Nexwall Firewall 26.1.3

Cuando una regla con "Mostrar una página de bloqueo" bloquea una categoría de sitios, la persona ve una página en portugués, español o inglés (el idioma del navegador) con la categoría, la regla y un código de referencia, en lugar de un error de conexión. La página se ofrece para las categorías que el proxy web puede abrir (juntas hasta 500.000 dominios, primero las listas más pequeñas); las listas grandes, como contenido adulto, mantienen el bloqueo simple, así que nada se abre por error. Si el control que sirve la página no funciona, la solicitud falla: nunca se deja pasar. El código de referencia también se escribe en el registro.

Las páginas que pasan por el proxy web se leen y reciben una puntuación de 0 a 100 en contenido adulto, violencia, drogas, apuestas, discurso de odio y autolesión. Una página cuya puntuación alcanza el umbral del perfil se reemplaza por una página de bloqueo que muestra el tema y la puntuación, o solo se registra, según lo que usted elija. Hay tres perfiles listos (Escuela es estricto, Privado es moderado, Trabajo es ligero) que se aplican con las opciones Estándar, Escuela y Restringido del asistente; la pestaña Filtro de contenido de Web Protection los muestra y permite cambiar el umbral, los temas y dónde se leen las páginas. Las páginas que tratan un tema por estudio, salud o noticias, y las que ofrecen ayuda, puntúan menos. Lee palabras, no imágenes, y solo las páginas que el proxy puede abrir (sitios sin cifrado y las categorías que descifra).

Un archivo que pasa el antivirus puede enviarse al sandbox de Nexwall, una máquina segura donde se abre y se observa. Con la opción de espera, la descarga espera el veredicto (entre 15 y 300 segundos, usted elige) y un archivo juzgado malicioso se bloquea con una página que explica el motivo; un veredicto ya conocido se responde al instante. Cada firewall tiene sus propios límites: 60 archivos por hora, 500 archivos y 500 MB por día, 20 MB por archivo y 2 al mismo tiempo (una prueba recibe la mitad). Funciona mientras la licencia del firewall lo incluya, y los ajustes, el estado y los veredictos están en Web Protection y en Análisis de amenazas.

El menú tiene ahora dos páginas de análisis después del Panel. Análisis de amenazas cuenta qué se detuvo: la historia desde el bloqueo, el antivirus y el sandbox hasta las capas avanzadas, los dispositivos en riesgo, las categorías web, los principales orígenes y motivos y una tabla de eventos, guardados por 35 días, con un informe ejecutivo en PDF gratuito en todos los planes. Análisis de tráfico cuenta a dónde va el tráfico: total, hora de más tráfico, aplicación y dispositivo principales, tráfico por hora y listas ordenadas de dispositivos, aplicaciones, equipos remotos y protocolos que puede seguir con un clic, para hoy, 7 o 30 días. El Monitor ya no tiene la pestaña Tráfico diario.

Una sola familia de azules en modo claro y oscuro: menú y barra superior azul pálido en modo claro, interfaz azul marino en modo oscuro, un acento azul y un estilo de página, tarjetas y tablas igual en todas partes. La barra superior tiene la ruta de la página, una búsqueda (Ctrl+K), el idioma, la ayuda, el centro de estado con las alertas del firewall y el chip de la unidad con el punto de salud, número de serie, versión, tiempo de actividad y licencia. Cada página abre con sus pestañas y luego un párrafo que dice para qué sirve; las páginas de la sección Política tienen filas de tabla más compactas, los paneles laterales siguen la densidad del menú, y Reglas de firewall y Zonas y políticas tienen una columna de tarjetas de resumen a la derecha (reglas por acción, pares de zonas más usados, etiquetas que filtran la lista con un clic). El Panel muestra la protección del firewall en una vista y el tráfico de hoy, 7 o 30 días. Los ajustes de Web Protection tienen un monitor del motor, las reglas se eliminan desde un menú de tres puntos para que sea más difícil hacerlo por error, y las pestañas del Monitor siguen el mismo diseño.

En el editor de reglas cada categoría puede bloquearse, permitirse o inspeccionarse por separado. La columna de bloqueadas y la de permitidas tienen cada una un interruptor "inspeccionar todo" y una casilla por categoría: el bloqueo se decide por el nombre del servidor sin abrir la conexión, e inspeccionar es lo que abre una categoría en el proxy web, para el antivirus, el filtro de contenido y las comprobaciones de certificado en la columna de permitidas, o para la página de bloqueo en la de bloqueadas. Una categoría bloqueada y no inspeccionada no cuesta nada al proxy.

