Globale VPN-instellingen op Sophos Firewall veilig gebruiken

De Device Console van Sophos Firewall bevat onder set vpn globale instellingen voor VPN-failover, IPsec-verwerking en de legacyprotocollen L2TP en PPTP. Ze raken niet alleen de verbinding die op dat moment wordt onderzocht. Een ongerichte test kan andere tunnels beïnvloeden, bestaande sessies verwijderen of een beveiligingsfunctie verzwakken.

Geen algemeen performancerecept: zet ipsec-max-workqueue-items, het anti-replayvenster of use-resolved-ip-address niet preventief op een hogere waarde of enable. Sophos beschrijft dit als geavanceerde instellingen voor een concrete netwerkbehoefte of op advies van Sophos Support.

Begin bij normale tunnelproblemen met IPsec VPN-troubleshooting. Daar worden IKE, Child SA, routing, NAT, regels en de echte pakketstroom gecontroleerd. De globale schakelaars in dit artikel zijn pas relevant wanneer het symptoom exact bij hun doel past.

Leg de beginsituatie vóór elke wijziging vast

De opdrachten worden uitgevoerd onder 4. Device Console. Noteer vóór het instellen de SFOS-versie en build, tijd, betrokken tunnels, verwachte testflow en een onafhankelijke beheerroute. Maak ook een actuele configuratieback-up. De SFOS 22 CLI-help documenteert voor deze waarden alleen set vpn, geen leesopdracht. Wijzigingsregistraties en back-ups zijn ondersteunend bewijs, maar tonen niet aan welke waarde nu actief is. Laat Sophos Support een methode bevestigen waarmee de exacte waarde op de geïnstalleerde build kan worden uitgelezen. Leg vóór de wijziging de uitvoer en de bijbehorende set vpn-rollbackopdracht vast. Stop en wijzig de globale instelling niet als Support geen leesmethode kan bevestigen of de huidige waarde niet kan worden vastgesteld.

De SFOS 22-help vermeldt alleen defaults voor L2TP-MTU, anti-replay, de cookiedrempel en het opgeloste peeradres. Ook deze defaults bewijzen niet dat de betreffende appliance nog een ongewijzigde configuratie heeft.

Gebruik voor rollback altijd de vooraf veilig vastgestelde beginwaarde. De gedocumenteerde syntaxis heeft geen universele parameter default. De opdrachten voor standaardwaarden verderop zijn alleen geschikt als de wijziging uitdrukkelijk moet terugkeren naar de gedocumenteerde SFOS 22-standaardwaarde; ze mogen een bewust afwijkende beginwaarde niet overschrijven.

Sessies tijdens tunnel- en WAN-overgangen

Een mogelijk doel van conn-remove-tunnel-up is het opschonen van bestaande verbindingen bij het opbouwen van een IPsec-tunnel. De vergeleken SFOS 22- en SFOS 23-help vermelden de parameter, maar beschrijven dit precieze effect niet afzonderlijk. Vóór een wijziging moet Sophos Support het effect en de syntaxis voor de geïnstalleerde build bevestigen; zonder bevestiging blijft de schakelaar ongewijzigd. Dit kan van belang zijn als een flow via een ander pad begon en na tunnelopbouw aan dat verkeerde pad gekoppeld blijft. Verwijderen kan ook productiesessies onderbreken. De SFOS 22-help documenteert geen default; herstel daarom de vooraf veilig vastgestelde waarde.

De twee regels zijn alternatieven, geen reeks opeenvolgende stappen. Kies voor de wijziging precies één regel met de onderbouwde doelwaarde. Voer voor de rollback afzonderlijk alleen de regel uit die de vooraf veilig vastgestelde beginwaarde herstelt; de andere regel is geen automatische terugweg.

set vpn conn-remove-tunnel-up enable
set vpn conn-remove-tunnel-up disable

conn-remove-on-failover regelt de globale opschoning bij failover en failback. all raakt alle verbindingen, terwijl non-tcp de opschoning beperkt tot niet-TCP-verkeer zoals UDP of ICMP. De juiste waarde is daarom niet uitsluitend een VPN-keuze: observeer VoIP, videoconferenties, DNS en andere UDP-toepassingen in hetzelfde testvenster.

De twee regels zijn alternatieven, geen reeks opeenvolgende stappen. Kies voor de wijziging precies één regel met de onderbouwde doelwaarde. Voer voor de rollback afzonderlijk alleen de regel uit die de vooraf veilig vastgestelde beginwaarde herstelt; de andere regel is geen automatische terugweg.

set vpn conn-remove-on-failover all
set vpn conn-remove-on-failover non-tcp

De SFOS 22-help vermeldt voor geen van beide conn-remove-*-instellingen een default. Herstel daarom exact de gedocumenteerde beginwaarde.

