Sophos Firewall verbinden met Sophos Fusion

Een Sophos Firewall hoeft niet per se verbonden te worden met Sophos Fusion (voorheen Sophos Central). Een enkele firewall kan volledig lokaal worden beheerd via de WebAdmin. Toch is het in veel omgevingen de moeite waard om verbinding te maken met Sophos Fusion, omdat hierdoor extra beheer-, back-up-, rapportage- en beveiligingsfuncties beschikbaar komen.

Dit artikel helpt bij de beslissing wanneer Sophos Fusion zinvol is en wanneer lokaal beheer voldoende is.

De huidige platformnaam is Sophos Fusion, voorheen Sophos Central. De firewallmenu’s, knoppen en registratiealert kunnen nog steeds Sophos Central gebruiken; volg bij deze stappen de zichtbare UI-labels. Een centraal beheerde firewall kan ook als ZTNA-gateway worden geïntegreerd voor toegang tot interne resources. Registratie alleen configureert die gateway niet en verleent geen toegang tot die resources; plan de ZTNA-inrichting en het bijbehorende toegangsbeleid afzonderlijk.

Kort antwoord

Als je slechts één enkele Sophos Firewall lokaal beheert en geen Central-functies wilt gebruiken, is Sophos Fusion niet noodzakelijk.

Als je meerdere firewalls beheert, loggegevens centraal wilt analyseren, configuratieback-ups in de cloud wilt opslaan of andere Sophos-producten zoals Sophos Endpoint gebruikt, biedt Sophos Fusion aanzienlijke voordelen.

De beslissing moet echter niet alleen gaan over wel of niet verbinden. Belangrijker is welke Central-functies echt geactiveerd moeten worden. Een firewall kan in Sophos Fusion geregistreerd zijn zonder dat elke beheer-, rapportage- of back-upfunctie in productie wordt gebruikt.

Zero Touch: implementatie met een configuratiebestand

Sophos Fusion biedt naast het beheer van bestaande firewalls ook Zero Touch: nieuwe firewalls kunnen met een Zero Touch-configuratiebestand worden geïnstalleerd. Hiervoor is een Sophos Fusion-account nodig; de interface kan nog steeds Sophos Central heten. Deze mogelijkheid is relevant bij het plannen van installaties op nieuwe locaties als de implementatie via Central moet worden voorbereid. Dit is niet hetzelfde als latere externe toegang tot WebAdmin of het verspreiden van groepsbeleid.

Bepaal voordat je een implementatiemethode kiest welke tenant wordt gebruikt, wie de verantwoordelijke beheerders zijn en welke rechten zij hebben, om welk apparaat en serienummer het gaat, welke licenties nodig zijn en hoe de internetverbinding wordt geregeld. Voor het daaropvolgende Central-beheer blijft een werkende IPv4-verbinding vereist; de licentievereisten die in dit artikel worden beschreven, blijven van toepassing. Zero Touch is geen voorwaarde voor lokaal gebruik en geen herstelmethode voor een firewall die al in productie is.

Maak bewust onderscheid tussen de taken:

• Nieuwe installatie met Zero Touch: het configuratiebestand dient voor de implementatie van een nieuwe firewall. Dit overzicht beschrijft de mogelijkheid, maar bevat geen volledige instructies voor het maken of toepassen van het bestand. Plan deze aanpak vóór de installatie; leid uit de onderstaande OTP-stappen geen Zero Touch-procedure af.
• Lokale inrichting, claim en licenties: Sophos Firewall instellen, claimen en licenties activeren beschrijft de lokale basisinrichting, de koppeling aan de tenant via de claim en de afzonderlijke activering of synchronisatie van licenties. Deze taken mogen niet worden gelijkgesteld aan de registratie voor beheer.
• Een bestaande firewall verbinden: de OTP-methode die verderop wordt beschreven, vereist een firewall die al is ingesteld en in de juiste tenant is geclaimd. OTP registreert de firewall voor Central Management, maar vervangt noch de claim, noch de activering van abonnementen. Ook de toewijzing van een firewall aan een klant door een partner vervangt de claim niet.
• Meerdere firewalls gezamenlijk beheren: Sophos Fusion Firewall Groups veilig gebruiken legt gezamenlijk beleid en de gevolgen van Full Sync uit. Groepsbeheer is een afzonderlijke operationele taak, niet de Zero Touch-installatiemethode.

Voordelen van verbinding met Sophos Fusion

Centraal overzicht

In Sophos Fusion zie je geregistreerde firewalls centraal op één plek. Dit is vooral handig als meerdere locaties of apparaten van dezelfde organisatie worden beheerd.

Typische voordelen:

• Statusoverzicht van de firewalls
• Serienummers en licentie-informatie
• Firmware- en beveiligingsstatus
• Centrale rapporten
• Snelle wisseling tussen meerdere firewalls

Beheer via Sophos Fusion

Met Manage from Sophos Central kun je via Sophos Fusion toegang krijgen tot het firewallbeheer. Dit is vaak veiliger dan de WebAdmin Console direct vanuit het internet te publiceren.

De beheerstoegang vervangt echter geen goed doordachte beheerstrategie. Admin-accounts, MFA, rollen, Device Access en ACL-regels moeten nog steeds bewust worden geconfigureerd. Volgens Sophos vereist Central Firewall Management bovendien een actief betaald abonnement naast Base Firewall of een actieve Sophos-supportlicentie die recht geeft op deze functie, zoals Enhanced Support. Alleen de Base Firewall-licentie is niet voldoende; niet elk supportcontract geeft automatisch dit recht.

Een technisch punt wordt vaak over het hoofd gezien: Sophos Fusion kan firewalls alleen beheren wanneer de firewall via IPv4 het internet bereikt. In omgevingen met uitsluitend IPv6 of zeer strikt gescheiden netwerken moet dit pad vóór activering worden gecontroleerd.

Als wijzigingen via Central niet zoals verwacht op de firewall aankomen, moet je ook de Sophos Fusion Firewall Management Task Queue controleren. Daar zie je of groepsbeleid of API-gebaseerde firewalltaken nog in behandeling zijn, zijn mislukt of zijn overgeslagen.

