Sophos Firewall CA-certificaat distribueren voor TLS Inspection

Wanneer een Sophos Firewall HTTPS-verbindingen ontsleutelt via TLS Inspection- of HTTPS-scanning, maakt de firewall een nieuw certificaat aan voor de verbinding die wordt gecontroleerd en ondertekent dit met een lokale CA. Clients moeten deze CA vertrouwen, anders verschijnen er browserwaarschuwingen of verbreken applicaties de verbinding.

De ingebouwde CA SecurityAppliance_SSL_CA is standaard beschikbaar in Sophos Firewall. Deze CA kan worden gedownload op Certificates > Certificate authorities en worden gedistribueerd naar beheerde clients. Maar het is niet alleen belangrijk dat er een Sophos CA op de clients staat. De gedistribueerde CA moet overeenkomen met de CA die daadwerkelijk wordt gebruikt voor het opnieuw ondertekenen in de TLS Inspectionconfiguratie.

Een omgeving met een eigen enterprise-PKI kan in plaats daarvan een toegewezen ondergeschikte CA voor Sophos Firewall TLS-inspectie uitgeven. Deze route houdt de signing-key op de firewall en koppelt vertrouwen aan de bestaande enterprise root-CA, maar vereist een gecontroleerd PKI- en pilotproces.

Naast de ingebouwde CA kunt u een extern gegenereerde signing-CA importeren, of op de firewall een Certificate Signing Request (CSR) maken en een externe CA, zoals Active Directory Certificate Services, een ondergeschikte signing-CA laten uitgeven. Importeer bij een externe signing-CA zowel de ondergeschikte signing-CA als de root-CA op de firewall. Clients hebben het bijbehorende openbare vertrouwensanker en de benodigde openbare keten nodig, niet de private signing key. De gekoppelde PKI-procedure behandelt de uitgifte; de volgende stappen behandelen selectie, distributie en controle.

SecurityAppliance_SSL_CA is niet de ingebouwde CA Default voor lokaal ondertekende certificaten. Als die andere trust anchor moet worden geroteerd, geldt de procedure De Sophos Firewall Default CA gecontroleerd vernieuwen. Vervang beide CA-objecten niet samen op goed geluk.

Afhankelijk van de bedrijfsmodus wordt deze selectie op verschillende plaatsen gecontroleerd: voor op DPI gebaseerde SSL/TLS Inspectionregels is de CA onder Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings relevant. Een Decryption Profile dat aan de regel is toegewezen, kan deze globale waarden overschrijven. Voor de webproxy bevindt de CA voor HTTPS-scannen zich onder Web > General settings > HTTPS decryption and scanning. Als het actieve pad een andere CA selecteert dan de CA die de clients vertrouwen, ontstaan certificaatfouten, ook al is er een Sophos CA gedistribueerd.

Het artikel TLS Inspection op Sophos Firewall correct invoeren beschrijft de gehele uitrol. Deze handleiding richt zich op het distribueren van het CA-certificaat naar Windows, macOS en Firefox.

Wat dit certificaat doet

Het Sophos Firewall CA-certificaat is geen servercertificaat voor WebAdmin, WAF of VPN Portal. Het is de vertrouwensbasis waarmee clients de HTTPS-verbindingen accepteren die opnieuw door de firewall zijn ondertekend.

De scheiding is belangrijk:

• Firewall CA: ondertekent nieuw gegenereerde certificaten tijdens TLS Inspection.
• Re-Signing CA of HTTPS Scanning CA: de specifiek geselecteerde CA die de firewall gebruikt in DPI-modus of webproxymodus.
• Client Trust Store: beslist of browsers en applicaties deze CA vertrouwen.
• SSL/TLS Inspectionregel: bepaalt welk verkeer wordt ontsleuteld.
• Decryptieprofiel: bepaalt hoe strikt met certificaten, TLS-versies en fouten wordt omgegaan.
• Uitsluitingslijst: voorkomt ontsleuteling voor problematische of opzettelijk uitgesloten doelen.

Alleen de CA-distributie activeert TLS Inspection niet. De distributie voorkomt alleen dat beheerde clients certificaatwaarschuwingen weergeven voor ontsleuteld HTTPS-verkeer. Of verkeer daadwerkelijk wordt ontsleuteld, hangt af van firewallregels, webbeleid, SSL/TLS Inspectionregels, ontsleutelingsprofielen en uitzonderingen.

Bovendien vervangt CA-distributie geen schone protocolcontrole. SSL/TLS Inspectionregels zijn van toepassing op TCP-verkeer. Als het webverkeer via QUIC of HTTP/3 op UDP 443 loopt, ziet de controle er anders uit en moet deze afzonderlijk worden behandeld.

