Sophos-portals: SophosID, Central, Support en firewall-toegang
Bij Sophos zijn er verschillende portalen die in het dagelijks leven gemakkelijk met elkaar verward worden: SophosID, Sophos Central, Support Portal, lokale firewall WebAdmin, User Portal, VPN Portal, Captive Portal en Documentatie. Voor beheerders is het belangrijk welk portaal voor welk doel is bedoeld, welke login wordt gebruikt en welke toegangen veiligheidskritisch zijn.
In dit overzicht zijn de belangrijkste Sophos-portals gerangschikt. Het artikel is vooral bedoeld voor beheerders die Sophos Firewall, Sophos Central of Remote Access bedienen en die bij ondersteuning snel willen weten waar welke taak wordt uitgevoerd.
Snel overzicht
| Portaal | Hoofddoel | Typische taken |
|---|---|---|
| SophosID | persoonlijk Sophos-account | Meld u aan bij Sophos-services en krijg toegang tot ondersteunings- en licentiefuncties |
| Sophos Centraal | Cloudbeheer | Beheer producten, gebruikers, apparaten, licenties, firewallbeheer en rapporten |
| Sophos-ondersteuningsportaal | Ondersteuningsgevallen | Tickets, RMA’s, Sophos KB, ondersteuningscommunicatie |
| Sophos Firewall WebAdmin | lokaal firewallbeheer | Regels, VPN, NAT, certificaten, logs, firmware en apparaattoegang |
| Gebruikersportaal | Gebruikersfuncties | OTP, quarantaine, downloads of oudere functies voor externe toegang |
| VPN-portaal | Toegang op afstand | Sophos Connect download, VPN-configuraties en gebruikerstoegang |
| Captive-portaal | Gebruikerslogin voor netwerktoegang | Browser login voor op gebruikers gebaseerde regels, gasten of interne gebruikers |
| Sophos-documentatie en releaseopmerkingen | Documentatie | huidige handleidingen, release-opmerkingen, bekende beperkingen |
Niet elk portaal is in elke omgeving relevant. Een pure Sophos firewall-installatie zonder centraal endpoint heeft een andere toegang nodig dan een bedrijf met Sophos Central, MDR, ZTNA en meerdere firewalls.
Sophos-account en cloudportals
Deze portalen liggen buiten de lokale firewall en betreffen account, licentieverlening, cloudbeheer of ondersteuning. Ze worden vooral belangrijk als er meerdere beheerders, Sophos Central of een supportaanvraag bij betrokken zijn.
SophosID
De SophosID is het persoonlijke Sophos-account. SophosID wordt gebruikt voor verschillende Sophos-diensten, zoals ondersteuning, account- en licentiefuncties of toegang tot bepaalde Sophos-portals.
Open SophosID:
Belangrijk voor de werking:
- SophosID-accounts moeten persoonlijk zijn en geen gedeelde teamaanmelding.
- MFA moet ingeschakeld zijn als Sophos dit aanbiedt voor de betreffende toegang.
- Bij het verlaten moeten persoonlijke accounts worden verwijderd uit Sophos Central, ondersteuning en licentiecontexten.
- Rollen en verantwoordelijkheden moeten worden gedocumenteerd voor dienstverleners of meerdere beheerders.
Als een Sophos Firewall moet worden overgezet naar een ander account, kan Transfer Sophos Firewall to another Sophos Central account helpen.
Sophos Centraal
Sophos Central is het cloudbeheerplatform voor veel huidige Sophos-producten. Afhankelijk van de licentie worden daar endpoint, server, e-mail, wireless, ZTNA, firewallbeheer, rapportage, MDR/XDR en andere functies beheerd.
Open Sophos Central:
Verdere introducties:
Voor Sophos Firewall is Sophos Central met name relevant als firewalls geregistreerd, centraal beheerd, geïnventariseerd of opgenomen moeten worden in Central Firewall Reporting. Het verbindingsproces wordt beschreven in Sophos Firewall verbinden met Sophos Central. Activeer centrale firewallrapportage is geschikt voor rapportage.