Sophos Fusion Firewall Groups veilig gebruiken legt uit hoe meerdere firewalls gezamenlijk beleid ontvangen en wat Full Sync en Skip full sync werkelijk doen.

Voor meerdere locaties kan Central ook route-based VPN-verbindingen, XFRM-interfaces, routes en regels orkestreren. Een Sophos Fusion SD-WAN-verbindingsgroep instellen en controleren beschrijft planning, conflictoplossing en lokale validatie.

Grenzen van Central Firewall Management

Central Firewall Management is een extra beheerpad, maar geen volledige vervanging voor lokaal firewallbeheer, lokale logs en geteste noodtoegang. Vooral bij meerdere admins, firewallgroepen en HA-clusters moeten admins de belangrijkste grenzen kennen, zodat normaal platformgedrag niet als configuratiefout wordt onderzocht.

Veelvoorkomende observaties uit de praktijk:

• Twee admins openen dezelfde firewall tegelijk via Central: Per firewall kan maar één Central Manager-sessie actief zijn. Als een tweede admin de sessie overneemt, kan de eerste een laad- of verbindingsfout zien. Stem de beheerstoegang onderling af, sluit parallelle sessies, wacht enkele minuten en controleer zo nodig direct in de lokale WebAdmin.
• Een read-only- of helpdeskrol ziet gegroepeerde firewalls niet: Test rollen in Central met echte accounts voordat ze operationeel worden gebruikt. Sommige groepsweergaven of functies zijn niet voor elke rol zichtbaar.
• HA-paren verschijnen dubbel of op meerdere pagina’s: Afhankelijk van de Central-weergave kunnen leden van een HA-cluster apart worden getoond. Voor beheer blijft de lokale HA-status leidend.
• Firewallregels kunnen op groepsniveau niet zoals lokaal worden verplaatst: Groepsbeheerde regels moeten goed worden gepland. Volgordewijzigingen of uitzonderingen zijn vaak eenvoudiger direct op de firewall te controleren.
• Geïmporteerde groepen of WAF-regels gedragen zich onverwacht in Central: Controleer na een configuratie-import, Full Sync of WAF-regelimport niet alleen Central, maar ook de doelfirewall en de Task Queue.

Praktisch betekent dit: controleer na Central-wijzigingen de Task Queue, lokale WebAdmin-weergave, Log Viewer en zo nodig Audit Trail. Als Central blijft laden, een HA-paar dubbel lijkt of een groepsregel niet kan worden verplaatst, is dat niet automatisch een firewallregelprobleem.

Configuratieback-ups in Sophos Fusion

De firewall kan configuratieback-ups naar Sophos Fusion sturen. Dit is nuttig als een apparaat moet worden vervangen of hersteld en lokale back-ups niet beschikbaar zijn.

In Sophos Fusion kun je geplande back-ups voor geregistreerde firewalls instellen. Als interval zijn Daily, Weekly en Monthly beschikbaar. Hiermee kun je bijvoorbeeld definiëren dat geselecteerde firewalls dagelijks, wekelijks of maandelijks een configuratieback-up naar Sophos Fusion sturen.

De huidige Sophos-documentatie over back-ups plaatst de planning onder Global Settings > Products and Services > Firewall > Schedule Backup. Als het pad Firewall Management > Backup uit de schermafbeelding in jouw interface ontbreekt, gebruik dan deze route.

Sophos Fusion bewaart niet onbeperkt alle automatische back-ups. Standaard blijven de vijf nieuwste back-ups behouden; oudere worden verwijderd. Een back-up kan daarnaast permanent worden bewaard. Bij HA-clusters worden Primary en Auxiliary in het back-upschema getoond, maar volgens Sophos wordt alleen de back-up van het Primary-apparaat gemaakt.

Voor het operationele beheer zijn twee details belangrijk: Sophos Fusion probeert een back-up tot vijf keer te maken en genereert bij blijvende mislukking een alert en een e-mail aan de Central-admin. Als een firewall uit Sophos Fusion Management wordt verwijderd, verwijdert Sophos Fusion de bijbehorende back-upbestanden. Cloud-back-ups zijn daarom nuttig, maar geen vervanging voor een eigen back-up- en restorestrategie.

Toch moet je niet alleen op één enkele back-upmethode vertrouwen. Voor productiesystemen zijn regelmatige lokale of externe back-ups nog steeds zinvol. Belangrijk zijn ook het back-upwachtwoord en de Secure Storage Master Key.

Central Firewall Reporting

Met Central Firewall Reporting stuurt de firewall log- en rapportgegevens naar Sophos Fusion. Hierdoor kun je gegevens over langere perioden analyseren en centraal doorzoeken.

In Sophos Fusion zijn hiervoor dashboards, de Report Hub, de Report Generator, opgeslagen sjablonen en geplande exporten beschikbaar. Je kunt rapporten voor afzonderlijke firewalls of meerdere firewalls maken, perioden filteren, naar bepaalde gebeurtenissen zoeken en resultaten exporteren als PDF, CSV of HTML. Voor regelmatige evaluaties kunnen rapporten bovendien worden gepland en automatisch worden geleverd.

Volgens Sophos vereisen opgeslagen sjablonen, geplande exporten en downloads een Central Firewall Reporting Advanced-licentie. Voor rapporten over meerdere firewalls moeten alle geselecteerde firewalls de juiste licentie hebben.

Typische rapportagesjablonen zijn:

• Antivirus
• Bandwidth usage
• Cloud app risks and usage
• Firewall
• IPS
• Log viewer and search
• SD-WAN
• SD-WAN SLA trend
• SD-WAN bandwidth usage
• Security posture assessment
• Synchronize app
• Threat geo activity
• Threats and events blocked
• VPN usage
• Web usage
• Web user risks
• X-Ops
• Zero-day protection

De bewaartermijn hangt af van de licentie:

• Actief Firewall-abonnement: tot 7 dagen, voor basisrapporten en korte terugblikken.
• Xstream Protection / Central Orchestration: tot 30 dagen, afhankelijk van bundel en licentierechten.
• Central Firewall Reporting Advanced: tot 365 dagen, met 100 GB extra opslag per licentie.

