Sophos Firewall correct configureren na de Setup Wizard

Na de Setup Wizard is een Sophos Firewall bereikbaar en in principe operationeel; de registratie is voltooid of op daarvoor geschikte hardware bewust uitgesteld. Echter, veilig is ze daarmee nog niet. De wizard verzorgt de start, niet de productieve architectuur.

Dit artikel bundelt de controles na de eerste installatie: internettoegang, registratie, licenties, firmware, backups, zones, Device Access, DNS, DHCP, firewall- en NAT-regels, logging en de eerste hardeningmaatregelen. Het is gebaseerd op SFOS 22 en dient als praktische checklist voor nieuwe XGS Appliances, virtuele firewalls en kleine migraties. Veldnamen volgen de Engelstalige Sophos-interface; afzonderlijke pagina’s en opties kunnen verschillen per platform, model en online- of offline-installatie.

Bij een migratie van XG naar XGS Appliance, hardware naar virtueel of een herstel op een vervangend apparaat, moet ook Sophos Firewall Backup maken of herstellen en Sophos XG vs. XGS: Verschillen, EOL en migratie worden gecontroleerd.

Ter verduidelijking: Firewallregels en -beleid regelen het internet- en netwerkverkeer. SSL/TLS-inspectie kan SSL- en TLS-verbindingen via TCP onderscheppen en ontsleutelen. IPS gebruikt regels die helpen netwerkaanvallen te voorkomen. Met Web Protection kunnen beperkingen voor het surfen worden ingesteld op basis van categorieën, URL-groepen en bestandstypen. Of een bepaalde functie beschikbaar is en hoe deze werkt, hangt af van de licentie en configuratie. Het gewenste beschermingseffect moet met passende tests worden gecontroleerd; een geslaagde basisconfiguratie is geen garantie voor volledige bescherming.

Snelle start na de eerste login

Wanneer de firewall net uit de wizard komt, is niet elk detail meteen dringend. In de eerste 30 minuten gaat het vooral om het behouden van toegang, het veiligstellen van de status en het herkennen van de grootste operationele risico’s.

Deze volgorde is voor de meeste nieuwe installaties zinvol:

1. Admin-toegang beveiligen: Wachtwoord, Secure Storage Master Key en tweede admin- of Break-Glass-toegang documenteren.
2. Licentie en registratie controleren: Onder Administration > Licensing controleren of model, serienummer, basislicentie en abonnementen kloppen.
3. Backup maken: Voor verdere wijzigingen een handmatige backup downloaden en extern opslaan.
4. Firmware en patroon controleren: Firmwarestatus, hotfixes en patroonupdates controleren, maar updates alleen installeren met onderhoudsvenster en rollback-plan.
5. Device Access beperken: WebAdmin en SSH niet breed toegankelijk laten vanuit client-, gast-, IoT- of WAN-zones.
6. Zones en interfaces plausibiliseren: WAN, LAN, VLANs, bridges, managementnetwerk en latere beveiligingszones controleren tegen het netwerkplan.
7. Standaardregels beoordelen: Eerste firewall- en NAT-regels niet als definitief beveiligingsontwerp overnemen.
8. Logging activeren: Bij belangrijke regels Log firewall traffic inschakelen, zodat latere tests in de Log Viewer te volgen zijn.
9. Acceptatietest plannen: productief verkeer pas na een kort testplan vrijgeven, niet direct na de wizard.

Pas als deze punten in orde zijn, moet productief verkeer, Remote Access, WAF, SD-WAN, RED of TLS Inspection worden opgezet. Anders wordt het oplossen van problemen later onnodig moeilijk, omdat onduidelijk is of een probleem voortkomt uit de basisconfiguratie, een beveiligingsfunctie of een toepassing.

Setup-paden per situatie

Na de wizard vertakt het werk snel in meerdere gebieden. Voor nieuwe firewalls is deze volgorde zinvol:

• Central-koppeling: Als de firewall met Sophos Fusion (voorheen Sophos Central) verbonden moet worden of de grenzen van Central begrepen moeten worden, past Sophos Firewall met Sophos Fusion verbinden.
• Licentiestatus: Voor Base License, support en subscriptions helpt Sophos Firewall Base License begrijpen.
• Backup en restore: Vóór de eerste change moet Sophos Firewall backup maken of herstellen voorbereid zijn.
• Managementtoegang: WebAdmin, SSH, User Portal of VPN Portal worden gehard via Sophos Firewall toegang beveiligen: Device Access correct configureren.
• Netwerkdesign: Voor zones, interfaces, VLANs of bridges is Sophos Firewall zones en interfaces configureren het betere startpunt.
• Eerste regels: Voor firewall- en NAT-basis past Sophos Firewall-regels begrijpen en correct configureren.
• DNS en DHCP: Interne naamresolutie wordt netter met DNS Request Routes op Sophos Firewall configureren.
• Reporting: Voor logs, rapporten en langere retentie helpt Central Firewall Reporting activeren.
• Health Check: Security findings na SFOS 22 kunnen worden geprioriteerd met Sophos Firewall Health Check correct gebruiken.
• Upgradeplanning: Voor firmware updates of SFOS 22 upgrades past Sophos Firewall vóór SFOS 22 upgrade controleren.

Deze scheiding is belangrijk, omdat een succesvolle wizard nog geen voltooide beveiligingsarchitectuur betekent. Voor productief verkeer moeten managementtoegang, backup, licentie, zones, regels, logging en beveiligingsfuncties bewust worden gecontroleerd.

Voorbereiden vóór de installatie

Voordat de wizard wordt gestart, moeten toegang, WAN-verbinding, managementnetwerk en licentiecontext duidelijk zijn. Dit voorkomt improvisatie tijdens de installatie en latere correcties van onduidelijke uitgangspunten.

Vereisten voor de installatie

Voor de installatie moet duidelijk zijn hoe de firewall in het netwerk wordt geïntegreerd. Veel latere problemen ontstaan niet in de wizard zelf, maar omdat WAN, LAN, DNS, managementtoegang of licentiegegevens geïmproviseerd worden.

Voor de start gereed houden:

• Firewall-model, serienummer en geplande locatie.
• WAN-toegangsgegevens of providerinformatie, bijvoorbeeld DHCP, statisch IP, PPPoE, VLAN of voorgeschakelde router.
• Intern doelnetwerk voor de eerste LAN- of managementtoegang.
• DNS-servers die tijdens de installatie werken.
• Een Sophos Fusion-account met volledige licentie of proeflicentie en een firewall met Base License; voor de Central-koppeling van een al ingericht en geclaimd apparaat eventueel iemand die een OTP kan genereren.
• Gepland admin-wachtwoord en opslaglocatie in de wachtwoordmanager.
• Geplande Secure Storage Master Key (SSMK) en een beschermde opslaglocatie in de wachtwoordmanager of binnen de afgesproken herstelprocedure; leg beide vóór de start vast.
• Beslissing of de firewall direct opnieuw wordt ingesteld of via backup wordt hersteld.

