Sophos-portalen: SophosID, Central, Support en firewalltoegang
Sophos heeft meerdere portalen die in de dagelijkse praktijk gemakkelijk door elkaar worden gehaald: SophosID, Sophos Central, Support Portal, de lokale Firewall WebAdmin, User Portal, VPN Portal, Captive Portal en de documentatie. Voor beheerders is het belangrijk om te weten welk portaal voor welk doel is bedoeld, welke login wordt gebruikt en welke toegangen beveiligingskritisch zijn.
Dit overzicht plaatst de belangrijkste Sophos-portalen in hun context. Het artikel is vooral bedoeld voor beheerders die Sophos Firewall, Sophos Central of Remote Access beheren en bij een supportgeval snel moeten weten waar een bepaalde taak wordt uitgevoerd.
Kort overzicht
De belangrijkste portalen:
- SophosID: persoonlijk Sophos-account voor aanmelding bij Sophos-diensten en toegang tot support- en licentiefuncties.
- Sophos Central: cloudbeheer voor producten, gebruikers, apparaten, licenties, firewallbeheer en rapporten.
- Sophos Support Portal: supportcases, RMA’s, Sophos KB en communicatie met Sophos Support.
- Sophos Firewall WebAdmin: lokaal firewallbeheer voor regels, VPN, NAT, certificaten, logs, firmware en Device Access.
- User Portal: gebruikersfuncties zoals OTP, quarantaine, downloads of oudere Remote Access-functies.
- VPN Portal: Remote Access met Sophos Connect-download, VPN-configuraties en gebruikerstoegang.
- Captive Portal: gebruikersaanmelding voor netwerktoegang, gasten of interne gebruikers via een browserlogin.
- Sophos Docs en Release Notes: actuele handleidingen, Release Notes en bekende beperkingen.
Niet elk portaal is in elke omgeving relevant. Een zelfstandige Sophos Firewall-installatie zonder Central Endpoint vereist andere toegangen dan een bedrijf met Sophos Central, MDR, ZTNA en meerdere firewalls.
Sophos-account- en cloudportalen
Deze portalen bevinden zich buiten de lokale firewall en hebben betrekking op accounts, licenties, cloudbeheer of support. Ze worden vooral belangrijk wanneer meerdere beheerders, Sophos Central of een supportcase in het spel zijn.
SophosID
De SophosID is het persoonlijke Sophos-account. SophosID wordt gebruikt voor meerdere Sophos-diensten, bijvoorbeeld voor support, account- en licentiefuncties of toegang tot bepaalde Sophos-portalen.
SophosID openen:
Belangrijk voor het beheer:
- SophosID-accounts moeten persoonsgebonden zijn en niet als gedeelde teamlogin worden gebruikt.
- MFA moet worden ingeschakeld wanneer Sophos dit voor de betreffende toegang aanbiedt.
- Bij uitdiensttreding moeten persoonlijke toegangen uit Sophos Central en uit support- en licentiecontexten worden verwijderd.
- Voor dienstverleners of meerdere beheerders moeten rollen en verantwoordelijkheden gedocumenteerd zijn.
Wanneer een Sophos Firewall naar een ander account moet worden overgedragen, helpt Sophos Firewall naar een ander Sophos Central-account overdragen.
Sophos Central
Sophos Central is het cloudbeheerplatform voor veel actuele Sophos-producten. Afhankelijk van de licentie worden daar Endpoint, Server, Email, Wireless, ZTNA, Firewall Management, Reporting, MDR/XDR en andere functies beheerd.
Sophos Central openen:
Andere startpunten:
Voor Sophos Firewall is Sophos Central vooral relevant wanneer firewalls moeten worden geregistreerd, centraal beheerd, geïnventariseerd of opgenomen in Central Firewall Reporting. Het verbindingsproces wordt beschreven in Sophos Firewall met Sophos Central verbinden. Voor rapportage is Central Firewall Reporting activeren relevant.
Belangrijke aandachtspunten voor beheerders:
- Central-beheerders moeten eigen accounts en passende rollen hebben.
- MFA en beheerdersrollen moeten regelmatig worden gecontroleerd.
