Sophos DNS Protection instellen met Sophos Firewall

Sophos DNS Protection controleert DNS-query’s via een cloudservice en beheert policies en rapporten in Sophos Central. Hiermee kunnen schadelijke domeinen, phishing, Command-and-Control-doelen en ongewenste categorieën worden geblokkeerd voordat een client de eigenlijke verbinding opbouwt.

Met Sophos Firewall is de duidelijkste standaardopzet meestal: clients gebruiken de firewall als DNS-resolver, de firewall stuurt openbare query’s door naar DNS Protection en interne domeinen gaan via DNS Request Routes naar interne DNS-servers.

DNS Protection vervangt geen Web Protection, Threat Feeds of NDR en Active Threat Response. Het vult deze controles op DNS-niveau aan.

Beslissing en doelarchitectuur

DNS is een basisfunctie. Als de resolver traag, instabiel of te beperkend is, ervaren gebruikers dit al snel als een algemene netwerkstoring. Gebruik DNS Protection daarom alleen wanneer de meerwaarde van Central-policies, categorieën, logs of bescherming van roaming-clients de extra operationele inspanning rechtvaardigt.

Volgens Avanet zijn snelle, redundante resolvers in combinatie met goed onderhouden Threat Feeds voor veel klassieke firewallinstallaties de pragmatischere oplossing. DNS Protection past vooral wanneer:

• DNS-query’s zichtbaar moeten zijn in Sophos Central.
• locaties verschillende DNS-policies nodig hebben.
• categorieën al tijdens de naamomzetting moeten worden geblokkeerd.
• clients geen willekeurige openbare resolvers mogen gebruiken.
• beheerde Windows-endpoints ook buiten het bedrijfsnetwerk beschermd moeten worden.

Het aanbevolen firewallpad ziet er als volgt uit:

1. Sophos Central kent de vestiging als Location.
2. Sophos Central levert twee DNS Protection-IP-adressen.
3. Sophos Firewall gebruikt beide adressen als DNS Forwarder.
4. DNS Request Routes sturen interne zones naar interne DNS-servers.
5. DHCP deelt de firewall als resolver uit aan clients.
6. Optioneel dwingt een NAT-regel klassiek DNS-verkeer naar dit pad.
7. Sophos Central registreert en beoordeelt de openbare DNS-query’s.

Er moet onderscheid worden gemaakt tussen twee methoden:

• Traditional DNS over IPv4: voor firewalls, routers en lokale resolvers. Sophos koppelt query’s aan de Location op basis van het openbare bron-IP of een DDNS-FQDN.
• Secure DNS: DNS over HTTPS (DoH) voor compatibele apparaten. Sophos Endpoint kan dit pad beheren op ondersteunde Windows-endpoints; Windows en macOS kunnen ook handmatig voor Secure DNS worden ingesteld.

Een aangepaste Location kan beide methoden ondersteunen. Voor forwarding via de firewall moeten Traditional DNS en het openbare IP of FQDN zijn ingesteld.

Vóór de rollout moeten licentie, openbare uitgaande adressen, interne DNS-zones, DHCP-servers en verantwoordelijken voor policies en uitzonderingen duidelijk zijn. Xstream Protection dekt zelfstandige DNS Protection. Endpoint DNS Protection vereist Workspace Protection en daarnaast een passende Sophos Endpoint-licentie.

De vooraf gedefinieerde Location Default kan voor Secure DNS worden gebruikt en aan policies worden toegewezen, maar kan niet worden gewijzigd of verwijderd. Er zijn maximaal 50 Locations en 100 openbare IPv4-/FQDN-vermeldingen per Location toegestaan. Maak Locations daarom per vestiging en internet-egress, niet per VLAN.

DNS Protection instellen

1. Een Location maken in Sophos Central

My Products > DNS Protection > Locations

1. Selecteer Add en voer een unieke naam voor de vestiging in.
2. Activeer Traditional DNS over IPv4.
3. Voer het openbare WAN-IP of een stabiele DDNS-FQDN in.
4. Houd bij Multi-WAN rekening met alle daadwerkelijk gebruikte uitgaande adressen.
5. Sla de Location op.

Privé-IP-adressen zijn ongeldig. Sophos moet het openbare bron-IP herkennen waarmee de query de service bereikt. Bij dynamische adressen controleert Sophos de DDNS-naam regelmatig, maar na een wijziging kan toch kort een onderbreking optreden. Bij Cloudflare moet het DDNS-record op DNS only staan en mag het niet via de proxy lopen.