Houd uw eigen Sophos ID gereed voor het aanmelden. Als u nog geen persoonlijke Sophos ID hebt, kunt u deze tijdens de installatie aanmaken. Dit vervangt niet de uitnodiging en toegangsrechten voor het bedoelde Sophos Fusion-account, de keuze van de juiste tenant, het claimen van de firewall of de bijbehorende licentievereisten. Sophos ID en accounttoegang beheren beschrijft hoe u uw account voorbereidt.

De firewall heeft voor registratie, licentiecontrole, patroonupdates en Central-koppeling een werkende internetverbinding nodig. Als een upstream-apparaat het uitgaande verkeer filtert, moet ten minste de noodzakelijke HTTPS-toegang werken. Bij complexere provideropstellingen moet de WAN-toegang eerst bewust worden gepland, in plaats van tijdens de wizard te gokken.

Aansluitingen en netwerkconfiguratie

Afhankelijk van het model verschillen poortnamen en standaardtoewijzing. Bij veel hardware-appliances is de eerste LAN-toegang mogelijk via het standaardadres, terwijl grotere modellen ook een toegewijde managementpoort kunnen hebben.

In de beschreven fabrieksconfiguratie van de hardware is Port B de WAN-poort en krijgt deze zijn adres via DHCP. Dit is een beginwaarde, geen vereiste voor elk platform of elke provider: Bij statische adressering, PPPoE of provider-VLAN’s wordt de WAN-configuratie aangepast aan het aansluitplan.

Voor de eerste LAN-toegang met de beschreven fabrieksconfiguratie krijgt de beheer-pc eerst een vrij IPv4-adres in 172.16.16.0/24, bijvoorbeeld 172.16.16.2 met subnetmasker 255.255.255.0. Verbind de pc rechtstreeks of via het gecontroleerde setupnetwerk met de bedoelde LAN-poort; in het beschreven hardwarevoorbeeld is dat Port A. Open pas daarna https://172.16.16.16:4444. Poortnamen en fabriekstoewijzingen moeten bij het model of platform passen; deze LAN-instructies vervangen de afzonderlijke MGMT-toegang niet.

Typische eerste toegang:

• LAN-poort met https://172.16.16.16:4444: Eerste configuratie via het lokale setupnetwerk.
• MGMT-poort met https://10.0.1.1:4444: Dedicated managementtoegang voor modellen met MGMT-poort.
• Seriële console of lokale toegang: Nood- of reimage-scenario’s.

De client voor de eerste installatie moet direct of via een gecontroleerd setup-netwerk verbonden zijn. Oude DHCP-servers, verkeerde VLANs of een productieve switchpoort met onverwachte poortconfiguratie kunnen de eerste installatie onnodig bemoeilijken.

Bij modellen met een dedicated managementpoort moet dit netwerk echt voor admins gereserveerd blijven. Niet-administratieve gebruikers, normale clients of gastapparaten horen niet in hetzelfde managementpoort-subnet. Anders wordt praktische eerste toegang al snel een onnodig beheeroppervlak.

De speciale beheerpoort configureren

Optioneel kan het IP-adres van de managementpoort al in de Setup Assistant worden gewijzigd. Rond daarna de setup af en open WebAdmin opnieuw via het daar daadwerkelijk toegewezen adres met HTTPS en de geconfigureerde consolepoort; bij een ongewijzigde standaardpoort is dit bijvoorbeeld https://10.0.1.1:4444, mits dit adres behouden is. Na een adreswijziging moet ook de beheer-pc zich in het juiste subnet bevinden of een toegestane route naar het nieuwe beheernetwerk hebben. De latere aanpassing onder Network > Interfaces en het hieronder beschreven HA-onderscheid blijven hierdoor ongewijzigd.

Appliances van 1U en groter hebben minstens één speciale beheerpoort. Deze verschijnt als PortMGMT onder Network > Interfaces, behoort standaard tot de LAN-zone en gebruikt aanvankelijk 10.0.1.1. Geef voor de setup de rechtstreeks aangesloten beheercomputer een vrij adres in hetzelfde subnet, bijvoorbeeld 10.0.1.2/24. Wijzig PortMGMT na de setup naar een adres in de geplande beheer-VLAN. Als toegang via VPN nodig is, sta dan alleen de vereiste diensten HTTPS en eventueel SSH toe voor de VPN-zone onder Administration > Device access.

HA-opmerking: In een HA-cluster synchroniseert SFOS de normale beheerpoortconfiguratie van de Primary naar de Auxiliary. Het PortMGMT-interface-IP is daarom op beide apparaten gelijk en kan niet per node verschillend worden ingesteld. Afzonderlijke WebAdmin-toegang tot de Auxiliary wordt geconfigureerd via de extra Peer administration IP in hetzelfde beheernetwerk.

Toegang tot de webinterface

Voor configuratie wordt via een webbrowser toegang verkregen tot de WebAdmin Console. Afhankelijk van de interface wordt een van deze adressen gebruikt:

• LAN-poort: https://172.16.16.16:4444
• Management-poort: https://10.0.1.1:4444

Bij de eerste toegang gebruikt de firewall een lokaal ondertekend certificaat. De browserwaarschuwing is op dat moment normaal, maar moet later niet genegeerd blijven. Voor de productieve WebAdmin-toegang moet een passend certificaat worden gepland, vooral als meerdere admins, Central Management of een management-FQDN worden gebruikt.

Zolang de standaardgebruiker admin met het standaardwachtwoord nog wordt gebruikt, gelden extra beperkingen. SSH vanuit de WAN-zone wordt niet normaal geweigerd; de firewall sluit de verbinding stil. WebAdmin vanuit de WAN-zone toont een Forbidden-melding. SCP met de standaardreferenties is in de LAN- en WAN-zone niet bruikbaar. Beschouw dit als installatiefase, niet als bedrijfsmodel.

Alleen bij een ongewijzigde fabrieksconfiguratie zijn de gebruikersnaam admin en het wachtwoord admin. Voer deze eerste aanmelding uitsluitend uit in een geïsoleerd, gecontroleerd beheer- of setupnetwerk en vervang het wachtwoord onmiddellijk door een sterk, eigen wachtwoord. Als het apparaat al is ingericht of het wachtwoord is gewijzigd, gebruik dan de daadwerkelijk geldige inloggegevens. Fabrieksinstellingen zijn geen inloggegevens voor productiegebruik.

Gebruik voor latere toegang via de browser HTTPS met het daadwerkelijk actuele interne IP-adres of de resolveerbare hostnaam van de firewall en de geconfigureerde consolepoort, bijvoorbeeld https://firewall.example:4444. Vervang daarbij de voorbeeldhost en zo nodig de poort: 4444 is de standaardwaarde, niet noodzakelijk de momenteel geconfigureerde waarde. De hierboven genoemde IP-adressen zijn voorbeelden uit de fabrieksconfiguratie en blijven na een wijziging niet automatisch geldig. Console-instellingen worden aangepast onder Administration > Admin settings. Los daarvan bepaalt Administration > Device access vanuit welke zones of bronnen de lokale diensten bereikbaar zijn; noch accountrechten, noch afmelden vervangen deze toegangsbeperkingen. Sta WebAdmin niet onbeperkt toe op WAN.