Vóór de uitrol

Vóór distributie moet duidelijk zijn welke clients TLS Inspection moeten gebruiken. Een CA-certificaat hoort niet ongecontroleerd op elk apparaat thuis, maar specifiek op beheerde bedrijfsclients.

Voorbereiding:

• Definieer een testgroep of test-OU.
• Verduidelijk de bedrijfsmodus: DPI-modus, webproxy of beide varianten.
• Documenteer de geselecteerde CA in SSL/TLS inspection settings, de gebruikte Decryption Profiles en Web General settings.
• Documenteer het rollback- en uitzonderingsproces.
• Download CA-certificaat alleen vanuit uw eigen firewall.
• Test de distributie eerst op een paar apparaten.
• Controleer browsers, bedrijfsapplicaties en updates na distributie.
• Evalueer mobiele apparaten en apps afzonderlijk met hun eigen truststore of certificaatpinning.
• Verwijder oude of niet meer gebruikte CA-certificaten uit de Client Trust Store.

⚠️ Let op: Als de CA of privésleutel is gecompromitteerd, is herverdeling niet voldoende. Vervolgens moet de CA op de firewall opnieuw worden gegenereerd, opnieuw worden gedistribueerd en moet de oude CA van de clients worden verwijderd.

Selecteer distributieroute

Het juiste distributiepad is afhankelijk van de manier waarop de apparaten worden beheerd.

• Windows Domain Clients: Gebruik GPO in Trusted Root Certification Authorities. Dit is de schoonste manier voor klassieke Active Directory-omgevingen.
• Windows zonder domein: Gebruik MDM, Intune of lokale import. Lokale import is geschikter voor tests of individuele apparaten.
• macOS: Gebruik MDM-profiel of sleutelhanger System. Handmatige installatie is meer geschikt voor test- of kleine omgevingen.
• Firefox: Gebruik Windows Trust Store of implementeer Mozilla Enterprise Policies. Het gedrag van Firefox moet afzonderlijk worden gecontroleerd.
• BYOD of persoonlijke apparaten: distribueer de CA hier normaal gesproken niet. TLS Inspection hoort op beheerde bedrijfsapparaten.
• Server: alleen distribueren naar doelbewust geteste serverworkloads. Uitgaand serververkeer kan andere risico’s en uitzonderingen met zich meebrengen.

In productie moet de uitrol ook kunnen worden teruggedraaid. Wie de CA via GPO, MDM of beleid distribueert, moet daarom ook testen hoe het oude CA-certificaat uit de vertrouwensopslag van clients wordt verwijderd. Dat is niet hetzelfde als het intrekken van een certificaat binnen de PKI.

Sophos Firewall CA downloaden

De webproxyregel en CA voorbereiden

Open voor een webproxypilot Rules and policies > Firewall rules, kies IPv4 of IPv6 en maak een regel via Add firewall rule > New firewall rule. Gebruik bijvoorbeeld de vrij te kiezen naam TLS-CA-Pilot, stel Source zones in op LAN, Source networks and devices op het pilotnetwerk, Destination zones op WAN en Destination networks op de bedoelde bestemmingen. Pas zones, netwerken en bestemmingen aan het werkelijke pad aan; geef niet alle clients onbeperkt toegang voor een certificaattest.

Leg vóór wijzigingen de eerdere regelwaarden en CA-selectie vast voor de rollback. Controleer afzonderlijk HTTPS scanning certificate authority (CA) onder Web > General settings > HTTPS decryption and scanning, distribueer eerst het openbare certificaat naar alle betrokken pilotapparaten en verifieer het vertrouwen aan de hand van de fingerprint. De gedeelde webproxy-CA is globaal: een wijziging is geen CA-pilot per regel, raakt alle webproxyclients en vereist vooraf hun vertrouwen en een onderhoudsvenster.

Kies pas daarna in de geselecteerde firewallregel onder Security features > Web filtering het passende webbeleid, schakel Scan HTTP and decrypted HTTPS, Use web proxy instead of DPI engine en uitdrukkelijk Decrypt HTTPS during web proxy filtering in en sla op met Save. De scanoptie alleen ontsleutelt niet; CA-selectie onder Web > General settings vervangt de ontsleutelingsoptie van de firewallregel niet.

Controleer bij de eerste configuratie onder Certificates > Certificate authorities > Default of alle instellingen van de Default CA zijn ingevuld. Dit is een configuratiecontrole, geen opdracht om de CA opnieuw te genereren of Default te verspreiden in plaats van de actieve SecurityAppliance_SSL_CA.