Bij CGNAT of een gedeeld provider-IP wordt het adres gekoppeld aan het klantaccount dat het als eerste registreert. Een FQDN lost dit niet op wanneer die naar hetzelfde gedeelde IP verwijst; hiervoor is een uniek openbaar IP nodig.

2. DNS Protection-IP-adressen overnemen

My Products > DNS Protection > Installers

Onder Installers staan twee DNS Protection-IP-adressen. Kopieer deze waarden altijd uit de eigen Central-tenant en gebruik ze als DNS 1 en DNS 2. Een externe resolver als extra fallback kan bescherming en zichtbaarheid omzeilen.

De IP-adressen zijn ook beschikbaar wanneer Secure DNS actief is. Voor het firewallpad is bepalend dat Traditional DNS met het openbare uitgaande adres eveneens in de Location is ingesteld.

3. De firewall als DNS Forwarder configureren

Network > DNS

1. Selecteer Static DNS.
2. Vul DNS 1 en DNS 2 in met de twee Central-adressen.
3. Laat DNS 3 leeg, tenzij er een bewust gedocumenteerde uitzondering is.
4. Selecteer bij IPv6 eveneens Static DNS en voer geen IPv6-DNS-servers in.
5. Activeer Choose IPv4 DNS server over IPv6.
6. Sla de configuratie op.

De service werkt via IPv4, maar kan ook AAAA-records en daarmee IPv6-doelen omzetten. Bij SD-WAN, failover of Policy Routing moet het werkelijke uitgaande pad overeenkomen met een openbaar adres dat in de Location is vastgelegd.

4. Interne domeinen doorsturen

Network > DNS
DNS request route section > Add

DNS Protection zet geen interne zones om. Voor Active Directory, interne applicaties en reverse lookups zijn daarom DNS Request Routes nodig.

Voorbeeld:

• Host/domain name: firma.local of corp.example.com
• Target servers: interne domeincontrollers of DNS-servers

De volledige procedure staat in DNS Request Routes configureren op Sophos Firewall. Openbaar geregistreerde interne domeinen moeten bovendien in een domeinlijst worden toegestaan wanneer een categorie zoals Parked Domains ze blokkeert.

5. Clients via DHCP naar de firewall laten wijzen

Network > DHCP

1. Bewerk de DHCP-server van het betreffende netwerk.
2. Deel het interne interface-IP van de firewall uit als DNS-server.
3. Vernieuw de lease op een testclient.
4. Controleer welke resolver daadwerkelijk wordt gebruikt.

Sophos toont als voorbeeld het firewall-IP als Primary DNS en een DNS Protection-IP als Secondary DNS. Clients behandelen de tweede vermelding echter niet noodzakelijk als pure noodserver. Rechtstreekse query’s naar DNS Protection omzeilen de DNS Request Routes van de firewall. In netwerken met Active Directory of interne zones moet redundantie daarom in het resolverpad worden gerealiseerd, niet met een willekeurige tweede client-DNS-server.

6. Directe DNS-omzeiling voorkomen

Een optionele DNAT-regel kan klassiek DNS-verkeer van interne clients naar de firewall omleiden:

• Original source: betreffende interne netwerken
• Original destination: uitgaande hostgroep of Internet IPv4
• Original service: DNS
• Translated destination: intern firewall-IP
• Inbound interfaces: alleen interfaces die bij de interne bronnen horen, nooit WAN
• Position: hoog, vóór algemenere NAT-regels

Uitzonderingen voor interne DNS-servers en speciale apparaten moeten worden gedocumenteerd. De regel omvat alleen DNS via UDP/TCP 53. DoH en DoT vereisen aparte controles via browser, MDM, endpoint of Web Policy. Test vóór activering de interne naamomzetting, VPN, het gastnetwerk en de logs. De regelwerking wordt nader uitgelegd in NAT op Sophos Firewall begrijpen.

Policies, endpoints en blokpagina’s

Filtering Policy en domeinlijsten

Een Filtering Policy wordt onder DNS Protection > Policies > Filtering policies aan een of meer Locations toegewezen. Per Location kan slechts één Filtering Policy actief zijn. Naast categorieën kunnen domeinlijsten en opties zoals Safe Search worden gedefinieerd.

Domeinlijsten moeten een doel, Owner en reviewdatum hebben. Een Allow list overschrijft normale categoriebeslissingen, maar geen SophosLabs-classificatie als Threat of Security Risk. Bovendien kan een toegestaan domein geblokkeerd blijven wanneer zijn CNAME-doel tot een geblokkeerde categorie behoort.

