Advanced Firewall Settings op Sophos Firewall veilig controleren

De Advanced Firewall Settings van Sophos Firewall zijn geen verzameling onschuldige gemaksopties. Veel waarden werken globaal op pakketinspectie, verbindingsstatus of time-outs. Een wijziging kan daarom meerdere firewallregels, VPN’s, toepassingen en gebruikerspaden tegelijk beïnvloeden.

Het veilige startpunt is altijd alleen-lezen: show advanced-firewall toont de huidige status. Pas wanneer een reproduceerbaar probleem precies bij één parameter past, wordt één instelling tijdens een onderhoudsvenster gewijzigd. De vorige waarde, een controlevergelijking en de rollback moeten al vóór de set-opdracht zijn gedocumenteerd.

⚠️ Neem Advanced Firewall Settings niet over uit een tuninglijst. De gedocumenteerde standaardwaarden passen bij de meeste omgevingen. Globale beveiligingsfuncties zoals strict-policy of tcp-seq-checking mogen niet op basis van een vermoeden worden uitgeschakeld en time-outs mogen niet zonder gemeten toepassingsbehoefte worden verhoogd.

Veilige korte procedure

1. Leg het exacte symptoom vast in Log Viewer, Packet Capture en de betrokken toepassing, inclusief tijdstip, bron, bestemming, service en richting.
2. Bewaar de huidige status vanuit de Device Console met show advanced-firewall.
3. Controleer of er al een gespecialiseerd artikel voor de parameter bestaat en of firewallregel, NAT, routing, MTU of peer een waarschijnlijkere oorzaak is.
4. Wijzig slechts één globale waarde en bereid de vorige waarde als direct bruikbare rollback-opdracht voor.
5. Test de betrokken flow en minstens één niet-gerelateerde controleflow opnieuw.
6. Herstel de gedocumenteerde beginwaarde onmiddellijk als de wijziging niet duidelijk helpt of nieuwe symptomen veroorzaakt.

Een groene verbinding of één geslaagde ping is geen voldoende acceptatiebewijs. Afhankelijk van de wijziging moeten ook Rule ID, NAT Rule ID, TCP- of UDP-gedrag, pakketstroom, toepassingsfunctie en retourrichting kloppen. De procedure staat in Een Sophos Firewall-regel correct testen.

Status lezen en werking begrijpen

De opdrachten worden uitgevoerd in de Device Console, niet in de Advanced Shell. Kies na de SSH-aanmelding 4. Device Console in het consolemenu. Toegang, controle van de host key en beperkte beheerstoegang worden uitgelegd in Sophos Firewall CLI-troubleshooting.

show advanced-firewall

De uitvoer is een baseline, geen Health Check. Een waarde kan correct worden weergegeven en toch niet bij een toepassing passen. Omgekeerd bewijst een afwijking van de standaardwaarde op zichzelf geen fout. Van belang zijn het moment en de reden van configuratie en welk meetbaar gedrag daardoor verandert.

Globaal in plaats van per firewallregel

set advanced-firewall wijzigt niet één firewallregel. De parameters bevinden zich onder of naast de normale policy-evaluatie. Een globaal verhoogde UDP-time-out geldt daarom niet alleen voor één VoIP-regel. Ook beperkt tcp-seq-checking off de versoepeling niet tot één server.

Vóór elke wijziging worden vier zaken vastgelegd: huidige waarde, specifieke testflow, verwachte werking en herstelopdracht. Zonder een gerichte positieve en negatieve test is de wijziging nog niet klaar voor productie.

Toegang en pakketinspectie beveiligen

WebAdmin wereldwijd vanaf WAN blokkeren

restrict-admin-console-wan-access is een grove globale beveiligingsschakelaar. Met enable wordt WebAdmin voor alle WAN-bronnen uitgeschakeld; Sophos documenteert enable als standaard. De schijnbaar omgekeerde formulering is belangrijk: enable activeert de beperking, niet de WAN-toegang.

set advanced-firewall restrict-admin-console-wan-access enable

Deze beveiliging wordt niet simpelweg met disable geopend voor één vaste beheerbron. Controleer eerst of een beheer-VPN, Sophos Central of een gerichte Local Service ACL Exception volstaat. Het veilige ontwerp staat in Device Access en Local Service ACL.

