Sophos Firewall als NTP-relay via NAT

In veel netwerken moeten clients, servers, switches, access points of speciale apparaten de Gateway-IP eenvoudigweg als tijdserver gebruiken. In dit scenario draait er echter geen volledige interne NTP-server op Sophos Firewall, die zelf de tijd voor clients levert.

De door Sophos beschreven oplossing is een NTP-relay via NAT. Apparaten sturen NTP naar het firewall-IP en Sophos Firewall vertaalt en verzendt de pakketten naar een echte tijdserver. De firewall wordt niet de tijdbron. Los daarvan is hij NTP-client voor zijn eigen klok.

Dit is met name handig als apparaten permanent zijn geconfigureerd op de Gateway-IP, als een eerdere UTM-omgeving is vervangen of als u NTP-doelen centraal wilt beheren. Voor nieuwe DHCP-ontwerpen is het vaak schoner om de juiste tijdserver rechtstreeks via de DHCP-optie te distribueren. De basisprincipes kunt u vinden in Sophos Firewall DHCP-opties configureren.

⚠️ Belangrijk: De Sophos Firewall mag geen open NTP-service bieden aan internet. Bronzones, bronnetwerken, doelservers en firewallregels moeten opzettelijk worden beperkt. WAN als Source Zone is meestal onjuist voor dit patroon.

Welke variant is geschikt?

NTP via NAT is een pragmatisch patroon, maar niet altijd de beste architectuur.

Voor dit artikel zijn twee varianten van belang:

• Variant A: Interne apparaten gebruiken de firewall IP als NTP-server, de firewall stuurt door naar een externe NTP-server.
• Variant B: Interne apparaten gebruiken de firewall IP als NTP-server, de firewall stuurt door naar een interne NTP-server. Bovendien moet de interne NTP-server toestemming krijgen om extern te synchroniseren.

De tweede variant heeft daarom twee NAT-regels en twee firewallregels nodig. Dit is het punt dat ontbreekt in veel korte opmerkingen over dit onderwerp.

Vereisten

Vóór de configuratie moeten deze punten duidelijk zijn:

• Welke interne netwerken mogen NTP gebruiken?
• Welk IP-adres gebruiken clients als NTP-bestemming, bijvoorbeeld de Gateway-IP?
• Welke echte NTP-server moet ik gebruiken?
• Moet er een interne tijdserver of een externe dienst zoals time.google.com of pool.ntp.org worden gebruikt?
• Kan de firewall op betrouwbare wijze DNS voor FQDN-doelen omzetten?
• Is de eigen systeemtijd van de firewall correct gesynchroniseerd? De juiste tijd is belangrijk voor tijdkritische functies zoals MFA, WAF-authenticatie, certificaten, logs, VPN en SIEM-correlatie. Als de firewall zelf een onjuiste tijd heeft, moet eerst de systeemtijd worden gecontroleerd voordat Client-NTP wordt omgeleid.

De volgende stappen gelden voor Sophos Firewall 22.0. De NTP-instellingen kunnen niet vanuit Sophos Fusion (voorheen Sophos Central) worden gesynchroniseerd; configureer ze in WebAdmin, via CLI of API. De stappen hieronder gebruiken WebAdmin.

De voorbeelden gebruiken bewust een IPv4-setup, waarbij bij het aanmaken van de host IP version: IPv4 wordt geselecteerd. In IPv6- of dual-stack-omgevingen moet dit patroon niet zomaar worden gekopieerd. Eerst moet duidelijk zijn of clients echt NTP via IPv6 nodig hebben, welke firewall- en NAT-functies gelden in de gebruikte SFOS-release en of DHCPv6, Router Advertisements of een directe interne tijdserver de schonere oplossing is.

Quick Reference

Voor ervaren beheerders is de korte logica eenvoudig: clients sturen UDP 123 naar het firewall- of gateway-IP. Een DNAT-regel herschrijft de bestemming naar de echte NTP-server, een firewallregel staat precies dit verkeer toe, en Log Viewer bevestigt daarna de Firewall Rule ID en NAT Rule ID.