Voor de categorieën zijn vooral deze beslissingen belangrijk:

• Infrastructure: sta Content delivery, CRL en OCSP normaal toe, omdat updates en certificaatcontroles ervan afhankelijk kunnen zijn.
• Threats and liabilities: blokkeer categorieën zoals Phishing, Malware, Newly Registered Websites of Anonymizers doorgaans en los False Positives gericht op.
• Data loss: beoordeel cloudopslag en webmail volgens DLP- en compliancevereisten.
• Uncategorized: blokkeer niet blind; nieuwe legitieme of interne services kunnen tijdelijk ongecategoriseerd zijn.
• Productiviteit, Social Media en bandbreedte: beslis op basis van netwerk en bedrijfsbehoefte, niet als algemene beveiligingsregel.

Endpoint DNS Protection

De Endpoint DNS Protection Policy is bedoeld voor beheerde Windows-endpoints die ook buiten het bedrijfsnetwerk beschermd moeten worden. Sophos Endpoint onderschept DNS-query’s en stuurt ze via HTTPS naar de Secure-DNS-Location. De bijbehorende Filtering Policy bepaalt de daadwerkelijke filtering.

De policy ondersteunt momenteel geen Windows Server of macOS. Voor macOS bestaat een apart pad met een handmatig Secure DNS-profiel; Linux, mobiele apparaten en speciale apparaten vereisen eveneens een eigen netwerk-, VPN- of MDM-oplossing. Controleer vóór een rollout de actuele vereisten voor het Endpoint-pakket in Sophos Central, want die kunnen op korte termijn veranderen.

Interne zones worden in de Endpoint Policy expliciet als Domain Exclusions onderhouden. Dit is betrouwbaarder dan opnieuw proberen na NXDOMAIN en voorkomt onnodige externe query’s. Het DNS Protection Root Certificate kan automatisch op ondersteunde endpoints worden verspreid.

Root Certificate en blokpagina

Voor HTTPS-blokpagina’s moeten clients het DNS Protection Root Certificate vertrouwen. Het is niet hetzelfde certificaat als de firewall-CA voor TLS Inspection; de distributie daarvan wordt beschreven in Sophos Firewall CA-certificaat voor TLS Inspection verspreiden.

Het certificaat en de configuratietest staan onder DNS Protection > Installers. Daarnaast moet blockpage.dnsprotection.sophos.com bereikbaar zijn.

In Web Proxy Mode kan Pharming Protection de blokpagina verstoren. Voordat beveiligingsfuncties wereldwijd worden uitgeschakeld, moet het blokpaginadomein via een gerichte HTTP/HTTPS-firewallregel zonder Web Filter worden toegestaan en in een TLS-regel op Do not decrypt worden gezet.

Pilot, rollout en acceptatie

Activeer DNS Protection eerst in een klein pilotnetwerk. Documenteer interne zones, reverse lookups en kritieke services, stel DNS Request Routes in en bereid een duidelijke rollback naar de eerdere resolvers voor. Servernetwerken hebben een eigen testvenster nodig, omdat licentiecontrole, updates, CRL/OCSP, back-ups of clustercommunicatie afhankelijk kunnen zijn van DNS.

Vóór de brede rollout moeten deze tests slagen:

• een openbaar domein wordt via de bedoelde resolver omgezet.
• het interne AD-domein en de reverse lookup werken via DNS Request Routes.
• de configuratietest onder Installers toont de verwachte bevestiging.
• een onschadelijk domein dat bewust door een testpolicy is geblokkeerd, wordt geblokkeerd en aan de juiste Location toegewezen.
• logs verschijnen na de verwachte rapportagevertraging in Sophos Central.
• het gastnetwerk gebruikt het geplande DNS-pad, maar geen interne DNS-servers.
• de VPN-client ontvangt passende resolvers en DNS-suffixen.
• Browser DoH, Private Relay of lokale profielen omzeilen de controle niet onverwacht.
• de rollback naar de vorige resolver is getest of duidelijk gedocumenteerd.

