Sophos Firewall quarantainedigest instellen en testen

De quarantainedigest informeert gebruikers per e-mail over spamberichten die Sophos Firewall heeft tegengehouden. Het is niet alleen een systeemmelding: verzending, gebruikerstoewijzing, vrijgavelink en gebruikersportaal moeten samenwerken.

Het belangrijkste acceptatiecriterium is daarom het volledige gebruikerstraject. Een geslaagde testmail bevestigt niet dat een echte gebruiker de digest ontvangt, zich op het juiste portaal kan aanmelden en een toegestaan bericht kan vrijgeven.

⚠️ De vrijgavelink geeft een bericht niet direct vrij. De link opent het gebruikersportaal, waar de gebruiker zich moet aanmelden en het bericht moet selecteren. Het gekozen portaaladres moet daarom bereikbaar zijn voor de bedoelde ontvangers zonder het portaal ongecontroleerd voor andere netwerken te openen.

De quarantainedigest in zeven stappen instellen

Het mailtransport onder Administration > Notification settings instellen.
Portaaladres, DNS, certificaat en toegestane bronnetwerken voor de bedoelde gebruikers vastleggen.
De digest onder Email > Quarantine settings inschakelen en tijd, afzender en weergavenaam instellen.
Onder Release link settings het juiste gebruikersportaaladres kiezen, met Send test email controleren en met Apply opslaan.
Alleen in MTA-modus: de quarantaineruimte en bewust uit te sluiten adrespatronen vastleggen.
De digest onder Authentication > Groups of Authentication > Users aan de bedoelde accounts toewijzen.
Met een echt als spam in quarantaine geplaatst testbericht de digest, portaalaanmelding en vrijgave end-to-end testen.

Wat de digest wel en niet doet

De digest vermeldt spamberichten in quarantaine met ontvangsttijd, afzender, ontvanger en onderwerp. Dit biedt gebruikers een handige weergave, maar vervangt niet de beheerquarantaine onder Email > SMTP quarantine of de technische analyse van policy, mail logs en MTA-logs.

De algemene digestinstellingen zijn beschikbaar in MTA-modus en Legacy-modus. Quarantine area en Skip address patterns toont SFOS echter alleen in MTA-modus. Beheerders van Legacy-modus configureren daarom alleen verzending, vrijgavelink en gebruikerstoewijzing.

Alleen gebruikers die zich minstens eenmaal bij de firewall hebben geauthenticeerd, ontvangen een quarantainedigest. Dit wordt gemakkelijk gemist wanneer accounts uit Active Directory zijn geïmporteerd maar nog nooit bij het gebruikersportaal, captive portal of een andere toepasselijke dienst zijn aangemeld.

Volgens de SFOS 22/23-help is de digest niet beschikbaar op XGS 87 en XGS 87w. Deze modelgrens geldt voor de digest en mag niet worden verward met de afzonderlijke MTA-modusgrens. Mail Protection in MTA-modus instellen beschrijft mailflow, SMTP-policy en beheerquarantaine.

Mailverzending en portaaladres voorbereiden

De verzending gebruikt Administration > Notification settings. Mailserver, afzender, ontvanger, DNS, route, authenticatie en TLS moeten daar eerst werken. De volledige transporttest staat in Sophos Firewall e-mailmeldingen instellen.

Voor de vrijgavelink bestaan twee opties:

Reference user portal IP: SFOS gebruikt het adres van de geselecteerde interface samen met de gebruikersportaalpoort.
IP address or hostname: SFOS gebruikt het adres dat onder Administration > Admin and user settings > Admin console and end-user interaction is ingesteld.

De quarantainehelp voor SFOS 22/23 gebruikt een andere naam voor dit onderdeel: Administration > Admin settings. Het veld onder Admin console and end-user interaction is bepalend, niet alleen de menunaam. Vergelijk de geïnstalleerde interface met de link in de ontvangen digestmail; verschillende benamingen betekenen niet dat er een extra vrijgavefunctie is.

Een FQDN is doorgaans duidelijker en kan met een passend certificaat goed worden beveiligd. De naam moet naar het juiste firewalladres resolven en vanuit de netwerken van de ontvangers bereikbaar zijn. Een privé-interfaceadres in de digest is normaal onbruikbaar voor externe of mobiele gebruikers. Omgekeerd is een openbaar adres geen reden om het gebruikersportaal voor elk WAN-netwerk te openen. Het overzicht van Sophos Firewall-portalen behandelt portaaldoel en Device Access afzonderlijk.