Externe NTP-server: een DNAT-regel stuurt NTP vanaf het firewall-IP door naar het FQDN- of hostobject van de externe NTP-server. Een firewallregel staat NTP toe vanuit de betrokken interne bronnen richting WAN. Het kritieke veld is Original destination: dit moet naar het firewall- of gateway-IP wijzen.

Interne NTP-server: er zijn twee bewegingen nodig. Eerst moet de interne NTP-server zelf via SNAT/MASQ extern kunnen synchroniseren. Daarna stuurt een DNAT-regel clientverzoeken vanaf het firewall-IP door naar de interne NTP-server. Beide regelparen moeten apart in Log Viewer worden gecontroleerd.

Voor de eerste implementatie moet de regelpositie bewust hoog staan, meestal Top of boven brede LAN-to-WAN- en algemene NAT-regels. Daarna kan de positie in het bestaande regelconcept worden ingepast, zolang Log Viewer en Packet Capture blijven tonen dat de verwachte regel als eerste matcht.

Variant A: Gebruik externe NTP-server

Deze variant is geschikt als clients de firewall IP als NTP-server moeten gebruiken en er geen eigen interne tijdserver is. De firewall vertaalt het NTP-verzoek naar een externe tijdserver, bijvoorbeeld 1.sophos.pool.ntp.org, time.google.com of een bewust gekozen tijdserver van een provider.

Maak een FQDN-host voor externe NTP-server

Het menupad is:

Hosts and services > FQDN host

Werkwijze:

1. Selecteer Add.
2. Wijs Naam toe, bijvoorbeeld NTP_1_sophos_pool.
3. Voer de externe NTP-server in onder FQDN, bijvoorbeeld 1.sophos.pool.ntp.org.
4. Opslaan.

Als een interne of externe tijdserver met een vaste IP wordt gebruikt in plaats van FQDN, kan een normaal hostobject zinvoller zijn. Het is belangrijk dat het doel later duidelijk kan worden herkend in de NAT en firewallregel.

NAT-regel maken voor de externe NTP-server

De regel NAT zorgt ervoor dat NTP-verzoeken aan de firewall IP worden herschreven naar de externe tijdserver. Het menupad is:

Rules and policies > NAT rules

Werkwijze:

1. Selecteer Add NAT rule > New NAT rule.
2. Stel Rule name in, bijvoorbeeld DNAT_Client_NTP_to_External.
3. Stel Rule position in op Top of plaats deze boven de brede NAT-regels.
4. Stel Original source in op het betreffende interne netwerk, bijvoorbeeld LAN_NET of IOT_NET.
5. Stel Original destination in op de firewall of Gateway-IP die clients gebruiken als de NTP-server.
6. Voor Original service verwijdert u Any en selecteert u NTP.
7. Voor Translated source (SNAT) selecteert u MASQ.
8. Selecteer voor Translated destination (DNAT) de FQDN-host of de externe NTP-serverhost.
9. Verwijder bij Inbound interface Any en selecteer alle interne interfaces waarop de relay nodig is. Sophos staat als alternatief Any toe, maar een expliciete selectie voorkomt matches op ongewenste ingangen.
10. Opslaan.

    

⚠️ Laat Original destination niet open: als Original destination niet tot het firewall- of gateway-IP wordt beperkt, kan de regel afhankelijk van het overige NAT-ontwerp veel breder werken dan bedoeld. Dan wordt mogelijk niet alleen verkeer naar het firewall-IP doorgestuurd, maar ook NTP-verkeer uit het netwerk transparant omgebogen. Voor een gecontroleerde relay mag de regel alleen matchen wanneer clients werkelijk het firewall- of gateway-IP als NTP-bestemming gebruiken. In de detailweergave moet u vooral op vier punten letten: De oorspronkelijke bestemming moet werkelijk de firewall of Gateway-IP zijn, de service moet beperkt blijven tot NTP of UDP 123, de vertaalde bestemming moet verwijzen naar de geplande tijdserver en SNAT moet overeenkomen met de retourroute.

Als de basisbeginselen van NAT of de velden DNAT onduidelijk zijn, kan Begrijp NAT op Sophos Firewall: SNAT, DNAT, MASQ, PAT helpen. Het verklaart ook waarom NAT een firewall-release niet vervangt.