Browser en taal van de WebAdmin Console

De gangbare browsers Chrome, Edge, Firefox en Safari worden ondersteund; gebruik een actuele browserversie. De consoletaal geldt voor menu’s, knoppen, foutmeldingen, tooltips en andere schermteksten. Sinds SFOS 20.0 MR1 detecteert de firewall automatisch de voorkeurstaal van de browser. Als er geen overeenkomende ondersteunde taal beschikbaar is, wordt Engels gebruikt. De taalvoorkeur wordt opgeslagen in de browsercache.

Open om de taal te wijzigen de taalkeuzelijst op de aanmeldpagina, selecteer de gewenste taal en meld u daarna aan. De WebAdmin Console gebruikt vervolgens deze taal. De menupaden en UI-labels in dit artikel blijven voor een eenduidige oriëntatie in het Engels; een console in een andere taal toont de bijbehorende gelokaliseerde labels.

De Setup Wizard uitvoeren

De Setup Wizard configureert de firewall op basisniveau. In deze fase gaat het nog niet om het definitieve beveiligingsontwerp, maar om de firewall gecontroleerd online, geregistreerd en beheerbaar te krijgen.

Eerste installatie met de Setup Wizard

De Setup Wizard vraagt de basisgegevens op en brengt de firewall in een startklare toestand. De volgende lijst beschrijft de beslissingen en is geen schermvolgorde die op elk platform gelijk is:

1. Sophos End User Terms of Use accepteren.
2. Setup starten.
3. Het standaardwachtwoord van de admin vervangen door een sterk, complex wachtwoord en dit veilig opslaan.
4. Firewall-naam en tijdzone vastleggen.
5. Deployment Mode en de WAN-, LAN- en DNS-gegevens toetsen aan het netwerkplan.
6. Serienummer of bestaande licentiegegevens opgeven.
7. Beoordeel de optie voor automatische firmware-installatie zorgvuldig. In het hieronder beschreven claimtraject wordt Install the latest firmware automatically during setup (recommended) uitgeschakeld; de firmware-upgrade wordt daarna afzonderlijk gepland met een onderhoudsvenster en lokale toegang.
8. Secure Storage Master Key aanmaken en in de wachtwoordmanager bewaren.
9. Registratie en licentiesynchronisatie uitvoeren of, als het platform dat toestaat, bewust uitstellen.

Als de netwerkinstellingen tijdens de gateway-installatie moeten worden aangepast en de assistent deze stap aanbiedt, Manual configuration openen, instellingen invoeren die bij het netwerk passen en deze met Apply toepassen. Het dialoogvenster met OK bevestigen en met Continue doorgaan. Voorbeeldwaarden niet zonder controle overnemen; deze optionele reeks is geen universele schermvolgorde voor elk platform.

De Secure Storage Master Key is belangrijk voor beschermde gegevens en herstelscenario’s. Bij nieuwe installaties wordt hij in de Setup Assistant aangemaakt. Hij hoort niet in een lokaal tekstbestand op de admin-laptop, maar in een gecontroleerd wachtwoord- of herstelproces. Als hij verloren gaat, kan hij technisch worden gereset, maar bestaande beschermde backups of gegevens kunnen daardoor niet automatisch opnieuw worden ontsleuteld.

SFOS 22 past in de assistant aanbevolen standaardwaarden toe, onder meer voor hotfixes en Device Access. Zie deze als uitgangspunt, niet als algemene goedkeuring: controleer na de eerste login welke instellingen werkelijk actief zijn. Let onder Administration > Admin and user settings vooral op het afmelden van inactieve adminsessies en de bescherming tegen brute-force-aanmeldingen. Verlaag de aanbevolen bescherming niet zonder gerichte reden; leg vóór een wijziging de oorspronkelijke waarden vast en test het aanmelden vanuit het beoogde beheernetwerk.

Controleer bij Sign out administrator session de inactiviteitstime-out. Controleer onder Prevent brute force sign-in attacks het aantal mislukte aanmeldingen vanaf hetzelfde IP-adres binnen het ingestelde tijdvenster en de duur van de toegangsblokkering. Leg de effectieve waarden vast voordat ze worden gewijzigd; lok niet opzettelijk een blokkering uit om deze instellingen te testen.

Voor SSH-toegang van beheerders is authenticatie met een publieke sleutel een alternatief voor wachtwoordauthenticatie; dit vervangt de WebAdmin-authenticatie niet. De handleiding voor SSH-toegang en publieke sleutels behandelt Administration > Device access > Public key authentication for admin, sleutelbeheer en testen in een tweede sessie terwijl de bestaande beheersessie open blijft. Behoud een werkende alternatieve beheerroute totdat de nieuwe SSH-aanmelding is gecontroleerd.

Gateway Mode of Bridge Mode Kiezen

De keuze van de modus in de Setup Wizard is geen cosmetische instelling. Met This Firewall (Routed Mode) werkt Sophos Firewall als layer 3-gateway, routeert het verkeer en kan de bestaande gateway worden vervangen. Dit is voor een nieuwe installatie meestal het duidelijkste ontwerp, maar WAN- en LAN-adressen, routes, NAT en firewallregels moeten vooraf zijn gepland.

Met Internet gateway (Bridge Mode) staat de firewall inline als layer 2-bridge vóór of achter de bestaande router. Het huidige IP-schema kan behouden blijven terwijl het verkeer door IPS, malwarescanning en andere beveiligingsfuncties loopt. De bridge stuurt ook STP, RSTP en multicast routing door. Transparant betekent daarom niet risicoloos: het switchpad, de lusbeveiliging, bridge members, zones en regels blijven onderdeel van het netwerkplan.

⚠️ Na het selecteren van Finish past de assistent de configuratie toe en start de firewall opnieuw op. Als de assistent wordt uitgevoerd nadat al een HA-cluster is geconfigureerd, schakelt SFOS HA uit. Herhaal de moduskeuze daarom niet in de wizard van een bestaand HA-cluster. Sophos ondersteunt HA op bridge-interfaces voor een nieuwe Bridge Mode-installatie via de assistent, maar bekabeling, rolwissel en datapad moeten nog steeds gecontroleerd worden getest.

Bij modellen met een geïntegreerde draadloze radio in de bijbehorende gateway-installatiestap het beveiligde draadloze netwerk en het draadloze gastnetwerk volgens het netwerkplan configureren en met Continue doorgaan. Deze keuzes vervangen de controle van de gewenste scheiding tussen gastnetwerk en LAN niet.

Op XGS 88w, 108w, 118w en 128w biedt de wizard geen Bridge wireless network with LAN. Deze beperking geldt ook bij de gateway-installatie; de onderstaande configuratie na de installatie is dus niet beperkt tot Bridge Mode. Als LocalWifi0 rechtstreeks naar het LAN moet bridgen, wordt dit na de installatie bewust geconfigureerd onder Wireless > Access points > LocalWifi0 > Bridge to Ethernet en getest met een draadloze client.

In Gateway Mode kan de wizard bovendien Enable TAP/Discover Mode activeren voor een of meer passieve monitoringpoorten. Hierdoor worden de gerouteerde interfaces niet passief: alleen de TAP-poort observeert een gespiegelde kopie. Discover Mode met TAP en SPAN instellen beschrijft de volledige SPAN-, rapportage- en HA-procedure.

