كيفية إعداد قواعد جدار حماية سوفوس XGS و NAT من واجهة الأوامر CLI

تتم إدارة جدار حماية سوفوس XGS بشكل أساسي عبر وحدة التحكم على الويب (نظام تشغيل سوفوس، SFOS)، لكن وحدة سطر الأوامر لا غنى عنها للتشخيص واستكشاف أخطاء حركة المرور المسقطة وبعض إعدادات النظام منخفضة المستوى. يشرح هذا الدليل من سكايلاين كيفية الوصول إلى وحدة التحكم والعمل مع قواعد الجدار الناري و NAT والتقاط حركة المرور الحية — باستخدام أوامر SFOS حقيقية ومُتحقق منها فقط. لا تخترع أي معاملات؛ عند الشك اضغط Tab لعرض المعاملات الصالحة أو ? للوصف.

1. الوصول إلى وحدة تحكم جدار حماية سوفوس

يمكنك الوصول إلى وحدة التحكم بطريقتين: كابل وحدة تحكم تسلسلي/RJ45 فعلي، أو عن بُعد عبر SSH (مثلاً باستخدام PuTTY). يجب تفعيل الوصول عبر SSH أولاً — فهو مقيّد افتراضياً. اتصل بعنوان IP الخاص بإدارة الجدار الناري على منفذ SSH وسجّل الدخول ببيانات المسؤول. ستظهر لك القائمة الرئيسية لنظام SFOS:

1.  Network Configuration
2.  System Configuration
3.  Route Configuration
4.  Device Console
5.  Device Management
6.  VPN Management
7.  Shutdown/Reboot Device
0.  Exit

لتشخيص القواعد و NAT وحركة المرور، اختر الخيار 4 (Device Console). من هناك يمكنك سرد الأوامر المتاحة بالضغط على Tab:

console> clear            ping             telnet
         disableremote    ping6            telnet6
         dnslookup        set              traceroute
         dnslookup6       show             traceroute6
         drop-packet-capture  system       tcpdump
         enableremote

2. تفعيل وتعطيل SSH عن بُعد

للسماح باتصالات SSH عن بُعد بالجدار الناري (مثلاً لإدارته من شبكة الإدارة لديك)، استخدم:

console> enableremote

ولإيقاف الوصول عبر SSH مجدداً عند الانتهاء:

console> disableremote

قيّد SSH دائماً على شبكات الإدارة الموثوقة في سياسة الجدار الناري — ولا تعرّض وحدة التحكم أبداً لشبكة WAN.

3. فحص قواعد الجدار الناري و NAT

يعرض أمر show كائنات الإعداد الحالية. تشمل العروض المفيدة للقراءة فقط:

console> show nat-policy
console> show advanced-firewall
console> show ips-settings
console> show static-route
console> show interfaces

أما قواعد الجدار الناري وقواعد NAT نفسها فيتم إنشاؤها وتعديلها في وحدة تحكم الويب وليس في CLI. في إدارة الويب:

• قواعد الجدار الناري: اذهب إلى PROTECT > Rules and policies > Firewall rules. تحدد كل قاعدة منطقة المصدر وشبكات المصدر ومنطقة الوجهة وشبكات الوجهة والخدمات والإجراء (قبول/إسقاط/رفض). ابنِ قواعد بأقل صلاحية ممكنة — وتجنّب ضبط الخدمات على Any.
• قواعد NAT: اذهب إلى PROTECT > Rules and policies > NAT rules. استخدم SNAT (الإخفاء) مع ضبط واجهة الخروج على WAN لحركة المرور الصادرة، و DNAT (أو Full NAT) مع تحديد واجهة WAN الواردة لنشر الخوادم الداخلية على عنوان IP عام.

ثم تُستخدم واجهة الأوامر للتحقق من تأثير تلك القواعد على حركة المرور الحية واستكشاف أخطائها.