Het openbare CA-certificaat downloaden

Op de Sophos Firewall wordt het certificaat gedownload in de webinterface:

1. Meld u als beheerder aan bij Sophos Firewall.
2. Certificates > Certificate authorities openen.
3. Zoek de CA SecurityAppliance_SSL_CA of de bewust gebruikte eigen CA.
4. Download het certificaat met behulp van het downloadsymbool.
5. Controleer vervolgens of dezelfde CA is geselecteerd in de actieve TLS Inspectionconfiguratie.

Het certificaat is dan doorgaans beschikbaar als SecurityAppliance_SSL_CA.pem. Dit bestand bevat het openbare deel van de CA en kan naar clients worden gedistribueerd. De privésleutel mag niet onder clients worden verdeeld.

Voor een handmatige pilot kunt u het gecontroleerde openbare bestand via het bedrijfsintranet of een gecontroleerde e-maildistributie aanbieden. Gebruikers slaan het lokaal op en vergelijken de identiteit met de afzonderlijk vastgelegde certificaatgegevens voordat ze vertrouwen verlenen. Voor grotere groepen blijft GPO of MDM de voorkeursroute.

In SFOS 22 kunt u de werkelijk geselecteerde CA ook rechtstreeks downloaden op de plaats waar deze wordt gebruikt. In het DPI-pad staat het downloadpictogram naast Re-sign RSA with en Re-sign EC with. Als twee verschillende CA’s zijn geselecteerd, moeten de betrokken clients beide vertrouwen. In het Web Proxy-pad staat het pictogram naast HTTPS scanning certificate authority (CA). Downloaden op de gebruikslocatie verkleint het risico dat een gelijknamig maar niet actief CA-object wordt verspreid.

Het bestand moet worden behandeld als een beveiligingsgerelateerd configuratie-item. Het publieke deel is geen wachtwoord, maar bepaalt welke CA clients vertrouwen. Het bestand moet daarom uit de eigen productiefirewall komen, van versiebeheer zijn voorzien of ten minste traceerbaar worden opgeslagen en niet uit oude projecten worden hergebruikt. Leg vóór distributie Subject, Issuer, serienummer, geldigheidsduur en fingerprint uit de certificaatdetails vast. Vergelijk deze waarden na de import op ten minste één pilotclient; alleen de weergavenaam is geen betrouwbaar identiteitsbewijs.

Er zijn twee extra paden voor het controleren van de actieve CA:

• DPI-modus: Open Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings en vergelijk de daar geselecteerde CA met het gedownloade bestand. Als de actieve regel een Decryption Profile gebruikt, controleer dan ook de Re-Signing CA daarvan.
• Web Proxy: Open Web > General settings > HTTPS decryption and scanning en controleer de HTTPS Scanning CA.

Deze controle voorkomt een veelvoorkomende uitrolfout: de standaard-CA wordt naar de clients gedistribueerd, terwijl de firewall al een andere CA in een Decryption Profile of in de webproxy gebruikt.

Windows: Certificaat distribueren via GPO

In Active Directory-omgevingen is een groepsbeleid de schoonste manier. Edge, Chrome en veel Windows-applicaties vertrouwen op het Windows-certificaatarchief.

Aanbevolen pad in Groepsbeleidsbeheer:

Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Root Certification Authorities > Certificates

Werkwijze:

1. Open Groepsbeleidsbeheer op een domeincontroller of beheerdersclient.
2. Gebruik het bestaande GPO voor de clientbasislijn of maak een nieuw GPO voor de TLS Inspectiontestgroep.
3. Ga naar pad Trusted Root Certification Authorities > Certificates.
4. Klik met de rechtermuisknop in de certificaatlijst.
5. Selecteer All Tasks > Import.
6. Importeer SecurityAppliance_SSL_CA.pem.
7. Koppel de GPO aan de bedoelde test-OU. Gebruik een beveiligingsgroep zo nodig via beveiligingsfiltering, niet als koppelingsdoel voor de GPO.
8. Voer gpupdate /force uit op een testclient of wacht op de reguliere update.

Voor productieomgevingen mag het GPO niet rechtstreeks op alle computers worden toegepast. Een test-OU verkleint het risico als een certificaat verkeerd wordt geïmporteerd of een applicatie onverwacht reageert.

Windows: certificaat lokaal installeren

Het certificaat kan lokaal worden geïmporteerd voor individuele testapparaten. Er zijn twee verstandige varianten:

• Certificaatarchief van de lokale computer: geldt voor alle gebruikers op het apparaat en is meestal de juiste keuze voor beheerde clients.
• Certificaatarchief van de huidige gebruiker: geldt alleen voor de aangemelde gebruiker en is soms voldoende voor tests.

