Portali Sophos: SophosID, Central, supporto e accessi firewall
Sophos mette a disposizione diversi portali che, nell’uso quotidiano, possono essere facilmente confusi: SophosID, Sophos Central, Support Portal, WebAdmin locale del firewall, User Portal, VPN Portal, Captive Portal e la documentazione. Per gli amministratori è importante sapere a cosa serve ciascun portale, quali credenziali utilizzare e quali accessi sono critici per la sicurezza.
Questa panoramica descrive i principali portali Sophos. L’articolo è rivolto soprattutto agli amministratori che gestiscono Sophos Firewall, Sophos Central o Remote Access e che, in caso di assistenza, devono capire rapidamente dove svolgere una determinata attività.
Panoramica rapida
I portali principali sono:
- SophosID: account Sophos personale per accedere ai servizi Sophos e alle funzioni di supporto e gestione delle licenze.
- Sophos Central: piattaforma di gestione cloud per prodotti, utenti, dispositivi, licenze, gestione dei firewall e report.
- Sophos Support Portal: gestione dei casi di supporto, degli RMA, della Sophos KB e delle comunicazioni con il supporto.
- Sophos Firewall WebAdmin: amministrazione locale del firewall per regole, VPN, NAT, certificati, log, firmware e Device Access.
- User Portal: funzioni per gli utenti, come OTP, quarantena, download o funzionalità Remote Access precedenti.
- VPN Portal: Remote Access con download di Sophos Connect, configurazioni VPN e accesso degli utenti.
- Captive Portal: autenticazione via browser per l’accesso alla rete da parte di ospiti o utenti interni.
- Sophos Docs e Release Notes: manuali aggiornati, note di rilascio e limitazioni note.
Non tutti i portali sono rilevanti in ogni ambiente. Un’installazione composta esclusivamente da Sophos Firewall, senza Central Endpoint, richiede accessi diversi rispetto a un’azienda che utilizza Sophos Central, MDR, ZTNA e più firewall.
Portali Sophos per account e cloud
Questi portali si trovano al di fuori del firewall locale e riguardano account, licenze, gestione cloud o supporto. Diventano particolarmente importanti quando sono coinvolti più amministratori, Sophos Central o un caso di supporto.
SophosID
SophosID è l’account Sophos personale. Viene utilizzato per diversi servizi Sophos, ad esempio per il supporto, le funzioni relative ad account e licenze o l’accesso a determinati portali Sophos.
Aprire SophosID:
Aspetti operativi importanti:
- Gli account SophosID devono essere personali e non condivisi come login di team.
- È opportuno attivare MFA quando Sophos la offre per l’accesso in questione.
- In caso di uscita di un collaboratore, gli accessi personali devono essere rimossi da Sophos Central e dai contesti di supporto e licenza.
- Per i fornitori di servizi o in presenza di più amministratori, ruoli e responsabilità devono essere documentati.
Se occorre trasferire Sophos Firewall a un altro account, consultare Trasferire Sophos Firewall a un altro account Sophos Central.
Sophos Central
Sophos Central è la piattaforma di gestione cloud per molti prodotti Sophos attuali. A seconda della licenza, consente di gestire Endpoint, Server, Email, Wireless, ZTNA, Firewall Management, Reporting, MDR/XDR e altre funzionalità.
Aprire Sophos Central:
Altri punti di accesso:
Per Sophos Firewall, Sophos Central è particolarmente rilevante quando i firewall devono essere registrati, gestiti centralmente, inventariati o inclusi in Central Firewall Reporting. La procedura di collegamento è descritta in Collegare Sophos Firewall a Sophos Central. Per la reportistica, consultare Attivare Central Firewall Reporting.
Aspetti importanti per gli amministratori:
- Gli amministratori di Central devono disporre di account personali e ruoli adeguati.
- MFA e ruoli amministrativi devono essere verificati regolarmente.
- Lo stato e le scadenze delle licenze devono rientrare nel processo operativo.
- Nelle versioni SFOS attuali, le modifiche effettuate tramite Sophos Central possono essere tracciate in modo più chiaro negli Audit Logs.
- In presenza di più account Central, deve essere chiaro quale tenant contiene ciascun firewall e le relative licenze.
Per controllare le licenze, consultare Verificare le licenze Sophos Central. Per le autorizzazioni in Central è rilevante Ruoli amministrativi in Sophos Central. Per strutture più grandi, Che cos’è Sophos Central Enterprise? è il punto di partenza più adatto.
