Nexwall Firewall 26.1.2

Quando uma regra com "Mostrar uma página de bloqueio" bloqueia uma categoria de sites, a pessoa vê uma página em português, espanhol ou inglês (o idioma do navegador) com a categoria, a regra e um código de referência, em vez de um erro de conexão. A página é oferecida para as categorias que o proxy web consegue abrir (juntas até 500.000 domínios, as listas menores primeiro); listas grandes, como conteúdo adulto, mantêm o bloqueio simples, então nada é liberado por engano. Se a verificação que entrega a página estiver parada, a requisição falha: nunca é deixada passar. O código de referência também é gravado no log.

As páginas que passam pelo proxy web são lidas e recebem uma pontuação de 0 a 100 em conteúdo adulto, violência, drogas, apostas, discurso de ódio e automutilação. Uma página cuja pontuação chega ao limite do perfil é trocada por uma página de bloqueio que mostra o assunto e a pontuação, ou apenas registrada, conforme você escolher. Três perfis vêm prontos (Escola é rigoroso, Privado é moderado, Trabalho é leve) e são aplicados pelas opções Padrão, Escola e Restrito do assistente; a aba Filtro de conteúdo do Web Protection mostra os perfis e permite mudar o limite, os assuntos e onde as páginas são lidas. Páginas que tratam de um assunto por estudo, saúde ou notícias, e páginas que oferecem ajuda, pontuam menos. Lê palavras, não imagens, e só as páginas que o proxy consegue abrir (sites sem criptografia e as categorias que ele descriptografa).

Um arquivo que passa pelo antivírus pode ser enviado ao sandbox da Nexwall, uma máquina segura onde ele é aberto e observado. Com a opção de espera, o download aguarda o veredito (entre 15 e 300 segundos, você escolhe) e um arquivo julgado malicioso é bloqueado com uma página que explica o motivo; um veredito já conhecido é respondido na hora. Cada firewall tem seus próprios limites: 60 arquivos por hora, 500 arquivos e 500 MB por dia, 20 MB por arquivo e 2 ao mesmo tempo (um teste recebe a metade). Funciona enquanto a licença do firewall o incluir, e os ajustes, o estado e os vereditos estão em Web Protection e em Análise de ameaças.

O menu agora tem duas páginas de análise depois do Painel. Análise de ameaças conta o que foi barrado: a história do bloqueio, do antivírus e do sandbox até as camadas avançadas, os dispositivos em risco, as categorias web, as principais origens e motivos e uma tabela de eventos, guardados por 35 dias, com um relatório executivo em PDF gratuito em todos os planos. Análise de tráfego conta para onde vai o tráfego: total, hora de maior tráfego, principal aplicativo e dispositivo, tráfego por hora e listas ordenadas de dispositivos, aplicativos, equipamentos remotos e protocolos que você pode seguir com um clique, para hoje, 7 ou 30 dias. O Monitor não tem mais a aba Tráfego diário.

Uma única família de azuis nos modos claro e escuro: menu e barra superior azul pálido no modo claro, interface azul-marinho no modo escuro, um acento azul e um estilo de página, cartões e tabelas igual em todo lugar. A barra superior tem o caminho da página, uma busca (Ctrl+K), o idioma, a ajuda, a central de status com os alertas do firewall e o chip da unidade com o ponto de saúde, número de série, versão, tempo de atividade e licença. Cada página abre com suas abas e depois um parágrafo que diz para que serve; as páginas da seção Política têm linhas de tabela mais compactas, os painéis laterais seguem a densidade do menu, e Regras de firewall e Zonas e políticas têm uma coluna de cartões de resumo à direita (regras por ação, pares de zonas mais usados, tags que filtram a lista com um clique). O Painel mostra a proteção do firewall em uma visão e o tráfego de hoje, 7 ou 30 dias. As configurações do Web Protection têm um monitor do motor, as regras são excluídas por um menu de três pontos para ser mais difícil fazer por engano, e as abas do Monitor seguem o mesmo design.

No editor de regras cada categoria pode ser bloqueada, permitida ou inspecionada por conta própria. A coluna de bloqueadas e a de permitidas têm, cada uma, um interruptor "inspecionar tudo" e uma caixa por categoria: o bloqueio é decidido pelo nome do servidor sem abrir a conexão, e inspecionar é o que abre uma categoria no proxy web, para o antivírus, o filtro de conteúdo e as verificações de certificado na coluna de permitidas, ou para a página de bloqueio na de bloqueadas. Uma categoria bloqueada e não inspecionada não custa nada ao proxy.

