Sophos Firewall Discover Mode met TAP en SPAN configureren

In Discover Mode ontvangt Sophos Firewall via een TAP-interface een kopie van het netwerkverkeer. De switch spiegelt geselecteerde poorten of VLAN’s naar een SPAN- of mirror-poort die met een niet-gebonden firewallpoort is verbonden. De firewall staat niet inline en verandert het productiepad van de pakketten niet.

Korte procedure: Zorg voor een afzonderlijke beheertoegang, configureer een bidirectionele SPAN-poort op de switch, kies een niet-gebonden firewallpoort, voer system discover-mode tap add PortD uit in de Device Console en controleer de invoer eerst met Packet Capture. Beoordeel daarna Current Activity, rapporten en indien nodig een Security audit report.

⚠️ Discover Mode is een observatiemodus. Op verkeer op de TAP-interface kunnen geen Security Policies worden toegepast en de firewall kan het niet blokkeren of verwerpen. HTTPS wordt in deze modus niet ondersteund. Een rapport zonder bevindingen bewijst daarom geen volledige zichtbaarheid en evenmin effectieve bescherming.

PortD is een voorbeeld in deze handleiding. Gebruik de fysieke poort die daadwerkelijk vrij is op de appliance.

Discover Mode in acht stappen

Controleer een onafhankelijke beheerpoort van de firewall en een veilige herstelroute naar het beheer.
Leg op de switch vast welke poorten of VLAN’s in beide richtingen worden gespiegeld.
Verbind een speciale mirror-poort met een niet-gebonden fysieke firewallpoort.
Leg in de Device Console de uitgangssituatie vast met system discover-mode tap show.
Activeer de voorbeeldpoort als TAP met system discover-mode tap add PortD.
Controleer onder Network > Interfaces het type Discover, physical (TAP).
Genereer een bekende testflow en toon de pakketten daarvan aan op de TAP-interface.
Beoordeel pas daarna rapporten, gebruikerstoewijzing en een Security Audit Report.

De switch en de firewall worden afzonderlijk geconfigureerd. Een zichtbare TAP-interface bewijst nog niet dat de switch de juiste frames spiegelt.

Wanneer TAP past en wanneer niet

Discover Mode is geschikt voor een passieve inventarisatie, een proof of concept of een vooranalyse vóór een latere inline-implementatie. Typische doelen zijn:

verkeersrelaties en actieve applicaties zichtbaar maken;
web- en applicatiecategorieën binnen de technische grenzen classificeren;
IPS-detecties observeren zonder het datapad te wijzigen;
rapporten verzamelen voor latere planning van policies en segmentatie;
een nieuwe firewall parallel aan de bestaande infrastructuur beoordelen.

TAP is niet de juiste keuze wanneer verkeer al actief moet worden geblokkeerd, ontsleuteld, via NAT gewijzigd of door gebruikersgebaseerde regels gestuurd. Daarvoor is gateway-, bridge- of een andere inline-modus met passende firewallregels nodig.

Discover Mode kan worden gecombineerd met gateway-, mixed- en bridge-modus. De beveiligingsregels gelden dan voor de normale inline-interfaces, niet voor de TAP-interface. Sophos Firewall-zones en interfaces plannen legt uit hoe fysieke poorten, zones, bridges en andere interfacetypen samenhangen.

Voorbeeldtopologie en vervangbare waarden

Het voorbeeld gebruikt deze componenten:

Core-switch: SW-Core-01
Te spiegelen uplink: Switch-Port 1, ontvangen en verzenden
SPAN-destination: Switch-Port 24
Firewall-TAP: PortD, niet gebonden en zonder IP-configuratie
Firewallbeheer: PortA - 10.10.10.16/24
Testclient: 10.20.30.40

De namen en adressen zijn voorbeelden. De functie is bepalend: de TAP-poort ontvangt alleen de gespiegelde frames. Beheer, updates, DNS en rapportverzending lopen via een andere, normaal geconfigureerde interface.

