De Sophos Firewall Default CA gecontroleerd vernieuwen

De ingebouwde CA Default op Sophos Firewall is geen gewone beschrijvende invoer. Zodra de instellingen worden opgeslagen, regenereert SFOS de CA automatisch. Daarbij ontstaat een nieuwe sleutel en daarmee een nieuwe trust anchor. Bestaande vertrouwensrelaties passen daarna niet automatisch meer.

Een gecontroleerde vernieuwing begint daarom niet met Save, maar met een volledige lijst van afhankelijkheden. Daaronder vallen lokaal ondertekende certificaten, WebAdmin en portals, SSL VPN-profielen, certificaatgebaseerde IPsec-peers en externe systemen die de vorige CA vertrouwen.

⚠️ Belangrijk: Vernieuw de CA Default alleen met een gecontroleerde back-up, onafhankelijke beheerstoegang, een onderhoudsvenster en een plan voor iedere afhankelijke dienst. Een cosmetische wijziging van land, organisatie of common name rechtvaardigt geen ongeplande regeneratie.

De Default CA in tien stappen vernieuwen

1. Documenteer de technische reden, change owner, het onderhoudsvenster en de succescriteria.
2. Breng alle certificaten, diensten, VPN-profielen, peers en clients in kaart die de huidige CA Default vertrouwen.
3. Controleer of het werkelijke doel niet alleen het ApplianceCertificate of de afzonderlijke SecurityAppliance_SSL_CA is.
4. Test de huidige configuratieback-up, SSMK, lokale beheerderstoegang en herstelroute met positief resultaat.
5. Download de oude CA Default en leg de SHA-256-fingerprint, subject, het serienummer en de geldigheid vast.
6. Laat de nieuwe CA-gegevens, het sleuteltype en de compatibiliteit met alle peers schriftelijk goedkeuren.
7. Voer onder Certificates > Certificate authorities > Default de voorbereide waarden in en sla ze alleen tijdens het onderhoudsvenster op.
8. Download de nieuwe openbare CA en distribueer deze gecontroleerd naar peers, clients en trust stores.
9. Test WebAdmin, portals, SSL VPN, IPsec en iedere andere afhankelijke dienst afzonderlijk.
10. Documenteer fingerprint, logs, testresultaten en resterende oude profielen. Gebruik de voorbereide herstelroute als een kritieke fout optreedt.

Default CA, ApplianceCertificate en Inspection CA onderscheiden

Sophos Firewall bevat meerdere objecten met verschillende taken:

• Default: interne CA voor lokaal ondertekende certificaten.
• ApplianceCertificate: ingebouwd servercertificaat dat standaard wordt gebruikt voor WebAdmin, User Portal en Captive Portal. Het is ondertekend door de CA Default en kan afzonderlijk worden geregenereerd.
• SecurityAppliance_SSL_CA: afzonderlijke ingebouwde CA voor HTTPS Inspection en Re-Signing wanneer deze in de TLS Inspection-configuratie is geselecteerd.

Deze objecten mogen niet aan elkaar gelijk worden gesteld. Een probleem met één ApplianceCertificate bewijst niet dat de CA Default defect is. Ook voert een wijziging van de CA Default niet automatisch een geplande rotatie van SecurityAppliance_SSL_CA uit.

Certificaten op Sophos Firewall importeren en toewijzen legt het algemene werk met certificaten, private keys, CSR’s en CA-ketens uit. Voor de Inspection CA geldt de eigen procedure CA-certificaat voor HTTPS Scanning distribueren.

Wanneer regeneratie gerechtvaardigd is

Een geplande wijziging kan nodig zijn wanneer:

• de vorige CA-sleutel aantoonbaar of aannemelijk is gecompromitteerd,
• de CA verloopt en nog werkelijk in productie wordt gebruikt,
• identiteit, sleuteltype of cryptografische vereisten gecontroleerd worden gemigreerd,
• Sophos Support regeneratie vereist voor een bevestigd probleem.

