Utiliser en sécurité les paramètres VPN globaux de Sophos Firewall

La Device Console de Sophos Firewall propose sous set vpn des paramètres globaux pour le failover VPN, le traitement IPsec et les protocoles hérités L2TP et PPTP. Ils ne concernent pas seulement la connexion en cours d’analyse. Un test imprécis peut affecter d’autres tunnels, supprimer des sessions existantes ou affaiblir une fonction de protection.

Ce n’est pas une recette générale de performance : ne pas augmenter préventivement ipsec-max-workqueue-items ou la fenêtre anti-replay, ni activer use-resolved-ip-address. Sophos les décrit comme des paramètres avancés à utiliser pour un besoin réseau précis ou sur conseil de Sophos Support.

Pour un problème de tunnel ordinaire, commencer par le dépannage VPN IPsec. Il vérifie IKE, la Child SA, le routing, le NAT, les règles et le flux réel. Les paramètres globaux de cet article ne deviennent pertinents que si le symptôme correspond exactement à leur fonction.

Enregistrer l’état initial avant chaque modification

Les commandes s’exécutent sous 4. Device Console. Avant toute modification, consigner la version et le build SFOS, l’heure, les tunnels concernés, le flux de test attendu et un accès d’administration indépendant. Créer aussi une sauvegarde récente de la configuration. Pour ces valeurs, l’aide CLI SFOS 22 ne documente que set vpn, sans commande de lecture. Les journaux de modification et les sauvegardes sont des éléments complémentaires, mais ils ne prouvent pas la valeur actuellement active. Sophos Support doit confirmer une méthode permettant de lire la valeur exacte sur le build installé. Avant la modification, consigner sa sortie et préparer la commande set vpn de restauration correspondante. Si Support ne peut pas confirmer de méthode de lecture ou si la valeur actuelle ne peut pas être établie, arrêter la procédure et ne pas modifier le paramètre global.

L’aide SFOS 22 ne donne un default que pour la MTU L2TP, anti-replay, le seuil de cookies et l’adresse de peer résolue. Même ces defaults ne prouvent pas que l’appliance concernée utilise encore une configuration inchangée.

La restauration utilise toujours la valeur initiale établie de manière sûre. La syntaxe documentée ne comporte aucun paramètre default universel. Les commandes de retour aux valeurs par défaut ci-dessous ne conviennent que si la modification vise explicitement la valeur SFOS 22 documentée; elles ne doivent jamais écraser une valeur initiale volontairement personnalisée.

Sessions lors des transitions de tunnel et de WAN

conn-remove-tunnel-up détermine si les connexions existantes sont supprimées lorsqu’un tunnel IPsec s’établit. Cela peut compter lorsqu’un flux a commencé par un autre chemin et reste attaché à ce mauvais chemin après la montée du tunnel. La suppression peut aussi interrompre des sessions productives. L’aide SFOS 22 ne documente aucun default; restaurer donc la valeur établie de manière sûre avant la modification.

set vpn conn-remove-tunnel-up enable
set vpn conn-remove-tunnel-up disable

conn-remove-on-failover contrôle le nettoyage global au failover et au failback. all concerne toutes les connexions, alors que non-tcp limite le nettoyage au trafic non TCP comme UDP ou ICMP. La valeur appropriée n’est donc pas une simple décision VPN : VoIP, visioconférence, DNS et autres applications UDP doivent être observés dans la même fenêtre de test.

set vpn conn-remove-on-failover all
set vpn conn-remove-on-failover non-tcp

L’aide SFOS 22 ne donne de default pour aucun des deux paramètres conn-remove-*. Le rollback réapplique donc exactement la valeur initiale documentée.

En HA, tester les protocoles séparément. Selon l’aide HA SFOS 22, les tunnels IPsec route-based, policy-based et remote access sont restaurés au failover. Pour le trafic dans le tunnel IPsec, le failover de session prend en charge UDP et ICMP, mais pas TCP. Les paramètres conn-remove-* ne remplacent donc ni la conception HA ni un test avec un flux TCP et un flux UDP existants.