- Licentiestatus en looptijden horen thuis in het operationele proces.
- Wijzigingen via Sophos Central zijn in actuele SFOS-versies beter te volgen in auditlogs.
- Bij meerdere Central-accounts moet duidelijk zijn welke tenant welke firewalls en licenties bevat.
Voor licentiecontroles is Sophos Central-licenties controleren geschikt. Voor bevoegdheden in Central is Administratieve rollen in Sophos Central relevant. Voor grotere structuren is Wat is Sophos Central Enterprise? het betere startpunt.
Sophos Support Portal
In het Sophos Support Portal worden supportcases en RMA’s geopend en beheerd. Het is ook het startpunt voor veel openbare Sophos KB-artikelen.
Support Portal openen:
➜ Sophos Support Portal openen
Voor een supportcase moet men vooraf het volgende verduidelijken:
- Is er een geldige supportaanspraak of passende licentie?
- Om welk serienummer of welke Central-tenant-ID gaat het?
- Om welke firmwareversie en appliance gaat het, en welke logs en foutmeldingen zijn relevant?
- Zijn er screenshots, tijdvensters en reproduceerbare stappen beschikbaar?
- Wie is intern bereikbaar voor vragen?
De praktische werkwijze staat in Een supportticket bij Sophos openen. Wanneer Sophos toegang tot een firewall nodig heeft, moet die toegang gecontroleerd worden ingericht en daarna weer worden verwijderd. Daarvoor is Avanet-supporttoegang op een Sophos Firewall instellen geschikt.
Lokale Sophos Firewall-portalen
De volgende portalen draaien op of in de directe omgeving van de Sophos Firewall. Omdat ze dichter bij het productienetwerk staan, moeten ze bijzonder zorgvuldig worden geactiveerd, benoemd en beveiligd.
Lokale Sophos Firewall WebAdmin
De WebAdmin Console is de lokale beheerinterface van de Sophos Firewall. De toegang verloopt doorgaans via het IP-adres van de firewall en de geconfigureerde HTTPS-poort.
Het standaardadres is:
https://<Firewall-IP-of-FQDN>:4444
Standaard is toegang vanuit de LAN-zone toegestaan. Andere zones worden vrijgegeven onder Administration > Device access. WebAdmin mag niet bereikbaar zijn vanuit de WAN-zone; voor extern beheer zijn VPN of ZTNA, een afzonderlijk beheernetwerk en strikt begrensde Local Service ACL Exception Rules betere oplossingen.
Typische taken:
- Firewallregels, NAT en routing configureren
- VPN, certificaten en authenticatie beheren
- Logs, Packet Capture en diagnostiek controleren
- Firmware-updates en back-ups uitvoeren
- Device Access, MFA en beheerderstoegang beveiligen
De WebAdmin Console is geen gewoon webportaal, maar biedt directe beheertoegang tot de firewall. Deze toegang mag alleen vanuit vertrouwde netwerken bereikbaar zijn. Het belangrijkste vervolgartikel is Toegang tot Sophos Firewall beveiligen: Device Access correct configureren.
Voor de ingebruikname van een nieuwe firewall is Sophos Firewall Getting Started geschikt. Voor MFA voor beheerders is MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren relevant.
Als Entra ID de WebAdmin-login moet overnemen, behandelt Entra ID SSO voor Sophos Firewall WebAdmin daarnaast Role mapping, de rechtentest en lokale noodtoegang.
Wie WebAdmin en portals via een FQDN in plaats van een IP-adres opent, moet ook de gezamenlijke certificaatselectie begrijpen. Certificaten importeren en toewijzen op Sophos Firewall legt SAN’s, de CA-keten, de privésleutel en een veilige certificaatwissel uit.
User Portal, VPN Portal en Captive Portal
User Portal en VPN Portal worden vaak met elkaar verward. Beide zijn lokale diensten van de Sophos Firewall, maar ze vervullen verschillende taken en mogen alleen geactiveerd zijn wanneer ze echt nodig zijn.