De exacte activering en de logselectie worden beschreven in het uitgebreide artikel Central Firewall Reporting activeren.

Synchronized Security en Security Heartbeat

Als Sophos Endpoint en Sophos Firewall samen via Sophos Fusion worden beheerd, kan Synchronized Security worden gebruikt. Hierbij wisselen firewall en endpoint beveiligingsinformatie uit.

Voorbeelden:

• De firewall ziet de Security Heartbeat van endpoints.
• Apparaten met een rode Heartbeat kunnen automatisch worden beperkt.
• Netwerk- en endpointzicht worden beter met elkaar verbonden.
• Bij incidenten is sneller zichtbaar welke gebruiker of welk apparaat is getroffen.

Dit is een van de grootste meerwaarden als naast de firewall ook Sophos Endpoint, MDR of XDR wordt ingezet.

Security Heartbeat kan ook de Windows-domeinidentiteit van een beheerd endpoint naar de firewall sturen. Synchronized User ID Authentication instellen beschrijft de veilige pilot-, regel- en HA-werkwijze.

Security Heartbeat na registratie valideren

Dat een firewall zichtbaar is in Sophos Fusion, bewijst nog niet dat Security Heartbeat voor de endpoints werkt. Hiervoor zijn een Sophos Fusion-account, minimaal één door Sophos Fusion beheerd endpoint met een proef- of volledige licentie en een geldig Network Protection-abonnement op de firewall nodig. Bij de registratie schakelt SFOS Security Heartbeat en Synchronized Application Control automatisch in.

Voor een gecontroleerde eerste validatie is één beheerd pilotendpoint geschikt:

1. Controleer onder System > Sophos Central of de firewall is geregistreerd en Security Heartbeat actief is.

2. Bevestig in Sophos Fusion onder My Products > Firewall Management > Firewalls de alert A new firewall has been successfully registered to Sophos Central. Deze alert bewijst de registratie, maar nog niet de werking van een regel.

3. Controleer voor het pilotendpoint in Sophos Fusion de tenant, de actuele gezondheidsstatus en gebeurtenissen uit dezelfde periode.

4. Controleer onder Control Center > User & device insights > Security Heartbeat of de teller Connected de verwachte pilotstatus aannemelijk weerspiegelt. Volgens Sophos blijft de detailweergave leeg wanneer alle endpoints groen zijn; alleen rode en gele endpoints worden afzonderlijk weergegeven.

5. Controleer welke firewallregel daadwerkelijk matcht. Zonder geconfigureerde heartbeatvoorwaarde is de status alleen zichtbaar; de toegang wordt pas beïnvloed door de instellingen onder Configure Synchronized Security Heartbeat. Controleer de minimale heartbeatstatus voor bron en bestemming afzonderlijk en pas alleen de voor de pilot bedoelde voorwaarden toe. Controleer bij webverkeer ook Web > Exceptions: Sophos documenteert dat een uitzondering voor policy checks webverzoeken kan toestaan ondanks Block clients with no heartbeat. Leid de werking daarom af uit de matchende Rule ID, de toepasselijke voorwaarden en uitzonderingen, en het waargenomen toegangsresultaat.

6. Activeer pas na deze baseline een heartbeatvoorwaarde in een nauw begrensde pilotregel, schakel logging in en test toegestaan verkeer met een gezond endpoint.

Tegenstrijdigheid in de Sophos-documentatie: Het Security Heartbeat-overzicht voor SFOS 22 en 23 stelt in het VPN-gedeelte zonder voorbehoud dat bij Missing al het verkeer van dit endpoint door de firewall wordt geblokkeerd. De gedetailleerde Heartbeat-beschrijving maakt het effect op de toegang daarentegen afhankelijk van de regels en noemt uitdrukkelijk de uitzondering voor beleidscontroles onder Web > Exceptions: webverzoeken worden ondanks Block clients with no heartbeat niet geblokkeerd. Deze uitspraken zijn niet met elkaar te verenigen als algemene garantie op isolatie. Voor een veilige acceptatie controleer je daarom de regel die daadwerkelijk matcht, de afzonderlijke minimumvereisten voor Source heartbeat en Destination heartbeat, de toepasselijke uitzonderingen en het daadwerkelijke toegangsresultaat. De aanduiding Missing alleen is geen bewijs van volledige isolatie; deze duiding is gebaseerd op de documentatie, niet op een hier uitgevoerde controle van een appliance of tenant.

Voor deze test mag geen rode status worden opgewekt door de endpointbeveiliging uit te schakelen of te manipuleren. Als Central, Control Center en de regelwerking niet overeenkomen of Missing verschijnt, helpt Missing Heartbeat-meldingen systematisch onderzoeken bij de controle van zone, pad, Rule ID en logs.

Voor de bredere weergave Control Center > User & device insights helpt User & Device Insights veilig beoordelen. Dit artikel legt de Heartbeat- en applicatietellers, Zero-Day-bevindingen, UTQ, SSL/TLS-fouten en firewallsessies uit, inclusief de verschillende tijdvensters en het onderscheid tussen een fout verbergen en het decryptiebeleid wijzigen. Deze lokale signalen zijn niet hetzelfde als Central Reporting en bewijzen niet dat elk endpoint of elke verbinding beschermd is.

De scope van Heartbeat-monitoring bepalen en het pad controleren

Selecteer onder System > Sophos Central > Optional configurations > Missing heartbeat zones alleen zones waarin beheerde Sophos-endpoints worden verwacht. Ontbrekende heartbeats worden alleen in de geselecteerde zones gedetecteerd; printers, gasten, IoT-apparaten en clients met een andere EDR krijgen door de registratie geen Sophos Heartbeat. De zonelijst en de heartbeatvoorwaarden van de matchende firewallregels moeten op elkaar zijn afgestemd. Sophos documenteert een bijzonder geval: als een heartbeatbeleid een zone blokkeert maar in dit veld geen zone is toegevoegd, kan de Control Center-widget toch Missing tonen. Een lege lijst bewijst dus niet dat er geen beleid is dat het verkeer beïnvloedt.

