Configurar certificados Let's Encrypt en Sophos Firewall

La función integrada Let’s Encrypt en Sophos Firewall 22 solicita y renueva certificados para FQDN públicos. Utiliza HTTP-01 sobre IPv4. Para cada validación, el firewall crea una regla WAF temporal; Mientras la validación está en curso, las aplicaciones web protegidas por reglas WAF no están disponibles a través del firewall.

Los pasos de configuración y asignación que se muestran aquí corresponden a SFOS 22. El momento de renovación distinto de SFOS 23 se explica expresamente en la sección de renovación.

⚠️ Por tanto, la emisión y la renovación pueden interrumpir el servicio. Realice los cambios iniciados manualmente en una ventana de mantenimiento controlada para las aplicaciones WAF de producción y tenga en cuenta en la operación el momento de renovación automática, que depende de la versión. Las páginas de Sophos comparadas aquí no documentan ninguna opción que permita programar libremente esa renovación automática. Durante la validación, el puerto 80 no debe bloquearse ni enviarse a otro lugar mediante DNAT, firewall, GeoIP o reglas ascendentes.

Procedimiento rápido

1. Haga que cada FQDN se resuelva pública y consistentemente en todo el mundo en la dirección IPv4 seleccionada.
2. Confirme que el HTTP entrante en el puerto 80 llegue al firewall y que no se aplique ningún DNAT a esa dirección y puerto.
3. Vaya a Certificates > Let’s Encrypt, lea los términos y haga clic en Register account.
4. Vaya a Certificates > Certificates, haga clic en Add, seleccione Request Let’s Encrypt certificate en Action y complete Name, Domains y Hosted address.
5. Después de hacer clic en Save, asigne el certificado válido al servicio deseado y pruébelo externamente.
6. Verifique la fecha de vencimiento, la ruta del puerto 80 y letsencrypt.log antes de la ventana de renovación.

Usos y limitaciones

La integración se adapta a los servicios en los que el firewall presenta el certificado, incluidos WAF, WebAdmin, User Portal, los portales basados en navegador VPN Portal, Captive Portal, SPX y el inicio de sesión de hotspot. Para consultar el resto de una publicación WAF, consulte Sophos Firewall WAF: publicar servidores web de forma segura.

Sophos documenta estos límites:

• Solo se admiten FQDN públicos e IPv4.
• La validación utiliza HTTP-01. Esta integración de SFOS no acepta direcciones IP ni dominios comodín.
• Remote Access VPN, Site-to-Site VPN y el servicio de autenticación Chromebook SSO no pueden utilizar estos certificados. El certificado VPN Portal basado en navegador es una configuración independiente.
• Para SFOS 22, Sophos indica una validez de 90 días y una solicitud de renovación cuando quedan menos de 30 días. En SFOS 23, la renovación depende del periodo de validez real del certificado: el firewall solicita la renovación cuando han transcurrido dos tercios de ese periodo. Así, el momento de renovación se adapta a los cambios en los periodos de validez de Let’s Encrypt.
• Los certificados existentes dejan de renovarse después de Deregister account.

Sophos introdujo la integración con SFOS 21. Sophos Firewall v21: las novedades más importantes contextualiza su alcance inicial.

Cree un certificado comodín externamente con DNS-01; consulte Crear un certificado comodín de Let’s Encrypt. Administrar certificados en Sophos Firewall cubre importaciones, claves privadas y cadenas de CA. Compatibilidad con IPv6 en Sophos Firewall 22 explica otros límites de IPv6.

Prepare DNS y la ruta de red

Cada entrada bajo Domains debe cumplir las mismas condiciones:

• Su registro DNS público se resuelve en la dirección WAN IPv4 del firewall o en una dirección que enruta el puerto 80 al firewall.
• Todos los proveedores de DNS públicos devuelven la misma dirección. GeoDNS dependiente de la región no es adecuado para este flujo de trabajo.
• El registro DNS debe contener una dirección IP. Sophos solo permite varias direcciones cuando pertenecen a otros cortafuegos que enrutan HTTP al cortafuegos solicitante.
• Ni una regla de firewall ni un dispositivo ascendente pueden bloquear el puerto entrante 80. Esto incluye reglas GeoIP; Let’s Encrypt valida desde muchos países y no publica rangos de fuentes de validación fijos.
• No se puede aplicar DNAT al puerto 80 en la dirección WAN del firewall. Si un enrutador posee la IP pública frente al firewall, ese enrutador debe reenviar el puerto 80 a la interfaz WAN del firewall.
• Una ruta SD-WAN no debe enviar HTTP saliente a través de un dispositivo que impida el acceso a Let’s Encrypt.