De mirror-poort moet minstens even snel zijn als het waargenomen verkeer. Als meerdere zwaar belaste bronpoorten naar een tragere bestemmingspoort worden gespiegeld, kan de switch pakketten uit de kopie verwerpen. De productieve verbinding blijft actief, maar het rapport is onvolledig. TAP is daarom geen verliesvrije forensische opname en een ontbrekende gebeurtenis bewijst niet dat deze niet heeft plaatsgevonden.

Vereisten en beveiligingsgrenzen

Vóór de activering moeten deze punten duidelijk zijn:

Een beheerde switch ondersteunt SPAN of port mirroring.
Een fysieke firewallpoort is niet gebonden en wordt niet productief gebruikt.
Het beheer blijft via een afzonderlijke interface bereikbaar.
De firewall heeft internettoegang voor cloudclassificatie, IPS-updates en het genereren van het Security Audit Report.
Als het rapport gebruikers in plaats van alleen IP-adressen moet tonen, is een geschikte externe authenticatiebron geïntegreerd.
Doel, bewaartermijn en ontvangers van de gespiegelde gegevens voldoen aan de privacy-eisen.

De gespiegelde frames kunnen interne adressen, DNS-aanvragen, onversleutelde protocollen en communicatieverbanden onthullen. Bewaar Packet Captures en rapporten daarom alleen zolang als nodig en draag ze beveiligd over.

Port Affinity correct plaatsen

Voor bepaalde platforms raadt de Sophos-handleiding aan de TAP-interface vóór activering met bind-with aan een CPU te binden. XGS-appliances hebben geen handmatige Port Affinity nodig, omdat de verwerking automatisch over de CPU-cores wordt verdeeld.

Op andere appliances en virtuele platforms is een geschikte CPU-toewijzing afhankelijk van hardware, adapter en belasting. Neem daarom geen CPU-waarde over uit een ander voorbeeld. Als het platform een handmatige toewijzing vereist, wordt die vóór de TAP-uitrol gepland volgens de passende apparaat- of supportrichtlijnen. Een generieke opdracht set port-affinity hoort niet in de normale korte procedure.

Bij een virtuele firewall moet bovendien vaststaan dat de hypervisor, vSwitch en virtuele netwerkadapter de gespiegelde frames daadwerkelijk bij de VM afleveren. Alleen de status van de virtuele netwerkadapter bevestigt dit niet; doorslaggevend is het pakketaantoonbewijs in SFOS.

SPAN of port mirroring op de switch voorbereiden

De precieze configuratie is afhankelijk van de fabrikant. Op de switch worden minstens deze waarden ingesteld:

Source: de fysieke poort die wordt geobserveerd of de geplande VLAN’s.
Direction: ontvangen en verzenden, zodat beide richtingen zichtbaar zijn.
Destination: de speciale poort die is verbonden met firewall-PortD.
Session status: ingeschakeld.

Gebruik de destination-poort niet tegelijk als normale access- of trunk-poort voor endpoints. Sluit ook de beheerpoort van de firewall niet op de mirror-poort aan. Anders raken beheer- en observatiepad vermengd of ontstaat op de switch een onverwachte Layer 2-topologie.

Documenteer vóór de firewallconfiguratie welke VLAN’s en richtingen de switch werkelijk spiegelt. Bij grote uplinks begint de pilot bij voorkeur met één test-VLAN of een duidelijk beperkte poort in plaats van meteen met al het core-verkeer.

De TAP-interface op Sophos Firewall activeren

Onder Network > Interfaces moet de gekozen poort zone None hebben en mag deze geen IP-configuratie of productieve afhankelijkheid hebben. Maak een gebruikte poort niet alleen voor de test vrij: daardoor kunnen interface hosts, DHCP, routing, regels of andere diensten worden onderbroken.

Open na de SSH-aanmelding op Sophos Firewall Option 4: Device Console. Lees eerst de bestaande toestand:

system discover-mode tap show

Activeer daarna de geplande voorbeeldpoort en controleer opnieuw:

system discover-mode tap add PortD
system discover-mode tap show

Sophos documenteert bij een succesvolle activering de melding Discover Interface added successfully. De poort verschijnt vervolgens onder Network > Interfaces als Discover, physical (TAP).