O QUIC (HTTP/3) leva o tráfego web sobre UDP, onde nenhum proxy consegue lê-lo. O novo interruptor "Bloquear QUIC (HTTP/3)" nas configurações do Web Protection (ativado por padrão) recusa a porta UDP 443 dos clientes das regras que filtram a web, de modo que seus navegadores usam HTTPS sobre TCP na hora e as páginas de bloqueio, o SafeSearch, o antivírus e o filtro de conteúdo valem para tudo. A recusa agora chega ao cliente na hora (veja as correções), então o navegador não espera antes de trocar.

As páginas de Controle de aplicações, Proteção de rede (IPS), Web Protection e do antivírus mostram um selo que só é verde quando o serviço está em execução (o processo está ativo e ligado ao que precisa); um serviço ligado que não está rodando fica vermelho. A leitura vem do próprio firewall (processos e filas de tráfego) e é a mesma que o Painel usa.

A página de Acesso remoto (OpenVPN) lista as últimas versões dos clientes VPN da Nexwall para seus usuários: Windows (Intel / AMD de 64 bits, ARM64 e 32 bits), Android e pacotes Linux para Debian e Ubuntu (Intel / AMD de 64 bits e ARM64). O cliente para macOS ainda não foi publicado. Os clientes são versões de teste e não são assinados.

Os gráficos mostram a perda de pacotes em vez da taxa de entrega, e as páginas Links WAN e Desempenho oferecem 1 hora (padrão), 6, 12 e 24 horas, 7 e 30 dias. Cada gráfico é um cartão com o valor atual, o pico e a média de cada série acima da linha, e as linhas são suavizadas sem cortar os picos: nas janelas longas cada ponto é o maior valor do seu intervalo (o menor para a memória livre), então um pico curto de CPU, memória, carga ou perda de pacotes continua visível. O histórico é guardado por 7 dias, ou um ano quando o firewall tem um disco de dados.

Uma nova aba lista todo o tráfego web que o proxy tratou, permitido ou bloqueado, com páginas de bloqueio, arquivos barrados pelo antivírus ou pelo sandbox, bloqueios de conteúdo e requisições que o proxy recusou; uma caixa de seleção acrescenta as mensagens dos serviços. Os alertas do motor de prevenção de intrusões e as requisições do proxy agora são enviados ao Visualizador de logs.

Além da imagem de disco, a versão vem como uma ISO de instalação: grave-a em um pendrive USB (por exemplo com o Rufus) e inicie o equipamento por ele. O instalador verifica a sua imagem, oferece apenas discos internos (nunca o pendrive), pede para digitar INSTALL antes de apagar um disco, grava a imagem e a lê de volta do disco para compará-la. O equipamento deve iniciar em modo UEFI.

Duas causas do motor ficar parado foram encontradas com despejos de memória de um firewall de laboratório sob carga e estão corrigidas: duas threads esperando uma pela outra dentro de dois dos plugins da Nexwall, e a thread de captura terminando quando o kernel descartava um pacote da fila. Um vigia agora verifica o motor a cada minuto e, se ele parar, tira o motor do caminho (o tráfego segue sem análise) e o reinicia, com um tempo de espera e um limite de reinícios por hora. O padrão, quando o motor não dá conta, é deixar o tráfego passar, não bloquear.

Alguns sites (serviços de streaming e outras CDN) respondem ao cliente e ao proxy com endereços diferentes. O proxy recusava essa conexão interceptada com um erro 409 e o site não carregava. Agora ele envia a conexão ao endereço que o cliente escolheu, como já fazia com HTTP simples, sem guardá-la no cache.

A zona WAN agora registra o que recusa (no máximo 10 linhas por minuto), de modo que a aba Tráfego do firewall mostra o tráfego bloqueado e não só o permitido.

A resposta "porta inalcançável" de uma conexão recusada, e as mensagens de que a descoberta de MTU do caminho precisa, eram engolidas pela fila do motor de tráfego. Agora elas passam, de modo que um navegador cujo QUIC é recusado muda para HTTPS em alguns milissegundos e não depois de um tempo limite.

O proxy podia ficar sem arquivos abertos (um limite de 1.024) e a conexão do antivírus era desligada por minutos depois de uma rajada de falhas. O limite agora é 16.384, até 256 arquivos podem ser varridos ao mesmo tempo e a conexão do verificador é tentada de novo após 10 segundos.

Um túnel não fixa mais a rota para o seu par no link de internet que era o padrão quando o túnel subiu. Em um firewall com dois links de internet, uma rota antiga desse tipo podia cortar a licença, as atualizações e as listas de ameaças.

