Usare in sicurezza le impostazioni VPN globali di Sophos Firewall

La Device Console di Sophos Firewall offre sotto set vpn impostazioni globali per il failover VPN, l’elaborazione IPsec e i protocolli legacy L2TP e PPTP. Non riguardano solo la connessione che si sta analizzando. Un test non mirato può influire su altri tunnel, eliminare sessioni esistenti o indebolire una funzione di protezione.

Non è una ricetta generale per le prestazioni: ipsec-max-workqueue-items, la finestra anti-replay e use-resolved-ip-address non vanno impostati preventivamente su valori maggiori o su enable. Sophos li definisce impostazioni avanzate da usare per una specifica esigenza di rete o su indicazione di Sophos Support.

Per i normali problemi di tunnel si parte dal troubleshooting VPN IPsec, che verifica IKE, Child SA, routing, NAT, regole e flusso reale dei pacchetti. Gli switch globali descritti qui diventano rilevanti solo quando il sintomo corrisponde esattamente al loro scopo.

Registrare lo stato iniziale prima di ogni modifica

I comandi vengono eseguiti in 4. Device Console. Prima di impostare un valore si documentano versione e build SFOS, orario, tunnel interessati, flusso di test previsto e un accesso di gestione indipendente. Si crea inoltre un backup aggiornato della configurazione. La guida CLI di SFOS 22 documenta per questi valori solo set vpn, non un comando di lettura. La documentazione delle modifiche e i backup sono elementi di supporto, ma non dimostrano il valore attualmente attivo. Sophos Support deve confermare un metodo per leggere il valore esatto nella build installata. Prima della modifica si registrano l’output e il comando set vpn di ripristino corrispondente. Se Support non può confermare un metodo di lettura o non è possibile stabilire il valore attuale, la procedura si interrompe e l’impostazione globale non va modificata.

La guida SFOS 22 specifica un default solo per MTU L2TP, anti-replay, soglia cookie e indirizzo peer risolto. Nemmeno questi default dimostrano che l’appliance specifica abbia ancora una configurazione invariata.

Il ripristino utilizza sempre il valore iniziale determinato in modo sicuro. La sintassi documentata non prevede un parametro default universale. I comandi per i valori predefiniti riportati più avanti sono adatti solo quando la modifica intende tornare esplicitamente al valore SFOS 22 documentato; non devono sovrascrivere un valore iniziale volutamente personalizzato.

Sessioni durante le transizioni di tunnel e WAN

Un possibile scopo di conn-remove-tunnel-up è la rimozione delle connessioni esistenti quando si attiva un tunnel IPsec. Le guide SFOS 22 e SFOS 23 confrontate elencano il parametro, ma non descrivono separatamente questo effetto specifico. Prima di una modifica, Sophos Support deve confermare l’effetto e la sintassi per la build installata; senza conferma, l’impostazione resta invariata. Può servire quando un flusso è iniziato su un altro percorso e vi rimane bloccato dopo l’attivazione del tunnel. La rimozione può però interrompere sessioni produttive. La guida SFOS 22 non documenta un default; va quindi ripristinato il valore determinato in modo sicuro prima della modifica.

Le due righe sono alternative, non una sequenza. Per la modifica, scegliere una sola riga con il valore di destinazione giustificato. Per il rollback, eseguire separatamente solo la riga che ripristina il valore iniziale determinato in modo sicuro prima della modifica; l’altra riga non costituisce un percorso automatico di ripristino.

set vpn conn-remove-tunnel-up enable
set vpn conn-remove-tunnel-up disable

conn-remove-on-failover controlla la pulizia globale durante failover e failback. all riguarda tutte le connessioni, mentre non-tcp limita la pulizia al traffico non TCP come UDP o ICMP. Il valore appropriato non è quindi una decisione solo VPN: VoIP, videoconferenze, DNS e altre applicazioni UDP devono essere osservati nella stessa finestra di test.

Le due righe sono alternative, non una sequenza. Per la modifica, scegliere una sola riga con il valore di destinazione giustificato. Per il rollback, eseguire separatamente solo la riga che ripristina il valore iniziale determinato in modo sicuro prima della modifica; l’altra riga non costituisce un percorso automatico di ripristino.

set vpn conn-remove-on-failover all
set vpn conn-remove-on-failover non-tcp

La guida SFOS 22 non specifica un default per i due parametri conn-remove-*. Il rollback ripristina quindi esattamente il valore iniziale documentato.

