Vérifier les ports réservés sur Sophos Firewall
Sophos Firewall réserve certains numéros de port aux services système internes. Ils restent réservés même lorsque le service correspondant n’est pas utilisé. Si le port souhaité figure ci-dessous, il faut en choisir un autre pour la fonction locale du pare-feu.
Cette vérification est indispensable pour WebAdmin, User Portal, VPN Portal, SSL VPN, WAF, un proxy ou un autre service du pare-feu. Elle ne suffit toutefois pas : un port non réservé peut déjà être utilisé ou créer un accès inattendu par partage de ports.
⚠️ Un port non réservé ne constitue pas une autorisation de sécurité. L’accessibilité, l’adresse IP WAN, le protocole, Administration > Device access, le partage de ports et le NAT en amont doivent être planifiés et testés séparément. Le trafic transféré exige aussi des règles de pare-feu adaptées ; ces règles ne contrôlent pas l’accès aux services système locaux.
Ports réservés dans SFOS 22
La liste suivante correspond à l’état de Sophos Firewall 22.0 vérifié le 4 septembre 2026. Les plages incluent leurs deux limites.
| Port | Port | Port |
|---|---|---|
4 | 11 | 22 |
23 | 24 | 25 |
41 | 53 | 58 |
109 | 142 | 161 |
179 | 197 | 198 |
273 | 299 | 300 |
414 | 415 | 417 |
418 | 419 | 464 |
500 | 514 | 546 |
547 | 885 | 886 |
992 | 994 | 1211 |
1415 | 1701 | 1723 |
1813 | 2121 | 2600 |
2709 | 2712 | 2718 |
2727 | 2736 | 2745 |
2754 | 2755 | 3001 |
3306 | 3400 | 3410 |
4128 | 4455 | 4500 |
4501 | 5432 | 5433 |
5434 | 5555 | 5685 |
5900–6000 | 6009 | 6060 |
6061 | 6177 | 6277 |
6379 | 6783 | 6789 |
7830 | 7831 | 8005 |
8009 | 8088 | 8089 |
8090 | 8091 | 8347 |
8384 | 9006 | 9090 |
9091 | 9092 | 9595 |
9687 | 9922 | 11001–11010 |
25315 | 25316 | 36878 |
39175 | 43076 | 49093 |
65001–65039 | 65123 | 65353 |
Sophos publie ces réservations sous forme de numéros de port, sans exception propre à un protocole. Il ne faut donc pas essayer de contourner une réservation en passant de TCP à UDP. Désactiver ou redémarrer un service ne libère pas non plus le numéro.
Port réservé, unique ou partagé ?
Pour rechercher une collision, le protocole et le port forment la combinaison : TCP 8443 et UDP 8443 sont deux combinaisons différentes. Une réservation produit porte en revanche sur le numéro de port lui-même.
- Réservé : aucune fonction locale ne peut reprendre un numéro de la liste.
- Unique : Web admin console et User portal exigent chacun un port unique, par défaut TCP
4444et TCP4443. - Partage restreint : si VPN Portal et SSL VPN utilisent le même port et protocole, Login Security ne fonctionne pas et VPN Portal devient accessible depuis les zones SSL VPN. WAF doit différer de VPN Portal et SSL VPN par l’adresse IP WAN, le port ou le protocole.
Consulter le partage de ports entre WebAdmin, les portails, WAF et SSL VPN pour la décision complète. La liste des ports réservés ne remplace pas ce contrôle.
Modifier et vérifier un port personnalisé
1. Relever l’état actuel et les dépendances
Avant le changement, noter le port, le protocole, l’adresse IP WAN et les zones autorisées sous Administration > Device access. Relever aussi les règles NAT/listeners en amont, URL, contrôles de supervision et profils VPN distribués afin de pouvoir rétablir exactement l’état initial.
Les principaux champs se trouvent sous Administration > Admin and user settings : Admin console HTTPS port, User portal HTTPS port et VPN portal HTTPS port. Pour SSL VPN : Remote access VPN > SSL VPN > SSL VPN global settings > Protocol et Port.
