Nexwall Firewall 26.0.0-rc1

A primeira inicialização guia você por tudo o que um firewall novo precisa: a senha do administrador, o nome do firewall, como ele se conecta à Internet (DHCP automático por padrão, endereço IP fixo ou PPPoE), o acesso remoto e os serviços de segurança. Concluída a configuração, o firewall protege a rede sem mais ajustes.

• Durante a configuração são mostradas a interface WAN e o endereço que ela recebeu.
• O nome padrão é FIREWALL.
• Os serviços de segurança vêm ativados; os países ou regiões a bloquear são escolhidos nas últimas páginas.
• Um ícone de idioma em todas as páginas, também no login, troca o idioma e a escolha é lembrada.
• Nada é aplicado até você concluir a configuração.

Prevenção de intrusões em linha que inspeciona o tráfego encaminhado e bloqueia ataques antes que cheguem aos seus servidores e usuários. A página que se chamava IPS / IDS agora é Proteção de rede (IPS) e a ação padrão para ameaças detectadas é Bloquear. Você pode mudar para Somente detectar e ligar ou desligar o registro de alertas.

• O pacote de assinaturas combina três origens em níveis de política: as regras da comunidade do Snort (4.017 regras), um conjunto aberto de regras convertido (51.873 regras) e regras escritas pela Nexwall Labs. Ele é construído nos servidores da Nexwall, assinado e atualizado diariamente.
• O firewall verifica cada pacote, valida com o Snort antes de instalar e volta ao anterior se ele não carregar.
• Um cartão de assinaturas mostra o pacote em uso e permite atualizá-lo sob demanda.
• As filas e as threads de análise acompanham o número de núcleos de CPU.
• Quando a licença deixa de permitir o serviço, a página mostra um aviso e a inspeção é suspensa em vez de falhar em silêncio.

As atualizações de assinaturas exigem licença; o teste as inclui. As fontes abertas usadas são redistribuídas sob as suas próprias licenças.

Reconhece as aplicações e os serviços que atravessam o firewall e permite bloqueá-los, repriorizá-los ou registrá-los. O motor de classificação de tráfego é o Netify Agent 5.2.8 com plugins próprios da Nexwall, e a aplicação das regras é feita no firewall como regras do nftables, validadas antes de substituírem as que estão em execução.

• Um catálogo de aplicações da Nexwall é entregue todos os dias. A primeira compilação conhecia cerca de 1.500 aplicações, com cerca de 26.000 regras de domínio, 783 regras de rede e 26 dissectores, contra 199 aplicações da lista aberta que acompanha o motor, de modo que muito menos fluxos ficam como Desconhecido.
• Uma aba de Configurações mostra o estado do catálogo e permite atualizar agora ou escolher a frequência da atualização automática.
• As regras podem atuar sobre uma aplicação ou sobre uma categoria inteira.
• A aplicação das regras depende de um token de recurso de curta duração do serviço de licenças. Se o token não puder ser renovado, ela é suspensa em segundos e um aviso informa; ela volta quando o serviço retorna.
• As estatísticas de tráfego por aplicação ficam disponíveis enquanto a licença estiver ativa.

A Nexwall agora constrói e serve as suas próprias listas de bloqueio. O firewall as baixa da Nexwall, confere a assinatura e o checksum de cada arquivo e as aplica localmente, em vez de ler listas de servidores de terceiros.

• Doze categorias de DNS, cerca de 3,2 milhões de entradas no total: publicidade e rastreamento, conteúdo adulto, contorno de filtros, mineração de criptomoedas, drogas, jogos de azar, malware (básico e estendido), phishing, pirataria, ransomware e golpes.
• Duas listas de IP: atacantes conhecidos e servidores de comando de botnets.
• Cada lista mostra um título legível, o número de entradas e um nível de confiança, para você decidir o que ativar.
• As listas são reconstruídas todos os dias; o firewall verifica a cada 30 minutos e recarrega o serviço de DNS somente quando algo mudou.
• Um conjunto sensato de categorias vem ativado por padrão e as suas escolhas são mantidas nas atualizações. Uma seleção feita com as categorias anteriores é migrada.

As listas da Nexwall exigem licença; o teste as inclui. Elas são construídas somente a partir de fontes cujas licenças permitem a redistribuição.

Listas grandes precisam de memória. A página de listas de bloqueio de DNS agora mostra quanta memória as categorias ativadas precisam em comparação com a memória instalada e avisa quando elas usariam mais de um quinto dela (erro acima de um terço).

• Como referência, cada domínio bloqueado ocupa cerca de 75 bytes.