QUIC (HTTP/3) lleva el tráfico web sobre UDP, donde ningún proxy puede leerlo. El nuevo interruptor "Bloquear QUIC (HTTP/3)" de los ajustes de Web Protection (activado por defecto) rechaza el puerto UDP 443 de los clientes de las reglas que filtran la web, de modo que sus navegadores usan HTTPS sobre TCP de inmediato y las páginas de bloqueo, SafeSearch, el antivirus y el filtro de contenido se aplican a todo. El rechazo ahora llega al cliente al instante (vea las correcciones), así que el navegador no espera antes de cambiar.

Las páginas de Control de aplicaciones, Protección de red (IPS), Web Protection y el antivirus muestran una insignia que solo es verde cuando el servicio está en ejecución (su proceso está activo y enlazado a lo que necesita); un servicio activado pero que no se ejecuta se pone en rojo. La lectura viene del propio firewall (procesos y colas de tráfico) y es la misma que usa el Panel.

La página de Acceso remoto (OpenVPN) lista las últimas compilaciones de los clientes VPN de Nexwall para sus usuarios: Windows (Intel / AMD de 64 bits, ARM64 y 32 bits), Android y paquetes de Linux para Debian y Ubuntu (Intel / AMD de 64 bits y ARM64). El cliente de macOS aún no está publicado. Los clientes son compilaciones de prueba y no están firmados.

Los gráficos muestran la pérdida de paquetes en lugar de la tasa de entrega, y las páginas Enlaces WAN y Rendimiento ofrecen 1 hora (por defecto), 6, 12 y 24 horas, 7 y 30 días. Cada gráfico es una tarjeta con el valor actual, el máximo y el promedio de cada serie sobre la línea, y las líneas se suavizan sin recortar los picos: en las ventanas largas cada punto es el valor más alto de su intervalo (el más bajo para la memoria libre), así que un pico corto de CPU, memoria, carga o pérdida de paquetes sigue visible. El historial se guarda 7 días, o un año cuando el firewall tiene un disco de datos.

Una pestaña nueva lista todo el tráfico web que el proxy trató, permitido o bloqueado, con páginas de bloqueo, archivos detenidos por el antivirus o el sandbox, bloqueos de contenido y solicitudes que el proxy rechazó; una casilla agrega los mensajes de los servicios. Las alertas del motor de prevención de intrusiones y las solicitudes del proxy ahora se envían al Visor de registros.

Además de la imagen de disco, la versión viene como una ISO de instalación: grábela en una memoria USB (por ejemplo con Rufus) y arranque el equipo desde ella. El instalador comprueba su imagen, ofrece solo discos internos (nunca la memoria USB), le pide escribir INSTALL antes de borrar un disco, escribe la imagen y la vuelve a leer del disco para compararla. El equipo debe arrancar en modo UEFI.

Buscar actualizaciones ahora encuentra los paquetes del firewall, no muestra error la primera vez y los instala. El índice de paquetes del servidor de actualizaciones estaba incompleto y la imagen confiaba en una clave distinta de la que firma las actualizaciones; las dos cosas están corregidas, así que cualquier corrección posterior puede llegar a los firewalls desde esta página.

El número de reglas del Panel es ahora el número de reglas cargadas para la política elegida, el mismo que en la pestaña Ajustes del IPS (antes contaba las reglas del catálogo que solo generan una alerta).

Con muchas conexiones la ventana de estadísticas del motor de tráfico podía leerse como un segundo o menos, lo que mostraba una tasa varias veces mayor, o una lista vacía. La ventana ahora es de al menos diez segundos y se mide al milisegundo.

El tráfico hacia un sitio que el catálogo de aplicaciones no conoce se muestra bajo el dominio del sitio (por ejemplo ejemplo.com) en lugar de "Desconocido". El catálogo también tiene una aplicación Nexwall, así que se clasifica el tráfico del firewall hacia sus propios servicios.

La etapa Sandbox dice si el sandbox funciona, si no está activado en este firewall o si no está en el plan. Solo Advanced Threat Protection y Collective Defense aparecen como próximamente.

Se encontraron y corrigieron, con volcados de memoria de un firewall de laboratorio bajo carga, dos causas de que el motor se quedara parado: dos hilos esperándose entre sí dentro de dos de los plugins de Nexwall, y el hilo de captura que terminaba cuando el kernel descartaba un paquete en cola. Un vigilante ahora revisa el motor cada minuto y, si se detiene, lo saca del camino (el tráfico sigue sin análisis) y lo reinicia, con un tiempo de espera y un límite de reinicios por hora. Por defecto, cuando el motor no da abasto, el tráfico pasa, no se bloquea.

