Windows Firewall beheren met Sophos Fusion Endpoint
De Windows Firewall Policy in Sophos Fusion (voorheen Sophos Central) monitort of configureert de in Windows ingebouwde hostfirewall. Ze maakt geen detailregels: uitzonderingen blijven lokale Windows Firewall-regels of worden via een daarvoor bestemd systeem zoals Group Policy of MDM uitgerold.
Productgrens: Deze policy geldt voor Windows-computers en Windows-servers. Ze heeft niets te maken met een Sophos Firewall-appliance, netwerkregels, NAT, VPN of Central Firewall Management. Voor computers is het pad My Products > Endpoint > Policies; voor servers My Products > Server > Policies.
Snel aan de slag
- Kies Add Policy, selecteer Windows Firewall als functie en bij Endpoint het benodigde policytype.
- Wijs op de policydetailpagina de benodigde apparaten of groepen toe.
- Begin onder Settings > Monitor Type met Monitor Only.
- Schakel de policy in en leg de gemelde status en bestaande regels in een pilotgroep vast.
- Schakel pas daarna over op Monitor & Configure Network Profiles en stel inkomende verbindingen in voor Domain Networks, Private Networks en Public Networks.
Deze voorzichtige start is belangrijk: Sophos waarschuwt uitdrukkelijk dat andere firewalls en Windows Group Policy de toepassing van de policy kunnen beïnvloeden. De bestaande regelset moet ook communicatie met Sophos blijven toestaan.
Het juiste Monitor Type kiezen
| Modus | Betekenis |
|---|---|
| Disabled | Verwijdert de Sophos-firewallcomponent van de Endpoint; deze keuze staat in de actuele Endpoint-help, maar niet in de afzonderlijke Server-policy |
| Monitor Only | Rapporteert de firewallstatus zonder profielen te wijzigen |
| Monitor & Configure Network Profiles | Rapporteert de status en stelt per netwerkprofiel de gekozen actie voor inkomende verbindingen in |
Monitor Only is de gedocumenteerde standaard en de veilige basis bij bestaand GPO- of MDM-beheer. Disabled betekent niet alleen “niet configureren”: op Endpoint-computers wordt de component verwijderd. Voor Windows-servers documenteert Sophos alleen Monitor Only en Monitor & Configure Network Profiles.
Inkomende verbindingen per netwerkprofiel
Domain, Private en Public bieden drie acties:
- Block All: blokkeert alle inkomende verbindingen voor het profiel.
- Block (with exceptions): blokkeert inkomende verbindingen, behalve wanneer een lokaal op de computer of server ingestelde uitzondering ze toestaat. Zonder uitzonderingen wordt alles geblokkeerd.
- Allow All: staat alle inkomende verbindingen voor het profiel toe.
Volgens Sophos regelen deze keuzes inkomende verbindingen; het zijn geen algemene regels voor uitgaand verkeer. Block (with exceptions) is meestal de verstandige productiebasis. Allow All vergroot het aanvalsoppervlak; Block All kan beheer, authenticatie, printen, bestandstoegang en support onderbreken.
Windows-profiel en regeleigenaar bepalen
Windows past het profiel Domain, Private of Public toe op basis van het gedetecteerde netwerk. Een apparaat dat lid is van een domein gebruikt Domain automatisch wanneer het een domeincontroller detecteert. Public is de standaard voor onbekende netwerken. Neem daarom minstens één apparaat per werkelijk gebruikt profiel op in de pilot.
Wanneer Sophos Fusion de profielen configureert, verhindert de policy wijzigingen aan Windows Firewall via Windows Security Center. Dat is bedoeld gedrag, maar kan het helpdeskproces veranderen.
Wijs vóór Configure Mode een eigenaar voor de detailregels aan. Sophos Fusion stelt hier alleen de profielactie in. Windows-beheer bepaalt nog steeds welke lokale regels mogen worden samengevoegd en welke uit GPO of MDM komen. Expliciete Windows Block-regels gaan vóór conflicterende Allow-regels; een zichtbare uitzondering garandeert dus geen verbinding.