De opdracht configureert geen SPAN op de switch. Als de poort ondanks de juiste SFOS-status geen verkeer ontvangt, controleer dan eerst de switchzijde in plaats van op basis van een vermoeden een firewallregel te maken.

Verkeer en rapporten controleren

1. Een gecontroleerde pakketcontrole uitvoeren

Genereer op testclient 10.20.30.40 een duidelijke DNS- of onversleutelde HTTP-test. Gebruik onder Diagnostics > Packet capture een nauw BPF-filter:

host 10.20.30.40

In de capture moeten pakketten met In interface PortD zichtbaar zijn. Bij bidirectionele mirroring verschijnen aanvraag en antwoord. Een Firewall Rule ID of een Forwarded-status is geen succescriterium op het passieve TAP-pad, omdat SFOS dit verkeer niet doorstuurt en er geen Security Policy op toepast.

Packet Capture in Sophos Firewall WebAdmin legt de bediening, filters en exportgrenzen uit. Stop de capture na de test en bewaar alleen het noodzakelijke tijdvenster.

2. Zichtbaarheid inhoudelijk controleren

Controleer na het pakketaantoonbewijs Current activities en de passende lokale rapporten. De verwachting moet bij het protocol passen:

de zichtbare bron- en bestemmingsadressen komen overeen met de test;
een applicatie- of webcategorie is alleen te verwachten waar SFOS het verkeer kan classificeren;
een IPS-detectie is een observatie, geen blokkering;
gebruikers verschijnen alleen met een werkende identiteitsbron en correcte toewijzing;
HTTPS-inhoud wordt in Discover Mode niet ondersteund.

Test de externe gebruikersbron afzonderlijk. Voor Active Directory helpt Active Directory met Sophos Firewall verbinden. Een ontbrekende gebruikersnaam betekent anders niet automatisch dat het TAP-verkeer ontbreekt.

3. Een Security Audit Report genereren

Selecteer onder Reports > Show report settings > Report scheduling > Add het type Security audit report. Vul ontvangers en organisatie bewust in en controleer daarna mailtransport en rapportinhoud afzonderlijk.

Sophos Firewall-rapporten plannen en per e-mail verzenden legt de grenzen van Send test mail, Generate now, privacy, taal en HA-gedrag uit. Een geslaagde testmail bewijst alleen het mailpad. Pas een gegenereerd rapport met plausibele gegevens bevestigt het volledige pad.

HA en gemengde bedrijfsmodi

Discover Mode ondersteunt alleen active-passive HA. Active-active HA is niet mogelijk zodra een van de firewalls in Discover Mode werkt.

Een active-passive-cluster kan niet worden gemaakt terwijl de TAP-interface actief is. Schakel voor het instellen van HA de TAP-poort op beide appliances uit, maak HA en activeer daarna de TAP-interface op beide apparaten afzonderlijk opnieuw. Sophos wijst er bovendien op dat de TAP-interface ook op de passieve appliance actief blijft.

Controleer daarom na een geplande rolwisseling de bekabeling, switch-mirroring en gegevensontvangst opnieuw. Ga er niet van uit dat een bestaande rapportperiode of TAP-observatie zonder onderbreking op de andere node doorgaat. Sophos Firewall HA instellen beschrijft rollen, synchronisatie en node-lokaal gedrag.

Ook in een gemengd gateway- of bridge-ontwerp blijft de grens duidelijk: normale interfaces kunnen verkeer doorsturen en beschermen. De TAP-interface ontvangt alleen de gespiegelde kopie.

Problemen per symptoom onderzoeken

De TAP-interface toont helemaal geen pakketten

Controleer de geconfigureerde poort met system discover-mode tap show.
Controleer onder Network > Interfaces het type Discover, physical (TAP) en de fysieke link.
Vergelijk switch-destination, bronpoorten of VLAN’s en de mirror-richting.
Herhaal een bekende testflow zonder een te nauw capturefilter.
Controleer bij een VM of de virtuele netwerkroute gespiegelde externe frames bij de firewall aflevert.