Na de herstart worden in beide modi eerst de beheerstoegang, de interfacestatus, DNS en een bekende testflow gecontroleerd. In Gateway Mode worden ook de default gateway, NAT en Firewall Rule ID gecontroleerd. In Bridge Mode worden beide bridge members, STP/RSTP, de router die verantwoordelijk blijft en een echt heen- en terugpad getest.

Internetverbinding en DNS-controle

In de wizard wordt gecontroleerd of de firewall het internet bereikt. Als de controle mislukt, moet niet zomaar “een of andere DNS” worden ingevoerd. Beter is een duidelijke afbakening:

• Heeft de WAN-interface een geldig IP-adres?
• Is de standaardgateway correct?
• Is PPPoE, VLAN of statische routing nodig?
• Kan de firewall DNS oplossen?
• Wordt uitgaand HTTPS-verkeer door een voorgeschakeld apparaat geblokkeerd?
• Kloppen datum, tijd en tijdzone?

Voor productieve omgevingen moet DNS niet willekeurig op openbare resolvers worden gezet als interne naamresolutie nodig is. Na de eerste installatie moeten interne domeinen via DNS request routes op Sophos Firewall correct naar interne DNS-servers worden doorgestuurd.

Registratie van de Sophos Firewall

De registratie verbindt de firewall met de Sophos licentie- en Central-context. Dit kan direct in de wizard of later tijdens de werking worden uitgevoerd. Voor productieve firewalls moet deze stap niet onnodig lang open blijven, omdat licentiestatus, support, abonnementen en Central-functies daarvan afhangen.

Claimen koppelt het serienummer aan het juiste Sophos Fusion-account. Dat is niet hetzelfde als een bestaande firewall later met een OTP voor Central Management registreren. Voor het onderstaande online-installatiepad zijn een Sophos Fusion-account met volledige licentie of proeflicentie en een firewall met Base License nodig.

De volgende claimprocedure gaat uit van een bestaand serienummer. Als er nog geen serienummer beschikbaar is en de online-assistent de bijbehorende tweede optie aanbiedt, levert die een tijdelijk serienummer voor een proefperiode van 30 dagen op. Vervolgens bij het bedoelde Sophos Fusion-account aanmelden of een account aanmaken, de licentieoptie voor de proefperiode kiezen en met Claim firewall bevestigen. Het serienummer wordt aan de firewall toegewezen; met Continue doorgaan. Dit tijdelijke serienummer is niet hetzelfde als de hieronder beschreven evaluatie van afzonderlijke beveiligingsmodules op een al geïdentificeerde firewall of het uitstellen van de hardwareregistratie.

Een nieuwe firewall tijdens de online-installatie claimen

1. Schakel in de assistant Install the latest firmware automatically during setup (recommended) uit en klik op Continue. Zo blijft de upgrade een geplande stap met onderhoudsvenster en lokale toegang, in plaats van tegelijk met de registratie te starten.
2. Stel de firewallnaam en tijdzone in. Kies I have an existing serial number, voer het serienummer van de bedoelde firewall in en klik op Continue.
3. Kies bij Claim your firewall with Sophos Central de knop Claim in Sophos Central. Meld aan bij het juiste Sophos Fusion-account; de Engelse UI-labels kunnen nog Sophos Central noemen.
4. Voer in Claim firewall het serienummer in en klik op Validate. Controleer de apparaatkoppeling voordat u claimt.
5. Kies bewust tussen Just claim the firewall with Base license en Claim with 30 days Xstream Protection, Web Server Protection and Email Protection evaluation license. De eerste optie koppelt alleen de basislicentie; de tweede start ook de genoemde evaluatie van 30 dagen. Een proefperiode is geen betaald beveiligingspakket en vervangt geen geplande verlenging.
6. Klik op Claim firewall. Rond na terugkeer naar de firewall bij Basic setup is complete af met Skip to finish, of gebruik Continue om de geavanceerde instellingen gecontroleerd te configureren.
7. Meld na afronding lokaal aan en controleer serienummer en licentiestatus onder Administration > Licensing. Open in Sophos Fusion My Products > Firewall Management > Firewall licenses, zoek dezelfde firewall en klap de pijl naast de naam open. Account, serienummer en licentiegegevens moeten bij het ingerichte apparaat passen.

Voor een al ingericht en geclaimd apparaat kan een administrator in een partner- of klantomgeving in plaats daarvan een OTP voor de Central Management-koppeling genereren. Zo hoeven Super Admin-inloggegevens niet te worden gedeeld, maar dit vervangt claimen of licentieactivering niet. Sophos Firewall met Sophos Fusion verbinden beschrijft het OTP- en beheerproces.

Belangrijk: Sophos Fusion Firewall Management vereist een betaald abonnement boven op de Base Firewall License of een actieve supportlicentie die hiervoor in aanmerking komt, bijvoorbeeld Enhanced Support. De Base Firewall License alleen is hiervoor niet voldoende. Daarnaast moet de firewall voor Central Management via IPv4 toegang tot internet hebben.

Registratie uitstellen: Alleen hardwarefirewalls kunnen tijdens de eerste installatie maximaal 30 dagen zonder claiming blijven, bijvoorbeeld voor een demonstratie of een installatie zonder internettoegang. Deze optie is niet beschikbaar voor software-, virtuele, Azure- of AWS BYOL-firewalls.

• Met internettoegang: Kies bij Register your firewall de optie I do not want to register now. Klik op Continue, vervolgens op Continue in de waarschuwing, en voltooi de assistant.
• Zonder internettoegang: Kies bij Internet Connection de optie Continue Offline. Klik op Continue, vervolgens op Continue in de waarschuwing, en voltooi de assistant.

Tot de registratie werken alle lokale firewallfuncties behalve Sophos Fusion en Synchronized Security Heartbeat. Na de installatie moet onder Administration > Licensing Registration has been currently deferred on this device. staan. Claim de firewall binnen 30 dagen in Sophos Fusion en voltooi de registratie. Uitstel geeft geen recht op betaalde abonnementen; controleer de werkelijke licentiestatus afzonderlijk.

Activering van licenties

Na de registratie controleert de firewall haar licenties bij de Sophos licentieserver. Als de firewall internettoegang heeft, worden licentie-informatie regelmatig gesynchroniseerd. Daarnaast kan de synchronisatie handmatig worden gestart in de WebAdmin Console.

Nieuwe abonnementen starten bij de afhandeling van de bestelling, niet pas wanneer de licentiesleutel wordt toegepast. De sleutel moet wel worden toegepast om de licentie aan deze firewall te koppelen. Later toepassen verschuift de start- en vervaldatum niet.

Een betaald abonnement op de firewall activeren

Klik onder Administration > Licensing op Activate subscription, voer de licentiesleutel in en kies Verify key. Vergelijk de getoonde abonnementsgegevens met de bestelling en firewall; bevestig alleen met Confirm als de koppeling klopt. Het nieuwe abonnement moet vervolgens onder Module subscription details als Subscribed verschijnen.