Leg vóór het wijzigen van de scope of een pilotregel de oorspronkelijke zonelijst, Rule ID, heartbeatopties en het IP-adres, MAC-adres en de actuele status van het pilotendpoint vast. Voer alleen de bedoelde, nauw begrensde wijziging door. Vergelijk daarna hetzelfde endpoint in Central en Control Center, genereer goedgekeurd testverkeer met een gezond endpoint en controleer de matchende Rule ID en het toegangsresultaat in de Log Viewer. Als de toegang onverwacht verandert, herstel je de vastgelegde zonelijst en regelopties, herhaal je hetzelfde testverkeer en onderzoek je het pad in plaats van de heartbeatvereisten globaal te versoepelen.

Het gedocumenteerde Heartbeat-kanaal gebruikt versleutelde TLS naar 52.5.76.173 op TCP 8347. Central levert certificaten waarmee de firewall endpoints aan de juiste organisatie kan koppelen; een open poort alleen brengt die vertrouwensrelatie niet tot stand. Controleer deze topologiebeperkingen voordat je een ontbrekende status onderzoekt:

• Een VPN die vóór de heartbeatverbinding tot stand komt, kan dat verkeer buiten de lokale firewall omleiden. Controleer voor Sophos Connect IPsec of Remote access VPN > IPsec > Advanced settings > Send Security Heartbeat through tunnel overeenkomt met het bedoelde verbindingsbeleid.
• Achter een tussenliggende router zonder NAT kan een endpoint nog steeds zijn gezondheidsstatus delen, maar kan de firewall een ontbrekende heartbeat niet detecteren. Een zichtbare gezondheidsstatus bewijst niet dat Missing-monitoring op dat pad werkt.
• Achter een NAT-gateway kunnen endpoints hun gezondheidsstatus niet met de firewall delen. Dit is een andere beperking dan bij routing zonder NAT.
• In TAP-modus moet minimaal één permanent verbonden interface in de LAN-zone bereikbaar zijn voor de endpoints. Alleen gespiegeld verkeer is niet voldoende: endpoints ontvangen de LAN-interfaceadressen via Central en proberen hun heartbeat naar een van die adressen te sturen.

Gezondheidsstatus interpreteren zonder automatische isolatie te veronderstellen

Connected (green) is de gezonde status die het endpoint rapporteert, geen garantie dat elke bedreiging is uitgesloten. Warning (yellow) kan wijzen op een PUA, inactieve of opgeruimde malware, of signatures die al 24 uur niet zijn bijgewerkt. At risk (red) vereist onderzoek, bijvoorbeeld naar actieve malware die niet kon worden verwijderd, kwaadaardig netwerkverkeer of beveiliging die niet correct werkt. Missing (red) is iets anders: de firewall ziet verkeer, maar ontvangt geen bijbehorende gezondheidsstatus. Vergelijk de endpointgebeurtenissen voordat je beide rode labels als hetzelfde incident behandelt.

De detailweergave voor rode en gele endpoints toont de hostnaam, het IP-adres, de gebruiker en de tijd sinds de statuswijziging. Een Missing-vermelding kan in Control Center en rapporten blijven staan nadat het endpoint het netwerk heeft verlaten; de status verandert wanneer het endpoint opnieuw verbinding maakt. Verwijder zo’n vermelding niet alleen om het dashboard groen te maken. Het gekoppelde artikel over Missing Heartbeat legt uit hoe je bewijsmateriaal vastlegt, welke afwegingen bij timers horen, welk Modern Standby-gedrag wordt ondersteund en hoe je nauw begrensd opschoont. Endpoints sturen hun heartbeat elke 15 seconden; de verspreiding van lijsten met rode en gele endpoints elke 30 seconden en de standaardtime-out van 60 seconden voor Missing-detectie zijn afzonderlijke mechanismen. Langere detectie- of rapportagevertragingen kunnen ook echte waarschuwingen vertragen.

Bescherming tegen laterale beweging is een afzonderlijke beveiligingsmaatregel: andere endpoints stoppen alleen met communiceren met een rood endpoint wanneer het bijbehorende Central-endpointbeleid van toepassing is. De firewall deelt MAC-adressen en gezondheidsstatussen als Layer-2-proxy binnen hetzelfde broadcastdomein. Ga er niet van uit dat dit endpoints over gerouteerde netwerken heen isoleert of heartbeatvoorwaarden vervangt voor verkeer dat door de firewall loopt.

Het SFOS 22-overzicht beschrijft gesynchroniseerde gebruikersidentiteit met domeinnaam, gebruikersnaam en Active Directory. Het SFOS 23-overzicht documenteert daarnaast User Principal Name (UPN) en accountvalidatie via Active Directory of Microsoft Entra ID. Pas die SFOS 23-beschrijving niet toe op een SFOS 22-omgeving en ga er niet van uit dat registratie alleen de identiteitsauthenticatie configureert; controleer de daadwerkelijke firmware en de configuratie van de authenticatieserver voordat je identiteitsgebaseerde regels gebruikt.

Wat Sophos Fusion niet vervangt

Sophos Fusion is nuttig, maar vervangt geen goede firewallconfiguratie.

Central vervangt niet:

• Goede zone- en interfaceplanning
• Restrictieve firewallregels
• Device Access Hardening
• MFA voor beheerders en portalen
• Lokaal probleemoplossen met Log Viewer en Packet Capture
• Gedocumenteerde back-ups en hersteltests
• Een extern Syslog-systeem als compliance of lange bewaring vereist is

Sophos Fusion is dus een extra beheer- en rapportagelaag, maar geen vervanging voor een veilige basisconfiguratie.

Voor registratie controleren

Voordat je verbinding maakt met Sophos Fusion, moet je kort nagaan wat je met de registratie wilt bereiken. Dit voorkomt later onduidelijke verantwoordelijkheden, dubbele tenants of onnodig geactiveerde diensten.