Sophos waarschuwt tegen toegang tot het User Portal vanuit de WAN-zone. Externe gebruikers maken daarom eerst een veilige verbinding, bijvoorbeeld via VPN; de digest alleen rechtvaardigt geen WAN-toegang. Neem voor extern geauthenticeerde accounts de vereiste eerste aanmelding bij het Captive Portal vóór het eerste gebruik van het User Portal op in de pilottest.

Het gebruikersportaal is een lokale dienst. De toegang wordt geregeld onder Administration > Device access, niet met een normale firewallregel. Gebruik Local service ACL exception rules om de toegang tot bepaalde hosts of netwerken te beperken. Controleer daarnaast de webproxy: SFOS behandelt HTTP- en HTTPS-verzoeken via de firewallproxy als intern. Daardoor kan het gebruikersportaal bereikbaar zijn hoewel toegang voor de oorspronkelijke zone is uitgeschakeld. Neem proxygebruik en proxyregels daarom mee in dezelfde toegangstest.

De digest configureren

Schakel onder Email > Quarantine settings Enable quarantine digest in. Stel daarna frequentie, tijd en indien van toepassing weekdag in. From email address moet een geldig afzenderadres bevatten; Display name moet de firewallquarantaine voor gebruikers duidelijk herkenbaar maken.

Kies vervolgens onder Release link settings het voorbereide portaaladres. Verzend met Send test email een testbericht en sla de instellingen na ontvangst op met Apply. Voor gebruikersacceptatie volstaat dit bericht niet: alleen het volledige traject met een toegewezen pilotgebruiker bevestigt planning, toewijzing, portaalaanmelding en vrijgave.

Pilotvoorbeeld met aanpasbare waarden

Een aanpasbaar pilotvoorbeeld is Email frequency: Daily om 10:00, From email address: firewall@example.com en Display name: Firewall Quarantine. Daily en de veldnamen zijn UI-waarden; kies tijd, afzender en weergavenaam voor de eigen omgeving. 10:00 maakt controle tijdens werktijd mogelijk, maar is geen productvereiste. Vervang het voorbeelddomein door een toegestaan afzenderdomein. Voeg in MTA-modus bijvoorbeeld sales@example.com met + toe aan Skip address patterns als die gedeelde alias bewust niet in de digest mag verschijnen. Controleer daarna dat de berichten wel in SMTP quarantine blijven staan, maar niet in de digest worden vermeld.

Het XML-schema en de gebruikerslijsten correct lezen

Bij XML-automatisering scheidt AntiSpamQuarantineDigestSettings de globale configuratie in SpamDigestSettings van de gebruikerstoewijzingen in SpamDigestUsers. EmailFrequency gebruikt Hourly, Day of Week; de UI-waarde Daily uit het voorbeeld komt overeen met Day. De velden onder SpamDigestSettings > SendEmailAt hangen van deze keuze af:

Hourly: volgens de referentie beschrijft Hour het interval in uren, niet een dagelijks verzendtijdstip.
Day: Hour en Minute bepalen het dagelijkse verzendtijdstip. Het pilotvoorbeeld 10:00 komt overeen met Hour = 10 en Minute = 0.
Week: Hour en Minute bepalen het verzendtijdstip; herhaalde Days-items bepalen de geselecteerde weekdagen.

De referentie noemt het bereik 0–23 voor Hour en 0–59 voor Minute. De herhaalde, als verplicht gemarkeerde Hour/Minute-rijen beschrijven verschillende frequentiecontexten: ze betekenen niet dat alle varianten tegelijk moeten worden ingevuld. Het gedocumenteerde bereik alleen geeft ook geen geverifieerde betekenis aan een uurinterval van 0.

⚠️ De XML-referenties voor SFOS 22/23 spreken zichzelf op dezelfde pagina tegen over zaterdag: het voorbeeld bevat Saturday, maar de lijst met toegestane Days-waarden laat die waarde weg. Dit bewijst noch ondersteuning noch een verbod op zaterdag. Als een uitvoering op zaterdag nodig is, laat dan de ondersteuning op de geïnstalleerde SFOS-build door Sophos Support verduidelijken, in plaats van de voorbeeldwaarde ongecontroleerd over te nemen of een numerieke vervanging te raden. Rol geen productieschema voor zaterdag via XML uit zolang dit niet is opgehelderd.