TCP 10443 n’est qu’un exemple adaptable. Bien qu’absent de la liste, il faut encore le comparer aux listeners locaux, aux conditions de partage et aux équipements en amont.
2. Contrôler l’accès et le partage avant d’enregistrer
Pour l’accès direct aux services d’administration locaux, Administration > Device access contrôle les zones autorisées. Une règle de pare-feu normale ne peut ni accorder cet accès ni résoudre une collision locale. Pour limiter l’accès à un hôte ou réseau précis, utiliser une Local service ACL exception rule plutôt qu’une large autorisation de zone.
⚠️ Chemin distinct via le proxy web : SFOS traite les requêtes HTTP et HTTPS du proxy web du pare-feu comme internes, et non comme provenant de la zone du client. Interdire le service pour cette zone sous Administration > Device access n’isole donc pas ce chemin via le proxy. Les utilisateurs ayant accès au proxy peuvent ainsi atteindre des services HTTPS locaux comme WebAdmin ou les portails. Il s’agit de l’accessibilité, et non d’un contournement de l’authentification ou de l’accès au tunnel SSL VPN. La vue d’ensemble des portails explique cette exception de Device Access.
Pour SSL VPN, vérifier aussi Override hostname, la redirection WAN et les configurations client. Les paramètres globaux figurent dans le fichier .ovpn importé ; les clients concernés ont donc besoin d’une configuration mise à jour.
3. Effectuer des tests positif, négatif et fonctionnel
Après l’enregistrement, se connecter depuis une zone autorisée avec l’URL complète ou un nouveau profil VPN, puis vérifier l’authentification, le tunnel et la fonction attendue. Tester ensuite depuis une zone interdite et s’assurer qu’aucun second service local n’est devenu accessible. Mettre enfin à jour NAT, supervision et favoris, puis effectuer un nouveau test. Une valeur acceptée par l’interface prouve seulement que le paramètre a pu être enregistré, pas que le service est accessible ni que l’authentification ou la connexion VPN fonctionne.
Les tests positif et négatif de l’accès direct restent nécessaires. Si les clients peuvent utiliser le proxy web du pare-feu, tester également l’URL HTTPS complète et nouvelle du service WebAdmin ou du portail réellement modifié via ce même proxy : depuis la zone réelle du client et selon l’accès attendu. Consigner si le service est accessible via le proxy et si le résultat correspond à l’autorisation ou à l’interdiction prévue. Un accès direct refusé ne prouve pas l’isolation de ce chemin distinct ; une page de connexion accessible ne prouve pas encore une authentification réussie.
4. Rétablir l’état précédent en cas d’échec
Réinscrire le port et le protocole relevés dans le même champ, puis remettre les règles NAT/listeners, profils, URL et contrôles de supervision à leurs anciennes valeurs. Répéter les tests positif et négatif : le retour arrière doit restaurer tout l’état précédent, et non simplement utiliser un autre port accessible.
Les connexions sortantes du pare-feu vers Sophos constituent un autre sujet, décrit dans Autoriser les services et ports Sophos sortants.
Erreurs typiques
Le port souhaité ne peut pas être enregistré
Vérifier le numéro, y compris les trois plages, puis les services locaux et le partage de ports. Un test de socket libre ou une règle de pare-feu ne lève pas une réservation produit.
Le port n’est pas réservé, mais reste inaccessible depuis l’extérieur
Vérifier Administration > Device access, les exceptions ACL locales, l’adresse IP WAN, le protocole, le NAT en amont, le filtrage du fournisseur et le service actif. Pour SSL VPN, Override hostname doit correspondre à une adresse accessible aux clients.
Les anciens profils cessent de fonctionner après un changement de port
Les profils VPN exportés, URL, systèmes de supervision et redirections peuvent encore contenir l’ancien port. Les mettre à jour ou tous les rétablir à la valeur relevée lors du retour arrière.