Een firewallregel is niet de oplossing, omdat TAP-verkeer niet door de normale Rule Engine wordt doorgestuurd.

Slechts één richting is zichtbaar

Op de switch is de mirror-bron vaak alleen op RX of TX ingesteld. Zet de sessie op both, dus beide richtingen, en herhaal dezelfde test. Bij asymmetrische routing kan het retourpad bovendien via een andere fysieke uplink lopen die niet wordt gespiegeld.

Pakketten zijn zichtbaar, maar rapporten blijven leeg of onvolledig

Controleer eerst tijdvenster, rapporttype, internettoegang, patternstatus en de werkelijk gespiegelde protocollen. HTTPS wordt in Discover Mode niet ondersteund. Een overbelaste SPAN-destination kan bovendien kopieën verliezen zonder het productieverkeer te beïnvloeden.

Ga bij ontbrekende gebruikers verder met de authenticatiebron. Als alleen de e-mailverzending mislukt, controleer dan eerst de e-mailmeldingen. Start rapportagediensten niet op basis van een vermoeden opnieuw en verwijder lokale rapportgegevens niet als eerste stap.

Een rapport toont risico’s, maar er wordt niets geblokkeerd

Dit is het verwachte gedrag. Discover Mode beoordeelt een kopie. Een bevinding leidt pas na inhoudelijke beoordeling tot een latere inline-policy, segmentatie of andere beveiligingsmaatregel. De TAP-firewall kan de geobserveerde originele flow niet achteraf stoppen.

Discover Mode veilig terugdraaien

Sla vóór de rollback de vereiste rapporten, tijdvensters en bevindingen op. Daarna:

Schakel de SPAN-sessie op de switch uit, zodat er geen nieuwe kopieën binnenkomen.
Verwijder de voorbeeldpoort in de Device Console:

system discover-mode tap delete PortD
system discover-mode tap show

Controleer onder Network > Interfaces dat de poort niet meer als Discover, physical (TAP) verschijnt.
Verwijder niet meer benodigde Security Audit-planningen gecontroleerd.
Gebruik de switch-destination-poort pas na een gedocumenteerde controle weer normaal.
Als de firewallpoort voortaan productief wordt gebruikt, plan en test dan zone, IP, afhankelijkheden en regels als afzonderlijke wijziging.

Meng een TAP-rollback niet met een geïmproviseerde inline-migratie. Gateway- of bridge-modus verandert routing, regels en uitvalrisico en vereist een afzonderlijk migratieplan.

Checklist

Afzonderlijke beheertoegang werkt.
De TAP-poort is fysiek, niet gebonden en wordt nergens anders gebruikt.
SPAN-source, direction en destination zijn gedocumenteerd.
De mirror-destination is niet overbelast.
system discover-mode tap show toont de verwachte poort.
Packet Capture ziet een bekende testflow in beide richtingen.
Rapporten worden alleen binnen de ondersteunde zichtbaarheid beoordeeld.
HTTPS en het ontbreken van enforcement zijn gedocumenteerd.
Gebruikerstoewijzing is indien nodig afzonderlijk getest.
Rapportontvangers en bewaartermijn zijn goedgekeurd.
HA- of VM-grenzen zijn in de echte omgeving getest.
Rollback en latere inline-migratie zijn afzonderlijke wijzigingen.

FAQ

Kan Discover Mode aanvallen of ongewenste applicaties blokkeren?

Nee. De firewall analyseert op de TAP-interface alleen de gespiegelde kopie. Op dit verkeer kunnen geen Security Policies worden toegepast; blokkering vereist een inline-pad.

Kan Sophos Firewall HTTPS ontsleutelen in Discover Mode?

Nee. Sophos documenteert dat HTTPS niet wordt ondersteund in Discover Mode. De modus vervangt daarom geen TLS inspection en evenmin een inline-test van web policies.

Kan Discover Mode naast een normale firewallconfiguratie werken?

Ja. Discover Mode kan worden gecombineerd met gateway-, mixed- of bridge-modus. De TAP-poort blijft passief; regels en Security Policies gelden alleen voor de normale inline-interfaces.