Open daarna in Sophos Fusion My Products > Firewall Management > Firewall licenses, zoek hetzelfde serienummer en klap de gegevens met de pijl naast de naam open. Controleer of het lokaal geactiveerde abonnement ook daar met de verwachte modules en vervaldatums verschijnt. Een Sophos Firewall-licentiesleutel activeren behandelt het License Schedule, verlengingen en activeringsfouten.

Een evaluatie vanaf de firewall starten

Klik onder Administration > Licensing bij Activate evaluations in Sophos Central op Sign in to Sophos Central. Selecteer in Activate Evaluations alleen de functies die getest moeten worden en bevestig met Evaluate selected. Na terugkeer naar de firewall moeten de geselecteerde modules onder Module subscription details als Evaluating verschijnen. Leg de vervaldatum en de keuze voor verdere licentiëring vast voordat productieregels van deze modules afhankelijk worden.

Een abonnement in Sophos Fusion toepassen en lokaal synchroniseren

De sleutel kan ook centraal worden toegepast:

1. Open in Sophos Fusion My Products > Firewall Management > Firewall licenses, zoek de firewall op serienummer en klap de gegevens met de pijl open.
2. Klik op Apply subscriptions, voer de Subscription Key in en kies Preview subscription.
3. Controleer de abonnementsgegevens en apparaatkoppeling voordat u met Apply subscription bevestigt. De nieuwe abonnementen moeten in de firewallgegevens van het portaal verschijnen.
4. Open op de firewall Administration > Licensing en klik op Synchronize. Onder Module subscription details moeten dezelfde abonnementen met overeenkomende statussen en vervaldatums verschijnen.

Zo worden beide richtingen gecontroleerd: lokale activering in de Central-weergave en centrale toepassing in de lokale licentieweergave. Controleer bij verschillen eerst serienummer, account, WAN, DNS en systeemtijd, in plaats van de sleutel op andere apparaten te proberen. Een passende licentie configureert nog geen beveiligingspolicy; de werking daarvan wordt apart getest.

Onder Administration > Licensing moet men controleren:

• Is het juiste model met correct serienummer geregistreerd?
• Is de basislicentie actief?
• Zijn support, Xstream Protection, Standard Protection of afzonderlijke abonnementen correct zichtbaar?
• Zijn vervaldatums plausibel?
• Is een nieuwe licentiesleutel echt toegepast of alleen in het portal opgeslagen?
• Toont de firewall na Synchronize dezelfde status als Sophos Fusion?

Zonder passende licentie werken veel beveiligingsfuncties niet of slechts beperkt. Dit betreft afhankelijk van de functie bijvoorbeeld IPS, Web Protection, Zero-Day Protection, DNS Protection, Central Orchestration, Active Threat Response of supportdiensten. De basisprincipes van support en modules staan in Sophos Firewall OS Basislicentie begrijpen en Welke Sophos Firewall Bundels zijn er?.

Verbinding met het Sophos Fusion Platform

Voor de lokale werking van een enkele Sophos Firewall is Sophos Fusion niet noodzakelijk. De firewall kan volledig via WebAdmin worden beheerd. Sophos Fusion biedt echter voordelen als men deze functies bewust gebruikt:

• centrale overzicht van een of meerdere firewalls,
• Central Firewall Management zonder directe WebAdmin-publicatie vanuit het internet,
• Central Backups,
• Central Firewall Reporting,
• afhankelijk van licentie langere logbewaring en extra rapportagefuncties,
• Security Heartbeat en Synchronized Application Control in Sophos-endpointomgevingen,
• integratie in andere Sophos-Central-processen.

Belangrijk is de juiste verwachting: Sophos Fusion vervangt geen lokale bedrijfsdocumentatie en geen goed admin-proces. Wie Central Management activeert, moet rollen, MFA, toegang, backup-opslag en rapportagebewaring bewust vastleggen.

Meer hierover staat in het artikel Sophos Firewall met Sophos Fusion verbinden: Voordelen en grenzen.

Afronding van de installatie

Als de gateway-assistent een keuze uit netwerkbeveiligingsopties aanbiedt, kies dan bewust de opties die passen bij het geplande netwerk en de licentie, en ga verder met Continue. Ook deze keuze vervangt niet de daaropvolgende controle van de beveiligingsprofielen en hun werking.

In de bijbehorende wizardstap een e-mailontvanger voor meldingen en back-ups instellen en met Continue doorgaan. Vóór Finish het configuratieoverzicht vergelijken met de bedoelde instellingen. Pas daarna afronden: De firewall past de wijzigingen toe en start opnieuw op. De HA-waarschuwing en de daaropvolgende controles blijven van toepassing.

Na voltooiing van de configuratie start de firewall opnieuw op of wordt u doorgestuurd naar het aanmeldscherm. In het hierboven beschreven claimtraject is Install the latest firmware automatically during setup (recommended) uitgeschakeld: voltooiing van dit traject betekent daarom niet dat de nieuwste firmware is geïnstalleerd. Controleer na het aanmelden welke firmwareversie daadwerkelijk actief is en plan een eventuele noodzakelijke update afzonderlijk met een back-up, een onderhoudsvenster en een terugvalmogelijkheid. Als in een ander configuratietraject een automatische update is geselecteerd en de verbinding tijdens die update wegvalt, is dat op zichzelf nog geen bewijs van een hardwaredefect of een geslaagde upgrade. Controleer zodra lokale toegang weer mogelijk is de firmwareversie en de basisstatus voordat productieverkeer wordt toegestaan.

Voor dat automatische upgradetraject tijdens de installatie beschrijft het gedocumenteerde herstelscenario bij verbindingsverlies een herstart met de firmware waarmee de firewall werd geleverd. Dit kan verklaren waarom de oorspronkelijke versie weer verschijnt. Dit is geen gegarandeerde uitkomst voor elke onderbreking of elk platform en geen algemene rollbackbelofte voor gewone firmwareupdates. Controleer de actieve versie en de basisstatus via lokale toegang en houd productieverkeer tegen totdat deze controles zijn afgerond.

Direct na de eerste login controleren:

• Datum, tijd en tijdzone.
• Firmwareversie en patroonupdates.
• Licentiestatus onder Administration > Licensing.
• WAN-status en internettoegang.
• Admin-wachtwoord en Secure Storage Master Key in de wachtwoordmanager.
• Backup-configuratie.
• Bereikbaarheid van de WebAdmin Console alleen vanuit gewenste netwerken.
• Standaardregels, NAT en DNS.
• Eerste logs in de Log viewer.

Algemene navigatie in WebAdmin

Na elke aanmelding wordt Control center geopend met een overzicht van de systeemstatus en de status van de beveiligingsfuncties. Het zoekveld bovenaan het linkermenu doorzoekt menu-items, tabbladen en sectiekoppen. De resultaten tonen ook de bijbehorende paden; zo is de juiste instellingenpagina te vinden zonder alle menu’s afzonderlijk te openen.

SFOS 22-kopbalk: navigeren en afmelden

Deze uitleg heeft betrekking op de gedocumenteerde kopbalk in SFOS 22. How-to guides opent de bibliotheek met configuratievideo’s, Log viewer opent de Log Viewer in een afzonderlijk venster en Help opent de contextafhankelijke hulp voor de huidige pagina.