Algunos sitios (servicios de streaming y otras CDN) responden al cliente y al proxy con direcciones distintas. El proxy rechazaba esa conexión interceptada con un error 409 y el sitio no cargaba. Ahora envía la conexión a la dirección que eligió el cliente, como ya hacía con HTTP simple, sin guardarla en la caché.

La zona WAN ahora registra lo que rechaza (como máximo 10 líneas por minuto), de modo que la pestaña Tráfico del firewall muestra el tráfico bloqueado y no solo el permitido.

La respuesta "puerto inalcanzable" de una conexión rechazada, y los mensajes que necesita el descubrimiento de MTU de la ruta, eran absorbidos por la cola del motor de tráfico. Ahora pasan, de modo que un navegador al que se le rechaza QUIC cambia a HTTPS en unos milisegundos y no después de un tiempo de espera.

El proxy podía quedarse sin archivos abiertos (un límite de 1.024) y la conexión del antivirus se desactivaba durante minutos tras una ráfaga de fallos. El límite ahora es 16.384, se pueden analizar hasta 256 archivos a la vez y la conexión del analizador se reintenta a los 10 segundos.

Un túnel ya no fija la ruta hacia su par al enlace de internet que era el predeterminado cuando el túnel se levantó. En un firewall con dos enlaces de internet, una ruta obsoleta de ese tipo podía cortar la licencia, las actualizaciones y las listas de amenazas.

El Control de aplicaciones tiene un interruptor del motor, Web Protection lo enciende cuando lo necesita, y el Panel y las páginas muestran el estado real de la Protección de red (IPS) y del Control de aplicaciones. El tráfico de la tarjeta Top talkers y de Traffic Analytics cuenta los mismos flujos.

Un firewall que nadie configuró ahora arranca con el perfil Estándar aplicado también a la web: las categorías de sitios del perfil, el filtro de contenido Trabajo y, cuando la licencia y el almacenamiento lo permiten, el antivirus. El asistente de configuración puede cambiar cada elección después.

Un firewall iniciado sin ejecutar el asistente de configuración ahora tiene su WAN en la segunda tarjeta de red (eth1), pidiendo dirección por DHCP, en la zona wan. En las máquinas virtuales la tarjeta aún no era visible cuando se decidía el valor por defecto, por eso faltaba el WAN; un segundo paso más adelante en el mismo arranque lo corrige en las unidades que nunca se configuraron.

Las direcciones que usan SafeSearch y el Modo restringido de YouTube se dejan fuera del motor de análisis y de la inspección, y el DNS las responde con direcciones simples, así que Google, Bing y YouTube se abren en sus modos restringidos incluso cuando el Control de aplicaciones bloquea streaming o redes sociales para los mismos dispositivos.

El registro del sistema usa todo el ancho y el alto de la página, con la búsqueda, el número de filas y las opciones en una fila encima.

Al servidor de actualizaciones le faltaba el índice de paquetes de los módulos del kernel, así que la búsqueda terminaba con error hasta que se guardaba una copia parcial. El índice está publicado.

updates

La imagen se construyó con una clave generada por la compilación, no la clave de Nexwall, así que las actualizaciones de paquetes firmadas por Nexwall serían rechazadas. La 26.1.3 se construye con la clave de Nexwall. Los firewalls con la 26.1.2 deben reinstalarse con la 26.1.3.

updates

El Panel contaba las reglas del catálogo que solo generan alerta. Ahora muestra las reglas cargadas para la política elegida.

dashboard

La ventana de estadísticas podía leerse como cero o un segundo. Ahora es de al menos diez segundos y se mide al milisegundo.

monitoring

La etapa Sandbox ahora muestra su estado real: funcionando, no activado o fuera del plan.

threat-analytics

Sin licencia, el bloqueo por país recurre a las listas públicas del componente subyacente, que se descargan en cada inicio del servicio y pueden tardar mucho. Las listas de países de Nexwall requieren licencia.

Solución alternativa: Active la licencia para usar las listas de Nexwall.

Bloqueo de IP y países

Recargar el servicio DNS con unos 1,8 millones de dominios bloqueados interrumpe la resolución de nombres durante unos diez segundos. Las listas se recargan solo cuando cambian, normalmente una vez al día.

Solución alternativa: Desactive las categorías que no necesite; la advertencia de memoria de la página de listas de bloqueo DNS ayuda a elegir.

Filtrado DNS

Protección de servidores web (WAF) y Protección de correo (MTA) aparecen como suscripciones, pero sus funciones aún no están disponibles.