Voor de lokale computer:

1. Meld u aan als lokale beheerder.
2. Start certlm.msc.
3. Trusted Root Certification Authorities > Certificates openen.
4. Klik met de rechtermuisknop in de certificatenlijst.
5. Selecteer All Tasks > Import.
6. Importeer SecurityAppliance_SSL_CA.pem.

Als alternatief kan certmgr.msc voor de huidige gebruiker worden gebruikt.

Na het importeren moeten browsers en applicaties opnieuw worden opgestart. Voor sommige toepassingen is het zinvol om uit te loggen of de client opnieuw op te starten.

macOS: het certificaat vertrouwen in de sleutelhanger

Op macOS wordt het certificaat geïmporteerd via Keychain Access.

Voor één gebruiker is ook de login-sleutelhanger mogelijk: open het gedownloade bestand met een dubbelklik in Keychain Access, controleer de identiteit en kies Always Trust. Safari gebruikt dit macOS-vertrouwen ook. Voor een beheerde uitrol op het hele apparaat blijft System of MDM geschikt; verwar gebruikersscope en systeemscope niet.

Werkwijze:

1. Kopieer SecurityAppliance_SSL_CA.pem naar de Mac.
2. Open het certificaat door te dubbelklikken.
3. Plaats het in de sleutelhanger System of distribueer het met een beheerd MDM-profiel.
4. Open het certificaat en kies onder Trust de optie Always Trust.
5. Bevestig de wijziging met een beheerdersaccount.
6. Start de browser en de betrokken applicaties opnieuw.

In grotere macOS-omgevingen zou distributie via MDM moeten plaatsvinden. Handmatige installatie is meer geschikt voor testen of individuele apparaten.

Mobiele apparaten met Sophos Mobile

⚠️ Android: installatie is geen toestemming voor ontsleuteling. Sophos beschrijft CA-import, maar adviseert vanwege certificaatfouten ook alle Android-apparaten uit te sluiten van SSL/TLS-inspectie via DPI. Deze handleiding gaat daarom standaard uit van DPI-uitsluiting voor alle Android-apparaten. De volgende Android-import- en HTTPS-teststappen gelden alleen voor een afzonderlijk goedgekeurde, nauw afgebakende pilot op beheerde apparaten: een vastgelegde bedrijfsbehoefte moet de afwijking voor benoemde apparaten en applicaties rechtvaardigen. Controleer vóór goedkeuring de werkelijk gebruikte truststore en elke betrokken applicatie; draai bij fouten de pilot terug en herstel de uitsluiting. MDM-installatie omzeilt certificate pinning niet en zorgt er niet voor dat alle apps de CA vertrouwen. Het DPI-advies is geen algemene uitspraak over webproxycompatibiliteit; ook dat pad vereist afzonderlijke applicatievalidatie.

Handmatige mobiele pilot

Als het apparaat het PEM-bestand niet accepteert, kan omzetting naar een compatibel certificaatformaat zoals .der, .cer of .crt nodig zijn. Alleen de extensie bepaalt de codering niet; gebruik nooit een privésleutelbestand. Menunamen verschillen per Android-versie en fabrikant. Een Pixel-voorbeeld gebruikt Settings > Security & location > Advanced > Encryption & credentials:

1. Kies onder Credential storage Install from storage of Install from SD card.
2. Kies in de bestandskiezer via Menu > Open from de opslaglocatie en open het openbare certificaatbestand.
3. Voer de apparaat-PIN in, geef het certificaat een herkenbare naam en kies VPN and apps voor deze app-pilot; Wi-Fi is de andere aangeboden categorie. Bevestig met OK.
4. Controleer identiteit en import onder User credentials en test daarna een ontsleutelde HTTPS-aanvraag. Een geslaagde import garandeert niet dat iedere Android-app het gebruikerscertificaatarchief vertrouwt.

Bied voor een handmatige iOS-pilot het openbare CA-bestand op het apparaat aan en importeer het. Verleen onder Settings > General > About > Certificate Trust Settings > Enable full trust for root certificates alleen vertrouwen aan het geïdentificeerde rootcertificaat en test HTTPS. Schakel niet meerdere onbekende root-CA’s in.

Centraal via de apparaatpolicy distribueren

Voor een groter aantal beheerde Android-, iOS- en iPadOS-apparaten moet de CA via een MDM-policy worden gedistribueerd. Sophos Mobile kan het rootcertificaat rechtstreeks toevoegen aan de apparaatpolicy die al is toegewezen. Apple adviseert MDM of Apple Configurator; met Apple Configurator wordt eerst op macOS een configuratieprofiel gemaakt. Verbind daarna een of meer iOS-apparaten met de Mac om het profiel met het CA-certificaat te installeren.

