Sophos Firewall FQDN hosts en wildcard FQDNs correct gebruiken

FQDN-hosts zijn handig wanneer een bestemming niet betrouwbaar kan worden beschreven met een vast IP-adres. Typische voorbeelden zijn clouddiensten, updateservers, authenticatie-eindpunten of leveranciersdiensten waarvan de IP-adressen kunnen veranderen.

Een FQDN-host is geen vervanging voor een webbeleid, geen volledige URL-controle en geen garantie dat elke applicatie netjes zal matchen. De belangrijke vraag is hoe Sophos Firewall de naam omzet of, in het geval van wildcards, deze leert van DNS-verkeer.

Wanneer FQDN-hosts zinvol zijn

FQDN-hosts voldoen aan regels waarbij een technische bestemming beter wordt beschreven door een DNS-naam dan door individuele IP-adressen. Dit is vooral handig voor uitgaand verkeer.

Nuttige voorbeelden:

Een interne server mag alleen verbinding maken met updates.vendor.example.
Een applicatie heeft toegang nodig tot een aantal FQDN’s van bekende leveranciers.
Er moet een specifiek cloud-eindpunt worden gebruikt in een firewallregel, NAT-regel, SD-WAN-route of VPN-configuratie.
Uit een probleemoplossingscase moet blijken of een regel overeenkomt met de verwachte naam of met een onverwacht IP-adres.

FQDN-hosts zijn minder geschikt voor brede webtoegang zoals ‘alles onder één SaaS-service’ wanneer de applicatie gebruik maakt van veel domeinen, CDN’s, API’s, telemetrie en login-eindpunten. Voor webverkeer zijn webbeleid, URL-groepen, DNS-bescherming, applicatiecontrole of TLS-inspectie vaak de betere controlelaag.

Sophos Firewall kan FQDN-hosts niet alleen in firewallregels gebruiken, maar ook in instellingen zoals SD-WAN policy routes, VPN settings en technische hostobjecten voor mail-, proxy-, DNS-, authenticatie-, remote-access-, web- of syslogservers. Toch moet per gebruik worden gecontroleerd of een DNS-naam werkelijk stabieler is dan een IP-object of een specifieke policylaag.

Begin voor de firewallregel zelf met Sophos Firewall-regels begrijpen en veilig configureren. Als een regel niet overeenkomt, gebruik dan Sophos Firewall-regel komt niet overeen: oorzaken controleren.

Normale FQDN-host of wildcard FQDN

Sophos Firewall gaat anders om met normale FQDN-hosts en wildcard-FQDN’s. Dit is het belangrijkste operationele detail.

Normale FQDN-host

Voor een normale FQDN-host, zoals updates.vendor.example, zet de firewall de naam om via DNS. De geretourneerde IP-adressen worden gebruikt voor het object. Als het DNS-record een TTL heeft, vernieuwt de firewall de resolutie nadat de TTL is verlopen.

Dit werkt goed wanneer:

de FQDN verwijst rechtstreeks naar de vereiste IP-adressen,
de applicatie gebruikt precies die naam,
de DNS-antwoorden schakelen niet voortdurend tussen veel CDN-doelen,
de test gebruikt dezelfde naamresolutie die de firewall ziet.

Wildcard-FQDN

Voor een wildcard FQDN, zoals *.example.com, lost de firewall niet eenvoudigweg “alle mogelijke subdomeinen” op. DNS biedt geen volledige lijst van alle subdomeinen.

In plaats daarvan leert de firewall overeenkomende IP-adressen uit DNS-reacties. Dit werkt betrouwbaar wanneer de firewall het DNS-verkeer kan zien:

Sophos Firewall is de DNS-server voor de clients.
Of DNS-verkeer passeert de firewall en wordt gedetecteerd door DPI.
Volgens Sophos is deze kennis van toepassing op UDP DNS-verkeer op poort 53 naar externe DNS-servers.

Als clients DNS-over-HTTPS, DNS-over-TLS, een ander DNS-pad of een lokale resolutie gebruiken, ziet de firewall mogelijk de relevante DNS-reacties niet. Een wildcard FQDN kan dan leeg of onvolledig blijven, ook al werkt het domein in de browser.

Maak een FQDN-host

Het menupad is:

Hosts and services > FQDN host > Add

Voor een schoon object zijn slechts enkele velden van belang:

Name: beschrijvend en technisch stabiel, bijvoorbeeld fqdn_vendor_updates of wfqdn_example_subdomains .
FQDN: de volledige naam, bijvoorbeeld updates.vendor.example of *.example.com .
FQDN host group: optioneel een bestaande groep selecteren of een nieuwe groep maken. Een FQDN-host kan tot meerdere FQDN host groups behoren.
Schrijfwijze: schrijf FQDN’s in kleine letters. Sophos stelt dat hoofdletters in FQDN-hosts niet worden ondersteund.