Licencias

El Control de aplicaciones y la Protección de red no descifran HTTPS. Reconocen las aplicaciones por la conexión, el nombre de dominio y el patrón de tráfico. La protección web puede inspeccionar categorías elegidas del tráfico cifrado (vea NXW-2007).

Control de aplicaciones

Abrir la interfaz web por su dirección IP (por ejemplo https://192.168.1.1) muestra una advertencia de certificado en el navegador, porque ninguna autoridad pública emite certificados para direcciones privadas.

Solución alternativa: Use https://firewall.lan.nexwall.com.br (el equipo debe usar el firewall como servidor DNS, lo predeterminado con DHCP), o http://192.168.1.1, que redirige a esa dirección.

Interfaz web

Los dominios bloqueados se cuentan a partir del registro DNS. Un firewall instalado antes de rc2 necesita el registro de consultas activado en su configuración DNS para mostrarlos.

Solución alternativa: Active el registro de consultas en la configuración DNS.

Filtrado DNS

Los sitios inspeccionados muestran una advertencia de certificado hasta que se instala en el dispositivo el certificado de inspección del firewall. Las aplicaciones que fijan su certificado fallan al ser inspeccionadas.

Solución alternativa: Instale el certificado (Protección web, Inspección) y añada las aplicaciones con certificado fijo como excepciones.

Protección web

El antivirus no arranca sin el almacenamiento de datos, que guarda sus firmas (unos 300 MB), y no está activo hasta que termina la primera descarga de las firmas.

Solución alternativa: Compruebe la página Almacenamiento; la página del antivirus muestra el estado de cada motor.

Protección web

Las opciones familiares siguen a los dispositivos y redes de una regla, no a las cuentas de usuario. Todavía no hay horarios ni cuotas de tiempo, y un dispositivo que usa una VPN o la red móvil queda fuera del firewall.

Protección web

La inspección del tráfico cifrado usa un solo proceso de proxy web, por lo que se limita a cerca de un núcleo de procesador, y aún no se midió la velocidad que alcanza. Solo se inspeccionan las categorías que usted indica.

Solución alternativa: Inspeccione solo las categorías que necesite y deje las descargas grandes y el streaming fuera de la lista inspeccionada.

Rendimiento

La protección avanzada contra amenazas, el Antivirus / Sandbox (su parte de sandbox) y la protección del espacio de trabajo (ZTNA) aparecen en la licencia, pero en esta versión solo está disponible la parte de antivirus de Antivirus / Sandbox.

Licencias

Las conexiones que terminaron antes de abrir el visor de registros no se registran. La pestaña lista las conexiones abiertas en ese momento y todo lo posterior.

Registros

Un dispositivo que no instaló el certificado de inspección ve una advertencia de certificado, no la página de bloqueo, al abrir un sitio https bloqueado. El sitio sigue bloqueado. Los sitios http sin cifrado muestran la página sin el certificado.

Solución alternativa: Instale el certificado en los dispositivos (Web Protection, Inspección) o use una regla sin página de bloqueo: la conexión se reinicia.

Protección web

Las imágenes y el video no se juzgan, el texto de las redes sociales llega como datos y no como página, y las páginas enviadas en una codificación distinta de simple o gzip no se leen. Una lista de palabras también puede equivocarse en ambos sentidos; para eso existen el modo que solo registra y el umbral.

Solución alternativa: Empiece con el modo que solo registra, mire los eventos y luego bloquee. Use categorías, SafeSearch y el Modo restringido de YouTube para las redes sociales.

Protección web

En un puerto que el proxy web no trata, o mientras el proxy está detenido, el motor de tráfico decide después de los primeros paquetes de una conexión, así que una respuesta mínima, como una redirección, puede llegar al dispositivo antes del reinicio. El resto de la conexión se bloquea.

Solución alternativa: Bloquee con reglas del firewall los puertos que no necesite.

Protección web

Un dispositivo que se conecta a una dirección resuelta en otro lugar (su propio DNS sobre HTTPS, una dirección fija) puede llegar a un sitio de una categoría bloqueada cuando el nombre no es visible: el bloqueo por DNS no se aplica.

Solución alternativa: Bloquee DNS sobre HTTPS (categoría "DNS cifrado") y haga que los clientes usen el firewall para DNS.

Protección web

Con el antivirus, la inspección, la prevención de intrusiones y el Control de aplicaciones en una red con mucho tráfico, un sistema de 4 GB usa su swap y el sistema puede detener el motor del antivirus durante un tiempo. El antivirus falla abierto y el Panel lo muestra como detenido.

Solución alternativa: Dé 8 GB al firewall cuando todas las protecciones funcionan en una red con mucho tráfico.

system