Belangrijke voorafgaande vragen:

• In welke Sophos Fusion-tenant moet de firewall worden geregistreerd?
• Wie heeft in de tenant de benodigde rechten voor Firewall Management, Reporting, Backup en licentiezaken?
• Is de firewall al geregistreerd in een ander Central-account?
• Heeft de firewall een actief betaald abonnement anders dan Base Firewall of een actieve Sophos-supportlicentie die Central Firewall Management omvat, zoals Enhanced Support? Controleer de concrete licentie, niet alleen of er een supportcontract is.
• Heeft de firewall een werkende IPv4-verbinding naar het internet?
• Moet Central alleen worden gebruikt voor licentieoverzicht en inventaris of ook voor beheer, rapportage en back-ups?
• Worden firewallgroepen gebruikt, en zijn de rollen Admin, Helpdesk en Read-only in de praktijk getest?
• Mogen firewalllogs vanuit privacy- of complianceoogpunt naar Sophos Fusion worden verzonden?
• Is er een actuele lokale back-up en een gedocumenteerde Secure Storage Master Key?
• Is duidelijk wie na registratie waarschuwingen, rapporten en mislukte taken controleert?

Als de firewall al in het verkeerde account staat, moet eerst Sophos Firewall naar een ander Sophos Fusion-account overdragen worden gecontroleerd. Voor de indeling van de verschillende accounts en portalen helpt Sophos Portalen: SophosID, Central, Support en Firewall-toegangen.

Wanneer je de firewall niet hoeft te verbinden

Een verbinding met Sophos Fusion is niet noodzakelijk als:

• Slechts één enkele firewall lokaal wordt beheerd
• Geen Central-rapporten nodig zijn
• Geen Sophos Endpoint-integratie gepland is
• Cloudbeheer om organisatorische redenen niet gewenst is
• Logs al naar een eigen SIEM of een Syslog-server worden verzonden

In dergelijke gevallen kun je de firewall lokaal beheren. Belangrijk is dan wel om back-ups, firmware-updates, monitoring en logging op een andere manier goed te organiseren.

Wanneer Sophos Fusion aan te bevelen is

Sophos Fusion is vooral aan te bevelen als:

• Meerdere firewalls worden beheerd
• Beheerders vanaf verschillende locaties werken
• Firewalls niet direct via WebAdmin vanuit het internet bereikbaar moeten zijn
• Configuratieback-ups centraal opgeslagen moeten worden
• Firewallrapportage nodig is
• Sophos Endpoint, MDR, XDR of andere Sophos Fusion-producten in gebruik zijn
• Security Heartbeat en Synchronized Security gebruikt moeten worden

Verbinding activeren

De verbinding wordt op de firewall ingesteld onder System > Sophos Central.

De volgende workflows gebruiken Engelse UI-labels die voor SFOS 22 en SFOS 23 zijn gedocumenteerd; de lokale interface kan nog steeds Sophos Central vermelden. Een lokale firewallbeheerder heeft toegang tot dit menu nodig. Central Firewall Management vereist nog steeds een actief betaald abonnement anders dan Base Firewall of een actieve Sophos-supportlicentie die recht geeft op deze functie, zoals Enhanced Support. Alleen Base Firewall is niet voldoende en het beheerpad via internet werkt alleen via IPv4.

Voordat je een OTP genereert: De firewall moet al zijn ingesteld en via een claim aan de bedoelde Sophos Fusion-tenant zijn gekoppeld. Als de inrichting of claim nog niet is afgerond, volg je eerst Sophos Firewall instellen, claimen en licenties activeren en controleer je de apparaat- en licentietoewijzing. De daaropvolgende OTP-registratie verbindt de bestaande firewall met Central Management; deze claimt geen eigendom en activeert geen abonnementen. Ook de toewijzing van de firewall aan een klant door een partner vervangt de claim niet.

Er zijn twee typische registratiemethoden:

• OTP uit Sophos Fusion: nuttig wanneer een partner, projectteam of firewall-admin niet met Super Admin-gegevens van de Central-tenant op de firewall moet werken. In Sophos Fusion wordt de bestaande firewall onder My Products > Firewall Management > Firewalls > Add Firewall via serienummer toegevoegd en wordt een OTP gegenereerd.
• Sophos Fusion-gegevens: nuttig wanneer direct op de firewall met een passend Sophos Fusion-adminaccount wordt geregistreerd. Sophos noemt dit een Central Super Admin.

Bij HA-paren moet je extra zorgvuldig werken. Bij OTP-registratie worden beide serienummers in Sophos Fusion ingevoerd; bij nieuwe HA-paren wordt de OTP op het Primary-apparaat gebruikt.

Een OTP in de juiste tenant genereren

Genereer voor een al ingestelde en geclaimde firewall eerst de OTP in Central voordat je doorgaat met de lokale registratiestappen:

1. Meld je aan bij de bedoelde tenant. Een partner wijst de firewall eerst in Partner Dashboard aan de juiste klant toe en opent de Central Admin-console van die klant. Klanttoewijzing vervangt de claim niet.
2. Open My Products > Firewall Management > Firewalls > Add Firewall en kies Join a firewall that is configured or deployed.
3. Voer in Enter Device Serial Number het bedoelde serienummer in en klik op Next. Voer bij HA beide serienummers gescheiden door een komma in en controleer ze aan de hand van het geplande paar.
4. Laat Register using OTP geselecteerd en kies Copy OTP and Finish. De OTP is 14 dagen geldig. Deel deze alleen met de bevoegde firewallbeheerder via het goedgekeurde kanaal voor het delen van geheimen; neem de OTP, wachtwoorden of schermafbeeldingen met ongeredigeerde inloggegevens niet op in een supportdossier.
5. Kies op de firewall Register > Use OTP, plak de OTP in Enter OTP en klik op Register. Voer bij een nieuw HA-paar de OTP alleen op het primary-apparaat in. Schakel daarna de bedoelde Central-services in en laat deze goedkeuren zoals hieronder beschreven.