O bloqueio por país agora usa listas de endereços que a Nexwall constrói a partir dos dados públicos de alocação dos registros de Internet (cinco registros regionais), separadas por país e publicadas no mesmo pacote assinado das outras listas. O firewall as carrega de arquivos locais em segundos, em vez de baixar uma lista por país toda vez que o serviço inicia.

• Cobre IPv4 (cerca de 179.000 blocos) e IPv6 (cerca de 70.000 blocos).
• Os dados dos registros mostram onde um bloco de endereços foi alocado, nem sempre onde ele é usado hoje.

Um novo visualizador dos logs do firewall, aberto a partir da página Logs em sua própria janela. Os logs ficam guardados localmente por 30 dias e o visualizador segue o idioma e o tema da interface.

• Treze abas: firewall, bloqueio por IP e país, prevenção de intrusões, controle de aplicações, filtro de DNS, VPN, alta disponibilidade, proxy reverso, autenticação, atividade de administradores, sistema e mais.
• Cada linha bloqueada informa o motivo; uma regra com registro ligado é registrada com o seu próprio nome.
• Clique em um valor para filtrar por ele e exporte o resultado para CSV.
• O rastreamento de regras ao vivo mostra qual regra aceitou, rejeitou ou descartou um pacote, inclusive os bloqueios do controle de aplicações; o link de rastreamento em cada linha do firewall o inicia.
• O visualizador funciona somente enquanto está ativado.

Conexões estabelecidas que não precisam de inspeção podem pular a maior parte do processamento de pacotes. O caminho rápido é seletivo: o tráfego que a Proteção de rede ou o Controle de aplicações precisa ver continua no caminho inspecionado, e os contadores de conexão continuam funcionando. Vem desligado por padrão e é uma única chave nas páginas de configurações do Controle de aplicações e da Proteção de rede.

• A distribuição de pacotes espalha o processamento de rede entre os núcleos de CPU; vem ligada por padrão nas instalações novas com vários núcleos.
• Buffers maiores nas placas de rede vêm ligados por padrão nas instalações novas. Buffers pequenos descartavam rajadas nos testes.
• A tabela de rastreamento de conexões escala com a memória instalada (32 entradas por MiB, no mínimo 65.536).
• As instâncias do Controle de aplicações são dimensionadas pela CPU (metade dos núcleos, de um a quatro); a Proteção de rede usa uma thread por CPU.

Uma nova página mostra o que os motores de inspeção estão fazendo: quão ocupados estão o motor de classificação de tráfego e o de prevenção de intrusões e quanta carga colocam na máquina. Use-a para ver se uma máquina está bem dimensionada.

Se uma fila de inspeção parar de emitir vereditos, as conexões novas esperariam para sempre. Um vigia verifica a cada minuto, detecta uma fila travada ou com muito acúmulo, grava um relatório com os detalhes, registra o evento e reinicia o motor dono da fila. A interrupção máxima antes da recuperação é de um a dois minutos.

O firewall se registra sozinho no servidor de licenças: nenhum código é digitado. Ele começa com um teste de 30 dias que inclui Controle de aplicações, Proteção de rede, Filtro de DNS, Bloqueio de IP e por país e VPN estendida, e o teste termina quando o seu revendedor aplica uma assinatura. A página Licenciamento mostra as assinaturas ativas e as que não estão, inclusive as adicionais Proteção de servidores web (WAF) e Proteção de e-mail (MTA), e tem um botão Sincronizar com o servidor. O componente de licenciamento se atualiza sozinho a partir do feed assinado e baixa grandes conjuntos de dados com confiabilidade.

A interface web, o componente de licenciamento e os plugins do motor de tráfego são publicados em um feed assinado da Nexwall. Cada arquivo é fixado pelo seu SHA-256 na compilação do firmware, de modo que uma imagem contém sempre exatamente a versão com que foi construída.

A plataforma do firewall inclui as funções esperadas de um firewall completo.

• Zonas, políticas, redirecionamento de portas, NAT, múltiplas WANs com failover e QoS.
• VPN: túneis IPsec e acesso remoto OpenVPN, ambos testados nesta versão.
• Autenticação em um Active Directory remoto, testada nesta versão.
• Alta disponibilidade, proxy reverso com certificados, portal cativo e filtro de DNS por categorias por meio de um resolvedor na nuvem.
• Monitoramento com gráficos em tempo real e verificações do Checkmk, backup da configuração e gerenciamento central.

O nome do firewall aparece à direita da barra superior, ao lado do botão do Visualizador de logs.

As páginas Filtro de DNS e Bloqueio de IP e por país têm uma chave Ativar todas no alto, à direita das listas. Um firewall novo ativa sozinho todas as listas da Nexwall quando elas chegam, se a memória permitir.