Onder SpamDigestUsers bevat EnableUsers herhaalde EnableUser-items om de digest in te schakelen en DisableUsers herhaalde DisableUser-items om deze voor de genoemde gebruikersaccounts uit te schakelen. De waarden zijn gebruikersnamen, geen adrespatronen voor ontvangers; deze lijsten zijn dus niet Skip address patterns. Leg voor de pilot de bestaande toewijzingen vast, vermijd conflicterende items voor hetzelfde account en controleer daarna de opgeslagen gebruikers- en schema-instellingen en de daadwerkelijke digestuitvoering. De referentie verduidelijkt niet alle details van de verwerking van overlappende of weggelaten lijsten; leid uit het voorbeeld geen voorrangs- of vervangingsregels af. Deze veldtoewijzing vormt nog geen volledig XML-verzoek.

Quarantaineruimte en automatische opschoning

Kies in MTA-modus onder Quarantine area de grootte van de lokale quarantaineruimte. SFOS controleert het gebruik elke vijf minuten. Wanneer dit minstens 90 procent van de gekozen grootte bereikt, worden oudere berichten verwijderd tot het gebruik 60 procent bedraagt.

Deze automatische opschoning is geen archief. Een te kleine ruimte kan de beschikbare tijd voor controle en vrijgave verkorten; een grote ruimte verbruikt lokale opslag. Total utilization onder Email > SMTP quarantine toont de bezetting. Sophos Firewall-opslag en rapporten controleren plaatst de overige opslagstatus in context.

10 GB is een mogelijk configuratievoorbeeld, geen standaardwaarde of gegarandeerde bewaartermijn. Kies de grootte op basis van mailvolume, vrije opslag en benodigde controletijd en volg het gebruik tijdens de pilot. Later vergroten herstelt geen berichten die al automatisch zijn opgeschoond of met Delete zijn verwijderd.

Skip address patterns in MTA-modus

Voer in MTA-modus onder Skip address patterns elk e-mailadres van een ontvanger in waarvan de berichten in quarantaine uit de quarantainedigest moeten worden weggelaten en klik vervolgens op de plusknop + om dat adres aan de lijst toe te voegen. Adressen onder Skip address patterns worden uit de quarantainedigest weggelaten. Dit kan nuttig zijn voor gedeelde aliassen waarvan spam niet naar veel gebruikers moet worden gestuurd. De instelling verwijdert geen berichten en vormt geen uitzondering op spam-, malware- of gegevensbeschermingscontroles.

Gebruikers en groepen toewijzen

De globale configuratie activeert verzending niet automatisch voor iedereen. Stel onder Authentication > Groups of Authentication > Users Quarantine digest voor de bedoelde accounts in op Enable en sla dit op met Save. Toewijzing kan ook via Email > Quarantine settings > Change user’s quarantine digest settings. Een instelling voor een afzonderlijke gebruiker heeft voorrang op het groepsniveau; controleer bij een onverwacht resultaat daarom beide niveaus.

Voor een gebundelde toewijzing wordt Email > Quarantine settings > Change user’s quarantine digest settings geopend, zo nodig op Group gefilterd en worden de bedoelde gebruikers geselecteerd. Als het e-mailadres van een afzonderlijke gebruiker daar moet worden gecorrigeerd, wordt het via Edit gewijzigd en met Save opgeslagen. Vervolgens wordt de toewijzing met Apply afgerond. Daarna worden het primaire adres en bewust toegewezen aliassen vergeleken met het betreffende gebruikersaccount.

Voor aliasadressen gelden twee belangrijke grenzen. SFOS past de instellingen standaard niet automatisch op aliassen toe; ze moeten samen met het primaire e-mailadres van de gebruiker worden opgeslagen of bewust worden toegewezen. De digest kan dan spam voor primaire adressen en aliassen vermelden. Sophos stelt echter dat berichten aan aliassen niet in het gebruikersportaal verschijnen. Daarvoor is dus een duidelijk beheerproces onder Email > SMTP quarantine nodig.

Berichten in het User Portal beheren

Na het openen van de digestlink meldt de gebruiker zich aan bij het User Portal en opent Quarantine, waar de SMTP-quarantaine staat. De link zelf geeft niets vrij. Daar zijn alleen berichten aan het eigen primaire e-mailadres zichtbaar, niet aan aliassen of andere mailboxen.

Baken het gezochte bericht af op datumbereik, afzender en onderwerp en gebruik zo nodig de beschikbare filters.
Kies voor één spambericht Release bij het bericht. Selecteer voor meerdere berichten de gewenste regels, kies Release uit de acties en klik op Go.
Geef bij een bevestigde false positive met de classificatie Spam of Probable Spam het bericht vrij met Release and report en meld het aan SophosLabs. Een ongewenst bericht kan in plaats daarvan met Delete worden verwijderd. Controleer vóór beide acties de ontvanger en het bericht.

