Sophos Firewall CA-certificaat distribueren voor TLS Inspection

Wanneer een Sophos Firewall HTTPS-verbindingen decodeert via TLS Inspection- of HTTPS-scanning, maakt de firewall een nieuw certificaat aan voor de verbinding die wordt gecontroleerd en ondertekent dit met een lokale CA. Clients moeten deze CA vertrouwen, anders verschijnen er browserwaarschuwingen of verbreken applicaties de verbinding.

De ingebouwde CA SecurityAppliance_SSL_CA is standaard beschikbaar in Sophos Firewall. Deze CA kan worden gedownload op Certificates > Certificate authorities en worden gedistribueerd naar beheerde clients. Maar het is niet alleen belangrijk dat er een Sophos CA op de clients staat. De gedistribueerde CA moet overeenkomen met de CA die daadwerkelijk wordt gebruikt voor het opnieuw ondertekenen in de TLS Inspectionconfiguratie.

SecurityAppliance_SSL_CA is niet de ingebouwde CA Default voor lokaal ondertekende certificaten. Als die andere trust anchor moet worden geroteerd, geldt de procedure De Sophos Firewall Default CA gecontroleerd vernieuwen. Vervang beide CA-objecten niet samen op goed geluk.

Afhankelijk van de bedrijfsmodus wordt deze selectie op verschillende plaatsen gecontroleerd: voor op DPI gebaseerde SSL/TLS Inspectionregels is de CA onder Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings relevant. Een Decryption Profile dat aan de regel is toegewezen, kan deze globale waarden overschrijven. Voor de webproxy bevindt de CA voor HTTPS-scannen zich onder Web > General settings > HTTPS decryption and scanning. Als het actieve pad een andere CA selecteert dan de CA die de clients vertrouwen, ontstaan certificaatfouten, ook al is er een Sophos CA gedistribueerd.

Het artikel Sophos Firewall TLS Inspection correct ingevoerd beschrijft de gehele uitrol. Deze handleiding richt zich op het distribueren van het CA-certificaat naar Windows, macOS en Firefox.

Wat dit certificaat doet

Het Sophos Firewall CA-certificaat is geen servercertificaat voor WebAdmin, WAF of VPN Portal. Het is de vertrouwensbasis waarmee clients de HTTPS-verbindingen accepteren die opnieuw door de firewall zijn ondertekend.

De scheiding is belangrijk:

• Firewall CA: ondertekent nieuw gegenereerde certificaten tijdens TLS Inspection.
• CA opnieuw ondertekenen of HTTPS CA scannen: de specifiek geselecteerde CA die de firewall gebruikt in DPI-modus of webproxymodus.
• Client Trust Store: beslist of browsers en applicaties deze CA vertrouwen.
• SSL/TLS Inspectionregel: bepaalt welk verkeer wordt gedecodeerd.
• Decryptieprofiel: bepaalt hoe strikt met certificaten, TLS-versies en fouten wordt omgegaan.
• Uitsluitingslijst: voorkomt decodering voor problematische of opzettelijk uitgesloten doelen.

Alleen de CA-distributie activeert TLS Inspection niet. De distributie voorkomt alleen dat beheerde clients certificaatwaarschuwingen weergeven voor gedecodeerd HTTPS-verkeer. Of verkeer daadwerkelijk wordt gedecodeerd, hangt af van firewallregels, webbeleid, SSL/TLS Inspectionregels, decoderingsprofielen en uitzonderingen.

Bovendien vervangt CA-distributie geen schone protocolcontrole. SSL/TLS Inspectionregels hebben toegang tot TCP-verkeer. Als het webverkeer via QUIC of HTTP/3 op UDP 443 loopt, ziet de controle er anders uit en moet deze afzonderlijk worden behandeld.

Vóór de uitrol

Vóór distributie moet duidelijk zijn welke cliënten TLS Inspection moeten gebruiken. Een CA-certificaat hoort niet ongecontroleerd op elk apparaat thuis, maar specifiek op beheerde bedrijfsclients.