Klik rechtsboven op de aangemelde gebruikersnaam, bijvoorbeeld admin. Het menu biedt Support voor de supportpagina en het openen van een supportaanvraag, About product voor de licentiepagina en Console voor de CLI-console. Bij HA-apparaten toont het bovendien het HA-type, de huidige status, de nodenamen en de serienummers van de Primary en Auxiliary.

Kies na afloop van het werk via de gebruikersnaam rechtsboven Logout, zodat er geen aangemelde sessie achterblijft. Reboot device start de firewall opnieuw op en Shutdown device schakelt deze uit: beide onderbreken de werking en zijn uitsluitend bedoeld als geplande onderhoudsacties, niet als vervanging voor afmelden. De afwijkende labels van de uitdrukkelijk gedocumenteerde SFOS-23-kopbalk volgen in de volgende sectie; ze bewijzen niet dat de oudere menupaden overal zijn verwijderd.

SFOS 23-kopbalk: wegwijs na het inloggen

Deze uitleg geldt uitdrukkelijk voor de WebAdmin-kopbalk die voor SFOS 23 is gedocumenteerd; de bovenstaande SFOS 22-installatieprocedure blijft de basis.

• Het Sophos-logo keert terug naar Control center. De kopbalk toont het model en serienummer. Via het Account icon zijn de gebruikersrol, apparaatnaam, het serienummer en de firmwareversie en build te controleren voordat men op het apparaat werkt.
• In het accountmenu opent Command line de CLI-console en Licenses de licentieweergave. Kies Account icon > Sign out om uit te loggen. Restart start het apparaat opnieuw op; Shutdown schakelt het uit. Beide onderbreken de werking en zijn geen alternatieven voor uitloggen: klik er niet op om de interface te verkennen, maar voer ze alleen uit als geplande onderhoudsactie.
• Het vraagtekenmenu biedt Help, Videos en Support. Het feedbackpictogram opent een venster voor feedback.
• Bij geconfigureerde HA opent het afzonderlijke HA icon de clusterstatus en de namen en serienummers van de Primary en Auxiliary. Dit is niet het HA-pictogram in Sophos Fusion. Zie voor inrichting en beheer HA-clusters en varianten.
• Logs and policy test combineert logtoegang met het tabblad Policy test. Logbediening blijft beschreven in de Log Viewer-handleiding; firewallregels correct testen legt de versiegebonden toegang tot de test uit.

Pas de labels niet overal toe: Het eerdere gedeelte over uitloggen in de SFOS 23-documentatie noemt nog Logout, terwijl het gedeelte over de kopbalk Sign out gebruikt. De ongewijzigde Manage-pagina noemt bovendien admin > Console in plaats van Account icon > Command line. Deze passages zijn niet consistent; de nieuwe labels hier gelden alleen voor de uitdrukkelijk gedocumenteerde SFOS 23-kopbalk. Ze bewijzen niet dat de eerdere SFOS 22-routes overal zijn verwijderd.

De firewall na de Setup Wizard productieklaar maken

Na de wizard begint het echte werk: de firewall moet worden gehard, in de netwerkarchitectuur worden geïntegreerd, gedocumenteerd en voorbereid op troubleshooting. Deze stappen bepalen de latere werking sterker dan de wizard zelf.

Waarom de Setup Wizard niet voldoende is

De wizard creëert een eerste basisconfiguratie, maar geen voltooide beveiligingsarchitectuur. Interfaces, zones, Device Access, DNS, DHCP, firewallregels, NAT, logs, backups en beveiligingsprofielen moeten bewust worden gecontroleerd.

Een Sophos Firewall is geen consumentenrouter, waarbij men na de wizard klaar is. Goed gepland kan ze een netwerk zeer goed beveiligen, maar alleen als de architectuur klopt: zones moeten bij de beveiligingslogica passen, managementtoegang moet beperkt zijn, regels moeten bewust en gedocumenteerd worden opgesteld, en beveiligingsfuncties zoals webfilter, IPS, Application Control of TLS Inspection moeten gericht worden geactiveerd en getest. Een verkeerd geconfigureerde firewall kan een vals gevoel van veiligheid geven.

Als eerste is een blik in het Control Center de moeite waard. Daar ziet men systeemstatus, verkeer, gebruikers- en apparaatinformatie, actieve firewallregels, rapporten en meldingen zoals nieuwe firmware of Health-Check-bevindingen. Waarschuwingen en meldingen in dit gebied moet men niet zomaar wegklikken, maar als praktische checklist voor de nabewerking gebruiken.

Firmware, licentie en backup controleren

Onder Backup & firmware controleert men of de actieve firmware actueel is. Firmware-updates zijn beveiligingsrelevant, omdat daarmee foutoplossingen, stabiliteitsverbeteringen en beveiligingsfixes worden doorgevoerd. Updates moeten niet permanent worden uitgesteld, maar ook niet onvoorbereid worden geïnstalleerd.

Sophos Firewall werkt met twee firmware-slots. Hierdoor kan bij problemen weer op een eerdere firmware worden geboot. Toch moet voor elke grotere wijziging een handmatige backup worden gemaakt. Bij productieve firewalls plant men een onderhoudsvenster, controleert men release-opmerkingen, HA-status, vrije opslagruimte, VPN-afhankelijkheden en externe bereikbaarheid.

Onder Backup & firmware moet bovendien een regelmatige backup worden ingesteld. Voor versleutelde backups is een backuppassword nodig. Voor het herstellen van gevoelige gegevens is daarnaast de Secure Storage Master Key relevant. Deze sleutel hoort absoluut in een wachtwoordmanager. Als hij verloren gaat, kan men hem weliswaar via de console resetten, maar bestaande beschermde backups kunnen daardoor niet meer normaal worden hersteld.

Vervolgens controleert men onder Administration > Licensing of registratie, basislicentie en geboekte abonnementen correct worden weergegeven. Voor het update-thema helpen de artikelen Sophos Firewall Firmware Update: Voorbereiding en Best Practices en Firmware bijwerken op de Sophos Firewall. Backups worden in het artikel Sophos Firewall Backup maken of herstellen nader uitgelegd.

Zones en interfaces goed plannen

De wizard kan bij hardware-appliances meerdere LAN-poorten tot een bridge samenvoegen. Dit is voor de snelle start praktisch, maar niet altijd de beste doelarchitectuur. Onder Network > Interfaces moet worden gecontroleerd welke poorten, VLANs, bridges of LAGs echt nodig zijn.

Elke interface is precies aan één zone toegewezen. Deze toewijzing bepaalt later hoe firewallregels, Device Access en beveiligingsprofielen van toepassing zijn. Typische productieve zones zijn bijvoorbeeld LAN, Server, DMZ, Guest, VoIP, Management of VPN. Niet elk VLAN heeft per se een eigen zone nodig, maar elke zone moet een duidelijke beveiligingsbetekenis hebben.

Meer hierover staat in het artikel Sophos Firewall Zones en Interfaces plannen en configureren.

Device Access beveiligen

Een veelgemaakte fout na de eerste installatie is te veel managementtoegang. Toegang tot lokale diensten van de firewall, zoals WebAdmin, SSH, User Portal, VPN Portal, DNS of Ping, wordt niet via normale firewallregels geregeld. Hiervoor is Administration > Device access verantwoordelijk.