Belangrijke beheerderspunten:
- Centrale beheerders moeten hun eigen accounts en passende rollen hebben.
- MFA- en beheerdersrollen moeten regelmatig worden gecontroleerd.
- Licentiestatus en -voorwaarden maken deel uit van het bedrijfsproces.
- Wijzigingen via Sophos Central kunnen in de huidige SFOS-versies beter traceerbaar worden gemaakt in auditlogs.
- Indien er meerdere Centrale accounts zijn, moet duidelijk zijn welke tenant welke firewalls en licenties bevat.
Voor licentiecontroles is Check Sophos Central Licenses geschikt. Voor machtigingen in Central zijn Sophos Central administratieve rollen relevant. Voor grotere structuren is Wat is Sophos Central Enterprise? een beter begin.
Sophos-ondersteuningsportaal
Ondersteuningsaanvragen en RMA’s worden geopend en beheerd in de Sophos Support Portal. Het is ook het toegangspunt voor veel openbare Sophos KB-artikelen.
Ondersteuningsportal openen:
➜ Ga naar het Sophos-ondersteuningsportaal
Voor ondersteuningsgevallen dient u vooraf het volgende te verduidelijken:
- Is er een geldige ondersteuningsautorisatie of passende licentie?
- Om welk serienummer of centrale tenant-ID gaat het?
- Welke firmwareversie, toestel, logs en foutmeldingen zijn relevant?
- Zijn er screenshots, tijdvensters en reproduceerbare stappen?
- Wie zijn intern bereikbaar voor vragen?
De praktische procedure vindt u in Een supportticket openen bij Sophos. Als Sophos toegang tot een firewall nodig heeft, moet deze gecontroleerd worden ingesteld en vervolgens weer worden verwijderd. Avanet-ondersteuningstoegang instellen op Sophos Firewall is hiervoor geschikt.
Lokale Sophos Firewall-portals
De volgende portals draaien op of in de directe omgeving van de Sophos Firewall. Omdat ze dichter bij het productieve netwerk staan, moeten ze met bijzondere zorg worden geactiveerd, benoemd en beveiligd.
Lokale Sophos Firewall WebAdmin
De WebAdmin Console is de lokale beheerinterface van de Sophos Firewall. Toegang vindt doorgaans plaats via het firewall-IP en de geconfigureerde HTTPS-poort.
Typische taken:
- Configureer firewallregels, NAT en routing
- Beheer VPN, certificaten en authenticatie
- Controleer logboeken, pakketopname en diagnostiek
- Voer firmware-updates en back-ups uit
- Beveiligde apparaattoegang, MFA en beheerderstoegang
De WebAdmin Console is geen normaal webportaal, maar eerder directe beheertoegang tot de firewall. Deze toegang zou alleen mogelijk moeten zijn via betrouwbare netwerken. Het belangrijkste verbindingsartikel is Securing Sophos Firewall access: Apparaattoegang correct configureren.
Om aan de slag te gaan met een nieuwe firewall is Sophos Firewall Getting Started geschikt. Voor Admin MFA is MFA inschakelen voor Sophos Firewall WebAdmin, VPN Portal en Remote Access relevant.
Gebruikersportaal, VPN-portaal en Captive Portal
Gebruikersportaal en VPN-portaal worden vaak verward. Beide zijn lokale services van de Sophos Firewall, maar ze voeren verschillende taken uit en mogen alleen worden ingeschakeld als ze echt nodig zijn.
Het gebruikersportaal wordt gebruikt voor gebruikersfuncties, zoals OTP, persoonlijke downloads of oudere VPN-functies, afhankelijk van de omgeving. De VPN Portal is met name relevant voor het downloaden van Sophos Connect en VPN-configuraties in de huidige scenario’s voor externe toegang.