Bereiding:

• Definieer testgroep of test-OE.
• Verduidelijk de bedrijfsmodus: DPI-modus, webproxy of beide varianten.
• Documenteer de geselecteerde CA in SSL/TLS inspection settings, de gebruikte Decryption Profiles en Web General settings.
• Document terugdraaien en uitzonderingsproces.
• Download CA-certificaat alleen vanuit uw eigen firewall.
• Test de distributie eerst op een paar apparaten.
• Controleer browsers, bedrijfsapplicaties en updates na distributie.
• Evalueer mobiele apparaten en apps afzonderlijk met hun eigen truststore of certificaatpinning.
• Verwijder oude of niet meer gebruikte CA-certificaten uit de Client Trust Store.

⚠️ Let op: Als de CA of privésleutel is gecompromitteerd, is herverdeling niet voldoende. Vervolgens moet de CA op de firewall opnieuw worden gegenereerd, opnieuw worden gedistribueerd en moet de oude CA van de clients worden verwijderd.

Selecteer distributieroute

Het juiste distributiepad is afhankelijk van de manier waarop de apparaten worden beheerd.

• Windows Domain Clients: Gebruik GPO in Trusted Root Certification Authorities. Dit is de schoonste manier voor klassieke Active Directory-omgevingen.
• Windows zonder domein: Gebruik MDM, Intune of lokale import. Lokale import is geschikter voor tests of individuele apparaten.
• macOS: Gebruik MDM-profiel of sleutelhanger System. Handmatige installatie is meer geschikt voor test- of kleine omgevingen.
• Firefox: Gebruik Windows Trust Store of implementeer Mozilla Enterprise Policies. Het gedrag van Firefox moet afzonderlijk worden gecontroleerd.
• BYOD of persoonlijke apparaten: worden normaal gesproken niet verspreid. TLS Inspection behoort tot beheerde bedrijfsapparaten.
• Server: alleen distribueren naar doelbewust geteste serverworkloads. Uitgaand serververkeer kan andere risico’s en uitzonderingen met zich meebrengen.

Voor productieve activiteiten is het van cruciaal belang dat dezelfde uitrol later kan worden teruggedraaid. Iedereen die de CA verspreidt via GPO, MDM of beleid, moet daarom ook de intrekking van de oude CA testen.

Sophos Firewall CA downloaden

Op de Sophos Firewall wordt het certificaat gedownload in de webinterface:

1. Meld u als beheerder aan bij Sophos Firewall.
2. Certificates > Certificate authorities openen.
3. Zoek de CA SecurityAppliance_SSL_CA of de bewust gebruikte eigen CA.
4. Download het certificaat met behulp van het downloadsymbool.
5. Controleer vervolgens of dezelfde CA is geselecteerd in de actieve TLS Inspectionconfiguratie.

Het certificaat is dan doorgaans beschikbaar als SecurityAppliance_SSL_CA.pem. Dit bestand bevat het openbare deel van de CA en kan naar klanten worden gedistribueerd. De privésleutel mag niet onder clients worden verdeeld.

Het bestand moet worden behandeld als een beveiligingsgerelateerd configuratie-item. Het publieke deel is geen wachtwoord, maar definieert welke CA-clients in de toekomst zullen vertrouwen. Het bestand moet daarom uit uw eigen productieve firewall komen, een versienummer hebben of in ieder geval traceerbaar worden opgeslagen en niet worden hergebruikt uit oude projecten.

Er zijn twee extra paden voor het controleren van de actieve CA:

• DPI-modus: Open Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings en vergelijk de daar geselecteerde CA met het gedownloade bestand. Als de actieve regel een Decryption Profile gebruikt, controleer dan ook de Re-Signing CA daarvan.
• Web Proxy: Open Web > General settings > HTTPS decryption and scanning en controleer de HTTPS Scanning CA.

Deze controle voorkomt een veelvoorkomende uitrolfout: de standaard-CA wordt naar de clients gedistribueerd, terwijl de firewall al een andere CA in een Decryption Profile of in de webproxy gebruikt.

Windows: Certificaat distribueren via GPO

In Active Directory-omgevingen is een groepsbeleid de schoonste manier. Edge, Chrome en veel Windows-applicaties vertrouwen op het Windows-certificaatarchief.

