Sophos Firewall auf Azure bereitstellen und routen

Sophos Firewall kann aus dem Azure Marketplace als einzelne Appliance oder über ein Load-Balancer-Template mit zwei Firewalls bereitgestellt werden. Das zweite Design wird bei Sophos active-active genannt, ist aber kein natives SFOS-HA-Cluster. Konfiguration, Sessions und Status werden nicht wie bei zwei Hardware-Appliances synchronisiert.

⚠️ Azure-Routing gehört zur Firewall-Konfiguration. Eine korrekte SFOS-Regel reicht nicht, wenn eine User Defined Route, Network Security Group oder der Rückweg am Load Balancer fehlt. Jede Freigabe wird deshalb als kompletter Hin- und Rückpfad geprüft.

Betriebsmodell und Lizenz wählen

Für Standalone empfiehlt Sophos mindestens Standard_F2s_v2 mit zwei vCPU und 4 GB RAM. Die öffentliche IP verwendet die Standard SKU mit statischer Zuweisung. Die Basic SKU ist veraltet und gehört nicht in neue Deployments.

Standalone aus dem Marketplace bereitstellen

1. Im Azure Marketplace Sophos Firewall wählen und BYOL oder PAYG festlegen.
2. Resource Group, Region und Instanzgrösse bestimmen. VNet und Subnetze dürfen sich weder untereinander noch mit entfernten Netzen überschneiden.
3. PortA dem WAN-Subnetz und PortB dem LAN-Subnetz zuordnen. NSGs zunächst nur für die benötigten Managementquellen öffnen.
4. Deployment abschliessen und WebAdmin über https://<public-ip>:4444 aufrufen.
5. Setup-Assistent, Registrierung, Lizenz und Firmware kontrolliert abschliessen.
6. Die private Adresse der LAN-NIC in Azure auf Static setzen. Danach braucht das LAN-Subnetz eine UDR 0.0.0.0/0 mit Virtual appliance und dieser LAN-IP als Next Hop.
7. IP Forwarding, NSGs, SFOS-Regeln und den Rückweg mit einem definierten Client testen.

Die UDR zwingt ausgehenden LAN-Traffic durch die Firewall. Ohne diese Route sendet Azure Pakete an seinem Standardpfad vorbei. Für eine route-based Verbindung zum Azure VPN Gateway wird das XFRM-Interface zusätzlich mit statischen Routen, SD-WAN oder BGP betrieben.

Load-balanced active-active betreiben

Das Sophos-Template erstellt zwei Firewalls, einen öffentlichen und einen internen Azure Load Balancer. Die Standardnetze des Templates verwenden ein /16-VNet und /24-WAN- und LAN-Subnetze; produktiv werden Adressräume vor dem Deployment an die eigene Architektur angepasst.

Die Azure-Health-Probes erreichen WebAdmin auf 4444 und den Proxy auf 3128. Azure verwendet dafür die Plattformadresse 168.63.129.16. Sophos legt passende SD-WAN-Routen über PortA an. Diese Runbook-Routen sind nach einem Firmwareupgrade nicht automatisch garantiert und werden durch erneutes Ausführen des mitgelieferten Automation Runbook wiederhergestellt und geprüft.

Für die Administration verwendet die erste Firewall standardmässig 4444 und SSH 2222, die zweite 4445 und 2223. Diese Ports werden nur aus festen Adminquellen zugelassen. Die LAN-UDR zeigt für 0.0.0.0/0 auf die Frontend-IP des internen Load Balancers.

DNAT und Rückweg

Bei eingehendem Traffic leitet der öffentliche Load Balancer den Dienst an beide Firewalls. Die passende DNAT-Regel auf SFOS übersetzt anschliessend zum internen Server. In diesem Azure-Design wird MASQ verwendet, damit die Antwort wieder über dieselbe Firewall und den Load Balancer läuft. Ohne symmetrischen Rückweg entstehen Verbindungen, die nur sporadisch oder nur in eine Richtung funktionieren.

Direktes RDP aus dem Internet ist keine Empfehlung. Wenn möglich werden VPN oder ZTNA verwendet. Muss ein Dienst veröffentlicht werden, werden Quelle, Dienst und Ziel in Azure und SFOS eng begrenzt, Logging und IPS aktiviert und auch ein negativer Test aus einem nicht erlaubten Netz durchgeführt.

Abnahme und Betrieb

Zur Abnahme gehören beide Firewalls, Load-Balancer-Probes, Backend-Pool, UDRs, NSGs, SFOS Rule IDs, DNAT, Internet-Egress und Rückweg. Nach jedem Firmwareupgrade werden die Routen zu 168.63.129.16, die Probe-Ports und das Automation Runbook geprüft. Azure-Snapshots ersetzen kein exportiertes SFOS-Backup; Wiederaufbau, Lizenz, Owner und Kostenalarm werden separat dokumentiert.