Firewallregel toestaan voor externe NTP

Volgens de NAT-regel is een geschikte firewallregel vereist. Hierdoor is NTP-verkeer van de interne netwerken naar de doelserver mogelijk. Het menupad is:

Rules and policies > Firewall rules

Werkwijze:

1. Selecteer Add firewall rule > New firewall rule.
2. Stel Rule name in, bijvoorbeeld LAN_to_External_NTP.
3. Stel Rule position in op Top of plaats de regel boven algemene LAN-to-WAN-regels als die anders eerst zouden matchen.
4. Activeer Log firewall traffic.
5. Stel Source zones in op de interne zones, bijvoorbeeld LAN, DMZ of een IoT-zone. WAN en Any zijn onjuist voor dit patroon.
6. Stel Source networks and devices in op de betrokken netwerken of apparaten. Geen algemene Any als alleen bepaalde netwerken NTP zouden moeten gebruiken.
7. Stel Destination zones in op WAN.
8. Stel Destination networks in op de externe NTP-host.
9. Stel Services in op NTP.
10. Stel Action in op Accept.
11. Opslaan.

In officiële of vereenvoudigde voorbeelden staat bij Source networks and devices soms Any. In een lab is dat handig, maar in productie zelden de beste keuze. Een concreet netwerkobject zoals LAN_NET, IOT_NET of een kleine hostgroep is netter, zodat later duidelijk blijft welke apparaten deze NTP-doorschakeling mogen gebruiken.

Bij inkomende DNAT beoordeelt Sophos Firewall eerst de NAT-regel en vergelijkt daarna de firewallregel met de vertaalde bestemming en de bijbehorende zone. Beperk Destination networks daarom tot de externe NTP-host; de zone blijft WAN.

Het inloggen op deze regel is handig voor de introductie. Na de test zou je in de Log Viewer moeten kunnen zien van welk clientnetwerk de aanvraag afkomstig is, welke Firewall Rule ID gebruikt is en of de verwachte NAT Rule ID ook zichtbaar is. Als er geen regel-ID of de verkeerde regel verschijnt, is de volgorde of overeenkomst van de regel belangrijker dan de NTP-configuratie zelf.

Voor regelstructuur, volgorde, Services en loggen past ook Sophos Firewall-regels begrijpen en correct configureren.

Variant B: Gebruik interne NTP-server

Deze variant is geschikt als een interne domeincontroller, Linux-tijdserver of ander intern systeem de tijdbron voor clients moet zijn, maar de clients de firewall IP blijven gebruiken als NTP-server.

Hier zijn twee paar regels nodig:

Host maken voor interne NTP-server

Het menupad is:

Hosts and services

Werkwijze:

1. Selecteer Add.
2. Stel Naam in, bijvoorbeeld NTP_Server_Internal.
3. Stel IP version in op IPv4 als IPv4 wordt gebruikt.
4. Stel Type in op IP.
5. Voer IP address van de interne NTP-server in.
6. Opslaan.

Regelpaar 1: Interne NTP-server synchroniseert extern

Ten eerste moet de interne NTP-server zelf een externe tijdserver kunnen bereiken als deze niet al elders is gesynchroniseerd.

NAT-regel:

1. Open Rules and policies > NAT rules.
2. Selecteer Add NAT rule > New NAT rule.
3. Stel Rule name in, bijvoorbeeld SNAT_Internal_NTP_to_WAN.
4. Stel Rule position in op Top of plaats de regel passend boven brede NAT-regels.
5. Stel Original source in om NTP_Server_Internal te hosten.
6. Voor Original service verwijdert u Any en selecteert u NTP.
7. Voor Translated source (SNAT) selecteert u MASQ.
8. Opslaan.

Firewallregel:

1. Open Rules and policies > Firewall rules.
2. Selecteer Add firewall rule > New firewall rule.
3. Stel Rule name in, bijvoorbeeld Internal_NTP_to_WAN.
4. Activeer Log firewall traffic.
5. Stel Source zones in op de zone van de interne NTP-server, bijvoorbeeld LAN.
6. Stel Source networks and devices in op NTP_Server_Internal.
7. Stel Destination zones in op WAN.
8. Stel Services in op NTP.
9. Opslaan.