Test bij HA ieder protocol apart. Volgens de SFOS 22 HA-help worden route-based, policy-based en remote access IPsec-tunnels bij failover hersteld. Voor verkeer in de IPsec-tunnel ondersteunt sessiefailover UDP en ICMP, maar geen TCP. De conn-remove-*-instellingen vervangen dus niet het HA-ontwerp of een test met een bestaande TCP- en UDP-flow.

Houd instellingen met een andere scope uit elkaar

• IPsec-profiel: Use strict profile en Pass data in compressed format onder System > Profiles > IPsec profiles gelden alleen voor verbindingen met dat profiel. De profielhelp koppelt strict profile aan handshakeproblemen door fragmentatie en vermeldt dat compressie vóór encryptie plaatsvindt. Dit zijn geen globale schakelaars.
• SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings geldt voor alle remote access SSL VPN-policies en het .ovpn-bestand. Volgens de SSL VPN-help is Disconnect dead peer after standaard 180 seconden voor TCP en 100 voor UDP; bij UDP is 60-110 toegestaan. Disconnect idle peer after gebruikt minuten, zonder gedocumenteerde default. Deze waarden gelden niet voor IPsec of L2TP.
• SSL-VPN-authenticatiebronnen: De API-help voor SFOS 22 en 23 onderscheidt bij SSLVPNAuthenticationMethods drie keuzes: SameAsVPN neemt de voor VPN geconfigureerde authenticatiebronnen over, SameAsFirewall neemt de voor de firewall geconfigureerde bronnen over en Custom gebruikt afzonderlijk geselecteerde authenticatieservers. Voor deze aangepaste serverlijst is AuthenticationServer gedocumenteerd als een optionele array van tekenreeksen met meerdere mogelijke waarden. Het voorbeeld voor de bronnen plaatst de vermeldingen onder SSLVPNAuthenticationServerList binnen SSLVPNAuthentication. Deze keuze is geen SSL-VPN-time-out en ook niet de hieronder beschreven L2TP-/PPTP-protocolwaarde. De help onderbouwt noch de servervolgorde of fallback, noch een standaardwaarde of het gedrag van een serverlijst bij overgenomen bronnen; hier wordt daaruit geen uitvoerbaar XML-voorbeeld afgeleid.
• L2TP in webbeheer: Remote access VPN > L2TP > L2TP global settings geldt voor alle L2TP-policies en beheert inschakeling, leasebereik, RADIUS-leasing, DNS, WINS en leden. Het gedocumenteerde bereik moet privé zijn, in een /24 of kleiner subnet liggen en maximaal 254 adressen bevatten. Sophos stelt dat de L2TP- en PPTP-adresbereiken niet mogen overlappen met configuraties voor remote access IPsec of SSL VPN; op deze pagina staat niet dat de L2TP- en PPTP-bereiken elkaar niet mogen overlappen. De CLI-authenticatie hieronder geldt voor L2TP en PPTP; de CLI-MTU blijft specifiek voor L2TP.
• Firewallbrede waarden: tcp-est-idle-timeout, udp-timeout, udp-timeout-stream en fragmented-traffic onder set advanced-firewall zijn geen VPN-instellingen. De CLI-help noemt 2700-432000 seconden voor established TCP, 30-3600 voor beide UDP-time-outs en allow als default voor gefragmenteerd verkeer. Wijzig deze niet voor één tunnel.

IPsec-performance en beveiligingsfuncties

De groep ipsec-performance bevat vier zeer verschillende functies. De naam kan tuningexperimenten uitlokken, hoewel slechts één functie direct de grootte van een werkwachtrij bepaalt.

Wijzig de workqueue alleen bij een aangetoond knelpunt

ipsec-max-workqueue-items accepteert waarden van 1024 tot 10240. De wachtrij bevat werk voor IPsec-verwerking. Een hogere waarde garandeert geen grotere throughput en verhelpt geen Packet Loss, MTU-problemen, zwakke single-streamresultaten of een verzadigde WAN-lijn.

set vpn ipsec-performance ipsec-max-workqueue-items <1024-10240>

Een wijziging is alleen zinvol wanneer een reproduceerbare belastingstest, systeembelasting en Sophos-diagnose precies dit knelpunt aantonen. Controleer eerst afzonderlijk MTU en MSS, latency, Packet Loss, encryptieprofiel, IPsec Acceleration en parallelle teststreams. Herstel zonder verbetering de vastgelegde beginwaarde.