O Controle de aplicações tem um interruptor do motor, o Web Protection liga o motor quando precisa, e o Painel e as páginas mostram o estado real da Proteção de rede (IPS) e do Controle de aplicações. O tráfego do cartão Top talkers e do Traffic Analytics conta os mesmos fluxos.

Um firewall que ninguém configurou agora inicia com o perfil Padrão aplicado também à web: as categorias de sites do perfil, o filtro de conteúdo Trabalho e, quando a licença e o armazenamento permitem, o antivírus. O assistente de configuração pode mudar cada escolha depois.

Um firewall iniciado sem executar o assistente de configuração agora tem o WAN na segunda placa de rede (eth1), pedindo endereço por DHCP, na zona wan. Em máquinas virtuais a placa ainda não estava visível quando o padrão era decidido, por isso faltava o WAN; um segundo passo mais adiante no mesmo início corrige isso nas unidades que nunca foram configuradas.

Os endereços que o SafeSearch e o Modo restrito do YouTube usam ficam fora do motor de análise e da inspeção, e o DNS os responde com endereços simples, então Google, Bing e YouTube abrem em seus modos restritos mesmo quando o Controle de aplicações bloqueia streaming ou redes sociais para os mesmos dispositivos.

O log do sistema usa toda a largura e a altura da página, com a busca, o número de linhas e as opções em uma linha acima.

As conexões para os endereços do Modo restrito do YouTube e do SafeSearch eram classificadas como YouTube ou Google e reiniciadas pelas regras do Controle de aplicações, por isso o YouTube mostrava "offline". Os endereços agora ficam fora do motor de análise.

Proteção web

O resolvedor DNS adicional respondia só com o alias quando o destino não estava em cache, e alguns dispositivos informavam DNS_PROBE_FINISHED_NXDOMAIN. Agora ele responde com endereços simples atualizados duas vezes por minuto.

Proteção web

A busca mostrava "HTTP 400, cannot parse extract_regexp pattern". O padrão agora é enviado em uma forma que o banco de logs aceita.

Logs

As entradas de log adicionais estavam instaladas mas não listadas na configuração do serviço de logs, por isso nunca eram lidas. Ativar o Visualizador de logs agora as adiciona.

Logs

O monitor procurava o processo pelo nome completo, que o sistema corta em 15 caracteres. Agora ele o encontra.

Proteção web

O WAN padrão (eth1, DHCP) era decidido antes de os drivers das placas de rede serem carregados, então uma máquina virtual não via a segunda placa. Agora ele é adicionado mais adiante no mesmo início nas unidades que nunca foram configuradas.

Rede

Duas threads dos plugins da Nexwall esperavam uma pela outra, e a thread de captura terminava quando o kernel descartava um pacote da fila. As duas estão corrigidas e um vigia recupera o motor se ele alguma vez parar.

engine

Os sites cujas respostas DNS diferem entre o cliente e o proxy eram recusados pelo proxy. Agora abrem: a conexão vai ao endereço que o cliente escolheu.

Proteção web

O que a WAN recusava não era registrado. A zona WAN agora registra, no máximo 10 linhas por minuto.

Logs

A fila do motor de tráfego engolia o ICMP "porta inalcançável" de uma conexão recusada e as mensagens da descoberta de MTU. Agora passam.

Rede

O limite de arquivos abertos agora é 16.384, até 256 arquivos são varridos ao mesmo tempo e a conexão do verificador é tentada de novo após 10 segundos.

Proteção web

Em um firewall com dois links de internet a rota para o par ficava no link que era o padrão quando o túnel subiu, o que podia cortar a licença e as atualizações. Os túneis não a fixam mais.

Rede

A explicação de cada aba atualizava a descrição compartilhada em um laço. Corrigido na interface 3.0.

interface

O painel lia as informações do sistema na forma errada e falhava. Corrigido.

interface

Sem licença, o bloqueio por país recorre às listas públicas do componente subjacente, que são baixadas a cada início do serviço e podem demorar. As listas de países da Nexwall exigem licença.

Solução alternativa: Ative a licença para usar as listas da Nexwall.

Bloqueio de IP e países

Recarregar o serviço DNS com cerca de 1,8 milhão de domínios bloqueados interrompe a resolução de nomes por cerca de dez segundos. As listas são recarregadas somente quando mudam, normalmente uma vez por dia.

Solução alternativa: Desative as categorias de que não precisa; o aviso de memória na página de listas de bloqueio DNS ajuda a escolher.

Filtragem DNS

Proteção de servidores web (WAF) e Proteção de e-mail (MTA) aparecem como assinaturas, mas suas funções ainda não estão disponíveis.