Voorbeeld voor iOS en iPadOS in Sophos Mobile:

Rootcertificaten die op iOS- en iPadOS-apparaten via MDM of Apple Configurator worden geïnstalleerd, worden automatisch vertrouwd. Dit verschilt van een handmatige import; de controle hieronder is geen opdracht om reeds ingeschakeld vertrouwen te wijzigen.

1. Open Policies > iOS & iPadOS.
2. Selecteer de policy die al aan de bedoelde apparaten is toegewezen.
3. Selecteer op de pagina Edit policy Add > Root certificate.
4. Gebruik onder Root certificate Upload a file om uitsluitend het openbare CA-certificaat te uploaden dat de apparaten volgens de geplande keten moeten vertrouwen. Voor SecurityAppliance_SSL_CA is dit het openbare CA-deel dat uit SFOS is gedownload.
5. Sla op met Apply en daarna Save.
6. Gebruik in de policylijst de pijl en selecteer Update devices. Als deze optie ontbreekt, wordt de wijziging bij de volgende automatische synchronisatie uitgerold.

Voor Android wordt het rootcertificaat op dezelfde manier aan een Android-policy toegevoegd. Controleer daarna niet alleen de policystatus. Op iOS staat de controle onder Settings > General > About > Certificate Trust Settings; op Android onder Settings > Security > Advanced > Encryption & credentials > User credentials. Een echte ontsleutelde HTTPS-aanvraag blijft het definitieve bewijs.

Controleer op iOS daar de vertrouwensstatus van het bedoelde rootcertificaat nadat de identiteit ervan is geverifieerd aan de hand van de vastgelegde fingerprint. Als het vertrouwen nog is uitgeschakeld, schakel het onder Enable full trust for root certificates uitsluitend voor dit rootcertificaat in. Als het al wordt vertrouwd, laat de instelling dan ongewijzigd; herhaal daarna de ontsleutelde HTTPS-aanvraag om het resultaat te controleren.

De privésleutel van de CA voor herondertekening hoort nooit in Sophos Mobile of op een endpoint. Alleen het openbare CA-certificaat wordt gedistribueerd. Begin met een kleine pilotgroep en test ook het verwijderen van het CA-certificaat uit de vertrouwensopslag.

Controleer het certificaat op beheerde apparaten

Na distributie dient u op minimaal één testapparaat per platform te controleren of de CA daadwerkelijk in de juiste truststore terecht is gekomen.

• Windows Computer Store: Open certlm.msc en zoek onder Trusted Root Certification Authorities > Certificates.
• Windows-gebruikerscertificaatarchief: Open certmgr.msc en controleer het certificaatarchief van de gebruiker.
• macOS: Open Keychain Access en controleer de vertrouwensstatus in de Systeem-sleutelhanger.
• Firefox: Open Settings > Privacy & Security > Certificates > View Certificates.

Als een certificaat alleen in het gebruikersarchief staat, maar een applicatie het computerarchief verwacht, kan de browser werken en kan een andere applicatie nog steeds certificaatfouten weergeven. Omgekeerd kunnen browsers met een eigen truststore de Windows- of macOS-distributie negeren als ze niet dienovereenkomstig zijn geconfigureerd.

Firefox op Windows

Voor één testprofiel kunt u ook handmatig importeren: open Settings > Privacy & Security > Certificates > View Certificates > Authorities > Import, selecteer het openbare CA-bestand en kies Open. Schakel in Downloading Certificate alleen Trust this CA to identify websites in voor de CA waarvan u de identiteit al hebt gecontroleerd en kies OK. Start Firefox opnieuw en test het ontsleutelde HTTPS-pad. Deze profielimport vervangt geen centrale distributie.

Actuele Firefox-versies op Windows doorzoeken standaard het certificaatarchief van het besturingssysteem naar aanvullend geïnstalleerde Root CA’s. Als de Sophos Firewall CA via GPO naar de Windows Computer Store wordt gedistribueerd, is een tweede import in een afzonderlijke Firefox-database daarom normaal niet nodig. Dit gedrag wordt in Firefox geregeld via Allow Firefox to automatically trust third-party root certificates you install, de voorkeur security.enterprise_roots.enabled of de Enterprise Policy ImportEnterpriseRoots.