Regelpaar 2: Leid clients naar de interne NTP-server via firewall-IP

Het daadwerkelijke doorsturen wordt dan opgebouwd: clients sturen NTP naar de firewall-IP, de firewall stuurt door naar de interne NTP-server.

NAT-regel:

1. Open Rules and policies > NAT rules.
2. Selecteer Add NAT rule > New NAT rule.
3. Stel Rule name in, bijvoorbeeld DNAT_Client_NTP_to_Internal.
4. Stel Rule position in op Top of plaats de regel boven algemene NAT-regels.
5. Stel Original source in op de betreffende interne clientnetwerken.
6. Stel Original destination in op de firewall of Gateway-IP die clients gebruiken als de NTP-bestemming.
7. Voor Original service verwijdert u Any en selecteert u NTP.
8. Voor Translated source (SNAT) selecteert u MASQ.
9. Voor Translated destination (DNAT) selecteert u NTP_Server_Internal.
10. Selecteer bij Inbound interface de betrokken interne clientinterfaces.
11. Opslaan.

Ook hier is Original destination beslissend: de regel mag alleen NTP-verzoeken vertalen die aan het firewall- of gateway-IP zijn gericht. Als dit veld te breed blijft, kan de firewall ook NTP-verzoeken oppikken die clients eigenlijk rechtstreeks naar een andere tijdserver wilden sturen.

Firewallregel:

1. Open Rules and policies > Firewall rules.
2. Selecteer Add firewall rule > New firewall rule.
3. Stel Rule name in, bijvoorbeeld LAN_to_Internal_NTP.
4. Activeer Log firewall traffic.
5. Stel Source zones in op de interne clientzones. Vermijd WAN en Any.
6. Stel Source networks and devices in op de betrokken clientnetwerken.
7. Stel Destination zones in op de zone van de interne NTP-server, bijvoorbeeld LAN of DMZ.
8. Stel Destination networks in op NTP_Server_Internal.
9. Stel Services in op NTP.
10. Stel Action in op Accept en sla de regel op. Ook hier wordt de firewallregel tegen de vertaalde bestemming beoordeeld. MASQ zorgt voor de retourroute via de firewall, maar verbergt het oorspronkelijke clientadres. Gebruik directe toegang met een passende retourroute als dat adres nodig is voor logging of toegangscontrole.

Als de interne NTP-server zelf een domeincontroller is, moet u bijzonder voorzichtig zijn. Niet elk clientnetwerk hoeft elke domeincontroller rechtstreeks te bereiken. NTP kan worden toegestaan ​​zonder even brede domeincontrollertoegangen te openen.

Operaties, beveiliging en testen

Classificeer IPS en beveiligingsfuncties

NTP is technisch gezien een kleine UDP-service, maar UDP 123 wordt in de praktijk ook relevant voor misbruik, misconfiguratie of ongewenste externe doelen. Als er een Network Protection-licentie beschikbaar is, kan een geschikt IPS-beleid voor de firewallregel zinvol zijn.

Belangrijker dan zoveel mogelijk beveiligingsfuncties bij de NTP is een strak ontwerp:

• Source Zone alleen intern: voorkomt dat de firewall zich gedraagt ​​als een openbaar NTP-relais.
• Bronnetwerken specifiek: beperkt NTP tot clients, servers of apparaten die deze doorsturing echt nodig hebben.
• Set Destination Server: voorkomt externe tijdservers en maakt logs evalueerbaar.
• Alleen service NTP: vermijdt een te brede UDP-regel.
• Logboekregistratie activeren: toont in Log Viewer of Firewall Rule ID en NAT Rule ID werken zoals verwacht.

IPS moet daarom worden gezien als extra controle, en niet als vervanging van een schone regel. Als de NTP-regel slechts enkele interne netwerken op een gedefinieerde tijdserver toestaat, wordt de belangrijkste veiligheidswinst al bereikt door reikwijdte en traceerbaarheid. Wanneer het om een ​​groot aantal netwerken, onduidelijke devices of IoT/OT-gebieden gaat, wordt een gericht IPS-beleid interessanter.