Sophos Support Portal
Nel Sophos Support Portal si aprono e si gestiscono i casi di supporto e gli RMA. È inoltre il punto di accesso a molti articoli pubblici della Sophos KB.
Aprire il Support Portal:
➜ Aprire Sophos Support Portal
Prima di aprire un caso di supporto è opportuno chiarire:
- È disponibile un diritto di supporto valido o una licenza adeguata?
- Quale numero di serie o Central Tenant ID è interessato?
- Quale versione del firmware e quale appliance sono interessate, e quali log e messaggi di errore sono rilevanti?
- Sono disponibili screenshot, intervalli temporali e passaggi riproducibili?
- Chi è il referente interno per eventuali domande?
La procedura pratica è descritta in Come aprire un ticket di supporto Sophos. Se Sophos deve accedere a un firewall, l’accesso deve essere configurato in modo controllato e successivamente rimosso. A questo scopo, consultare Configurare l’accesso al supporto Avanet su Sophos Firewall.
Portali locali di Sophos Firewall
I portali seguenti vengono eseguiti su Sophos Firewall o nelle sue immediate vicinanze. Poiché sono più vicini alla rete di produzione, devono essere attivati, denominati e protetti con particolare attenzione.
WebAdmin locale di Sophos Firewall
La WebAdmin Console è l’interfaccia di amministrazione locale di Sophos Firewall. In genere vi si accede tramite l’indirizzo IP del firewall e la porta HTTPS configurata.
L’indirizzo predefinito è:
https://<IP-o-FQDN-firewall>:4444
Per impostazione predefinita, l’accesso è consentito dalla zona LAN. Le altre zone vengono abilitate in Administration > Device access. WebAdmin non deve essere raggiungibile dalla zona WAN; per l’amministrazione esterna sono preferibili VPN o ZTNA, una rete di gestione separata e Local Service ACL Exception Rules con ambito strettamente limitato.
Attività tipiche:
- Configurare regole firewall, NAT e routing
- Gestire VPN, certificati e autenticazione
- Verificare log, Packet Capture e diagnostica
- Eseguire aggiornamenti firmware e backup
- Proteggere Device Access, MFA e accessi amministrativi
La WebAdmin Console non è un normale portale web, ma un accesso diretto alla gestione del firewall. Deve essere raggiungibile solo da reti affidabili. L’articolo di approfondimento principale è Proteggere l’accesso a Sophos Firewall: configurare correttamente Device Access.
Per iniziare con un nuovo firewall, consultare Sophos Firewall Getting Started. Per MFA degli amministratori è rilevante Attivare MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access.
Chi apre WebAdmin e i portali tramite FQDN anziché tramite indirizzo IP dovrebbe comprendere anche la selezione condivisa del certificato. Importare e assegnare certificati su Sophos Firewall spiega SAN, catena CA, chiave privata e sostituzione sicura.
User Portal, VPN Portal e Captive Portal
User Portal e VPN Portal vengono spesso confusi. Entrambi sono servizi locali di Sophos Firewall, ma svolgono funzioni diverse e devono essere attivati solo quando sono realmente necessari.
Da SFOS 20, User Portal e VPN Portal sono separati in modo più netto. Il VPN Portal utilizza per impostazione predefinita la porta HTTPS 443. Lo User Portal utilizza per impostazione predefinita la porta 4443. In caso di upgrade o ripristino da una versione precedente a SFOS 20, il VPN Portal assume la precedente porta dello User Portal; lo User Portal passa alla porta 4443 oppure, se questa è già occupata, automaticamente alla porta 65040.
Lo User Portal mostra dati personali e, a seconda della configurazione, ad esempio utilizzo di Internet, quarantena e-mail, eccezioni, Policy Overrides, registrazione OTP e altri download client. Da SFOS 20, i client Remote Access e le configurazioni VPN si trovano nel VPN Portal.
Una regola pratica utile:
- User Portal (
4443): per utenti interni o già collegati in modo sicuro, ad esempio per OTP, dati personali, quarantena e Policy Overrides. Sophos sconsiglia di abilitare lo User Portal per la zona WAN. - VPN Portal (
443): per utenti Remote Access, Sophos Connect, profili SSL VPN e configurazioni Remote Access. Diventa visibile a un utente solo quando l’utente o il relativo gruppo è assegnato a una Remote Access Policy. - Captive Portal (
8090): per utenti nella rete, login via browser, regole basate sull’utente o accesso ospiti. Un errore tipico consiste nel confonderlo con il VPN Portal o nell’utilizzarlo senza un concetto chiaro di logout e sessione.