Sinds SFOS 20 zijn User Portal en VPN Portal duidelijker van elkaar gescheiden. Het VPN Portal gebruikt standaard HTTPS-poort 443. Het User Portal gebruikt standaard 4443. Bij een upgrade of herstel vanuit een versie ouder dan SFOS 20 neemt het VPN Portal de voormalige User Portal-poort over; het User Portal schakelt over naar 4443 of, wanneer die poort bezet is, automatisch naar 65040.
Het User Portal toont persoonlijke gegevens en, afhankelijk van de configuratie, bijvoorbeeld internetgebruik, e-mailquarantaine, uitzonderingen, Policy Overrides, OTP-registratie en andere clientdownloads. Daaronder vallen de Client Authentication Agent en de bijbehorende Server CA. Een normale lokale gebruiker kan daar ook het eigen wachtwoord wijzigen. Remote Access-clients en VPN-configuraties bevinden zich sinds SFOS 20 in het VPN Portal.
Een nuttige vuistregel:
- User Portal (
4443): voor interne of al veilig verbonden gebruikers, bijvoorbeeld voor OTP, persoonlijke gegevens, quarantaine en Policy Overrides. Sophos waarschuwt ervoor het User Portal voor de WAN-zone vrij te geven. - VPN Portal (
443): voor Remote Access-gebruikers, Sophos Connect, SSL VPN-profielen en Remote Access-configuraties. Het wordt pas aan een gebruiker getoond wanneer die gebruiker of diens groep aan een Remote Access-policy is toegewezen. - Captive Portal (
8090): voor gebruikers in het netwerk, browserlogin, gebruikersgebaseerde regels of gasttoegang. Een typische fout is dat het wordt verward met het VPN Portal of wordt ingezet zonder een duidelijk logout- en sessieconcept.
Belangrijke punten:
- Alle drie de portalen zijn loginoppervlakken en daarmee beveiligingskritisch.
- De bereikbaarheid wordt geregeld via Administration > Device access.
- Het User Portal mag niet bereikbaar zijn vanuit de WAN-zone. Het VPN Portal mag voor Remote Access vanuit WAN bereikbaar zijn, maar moet dan worden beveiligd met MFA, een passend certificaat, restrictieve policies en monitoring van logins.
- Oude portalen blijven vaak openstaan, hoewel gebruikers ze na de uitrol niet meer nodig hebben.
- Handmatig verspreide
.ovpn-profielen moeten opnieuw worden gedownload en geïmporteerd wanneer de SSL VPN-poort, het protocol, de interface of het SSL-servercertificaat verandert. Alleen een update van Sophos Connect maakt bestaande profielen niet ongeldig.
Bij opvallend veel mislukte aanmeldingen, gedistribueerde bron-IP-adressen of accountvergrendelingen leidt VPN Portal-brute-force herkennen en indammen door logcontrole, beperking via ACL’s, identiteitsbeveiliging en nacontrole.
⚠️ Uitzondering voor Device Access: wanneer de webproxy van de firewall wordt gebruikt, behandelt SFOS de bijbehorende HTTP- en HTTPS-verzoeken als intern verkeer. Gebruikers met proxytoegang kunnen daardoor lokale HTTPS-diensten zoals WebAdmin, Captive Portal, VPN Portal of User Portal bereiken, ook wanneer de betreffende dienst onder Device access niet voor hun zone is geactiveerd. Dit toegangspad moet bij de hardening afzonderlijk worden getest.
Voor de keuze van een Remote Access-oplossing is Sophos Connect of SSL VPN: welke Remote Access-oplossing past? relevant. Voor clientupdates en profielbeheer helpt De Sophos Connect Client-versie controleren en veilig bijwerken.
Als een gebruiker bij VPN Portal is aangemeld, maar het .ovpn-bestand ontbreekt, 0 bytes is of niet kan worden gegenereerd, leidt Sophos Firewall: .ovpn ontbreekt of is 0 bytes door de controle van policy, User ID, certificaat, opslag, firmware en HA.
Voor nieuwe SSL VPN-omgevingen moet men eerst de firewallconfiguratie en de afhankelijkheden van het portaal controleren. De werkwijze staat in Sophos Firewall SSL VPN Remote Access instellen.