Distinguer les paramètres de portée différente

• Profil IPsec : sous System > Profiles > IPsec profiles, Use strict profile et Pass data in compressed format ne concernent que les connexions utilisant ce profil. L’aide du profil associe le profil strict aux problèmes de handshake causés par la fragmentation et précise que la compression intervient avant le chiffrement. Ce ne sont pas des paramètres globaux.
• SSL VPN : Remote access VPN > SSL VPN > SSL VPN global settings s’applique à toutes les policies SSL VPN remote access et au fichier .ovpn. Selon l’aide SSL VPN, Disconnect dead peer after vaut par défaut 180 secondes en TCP et 100 en UDP; en UDP, la plage est 60-110. Disconnect idle peer after est exprimé en minutes sans default documenté. Ces valeurs ne s’appliquent pas à IPsec ou L2TP.
• L2TP dans l’interface web : Remote access VPN > L2TP > L2TP global settings s’applique à toutes les stratégies L2TP et contrôle l’activation, la plage d’adresses, l’attribution RADIUS, le DNS, le WINS et les membres. La plage documentée doit être privée, appartenir à un sous-réseau /24 ou plus petit et contenir au maximum 254 adresses. Sophos indique que les plages L2TP et PPTP ne doivent pas chevaucher les configurations IPsec d’accès distant ou SSL VPN; cette page n’indique pas que les plages L2TP et PPTP ne peuvent pas se chevaucher entre elles. L’authentification et la MTU CLI décrites ci-dessous restent propres à L2TP.
• Paramètres de firewall : tcp-est-idle-timeout, udp-timeout, udp-timeout-stream et fragmented-traffic sous set advanced-firewall ne sont pas propres au VPN. L’aide CLI indique 2700-432000 secondes pour TCP établi, 30-3600 pour chaque timeout UDP et allow comme default des paquets fragmentés. Ne pas les modifier pour un seul tunnel.

Performance IPsec et fonctions de protection

Le groupe ipsec-performance réunit quatre fonctions très différentes. Son nom peut encourager des essais de tuning, même si une seule fonction définit directement la taille d’une file de travail.

Modifier la workqueue uniquement pour un goulot démontré

ipsec-max-workqueue-items accepte des valeurs de 1024 à 10240. La file contient le travail destiné au traitement IPsec. Une valeur supérieure ne garantit pas plus de débit et ne corrige ni Packet Loss, ni problème de MTU, ni résultat faible avec un seul stream, ni liaison WAN saturée.

set vpn ipsec-performance ipsec-max-workqueue-items <1024-10240>

Une modification n’a de sens que si un test de charge reproductible, l’utilisation du système et les diagnostics Sophos indiquent précisément ce goulot. Vérifier d’abord séparément MTU et MSS, latence, Packet Loss, profil de chiffrement, IPsec Acceleration et streams parallèles. Sans amélioration, restaurer la valeur initiale enregistrée.

Sophos ne documente aucun default pour ipsec-max-workqueue-items. Le rollback utilise set vpn ipsec-performance ipsec-max-workqueue-items <valeur-initiale-notée>.

La fenêtre anti-replay est une fonction de sécurité

Dans la fenêtre replay, IPsec mémorise les paquets déjà vus pendant le déchiffrement. Il peut ainsi détecter et rejeter les paquets répétés. SFOS 22 accepte 0, 32, 64, 128, 256, 512, 1024, 2048 et 4096; le default documenté est 1024.

set vpn ipsec-performance anti-replay window-size <valeur>

Une fenêtre supérieure peut être utile si les paquets sont fortement réordonnés sur des chemins parallèles. Ce n’est pas un réglage général de débit. La valeur 0 supprime la protection anti-replay et n’est pas recommandée comme solution. Un tel test exige une fenêtre isolée, une consigne explicite de Sophos Support et un rollback immédiatement disponible.

set vpn ipsec-performance anti-replay window-size 1024 restaure le default documenté. Si la valeur initiale était personnalisée, restaurer exactement cette valeur.