In HA i protocolli vanno testati separatamente. Secondo la guida HA di SFOS 22, i tunnel IPsec route-based, policy-based e remote access vengono ripristinati durante il failover. Per il traffico nel tunnel IPsec, il failover di sessione supporta UDP e ICMP, ma non TCP. Gli switch conn-remove-* non sostituiscono il design HA né un test con un flusso TCP e uno UDP esistenti.

Distinguere le impostazioni con ambito diverso

• Profilo IPsec: in System > Profiles > IPsec profiles, Use strict profile e Pass data in compressed format valgono solo per le connessioni che usano quel profilo. La guida del profilo collega il profilo strict ai problemi di handshake causati dalla frammentazione e specifica che la compressione avviene prima della cifratura. Non sono switch globali.
• SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings vale per tutte le policy SSL VPN remote access e per il file .ovpn. La guida SSL VPN indica per Disconnect dead peer after i default 180 secondi con TCP e 100 con UDP; con UDP l’intervallo è 60-110. Disconnect idle peer after è espresso in minuti, senza un default documentato. Questi valori non valgono per IPsec o L2TP.
• Fonti di autenticazione SSL-VPN: La guida API per SFOS 22 e 23 distingue tre opzioni per SSLVPNAuthenticationMethods: SameAsVPN eredita le fonti di autenticazione configurate per VPN, SameAsFirewall quelle configurate per il firewall e Custom utilizza server di autenticazione selezionati appositamente. Per questo elenco personalizzato di server, AuthenticationServer è documentato come array opzionale di stringhe che può contenere più valori. L’esempio relativo alle fonti colloca le voci sotto SSLVPNAuthenticationServerList, all’interno di SSLVPNAuthentication. Questa selezione non è né un timeout SSL-VPN né il valore del protocollo L2TP/PPTP descritto di seguito. La guida non documenta né l’ordine dei server o il fallback, né un valore predefinito o il comportamento di un elenco di server quando le fonti sono ereditate; pertanto, qui non se ne ricava alcun esempio XML eseguibile.
• L2TP nell’interfaccia web: Remote access VPN > L2TP > L2TP global settings vale per tutte le policy L2TP e controlla attivazione, intervallo di assegnazione, assegnazione RADIUS, DNS, WINS e membri. L’intervallo documentato deve essere privato, appartenere a una sottorete /24 o più piccola e contenere al massimo 254 indirizzi. Sophos afferma che gli intervalli L2TP e PPTP non devono sovrapporsi alle configurazioni IPsec di accesso remoto o SSL VPN; questa pagina non afferma che gli intervalli L2TP e PPTP non possano sovrapporsi tra loro. L’autenticazione CLI descritta di seguito vale per L2TP e PPTP; la MTU CLI resta specifica di L2TP.
• Valori globali del firewall: tcp-est-idle-timeout, udp-timeout, udp-timeout-stream e fragmented-traffic di set advanced-firewall non sono impostazioni VPN. La guida CLI indica 2700-432000 secondi per TCP stabilito, 30-3600 per ciascun timeout UDP e allow come default del traffico frammentato. Non modificarli per un solo tunnel.

Prestazioni IPsec e funzioni di protezione

Il gruppo ipsec-performance contiene quattro funzioni molto diverse. Il nome può indurre a esperimenti di tuning, anche se solo una funzione definisce direttamente la dimensione di una coda di lavoro.

Modificare la workqueue solo per un collo di bottiglia dimostrato

ipsec-max-workqueue-items accetta valori da 1024 a 10240. La coda contiene il lavoro per l’elaborazione IPsec. Un valore maggiore non garantisce più throughput e non risolve Packet Loss, problemi MTU, risultati scarsi con un singolo stream o una linea WAN satura.

set vpn ipsec-performance ipsec-max-workqueue-items <1024-10240>

Una modifica ha senso solo quando un test di carico riproducibile, l’utilizzo del sistema e la diagnostica Sophos indicano esattamente questo collo di bottiglia. Prima si verificano separatamente MTU e MSS, latenza, Packet Loss, profilo di cifratura, IPsec Acceleration e stream paralleli. Se non migliora, si ripristina il valore iniziale registrato.