Certificaten, FQDN’s en portalnamen plannen
Problemen met portalen lijken voor gebruikers vaak op een login- of VPN-fout, maar beginnen al bij DNS en certificaten. De vooraf geïnstalleerde, lokaal ondertekende certificaten veroorzaken in browsers doorgaans een vertrouwenswaarschuwing. Voor productieportalen moet daarom een certificaat worden gebruikt dat bij de FQDN past en door de clients wordt vertrouwd. Wanneer WebAdmin, VPN Portal, User Portal, Captive Portal en WAF vergelijkbare hostnamen of hetzelfde WAN-adres gebruiken, moet men de namen bewust scheiden en documenteren.
Typische planning:
- WebAdmin: bijvoorbeeld
admin.example.com. Alleen bereikbaar maken vanuit beheernetwerken, een passend certificaat gebruiken en MFA activeren. - VPN Portal: bijvoorbeeld
vpn.example.com. Het certificaat moet bij het downloadprofiel passen en Device Access moet bewust worden ingesteld. - User Portal: bijvoorbeeld
portal.example.com. Alleen actief laten wanneer de gebruikersfuncties echt nodig zijn. - Captive Portal: bijvoorbeeld
login.example.com. Certificaat, zone, Session Timeout en logoutgedrag testen. - WAF-toepassing: bijvoorbeeld
app.example.com. WAF-regel, SNI, domeinen en backendhost gezamenlijk controleren.
Wanneer de firewall zelf openbare certificaten moet aanvragen, is Let’s Encrypt-certificaten op Sophos Firewall instellen geschikt. Voor een gezamenlijk wildcardcertificaat voor meerdere systemen is Een Let’s Encrypt-wildcardcertificaat aanmaken het betere startpunt.
De operationele volgorde is belangrijk: plan eerst FQDN, DNS en certificaat, beperk daarna de toegang tot het portaal via Administration > Device access en Local Service ACL, en verspreid vervolgens Remote Access-profielen of WAF-regels. Na een wijziging van de SSL VPN-poort, het protocol, de interface of het SSL-servercertificaat moeten handmatig verspreide .ovpn-profielen opnieuw worden geïmporteerd. Bij uitsluitend een wijziging van FQDN of DNS moet afzonderlijk worden gecontroleerd of profielen, bladwijzers en monitoring nog naar de oude naam verwijzen.
Captive Portal correct plaatsen
Het Captive Portal is geen Remote Access-portaal. Het wordt gebruikt wanneer gebruikers in het netwerk zich eerst via een browser moeten aanmelden voordat de firewall het verkeer aan een gebruikersidentiteit kan koppelen. Dat kan nuttig zijn voor gasten, BYOD-apparaten of omgevingen zonder transparante gebruikersdetectie.
Voor een rechtstreeks door SFOS beheerd gastennetwerk met voucher of dagwachtwoord is de Wireless-hotspot de geschiktere procedure. De hotspothandleiding legt het toegangstype, de voucherlimieten, HTTPS en de automatisch aangemaakte firewallregel uit.
Voor de klassieke aanmelding met lokale, AD-, LDAP- of RADIUS-gebruikers behandelt Sophos Firewall Captive Portal instellen en testen het volledige traject van authenticatiemethode en DNS-regel tot gebruikersregel, Live users en Log Viewer.
Als de firewall tijdelijke accounts voor bezoekers moet genereren, legt Gastgebruikers op Sophos Firewall veilig aanmaken en beheren de afzonderlijke logica voor account, groep, geldigheid en opschoning uit.
Het standaardadres is https://<Firewall-IP>:8090. In dual-stacknetwerken moeten gebruikers zich afzonderlijk aanmelden voor IPv4- en IPv6-doelen. Wanneer MFA vereist is, moet de gebruiker het OTP eerst in het User Portal registreren en daarna het wachtwoord en OTP in het Captive Portal gebruiken.
Typische toepassingsgevallen:
- Gasten of BYOD-apparaten moeten zich aanmelden voordat internettoegang wordt toegestaan.