Mantenga el reloj sincronizado con NTP. Verifique el DNS y el puerto 80 desde fuera de la red local antes de solicitar un certificado; El bucle invertido de DNS o NAT dividido puede hacer que una prueba interna sea engañosa.

Registrar o cancelar el registro de la cuenta

1. Abra Certificates > Let’s Encrypt.
2. Lea el Subscriber Agreement y los términos.
3. Haga clic en Register account.

Al hacer clic en el botón se acepta el Subscriber Agreement. Si los términos cambian, SFOS requerirá registrarse nuevamente. Hasta que no se confirme, no se podrán crear nuevos certificados y no se renovarán los existentes. Sophos envía un correo electrónico al administrador y muestra una alerta Control Center; configure la entrega de correo electrónico en Administration > Notification settings.

Deregister account finaliza el registro. No necesariamente elimina todos los certificados existentes, pero detiene las renovaciones futuras. Confirme los certificados de reemplazo, las asignaciones y las fechas de vencimiento antes de cancelar el registro.

Solicitar un certificado

1. Abra Certificates > Certificates y haga clic en Add.
2. Para Action, seleccione Request Let’s Encrypt certificate.
3. Ingrese un Name único, como le-app-example-com.
4. En Domains, agregue todos los FQDN necesarios, como app.example.com. No ingrese una dirección IP o *.example.com.
5. En Hosted address, seleccione la dirección IPv4 pública de la interfaz WAN a la que se resuelven los dominios.
6. Haga clic en Save y tenga en cuenta la interrupción del WAF.
7. En Certificates > Certificates, verifique que el certificado sea válido y confiable y que tenga una fecha plausible Valid until.

Si un FQDN es incorrecto, elimine la solicitud fallida y créela nuevamente con el nombre correcto. Corrija el DNS y la ruta del puerto 80 antes de volver a intentarlo en lugar de enviar repetidamente la misma solicitud no válida.

Asignar el certificado

La emisión por sí sola no cambia un servicio. SFOS 22 documenta estas asignaciones:

• WAF: Edite la regla WAF en Rules and policies > Firewall rules, active HTTPS y seleccione el certificado en HTTPS certificate. Sus dominios pueblan la regla. Al guardar una regla WAF, se reinician todas las reglas de protección del servidor web y se interrumpen sus conexiones activas.
• Portales WebAdmin, User Portal, VPN Portal, Captive Portal y SPX: Vaya a Administration > Admin and user settings > Admin console and end-user interaction > Certificate y seleccione el certificado para el servicio correspondiente.
• Hotspot: Vaya a Wireless > Wireless settings > Hotspot settings, selecciónelo en Login page certificate y haga clic en Apply. Este certificado se utiliza cuando Redirect to HTTPS está habilitado para el punto de acceso.

Luego abra el FQDN real desde afuera. El nombre del certificado, los dominios SNI, WAF y el certificado realmente entregado deben coincidir. Para SMTP TLS u otra función, utilice únicamente un selector de certificado que se muestra en la página SFOS 22 de esa función; las asignaciones del portal anteriores no se aplican automáticamente.

Asignar, eliminar o revertir de forma segura

Antes del cambio, anote el certificado anterior y todas las asignaciones afectadas, cree una copia de seguridad actual de la configuración y mantenga disponible una ruta de prueba externa. Siempre que sea posible, asigne primero el certificado nuevo a un solo servicio y pruébelo con su FQDN real. Si la prueba falla, vuelva a seleccionar el certificado anterior en la misma configuración del servicio y confirme con Save o Apply. En WAF, esto vuelve a reiniciar todas las reglas de Web Server Protection e interrumpe las conexiones activas.

No elimine el certificado anterior hasta que todos los servicios afectados hayan superado una prueba externa y estén claras la caducidad y la responsabilidad de renovación. Antes de eliminarlo, cambie todas las referencias conocidas al certificado nuevo o a otro certificado válido. La restauración de una copia de seguridad es la última opción de reversión, no la primera: sustituye toda la configuración activa y reinicia el firewall.