Een afzonderlijke mislukte VPN-download, een browserwaarschuwing zonder ketenanalyse, een cosmetische subject-wens of een oud community-commando zijn geen voldoende redenen. Bij een probleem met .ovpn en ApplianceCertificate eerst de SSL VPN-configuratiedownload systematisch controleren.

Afhankelijkheden vóór de wijziging inventariseren

Certificaten en toegewezen diensten

Leg onder Certificates > Certificates voor ieder lokaal ondertekend certificaat minimaal naam, subject, issuer, geldigheid en werkelijke toewijzing vast. Afhankelijk van de omgeving omvat dit:

• WebAdmin, User Portal en Captive Portal,
• het SSL VPN-servercertificaat,
• site-to-site en remote access IPsec met Digital certificate,
• WAF-, SMTP-, API- of andere TLS-diensten,
• zelf gegenereerde client- of servercertificaten buiten de firewall.

Een zichtbaar certificaat is niet automatisch een afhankelijkheid. Bepalend is of een productiedienst het gebruikt en of de peer de uitgevende CA Default vertrouwt.

Vertrouwende systemen en distributieroutes

Documenteer daarnaast:

• browsers en besturingssystemen met de oude CA geïmporteerd,
• MDM, GPO of softwaredistributie voor de nieuwe CA,
• IPsec-peers met een geïmporteerde Default.pem, Remote CA of DN-toewijzing,
• SSL VPN-gebruikers en de distributieroute voor nieuwe .ovpn-profielen,
• monitoring, API-clients of integraties met certificate pinning,
• HA-, nood- en externe beheerstoegang.

Stop de wijziging als niet duidelijk is wie de vorige CA heeft gedistribueerd of welke peers deze vertrouwen.

Uitgangssituatie en herstelroute bewaren

Download vóór het onderhoudsvenster de CA Default onder Certificates > Certificate authorities. Het archief bevat het openbare deel, niet automatisch een afzonderlijk bruikbare export van de private key.

PEM-gegevens kunnen op een beheercomputer alleen-lezen worden gecontroleerd:

openssl x509 -in Default.pem -noout -subject -issuer -serial -dates -fingerprint -sha256

Voor een DER-bestand wordt het invoerformaat opgegeven:

openssl x509 -inform DER -in Default.der -noout -subject -issuer -serial -dates -fingerprint -sha256

Bewaar de fingerprint en uitvoer in de vooropname samen met firewallnaam, serienummer, SFOS-build en change-ticket. Voeg certificaatbestanden en interne PKI-gegevens niet onbeschermd toe aan openbare tickets.

Bewaar daarnaast extern een actuele Sophos Firewall-back-up met wachtwoord en SSMK. Een restore vervangt de volledige configuratie, start de firewall opnieuw en kan latere wijzigingen terugdraaien. Het is een laatste geplande herstelroute, geen snelle undo-functie voor de CA.

Het onderhoudsvenster voorbereiden

Vóór Save moeten de volgende punten groen zijn:

• lokaal admin-account of tweede beheerder getest vanuit het beheernetwerk,
• console of een andere onafhankelijke herstelroute beschikbaar,
• nieuwe CA-waarden en cryptografie compatibel met alle peersystemen,
• verantwoordelijken voor VPN-peers, MDM/GPO en portals beschikbaar,
• nieuwe profielen, trust-store-distributie en testaccounts voorbereid,
• voldoende tijd voor een volledige back-uprestore indien nodig.

Voer in een HA-cluster de ondersteunde WebAdmin-wijziging uit op de huidige Primary. SFOS documenteert voor deze wijziging geen ononderbroken CA- of sessiecontinuïteit. Test daarom na een geplande failover nieuwe aanmeldingen en alle kritieke diensten opnieuw. Bewerk de CA niet onafhankelijk op beide nodes.

De Default CA in SFOS bijwerken

1. Open Certificates > Certificate authorities.
2. Klik op Default. De naam zelf kan niet worden gewijzigd.
3. Controleer Country, State, Locality, Organization, Organizational unit, Common name en het e-mailadres.
4. Kies onder Private key settings bewust RSA of Elliptic curve, de bijbehorende sleutellengte of curve en de Secure hash.
5. Controleer de waarden aan de hand van het change-ticket en de compatibiliteitslijst.
6. Klik alleen tijdens het onderhoudsvenster op Save.