Sophos documenteert geen default voor ipsec-max-workqueue-items. Gebruik voor rollback set vpn ipsec-performance ipsec-max-workqueue-items <vastgelegde-beginwaarde>.

Het anti-replayvenster is een beveiligingsfunctie

IPsec registreert binnen het replayvenster welke pakketten tijdens ontsleuteling al zijn gezien. Herhaalde pakketten kunnen daardoor worden gedetecteerd en verworpen. SFOS 22 accepteert 0, 32, 64, 128, 256, 512, 1024, 2048 en 4096; de gedocumenteerde default is 1024.

set vpn ipsec-performance anti-replay window-size <waarde>

Een groter venster kan relevant zijn wanneer pakketten sterk worden herschikt over parallelle paden. Het is geen algemene throughputknop. De vergeleken SFOS 22- en SFOS 23-help vermelden 0, maar leggen niet uit welk effect deze waarde heeft op de anti-replaybescherming. Gebruik deze waarde niet als oplossing zonder dat Sophos Support het effect en de beveiligingsgevolgen voor de geïnstalleerde build heeft bevestigd. Zo’n test hoort in een geïsoleerd onderhoudsvenster met expliciete instructie van Sophos Support en een direct beschikbare rollback.

set vpn ipsec-performance anti-replay window-size 1024 herstelt de gedocumenteerde default. Herstel bij een aangepaste beginwaarde exact die waarde.

De IKEv2-cookiedrempel beschermt halfopen SA’s

Volgens Sophos is cookievalidatie altijd actief en alleen beschikbaar voor IKEv2. cookie_threshold schakelt deze functie niet aan of uit. Wanneer het aantal gelijktijdige halfopen IKE SA’s de drempel overschrijdt, vraagt de responder een cookie aan de initiator. Zo wordt de opbouwstatus tegen DoS-belasting beschermd. De gedocumenteerde default is 30.

set vpn ipsec-performance cookie_threshold <getal>

Kies een lagere of hogere waarde alleen op basis van echte IKE-belasting en supportdiagnose. Hiermee worden ontbrekende Child SA’s, niet-passende proposals of authenticatiefouten niet opgelost. Observeer bij validatie nieuwe IKEv2-verbindingen, strongswan.log, CPU-belasting en legitieme gelijktijdige aanmeldingen.

set vpn ipsec-performance cookie_threshold 30 herstelt de gedocumenteerde default. Herstel een aangepaste drempel met dezelfde syntaxis.

Gebruik het opgeloste peeradres alleen voor de gedocumenteerde Charon-situatie

use-resolved-ip-address is bedoeld voor veel site-to-site IPsec-tunnels met FQDN-peers en trage DNS-resolutie. Volgens Sophos kan precies deze combinatie een charon-thread blokkeren. Met enable gebruikt de firewall het al opgeloste adres in plaats van de tunnel te starten met een nieuwe resolutie van de remote FQDN.

De twee regels zijn alternatieven, geen reeks opeenvolgende stappen. Kies voor de wijziging precies één regel met de onderbouwde doelwaarde. Voer voor de rollback afzonderlijk alleen de regel uit die de vooraf veilig vastgestelde beginwaarde herstelt; de andere regel is geen automatische terugweg.

set vpn ipsec-performance use-resolved-ip-address enable
set vpn ipsec-performance use-resolved-ip-address disable

De FQDN moet al met succes zijn opgelost. De gedocumenteerde default is Off; set vpn ipsec-performance use-resolved-ip-address disable herstelt deze. Was enable de vastgelegde beginwaarde, gebruik die dan als aangepaste rollback. De optie vervangt geen werkende DNS of bereikbare resolvers. Correleer vóór inschakeling resolutietijd, opgelost peeradres, tunnelaantal en charon.log. Controleer na een DNS- of providerwissel of de firewall het nieuwe peeradres binnen de verwachte tijd gebruikt.

Strikte IPsec-policycontrole

De huidige SFOS 22 CLI-help documenteert ipsec-strict-policy-check als een afzonderlijke optie onder set vpn, niet als onderdeel van ipsec-performance. Security Associations (SA’s) zijn de beveiligingsassociaties voor beschermd IPsec-verkeer. Met enable valideert Sophos Firewall het subnetpaar tegen de bijbehorende SA; inkomend IPsec-verkeer dat niet overeenkomt met de verwachte SA kan worden verworpen. Dit is niet Use strict profile onder System > Profiles > IPsec profiles, dat handshakeproblemen door fragmentatie binnen de scope van het profiel betreft.