In beheerde Windows-omgevingen zijn er daarom twee zinvolle routes:

• De Windows truststore gebruiken: de aanbevolen standaardroute wanneer de CA al via een computer-GPO wordt gedistribueerd. Het automatische gebruik van CA’s uit het besturingssysteem moet in de beheerde Firefox-configuratie ingeschakeld blijven.
• Het certificaat rechtstreeks via een Mozilla Enterprise Policy importeren: een alternatief wanneer het Firefox-vertrouwen bewust afzonderlijk wordt beheerd of de truststore van het besturingssysteem niet mag worden gebruikt.

Bij de eerste route kan de uit Windows overgenomen CA werken zonder als afzonderlijk geïmporteerde vermelding in Firefox Certificate Manager te verschijnen. De Windows Computer Store en een echte HTTPS-test zijn dan bepalend. De volgende GPO-instructies beschrijven de tweede route met Install Certificates.

Firefox GPO-sjablonen downloaden

Mozilla stelt de beleidssjablonen beschikbaar op GitHub. Wat is er onder andere nodig:

• firefox.admx
• mozilla.admx
• firefox.adml
• mozilla.adml

De bestanden kunnen worden gedownload van de Mozilla Policy Templates Repository of als policy_templates.zip.

Sjablonen importeren

Kopieer firefox.admx en mozilla.admx rechtstreeks naar de gekozen PolicyDefinitions-map. De bijbehorende firefox.adml en mozilla.adml horen in de taalgebonden submap, niet naast de ADMX-bestanden.

Typisch lokaal pad:

C:\Windows\PolicyDefinitions

Gebruik voor de Central Store van het domein in plaats daarvan \\<domain>\SYSVOL\<domain>\Policies\PolicyDefinitions. Vervang beide vermeldingen van <domain> door de DNS-naam van uw AD-domein. Als een Central Store bestaat, plaats de Mozilla-sjablonen daar; alleen een kopie in de lokale map is niet voldoende om domein-GPO’s te bewerken.

Behoud de taalmappen uit het gedownloade pakket en gebruik ADMX- en ADML-bestanden uit dezelfde sjabloonversie. Plaats de Engelse ADML-bestanden bijvoorbeeld in C:\Windows\PolicyDefinitions\en-US of, bij gebruik van de Central Store, in \\<domain>\SYSVOL\<domain>\Policies\PolicyDefinitions\en-US. Kopieer andere benodigde talen naar hun eigen submappen uit het pakket. en-US is een voorbeeld van een sjabloontaal, geen vereiste op basis van de taal van dit artikel.

Open de Groepsbeleidseditor opnieuw en controleer of Administrative Templates > Mozilla > Firefox > Certificates > Install Certificates zichtbaar is zonder fouten over ontbrekende resources. Ontbreekt het beleid, corrigeer dan eerst de doelmap, taalsubmap en versiecombinatie voordat u het certificaatbeleid configureert.

Configureer het Firefox-beleid

Het certificaat wordt vervolgens ingevoerd in het groepsbeleid onder het Firefox-beleid:

Administrative Templates > Mozilla > Firefox > Certificates > Install Certificates

Werkwijze:

1. Schakel het beleid Install Certificates in.
2. Voer de bestandsnaam van het certificaat in, bijvoorbeeld SecurityAppliance_SSL_CA.pem.
3. Kopieer het certificaatbestand via GPO of softwaredistributie naar de verwachte gebruikersprofielmap.

Afhankelijk van de Firefox-versie en beleidsconfiguratie worden certificaten uit deze mappen gelezen:

%USERPROFILE%\AppData\Local\Mozilla\Certificates
%USERPROFILE%\AppData\Roaming\Mozilla\Certificates

Na de volgende Firefox-sessie zou het certificaat zichtbaar moeten zijn in Firefox Certificate Manager.

Functie controleren

Na de distributie moet niet alleen worden gecontroleerd of het certificaat aanwezig is. Doorslaggevend is of TLS Inspection correct werkt.

Nuttige testen:

1. Start de testclient opnieuw of log de gebruiker opnieuw in.
2. Open een browser en bezoek een HTTPS-pagina waarvan het verkeer door Sophos Firewall wordt ontsleuteld.
3. Bekijk het certificaat van de website in de browser.
4. Controleer of de certificaatketen via SecurityAppliance_SSL_CA of exact de geselecteerde Sophos CA loopt.
5. Koppel de nieuwe aanvraag op de firewall aan bron, bestemming en tijdstip, bepaal de werkelijke bedrijfsmodus en gebruik de bijbehorende controles hieronder.
6. Test belangrijke bedrijfsapplicaties, updateservices, samenwerkingstools en identiteitsproviders.

DPI: Controleer onder Rules and policies > SSL/TLS inspection rules de passende inspectieregel, actie, het Decryption Profile en de CA voor herondertekening. Koppel in Log Viewer > SSL/TLS inspection dezelfde nieuwe aanvraag aan bron, bestemming en tijdstip en controleer ontsleuteling en de toegepaste regel of actie. Controleer ook DPI-uitsluitingen.