Na het invullen van de velden wordt het object opgeslagen met Save.

Plaats het object na het opslaan niet meteen blindelings in de productieregels. Voer eerst een korte test uit: lost de firewall de naam op, toont de Log Viewer later het verwachte bestemmings-IP en komt dit IP overeen met het DNS-antwoord van de client?

Gebruik in firewallregels

In de meeste ontwerpen hoort een FQDN-host thuis in uitgaande regels onder Destination networks . De regel beschrijft vervolgens welke interne bronnen verbinding mogen maken met welke dynamische bestemming.

Typische stroom:

Maak het FQDN-object onder Hosts and services > FQDN host .
Open of creëer de matchingregel onder Rules and policies > Firewall rules .
Definieer Source zones en Source networks and devices nauwkeurig.
Kies bewust Destination zones, meestal WAN.
Selecteer het FQDN-object onder Destination networks .
Sta alleen de vereiste poorten toe onder Services , bijvoorbeeld HTTPS .
Schakel logboekregistratie in.
Voer een echte test uit en controleer Rule ID, Destination IP, NAT Rule ID en service in Log Viewer.

Een FQDN-host maakt een regel op zichzelf niet veilig. Als Bron Any is, Service Any en Bestemming een breed jokertekenobject is, kan het resultaat snel zeer open worden. Een kleine regel met duidelijke bron, duidelijke service, actieve registratie en gedocumenteerd doel is beter.

Grenzen en valkuilen

Veel FQDN-problemen komen niet voort uit de regelslijst, maar uit het DNS-gedrag van clients of applicaties.

De firewall ziet verschillende DNS-reacties

Als client en firewall verschillende DNS-resolvers gebruiken, kunnen ze verschillende IP-adressen voor dezelfde naam ontvangen. Dit is normaal bij CDN’s. Een regel kan dan overeenkomen met het ene IP-adres, terwijl de client een ander IP-adres gebruikt.

Vergelijk bij het oplossen van problemen:

Welk IP-adres retourneert nslookup of dig op de client?
Welk bestemmings-IP verschijnt in de Log Viewer?
Welke DNS-servers gebruiken de client en firewall?
Gebruikt DNS poort 53, DNS-over-HTTPS of DNS-over-TLS?

Wildcard FQDN leert niets

Een wildcard FQDN werkt alleen als de firewall de overeenkomende DNS-antwoorden ziet. Als een client DoH in de browser gebruikt of een DNS-pad dat niet door de firewall gaat, kan de firewall de subdomeinen niet leren.

In deze gevallen is het verplaatsen van de firewallregel niet de oplossing. Bepaal in plaats daarvan het DNS-ontwerp: gebruik de firewall als DNS-forwarder, leid DNS-verkeer gecontroleerd door de firewall of gebruik een andere controlelaag voor webverkeer.

De FQDN is te breed

Een jokerteken zoals *.example.com kan veel meer bevatten dan bedoeld. Moderne SaaS-diensten maken gebruik van inlogdomeinen, API-domeinen, media-CDN’s, telemetrie, ondersteunende diensten en derde partijen. Soms is een enkel jokertekenobject te grof.

Als de toegang breed moet zijn, is een webbeleid, URL-groep of toepassingsbeheer vaak gemakkelijker te begrijpen en te beoordelen dan een zeer grote FQDN-firewallregel.

Meerdere domeinen verwijzen naar hetzelfde IP-adres

Sophos wijst erop dat FQDN-hosts niet bedoeld zijn om meerdere domeinen duidelijk te onderscheiden wanneer ze naar hetzelfde IP-adres worden omgezet. Op de IP-laag kan de firewall niet altijd weten welk domein een applicatie later gebruikt.

Voor domeingebaseerde webbeslissingen is de weblaag daarom geschikter dan een pure IP-gebaseerde firewallregel met een FQDN-object.

Problemen oplossen

Als een FQDN-regel zich niet gedraagt zoals verwacht, controleer dan eerst de echte verbinding. De naam in het object is niet doorslaggevend; het op het moment van de test gebruikte IP-adres is.

Regel komt niet overeen

Controleer:

Komt de bronzone overeen?
Komt het bron-IP-adres of het bronnetwerk overeen?
Komt de service overeen met bijvoorbeeld TCP 443 in plaats van alleen HTTP?
Toont de Log Viewer een andere regel-ID?
Toont de Log Viewer een bestemmings-IP die niet overeenkomt met het huidige DNS-antwoord?
Is er een algemenere regel actief boven de FQDN-regel?

