Naar de inhoud
Avanet

Dynamic DNS op Sophos Firewall configureren en controleren

Sophos Firewall

Onder Network > Dynamic DNS > Add koppel je een hostnaam van de DDNS-provider aan de juiste WAN-interface. Als de Sophos Firewall zelf het publieke IPv4-adres heeft, kies je Use port IP. Staat de firewall met een privé-WAN-adres achter een router, dan is NATed public IP de juiste keuze.

Dynamic DNS werkt alleen het DNS-record bij. Het opent geen poorten en maakt geen NAT- of firewallregels aan. Als een interne server achter de firewall bereikbaar moet zijn, moeten daarom ook de stappen in Een server via DNAT publiceren correct zijn uitgevoerd.

Dynamic DNS configureren

Vooraf zijn bij de provider een hostnaam zoals vpn.example.net en geldige updategegevens nodig. De firewall moet DNS-namen kunnen omzetten en internet en de provider kunnen bereiken. Dynamic DNS werkt daarom niet in een air-gapomgeving.

  1. Open Network > Dynamic DNS en klik op Add.
  2. Voer onder Hostname de bij de provider aangemaakte naam in, bijvoorbeeld vpn.example.net.
  3. Selecteer de bijbehorende WAN-Interface, bijvoorbeeld Port2 - WAN.
  4. Kies onder IPv4 address voor Use port IP of NATed public IP.
  5. Selecteer de Service provider.
  6. Voer Login name en Password of de providerspecifieke updatesleutel in.
  7. Sla de configuratie op met Save en controleer de status.

In het huidige SFOS-venster kun je kiezen uit DynDNS, DynAccess, EasyDNS, ZoneEdit, Google DDNS, Namecheap, DNS-O-Matic, No-IP, FreeDNS en Cloudflare. De voormalige Sophos-dienst myfirewall.co is stopgezet. Als een provider geen gebruikersnaam vereist, voer je volgens Sophos het domein in als Login name. Bij FreeDNS mag het wachtwoord in SFOS maximaal 15 tekens lang zijn.

Use port IP of NATed public IP

  • Use port IP: De geselecteerde WAN-interface heeft zelf het publieke IPv4-adres.
  • NATed public IP: De WAN-interface heeft een privéadres en een voorliggende router voert NAT uit. Om het publieke adres te bepalen, moet de firewall bovendien checkip.cyberoam.com via TCP 80 kunnen bereiken.

Bridge-interfaces ondersteunen geen Dynamic DNS. Als WAN-interfaces worden omgebouwd of vervangen, controleer je de afhankelijkheden via Object usage en daarna de DDNS-vermelding. Meer beperkingen van interfaces staan in Zones en interfaces correct gebruiken.

Cloudflare veilig koppelen

De geïntegreerde Cloudflare-provider verwacht het e-mailadres van het account en de Global API Key. Een beperkt API-token wordt in de huidige Sophos-documentatie niet als compatibele aanmeldingsmethode vermeld.

Cloudflare classificeert de Global API Key als verouderd: deze heeft dezelfde rechten als de gebruiker en toegang tot diens resources. Voor de SFOS-integratie moet daarom een afzonderlijke Cloudflare-gebruiker worden gebruikt die alleen toegang heeft tot de benodigde zone en daarvoor alleen de DNS-rol krijgt. De sleutel hoort niet thuis in screenshots of tickets. Als een Global API Key niet binnen het beveiligingsbeleid past, gebruik je in plaats daarvan een externe updater met een beperkt API-token of een andere ondersteunde provider.

Voor VPN en andere diensten waarbij clients rechtstreeks verbinding maken met het publieke firewall-IP, moet het Cloudflare-record op DNS only staan. Als de proxy bewust is ingeschakeld, geeft de DNS-query in plaats daarvan Cloudflare Anycast-adressen terug; controleer dan het DDNS-oorsprongsadres in het Cloudflare-dashboard.