- Gebruikersgebaseerde firewallregels moeten werken, hoewel er geen STAS, SATC of ander transparant mechanisme beschikbaar is.
- Afzonderlijke netwerken hebben een eenvoudige gebruikerstoewijzing nodig zonder volledige Endpoint-integratie.
Captive Portal mag niet worden beschouwd als vervanging voor goede netwerksegmentatie. Wanneer een netwerk bijzonder beschermingswaardig is, blijft de scheiding via zones, VLAN’s en duidelijke firewallregels belangrijker. De basisprincipes staan in Zones en interfaces op Sophos Firewall plannen. Voor een klassieke gebruikerskoppeling met Active Directory is Active Directory aan Sophos Firewall koppelen geschikt.
Wanneer Captive Portal met Microsoft Entra ID SSO moet worden gebruikt, verschilt de werkwijze van die voor VPN Portal of Sophos Connect. Daarvoor is Microsoft Entra ID SSO voor Sophos Firewall Captive Portal instellen geschikt.
Belangrijk voor het beheer:
- Captive Portal vereist bereikbare lokale firewalldiensten. Device Access en Local Service ACL moeten daarop aansluiten.
- Session Timeouts moeten bij de omgeving passen. Te lange sessies vertroebelen de gebruikerstoewijzing, te korte sessies hinderen gebruikers.
- Logout, Group Mapping en Log Viewer moeten met echte testgebruikers worden gecontroleerd.
- De Captive Portal-opties voor automatisch afmelden gelden niet voor gebruikers die zich aanmelden met Microsoft Entra ID SSO. Voor dit proces is een afzonderlijke sessie- en logouttest nodig.
- In netwerken met gevoelige systemen is Captive Portal meestal niet sterk genoeg als enige controle.
Wanneer Captive Portal vanuit een netwerk niet bereikbaar is, moet men niet eerst de gewone firewallregels wijzigen. De oorzaak ligt vaak bij Administration > Device access, Local Service ACL Exception Rules, DNS, het certificaat of een onjuiste zonekoppeling. Voor lokale toegangscontrole is Device Access en Local Service ACL op Sophos Firewall relevant.
Beheer, documentatie en beveiliging
Naast het juiste portaal is het belangrijk dat toegang, documentatie en operationele processen regelmatig worden gecontroleerd.
Documentatie gericht controleren
Voor actuele technische details zijn de officiële Sophos Docs en Release Notes belangrijker dan oude blogposts of screenshots. Vooral bij SFOS-versies, Sophos Connect, licentiewijzigingen, platformondersteuning en bekende beperkingen moet men versieafhankelijke informatie vóór een productiewijziging controleren. In het artikel zelf moeten dergelijke bronnen alleen worden gekoppeld wanneer de beheerder ze voor de concrete werkstap werkelijk moet openen.
Bij firmwareonderwerpen telt niet alleen de beschikbaarheid van de download. Voor een update zijn platform, upgradepad, back-up, HA-status en bekende blockers belangrijk. De werkwijze staat in Sophos Firewall vóór een upgrade naar SFOS 22 controleren en Sophos Firewall Firmware Update - voorbereiding en best practices.
Beveiligingscontrole voor portaltoegang
Portalen zijn handig, maar elke login vormt een potentieel aanvalsoppervlak. Daarom moet men regelmatig controleren:
- Welke SophosID- en Central-beheerders bestaan nog?
- Is MFA actief voor SophosID, Sophos Central en firewallbeheerders?
- Zijn WebAdmin, SSH, User Portal, VPN Portal en SSL VPN alleen bereikbaar waar ze nodig zijn?
- Zijn er gedeelde beheerdersaccounts die moeten worden vervangen?
- Worden mislukte logins regelmatig gecontroleerd?
- Zijn oude VPN-profielen, oude gebruikers en voormalige dienstverleners verwijderd?
- Is er een recente back-up en zijn de hersteltoegangen bekend?
Voor lokale firewalldiensten is Device Access het centrale controlepunt. Voor langere logbewaring of Security Monitoring is Sophos Firewall Syslog naar een SIEM sturen nuttig.