Voorbeeldwaarden zoals CH, Zurich, Example AG, IT Security, fw01.example.com en pki@example.com zijn uitsluitend documentatiewaarden. Vervang ze door de eigen organisatie, de werkelijke firewallreferentie en de goedgekeurde PKI-naamconventie.

⚠️ Save is het omschakelpunt. SFOS regenereert de CA Default automatisch. De eerdere subject-waarden later opnieuw invoeren herstelt de oude sleutel en fingerprint niet.

Download onmiddellijk daarna de nieuwe CA Default en voer dezelfde OpenSSL-controle uit. Na regeneratie wordt een nieuwe SHA-256-fingerprint verwacht. Onverwachte velden, een downloadfout of een niet-documenteerbare toestand zijn stopvoorwaarden.

Afhankelijke diensten gecontroleerd migreren

WebAdmin en portals

Controleer onder Administration > Admin and user settings welk certificaat is geselecteerd voor WebAdmin, User Portal en Captive Portal. Als een lokaal ondertekend certificaat met de nieuwe CA wordt gebruikt, moeten clients die er toegang toe hebben de nieuwe CA vertrouwen.

Houd tijdens de test een bestaande Full Admin-sessie open. Nieuwe privévensters van de browser testen FQDN, certificaatketen en aanmelding vanaf de bedoelde beheerbron. Het CLI-commando dat het WebAdmin-certificaat terugzet naar het standaard apparaatcertificaat is geen rollback van de oude CA-sleutel.

SSL VPN

Als SSL VPN het ApplianceCertificate of een ander lokaal ondertekend servercertificaat gebruikt, moeten gebruikers na de wijziging van de instellingen van de CA Default een nieuw .ovpn-bestand downloaden en importeren. Een bestaande bestandsnaam of een groene tunnelstatus met een oud profiel is onvoldoende als validatie.

Minstens één pilotgebruiker downloadt het nieuwe profiel via de bedoelde portalroute, brengt een nieuwe verbinding tot stand en test DNS, routes en werkelijk applicatieverkeer. Verwijder oude profielen pas uit de distributie nadat alle gebruikers succesvol zijn gemigreerd.

Certificaatgebaseerde IPsec-peers

Met Digital certificate wisselen Sophos Firewall-peers hun CA-certificaten uit. Als de peer eerder de externe Default.pem heeft geïmporteerd, vervang of voeg de nieuwe openbare CA gecontroleerd toe op de peer en controleer de toewijzing opnieuw.

De volledige verbindingsconfiguratie blijft in Site-to-site IPsec op Sophos Firewall configureren. Test voor de CA-wijziging minimaal IKE-opbouw, de Child SA, beide verkeersrichtingen en de werkelijke applicaties. Alleen een groene tunnel bewijst de retourroute niet.

HTTPS Inspection en andere ondertekeningsroutes

Bepaal voor HTTPS Inspection eerst welke Signing CA werkelijk is geselecteerd onder Web > General settings. Als dit SecurityAppliance_SSL_CA of een externe CA is, distribueer deze dan niet opnieuw alleen omdat de CA Default is geregenereerd.

Neem een ondertekeningsroute alleen in de wijziging op als is aangetoond dat deze de gewijzigde CA Default of een afhankelijk certificaat gebruikt. Zo blijven trust-store-wijzigingen beperkt tot de werkelijk getroffen endpoints.

Resultaat en logs controleren

De validatie scheidt configuratie en werking:

1. Download de nieuwe CA en documenteer subject, issuer, serienummer, geldigheid en SHA-256-fingerprint.
2. Controleer onder Certificates > Certificates issuer, Trusted en de betrokken certificaatobjecten.
3. Test WebAdmin, portals, SSL VPN, IPsec en andere toegewezen diensten afzonderlijk.
4. Controleer in vpncertificate.log de CA- en certificaatbewerking op het moment van de wijziging.
5. Controleer in configuration-audit.log beheerder, tijd en ondersteunde voor- en nagegevens.
6. Correleer in de betreffende servicelogs alleen de fouten en successen die bij de test horen.