Le seuil de cookies IKEv2 protège les SA semi-ouvertes

Selon Sophos, la validation des cookies est toujours active et n’existe que pour IKEv2. cookie_threshold ne l’active ni ne la désactive. Lorsque le nombre de IKE SA simultanément semi-ouvertes dépasse le seuil, le responder demande un cookie à l’initiator. L’état d’établissement est ainsi protégé contre une charge DoS. Le default documenté est 30.

set vpn ipsec-performance cookie_threshold <nombre>

Une valeur inférieure ou supérieure ne se choisit qu’à partir de la charge IKE réelle et des diagnostics du support. Elle ne corrige pas une Child SA absente, des proposals incompatibles ou un échec d’authentification. La validation observe les nouvelles connexions IKEv2, strongswan.log, la charge CPU et les connexions simultanées légitimes.

set vpn ipsec-performance cookie_threshold 30 restaure le default documenté. Un seuil personnalisé se restaure avec la même syntaxe.

Utiliser l’adresse résolue du peer uniquement pour le cas Charon documenté

use-resolved-ip-address est destiné à de nombreux tunnels IPsec site-to-site avec peers FQDN et une résolution DNS lente. Selon Sophos, cette combinaison précise peut bloquer un thread charon. Avec enable, le pare-feu utilise l’adresse déjà résolue au lieu d’initier le tunnel avec une nouvelle résolution du FQDN distant.

set vpn ipsec-performance use-resolved-ip-address enable
set vpn ipsec-performance use-resolved-ip-address disable

Le FQDN doit déjà avoir été résolu correctement. Le default documenté est Off; set vpn ipsec-performance use-resolved-ip-address disable le restaure. Si enable était la valeur initiale notée, l’utiliser plutôt comme rollback personnalisé. L’option ne remplace ni un DNS fonctionnel ni des resolvers accessibles. Avant activation, corréler le temps de résolution, l’adresse résolue du peer, le nombre de tunnels et charon.log. Après un changement de DNS ou de provider, confirmer que le pare-feu utilise la nouvelle adresse du peer dans le délai prévu.

Contrôle strict des politiques IPsec selon l’aide SFOS 23

L’aide CLI SFOS 23 documente ipsec-strict-policy-check comme une option distincte de set vpn, pas comme une partie de ipsec-performance. Les Security Associations (SA) sont les associations de sécurité du trafic IPsec protégé. Avec enable, Sophos Firewall vérifie la paire de sous-réseaux par rapport à la SA associée; le trafic IPsec entrant qui ne correspond pas à la SA attendue peut être rejeté. Ce n’est pas Use strict profile sous System > Profiles > IPsec profiles, qui concerne les problèmes de handshake dus à la fragmentation à l’échelle du profil.

N’envisager disable que pour le cas de compatibilité documenté : un peer tiers utilise des SA partagées pour plusieurs paires de sous-réseaux dans des tunnels IPsec site-to-site. Cela désactive le contrôle strict de l’association. Des pannes quelconques de tunnel, de routing ou d’authentification ne le justifient pas; établir d’abord que ce cas précis de SA partagées s’applique.

Avant de définir la valeur : disposer d’un accès d’administration indépendant, d’une sauvegarde récente et d’une méthode de lecture de la valeur active confirmée par Sophos Support pour le build installé. Consigner au préalable la sortie, la valeur actuelle et la restauration exacte de cette valeur initiale. Sans méthode de lecture fiable ou valeur actuelle établie de manière sûre, ne pas modifier le paramètre.

La syntaxe documentée pour 4. Device Console est :

set vpn ipsec-strict-policy-check [enable | disable]

Les crochets indiquent des alternatives : ne les remplacer que par la valeur cible justifiée, enable ou disable. L’aide SFOS 23 ne fournit ni valeur par défaut ni getter/commande de lecture pour cette option. Aucune commande de default, de reset ou de lecture inventée n’est donc proposée ici. Son absence dans l’aide SFOS 22 comparée ne prouve ni une introduction avec SFOS 23 ni une absence de prise en charge dans SFOS 22.

Dans une fenêtre de maintenance contrôlée, ne modifier que cette valeur globale. Avant et après, tester les paires de sous-réseaux concernées et les tunnels jusque-là non affectés, avec des flux existants et nouveaux dans les deux directions. Des tests négatifs de trafic maîtrisés doivent aussi confirmer que le trafic non autorisé reste bloqué; examiner les associations SA et les motifs de rejet avec les contrôles IPsec et de capture de paquets de la section de test et de restauration ci-dessous. Relire la valeur cible avec la méthode confirmée par Support. Sans amélioration ou en cas de régression, restaurer exactement la valeur initiale consignée avec la même syntaxe et la relire, puis contrôler à nouveau les tunnels et le trafic utilisateur. Les quatre commandes de valeurs par défaut SFOS 22 ci-dessous ne restaurent pas ce paramètre.