Aspetti importanti:
- Tutti e tre i portali sono superfici di autenticazione e quindi critici per la sicurezza.
- La raggiungibilità viene controllata tramite Administration > Device access.
- Lo User Portal non deve essere raggiungibile dalla zona WAN. Il VPN Portal può essere raggiungibile dalla WAN per il Remote Access, ma deve essere protetto con MFA, un certificato adeguato, policy restrittive e monitoraggio dei login.
- Spesso i portali precedenti rimangono aperti anche se, dopo il rollout, gli utenti non ne hanno più bisogno.
- I profili
.ovpndistribuiti manualmente devono essere scaricati e importati di nuovo quando cambiano la porta SSL VPN, il protocollo, l’interfaccia o il certificato server SSL. Un semplice aggiornamento di Sophos Connect non rende invalidi i profili esistenti.
⚠️ Caso particolare di Device Access: quando si utilizza il Web Proxy del firewall, SFOS tratta le relative richieste HTTP e HTTPS come traffico interno. Gli utenti con accesso al proxy possono quindi raggiungere servizi HTTPS locali come WebAdmin, Captive Portal, VPN Portal o User Portal anche se il rispettivo servizio non è attivato per la loro zona in Device access. Questo percorso deve essere verificato separatamente durante l’hardening.
Per scegliere la soluzione Remote Access, consultare Sophos Connect o SSL VPN: quale soluzione Remote Access scegliere?. Per aggiornamenti dei client e manutenzione dei profili, consultare Verificare la versione di Sophos Connect Client e aggiornarla in sicurezza.
Se un utente ha effettuato l’accesso al VPN Portal ma i download di configurazioni come .ovpn falliscono in modo imprevisto, oltre alle autorizzazioni e a MFA è opportuno verificare anche il limite degli User ID di Sophos Firewall.
Per i nuovi ambienti SSL VPN, occorre innanzitutto verificare la configurazione lato firewall e le dipendenze del portale. La procedura è descritta in Configurare SSL VPN Remote Access su Sophos Firewall.
Pianificare certificati, FQDN e nomi dei portali
Per gli utenti, i problemi dei portali spesso sembrano errori di login o VPN, ma possono avere origine già nel DNS e nei certificati. I certificati preinstallati e firmati localmente generano normalmente un avviso di attendibilità nei browser. Per i portali di produzione è quindi opportuno utilizzare un certificato corrispondente al FQDN e considerato attendibile dai client. Se WebAdmin, VPN Portal, User Portal, Captive Portal e WAF utilizzano nomi host simili o lo stesso indirizzo WAN, i nomi devono essere separati e documentati in modo consapevole.
Pianificazione tipica:
- WebAdmin: ad esempio
admin.example.com. Renderlo raggiungibile solo dalle reti di gestione, utilizzare un certificato adeguato e attivare MFA. - VPN Portal: ad esempio
vpn.example.com. Il certificato deve corrispondere al profilo di download e Device Access deve essere configurato consapevolmente. - User Portal: ad esempio
portal.example.com. Lasciarlo attivo solo se le funzionalità per gli utenti sono realmente necessarie. - Captive Portal: ad esempio
login.example.com. Verificare certificato, zona, timeout della sessione e comportamento di logout. - Applicazione WAF: ad esempio
app.example.com. Verificare insieme regola WAF, SNI, domini e host backend.
Se il firewall deve ottenere autonomamente certificati pubblici, consultare Configurare certificati Let’s Encrypt su Sophos Firewall. Per condividere certificati wildcard tra più sistemi, Creare un certificato wildcard Let’s Encrypt è il punto di partenza più adatto.
La sequenza operativa è importante: prima pianificare FQDN, DNS e certificato, poi limitare l’accesso al portale tramite Administration > Device access e Local Service ACL, quindi distribuire i profili Remote Access o le regole WAF. Dopo una modifica alla porta SSL VPN, al protocollo, all’interfaccia o al certificato server SSL, i profili .ovpn distribuiti manualmente devono essere importati di nuovo. In caso di semplici modifiche a FQDN o DNS, occorre verificare separatamente se profili, segnalibri e monitoraggio contengono ancora il nome precedente.
Inquadrare correttamente il Captive Portal
Il Captive Portal non è un portale Remote Access. Viene utilizzato quando gli utenti della rete devono prima autenticarsi tramite browser, affinché il firewall possa associare il traffico a un’identità utente. Può essere utile per ospiti, dispositivi BYOD o ambienti senza identificazione trasparente degli utenti.