Voor productieve systemen moeten HTTPS en SSH niet breed vanuit onveilige zones worden toegestaan. Als externe toegang nodig is, moet men met een Local service ACL exception rule werken en de toegang beperken tot vaste IP-adressen of gedefinieerde managementnetwerken. Alternatief is Sophos Fusion Firewall Management vaak de nettere oplossing.

⚠️ WebAdmin, SSH, User Portal en VPN Portal mogen nooit bereikbaar zijn alleen omdat de firewallregelbasis er netjes uitziet. Deze services hangen af van Device Access en Local Service ACLs. Test na elke wijziging actief vanuit welke zones en bronnetwerken toegang werkelijk mogelijk is.

Meer hierover staat in het artikel Sophos Firewall toegang beveiligen: Device Access correct configureren.

Admin-accounts, MFA en fallback instellen

Na de eerste login moet niet permanent met een gedeelde admin-toegang worden gewerkt. Voor het dagelijks gebruik zijn eigen beheerders, duidelijke rollen en een gedocumenteerde noodtoegang beter. Zo kan later worden nagegaan wie een wijziging heeft aangebracht, en een enkel gecompromitteerd wachtwoord leidt niet automatisch tot volledige toegang tot de firewall.

Voor nieuwe firewalls is deze volgorde zinvol:

1. Minstens een tweede administratieve toegang testen voordat MFA breed wordt geactiveerd.
2. De lokale standaardgebruiker admin als Break-Glass-account behandelen en niet als daggebruiker gebruiken.
3. MFA voor WebAdmin, VPN Portal en Remote Access gepland activeren.
4. Rollen en verantwoordelijkheden documenteren, vooral als Sophos Fusion Firewall Management wordt gebruikt.
5. Token-reset, wachtwoordopslag en toegang buiten kantooruren vastleggen.

MFA vermindert het risico van gestolen inloggegevens, maar vervangt geen toegangsbeperking. Daarom horen MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access en Device Access samen. Als meerdere personen via Sophos Fusion werken, moeten bovendien de Sophos Fusion Administratieve Rollen worden gecontroleerd.

DNS, DHCP en interne naamresolutie controleren

Onder Network > DNS wordt bepaald hoe de firewall DNS-servers ontvangt: via DHCP, via PPPoE-gegevens van de provider of statisch. Voor interne domeinen moet men DNS request routes gebruiken, zodat verzoeken voor interne zones naar de juiste interne DNS-server gaan.

Bij nieuwe installaties moet DNS met echte interne en externe namen worden getest. Een test alleen met google.com is niet voldoende als later Active Directory, fileservers, printers, managementsystemen of interne toepassingen worden gebruikt. Belangrijk is vooral of clients de juiste DNS-servers ontvangen en of de firewall interne domeinen niet per ongeluk naar openbare resolvers doorstuurt.

Praktische DNS-controle:

• Firewall resolveert externe namen: DNS-resolutie werkt voor de geteste namen. Controleer daarna registratie, licentiesynchronisatie, updates en de verbinding met Central afzonderlijk.
• Client resolveert externe namen: DNS-resolutie werkt voor de geteste namen. Controleer ook de DHCP-toewijzing, de gebruikte DNS-server en de firewallregel.
• Client resolveert interne namen: Interne naamresolutie werkt voor de geteste namen. Controleer of de beoogde interne DNS-server of de DNS request route wordt gebruikt.
• VPN- of VLAN-client resolveert interne namen: Naamresolutie werkt ook vanuit het geteste netwerk. Controleer de DNS-server, het zoekdomein en de zoneregel desondanks aan de hand van de geplande configuratie.

DHCP wordt onder Network > DHCP per interface ingesteld. Sophos Firewall als DHCP-server configureren beschrijft hoe het adresbereik, de gateway, DNS, leasetijd en statische toewijzingen correct worden gepland en getest.

Als DHCP over VPN-verbindingen moet worden doorgegeven, kan de firewall ook als DHCP Relay werken. Voor DHCP-speciale opties is er Sophos Firewall DHCP Opties configureren.

Eerste firewall- en NAT-regels controleren

De door de wizard aangemaakte standaard-uitgaande regel moet niet blind worden overgenomen. Onder Rules and policies > Firewall rules moet men controleren welke bronzones zijn toegestaan, welke doelen bereikbaar moeten zijn en welke beveiligingsfuncties actief zijn. Regels worden van boven naar beneden verwerkt; de eerste passende regel wint.

Voor de start moet minstens één bewust benoemde client-naar-internet-regel bestaan. Deze regel moet niet zomaar Any naar Any toestaan, maar bronzone, bronnetwerk, doelen, diensten, logging en beveiligingsfuncties duidelijk tonen. Als de regel later wordt uitgebreid, moet het duidelijk blijven of deze bedoeld is voor normale clients, servers, gasten, IoT of managementapparaten.

Een eerste regelcontrole kan er zo uitzien:

1. Testclient in de beoogde zone aansluiten.
2. IP-adres, gateway en DNS bij de client controleren.
3. Een externe HTTPS-oproep genereren.
4. In de Log viewer zoeken naar bron-IP, doel, service en regel-ID.
5. Controleren of de verwachte firewallregel en NAT-regel zijn geraakt.
6. Een opzettelijk niet toegestane test uitvoeren, bijvoorbeeld vanuit een gast- of managementzone.
7. Documenteren welke regel productief blijft en welke wizard- of testregel wordt verwijderd.

Voor NAT geldt: NAT staat geen verkeer van zichzelf toe. Er is altijd ook een passende firewallregel nodig. Voor normale clients naar het internet is meestal een Source-NAT-regel met MASQ relevant. Voor gepubliceerde servers is daarentegen DNAT plus een passende firewallregel, logging en een externe test van buiten het eigen LAN nodig. Voor nieuwe configuraties zijn zelfstandige NAT-regels meestal overzichtelijker dan gekoppelde NAT-regels. De basisprincipes staan in Sophos Firewall-regels begrijpen en correct configureren en NAT op Sophos Firewall begrijpen: SNAT, DNAT, MASQ, PAT. Als een interne server moet worden gepubliceerd, past het artikel Server per DNAT op Sophos Firewall publiceren.

Beveiligingsfuncties bewust activeren

Een firewallregel is niet automatisch een volledige beveiligingsregel. Afhankelijk van licentie en doel moeten IPS, Web Protection, Application Control, Malware-Scanning, TLS Inspection, Zero-Day Protection of Threat Feeds bewust worden geactiveerd, getest en gedocumenteerd.

Praktische volgorde:

1. Schone zones en regels maken.
2. Logging voor belangrijke regels activeren.
3. IPS en Web Protection daar activeren waar ze functioneel passen.
4. Application Control voor risicovolle of ongewenste toepassingen aanvullen.
5. TLS Inspection alleen gepland invoeren, met testgroep, CA-distributie en uitzonderingen.
6. Threat Feeds, NDR of Active Threat Response pas activeren als monitoring en false-positive-proces zijn uitgeklaard.