Een verstandige vuistregel:
| Portaal | Wie gebruikt het? | Waarvoor? | Typische fout |
|---|---|---|---|
| Gebruikersportaal | interne of bekende gebruikers | OTP, persoonlijke opties, oudere gebruikersfuncties | blijft publiek toegankelijk, ook al is het niet langer nodig |
| VPN-portaal | Gebruikers van externe toegang | Sophos Connect, SSL VPN-profielen, configuraties voor externe toegang | Gebruiker ziet geen downloads omdat beleid, groep of authenticatie niet overeenkomen |
| Captive-portaal | Gebruikers op het netwerk | Browseraanmelding voor op gebruikers gebaseerde regels of gasttoegang | wordt verward met VPN-portaal of gebruikt zonder duidelijk uitlog-/sessieconcept |
Belangrijke punten:
- Alle drie de portalen zijn inloggebieden en daarom van cruciaal belang voor de beveiliging.
- De toegankelijkheid wordt beheerd via Beheer > Apparaattoegang.
- Publieke toegankelijkheid mag alleen bewust gebeuren en met MFA, logging en strakke toegangscontrole.
- Oude portalen blijven vaak open, ook al hebben gebruikers deze na de uitrol niet meer nodig.
- Na wijzigingen aan het VPN-portaal, certificaat, DNS of gebruikersgroepen moeten profielen mogelijk opnieuw worden geïmporteerd.
Sophos Connect of SSL VPN: welke oplossing voor externe toegang is geschikt? is geschikt voor de beslissing over externe toegang. Voor clientupdates en profielonderhoud helpt Controleer de Sophos Connect Client-versie en update deze veilig.
Als een gebruiker is ingelogd op de VPN Portal maar configuratiedownloads zoals .ovpn onverwacht mislukken, moet de Sophos Firewall User ID Limit worden gecontroleerd naast de machtigingen en MFA.
Voor nieuwe SSL VPN-omgevingen moet u eerst de firewallconfiguratie en portalafhankelijkheden controleren. Het proces bevindt zich in Sophos Firewall SSL VPN Remote Access instellen.
Plancertificaten, FQDN’s en portalnamen
Portalproblemen lijken voor gebruikers vaak een inlog- of VPN-fout, maar ze beginnen met DNS en certificaten. Als WebAdmin, VPN Portal, User Portal, Captive Portal en WAF op vergelijkbare hostnamen of hetzelfde WAN-adres draaien, moet u de namen bewust scheiden en documenteren.
Typische planning:
| dienst | Voorbeeld FQDN | Waar moet u op letten? |
|---|---|---|
| WebAdmin | admin.example.com | alleen toegankelijk vanuit beheernetwerken, passend certificaat, MFA actief |
| VPN-portaal | vpn.example.com | Certificaat komt overeen met het downloadprofiel, apparaattoegang is opzettelijk ingesteld |
| Gebruikersportaal | portal.example.com | alleen actief laten als gebruikersfuncties echt nodig zijn |
| Captive-portaal | login.example.com | Certificaat, zone, sessietime-out en uitloggedrag testen |
| WAF-applicatie | app.example.com | Controleer WAF-regel, SNI, domeinen en backend-host samen |
Als de firewall zelf openbare certificaten moet verkrijgen, is Sophos Firewall Let’s Encrypt-certificaten instellen geschikt. Voor gedeelde wildcard-certificaten op meerdere systemen is Let’s Encrypt Create Wildcard Certificate een beter begin.
De bedieningsvolgorde is belangrijk: Plan eerst FQDN, DNS en certificaat, beperk vervolgens de portaltoegang via Beheer > Apparaattoegang en Lokale service ACL, en distribueer vervolgens externe toegangsprofielen of WAF-regels. Als een certificaat of portal FQDN vervolgens wordt gewijzigd, moeten Sophos Connect-profielen, .ovpn-bestanden, bladwijzers en monitoring meestal ook worden gecontroleerd.
Classificeer captive portal correct
De Captive Portal is geen portaal voor externe toegang. Het wordt gebruikt wanneer gebruikers op het netwerk eerst een browseraanmelding moeten voltooien voordat de firewall het verkeer aan een gebruikersidentiteit kan koppelen. Dit kan handig zijn voor gasten, BYOD-apparaten of omgevingen zonder transparante gebruikersidentificatie.