Als de OTP is verlopen of de registratie mislukt, controleer je eerst de bedoelde tenant, de claim, de serienummers en de IPv4-connectiviteit. Genereer zo nodig een nieuwe OTP in de juiste tenant; meld de firewall niet herhaaldelijk af en wijzig het eigendom niet om de fout te omzeilen. Accepteer de registratie pas wanneer de serienummers en servicestatus in beide weergaven overeenkomen.

De alternatieve registratie met inloggegevens vereist een Central Super Admin. Een beheerdersaccount dat bij een Central Enterprise sub-estate hoort, kan niet voor deze registratie worden gebruikt. Houd het tenantaccount en de lokale firewallbeheerderrol gescheiden; met een OTP kan de lokale beheerder registreren zonder het Super Admin-wachtwoord van de tenant te ontvangen.

Typische procedure op de firewall:

1. Aanmelden op de firewall.
2. System > Sophos Central openen.
3. Register selecteren.
4. Use OTP of Use email address selecteren.
5. OTP of Sophos Fusion-gegevens invoeren.
6. Registratie afronden.
7. Sophos Central services activeren.
8. Gewenste services selecteren.

Afhankelijk van de behoefte kunnen deze opties worden geactiveerd:

• Use Sophos Central reporting / Send reports and logs to Sophos Central: stuurt log- en rapportgegevens naar Sophos Fusion.
• Use Sophos Central management / Manage from Sophos Central: staat beheerstoegang via Sophos Fusion toe.
• Send configuration backup to Sophos Central: slaat configuratieback-ups op in Sophos Fusion. Deze optie is in de praktijk gekoppeld aan de inrichting van Central Management en moet in Sophos Fusion worden goedgekeurd.

Alleen functies die echt worden gebruikt, moeten worden geactiveerd. In omgevingen met privacy- of compliance-eisen moet vooraf worden vastgesteld welke loggegevens naar Sophos Fusion mogen worden verzonden.

Na het activeren van de services moet een account met de rol Super admin in de betreffende Sophos Fusion-tenant de services in Sophos Fusion accepteren:

1. Aanmelden bij Sophos Fusion.
2. My Products > Firewall Management > Firewalls openen.
3. Firewall met Approval Pending zoeken.
4. accept-services selecteren.
5. Op de firewall controleren of de status van Waiting for approval from Sophos Central naar Managed of verbonden wijzigt.

De statuswijziging kan enkele minuten duren. Als de weergave niet direct wijzigt, moet je niet herhaaldelijk registreren. Controleer eerst de Central-status, internetverbinding, DNS en tijd.

Als vóór de firewall een egressfilter staat, moeten ook de passende uitgaande Sophos-services en poorten voor Central, reporting en back-ups bereikbaar zijn.

Een HA-paar onder Central-beheer brengen

Maak onderscheid tussen twee uitgangssituaties voordat je iets wijzigt. Leg beide serienummers, firmwareversies, primary/auxiliary-rollen, de lokale HA-status en de Central-servicestatussen vast. Zorg dat actuele configuratieback-ups, de bijbehorende wachtwoorden, de Secure Storage Master Key en werkende lokale beheerstoegang beschikbaar zijn. Het vormen van een HA-paar is een afzonderlijke onderhoudswijziging, geen snelkoppeling om registratieproblemen op te lossen; Sophos Firewall HA-varianten plannen en beheren behandelt configuratie-eigenaarschap, synchronisatie en het herstelplan.

• Twee zelfstandige firewalls worden al centraal beheerd: bereid HA lokaal voor met de bedoelde primary-configuratie. Beide apparaten moeten dezelfde firmwareversie gebruiken. Sophos documenteert zowel Active-Active als Active-Passive; na het vormen van het paar hoort Central één HA-paar te tonen, niet twee afzonderlijke beheerobjecten. Volg de HA-voorbereidingsprocedure voordat je toestaat dat synchronisatie de auxiliary-configuratie vervangt.
• Er bestaat een HA-paar, maar het wordt niet centraal beheerd: werk op de primary. De HA-specifieke documentatie noemt de registratieweergave Central synchronization en de actie Register both HA devices. Schakel na registratie Central-beheer in en selecteer in Central naast de primary-firewall Approval Pending > accept-services met de bevoegde Super Admin. Gebruik voor de OTP-route beide serienummers en voer de OTP alleen op de primary in zoals hierboven beschreven, in plaats van elke node afzonderlijk te registreren.

Wacht enkele minuten en controleer daarna of Central één paar toont met een HA icon en de bedoelde serienummers. Controleer lokaal de primary/auxiliary-rollen en synchronisatie, evenals de beheerstoegang en goedgekeurd testverkeer in de productieomgeving. Configuratiewijzigingen via Central gelden voor beide firewalls; één weergegeven object bewijst niet dat alleen de primary wordt gewijzigd.

Als de weergave gesplitst of dubbel blijft, vergelijk je eerst de lokale HA-status, beide serienummers, de tenant, de servicegoedkeuring en de Task Queue voordat je de registratie wijzigt. Om alleen de beheerwijziging terug te draaien, herstel je de vastgelegde Central-servicestatussen en controleer je de lokale toegang en HA-gezondheid. Hef het HA-paar niet op, voer de setupwizard niet opnieuw uit en forceer geen afmelding via de CLI om een weergaveprobleem op te lossen. Het terugdraaien van de HA-vorming vereist het afzonderlijk goedgekeurde HA-herstelplan; escaleer onopgeloste registratieproblemen of onduidelijkheid over de betrokken nodes met de vastgelegde status naar Sophos Support.

Een geblokkeerde registratie veilig onderzoeken

Bij Approval Pending of Waiting for approval from Sophos Central registreer je niet opnieuw en meld je de firewall niet voortijdig af. Controleer eerst de juiste tenant en het serienummer, de goedkeuring door een Super admin van de betreffende tenant onder My Products > Firewall Management > Firewalls, IPv4-internettoegang, DNS, tijd en de vereiste uitgaande services. Bij HA moeten beide serienummers in Central staan en wordt de OTP op de primary ingevoerd. Blijft de status na correctie hangen, bewaar dan schermafbeeldingen van beide statusweergaven, tijdstip, serienummers en HA-rollen voor Sophos Support.

