Sophos Firewall Inspection auf nicht standardmässigen Ports

Sophos Firewall prüft HTTP, HTTPS, FTP, SMTP/S, POP und IMAP auf ihren Standardports. Verwendet eine Anwendung für eines dieser Protokolle einen abweichenden Port, kann service-param diesen Port zusätzlich dem klassischen Inspection-Dienst zuordnen.

Der Befehl ist kein allgemeiner Port-Öffner. Er erstellt weder ein Service-Objekt noch eine Firewallregel und aktiviert auch keine Web-, TLS- oder Mail-Policy. Damit Traffic tatsächlich geprüft wird, müssen Regelmatch, erlaubter Zielport und der zuständige Inspection-Pfad zusammenpassen. Für neue Webregeln bleibt ausserdem zuerst zu klären, ob die DPI Engine oder der Web Proxy den Flow verarbeitet.

⚠️ service-param ist eine globale Zuordnung. Ein zusätzlich eingetragener Port betrifft nicht nur einen einzelnen Host oder eine einzelne Firewallregel. Vor der Änderung werden deshalb bestehende Verwendungen des Ports, betroffene Policies und ein ausführbarer Rückweg dokumentiert.

Wann service-param passt

Der Befehl passt, wenn eine bekannte Anwendung tatsächlich HTTP, HTTPS, FTP, SMTP, SMTPS, POP oder IMAP auf einem nicht standardmässigen TCP-Port verwendet und genau der zugehörige klassische Dienst den Traffic inspizieren soll. Typische Beispiele sind ein internes HTTPS-Portal auf Port 8443 oder eine explizite Mailkonfiguration auf einem zusätzlichen Port.

Ein offener TCP-Port ist noch kein Nachweis für das erwartete Protokoll. Läuft auf 8443 proprietärer Binärtraffic, kann die Zuordnung zu HTTPS Verbindungen stören, statt Schutz hinzuzufügen. Bei Webtraffic wird ausserdem geprüft, ob die DPI Engine das Protokoll bereits erkennt oder ob wirklich ein Proxy-Service-Port ergänzt werden muss. Bei Mailtraffic muss klar sein, ob SMTP mit STARTTLS oder SMTPS mit TLS ab Verbindungsbeginn gemeint ist. Mail Protection im MTA-Modus erklärt den eigentlichen Mailpfad.

Nicht passend ist service-param, wenn nur eine Firewallregel einen zusätzlichen Zielport erlauben soll. Dafür wird unter Hosts and services > Services ein passendes TCP-Service-Objekt erstellt und in der Firewallregel verwendet. Die Inspection-Zuordnung wird erst ergänzt, wenn der zuständige Proxy- oder Maildienst den abweichenden Port auch verarbeiten muss.

Ausgangszustand in der Device Console sichern

Der Zugriff erfolgt über 4. Device Console. Vor jeder Änderung zeigt der folgende Befehl die vorhandenen Service-Ports und weitere globale Werte:

show service-param

Die vollständige Ausgabe wird mit SFOS-Build, Zeitpunkt und Change-Referenz gesichert. Wichtig ist insbesondere, ob der gewünschte Port bereits einem anderen Dienst zugeordnet ist. Derselbe Port wird nicht auf Verdacht gleichzeitig als HTTP, HTTPS, SMTP oder SMTPS eingetragen.

Sophos dokumentiert für SFOS 22 diese Service-Namen:

FTP
HTTP
HTTPS
IMAP
POP
SMTP
SMTPS
IM_MSN
IM_YAHOO

IM_MSN und IM_YAHOO sind Legacy-Bezeichnungen in der CLI. Sie sind kein Ausgangspunkt für ein neues Instant-Messaging-Design. Neue Anwendungen werden über Firewallregeln, Application Control, TLS Inspection und die tatsächlich unterstützte Protokollerkennung abgesichert.

Einen zusätzlichen Port eintragen

Die dokumentierte Grundsyntax für die unterstützten Dienste lautet:

set service-param <dienst> add port <portID>
set service-param <dienst> delete port <portID>

Für ein bestätigtes HTTPS-Portal auf TCP 8443 sieht ein kontrollierter Pilot beispielsweise so aus:

show service-param
set service-param HTTPS add port 8443
show service-param

Zusätzlich braucht die Firewallregel einen Service, der TCP 8443 als Zielport erlaubt. Bei HTTPS muss ausserdem feststehen, welcher Inspection-Pfad entschlüsselt, welches Zertifikat erwartet wird und ob die Anwendung Certificate Pinning verwendet. Eine sichtbare Webseite allein beweist weder Decryption noch Malware-Scanning.