Typische toepassingen:
- Gasten of BYOD-apparaten moeten inloggen voordat internettoegang wordt toegestaan.
- Op gebruikers gebaseerde firewallregels moeten van kracht worden, ook al is er geen STAS, SATC of ander transparant mechanisme beschikbaar.
- Individuele netwerken hebben eenvoudige gebruikerstoewijzing nodig zonder volledige eindpuntintegratie.
Captive Portal mag niet worden gezien als vervanging voor schone netwerksegmentatie. Als een netwerk bijzonder de moeite waard is om te beschermen, blijft scheiding via zones, VLAN’s en duidelijke firewallregels belangrijker. De basis vindt u in Planningzones en interfaces op Sophos Firewall. Voor klassieke gebruikersverbindingen met Active Directory is Integrate Active Directory on Sophos Firewall geschikt.
Als Captive Portal moet worden gebruikt met Microsoft Entra ID SSO, is het proces anders dan bij VPN Portal of Sophos Connect. Set up Microsoft Entra ID SSO for Sophos Firewall Captive Portal is hiervoor geschikt.
Belangrijk tijdens gebruik:
- Captive Portal heeft toegankelijke lokale firewallservices nodig. Apparaattoegang en Lokale service-ACL moeten hiermee overeenkomen.
- Sessietime-outs moeten overeenkomen met de omgeving. Sessies die te lang zijn, verzwakken de gebruikerstoewijzing, sessies die te kort zijn verstoren de gebruikers.
- Uitloggen, groepstoewijzing en logviewer moeten worden getest met echte testgebruikers.
- In netwerken met gevoelige systemen is captive portal meestal niet sterk genoeg als enige controle.
Als Captive Portal niet toegankelijk is vanaf een netwerk, moet u niet eerst de normale firewallregels wijzigen. Vaak is de oorzaak Beheer > Apparaattoegang, uitzonderingsregels voor lokale service-ACL, DNS, certificaat of onjuiste zonetoewijzing. Voor lokale toegangscontrole is Device Access and Local Service ACL on Sophos Firewall geschikt.
Operaties, documentatie en beveiliging
Naast het juiste portaal is het van cruciaal belang dat toegang, documentatie en operationele processen regelmatig worden gecontroleerd.
Controleer de documentatie specifiek
Voor actuele technische details zijn officiële Sophos-documenten en release-opmerkingen belangrijker dan oude blogposts of screenshots. Vooral bij SFOS-versies, Sophos Connect, licentiewijzigingen, platformondersteuning en bekende beperkingen moet u versie-afhankelijke informatie controleren voordat u een productieve wijziging doorvoert. Dergelijke bronnen mogen alleen in het artikel zelf worden gekoppeld als de beheerder ze echt moet openen voor de specifieke werkstap.
Als het om firmware-onderwerpen gaat, is het niet alleen de downloadbeschikbaarheid die telt. Vóór een update zijn het platform, het upgradepad, de back-up, de HA-status en bekende blokkers belangrijk. Het proces wordt beschreven in Controleer Sophos Firewall vóór SFOS 22 Upgrade en Sophos Firewall Firmware Update - Voorbereiding en best practices.
Veiligheidscontrole voor portaltoegang
Portalen zijn handig, maar elke login is een potentieel aanvalsoppervlak. Controleer daarom regelmatig:
- Welke SophosID en Central admins bestaan er nog?
- Is MFA actief voor SophosID-, Sophos Central- en firewallbeheerders?
- Zijn WebAdmin, SSH, User Portal, VPN Portal en SSL VPN alleen toegankelijk waar ze nodig zijn?
- Zijn er gedeelde beheerdersaccounts die moeten worden vervangen?
- Worden mislukte aanmeldingen regelmatig gecontroleerd?
- Worden oude VPN-profielen, oude gebruikers en voormalige serviceproviders verwijderd?
- Is er een nieuwe back-up en bekende hersteltoegang?
Voor lokale firewallservices is Apparaattoegang het centrale controlepunt. Voor langer bewaren van logbestanden of beveiligingsmonitoring is Send Sophos Firewall Syslog to SIEM nuttig.