DDNS-resolutie en dienst controleren

SFOS controleert elke vijf minuten of het publieke IP-adres is gewijzigd. Na het opslaan controleer je eerst onder Network > Dynamic DNS of de status en het bijgewerkte IP-adres aannemelijk zijn.

Vervolgens vraag je de hostnaam op buiten de eigen DNS-cache. Onder Linux en macOS:

dig @1.1.1.1 vpn.example.net A +short

Onder Windows:

nslookup vpn.example.net 1.1.1.1

Het antwoord moet overeenkomen met het verwachte publieke IPv4-adres. Direct na een wijziging kan een resolver door de DNS-TTL en cache nog het oude adres teruggeven.

Test ten slotte de eigenlijke dienst vanuit een ander netwerk, bijvoorbeeld via mobiel internet. Een correct DNS-antwoord bewijst alleen dat de naamomzetting werkt, niet dat de dienst bereikbaar is.

Multi-WAN, HA en CGNAT

Controleer na een WAN- of HA-failover altijd de DDNS-status, het externe DNS-antwoord en de dienst.

  • Multi-WAN: Elke DDNS-vermelding is aan een geselecteerde interface gekoppeld. Ga er niet van uit dat één hostnaam automatisch de actieve gateway volgt. Plan voor gepubliceerde diensten een unieke hostnaam per WAN.
  • HA: Diagnoselogboeken worden niet tussen de knooppunten gesynchroniseerd. De volledige failovertest staat in High Availability op Sophos Firewall configureren.
  • CGNAT: NATed public IP kan het gedeelde provideradres publiceren, maar maakt de firewall niet van buitenaf bereikbaar. Daarvoor is bijvoorbeeld een echt publiek IPv4-adres, een afzonderlijk bijgehouden AAAA-record met passende IPv6-firewall- en dienstconfiguratie, of een van binnenuit opgebouwde tunnel- of relayoplossing nodig. De hier beschreven SFOS-DDNS werkt alleen IPv4 bij.

Problemen oplossen

Selecteer in Log Viewer Events en System en zoek naar de component DDNS. De technische veldwaarden zijn log_type=Event, log_subtype=System en log_component=DDNS; vooral Status, Message en Failure reason zijn relevant. De laatste vermeldingen worden ook weergegeven via optie 4 Device Console:

show logs ddc.log lines 100

Voor een liveanalyse kun je in het SSH-menu onder Device Management > Advanced Shell de volgende opdracht uitvoeren en deze daarna met Ctrl+C stoppen:

tail -f /log/ddc.log

De opdrachten en de koppeling aan ddc.log zijn voor SFOS 22 gedocumenteerd, maar zijn hier niet op een klantfirewall uitgevoerd. Meer logbestanden en toegangsmethoden staan in Servicelogs van Sophos Firewall.

  • Invalid Configuration or bad authorization: Controleer hostnaam, provider en aanmeldingsgegevens. Voor Cloudflare zijn het e-mailadres van het account en de Global API Key vereist.
  • Invalid IP: Controleer de interface en de keuze Use port IP of NATed public IP.
  • DNS Error of Connect Failed: Controleer DNS, Default Route en de bereikbaarheid van internet en de provider. Controleer bij NATed public IP bovendien de hierboven genoemde bereikbaarheid van de Check-IP-dienst.
  • Invalid Response of Reported Abuse: Controleer de providerstatus, het account, blokkeringen en limieten bij de provider.
  • Success, maar verkeerd IP-adres: Vergelijk het providerdashboard, de geselecteerde interface, de IP-optie en het externe DNS-antwoord.
  • FQDN klopt, maar de dienst is niet bereikbaar: Controleer de poortdoorschakeling op de voorliggende router, DNAT, de firewallregel en de betreffende VPN- of dienstconfiguratie.

Als Cloudflare-DDNS pas sinds de upgrade naar SFOS 22.0 MR1 uitvalt, werk dan bij naar SFOS 22.0 MR2 Build 546 of nieuwer en test opnieuw. Sophos lost daarmee NC-180219 op; de details staan in het artikel over SFOS 22 MR2.