4. ترجمة حركة المرور التي ينشئها النظام عبر sys-traffic-nat

تتم ترجمة حركة المرور المُمرَّرة عبر قواعد NAT لديك، لكن حركة المرور التي ينشئها الجدار الناري نفسه (المصادقة وتمرير DHCP وما شابه) تُعالَج بشكل منفصل. استخدم الأمر الفرعي set advanced-firewall sys-traffic-nat من وحدة الجهاز (الخيار 4 من القائمة الرئيسية) لترجمة هذه الحركة لواجهات وخدمات محددة. مثال:

console> set advanced-firewall sys-traffic-nat add destination <ip> netmask <mask> interface <iface> snatip <ip>

5. أولوية المسارات (ترتيب SD-WAN / الثابتة / VPN)

عندما يمكن لأكثر من نوع مسار أن يطابق التدفق، يستخدم SFOS ترتيب أولوية قابلاً للتهيئة. تحقق من الترتيب الحالي بـ:

console> system route_precedence show

وغيّره (مثلاً لجعل المسارات الثابتة لها أولوية على مسارات سياسة SD-WAN) بـ:

console> system route_precedence set

وهذا حل شائع عندما تسلك حركة VPN أو SD-WAN مساراً غير متوقع.

6. تسريع العتاد (Xstream FastPath)

تفرّغ أجهزة XGS التدفقات الموثوقة إلى معالج Xstream Flow. يتبع أمر system النمط system [command] [option] <value>. على سبيل المثال، لتفعيل تسريع الجدار الناري:

console> system firewall-acceleration enable

عطّله فقط لأغراض استكشاف الأخطاء العميق، لأنه يؤثر بشكل ملموس على الإنتاجية.

7. استكشاف حركة المرور المسقطة عبر drop-packet-capture

عندما لا تطابق قاعدة ما كما هو متوقع، يُظهر drop-packet-capture الحزم التي يسقطها الجدار الناري، مع تعابير تصفية تماماً مثل tcpdump. على سبيل المثال، لمراقبة الإسقاطات لمضيف واحد مع استبعاد ضوضاء NetBIOS:

console> drop-packet-capture 'host 192.168.10.50 and not port 137'

إذا ظهرت الحزم كمُسقطة، فإن ترتيب قاعدة الجدار الناري أو NAT هو السبب — عدّل القاعدة في وحدة تحكم الويب وأعد الاختبار.

8. التقاط كامل للحزم عبر tcpdump

لتحليل أعمق يمكنك تشغيل tcpdump القياسي عبر الواجهات والكتابة إلى ملف للفحص لاحقاً:

console> tcpdump -i any -nn host 192.168.100.220 -w /tmp/capture.pcap &

الالتقاط عبر أي واجهة any، مع -nn لتخطي ترجمة الأسماء والمنافذ، والتصفية حسب المضيف، والكتابة إلى /tmp. يمكنك بعد ذلك تنزيل ملف pcap لتحليله في Wireshark. أوقف الالتقاط في الخلفية قبل أن يملأ القرص.

9. تشخيص الاتصال

تتضمن وحدة الجهاز أيضاً أدوات الشبكة المعتادة:

console> ping 8.8.8.8
console> traceroute 8.8.8.8
console> dnslookup sophos.com

استخدم نسخ IPv6 (ping6 وtraceroute6 وdnslookup6) على الشبكات المزدوجة.

هل تحتاج مساعدة؟

تقوم سكايلاين بتركيب وإعداد ودعم وإصلاح جدار حماية سوفوس XGS في جميع أنحاء السعودية. إذا كنت تصمم قاعدة قواعد، أو تصحح حركة مرور مسقطة، أو تخطط لترحيل في الرياض أو جدة أو الدمام، فإن دليلنا المتعمق حول نشر سوفوس XGS و Intercept X في السعودية يتعمق أكثر، أو يمكنك التواصل مع مهندسينا على +966 50 993 9334.