De Synchronized Security-configuratie alleen wissen als een door support goedgekeurde handeling. De Device Console-documentatie voor SFOS 22 en 23 beschrijft system synchronized-security central_registration deregister om de Synchronized Security-configuratie uit Sophos Fusion of Sophos Central te verwijderen wanneer deze registratie of afmelding blokkeert. De bedoelde situatie hier is een bestaande firewall waarvan de registratie na de bovenstaande controles nog steeds door Synchronized Security wordt geblokkeerd, met die oorzaak bevestigd door Sophos Support. Dit is niet hetzelfde als volledig afmelden via Deregister in de volgende paragraaf of het opschonen van de interne database met SQL. Het commando verandert de toestand; het is geen alleen-lezen diagnosetest of algemene oplossing voor Approval Pending.

Leg vóór elke uitvoering in het supportdossier de bedoelde en huidige tenant, het apparaat en serienummer, de exacte SFOS-versie inclusief build, de registratiestatus, actieve Central-services, Security Heartbeat, Synchronized Application Control en de betrokken regels met hun huidige werking vast. Neem bij HA beide serienummers, primary/auxiliary-rollen, de synchronisatiestatus en de uitdrukkelijk bevestigde scope van betrokken nodes op. Test en behoud bevoegde lokale WebAdmin- en consoletoegang, onafhankelijk van het Central-beheerpad. Houd een actuele lokale back-up, het wachtwoord en de Secure Storage Master Key beschikbaar.

Niet uitvoeren zonder goedkeuring voor de specifieke build. Sophos Support moet vooraf bevestigen dat het wissen van de configuratie geschikt is voor dit geval, welke gevolgen worden verwacht voor registratie, services, Heartbeat-afhankelijk verkeer en HA, en hoe het herstel verloopt, inclusief eventuele registratie en servicegoedkeuringen. De gedocumenteerde syntaxis garandeert niet dat services ongewijzigd blijven of dat de vorige toestand omkeerbaar kan worden hersteld; een back-up alleen bewijst die herstelroute evenmin. Als gevolgen, betrokken nodes of herstel onduidelijk blijven, stel de uitvoering uit en houd de zaak bij support. Gebruik geen SQL-wijzigingen of geforceerde volledige afmelding als vervanging.

Controleer na een uitdrukkelijk goedgekeurde handeling volgens het supportplan de registratie in de juiste tenant en beide statusweergaven, de bedoelde services en de onafhankelijke lokale toegang. Controleer ook Security Heartbeat met het beheerde pilotendpoint, waar van toepassing applicatieherkenning, de werking van betrokken regels, productieverkeer, logs en bij HA de rollen en synchronisatie. Een opnieuw zichtbare firewall is op zichzelf geen bewijs van succes. Leg bij afwijkingen de toestand vast en volg met Sophos Support het goedgekeurde herstelplan in plaats van het commando opnieuw uit te voeren.

Central-services wijzigen of afmelden

Het uitschakelen van Security Heartbeat, Synchronized Application Control of Sophos Central management meldt de firewall niet af bij Central. De services zijn echter niet onafhankelijk: Security Heartbeat uitschakelen schakelt ook Synchronized Application Control uit, en endpoints en de firewall wisselen geen gezondheidsstatusinformatie meer uit. Een Heartbeat-pauze heeft dus gevolgen voor meer dan één service.

Leg vóór de wijziging onder System > Sophos Central de eerdere aan/uit-status van zowel Security Heartbeat als Synchronized Application Control vast, naast de status van de betrokken service. Schakel vervolgens de bedoelde service uit en sla de wijziging op. Controleer daarna de betrokken servicestatussen en ga na of de firewall geregistreerd blijft.

Om de wijziging terug te draaien, herstel je de betrokken service en beide vastgelegde statussen. Laat zo nodig een Super admin van de betreffende tenant de services opnieuw in Central goedkeuren. Controleer Security Heartbeat en Synchronized Application Control elk expliciet, in plaats van aan te nemen dat alleen Heartbeat inschakelen beide correct herstelt. Was Heartbeat eerder actief, controleer dan met een beheerd pilotendpoint de actuele gezondheidsstatus en de bijbehorende Connected-teller in Control Center zoals hierboven beschreven. Was Synchronized Application Control eerder actief, controleer dan ook de applicatieherkenning onder Applications > Synchronized Application Control met het pilotendpoint; Application Control gericht gebruiken beschrijft de passende validatiewerkwijze.

Volledig afmelden is een afzonderlijke, geplande levenscyclusstap:

1. Maak een actuele lokale configuratieback-up en houd het wachtwoord en de Secure Storage Master Key beschikbaar. Leg tenant, serienummers, actieve services, firewallgroepen, openstaande taken, reporting en Central-back-ups vast. Noteer bij HA beide nodes en hun rollen.
2. Test lokale WebAdmin-toegang met een bevoegd account. Rond openstaande Central-taken af of leg hun status vast en kies een onderhoudsvenster. Gebruik Central-back-ups niet als enige terugweg, omdat ze worden verwijderd wanneer de firewall uit Central Management wordt verwijderd.
3. Open op de firewall System > Sophos Central en kies Deregister. Gebruik geen ongedocumenteerde Device Console- of Advanced Shell-commando’s als snelkoppeling.
4. Controleer lokaal dat de firewall niet langer als Central-beheerd wordt weergegeven. Controleer onder My Products > Firewall Management > Firewalls de status van het apparaatobject; verwar een achterblijvend object niet met een werkende registratie. Test daarna lokale toegang, productieverkeer, logging en bij HA de clusterstatus.

Om de wijziging terug te draaien, registreer je de firewall opnieuw via de normale OTP- of superadminworkflow, laat je een Super admin van de betreffende tenant de benodigde services in Central accepteren en herhaal je de servicespecifieke tests. Als Deregister ontbreekt, de afmelding blijft hangen of de HA-scope onduidelijk is, forceer je niets via de CLI. Geef de vastgelegde status aan Sophos Support.