L’indirizzo predefinito è https://<IP-firewall>:8090. Nelle reti dual-stack, gli utenti devono autenticarsi separatamente per le destinazioni IPv4 e IPv6. Se è richiesta MFA, l’utente deve prima registrare l’OTP nello User Portal e quindi utilizzare password e OTP nel Captive Portal.
Casi d’uso tipici:
- Ospiti o dispositivi BYOD devono autenticarsi prima che venga consentito l’accesso a Internet.
- Le regole firewall basate sull’utente devono essere applicate anche quando non sono disponibili STAS, SATC o altri meccanismi trasparenti.
- Singole reti richiedono una semplice associazione degli utenti senza un’integrazione completa degli endpoint.
Il Captive Portal non deve essere considerato un sostituto di una corretta segmentazione della rete. Se una rete richiede una protezione particolare, la separazione tramite zone, VLAN e regole firewall chiare rimane più importante. I fondamenti sono descritti in Pianificare zone e interfacce su Sophos Firewall. Per l’integrazione tradizionale degli utenti con Active Directory, consultare Integrare Active Directory in Sophos Firewall.
Se si desidera utilizzare Captive Portal con Microsoft Entra ID SSO, la procedura è diversa da quella per VPN Portal o Sophos Connect. Consultare Configurare Microsoft Entra ID SSO per Sophos Firewall Captive Portal.
Aspetti operativi importanti:
- Captive Portal richiede che i servizi locali del firewall siano raggiungibili. Device Access e Local Service ACL devono essere configurati di conseguenza.
- I timeout delle sessioni devono essere adeguati all’ambiente. Sessioni troppo lunghe rendono meno precisa l’associazione degli utenti, mentre sessioni troppo brevi disturbano gli utenti.
- Logout, Group Mapping e Log Viewer devono essere verificati con utenti di prova reali.
- Le opzioni del Captive Portal per il logout automatico non si applicano agli utenti che accedono con Microsoft Entra ID SSO. Questo flusso richiede un test specifico di sessione e logout.
- Nelle reti con sistemi sensibili, il Captive Portal generalmente non è abbastanza robusto come unico controllo.
Se il Captive Portal non è raggiungibile da una rete, non si devono modificare per prima cosa le normali regole firewall. Spesso la causa si trova in Administration > Device access, nelle Local Service ACL Exception Rules, nel DNS, nel certificato o in un’assegnazione errata della zona. Per il controllo dell’accesso locale, consultare Device Access e Local Service ACL su Sophos Firewall.
Operatività, documentazione e sicurezza
Oltre alla scelta del portale corretto, è essenziale verificare regolarmente accessi, documentazione e processi operativi.
Verificare in modo mirato la documentazione
Per i dettagli tecnici aggiornati, Sophos Docs e Release Notes ufficiali sono più importanti di vecchi articoli di blog o screenshot. In particolare per versioni SFOS, Sophos Connect, modifiche delle licenze, supporto delle piattaforme e limitazioni note, le informazioni dipendenti dalla versione devono essere verificate prima di una modifica in produzione. Nell’articolo stesso, queste fonti devono essere collegate solo quando l’amministratore deve realmente aprirle per il passaggio operativo specifico.
Per gli aggiornamenti firmware, non conta soltanto la disponibilità del download. Prima di un aggiornamento sono importanti piattaforma, percorso di upgrade, backup, stato HA e blocchi noti. La procedura è descritta in Verificare Sophos Firewall prima dell’upgrade a SFOS 22 e Aggiornamento firmware di Sophos Firewall: preparazione e Best Practices.
Controllo di sicurezza per gli accessi ai portali
I portali sono comodi, ma ogni login costituisce una potenziale superficie di attacco. È quindi opportuno verificare regolarmente:
- Quali amministratori SophosID e Central esistono ancora?
- MFA è attiva per SophosID, Sophos Central e gli amministratori del firewall?
- WebAdmin, SSH, User Portal, VPN Portal e SSL VPN sono raggiungibili solo dove sono necessari?
- Esistono account amministrativi condivisi che devono essere sostituiti?
- I tentativi di login non riusciti vengono verificati regolarmente?
- I vecchi profili VPN, gli utenti precedenti e gli ex fornitori di servizi sono stati rimossi?
- È disponibile un backup recente e sono noti gli accessi di ripristino?
Per i servizi locali del firewall, Device Access è il punto di controllo centrale. Per una conservazione più lunga dei log o per il Security Monitoring è utile Inviare i log di Sophos Firewall a un SIEM tramite Syslog.