Sophos non documenta un default per ipsec-max-workqueue-items. Il rollback usa set vpn ipsec-performance ipsec-max-workqueue-items <valore-iniziale-registrato>.

La finestra anti-replay è una funzione di sicurezza

IPsec registra nella finestra replay quali pacchetti ha già visto durante la decifratura. Può così rilevare e scartare pacchetti ripetuti. SFOS 22 accetta 0, 32, 64, 128, 256, 512, 1024, 2048 e 4096; il default documentato è 1024.

set vpn ipsec-performance anti-replay window-size <valore>

Una finestra più ampia può essere rilevante quando i pacchetti vengono fortemente riordinati su percorsi paralleli. Non è uno switch generale per il throughput. Le guide SFOS 22 e SFOS 23 confrontate elencano 0, ma non ne spiegano l’effetto sulla protezione anti-replay. Non utilizzarlo come soluzione a un problema senza che Sophos Support abbia confermato l’effetto e le conseguenze sulla sicurezza per la build installata. Un test simile richiede una finestra isolata, un’indicazione esplicita di Sophos Support e un rollback subito disponibile.

set vpn ipsec-performance anti-replay window-size 1024 ripristina il default documentato. Se il valore iniziale era personalizzato, ripristinare esattamente quel valore.

La soglia dei cookie IKEv2 protegge le SA semiaperte

Secondo Sophos, la validazione dei cookie è sempre attiva ed è disponibile solo per IKEv2. cookie_threshold non la attiva o disattiva. Quando il numero di IKE SA simultaneamente semiaperte supera la soglia, il responder chiede un cookie all’initiator. Lo stato di creazione viene così protetto dal carico DoS. Il default documentato è 30.

set vpn ipsec-performance cookie_threshold <numero>

Un valore più basso o più alto va scelto solo in base al carico IKE reale e alla diagnostica del supporto. Non corregge Child SA mancanti, proposals incompatibili o errori di autenticazione. Durante la validazione si osservano nuove connessioni IKEv2, strongswan.log, carico CPU e accessi simultanei legittimi.

set vpn ipsec-performance cookie_threshold 30 ripristina il default documentato. Una soglia personalizzata si ripristina con la stessa sintassi.

Usare l’indirizzo risolto del peer solo per il caso Charon documentato

use-resolved-ip-address è destinato a molti tunnel IPsec site-to-site con peer FQDN e risoluzione DNS lenta. Secondo Sophos, proprio questa combinazione può bloccare un thread charon. Con enable, il firewall usa l’indirizzo già risolto invece di avviare il tunnel risolvendo di nuovo il FQDN remoto.

Le due righe sono alternative, non una sequenza. Per la modifica, scegliere una sola riga con il valore di destinazione giustificato. Per il rollback, eseguire separatamente solo la riga che ripristina il valore iniziale determinato in modo sicuro prima della modifica; l’altra riga non costituisce un percorso automatico di ripristino.

set vpn ipsec-performance use-resolved-ip-address enable
set vpn ipsec-performance use-resolved-ip-address disable

L’FQDN deve essere già stato risolto correttamente. Il default documentato è Off; set vpn ipsec-performance use-resolved-ip-address disable lo ripristina. Se enable era il valore iniziale registrato, usarlo invece come rollback personalizzato. L’opzione non sostituisce un DNS funzionante o resolver raggiungibili. Prima dell’attivazione si correlano tempo di risoluzione, indirizzo peer risolto, numero di tunnel e charon.log. Dopo un cambio DNS o provider si conferma che il firewall utilizzi il nuovo indirizzo peer nei tempi previsti.

Controllo rigoroso delle policy IPsec

La guida CLI attuale di SFOS 22 documenta ipsec-strict-policy-check come opzione separata di set vpn, non come parte di ipsec-performance. Le Security Associations (SA) sono le associazioni di sicurezza del traffico IPsec protetto. Con enable, Sophos Firewall verifica la coppia di sottoreti rispetto alla SA associata; il traffico IPsec in ingresso che non corrisponde alla SA prevista può essere scartato. Non si tratta di Use strict profile in System > Profiles > IPsec profiles, che riguarda problemi di handshake causati dalla frammentazione nell’ambito del profilo.