Overweeg disable alleen voor het gedocumenteerde compatibiliteitsgeval: een peer van een andere leverancier gebruikt gedeelde SA’s voor meerdere subnetparen in site-to-site IPsec-tunnels. Hierdoor wordt de strikte associatiecontrole uitgeschakeld. Willekeurige tunnel-, routing- of authenticatiefouten zijn daarvoor geen reden; toon eerst aan dat precies dit geval met gedeelde SA’s van toepassing is.

Vóór het instellen: vereis een onafhankelijke beheerroute, een actuele back-up en een door Sophos Support voor de geïnstalleerde build bevestigde methode om de actieve waarde uit te lezen. Leg vooraf de uitvoer, huidige waarde en exacte rollback naar die beginwaarde vast. Laat de instelling ongewijzigd zonder betrouwbare leesmethode of veilig vastgestelde huidige waarde.

De gedocumenteerde syntaxis voor 4. Device Console is:

set vpn ipsec-strict-policy-check [enable | disable]

De vierkante haken geven alternatieven aan: vervang ze alleen door de onderbouwde doelwaarde, enable of disable. De huidige SFOS 22-help geeft voor deze optie geen standaardwaarde en geen getter/leesopdracht. Hier wordt daarom geen default-, reset- of verzonnen leesopdracht gegeven. De release notes vermelden deze instelling als nieuwe functie van SFOS 22.0 MR3 Build 576 van 16 oktober 2026. Vermelding in de algemene SFOS 22-help bewijst geen beschikbaarheid op oudere 22.0-builds; ga daar dus niet van uit.

Wijzig alleen deze globale waarde in een gecontroleerd onderhoudsvenster. Test vóór en na de wijziging de betrokken subnetparen en tot dan toe niet-getroffen tunnels, met bestaande en nieuwe flows in beide richtingen. Gecontroleerde negatieve verkeerstests moeten ook bevestigen dat niet-toegestaan verkeer geblokkeerd blijft; onderzoek SA-associaties en redenen van verwerping met de IPsec- en packet-capturecontroles in de test- en herstelsectie hieronder. Lees de doelwaarde terug met de door Support bevestigde methode. Herstel bij uitblijvende verbetering of regressies exact de vastgelegde beginwaarde met dezelfde syntaxis en lees deze terug; controleer daarna tunnels en gebruikersverkeer opnieuw. De vier SFOS 22-standaardopdrachten hieronder zijn geen rollback voor deze instelling.

L2TP-compatibiliteit, MTU en PPTP

set vpn bevat ook authenticatieprotocollen voor L2TP en PPTP plus de globale L2TP-MTU. Dat maakt PPTP niet geschikt voor nieuwe omgevingen. PPTP is verouderd en hoort niet nieuw te worden uitgerold. Ook L2TP Remote Access blijft een gecontroleerde compatibiliteitsoplossing, niet de voorkeursstandaard voor nieuwe beheerde clients.

Voor L2TP en PPTP zijn ANY, CHAP, MS_CHAPv2 en PAP beschikbaar:

Kies alleen de regel voor het te wijzigen protocol en vervang de placeholder door precies één token dat zowel de client als de authenticatiebron ondersteunt: ANY, CHAP, MS_CHAPv2 of PAP. Voer de twee regels niet als opeenvolgende stappen uit. De rollback herstelt uitsluitend het vooraf vastgestelde token van dit protocol.

set vpn l2tp authentication <ANY|CHAP|MS_CHAPv2|PAP>
set vpn pptp authentication <ANY|CHAP|MS_CHAPv2|PAP>

De keuze van VPN-authenticatiebronnen onder Authentication > Services beantwoordt een andere vraag dan de CLI-protocolwaarde: welke bronnen controleren de aanmelding, en neemt VPN daarvoor de firewallkeuze over of gebruikt het afzonderlijk geselecteerde authenticatieservers? De API-help voor SFOS 22 en 23 beschrijft het hergebruik van de firewallauthenticatie en documenteert AuthenticationServer als een optionele array van tekenreeksen die meerdere serverwaarden toestaat. Daaruit volgt geen uitspraak over volgorde of fallback. ANY, CHAP, MS_CHAPv2 en PAP kiezen daarentegen de authenticatiemethode voor L2TP respectievelijk PPTP; ze selecteren geen serverlijst.