Alleen spam in quarantaine kan door de gebruiker worden vrijgegeven. Virusgeïnfecteerde berichten kunnen niet worden vrijgegeven of gedownload. De firewall scant vrijgegeven berichten opnieuw en bezorgt ze vervolgens; voor aliasberichten en andere quarantaineredenen blijft de hieronder beschreven administratieve controleroute van toepassing.

Gebruikersuitzonderingen voor afzenders controleren

Onder Exception in het gebruikersportaal kan een bevoegde gebruiker afzonderlijke afzenderadressen of wildcards zoals *@example.com toestaan of blokkeren. Toegestane afzenders worden niet als spam gemarkeerd of naar de spamquarantaine verplaatst, maar de antivirusscan blijft actief. Staat hetzelfde adres in beide lijsten, dan heeft de blokkeerlijst voorrang en wordt het bericht in quarantaine geplaatst. Neem deze gebruikersspecifieke uitzonderingen op in pilot- en supporttests en verwar ze niet met de globale Skip address patterns van de digest.

Eén afzenderadres heeft een beperktere reikwijdte dan *@example.com. Leg vóór een uitzondering de bestaande lijstitems vast en onderzoek de false positive. Controleer daarna een passend en een niet-passend testbericht. Herstel voor de rollback de vastgelegde lijsten en controleer de verwachte spamclassificatie opnieuw; reeds afgeleverde berichten worden daardoor niet teruggehaald.

Het volledige vrijgavepad testen

Gebruik een pilotgebruiker die zich al minstens eenmaal bij de firewall heeft geauthenticeerd. Een gecontroleerd bericht moet door de verwachte SMTP-policy als spam in quarantaine worden geplaatst. Controleer daarna:

Het bericht verschijnt onder Email > SMTP quarantine met de verwachte ontvanger, het onderwerp en de reden.
De pilotgebruiker ontvangt de digest op het ingestelde tijdstip.
Afzender, weergavenaam, onderwerp en metadata voldoen aan privacy- en operationele eisen.
De vrijgavelink opent de bedoelde gebruikersportaal-FQDN met een geldige certificaatketen.
Aanmelden lukt vanuit een toegestaan netwerk en mislukt vanuit een niet bedoeld netwerk. Als een expliciete webproxy wordt gebruikt, herhaal de negatieve test eenmaal zonder en eenmaal met proxy.
Het toegestane testbericht kan na aanmelding worden vrijgegeven en wordt daadwerkelijk bezorgd.
Een gebruiker zonder digesttoewijzing ontvangt geen rapport.

In het gebruikersportaal ziet een gebruiker berichten in quarantaine die aan het primaire e-mailadres zijn gericht, maar kan die gebruiker alleen spam vrijgeven. SFOS scant een vrijgegeven bericht opnieuw en bezorgt het vervolgens. Gebruik voor aliasadressen en andere quarantaineredenen de beheerroute onder Email > SMTP quarantine. Daar kunnen gefilterde berichten worden vrijgegeven of verwijderd en kan bij Spam of Probable spam met Release and report een false positive aan SophosLabs worden gemeld. Virusgeïnfecteerde berichten en e-mails die Zero-Day Protection als kwaadaardig beoordeelt, kunnen ook door een beheerder niet worden vrijgegeven.

Fouten systematisch afbakenen

De beheerquarantaine gericht filteren

Open voor aliasberichten of een beheercontrole Email > SMTP quarantine. Baken de verwerkingsperiode af met Start and end dates en voer passende zoekwoorden in onder Sender/Recipient/Subject. Controleer ontvanger, onderwerp en quarantainereden voordat Release, Release and report of Delete op de gefilterde berichten wordt toegepast. Een te breed filter kan onbedoeld andere berichten meenemen.

Filter by verschilt per mailmodus:

MTA-modus: Blocked by RBL, Spam, Analyzed by Zero-day protection, Infected, Unscannable content or protected attachment, DKIM verification, Other.
Legacy-modus: Blocked source IP, Blocked destination IP, Unscannable content or protected attachment, Oversized message, Blocked header, Blocked by RBL, Blocked by data protection, Spam, Infected, Other.