Licenciamento

O Controle de aplicações e a Proteção de rede não decifram HTTPS. Reconhecem as aplicações pela conexão, pelo nome de domínio e pelo padrão de tráfego. A proteção web pode inspecionar categorias escolhidas do tráfego criptografado (veja NXW-2007).

Controle de aplicações

Abrir a interface web pelo endereço IP (por exemplo https://192.168.1.1) mostra um aviso de certificado no navegador, porque nenhuma autoridade pública emite certificados para endereços privados.

Solução alternativa: Use https://firewall.lan.nexwall.com.br (o computador deve usar o firewall como servidor DNS, o padrão com DHCP), ou http://192.168.1.1, que redireciona para esse endereço.

Interface web

Os domínios bloqueados são contados a partir do log DNS. Um firewall instalado antes do rc2 precisa do registro de consultas ativado em suas configurações DNS para exibi-los.

Solução alternativa: Ative o registro de consultas nas configurações DNS.

Filtragem DNS

Os sites inspecionados mostram um aviso de certificado até que o certificado de inspeção do firewall seja instalado no dispositivo. Aplicações que fixam o certificado falham quando inspecionadas.

Solução alternativa: Instale o certificado (Proteção web, Inspeção) e adicione as aplicações com certificado fixo como exceções.

Proteção web

O antivírus não inicia sem o armazenamento de dados, que guarda as suas assinaturas (cerca de 300 MB), e não fica ativo até terminar o primeiro download das assinaturas.

Solução alternativa: Confira a página Armazenamento; a página do antivírus mostra o estado de cada motor.

Proteção web

As opções para a família seguem os dispositivos e redes de uma regra, não contas de usuário. Ainda não há horários nem cotas de tempo, e um dispositivo que usa uma VPN ou a rede móvel fica fora do firewall.

Proteção web

A inspeção do tráfego criptografado usa um único processo de proxy web, por isso fica limitada a cerca de um núcleo de processador, e a velocidade que alcança ainda não foi medida. Só são inspecionadas as categorias que você indica.

Solução alternativa: Inspecione só as categorias de que precisa e deixe downloads grandes e streaming fora da lista inspecionada.

Desempenho

A proteção avançada contra ameaças, o Antivírus / Sandbox (a parte de sandbox) e a proteção do ambiente de trabalho (ZTNA) aparecem na licença, mas nesta versão só está disponível a parte de antivírus do Antivírus / Sandbox.

Licenciamento

As conexões que terminaram antes de o visualizador de logs ser aberto não são registradas. A aba lista as conexões abertas naquele momento e tudo o que vem depois.

Logs

Um dispositivo que não instalou o certificado de inspeção vê um aviso de certificado, e não a página de bloqueio, ao abrir um site https bloqueado. O site continua bloqueado. Sites http sem criptografia mostram a página sem o certificado.

Solução alternativa: Instale o certificado nos dispositivos (Web Protection, Inspeção) ou use uma regra sem página de bloqueio: a conexão é reiniciada.

Proteção web

Imagens e vídeo não são julgados, o texto das redes sociais chega como dados e não como página, e páginas enviadas em uma codificação diferente de simples ou gzip não são lidas. Uma lista de palavras também pode errar nos dois sentidos; o modo que só registra e o limite existem para isso.

Solução alternativa: Comece com o modo que só registra, veja os eventos e depois bloqueie. Use categorias, SafeSearch e o Modo restrito do YouTube para as redes sociais.

Proteção web

Em uma porta que o proxy web não trata, ou enquanto o proxy está parado, o motor de tráfego decide depois dos primeiros pacotes de uma conexão, então uma resposta mínima, como um redirecionamento, pode chegar ao dispositivo antes do reinício. O restante da conexão é bloqueado.

Solução alternativa: Bloqueie com regras do firewall as portas de que não precisa.

Proteção web

Um dispositivo que conecta a um endereço resolvido em outro lugar (o próprio DNS sobre HTTPS, um endereço fixo) pode chegar a um site de uma categoria bloqueada quando o nome não está visível: o bloqueio por DNS não se aplica.

Solução alternativa: Bloqueie o DNS sobre HTTPS (categoria "DNS criptografado") e faça os clientes usarem o firewall para DNS.

Proteção web

Com o antivírus, a inspeção, a prevenção de intrusões e o Controle de aplicações em uma rede com muito tráfego, um sistema de 4 GB usa o swap e o sistema pode parar o motor do antivírus por um tempo. O antivírus falha aberto e o Painel o mostra como parado.

Solução alternativa: Dê 8 GB ao firewall quando todas as proteções funcionam em uma rede com muito tráfego.

system