Geen uitvoerbaar VPN-API-modusvoorbeeld: In beide vergeleken API-helpteksten toont het voorbeeld voor de bronnen bij VPNAuthenticationMethods de waarden SameAsFirewall en Custom, terwijl de samengevatte regel voor de verplichte parameter in de tabel alleen on en off toestaat. Deze tegenstrijdigheid levert geen betrouwbaar uitvoerbare moduswaarde op. Daarom bevat dit artikel hiervoor noch een API-instructie, noch een XML-voorbeeld. De bovenstaande uitleg maakt alleen onderscheid tussen de authenticatiebronnen en het CLI-protocol; het is geen handleiding voor de configuratie van het gebruikersportaal.

Kies niet alleen op basis van de sterkst klinkende naam. Client, authenticatieserver en de VPN-methode onder Authentication > Services moeten hetzelfde protocol ondersteunen. Vooral met Active Directory kan de ondersteunde combinatie verschillen van een RADIUS-pad. ANY is geen beveiligingsverbetering, maar verbreedt de geaccepteerde methoden en vereist daarom een bewuste risicobeslissing.

Sophos documenteert geen default voor deze twee CLI-waarden. Gebruik voor rollback het vastgelegde begintoken met dezelfde syntaxis, bijvoorbeeld set vpn l2tp authentication MS_CHAPv2 als dat de beginwaarde was.

De L2TP-MTU kan van 576 tot 1460 worden ingesteld; de gedocumenteerde default is 1410:

set vpn l2tp mtu <576-1460>

De L2TP-MTU wijzigt geen route-based of policy-based site-to-site IPsec-interface. Pas deze alleen stapsgewijs aan bij een reproduceerbaar L2TP-fragmentatieprobleem. Grote en kleine overdrachten, DNS, authenticatie en opnieuw verbinden moeten daarna blijven werken.

set vpn l2tp mtu 1410 herstelt de gedocumenteerde default. Herstel bij een bewust aangepaste begin-MTU in plaats daarvan de vastgelegde waarde.

Gecontroleerd testen en herstellen

De volgende vier regels tonen onafhankelijke voorbeelden van de expliciet gedocumenteerde SFOS 22-defaults, geen reeks opeenvolgende stappen: voer niet het hele blok uit. Kies voor een rollback alleen de regel van de gewijzigde parameter, en alleen als de vooraf veilig vastgestelde beginwaarde exact deze default was. Anders wordt uitsluitend de exact genoteerde beginwaarde met dezelfde syntaxis ingesteld; andere parameters blijven ongewijzigd.

set vpn ipsec-performance anti-replay window-size 1024
set vpn ipsec-performance cookie_threshold 30
set vpn ipsec-performance use-resolved-ip-address disable
set vpn l2tp mtu 1410

Sophos noemt geen defaults voor conn-remove-*, ipsec-max-workqueue-items en beide authenticatieprotocollen. Herstel een aangepaste configuratie altijd met de vooraf genoteerde waarde en dezelfde set vpn-syntaxis.

Wijzig per onderhoudsvenster precies één globale waarde. Gebruik vóór en na de change dezelfde tunnels, testflow en WAN- of HA-overgang. Leg voor IPsec tunnelstatus, Child SA, bytecounters, strongswan.log, charon.log, CPU en Packet Loss vast. Neem bij sessieopschoning ook VoIP, DNS en andere UDP-flows mee.

Een geslaagde ping is geen volledige acceptatietest. Controleer een bestaande flow, een nieuwe verbinding, beide richtingen en een gecontroleerde negatieve test. Current activities > IPsec connections toont IPsec en Current activities > Remote users SSL VPN-gebruikers. De logreferentie koppelt IPsec aan strongswan.log, ipsec_monitor.log en charon.log, SSL VPN aan sslvpn.log en L2TP aan l2tpd.log. Diagnostics > Packet capture toont de inkomende en uitgaande interface, regel-ID, status en reden van verwerping; gebruik een nauw filter voor de geanonimiseerde testeindpunten om niet-gerelateerde gegevens te vermijden. Controleer na de wijziging de doelwaarde met de door Support bevestigde leesmethode. Alleen acceptatie van de opdracht en waargenomen verkeer bewijzen niet welke globale waarde actief is.

Blijft de verwachte verbetering uit of ontstaan nieuwe onderbrekingen, stel dan exact de vóór de test genoteerde waarde in. Controleer daarna tunnel en verkeer opnieuw. Voer zonder bekende beginsituatie, onafhankelijke beheerroute en onderbouwd symptoom geen set vpn-wijziging uit. Na de rollback wordt de herstelde beginwaarde opnieuw uitgelezen met de vooraf door Support bevestigde leesmethode en vergeleken met de vastgelegde baseline; vervolgens worden de tunnels en het gebruikersverkeer opnieuw gecontroleerd.

FAQ