Veilig uitrollen naar een pilotgroep
1. Uitgangssituatie vastleggen
Neem computers of servers uit de werkelijk gebruikte profielen op, plus een thuiswerkclient als dat scenario voorkomt. Leg in Monitor Only actieve profielen, lokale regels, GPO- of MDM-instellingen, firewalls van derden en toepassingen met inkomende verbindingen vast.
2. Policy configureren
Selecteer onder Settings > Monitor Type de optie Monitor & Configure Network Profiles. Kies bewust een actie voor Domain Networks, Private Networks en Public Networks. Rol vóór de omschakeling noodzakelijke uitzonderingen lokaal of via het afgesproken Windows-beheerkanaal uit en beperk ze tot de juiste profielen. Plaats de pilotpolicy in de policylijst boven algemenere Windows Firewall-policies, omdat Sophos Fusion de eerste actieve policy met een passende scope toepast. Wijzig en controleer in de pilot eerst slechts één profiel dat daadwerkelijk wordt gebruikt.
3. Effect valideren
Controleer na opslaan eerst of de policy is ingeschakeld en aan het testapparaat is toegewezen. Open daarna My Environment > Computers & Servers > testapparaat > Policies en controleer of de naam van de pilotpolicy wordt weergegeven als de daadwerkelijk toegepaste policy voor Windows Firewall. Test pas daarna per actief profiel noodzakelijke inkomende verbindingen, zoals Remote Support, printen of goedgekeurde client-serverdiensten. Sophos Fusion-communicatie, DNS, DHCP, aanmelden, softwaredistributie en normale Endpoint-werking blijven onderdeel van de acceptatie. Alleen een groene status bewijst niet dat elke benodigde verbinding werkt.
4. Veilig terugkeren
Behoud vóór de wijziging geteste beheertoegang die onafhankelijk is van het getroffen netwerkpad. Zet bij onverwachte blokkades dezelfde policy terug op Monitor Only, sla op, wacht tot het testapparaat de wijziging ontvangt en test opnieuw. Als Sophos Fusion-communicatie al is verbroken, volstaat remote rollback via hetzelfde pad niet; gebruik de voorbereide alternatieve toegang. Disabled is geen snelle rollback, omdat dit de component op Endpoint-computers verwijdert.
Een andere geregistreerde firewall monitoren
Als een andere hostfirewall bij Windows Security Center is geregistreerd, kan Sophos de status monitoren. Dat betekent niet dat Sophos Fusion de regels kan configureren. Een groene status bevestigt alleen de door Windows gemelde bescherming, niet de kwaliteit van alle regels.
Troubleshooting per symptoom
Controleer bij onverwacht geblokkeerd verkeer eerst het actieve Windows-netwerkprofiel, de daadwerkelijk toegepaste Sophos-policy en de effectieve Windows Firewall-regels. Controleer daarna de resulterende beleidsset (RSoP) van de GPO’s, MDM-instellingen en geregistreerde securityproducten. Let vooral op conflicterende expliciete Block-regels en uitzonderingen die alleen voor het verkeerde profiel gelden.
Als een gebruiker Windows Firewall niet meer in Security Center kan wijzigen, is dat verwacht in Configure Mode. Pas bij behoefte aan lokale wijzigingen het operationele model aan en manipuleer niet de Endpoint-agent.
Als Sophos Fusion een onjuiste status toont, controleer dan Windows Security Center, de geregistreerde firewall, servicestatus, events en policyontvangst. Na een componentwijziging kan een herstart nodig zijn. Een brede Threat Protection-uitzondering repareert de firewallpolicy niet. Gebruik geen oude Registry- of Audit Policy-workarounds op actuele agents. Leg de geïnstalleerde agentversie en het tijdvenster van het incident vast en gebruik vervolgens Sophos Endpoint Updates, Cache en Message Relay om het begin te correleren met componentwijzigingen en bekende releaseproblemen te controleren. Is er geen overeenkomst, escaleer dan naar Sophos Support met de exacte agentversie, tijdstempels en logs.
Verwante artikelen
Sophos Fusion Endpoint-policies correct opbouwen legt policytoewijzing uit. Netwerktoegang van de agent en proxyvereisten worden afzonderlijk behandeld.