Een filterreden geeft geen toestemming voor vrijgave: virusgeïnfecteerde berichten en door Zero-Day Protection als schadelijk beoordeelde berichten blijven niet-vrijgeefbaar. Voor het verwijderen van berichten die door Zero-Day Protection-analyse in quarantaine zijn geplaatst, zijn lees- en schrijfrechten voor Zero-day protection activity in het beheerprofiel vereist. Ontbreekt een actie, controleer dan eerst reden en profiel in plaats van bescherming uit te schakelen. Controleer na een toegestane vrijgave de werkelijke aflevering; Delete is geen omkeerbare test.

De testmail komt niet aan

Controleer eerst Administration > Notification settings. Send test email mislukt vóór de quarantainefunctie als DNS, route, mailserver, authenticatie, TLS, afzender of ontvanger niet klopt. Wijzig geen gebruikerstoewijzingen of quarantaineruimte zolang het mailtransport niet werkt.

De testmail komt aan, maar de gebruikersdigest niet

Controleer of Enable quarantine digest actief is, de wijziging met Apply is opgeslagen, planning en tijdzone kloppen en het account onder Groups, Users of Change user’s quarantine digest settings is ingeschakeld. Een gebruikersinstelling kan de groepskeuze overschrijven. De gebruiker moet zich minstens eenmaal bij de firewall hebben geauthenticeerd. In de gekozen periode moet bovendien een passend spambericht voor deze ontvanger in quarantaine staan.

De vrijgavelink wijst naar het verkeerde adres

Vergelijk Release link settings, geselecteerde interface, gebruikersportaalpoort en Admin console and end-user interaction. Test daarna DNS-resolutie, certificaatnaam en bereikbaarheid vanuit het echte gebruikersnetwerk. Herhaald verzenden van de testmail corrigeert het adres niet; herstel eerst de portaalreferentie.

Vrijgegeven berichten blijven in de mailspool staan

Vrijgave bewijst geen aflevering. Vergelijk het bericht en tijdstip onder Email > Mail spool en Email > Mail logs. Als een nieuwe regel boven de bedoelde SMTP-regel het SMTP-verkeer al matcht, evalueert SFOS de onderliggende regel niet meer. Automatisch aangemaakte IPsec- of hotspotregels en handmatige regels met Rule position: Top kunnen dit veroorzaken.

Leg vóór een wijziging de regelvolgorde en betrokken verbindingen vast. Verplaats onder Rules and policies > Firewall rules alleen de nieuwe overlappende regel die als oorzaak is bevestigd ver genoeg naar beneden om de bedoelde SMTP-regel weer te laten evalueren; bewerk de automatische MTA-regel niet. Volg daarna een gecontroleerd bericht tot de daadwerkelijke aflevering, controleer de spool en test andere betrokken verbindingen. Herstel de vastgelegde volgorde bij neveneffecten. Verplaats regels niet blind zonder bevestigde SMTP-match; controleer doelserver, DNS, route en TLS volgens de gekoppelde MTA-handleiding en geef de bevindingen door aan support als de fout aanhoudt.

Aliasberichten ontbreken in het portaal

Dit is niet automatisch een digestfout. Sophos documenteert expliciet dat berichten aan aliassen niet in het gebruikersportaal verschijnen. Controleer primair adres, aliastoewijzing, digestinhoud en de administratieve SMTP-quarantaine afzonderlijk.

Beheer en rollback

Digestmails bevatten communicatiemetadata en kunnen buiten de firewall in mailboxen, archieven of tickets blijven bestaan. Houd de ontvangersgroep klein, stem mailboxretentie af op de beschermingseis en neem gedeelde aliassen alleen bewust in rapporten op.

Documenteer vóór de rollback de globale digeststatus, planning, vrijgavelink, gebruikers- en groepstoewijzingen en de gedeelde portaal- en meldingsinstellingen. Stuur voor de controle één gecontroleerd spambericht naar de pilotgebruiker en één naar een controlegebruiker die ingeschakeld blijft, en controleer of beide zichtbaar zijn onder Email > SMTP quarantine. Schakel daarna Enable quarantine digest uit of verwijder de toewijzing bij de pilotgebruiker en sla elke wijziging op met Apply (Email) / Save (Authentication).

Na de volgende geplande digestuitvoering mag de pilotgebruiker geen rapport ontvangen. Als alleen diens toewijzing is verwijderd, bevestigt de digest van de controlegebruiker dat de uitvoering heeft plaatsgevonden. Zet portaal- of meldingsinstellingen alleen terug als geen andere dienst ze gebruikt. De quarantaine blijft onafhankelijk van de digest bestaan en wordt niet als onderdeel van de rollback verwijderd.