Voor de bredere hardeningcontext past Sophos Firewall Best Practices: Netwerk, regels en beveiliging. Voor Zero-Day Protection is er Sophos Firewall Zero-Day Protection begrijpen en beheren, voor TLS Inspection Sophos Firewall TLS Inspection invoeren.

Logging en troubleshooting voorbereiden

In belangrijke firewallregels moet Log firewall traffic worden geactiveerd, anders ontbreken later vaak precies de informatie die men voor het oplossen van problemen nodig heeft. Dit is veel mensen niet bewust: Als een firewallregel niet logt, verschijnt het bijbehorende verkeer ook niet zinvol in de Log Viewer. Men ziet dan misschien wel andere systeemgebeurtenissen, maar niet de specifieke regelbeslissing die men eigenlijk zoekt.

Onder System services > Log settings kan worden gedefinieerd welke logtypen lokaal, naar Syslog-servers of naar Sophos Fusion worden verzonden. De firewall heeft lokale logbestanden en een interne rapportagedatabase, maar deze zijn niet bedoeld als langetermijnarchief voor weken, maanden of jaren. Als logs permanent moeten worden bewaard of centraal moeten worden doorzocht, is een externe Syslog-server of Central Firewall Reporting nodig.

Voor Sophos Fusion geldt grofweg: Met een actieve firewallabonnement zijn Central Firewall Reports voor een beperkte periode beschikbaar. Met Xstream Protection of Central Orchestration zijn langere analyses mogelijk. Met Central Firewall Reporting Advanced krijgt men extra opslag en een aanzienlijk langere bewaring. De details zijn beschreven in Central Firewall Reporting activeren.

Voor eerste analyses zijn meestal Log viewer, Policy tester en Packet capture voldoende. Voor diepere analyses kan men daarnaast CLI-logs opslaan, debug-logs activeren of tcpdump gebruiken. Debug-logs moeten alleen gericht en tijdelijk worden ingeschakeld, omdat ze aanzienlijk meer gegevens genereren. Hoe men regels test, wordt getoond in Firewall-regel testen met Log Viewer, Policy Test en Packet Capture. Voor Packet Capture, servicenamen en logbestanden zijn er de artikelen Packet Capture Tool in WebAdmin gebruiken en Sophos Firewall Troubleshooting: Services en Logs. Als logs voor support of externe analyse moeten worden verzameld, helpt Sophos Firewall Logs voor externe analyse opslaan.

Acceptatietest voor productief verkeer

Voor de Go-live moet men niet alleen controleren of “internet werkt”. Een kleine, gedocumenteerde acceptatietest voorkomt veel latere supportgevallen.

Test de regelset waar mogelijk eerst offline in een testnetwerk. Een andere gefaseerde aanpak is om de firewall in het bestaande netwerk tijdelijk een ander gatewayadres te geven en alleen geselecteerde testclients daarop te richten. Wijzig gatewayadres of bekabeling pas in het geplande onderhoudsvenster nadat verkeer heen en terug werkt. Mislukt de test, laat de testclients dan weer de bestaande gateway gebruiken; de productie blijft ongewijzigd.

Zinvolle tests:

• Admin-login vanuit managementnetwerk: WebAdmin is bereikbaar, maar niet open vanuit ongewenste zones.
• Admin-login vanuit client-, gast- of WAN-zone: Toegang wordt geblokkeerd als daar geen bewust managementnetwerk is voorzien.
• Tweede admin of break-glass-toegang: Toegang blijft mogelijk als MFA, SSO of een gebruikersaccount uitvalt.
• Client vanuit LAN naar internet: Firewallregel, NAT, DNS en security policy werken zoals verwacht.
• Interne DNS-naam: DNS request routes of interne resolvers werken.
• Geblokkeerd testverkeer: Log Viewer toont de passende regel of de verwachte drop.
• Backupdownload en opslag: Backup is niet alleen gemaakt, maar ook terug te vinden.
• Central- of Syslog-doel: Logs en rapporten komen buiten de firewall aan, indien gepland.

De test moet kort worden gedocumenteerd: Datum, firmwareversie, locatie, geteste bron-IP, doel, verwacht resultaat en openstaande punten. Dit lijkt onopvallend, maar bespaart tijd als dagen later een VPN, een NAT-regel of een DNS-probleem moet worden onderzocht.

Checklist na de eerste installatie

Direct controleren

• Admin-wachtwoord en Secure Storage Master Key veilig opgeslagen.
• Firewall geregistreerd en licentiestatus gecontroleerd.
• Firmwarestatus en patroonupdates gecontroleerd.
• Handmatige backup gemaakt en extern opgeslagen.
• WebAdmin en SSH alleen vanuit gewenste netwerken bereikbaar.
• WebAdmin en SSH actief negatief getest vanuit ongewenste zones.
• Tweede admin-toegang en Break-Glass-concept getest.
• WAN, DNS en tijdzone gecontroleerd.
• Standaard-firewallregel bewust beoordeeld.

In de eerste dagen controleren

• Zones, VLANs, bridges en LAGs goed gepland.
• DNS request routes en DHCP-bereiken gecontroleerd.
• Firewallregels en NAT-regels gedocumenteerd.
• Logging op belangrijke regels geactiveerd.
• Central Backup of lokaal backupproces ingesteld.
• Central Reporting, Syslog of ander logdoel besloten.
• Eerste regels met Log Viewer, Policy Test en Packet Capture gevalideerd.

Voor productieve werking of Go-live controleren

• Managementtoegang gehard.
• MFA en admin-rollen gecontroleerd.
• IPS, Web Protection, Application Control en andere beveiligingsfuncties bewust geactiveerd.
• TLS Inspection alleen met test- en uitzonderingsproces gepland.
• Remote Access, IPsec, WAF, RED of SD-WAN apart getest, indien gebruikt.
• Rollback- en supportpad gedocumenteerd.

Typische fouten

• Wizardconfiguratie direct productief gebruikt: Te brede regels, verkeerde zones of open managementdiensten blijven bestaan. Na de wizard een eigen operationele checklist doorlopen.
• Secure Storage Master Key niet gedocumenteerd: Restore of migratie wordt onnodig moeilijk. SSMK direct in de wachtwoordmanager opslaan.
• WebAdmin bereikbaar vanaf WAN of clientnetwerken: Bots, brute force en onnodige attack surface worden waarschijnlijker. Device Access en Local Service ACL Exception Rules moeten strak staan.
• MFA zonder fallback geactiveerd: Admins kunnen zichzelf buitensluiten bij token-, tijd- of groepsproblemen. Tweede admin, break-glass-toegang en tokenproces vooraf testen.
• Logging in regels vergeten: Latere troubleshooting wordt blind. Log firewall traffic hoort bij belangrijke regels actief te zijn.
• DNS alleen via publieke resolver opgelost: Interne namen werken niet betrouwbaar. Interne DNS-servers en DNS request routes plannen.
• NAT verwacht zonder passende firewallregel: Servers of diensten zijn ondanks NAT niet bereikbaar. NAT en firewallregel altijd samen controleren.
• Firmware update zonder backup geïnstalleerd: De terugweg ontbreekt bij problemen. Backup, release notes en onderhoudsvenster vóór updates controleren.

FAQ