Testopdrachten voor clients

Windows:

ipconfig /all
nslookup example.com
nslookup example.com <firewall-ip>
Resolve-DnsName example.com

macOS:

scutil --dns
dig example.com
dig @<firewall-ip> example.com

Linux met systemd-resolved en geïnstalleerde dig:

resolvectl status
dig example.com
dig @<firewall-ip> example.com

Vervang <firewall-ip> door het interne interfaceadres van Sophos Firewall. Werkt de expliciete query naar de firewall wel maar de normale query niet, dan ligt de oorzaak meestal bij DHCP, VPN, Browser DoH of een lokale DNS-configuratie. De opdrachten tonen de gebruikte clientresolver en diens antwoord, maar bewijzen op zichzelf niet welke upstream de firewall gebruikt.

Interne zone testen:

dig @<firewall-ip> interner-host.corp.example.com

Deze query moet via de juiste DNS Request Route bij de interne DNS-server terechtkomen.

Troubleshooting

De Location verschijnt niet in Sophos Central

Controleer het openbare WAN-IP, de DDNS-FQDN en de daadwerkelijke Multi-WAN-uitgang. Een niet ingesteld bron-IP kan door de DNS Protection-service worden geweigerd. Controleer bij dynamische adressen of de FQDN extern naar het huidige IP verwijst; Cloudflare-records moeten op DNS only staan.

Onder My Environment > Alerts verschijnen ongeldige FQDN’s en IP-conflicten. Bij CGNAT of gedeelde proxy-/VPN-uitgangen wint de eerst geregistreerde Location. Een andere FQDN op hetzelfde IP verandert deze koppeling niet.

Interne namen werken niet meer

Controleer DNS Request Routes, interne DNS-servers, reverse zones, zoekdomeinen en clientsuffixen. Zorg ook dat de client de firewall of bedoelde interne resolver gebruikt en niet rechtstreeks een DNS Protection-IP.

Een intern of legitiem domein wordt geblokkeerd

Controleer categorisering, domeinlijst en CNAME-doel. Een beperkte uitzondering is beter dan een hele categorie openstellen. SophosLabs-classificaties Threat en Security Risk kunnen niet met een Allow domain list worden overschreven.

Logs blijven leeg

Dashboard en rapporten lopen ongeveer 15 tot 25 minuten achter op realtime. Controleer pas daarna DHCP, client-DNS, firewall-DNS, NAT-omleiding, alternatieve resolvers, VPN-profielen en Location-toewijzing.

Met EDR, XDR of MDR kan Threat Analysis Center > Live Discover daarnaast DNS Protection-gegevens zoals Domain, Policy Action, Location en Source IP analyseren. Gebruikers- en apparaatvelden staan voor endpointgegevens in de standaardrapporten, niet in het gedocumenteerde firewall-DNS-schema van Live Discover.

De blokpagina verschijnt niet

Controleer het DNS Protection Root Certificate, het DNS-pad en de bereikbaarheid van blockpage.dnsprotection.sophos.com. Controleer in Web Proxy Mode ook Pharming Protection, de HTTP/HTTPS-regel en de TLS-uitzondering Do not decrypt. VPN, Browser DoH en Apple Private Relay kunnen de test eveneens langs DNS Protection leiden.

DoH of Private DNS omzeilt de controle

Een NAT-omleiding voor poort 53 omvat geen DoH of DoT. Browser-, besturingssysteem- en MDM-policies moeten dergelijke resolvers controleren. Secure DNS in DNS Protection gebruikt DoH; een eigen DNS Protection-modus via DoT is niet gedocumenteerd.

VPN-clients gedragen zich anders dan LAN-clients

Controleer toegewezen DNS-servers, DNS-suffixen, Split DNS, Full of Split Tunnel en lokale resolvers. DNS Protection kan op kantoor werken en bij externe toegang toch worden omzeild. De basiskeuze voor VPN wordt uitgelegd in Sophos Connect of SSL VPN: welke oplossing voor externe toegang past?.

Beheer

DNS Protection is geen eenmalige vervanging van de DNS-server. Controleer regelmatig:

• Locations, openbare uitgaande adressen en DDNS-resolutie.
• DHCP-instellingen en interne DNS Request Routes.
• policies, domeinlijsten, Owner en reviewdatums.
• meest geblokkeerde domeinen en gedocumenteerde False Positives.
• nieuwe locaties, gastnetwerken, VPN-paden en endpointplatforms.
• certificaatdistributie en bereikbaarheid van het blokpaginadomein.
• rapporten na wijzigingen en het vastgelegde rollbackpad.

Wie deze punten niet doorlopend wil beheren, is vaak beter af met robuuste resolvers en gerichte beveiligingscontroles. DNS Protection loont waar policies, rapportage en endpointbescherming daadwerkelijk worden gebruikt en bewaakt.