⚠️ IPS vereist een geschikte netwerkbeschermingslicentie. Als IPS is ingeschakeld op een veelgebruikte regel, moeten logboeken en prestaties worden gecontroleerd. Voor eenvoudig doorsturen van NTP is schone scoping belangrijker dan een onnodig brede combinatie van beveiligingsfuncties.

Als hiervoor een speciaal IPS-beleid wordt gebruikt, mag dit niet over de hele linie naar alle interne netwerken worden gekopieerd. Het is zinvoller om een ​​kleine regel te hebben met een duidelijke bron, een gedefinieerd NTP-doel, actieve registratie en daaropvolgende controle in de Log Viewer.

Andere beveiligingskenmerken moeten met NTP bewust voorzichtig worden behandeld. Voor deze eenvoudige UDP-service helpen Web Filtering, TLS Inspection, Application Control of Malware Scan meestal niet met de daadwerkelijke NTP-functie. Als dergelijke profielen actief zijn op een collectieve regel, moet worden nagegaan of NTP beter in een eigen, kleine regel zou kunnen worden geplaatst.

Verdeel NTP netjes met DHCP

Als de clients hun netwerkconfiguratie via DHCP ontvangen, moet u controleren of een NAT-forwarding überhaupt nodig is. Voor veel omgevingen is het schoner om de gewenste NTP-server rechtstreeks via DHCP te distribueren.

Als er een domeincontroller of centrale tijdserver aanwezig is, kan de DHCP-optie 42 rechtstreeks naar deze server verwijzen. NAT is vooral handig als apparaten de Gateway-IP al gebruiken of moeilijk opnieuw te configureren zijn. Voor speciale DHCP-opties is Sophos Firewall DHCP-opties configureren een beter begin.

Configureer de firewall afzonderlijk als NTP-client

De clientrelay is niet hetzelfde als de Sophos Firewall-systeemtijd configureren. Onder Administration > Time gebruikt Use predefined NTP server standaard NTPv3 en 0.sophos.pool.ntp.org. Use custom NTP server accepteert maximaal tien IPv4- of IPv6-adressen of DNS-namen en probeert ze in de getoonde volgorde. Do not use NTP server stelt de tijd handmatig in en wordt voor normaal beheer afgeraden.

Kies daarna Sync now en Apply. Current time wordt pas na het vernieuwen van WebAdmin bijgewerkt. Stel ook de juiste tijdzone in.

⚠️ VPN-impact: een wijziging van de NTP-servers bouwt alle IPsec-verbindingen opnieuw op. Plan hiervoor een onderhoudsvenster.

Controleer beide verkeersstromen afzonderlijk:

• Firewallsysteemtijd: relevant voor Log Viewer, certificaten, MFA, VPN, WAF authenticatie, rapporten, Syslog en ondersteuningsanalyse.
• Client-NTP via NAT: Apparaten in het interne netwerk ontvangen tijd via de Gateway-IP of een omgeleid NTP-adres.

Als de firewall zelf een onjuiste tijd of tijdzone heeft, kunnen loggegevens moeilijk te correleren zijn, kunnen certificaatcontroles mislukken of kan op tijd gebaseerde authenticatie zoals TOTP/MFA problemen veroorzaken. Vervolgens moeten eerst de firewallsysteemtijd en de firewall NTP-toegang worden gecorrigeerd. Alleen dan heeft het zin om client NTP te valideren via NAT.

Voor SIEM- of Syslog-omgevingen is dit punt bijzonder belangrijk: de firewall kan NTP-verkeer correct routeren en toch onjuiste tijdstempels naar een SIEM verzenden als zijn eigen tijd of tijdzone onjuist is.

Voor het doorsturen van logbestanden is Sophos Firewall Syslog naar SIEM geschikt. Voor MFA-problemen moet MFA voor Sophos Firewall WebAdmin, VPN Portal- en externe toegang inschakelen ook worden opgenomen.

Test NTP en isoleer fouten

Na het opslaan moet u niet alleen controleren of de regel bestaat. Cruciaal is of een client NTP echt kan synchroniseren en of aan de verwachte NAT en firewallregel wordt voldaan.