Aanbevolen pad in Groepsbeleidsbeheer:

Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Root Certification Authorities > Certificates

Werkwijze:

1. Open Groepsbeleidsbeheer op een domeincontroller of beheerdersclient.
2. Gebruik het bestaande GPO voor de clientbasislijn of maak een nieuw GPO voor de TLS Inspectiontestgroep.
3. Ga naar pad Trusted Root Certification Authorities > Certificates.
4. Klik met de rechtermuisknop in de certificaatlijst.
5. Selecteer All Tasks > Import.
6. Importeer SecurityAppliance_SSL_CA.pem.
7. Koppel de GPO alleen aan de gewenste OU of beveiligingsgroep.
8. Voer gpupdate /force uit op een testclient of wacht op de reguliere update.

Voor productieomgevingen mag het GPO niet rechtstreeks op alle computers worden toegepast. Een test-OE verkleint het risico als een certificaat verkeerd wordt geïmporteerd of een applicatie onverwacht reageert.

Windows: certificaat lokaal installeren

Het certificaat kan lokaal worden geïmporteerd voor individuele testapparaten. Er zijn twee verstandige varianten:

• Lokale computerwinkel: is van toepassing op alle gebruikers op het apparaat en is meestal correct voor beheerde clients.
• Huidige gebruikerswinkel: geldt alleen voor de ingelogde gebruiker en is soms voldoende om te testen.

Voor de lokale computer:

1. Meld u aan als lokale beheerder.
2. Start certlm.msc.
3. Trusted Root Certification Authorities > Certificates openen.
4. Klik met de rechtermuisknop in de certificatenlijst.
5. Selecteer All Tasks > Import.
6. Importeer SecurityAppliance_SSL_CA.pem.

Als alternatief kan certmgr.msc voor de huidige gebruiker worden gebruikt.

Na het importeren moeten browsers en applicaties opnieuw worden opgestart. Voor sommige toepassingen is het zinvol om uit te loggen of de client opnieuw op te starten.

macOS: vertrouwenscertificaat in sleutelhanger

Op macOS wordt het certificaat geïmporteerd via Keychain Access.

Werkwijze:

1. Kopieer SecurityAppliance_SSL_CA.pem naar de Mac.
2. Open het certificaat door te dubbelklikken.
3. Implementeren in Keychain Systeem of een beheerd MDM-profiel.
4. Open het certificaat en stel onder Vertrouwen de optie Altijd vertrouwen in.
5. Bevestig de wijziging met een beheerdersaccount.
6. Start de browser en de betrokken applicaties opnieuw.

In grotere macOS-omgevingen zou distributie via MDM moeten plaatsvinden. Handmatige installatie is meer geschikt voor testen of individuele apparaten.

Controleer het certificaat op beheerde apparaten

Na distributie dient u op minimaal één testapparaat per platform te controleren of de CA daadwerkelijk in de juiste truststore terecht is gekomen.

• Windows Computer Store: Open certlm.msc en zoek onder Trusted Root Certification Authorities > Certificates.
• Windows Huidige gebruikerswinkel: Open certmgr.msc en controleer de gebruikersvertrouwensopslag.
• macOS: Open Keychain Access en controleer de vertrouwensstatus in de Systeem-sleutelhanger.
• Firefox: Open Settings > Privacy & Security > Certificates > View Certificates.

Als een certificaat alleen in het gebruikersarchief staat, maar een applicatie het computerarchief verwacht, kan de browser werken en kan een andere applicatie nog steeds certificaatfouten weergeven. Omgekeerd kunnen browsers met een eigen truststore de Windows- of macOS-distributie negeren als ze niet dienovereenkomstig zijn geconfigureerd.

Firefox op Windows

Actuele Firefox-versies op Windows doorzoeken standaard het certificaatarchief van het besturingssysteem naar aanvullend geïnstalleerde Root CA’s. Als de Sophos Firewall CA via GPO naar de Windows Computer Store wordt gedistribueerd, is een tweede import in een afzonderlijke Firefox-database daarom normaal niet nodig. Dit gedrag wordt in Firefox geregeld via Allow Firefox to automatically trust third-party root certificates you install, de voorkeur security.enterprise_roots.enabled of de Enterprise Policy ImportEnterpriseRoots.

In beheerde Windows-omgevingen zijn er daarom twee zinvolle routes:

• De Windows truststore gebruiken: de aanbevolen standaardroute wanneer de CA al via een computer-GPO wordt gedistribueerd. Het automatische gebruik van CA’s uit het besturingssysteem moet in de beheerde Firefox-configuratie ingeschakeld blijven.
• Het certificaat rechtstreeks via een Mozilla Enterprise Policy importeren: een alternatief wanneer het Firefox-vertrouwen bewust afzonderlijk wordt beheerd of de truststore van het besturingssysteem niet mag worden gebruikt.