ICMP, fragmenten en IPv6-extensies

icmp-error-message regelt ICMP-foutmeldingen zoals Network, Host of Port Unreachable. De gedocumenteerde standaard is allow. Een algemene deny kan belangrijke fout- en Path MTU-signalen verbergen en diagnose bemoeilijken.

fragmented-traffic staat gefragmenteerd IP-verkeer toe of weigert het; de standaard is allow. Fragmentatie is niet automatisch een aanval. Vóór een globale deny moeten MTU, PMTUD, VPN-overhead, protocol en de werkelijke pakketstroom duidelijk zijn.

ipv6-unknown-extension-header behandelt IPv6-pakketten met onbekende Extension Headers. Sophos documenteert deny als standaard. Versoepeling vereist een bewezen legitieme toepassing en een IPv6 Packet Capture, niet alleen een algemeen bereikbaarheidsprobleem.

ipv6-ready-logo-compliance staat standaard op off. Met on past de firewall zijn gedrag aan het formele IPv6 Ready Logo-testprogramma aan. Dit is noch de schakelaar om IPv6 te activeren, noch een algemene IPv6-workaround. De basis en acceptatie van een productie-IPv6-pad staan in IPv6-ondersteuning op Sophos Firewall.

strict-policy staat standaard op on en verwijdert bepaalde ongebruikelijke pakketten en IP-gebaseerde aanvallen. Voor de concrete fout Invalid TCP reserved bit bestaat de gerichte procedure Accurate ECN en Strict Policy controleren. Zonder dit of gelijkwaardig bewijs blijft de functie actief.

ftpbounce-prevention beschermt tegen FTP-bounceaanvallen waarbij een PORT-opdracht een vreemd adres van een derde bevat. De parameter maakt onderscheid tussen controle op de control- of dataverbinding; Sophos documenteert control als standaard. Een wijziging naar data wordt alleen beoordeeld met een duidelijk FTP-compatibiliteitsgeval, een gerichte regel en een gedocumenteerde bestandsoverdrachttest.

TCP-gedrag gericht controleren

Sophos activeert Selective Acknowledgement standaard met tcp-selective-acknowledgement on. Met SACK kan de ontvanger precies aangeven welke segmenten ontbreken, zodat niet het hele TCP-venster opnieuw hoeft te worden verzonden. tcp-window-scaling on is eveneens standaard en maakt vensters groter dan 64 KB mogelijk. Beide functies helpen vooral op paden met hoge bandbreedte of latentie; uitschakelen is geen algemene stabiliteitsoplossing.

tcp-frto en tcp-timestamp staan standaard op off. F-RTO verbetert het herstel aan de zenderzijde na Retransmission Timeouts, vooral wanneer verlies door willekeurige radio-interferentie in plaats van congestie ontstaat. TCP Timestamps maken een nauwkeurigere round-tripmeting mogelijk. Activeer elke optie alleen met een reproduceerbare TCP-test en controlevergelijking, niet samen als algemene prestatietuning.

Sequentiecontrole en midstreamverbindingen

Met tcp-seq-checking on controleert de firewall standaard of Sequence en Acknowledgement Numbers bij de bekende TCP-status passen. Sommige niet-RFC-conforme toepassingen kunnen ongeldige sequentienummers verzenden. off versoepelt deze controle echter globaal. Packet Capture, de dropreden en de peer moeten het vermoeden eerst ondersteunen.

midstream-connection-pickup staat standaard op off. Met on kan de firewall TCP-verbindingen overnemen die al lopen maar nog niet worden gevolgd. Sophos noemt als voorbeelden de introductie van een bridge in een actief netwerk of bijzondere asymmetrische ontwerpen. De optie vervangt noch symmetrische routing, noch correcte firewallregels en mag na een migratie niet zonder reden actief blijven.

Idle time-out voor gevestigde TCP-verbindingen

tcp-est-idle-timeout bepaalt hoelang een gevestigde maar inactieve TCP-verbinding in status blijft. Het toegestane bereik is 2700 tot 432000 seconden.

Een langere levensduur kan een toepassing met werkelijk lange rustperioden helpen, maar vergroot ook het aantal oude statussen en lost geen time-outs op server, load balancer, NAT-gateway of client op. Vergelijk beide eindpunten, keepalives en het tijdstip van de onderbreking vóór een aanpassing. Herstel de vorige numerieke waarde expliciet als de test geen duidelijk voordeel oplevert.