Considerare disable solo per il caso di compatibilità documentato: un peer di terze parti usa SA condivise per più coppie di sottoreti nei tunnel IPsec site-to-site. Questo disattiva il controllo rigoroso dell’associazione. Problemi generici di tunnel, routing o autenticazione non lo giustificano; prima occorre dimostrare che si applica esattamente questo caso di SA condivise.

Prima di impostare il valore: sono necessari un accesso di gestione indipendente, un backup aggiornato e un metodo di lettura del valore attivo confermato da Sophos Support per la build installata. Registrare prima l’output, il valore attuale e il ripristino esatto di quel valore iniziale. Senza un metodo di lettura affidabile o un valore attuale determinato in modo sicuro, non modificare l’impostazione.

La sintassi documentata per 4. Device Console è:

set vpn ipsec-strict-policy-check [enable | disable]

Le parentesi quadre indicano alternative: sostituirle solo con il valore di destinazione giustificato, enable o disable. La guida attuale di SFOS 22 non fornisce né un valore predefinito né un getter/comando di lettura per questa opzione. Qui non viene quindi proposto alcun comando di default, reset o lettura inventato. Le note di rilascio riportano questa opzione come novità di SFOS 22.0 MR3 Build 576 del 16 ottobre 2026. La sua presenza nella guida generale di SFOS 22 non dimostra che sia disponibile nelle build 22.0 precedenti; su queste non se ne deve presumere la disponibilità.

In una finestra di manutenzione controllata modificare solo questo valore globale. Prima e dopo, testare le coppie di sottoreti interessate e i tunnel fino a quel momento non interessati, con flussi esistenti e nuovi in entrambe le direzioni. Test negativi controllati del traffico devono anche confermare che il traffico non consentito resti bloccato; analizzare le associazioni SA e i motivi di scarto con i controlli IPsec e di cattura pacchetti della sezione di test e ripristino più avanti. Rileggere il valore di destinazione con il metodo confermato da Support. Se non vi è miglioramento o compaiono regressioni, ripristinare esattamente il valore iniziale registrato con la stessa sintassi e rileggerlo, quindi ricontrollare tunnel e traffico utente. I quattro comandi dei valori predefiniti SFOS 22 riportati sotto non ripristinano questa impostazione.

Compatibilità L2TP, MTU e PPTP

set vpn include anche i protocolli di autenticazione per L2TP e PPTP e la MTU L2TP globale. Ciò non rende PPTP adatto a nuovi ambienti. PPTP è obsoleto e non dovrebbe essere introdotto. Anche L2TP Remote Access rimane una soluzione di compatibilità controllata, non lo standard preferito per nuovi client gestiti.

Per L2TP e PPTP sono disponibili ANY, CHAP, MS_CHAPv2 e PAP:

Scegliere solo la riga relativa al protocollo da modificare e sostituire il segnaposto con un solo token supportato sia dal client sia dalla fonte di autenticazione: ANY, CHAP, MS_CHAPv2 o PAP. Non eseguire entrambe le righe come sequenza. Il rollback ripristina esclusivamente il token di questo protocollo determinato prima della modifica.

set vpn l2tp authentication <ANY|CHAP|MS_CHAPv2|PAP>
set vpn pptp authentication <ANY|CHAP|MS_CHAPv2|PAP>

La selezione delle fonti di autenticazione VPN in Authentication > Services risponde a una domanda diversa rispetto al valore del protocollo CLI: quali fonti verificano l’accesso e, a questo scopo, VPN eredita la selezione del firewall oppure utilizza server di autenticazione selezionati appositamente? La guida API per SFOS 22 e 23 descrive il riutilizzo dell’autenticazione del firewall e documenta AuthenticationServer come array opzionale di stringhe che ammette più valori di server. Da ciò non si può dedurre nulla sull’ordine o sul fallback. ANY, CHAP, MS_CHAPv2 e PAP selezionano invece il metodo di autenticazione per L2TP o PPTP; non selezionano un elenco di server.