De test begint voor beide varianten hetzelfde: een client uit het getroffen netwerk gebruikt de firewall of Gateway-IP als NTP-server. Vervolgens wordt een tijdsynchronisatie geactiveerd of wordt er even gewacht totdat de client NTP verzendt.

Open Log viewer rechtsboven in WebAdmin. In de Firewall-module kunt u via Add filter filteren op regel, IP-adres of poort; met de vrije zoekfunctie vindt u ook 123, het client-IP of de regelnaam. UDP-sessies kunnen vertraagd verschijnen, omdat firewallregels een sessie loggen zodra ze de afsluitende gebeurtenis Destroy ontvangen.

Bij variant A moet zichtbaar zijn:

• De client komt uit het verwachte interne netwerk.
• De NTP-firewallregel voor externe NTP-hits.
• De regel DNAT komt overeen met de externe tijdbron.
• Het doel is de geplande externe NTP-server.

Voor variant B moeten twee dingen worden gecontroleerd:

• De interne NTP-server mag NTP extern verzenden.
• De clients worden via DNAT van de firewall-IP naar de interne NTP-server geleid. Gebruik bij twijfel Diagnostics > Packet capture. Onder Configure beperkt port 123 de capture tot NTP. Het inkomende pakket moet client, firewall-IP en UDP 123 tonen; het doorgestuurde pakket de vertaalde bestemming. NAT ID en Rule ID moeten overeenkomen. Incoming en Forwarded bevestigen het pad; Consumed is verkeer voor de firewall zelf, terwijl Violation en Reason een drop verklaren.

Als er geen logbestanden zichtbaar zijn, kan het verzoek helemaal niet naar de client worden verzonden, registreert de firewallregel niet of volgt het verkeer een ander pad. Test firewallregel met Log Viewer, Policy Test en Packet Capture is geschikt voor de systematische controle.

Voor firewall-specifieke NTP-problemen is het NTP-clientlogboek ook relevant. Het logoverzicht vindt u in Sophos Firewall Probleemoplossing: Services en logs.

Korte aanvaarding

Vóór een productieve voltooiing moeten vijf punten correct zijn:

1. Clients gebruiken de firewall of Gateway-IP daadwerkelijk als NTP-server.
2. De NTP-regels staan ​​alleen de beoogde interne bronnetwerken toe.
3. De verwachte Firewall Rule ID en NAT Rule ID zijn zichtbaar in de Log Viewer.
4. De firewallsysteemtijd is afzonderlijk correct.
5. Na DHCP, VLAN, NAT of regelwijzigingen wordt NTP opnieuw getest.

Typische fouten

• WAN toegestaan als Source Zone: De firewall kan onbedoeld fungeren als een open NTP-relais. Beperk bronzones tot interne zones.
• Any voor bron en bestemming: De regel is moeilijk te controleren. Definieer bronnetwerken en doelservers specifiek.
• NAT-regel aanwezig, maar geen firewallregel: Verkeer wordt vertaald maar niet toegestaan. Controleer Log Viewer op regel-ID en NAT-ID.
• Firewallregel zonder loggen: Foutanalyse wordt onnodig moeilijk. Activeer Log firewall traffic tenminste tijdens de test.
• FQDN-doel wordt niet omgezet: Het DNAT-doel is niet bereikt. Controleer de DNS-resolutie van de firewall.
• Client gebruikt andere NTP-server: Er wordt nooit aan de regel voldaan. Controleer de clientconfiguratie of de DHCP-optie.
• Tijdserver reageert niet: De client blijft niet gesynchroniseerd. Controleer de bestemmingsserver, routering en UDP 123.

Terugdraaien

Schakel eerst de nieuwe client-DNAT-regel uit en test opnieuw; schakel daarna de bijbehorende firewallregel uit. Verwijder bij variant B de SNAT- en WAN-regel van de interne server alleen als die niet meer nodig zijn voor zijn synchronisatie. Verwijder regels en speciale hostobjecten pas nadat hits en afhankelijkheden zijn gecontroleerd. Geef clients daarna een bereikbare NTP-server, bijvoorbeeld via DHCP-optie 42.

Veelgestelde vragen