Webproxy: Bevestig de firewallregel die werkelijk overeenkomt, het webbeleid daarvan en Decrypt HTTPS during web proxy filtering. Controleer de gedeelde HTTPS scanning certificate authority (CA) onder Web > General settings en toepasselijke uitzonderingen onder Web > Exceptions. Koppel in Log Viewer de relevante webfilter-/proxylogs voor dezelfde nieuwe aanvraag aan bron, bestemming en tijdstip; de uitgever en certificaatketen in de browser moeten overeenkomen met de geselecteerde CA. SSL/TLS-inspectieregels sturen webproxy-ontsleuteling niet aan. Een DPI-ontsleutelingsvermelding is hiervoor niet gegarandeerd en niet vereist; een webfilterlog alleen bewijst geen ontsleuteling.

Als de browser het oorspronkelijke openbare websitecertificaat blijft tonen, is de verbinding niet ontsleuteld. Controleer bij DPI de inspectieregel en uitsluitingen; bij de webproxy de passende firewallregel, ontsleutelingsoptie en webuitzonderingen. Een ander verkeerspad of QUIC/HTTP/3 kan ook het verwachte TCP-pad omzeilen.

Als de browserwaarschuwing verdwijnt maar applicaties fouten blijven tonen, is het certificaat zelf vaak niet de oorzaak. Certificate pinning of een eigen truststore kan verantwoordelijk zijn. Controleer bij DPI ook het Decryption Profile, de inspectieregel en TLS-uitsluitingen; bij de webproxy de firewallregel en webuitzonderingen volgens de controles hierboven.

Bij webverkeer moet ook worden gecontroleerd of QUIC of HTTP/3 de verwachte controle omzeilt. In het artikel Sophos Firewall QUIC en HTTP/3 correct blokkeren wordt uitgelegd waarom Block QUIC protocol relevant blijft bij webfiltering, malwarescans en TLS Inspection.

Typische fouten

• Browser toont nog steeds een certificaatwaarschuwing: De CA bevindt zich waarschijnlijk niet in de juiste vertrouwensopslag. Controleer het Windows-, macOS- of Firefox-certificaatarchief.
• Chrome werkt, Firefox niet: controleer of Firefox de aanvullend geïnstalleerde Root CA’s van het besturingssysteem mag gebruiken of dat er een afzonderlijke Mozilla Enterprise Policy geldt. Start Firefox daarna opnieuw en test het werkelijke HTTPS-pad.
• Afzonderlijke applicaties vallen uit: Certificate pinning of een eigen certificaatcontrole is waarschijnlijk. Controleer bij DPI SSL/TLS-logs en TLS-uitsluitingen; bij de webproxy webfilter-/proxylogs en Web > Exceptions, steeds voor dezelfde aanvraag. Schakel niet op goed geluk uitzonderingen in.
• Slechts enkele clients werken: De GPO werkt niet of is aan de verkeerde OU gekoppeld. Controleer gpresult en GPO-link.
• CA is geïnstalleerd, maar de waarschuwing blijft bestaan: De gedistribueerde CA komt mogelijk niet overeen met de CA in het ontsleutelingsprofiel, in de SSL/TLS Inspection-instellingen of onder Algemene webinstellingen.
• DPI werkt, Web Proxy niet of omgekeerd: Gebruik de controles voor de werkelijke modus hierboven: inspectieregel, profiel en SSL/TLS-logs bij DPI; firewallregel, ontsleutelingsoptie, gedeelde CA, webuitzonderingen en webfilter-/proxylogs bij de webproxy.
• Waarschuwingen na CA-regeneratie: De nieuwe actieve CA ontbreekt mogelijk op clients. Distribueer eerst de nieuwe openbare CA en controleer de fingerprint. Verwijder een oude, niet-gecompromitteerde CA pas wanneer geen actief pad deze nog gebruikt; volg bij compromittering de noodprocedure.
• URL-feeds of webfilters werken niet zoals verwacht: Controleer of het HTTPS-pad wordt ontsleuteld en of de juiste TLS Inspection- en webpolicy gelden.
• Certificaat is aanwezig, maar verkeer is niet ontsleuteld: Bij DPI kan een passende inspectieregel ontbreken; bij de webproxy kan de ontsleutelingsoptie van de firewallregel ontbreken of een webuitzondering gelden. Gebruik de modusspecifieke controles en bevestig het werkelijke verkeerspad.
• Alleen mobiele apps of individuele clients falen: Houd rekening met eigen truststores, certificate pinning en app-specifieke validatie. Sluit Android standaard uit van DPI; een afzonderlijk goedgekeurde Android-pilot moet bij fouten terugkeren naar uitsluiting. Beoordeel andere uitzonderingen gericht in plaats van inspectie globaal uit te schakelen.