Compatibilité L2TP, MTU et PPTP

set vpn contient aussi les protocoles d’authentification L2TP et PPTP ainsi que la MTU L2TP globale. Cela ne rend pas PPTP adapté à un nouvel environnement. PPTP est obsolète et ne doit plus être déployé. L2TP Remote Access reste aussi une solution de compatibilité contrôlée, pas la norme privilégiée pour de nouveaux clients administrés.

L2TP et PPTP proposent ANY, CHAP, MS_CHAPv2 et PAP :

set vpn l2tp authentication <ANY|CHAP|MS_CHAPv2|PAP>
set vpn pptp authentication <ANY|CHAP|MS_CHAPv2|PAP>

Ne pas choisir uniquement le nom qui semble le plus fort. Le client, le serveur d’authentification et la méthode VPN configurée sous Authentication > Services doivent prendre en charge le même protocole. Avec Active Directory, la combinaison compatible peut différer d’un chemin RADIUS. ANY n’améliore pas la sécurité, mais élargit les méthodes acceptées et exige une décision de risque explicite.

Sophos ne documente aucun default pour ces deux valeurs CLI. Le rollback réutilise le token initial noté avec la même syntaxe, par exemple set vpn l2tp authentication MS_CHAPv2 si telle était la valeur initiale.

La MTU L2TP peut être réglée de 576 à 1460; le default documenté est 1410 :

set vpn l2tp mtu <576-1460>

La MTU L2TP ne modifie pas une interface IPsec site-to-site route-based ou policy-based. Elle n’est ajustée progressivement que pour un problème de fragmentation L2TP reproductible. Les transferts petits et grands, le DNS, l’authentification et la reconnexion doivent ensuite rester fonctionnels.

set vpn l2tp mtu 1410 restaure le default documenté. Si la MTU initiale était volontairement personnalisée, restaurer plutôt cette valeur notée.

Tester et restaurer de manière contrôlée

Pour revenir aux defaults explicitement documentés :

set vpn ipsec-performance anti-replay window-size 1024
set vpn ipsec-performance cookie_threshold 30
set vpn ipsec-performance use-resolved-ip-address disable
set vpn l2tp mtu 1410

Pour conn-remove-*, ipsec-max-workqueue-items et les deux protocoles d’authentification, Sophos ne donne pas de default. Une configuration personnalisée se restaure toujours avec la valeur notée avant le test, via la même syntaxe set vpn.

Modifier exactement une valeur globale par fenêtre de maintenance. Utiliser les mêmes tunnels, le même flux et la même transition WAN ou HA avant et après le changement. Pour IPsec, enregistrer l’état du tunnel, la Child SA, les compteurs, strongswan.log, charon.log, le CPU et Packet Loss. Pour le nettoyage des sessions, inclure VoIP, DNS et d’autres flux UDP.

Un ping réussi n’est pas une validation complète. Contrôler un flux existant, une nouvelle connexion, les deux directions et un test négatif maîtrisé. Current activities > IPsec connections montre les connexions IPsec et Current activities > Remote users les utilisateurs SSL VPN. L’aide des journaux associe IPsec à strongswan.log, ipsec_monitor.log et charon.log, SSL VPN à sslvpn.log et L2TP à l2tpd.log. Diagnostics > Packet capture montre les interfaces d’entrée et de sortie, l’identifiant de règle, le statut et le motif de rejet; utiliser un filtre précis sur les extrémités de test anonymisées afin d’éviter de collecter des données sans rapport. Après la modification, vérifier la valeur cible avec la méthode de lecture confirmée par Support. L’acceptation de la commande et le trafic observé ne prouvent pas à eux seuls quelle valeur globale est active.

Si l’amélioration attendue n’apparaît pas ou si de nouvelles interruptions surviennent, réappliquer exactement la valeur relevée avant le test. Contrôler à nouveau tunnel et trafic. Sans état initial connu, accès d’administration indépendant et symptôme défendable, ne pas exécuter de changement set vpn.

FAQ