Bij de eerste route kan de uit Windows overgenomen CA werken zonder als afzonderlijk geïmporteerde vermelding in Firefox Certificate Manager te verschijnen. De Windows Computer Store en een echte HTTPS-test zijn dan bepalend. De volgende GPO-instructies beschrijven de tweede route met Install Certificates.

Firefox GPO-sjablonen downloaden

Mozilla stelt de beleidssjablonen beschikbaar op GitHub. Wat is er onder andere nodig:

• firefox.admx
• mozilla.admx
• firefox.adml
• mozilla.adml

De bestanden kunnen worden gedownload van de Mozilla Policy Templates Repository of als policy_templates.zip.

Import templates

De ADMX- en ADML-bestanden worden gekopieerd naar het centrale PolicyDefinitions-pad.

Typisch lokaal pad:

C:\Windows\PolicyDefinitions

Als er een centrale opslag in het domein aanwezig is, wordt in plaats daarvan de map PolicyDefinitions onder SYSVOL gebruikt.

Configureer het Firefox-beleid

Het certificaat wordt vervolgens ingevoerd in het groepsbeleid onder het Firefox-beleid:

Administrative Templates > Mozilla > Firefox > Certificates > Install Certificates

Werkwijze:

1. Schakel het beleid Certificaten installeren in.
2. Voer de bestandsnaam van het certificaat in, bijvoorbeeld SecurityAppliance_SSL_CA.pem.
3. Kopieer het certificaatbestand via GPO of softwaredistributie naar de verwachte gebruikersprofielmap.

Afhankelijk van de Firefox-versie en beleidsconfiguratie worden certificaten uit deze mappen gelezen:

%USERPROFILE%\AppData\Local\Mozilla\Certificates
%USERPROFILE%\AppData\Roaming\Mozilla\Certificates

Na de volgende Firefox-sessie zou het certificaat zichtbaar moeten zijn in Firefox Certificate Manager.

Mozilla beschrijft het aanbevolen vertrouwen in het besturingssysteem en de import via beleid in Set up Certificate Authorities (CAs) in Firefox. Aanvullende paden en varianten staan in de wiki: Voeg rootcertificaat toe aan Firefox.

Functie controleren

Na de distributie moet niet alleen worden gecontroleerd of het certificaat aanwezig is. Doorslaggevend is of TLS Inspection correct werkt.

Nuttige testen:

1. Start de testclient opnieuw of log de gebruiker opnieuw in.
2. Browser opent en een HTTPS-pagina opent de verbinding met de Sophos Firewall.
3. Bekijk het certificaat van de website in de browser.
4. Controleer of de certificaatketen via SecurityAppliance_SSL_CA of exact de geselecteerde Sophos CA loopt.
5. Controleer op de firewall in Log Viewer > SSL/TLS inspection of het verkeer als gedecodeerd wordt weergegeven en welke regel of actie is ondernomen.
6. Test belangrijke bedrijfsapplicaties, updateservices, samenwerkingstools en identiteitsproviders.

Als de browser het originele certificaat van de openbare website blijft weergeven, is deze verbinding niet gedecodeerd. Dan is óf geen geschikte SSL/TLS Inspectionregel van toepassing, wint een uitzondering, loopt het verkeer over een ander pad of omzeilt QUIC/HTTP/3 het verwachte TCP-pad.

Als de browserwaarschuwing verdwijnt maar applicaties fouten blijven vertonen, ligt het probleem vaak niet bij het certificaat zelf. Het vastzetten van certificaten, ontbrekende TLS-uitzonderingen, een onjuist decoderingsprofiel of een ongeschikte SSL/TLS Inspectionregel zijn vaak de oorzaak.

Bij webverkeer moet ook worden gecontroleerd of QUIC of HTTP/3 de verwachte controle omzeilt. In het artikel Sophos Firewall QUIC en HTTP/3 correct blokkeren wordt uitgelegd waarom het Blokkeer QUIC protocol relevant blijft bij webfiltering, malwarescans en TLS Inspection.