Na de verbinding controleren

Na registratie moet je niet alleen controleren of de firewall zichtbaar is in Sophos Fusion. Belangrijk is of de geactiveerde diensten echt functioneren en of de verantwoordelijkheden duidelijk zijn.

Zinvolle nacontrole:

1. In Sophos Fusion controleren of model, serienummer en licentiestatus correct worden weergegeven.
2. Op de firewall onder System > Sophos Central controleren of de gewenste services actief en verbonden zijn.
3. Als Manage from Sophos Central wordt gebruikt, open je in Central My Products > Firewall Management > Firewalls en klik je op de firewallnaam om de WebAdmin-console te openen. Wacht enkele seconden en controleer de toegang met de bedoelde beheerdersrol; houd het werkende lokale beheerpad beschikbaar tijdens het testen.
4. Als rapportage actief is, in de Log Viewer en in Sophos Fusion controleren of actuele gebeurtenissen binnenkomen.
5. Als cloud-back-ups actief zijn, een geplande back-up configureren en het laatste succesvolle back-uptijdstip documenteren.
6. Waarschuwingen, rollen en verantwoordelijkheden in Sophos Fusion controleren.
7. Als wijzigingen via Central worden verspreid, de Central Firewall Management Task Queue controleren.

Vooral bij meerdere firewalls moet de registratie in de interne documentatie worden opgenomen: tenant, serienummer, locatie, actieve Central-service, rapportagebewaring, back-upinterval en verantwoordelijke persoon.

Central-diensten apart controleren

Na registratie moet niet alleen de globale Central-status worden gecontroleerd. De afzonderlijke diensten hebben verschillende foutbeelden en hebben daarom eigen acceptatietests nodig.

• Registratie en inventaris: firewall verschijnt in de juiste tenant, serienummer, model, licentie en locatie kloppen.
• Manage from Sophos Central: toegang via Central werkt met de bedoelde adminrol, zonder dat WebAdmin onnodig vanaf WAN open blijft.
• Central Reporting: een bewust opgewekte gebeurtenis verschijnt in de Report Hub met de juiste firewall, tijd, regel-ID of logtype.
• Central-back-ups: een geplande of handmatige back-up loopt succesvol door, en back-upinterval, wachtwoord en Secure Storage Master Key zijn gedocumenteerd.
• Back-upbewaring: de vijf nieuwste Central-back-ups en een eventueel permanent opgeslagen back-up zijn bekend. Bij HA is duidelijk dat de Primary de back-up maakt.
• Back-upalerting: mislukte Central-back-ups genereren alerts en e-mailmeldingen die door een verantwoordelijke persoon worden gecontroleerd.
• Central Tasks: na een Central-wijziging wordt de Task Queue gecontroleerd tot de taak succesvol is afgerond of netjes is geëscaleerd.
• Security Heartbeat: Sophos Fusion toont de verwachte pilotstatus en de bijbehorende teller in Control Center is aannemelijk. Regelgebaseerde beperkingen worden pas na deze baseline stapsgewijs getest.
• Alerts en verantwoordelijkheid: het is duidelijk wie mislukte taken, back-upproblemen, reporting-gaten en licentiewaarschuwingen regelmatig controleert.

Deze scheiding voorkomt een typische beheerfout: een firewall kan zichtbaar zijn in Sophos Fusion terwijl reporting, back-ups of Central-taken toch niet correct werken.

Typische fouten

Firewall is in het verkeerde Central-account geregistreerd

Dit gebeurt vaak bij dienstverlenerswisselingen, testaccounts of meerdere historische SophosID-accounts. In dit geval moet je niet zomaar een tweede registratie proberen. Eerst nagaan waar de firewall momenteel is, wie toegang heeft tot de tenant en of een accountoverdracht nodig is.

Central Management wordt verward met lokaal WebAdmin

Manage from Sophos Central is een extra toegangsweg. De lokale WebAdmin Console, lokale admin-gebruikers, MFA, Device Access en SSH blijven zelfstandige beveiligingscontroles. Het is vooral belangrijk dat WebAdmin niet alleen daarom vanuit het WAN bereikbaar blijft omdat Central Management nog niet is getest.

Central-weergave wordt niet lokaal gevalideerd

Bij groepsbeleid, HA-clusters, WAF-regels en firmwaretaken moet Central niet als enige bron van waarheid worden behandeld. Central kan tonen dat een wijziging gepland, toegepast of zichtbaar is. Doorslaggevend is of de betrokken firewall de wijziging heeft verwerkt en of het echte verkeer of de echte dienst daarna werkt.

Praktisch betekent dit: controleer na Central-wijzigingen de Task Queue, de lokale WebAdmin-weergave, Log Viewer en indien nodig Audit Trail. Als de Central-interface blijft laden, een HA-paar dubbel lijkt te verschijnen of een groepsregel niet kan worden verplaatst, is dat niet automatisch een firewallregelprobleem.

Rapportage is geactiveerd, maar er komen geen bruikbare gegevens binnen

Dan moet je eerst controleren of Send reports and logs to Sophos Central actief is, of de juiste logtypen zijn ingeschakeld en of de firewall Central kan bereiken. Daarna in het artikel Central Firewall Reporting activeren de detailpunten over logselectie, bewaring en rapporten controleren.

Cloud-back-ups worden als enige back-upmethode beschouwd

Central-back-ups zijn handig, maar ze vervangen geen volledige herstelplanning. Voor kritieke locaties moet ook duidelijk zijn waar lokale back-ups liggen, wie het back-upwachtwoord kent, of de Secure Storage Master Key gedocumenteerd is en hoe een herstel of herinstallatie zou verlopen.

Niemand controleert Central-taken en waarschuwingen

Central helpt alleen als meldingen en mislukte taken ook worden behandeld. Vooral bij groepsbeleid, firmwaretaken, rapportage en back-ups moet duidelijk zijn wie waarschuwingen controleert en hoe fouten intern worden geëscaleerd.

Veelgestelde vragen