Sophos Firewall op Azure implementeren en routeren
Sophos Firewall kan vanuit Azure Marketplace als één appliance of via een Load Balancer-template met twee firewalls worden geïmplementeerd. Sophos noemt het tweede ontwerp active-active, maar het is geen native SFOS-HA-cluster. Configuratie, sessies en status worden niet gesynchroniseerd zoals tussen twee HA-appliances.
⚠️ Azure-routing hoort bij de firewallconfiguratie. Een correcte SFOS-regel is niet genoeg wanneer een User Defined Route, Network Security Group of het retourpad van de Load Balancer ontbreekt. Valideer elke vrijgave als volledige heen- en terugweg.
Bedrijfsmodel en licentie kiezen
| Model | Licentie | Belangrijke grens |
|---|---|---|
| Standalone | BYOL of PAYG | Eén appliance zonder native Azure-HA, geschikt voor kleine en beheersbare ontwerpen. |
| Active-active met Load Balancer | Twee BYOL-licenties of twee PAYG-instances | Cloudredundantie via Azure Load Balancer, geen SFOS-HA. Active-passive en VPN-tunnelbeheer via deze template worden niet ondersteund. |
Voor standalone adviseert Sophos minimaal Standard_F2s_v2, twee vCPU en 4 GB RAM. Gebruik een statisch toegewezen publiek IP met Standard SKU. Basic SKU is uitgefaseerd en hoort niet in nieuwe implementaties.
Standalone vanuit Marketplace implementeren
- Selecteer Sophos Firewall in Azure Marketplace en kies BYOL of PAYG.
- Definieer Resource Group, regio en grootte. VNet, subnetten en externe netwerken mogen niet overlappen.
- Koppel PortA aan WAN en PortB aan LAN. Open NSG’s aanvankelijk alleen voor vereiste beheerbronnen.
- Voltooi de implementatie en open WebAdmin op
https://<public-ip>:4444. - Rond setup, registratie, licentie en firmware gecontroleerd af.
- Zet het private adres van de LAN-NIC op Static. Voeg aan het LAN-subnet een UDR
0.0.0.0/0toe met Virtual appliance en dit LAN-adres als Next Hop. - Test IP Forwarding, NSG’s, SFOS-regels en retourpad met een gedefinieerde client.
De UDR dwingt uitgaand LAN-verkeer door de firewall. Zonder UDR gebruikt Azure het standaardpad. Een route-based verbinding met Azure VPN Gateway gebruikt de XFRM-interface daarnaast met statische routes, SD-WAN of BGP.
Active-active met Load Balancer beheren
De Sophos-template maakt twee firewalls en een publieke en interne Azure Load Balancer. Standaard gebruikt ze een /16 VNet en /24 WAN- en LAN-subnetten; pas de adresruimten voor implementatie aan de architectuur aan.
Health probes bereiken WebAdmin op 4444 en de proxy op 3128. Azure gebruikt daarvoor platformadres 168.63.129.16. Sophos maakt passende SD-WAN-routes via PortA. Deze runbookroutes blijven mogelijk niet bestaan na een firmware-upgrade; voer het meegeleverde Automation Runbook daarna opnieuw uit en controleer het.
De eerste firewall gebruikt standaard 4444 en SSH 2222, de tweede 4445 en 2223. Sta deze poorten alleen toe vanaf vaste beheerbronnen. De LAN-UDR wijst 0.0.0.0/0 naar het frontendadres van de interne Load Balancer.
DNAT en retourpad
De publieke Load Balancer verdeelt de inkomende service over beide firewalls en de SFOS-DNAT-regel vertaalt naar de interne server. Het ontwerp gebruikt MASQ zodat het antwoord via dezelfde firewall en Load Balancer terugkeert. Zonder symmetrisch retourpad werken verbindingen onregelmatig of slechts in één richting.
Directe RDP-publicatie wordt niet aanbevolen. Gebruik liever VPN of ZTNA. Als publicatie nodig is, beperk bron, service en bestemming in Azure en SFOS, activeer logging en IPS en voer een negatieve test uit.
Acceptatie en beheer
Acceptatie omvat beide firewalls, probes, Backend Pool, UDR’s, NSG’s, Rule ID’s, DNAT, internetuitgang en retourpad. Controleer na iedere firmware-upgrade de routes naar 168.63.129.16, probe-poorten en het Automation Runbook. Azure-snapshots vervangen geen geëxporteerde SFOS-back-up.