Renovación, HA y respaldo

El momento de renovación depende de la versión de SFOS: SFOS 22 solicita la renovación cuando quedan menos de 30 días; SFOS 23, cuando han transcurrido dos tercios del periodo de validez real del certificado. Para los controles operativos, compruebe el certificado concreto y su periodo de validez, en lugar de asumir un umbral de 30 días para SFOS 23. Ambas versiones siguen necesitando la ruta de DNS, IPv4 y puerto 80 utilizada para la emisión inicial. Vuelva a verificar la ruta después de cambios de DNS, proveedor, NAT, GeoIP, SD-WAN, WAF o firmware. Un certificado actualmente válido no prueba que la próxima validación funcionará.

Sophos describe las copias de seguridad como copias cifradas de toda la configuración del firewall. Realice una copia de seguridad actual antes de que cambie el certificado o WAF. Restaurarlo reemplaza la configuración en ejecución y reinicia el firewall, así que luego verifique el estado de la cuenta, los certificados, las asignaciones de servicios y la entrega externa.

En un clúster HA, restaure la copia en el Primary actual, nunca en el Auxiliary. El Primary se reinicia sin failover, lo que provoca una interrupción tanto en Active-Passive como en Active-Active. Si la copia contiene la configuración HA, el Primary sincroniza después la configuración restaurada con el Auxiliary. Si no contiene configuración HA, se desactiva HA y el Auxiliary conserva inicialmente su configuración anterior; siga en ese caso el procedimiento de recuperación documentado por Sophos. Sophos no documenta en la página de Let’s Encrypt ninguna lógica adicional específica para la cuenta o la renovación. Tras una restauración o un cambio de rol, compruebe el estado del certificado y realice una prueba TLS externa en lugar de basarse en suposiciones.

Validar y solucionar problemas

Después de la emisión y de cada renovación, verifique:

• DNS público de varias regiones;
• la entrada bajo Certificates > Certificates;
• el servicio afectado desde fuera de la LAN;
• FQDN, SAN, emisor, vencimiento y la cadena intermedia completa;
• Log viewer, más tail -f /log/reverseproxy.log para WAF;
• eventos de emisión y renovación en letsencrypt.log.

Desde una computadora administradora externa, este comando de solo lectura muestra los certificados enviados por el servicio. Reemplace app.example.com dos veces con el FQDN real:

openssl s_client -connect app.example.com:443 -servername app.example.com -showcerts </dev/null

La salida debe contener el certificado del servidor y los certificados intermedios necesarios. Normalmente, el servidor no envía el ancla de confianza raíz. Una segunda comprobación utiliza el almacén de confianza de ese ordenador:

curl -Iv https://app.example.com/

En la Advanced Shell, siga el registro oficial de Let’s Encrypt; pulse Ctrl+C para detener la salida:

tail -f /log/letsencrypt.log

Sophos enumera tail -f /log/vpncertificate.log para operaciones de certificados generales y tail -f /log/reverseproxy.log para WAF. SFOS 22.0 MR2 Build 546 agregó soporte para YE Root, YE1, YE2, YR Root, YR1 y YR2. Si solo los clientes más antiguos fallan después de la renovación, inspeccione sus tiendas de confianza. Si el servidor omite un intermediario, primero verifique el firmware, la asignación de servicios y los proxies ascendentes, luego escale al soporte de Sophos con el resultado de la prueba.

Las fallas comunes se pueden reducir de la siguiente manera:

• La solicitud falla inmediatamente: Verifique el FQDN público, la respuesta DNS globalmente consistente y el destino IPv4.
• El puerto 80 llega a otro sistema: Elimine o corrija DNAT en el firewall; si hay un enrutador ascendente, verifique su reenvío al firewall.
• El error depende de la región: Verifique GeoIP y filtros de proveedores. No restrinja el acceso a supuestas listas de IP de Let’s Encrypt.
• Error después de un cambio de ruta: Verifique la ruta HTTP SD-WAN saliente.
• Se entrega el certificado antiguo: Verifique la asignación del servicio y cualquier balanceador de carga ascendente o proxy inverso.
• La renovación no ocurre: Verifique la validez restante, el registro, los términos modificados y la ruta HTTP-01 sin cambios.
• Un certificado de IP dinámica creado durante EAP no se renueva en GA: Elimine y vuelva a crear este certificado específico en la compilación de GA, como indica Sophos.

Preguntas frecuentes