UDP-statussen op de toepassing afstemmen

UDP heeft geen TCP-handshake. Sophos onderscheidt daarom twee globale tijdwaarden. udp-timeout geldt voor UDP-verbindingen die nog niet als stream zijn herkend. udp-timeout-stream geldt zodra beide eindpunten via dezelfde poort tussen netwerksegmenten verkeer hebben verzonden. Beide waarden ondersteunen 30 tot 3600 seconden.

set advanced-firewall udp-timeout <30-3600>
set advanced-firewall udp-timeout-stream <30-3600>

Een hoge waarde is niet automatisch beter. Statussen blijven langer bestaan, maar er kunnen ook verouderde sessies en meer toestanden ontstaan. Controleer bij VoIP, SIP of RTP signalering, mediapoorten, beide richtingen en het exacte tijdstip van de audio-onderbreking samen. De gespecialiseerde procedure staat in VoIP op Sophos Firewall optimaliseren en controleren.

Bypass en NAT voor systeemverkeer niet verwarren

Stateful firewall alleen bij een bewezen speciaal geval omzeilen

bypass-stateful-firewall-config sluit hosts of netwerken uit van het normale stateful-firewallpad. Sophos vereist vermeldingen in beide richtingen voor een volledig uitgaand verbindingspad. Het aantal mogelijke vermeldingen is niet beperkt, maar juist daardoor kan een oude bypasslijst snel onoverzichtelijk en beveiligingskritisch worden.

Een bypassregel is geen snelle Allow-regel en geen normale prestatieschakelaar. De regel kan policy-evaluatie, logging en beveiligingsfuncties omzeilen. Syntaxis, bidirectionele test en rollback staan in Een Sophos Firewall-bypassregel veilig gebruiken.

NAT voor verkeer dat door de firewall wordt gegenereerd

sys-traffic-nat wijzigt het bronadres van verkeer dat de firewall zelf naar een specifieke bestemming genereert. destination en snatip zijn verplicht; interface en netmask kunnen de vermelding indien nodig verder beperken.

Dit vervangt geen normale SNAT- of MASQ-regel voor doorgestuurd clientverkeer. Het maakt ook geen route. Typische speciale gevallen en veilige verwijdering staan afzonderlijk in Interface-alias voor systeemverkeer, SD-WAN-routing voor Reply Packets en systeemverkeer en IPsec Route en systeemverkeer.

Een wijziging accepteren en terugdraaien

Bewaar show advanced-firewall vóór en na de wijziging. Herhaal vervolgens exact dezelfde gecontroleerde test met dezelfde bron, bestemming, service, richting en waar mogelijk vergelijkbare belasting. Het resultaat ondersteunt de wijziging alleen wanneer het verwachte symptoom verdwijnt en een niet-gerelateerde controleflow ongewijzigd blijft.

De rollback gebruikt dezelfde parameter met de eerder gedocumenteerde waarde. Herstel bij een numerieke waarde de werkelijk opgeslagen beginwaarde en niet een veronderstelde standaard. Herstel bij on, off, allow, deny, enable of disable eveneens de status uit de baseline.

Als de wijziging niet helpt

• Geen verschil in de betrokken flow: Herstel de beginwaarde en controleer regel, NAT, route, peer of toepassing.
• Alleen nieuwe sessies reageren anders: Beëindig oude verbindingen gecontroleerd of gebruik een nieuwe testflow; bestaande statussen kunnen de beoordeling vertekenen.
• Andere toepassingen worden instabiel: Voer onmiddellijk een rollback uit. Dit toont de globale werking aan, niet de noodzaak voor meer Advanced Firewall-wijzigingen.
• HA-cluster: Documenteer status en test op het verwerkende knooppunt en herhaal de controle met een nieuwe verbinding na een geplande failover. Ga niet uit van een ononderbroken overdracht van een gewijzigde verbindingsstatus.

Operationele checklist

• Beginuitvoer van show advanced-firewall, tijd, build en verantwoordelijke persoon gedocumenteerd.
• Eén parameter geselecteerd met een concreet probleem en verwachte werking.
• Globale gevolgen voor beveiliging en prestaties beoordeeld.
• Rollback met de werkelijke vorige waarde voorbereid.
• Betrokken flow, retourrichting en niet-gerelateerde controleflow getest.
• Bypass- en sys-traffic-nat-vermeldingen afzonderlijk geïnventariseerd.
• show advanced-firewall na de test opnieuw opgeslagen en onnodige wijziging teruggedraaid.

FAQ