Uma instalação nova não começa mais com a lista de regras de encaminhamento vazia. Ela começa com duas regras: LAN -> WAN, que permite às suas redes internas chegar à Internet, e DROP DEFAULT, que fecha esse caminho e registra o que descarta.

• DROP DEFAULT não pode ser excluída nem movida; ela é sempre a última regra de encaminhamento.
• Uma regra que você adiciona é colocada automaticamente acima dela, para que tenha efeito.

Os firewalls existentes mantêm a configuração atual.

A descrição das regras de saída agora diz o que elas são: regras para o tráfego que o próprio firewall inicia, como atualizações, DNS, verificações de licença e conexões VPN. Todas as zonas já permitem esse tráfego, então você só precisa de regras de saída para restringi-lo.

A interface traz o design da Nexwall e está disponível em inglês, espanhol e português do Brasil; as abas seguem o idioma escolhido. As tabelas do Threat Shield mostram título, número de entradas e confiança de cada lista, e as páginas dos recursos licenciados dizem com clareza quando falta uma licença.

O tráfego mostrado no Monitor (tráfego diário, maiores consumidores, fluxos ao vivo) agora corresponde aos contadores das interfaces. Em um teste com um download de 36 MB, o Monitor mostrou 35,99 MB contra 36,33 MB na interface; antes mostrava 14 KB.

O produto, os nomes de arquivo da imagem, o nome do host (Nexwall) e os endereços dos serviços usam nomes da Nexwall. Registro, inventário, backup, telemetria, atualizações e licenças são servidos por hosts da Nexwall.

O Threat Shield não lê mais listas de bloqueio de servidores de terceiros nem de um espelho. Tudo vem do pacote assinado da Nexwall.

Um firewall reinstalado mantinha o registro antigo no servidor de licenças e não conseguia obter a licença nem os downloads (assinaturas do IPS, listas). Agora o seu revendedor pode redefinir o dispositivo no painel de licenças e o firewall se registra de novo sozinho.

Licenciamento

Abrir o Visualizador de logs reiniciava o servidor web durante a requisição que o pedia e o navegador mostrava um erro de rede. Ativá-lo de novo não reinicia mais nada e, na primeira vez, a página espera pelo servidor web.

Logs

A página gerava um erro quando o endereço de uma interface estava gravado como 192.168.1.1/24. Agora os endereços são lidos em todas as formas e as interfaces sem endereço IPv4 utilizável são ignoradas.

Interface web

Um plugin do motor de tráfego derrubava o motor repetidamente logo depois de iniciar. A causa foi encontrada com um backtrace simbolizado e corrigida.

Controle de aplicações

Uma fila de um plugin girava sem esperar e mantinha o motor em 100% de um núcleo. Agora ela espera por trabalho como os outros plugins.

Controle de aplicações

Um plugin podia travar o motor contra si mesmo. O caminho da chamada foi alterado para que o motor não bloqueie mais.

Controle de aplicações

Downloads de grandes conjuntos de dados do serviço de licenças eram cortados em silêncio em 1 MiB e expiravam após 30 segundos. Agora aceitam até 64 MiB e têm dez minutos para terminar.

Licenciamento

Um limite fixo e muito alto de rastreamento de conexões podia esgotar a memória de máquinas pequenas sob carga pesada. Agora o limite é calculado a partir da memória instalada.

Desempenho

Buffers pequenos nas placas de rede descartavam rajadas de tráfego e mantinham a vazão baixa nos testes. Buffers maiores e distribuição de pacotes agora vêm ligados por padrão nas instalações novas.

Rede

Sem licença, o bloqueio por país recorre às listas públicas do componente subjacente, que são baixadas a cada início do serviço e podem demorar. As listas de países da Nexwall exigem licença.

Solução alternativa: Ative a licença para usar as listas da Nexwall.

Bloqueio de IP e países

Recarregar o serviço DNS com cerca de 1,8 milhão de domínios bloqueados interrompe a resolução de nomes por cerca de dez segundos. As listas são recarregadas somente quando mudam, normalmente uma vez por dia.

Solução alternativa: Desative as categorias de que não precisa; o aviso de memória na página de listas de bloqueio DNS ajuda a escolher.

Filtragem DNS

Proteção de servidores web (WAF) e Proteção de e-mail (MTA) aparecem como assinaturas, mas suas funções ainda não estão disponíveis.

Licenciamento

O Controle de aplicações e a Proteção de rede não decifram HTTPS. Reconhecem as aplicações pela conexão, pelo nome de domínio e pelo padrão de tráfego. A proteção web pode inspecionar categorias escolhidas do tráfego criptografado (veja NXW-2007).

Controle de aplicações