioma y el tema de la interfaz.

• Trece pestañas: firewall, bloqueo por IP y país, prevención de intrusiones, control de aplicaciones, filtrado DNS, VPN, alta disponibilidad, proxy inverso, autenticación, actividad de administradores, sistema y más.
• Cada línea bloqueada indica el motivo; una regla con registro activado se registra con su propio nombre.
• Haga clic en un valor para filtrar por él y exporte el resultado a CSV.
• El trazado de reglas en vivo muestra qué regla aceptó, rechazó o descartó un paquete, incluidos los bloqueos del control de aplicaciones; el enlace de traza de cada fila del firewall lo inicia.
• El visor funciona solo mientras está activado.

Las conexiones establecidas que no necesitan inspección pueden saltarse la mayor parte del procesamiento de paquetes. La ruta rápida es selectiva: el tráfico que Protección de red o Control de aplicaciones debe ver sigue por la ruta inspeccionada, y los contadores de conexión siguen funcionando. Está desactivada de forma predeterminada y es un solo interruptor en las páginas de ajustes de Control de aplicaciones y de Protección de red.

• La distribución de paquetes reparte el procesamiento de red entre los núcleos de CPU; está activada de forma predeterminada en las instalaciones nuevas con varios núcleos.
• Los búferes grandes de las tarjetas de red están activados de forma predeterminada en las instalaciones nuevas. Los búferes pequeños descartaban ráfagas en las pruebas.
• La tabla de seguimiento de conexiones escala con la memoria instalada (32 entradas por MiB, al menos 65.536).
• Las instancias de Control de aplicaciones se dimensionan según la CPU (la mitad de los núcleos, de uno a cuatro); Protección de red usa un hilo por CPU.

Una nueva página muestra qué hacen los motores de inspección: qué tan ocupados están el motor de clasificación de tráfico y el de prevención de intrusiones y cuánta carga ponen en el equipo. Úsela para ver si un equipo está bien dimensionado.

Si una cola de inspección deja de emitir veredictos, las conexiones nuevas esperarían indefinidamente. Un vigilante comprueba cada minuto, detecta una cola atascada o con mucha acumulación, escribe un informe con los detalles, lo registra y reinicia el motor propietario de la cola. La interrupción máxima antes de la recuperación es de uno a dos minutos.

El firewall se registra por sí mismo en el servidor de licencias: no se escribe ningún código. Empieza con una prueba de 30 días que incluye Control de aplicaciones, Protección de red, Filtrado DNS, Bloqueo de IP y por país y VPN ampliada, y la prueba termina cuando su revendedor aplica una suscripción. La página Licencias muestra las suscripciones activas y las que no lo están, incluidas las adicionales Protección de servidores web (WAF) y Protección del correo (MTA), y tiene un botón Sincronizar con el servidor. El componente de licencias se actualiza solo desde el feed firmado y descarga conjuntos de datos grandes de forma fiable.

La interfaz web, el componente de licencias y los plugins del motor de tráfico se publican en un feed firmado de Nexwall. Cada archivo se fija por su suma SHA-256 en la compilación del firmware, de modo que una imagen contiene siempre exactamente la versión con la que se construyó.

La plataforma del firewall incluye las funciones que se esperan de un firewall completo.

• Zonas, políticas, reenvío de puertos, NAT, varias WAN con conmutación por error y QoS.
• VPN: túneles IPsec y acceso remoto OpenVPN, ambos probados en esta versión.
• Autenticación contra un Active Directory remoto, probada en esta versión.
• Alta disponibilidad, proxy inverso con certificados, portal cautivo y filtrado DNS por categorías mediante un resolvedor en la nube.
• Monitorización con gráficos en tiempo real y comprobaciones de Checkmk, copia de seguridad de la configuración y gestión central.

El nombre del firewall se muestra a la derecha de la barra superior, junto al botón del Visor de registros.

Las páginas Filtrado DNS y Bloqueo de IP y por país tienen un interruptor Activar todas arriba a la derecha de las listas. Un firewall nuevo activa por sí mismo todas las listas de Nexwall cuando llegan, si su memoria lo permite.

Una instalación nueva ya no empieza con la lista de reglas de reenvío vacía. Empieza con dos reglas: LAN -> WAN, que permite a sus redes internas llegar a Internet, y DROP DEFAULT, que cierra ese camino y registra lo que descarta.