Der Platzhalter portID in der Sophos-Syntax wird in der Device Console mit dem konkreten Portwert verwendet. Ein Port wird erst eingetragen, nachdem ein Packet Capture oder die Anwendungsdokumentation das Protokoll und den Zielport bestätigt hat.

Globale Sonderoptionen nicht mit einem Porttest vermischen

Für HTTPS führt Sophos zusätzlich deny_unknown_proto on|off und invalid-certificate allow|block auf. Für SMTPS ist ebenfalls invalid-certificate allow|block vorhanden. SMTP besitzt weitere globale Optionen für Failure Notifications, Fast ISP Mode, Notification Port und Strict Protocol Check.

Diese Werte lösen eine andere Aufgabe als add port. Sie werden bei einem Portpilot nicht gleichzeitig geändert. Besonders invalid-certificate allow kann Zertifikatsfehler global tolerieren, während deny_unknown_proto und strict-protocol-check die Behandlung nicht erwartungskonformer Verbindungen verändern. Eine erfolgreiche Verbindung nach mehreren gleichzeitigen Änderungen wäre technisch kaum zuzuordnen und könnte die Schutzwirkung unbemerkt reduzieren.

Die offizielle Syntax enthält auch:

set service-param HTTPS deny_unknown_proto <on|off>
set service-param HTTPS invalid-certificate <allow|block>
set service-param SMTPS invalid-certificate <allow|block>
set service-param SMTP failure_notification <on|off>
set service-param SMTP fast-isp-mode <on|off>
set service-param SMTP notification-port add port <portID>
set service-param SMTP strict-protocol-check <on|off>

Vor einer solchen globalen Änderung werden die exakte vorhandene Ausgabe, betroffene Sender oder Webanwendungen, Sicherheitswirkung und Supportvorgabe separat bewertet. Der Artikel verwendet diese Befehle deshalb nicht als empfohlene Standardwerte.

Wirkung mit einem echten Flow prüfen

Der Test beginnt mit genau einer Pilotquelle und einer geloggten Firewallregel. Vor und nach der Änderung werden dieselbe Zieladresse, derselbe Zielport und eine neue Verbindung verwendet. Im Log Viewer müssen Firewall Rule ID, Web- oder Mailaktion und Zeitpunkt zum Pilot passen.

Bei HTTPS werden zusätzlich Zertifikatsaussteller, TLS-Handshake und erwartete Block- beziehungsweise Allow-Aktion geprüft. Wenn Malware-Scanning Teil des Designs ist, folgt ein kontrollierter EICAR-Test über genau diesen Port. EICAR bestätigt dabei nur den normalen Antiviruspfad, nicht jede TLS-, Policy- oder ML-Funktion. Bei SMTP, SMTPS, POP und IMAP wird eine eindeutig erkennbare Testnachricht verwendet und in Mail Logs, Quarantäne und gegebenenfalls Mail Spool verfolgt.

Ein Packet Capture bestätigt, dass der Client wirklich den vorgesehenen Zielport nutzt. Zeigt nur das Firewall-Log Allow, fehlt weiterhin der Beleg, dass der nachgelagerte Proxy oder Maildienst den Inhalt inspiziert hat. Für die gemeinsame Auswertung von Regel, Log Viewer und Capture hilft Sophos Firewall-Regeln kontrolliert testen.

Portzuordnung zurückrollen

Der Rückweg entfernt nur den im Change ergänzten Port vom richtigen Dienst:

set service-param HTTPS delete port 8443
show service-param

Danach wird derselbe Testflow neu aufgebaut. Die vorherige Konnektivität muss wieder dem dokumentierten Ausgangszustand entsprechen. Temporäre Firewall-Servicefreigaben, Pilotregeln und Ausnahmen werden separat entfernt; delete port löscht diese Objekte nicht.

Schlägt bereits das Hinzufügen fehl, werden die Fehlermeldung und show service-param gesichert. Häufig ist der Port bereits als Standardport behandelt oder einem anderen Service zugeordnet. Der vorhandene Eintrag wird nicht blind gelöscht, weil dadurch ein anderer Inspection-Pfad ausfallen kann.

Betriebscheckliste

• Anwendung, Protokoll und echter Zielport sind bestätigt.
• show service-param und der SFOS-Build sind vor der Änderung gesichert.
• Firewall-Service, Regelmatch und Inspection-Zuordnung werden getrennt betrachtet.
• Der Port ist nicht bereits einem widersprüchlichen Dienst zugeordnet.
• Im Pilot wird nur add port geändert, keine globale Zertifikats- oder Protokolloption.
• Positivtest, Negativtest, Inspection-Log und Packet Capture sind vorbereitet.
• Der passende delete port-Befehl und der unveränderte Rückweg stehen bereit.

FAQ