Nessun esempio eseguibile di modalità API VPN: In entrambe le guide API confrontate, l’esempio relativo alle fonti mostra per VPNAuthenticationMethods i valori SameAsFirewall e Custom, mentre la riga riepilogativa dei parametri obbligatori nella tabella ammette solo on e off. Questa contraddizione non fornisce un valore di modalità eseguibile in modo affidabile. Pertanto, questo articolo non contiene né un’istruzione API né un esempio XML a tale scopo. La spiegazione precedente si limita a distinguere le fonti di autenticazione dal protocollo CLI; non è una guida alla configurazione del portale utente.

Il valore non si sceglie solo in base al nome che sembra più forte. Client, server di autenticazione e metodo VPN configurato in Authentication > Services devono supportare lo stesso protocollo. Con Active Directory, la combinazione supportata può differire da un percorso RADIUS. ANY non migliora la sicurezza: amplia i metodi accettati e richiede una decisione di rischio consapevole.

Sophos non documenta un default per questi due valori CLI. Il rollback usa il token iniziale registrato con la stessa sintassi, ad esempio set vpn l2tp authentication MS_CHAPv2 se quello era il valore iniziale.

La MTU L2TP può essere impostata da 576 a 1460; il default documentato è 1410:

set vpn l2tp mtu <576-1460>

La MTU L2TP non modifica un’interfaccia IPsec site-to-site route-based o policy-based. Viene regolata gradualmente solo per un problema di frammentazione L2TP riproducibile. Dopo la modifica devono continuare a funzionare trasferimenti grandi e piccoli, DNS, autenticazione e riconnessione.

set vpn l2tp mtu 1410 ripristina il default documentato. Se la MTU iniziale era intenzionalmente personalizzata, ripristinare invece quel valore registrato.

Testare e ripristinare in modo controllato

Le quattro righe seguenti mostrano esempi indipendenti dei valori predefiniti di SFOS 22 esplicitamente documentati, non una sequenza: non eseguire l’intero blocco. Per un rollback, scegliere solo la riga del parametro modificato e solo se il suo valore iniziale, determinato in modo sicuro prima della modifica, coincideva esattamente con quel valore predefinito. In caso contrario, impostare esclusivamente l’esatto valore iniziale annotato, usando la stessa sintassi; gli altri parametri restano invariati.

set vpn ipsec-performance anti-replay window-size 1024
set vpn ipsec-performance cookie_threshold 30
set vpn ipsec-performance use-resolved-ip-address disable
set vpn l2tp mtu 1410

Per conn-remove-*, ipsec-max-workqueue-items e i due protocolli di autenticazione Sophos non indica un default. Una configurazione personalizzata si ripristina sempre con il valore annotato prima del test e la stessa sintassi set vpn.

In ogni finestra di manutenzione si modifica esattamente un valore globale. Prima e dopo si usano gli stessi tunnel, flusso di test e transizione WAN o HA. Per IPsec si registrano stato del tunnel, Child SA, contatori, strongswan.log, charon.log, CPU e Packet Loss. Per la pulizia delle sessioni si includono VoIP, DNS e altri flussi UDP.

Un ping riuscito non è un collaudo completo. Verificare un flusso esistente, una nuova connessione, entrambe le direzioni e un test negativo controllato. Current activities > IPsec connections mostra IPsec e Current activities > Remote users gli utenti SSL VPN. La guida ai log associa IPsec a strongswan.log, ipsec_monitor.log e charon.log, SSL VPN a sslvpn.log e L2TP a l2tpd.log. Diagnostics > Packet capture mostra le interfacce di ingresso e uscita, l’ID regola, lo stato e il motivo dello scarto; usare un filtro ristretto sugli endpoint di test anonimizzati per evitare di raccogliere dati estranei. Dopo la modifica, verificare il valore di destinazione con il metodo di lettura confermato da Support. L’accettazione del comando e il traffico osservato non dimostrano da soli quale valore globale sia attivo.

Se il miglioramento previsto non compare o si verificano nuove interruzioni, si imposta esattamente il valore annotato prima del test. Quindi si ricontrollano tunnel e traffico. Senza stato iniziale noto, accesso di gestione indipendente e sintomo fondato, non si esegue alcuna modifica set vpn. Dopo il rollback, il valore iniziale ripristinato viene riletto con il metodo di lettura confermato preventivamente da Support e confrontato con la baseline registrata; successivamente si ricontrollano i tunnel e il traffico utente.

FAQ