Nexwall Firewall 26.0.0-rc2

Um firewall que ninguém configurou ainda ativa por conta própria e antes de qualquer login: Proteção de rede com a política Security bloqueando o que detecta, Controle de aplicações com o perfil Padrão, Filtro de DNS e Bloqueio de IP e geografia com todas as listas da Nexwall. Novas conexões são bloqueadas quando o motor de inspeção não consegue acompanhar, assim nada passa sem inspeção. Se a licença ainda não é conhecida porque o firewall está sem internet, as etapas são repetidas por cerca de meia hora e depois na próxima inicialização. O assistente pode alterar cada escolha.

Três perfis prontos criam as regras do Controle de aplicações: Padrão (conteúdo adulto, malware, anonimizadores de VPN e proxy, peer-to-peer, DNS criptografado que contorna o filtro de DNS), Escola (Padrão mais redes sociais, hospedagem e streaming de vídeo, jogos, entretenimento) e Restrito (Escola mais compras online, lazer e esportes, ferramentas de área de trabalho remota, compartilhamento de arquivos na nuvem, publicidade). No Padrão as redes sociais e o uso normal de uma casa continuam permitidos. As regras bloqueiam categorias inteiras do catálogo de aplicações, então aplicações novas de uma categoria ficam cobertas automaticamente. Escolha o perfil no assistente ou pela linha de comando com nexwall-dpi-profile.

O assistente aparece no primeiro acesso a um firewall novo sem pedir antes a senha padrão, também quando o navegador ainda guarda uma sessão de um firewall anterior no mesmo endereço. Depois dos serviços de segurança, uma página nova oferece os três perfis, explica o que cada um bloqueia e o aplica junto com todas as listas de proteção de DNS e IP.

Um firewall novo com duas portas usa a segunda como conexão com a internet (WAN) por DHCP: quando o modem ou roteador fornece um endereço, o assistente o mostra. Se o firewall não tem porta de internet configurada, o assistente deixa escolher a porta e depois DHCP, endereço fixo ou PPPoE.

Abra https://firewall.nexwall.com.br pela rede interna. O firewall responde a esse nome por conta própria, com uma entrada que acompanha seu endereço interno, e apresenta um certificado que baixa do servidor de licenças da Nexwall. A interface web mantém seu certificado próprio até que um válido seja instalado e volta a ele se o baixado deixar de ser válido. Abrir a interface pelo endereço IP continua mostrando o aviso do navegador: nenhuma autoridade pública emite certificados para endereços privados.

As configurações do Filtro de DNS e do Bloqueio de IP e geografia mostram um cartão com a versão instalada das listas, quantas estão ativas, quantos domínios, endereços e blocos por país elas contêm, a última verificação e seu resultado, e um botão para verificar atualizações agora.

A Análise de tráfego mostra o que o Filtro de DNS bloqueou hoje (total, por hora, domínios mais bloqueados) e o que os bloqueios por país recusaram (total, por hora, por país), junto dos gráficos existentes de lista de IP e força bruta.

O visualizador abre em uma janela própria que ocupa a tela inteira, tem o título FIREWALL LOG VIEWER e o ícone do firewall. Depois de Tráfego do firewall as abas são Controle de aplicações (DPI), Proteção de rede (IPS), Proteção DNS e Bloqueio de IP e geografia; depois de Rastreio de regras ao vivo e Caminho do pacote há uma nova aba Pacotes descartados. O idioma é escolhido com o mesmo ícone da interface web.

A regra padrão LAN -> WAN agora registra, com taxa limitada, o tráfego que deixa passar, assim a aba Tráfego do firewall mostra tráfego permitido além do bloqueado.

O nome da empresa (quando o firewall está registrado) e o nome da unidade aparecem juntos em um selo à direita da barra superior, ao lado do botão do Visualizador de logs.

A chave Ativar todas fica entre o botão de busca e o estado do serviço, e liga e desliga as listas da Nexwall. A página lista as listas da Nexwall; listas comunitárias de terceiros aparecem apenas se já estiverem ativadas, para poderem ser desativadas.

O volume de cada equipamento local vem do rastreador de conexões do firewall, portanto conta todo o tráfego, inclusive a parte das transferências longas que o motor de inspeção não olha. A primeira atualização após uma pausa mostra os números da inspeção até existir uma medição.

O controle de idioma da página de login e do assistente é um botão visível com o idioma atual.

A página de boas-vindas não recomenda mais desconectar a unidade da internet: as listas de proteção são baixadas durante a configuração.

Um navegador que ainda guardava o login de um firewall anterior no mesmo endereço ia para a página de login em vez do assistente do firewall novo.

Assistente de configuração

Em um firewall cujas portas a imagem não havia nomeado, o assistente informava que a zona WAN não tinha interface.

Assistente de configuração

Um token de sessão sem usuário fazia a API de gerenciamento parar de responder àquela requisição com uma falha; agora ela responde não autorizado.

API de gerenciamento

A reinicialização do cron após uma mudança do IPS chamava um caminho errado; a verificação de DNS da telemetria fazia uma pergunta que o firewall recusa; os atualizadores do antigo serviço de catálogo de aplicações relatavam um 404 todos os dias e a cada inicialização; duas atualizações das assinaturas do IPS podiam escrever o mesmo arquivo ao mesmo tempo. Todos foram corrigidos ou removidos.

Logs

Sem licença, o bloqueio por país recorre às listas públicas do componente subjacente, que são baixadas a cada início do serviço e podem demorar. As listas de países da Nexwall exigem licença.

Solução alternativa: Ative a licença para usar as listas da Nexwall.

Bloqueio de IP e países

Recarregar o serviço DNS com cerca de 1,8 milhão de domínios bloqueados interrompe a resolução de nomes por cerca de dez segundos. As listas são recarregadas somente quando mudam, normalmente uma vez por dia.

Solução alternativa: Desative as categorias de que não precisa; o aviso de memória na página de listas de bloqueio DNS ajuda a escolher.

Filtragem DNS

Proteção de servidores web (WAF) e Proteção de e-mail (MTA) aparecem como assinaturas, mas suas funções ainda não estão disponíveis.

Licenciamento

O Controle de aplicações e a Proteção de rede não decifram HTTPS. Reconhecem as aplicações pela conexão, pelo nome de domínio e pelo padrão de tráfego. A proteção web pode inspecionar categorias escolhidas do tráfego criptografado (veja NXW-2007).

Controle de aplicações

Abrir a interface web pelo endereço IP (por exemplo https://192.168.1.1) mostra um aviso de certificado no navegador, porque nenhuma autoridade pública emite certificados para endereços privados.

Solução alternativa: Use https://firewall.lan.nexwall.com.br (o computador deve usar o firewall como servidor DNS, o padrão com DHCP), ou http://192.168.1.1, que redireciona para esse endereço.

Interface web

Os domínios bloqueados são contados a partir do log DNS. Um firewall instalado antes do rc2 precisa do registro de consultas ativado em suas configurações DNS para exibi-los.

Solução alternativa: Ative o registro de consultas nas configurações DNS.

Filtragem DNS