• DROP DEFAULT no se puede eliminar ni mover; siempre es la última regla de reenvío.
• Una regla que usted añade se coloca automáticamente por encima de ella, para que surta efecto.

Los firewalls existentes conservan su configuración actual.

La descripción de las reglas de salida ahora dice qué son: reglas para el tráfico que inicia el propio firewall, como actualizaciones, DNS, comprobaciones de licencia y conexiones VPN. Todas las zonas ya permiten este tráfico, por lo que solo necesita reglas de salida para restringirlo.

La interfaz lleva el diseño de Nexwall y está disponible en inglés, español y portugués de Brasil; las pestañas siguen el idioma elegido. Las tablas de Threat Shield muestran título, número de entradas y confianza de cada lista, y las páginas de las funciones con licencia indican con claridad cuándo falta una licencia.

El tráfico que muestra el Monitor (tráfico diario, principales emisores, flujos en vivo) ahora coincide con los contadores de las interfaces. En una prueba con una descarga de 36 MB, el Monitor mostró 35,99 MB frente a 36,33 MB en la interfaz; antes mostraba 14 KB.

El producto, los nombres de archivo de la imagen, el nombre de host (Nexwall) y los puntos de conexión de los servicios usan nombres de Nexwall. El registro, el inventario, las copias de seguridad, la telemetría, las actualizaciones y las licencias se sirven desde hosts de Nexwall.

Threat Shield ya no lee listas de bloqueo de servidores de terceros ni de un espejo. Todo proviene del paquete firmado de Nexwall.

Un firewall reinstalado conservaba su antiguo registro en el servidor de licencias y no podía obtener su licencia ni sus descargas (firmas IPS, listas). Su revendedor ahora puede restablecer el dispositivo en el panel de licencias y el firewall se registra de nuevo por sí mismo.

Licencias

Abrir el Visor de registros reiniciaba el servidor web durante la petición que lo pedía y el navegador mostraba un error de red. Volver a activarlo ya no reinicia nada y la primera vez la página espera al servidor web.

Registros

La página producía un error cuando la dirección de una interfaz estaba guardada como 192.168.1.1/24. Ahora las direcciones se leen en todas sus formas y se omiten las interfaces sin una dirección IPv4 utilizable.

Interfaz web

Un plugin del motor de tráfico hacía fallar el motor una y otra vez justo después de arrancar. La causa se encontró con un backtrace simbolizado y se corrigió.

Control de aplicaciones

Una cola de un plugin giraba sin esperar y mantenía el motor al 100 % de un núcleo. Ahora espera trabajo como los demás plugins.

Control de aplicaciones

Un plugin podía bloquear el motor contra sí mismo. Se cambió la ruta de la llamada para que el motor ya no se bloquee.

Control de aplicaciones

Las descargas de conjuntos de datos grandes desde el servicio de licencias se cortaban en silencio a 1 MiB y expiraban a los 30 segundos. Ahora aceptan hasta 64 MiB y disponen de diez minutos para completarse.

Licencias

Un límite fijo y muy alto de seguimiento de conexiones podía agotar la memoria de equipos pequeños con mucha carga. Ahora el límite se calcula a partir de la memoria instalada.

Rendimiento

Los búferes pequeños de las tarjetas de red descartaban ráfagas de tráfico y mantenían bajo el rendimiento en las pruebas. Los búferes grandes y la distribución de paquetes ahora están activados de forma predeterminada en las instalaciones nuevas.

Red

Sin licencia, el bloqueo por país recurre a las listas públicas del componente subyacente, que se descargan en cada inicio del servicio y pueden tardar mucho. Las listas de países de Nexwall requieren licencia.

Solución alternativa: Active la licencia para usar las listas de Nexwall.

Bloqueo de IP y países

Recargar el servicio DNS con unos 1,8 millones de dominios bloqueados interrumpe la resolución de nombres durante unos diez segundos. Las listas se recargan solo cuando cambian, normalmente una vez al día.

Solución alternativa: Desactive las categorías que no necesite; la advertencia de memoria de la página de listas de bloqueo DNS ayuda a elegir.

Filtrado DNS

Protección de servidores web (WAF) y Protección de correo (MTA) aparecen como suscripciones, pero sus funciones aún no están disponibles.

Licencias

El Control de aplicaciones y la Protección de red no descifran HTTPS. Reconocen las aplicaciones por la conexión, el nombre de dominio y el patrón de tráfico. La protección web puede inspeccionar categorías elegidas del tráfico cifrado (vea NXW-2007).

Control de aplicaciones