Als de Log Viewer een andere regel weergeeft, is de regelvolgorde belangrijker dan het FQDN-object. Als de Log Viewer niets laat zien, bereikt het verkeer de firewall niet of is loggen niet actief.

Wildcard FQDN blijft leeg

Controleer:

Gebruikt de client de firewall als DNS-server?
Is DNS zichtbaar via de firewall?
Maakt de cliënt gebruik van DoH of DoT?
Wordt UDP 53 gebruikt?
Is er een DNS-verzoekroute of interne resolver die het antwoord verbergt voordat de firewall het ziet?

Als DNS opzettelijk intern wordt gerouteerd, helpt DNS request routes op Sophos Firewall configureren bij het DNS-ontwerp.

DNS gewijzigd, regel reageert later

FQDN-objecten werken met DNS-antwoorden en caches. Als de bestemming van een leverancier verandert, kan er een vertraging optreden totdat de firewall de nieuwe status gebruikt. Voor normale FQDN-hosts is de TTL van het DNS-record doorslaggevend.

Sophos biedt CLI-opties voor FQDN-hosts, zoals cache-ttl, idle-timeout, eviction en learn-subdomains. cache-ttl kan de TTL uit het DNS-antwoord gebruiken of een waarde tussen 60 en 86400 seconden. idle-timeout verwijdert ongebruikte bindings standaard na 3600 seconden. eviction bepaalt wanneer geleerde IP-adressen van wildcard-subdomeinen worden verwijderd. Als cache-ttl wordt gewijzigd, geldt de nieuwe waarde alleen voor nieuw opgeloste vermeldingen; reeds gecachte vermeldingen behouden hun bestaande waarde tot ze verlopen.

Deze waarden moeten niet als eerste reactie worden gewijzigd. Controleer eerst of het DNS-ontwerp, het resolverpad en de regelbasis correct zijn. Tuning hoort in een gedocumenteerde beheer- of supportprocedure.

Operationele aanbeveling

FQDN-hosts blijven beheersbaar als ze worden behandeld als technische afhankelijkheden en niet als spontane uitzonderingen.

Goede praktijk:

Documenteer een duidelijk doel voor elk FQDN-object.
Wees spaarzaam met wildcards.
Combineer FQDN-objecten met beperkte bron- en servicedefinities.
Schakel logboekregistratie in voor nieuwe of kritieke regels.
Test wijzigingen met Log Viewer en DNS-lookup.
Verberg brede webtoegang niet in een grote FQDN-regel.
Controleer bij SaaS- of clouddiensten regelmatig of de leverancier extra domeinen nodig heeft.

Sophos noemt een limiet tot 16.000 FQDN-hosts, maar dat is geen uitnodiging tot ongecontroleerde groei. Veel oude FQDN-uitzonderingen maken review, troubleshooting en regelbeheer moeilijker. Een kleinere, gedocumenteerde objectlijst met eigenaar, doel en reviewdatum is beter.

Als een object alleen is gemaakt omdat “een toepassing anders niet werkt”, bekijk het dan later. Deze noodobjecten worden vaak permanente uitzonderingen die moeilijk uit te leggen zijn.

Veelgestelde vragen

Wat is het verschil tussen een FQDN-host en een IP-host?

Een IP-host beschrijft een vast adres of netwerk. Een FQDN-host beschrijft een DNS-naam waarvan de huidige IP-adressen door de firewall kunnen worden gebruikt. Dit helpt bij dynamische bestemmingen, maar is afhankelijk van DNS-resolutie en cachegedrag.

Werkt `*.example.com` automatisch voor alle subdomeinen?

Niet als een volledige domeinlijst. De firewall moet overeenkomende DNS-reacties zien en daaruit IP-adressen leren. Als DNS niet zichtbaar is via de firewall, kan een wildcard-FQDN onvolledig blijven.

Waarom komt mijn FQDN-regel niet overeen?

Meestal komt de regelcontext, volgorde of feitelijk gebruikte bestemmings-IP niet overeen. Controleer in de Log Viewer welke regel-ID, bestemmings-IP, bestemmingspoort en NAT-regel-ID verschijnen tijdens de echte test.

Werken FQDN-hosts met DNS-over-HTTPS of DNS-over-TLS?

FQDN’s met jokertekens zijn problematisch wanneer clients DoH of DoT gebruiken en de firewall de DNS-reacties niet kan zien. De firewall kan de vereiste subdomeinen dan niet betrouwbaar leren.

Moeten FQDN-hosts worden gebruikt voor webfiltering?

Alleen selectief. Voor echte webcontrole zijn webbeleid, URL-groepen, DNS-bescherming, applicatiecontrole of TLS-inspectie meestal geschikter. FQDN-hosts zijn handig voor technische bestemmingen in netwerkregels, maar vormen geen volledig URL-beleid.