Configuratiewijzigingen volgen met configuration-audit.log legt de audit trail uit. Niet iedere dienst schrijft evenveel detail naar configuration-audit.log, dus functionele validatie blijft verplicht.

Rollback en stopvoorwaarden

Een geregenereerde CA heeft geen eenvoudige Undo-knop. De eerdere tekst opnieuw opslaan herstelt de oude private key niet.

Bepaal daarom vooraf per dienst de herstelroute:

• behoud onafhankelijke beheerstoegang en de bestaande beheerderssessie,
• schakel portals terug naar een reeds getest, onafhankelijk extern certificaat als dit beschikbaar is en veilig kan worden toegewezen,
• herstel peer-trust en clientprofielen alleen volgens de gedocumenteerde vorige toestand,
• gebruik een volledige back-uprestore alleen wanneer de gevolgen, herstart, SSMK en het verlies van latere wijzigingen acceptabel zijn,
• escaleer met bewijsmateriaal naar Sophos Support wanneer een afhankelijkheid onbekend is of de certificaattoestand niet kan worden gereproduceerd.

Voer geen shell-databasewijzigingen, massale certificaatverwijdering, serviceherstarts of een tweede CA-regeneratie op vermoeden uit. Stop de wijziging als een kritieke peer niet kan worden gecoördineerd, de nieuwe trust anchor niet is gedistribueerd of de herstelroute niet met positief resultaat is getest.

Veelvoorkomende fouten na regeneratie

De browser meldt een niet-vertrouwde verbinding

Controleer de certificaatketen die werkelijk voor de FQDN wordt geleverd. Als het servercertificaat is ondertekend door de nieuwe CA Default, moet precies die CA in de trust store staan. Importeer SecurityAppliance_SSL_CA niet zomaar.

SSL VPN maakt geen verbinding meer met het oude profiel

Correleer het geselecteerde SSL-servercertificaat, de nieuwe CA, de portaldownload en sslvpn.log. Download een nieuw .ovpn-bestand en importeer dit als nieuw profiel. Onderscheid oude en nieuwe profielen aan de hand van het certificaat en een geslaagde verbinding, niet de bestandsnaam.

IPsec blijft down na de CA-wijziging

Controleer aan beide kanten CA-import, Trusted-status, Local/Remote certificate, ID en strongswan.log. Bij DER ASN1 DN kan een gewijzigd CA-subject ook de identiteit beïnvloeden. Versoepel profielen of ID’s niet op vermoeden.

HTTPS Inspection toont certificaatfouten

Controleer eerst de werkelijk geselecteerde Signing CA. Als SecurityAppliance_SSL_CA nog steeds wordt gebruikt en ongewijzigd is, wordt de fout niet automatisch veroorzaakt door de nieuwe CA Default. Onderzoek certificaatketen, Decryption Rule en endpoint-trust afzonderlijk.

Checklist

• Reden en scope van de CA-regeneratie zijn gedocumenteerd.
• De oude CA, fingerprint, back-up, wachtwoord en SSMK zijn bewaard.
• Alle certificaten, diensten, peers, clients en distributieroutes zijn geïnventariseerd.
• Default, ApplianceCertificate en SecurityAppliance_SSL_CA zijn afzonderlijk beoordeeld.
• Het onderhoudsvenster, de beheerherstelroute en verantwoordelijken zijn gereed.
• De nieuwe CA-waarden en cryptografie zijn compatibel met alle peers.
• De CA is alleen in het goedgekeurde venster opgeslagen en daarna gedownload.
• WebAdmin, portals, SSL VPN, IPsec en andere diensten zijn afzonderlijk getest.
• vpncertificate.log, configuration-audit.log en servicelogs zijn bewaard.
• Rollback of supportescalatie is mogelijk zonder ongecontroleerde shell-ingrepen.

FAQ