CA-rotatie en noodgeval

Een CA mag niet jarenlang zonder toezicht worden gebruikt. Houd de geldigheidsduur, herkomst en distributie bij en zorg in productie voor een eenvoudig proces om de levenscyclus van de CA te beheren.

De ingebouwde SecurityAppliance_SSL_CA kan opnieuw worden gegenereerd. Dit is echter geen risicoloze voorbereidingsstap: de oude en nieuwe CA worden niet automatisch parallel op alle clients vertrouwd. Gebruik voor een geplande DPI-overgang met overlap een afzonderlijk voorbereide signing-CA en test deze via een nauw afgebakend Decryption Profile. De webproxy heeft daarentegen alleen de algemene HTTPS scanning certificate authority (CA). Een wijziging daarvan geldt voor het volledige webproxypad en hoort daarom in een onderhoudsvenster; alle betrokken clients moeten de nieuwe publieke CA vooraf vertrouwen. In beide gevallen blijft de privésleutel op de firewall.

Geplande wijziging:

1. Leg de actieve CA-selectie, fingerprints en alle verwijzingen vast. Bereid een afzonderlijke signing-CA voor zonder de ingebouwde CA als eerste stap opnieuw te genereren.
2. Distribueer alleen het publieke certificaat of de vereiste publieke CA-keten: eerst naar de DPI-pilotgroep, of naar alle betrokken clients vóór een algemene webproxywijziging.
3. Activeer in DPI-modus de nieuwe CA via een nauw afgebakend Decryption Profile en controleer de Issuer, logvermelding en toepassingen van de pilotgroep.
4. Distribueer na een geslaagde DPI-pilot het publieke certificaat naar alle betrokken beheerde apparaten en bevestig de import aan de hand van de fingerprint.
5. Wijzig de overige DPI-velden of de algemene webproxy-CA. Controleer met nieuwe verbindingen of de nieuwe CA ondertekent en de verwachte regel wordt toegepast.
6. Verwijder de oude CA pas uit de truststores van clients wanneer geen enkel inspectiepad er nog naar verwijst en alle betrokken apparaten de nieuwe CA hebben ontvangen.

Noodsituatie bij compromis:

1. TLS Inspection indien nodig gecontroleerd beperken of tijdelijk deactiveren.
2. Vervang de betrokken CA in de firewall.
3. Rol de nieuwe CA uit via het gedefinieerde distributiekanaal.
4. Verwijder oude CA uit alle truststores.
5. Bekijk uitzonderingen, Log Viewer en betrokken applicaties.
6. Documenteer wijzigingen in het incident- of wijzigingssysteem.

Belangrijk: Een gecompromitteerde CA is geen normaal certificaatprobleem. Als een aanvaller de privésleutel beheert, kunnen clients valse certificaten vertrouwen. Dan moet de oude CA consequent worden verwijderd.

Bij een normale rollback herstelt u eerst in het inspectiepad de eerder vastgelegde CA of schakelt u de pilotregel uit. Verwijder de uitsluitend voor de pilot verspreide CA pas nadat een nieuwe verbinding opnieuw de oude Issuer of het oorspronkelijke, niet-ontsleutelde pad toont. Als het clientvertrouwen eerst wordt ingetrokken terwijl de firewall nog met die CA ondertekent, ontstaan certificaatfouten. Verwijder geen gedeelde CA’s of CA’s waarnaar nog wordt verwezen.

Beheer en onderhoud

Het CA-certificaat moet onderdeel zijn van het operationele proces:

• Documenteer de vervaldatum van de CA en wie verantwoordelijk is.
• Voer alleen de geplande CA-regeneratie uit.
• Verwijder oude CA van clients na migratie.
• Controleer regelmatig de distributie via GPO of MDM.
• Documenteer en controleer periodiek TLS-uitzonderingen.
• Start het incident- en CA-wisselproces als de private signing key of firewall mogelijk is gecompromitteerd. Verlies van een client waarop alleen het openbare CA-certificaat staat, brengt de signing key niet in gevaar.

Als u TLS Inspection wijzigt, moet u ook de betreffende firewallregels, ontsleutelingsprofielen en uitsluitingslijsten controleren. Anders zal de client de CA vertrouwen, maar zal de firewall het gewenste verkeer nog steeds niet ontsleutelen.

Veelgestelde vragen