Typische fouten

• Browser toont nog steeds een certificaatwaarschuwing: De CA bevindt zich waarschijnlijk niet in de juiste vertrouwensopslag. Controleer het Windows-, macOS- of Firefox-certificaatarchief.
• Chrome werkt, Firefox niet: controleer of Firefox de aanvullend geïnstalleerde Root CA’s van het besturingssysteem mag gebruiken of dat er een afzonderlijke Mozilla Enterprise Policy geldt. Start Firefox daarna opnieuw en test het werkelijke HTTPS-pad.
• Individuele toepassingen breken: Het vastzetten van certificaten of uw eigen certificaatcontrole is waarschijnlijk. TLS Inspection Log Viewer en vink uitzonderingen aan.
• Slechts enkele clients werken: De GPO werkt niet of is aan de verkeerde OU gekoppeld. Controleer gpresult en GPO-link.
• CA is geïnstalleerd, maar de waarschuwing blijft bestaan: De gedistribueerde CA komt mogelijk niet overeen met de CA in het decoderingsprofiel, in de SSL/TLS Inspection-instellingen of onder Algemene webinstellingen.
• DPI werkt, Web Proxy niet of omgekeerd: Beide paden kunnen anders worden geconfigureerd. Controleer geselecteerde CA, besturingspad en Log Viewer per bedrijfsmodus.
• Na CA-regeneratie zijn er waarschuwingen: De oude CA staat nog steeds op clients of de nieuwe CA ontbreekt. Verwijder de oude CA en distribueer een nieuwe CA.
• URL-feeds of webfilters werken niet zoals verwacht: Het HTTPS-pad is niet gedecodeerd. TLS Inspection en controleer het webbeleid.
• Certificaat is aanwezig, maar verkeer is niet gedecodeerd: Een geschikte SSL/TLS Inspectionregel ontbreekt of het verkeer gaat over het verkeerde DPI/webproxy-pad. Controleer TLS-uitrol, firewallregel en Log Viewer.
• Alleen mobiele apps of individuele clients falen: Eigen truststore, certificaatpinning of app-specifieke controle is waarschijnlijk. Vooral Android- en mobiele-app-verkeer moeten specifiek worden getest en indien nodig uitgesloten, in plaats van de CA breed en blind te verspreiden.

CA-rotatie en noodgeval

Een CA mag niet jarenlang onopgemerkt worden geëxploiteerd zonder dat de houdbaarheidsdatum, herkomst en distributie bekend zijn. Voor productieve omgevingen moet er een klein levenscyclusproces zijn.

Geplande wijziging:

1. Bereid een nieuwe CA of nieuwe firewall-CA voor.
2. Distribueer nieuwe CA naar een testgroep.
3. Controleer TLS Inspection met testgroep.
4. Distribueer nieuwe CA naar alle betrokken beheerde apparaten.
5. Beheer firewallregels en decoderingsprofielen.
6. Verwijder de oude CA pas als alle productieve apparaten de nieuwe CA hebben ontvangen.

Noodsituatie bij compromis:

1. TLS Inspection indien nodig gecontroleerd beperken of tijdelijk deactiveren.
2. Vervang de betrokken CA in de firewall.
3. Rol de nieuwe CA uit via het gedefinieerde distributiekanaal.
4. Verwijder oude CA uit alle truststores.
5. Bekijk uitzonderingen, Log Viewer en betrokken applicaties.
6. Documenteer wijzigingen in het incident- of wijzigingssysteem.

Belangrijk: Een gecompromitteerde CA is geen normaal certificaatprobleem. Als een aanvaller de privésleutel beheert, kunnen clients valse certificaten vertrouwen. Dan moet de oude CA consequent worden verwijderd.

Bediening en onderhoud

Het CA-certificaat moet onderdeel zijn van het operationele proces:

• Vervaldatum van het document en verantwoordelijke persoon.
• Voer alleen de geplande CA-regeneratie uit.
• Verwijder oude CA van clients na migratie.
• Controleer regelmatig de distributie via GPO of MDM.
• Documenteer en controleer periodiek TLS-uitzonderingen.
• Genereer de CA opnieuw in geval van apparaatverlies of CA-compromis.

Als u TLS Inspection wijzigt, moet u ook de betreffende firewallregels, decoderingsprofielen en uitsluitingslijsten controleren. Anders zal de client de CA vertrouwen, maar zal de firewall het gewenste verkeer nog steeds niet ontsleutelen.

Veelgestelde vragen