Globale VPN-instellingen op Sophos Firewall veilig gebruiken

De Device Console van Sophos Firewall bevat onder set vpn globale instellingen voor VPN-failover, IPsec-verwerking en de legacyprotocollen L2TP en PPTP. Ze raken niet alleen de verbinding die op dat moment wordt onderzocht. Een ongerichte test kan andere tunnels beïnvloeden, bestaande sessies verwijderen of een beveiligingsfunctie verzwakken.

Geen algemeen performancerecept: zet ipsec-max-workqueue-items, het anti-replayvenster of use-resolved-ip-address niet preventief op een hogere waarde of enable. Sophos beschrijft dit als geavanceerde instellingen voor een concrete netwerkbehoefte of op advies van Sophos Support.

Begin bij normale tunnelproblemen met IPsec VPN-troubleshooting. Daar worden IKE, Child SA, routing, NAT, regels en de echte pakketstroom gecontroleerd. De globale schakelaars in dit artikel zijn pas relevant wanneer het symptoom exact bij hun doel past.

Leg de beginsituatie vóór elke wijziging vast

De opdrachten worden uitgevoerd onder 4. Device Console. Noteer vóór het instellen de SFOS-versie en build, tijd, betrokken tunnels, verwachte testflow en een onafhankelijke beheerroute. Vraag de bestaande waarden afzonderlijk op:

show vpn conn-remove-on-failover
show vpn conn-remove-tunnel-up
show vpn ipsec-performance
show vpn configuration

show vpn ipsec-performance toont onder andere de workqueue- en replaywaarden. show vpn configuration is relevant voor de huidige L2TP- en PPTP-configuratie. Verschijnt een waarde niet in de uitvoer van de geïnstalleerde build, leid die dan niet af uit een veronderstelde default. Neem vóór een globale geavanceerde wijziging een configuratiebackup en Sophos Support op in de change.

De rollback gebruikt altijd de werkelijk uitgelezen waarde van de appliance. default is voor deze VPN-opdrachten niet als universele rollback gedocumenteerd en wordt dus niet op aanname gebruikt.

Sessies tijdens tunnel- en WAN-overgangen

conn-remove-tunnel-up bepaalt of bestaande verbindingen worden verwijderd wanneer een IPsec-tunnel opkomt. Dit kan van belang zijn als een flow via een ander pad begon en na tunnelopbouw aan dat verkeerde pad gekoppeld blijft. Verwijderen kan ook productiesessies onderbreken. Nieuwe configuraties gebruiken sinds SFOS 19.0 standaard disable, terwijl gemigreerde systemen een oudere waarde kunnen behouden.

set vpn conn-remove-tunnel-up enable
set vpn conn-remove-tunnel-up disable

conn-remove-on-failover regelt de globale opschoning bij failover en failback. all raakt alle verbindingen, terwijl non-tcp de opschoning beperkt tot niet-TCP-verkeer zoals UDP of ICMP. De juiste waarde is daarom niet uitsluitend een VPN-keuze: observeer VoIP, videoconferenties, DNS en andere UDP-toepassingen in hetzelfde testvenster.

set vpn conn-remove-on-failover all
set vpn conn-remove-on-failover non-tcp

Sophos wijzigde deze defaults in SFOS 19.0 voor nieuwe configuraties om flapping van niet-TCP-verbindingen te verminderen wanneer IPsec-tunnels opkomen of wegvallen. De wijziging werd bij upgrades en migraties bewust niet algemeen toegepast. In SFOS 22 telt daarom de actuele apparaatuitvoer, niet een veronderstelde fabriekswaarde.

Houd bij HA ook rekening met het feit dat Sophos Firewall VPN- en niet-TCP-sessies niet als gewone doorgestuurde TCP-sessies naar de peer overdraagt. De twee conn-remove-*-schakelaars vervangen noch het HA-ontwerp noch een gecontroleerde failovertest.

IPsec-performance en beveiligingsfuncties

De groep ipsec-performance bevat vier zeer verschillende functies. De naam kan tuningexperimenten uitlokken, hoewel slechts één functie direct de grootte van een werkwachtrij bepaalt.

Wijzig de workqueue alleen bij een aangetoond knelpunt

ipsec-max-workqueue-items accepteert waarden van 1024 tot 10240. De wachtrij bevat werk voor IPsec-verwerking. Een hogere waarde garandeert geen grotere throughput en verhelpt geen Packet Loss, MTU-problemen, zwakke single-streamresultaten of een verzadigde WAN-lijn.

set vpn ipsec-performance ipsec-max-workqueue-items <1024-10240>

Een wijziging is alleen zinvol wanneer een reproduceerbare belastingstest, systeembelasting en Sophos-diagnose precies dit knelpunt aantonen. Controleer eerst afzonderlijk MTU en MSS, latency, Packet Loss, encryptieprofiel, IPsec Acceleration en parallelle teststreams. Herstel zonder verbetering de vastgelegde beginwaarde.

Het anti-replayvenster is een beveiligingsfunctie

IPsec registreert binnen het replayvenster welke pakketten tijdens ontsleuteling al zijn gezien. Herhaalde pakketten kunnen daardoor worden gedetecteerd en verworpen. SFOS 22 accepteert 0, 32, 64, 128, 256, 512, 1024, 2048 en 4096; de gedocumenteerde default is 1024.

set vpn ipsec-performance anti-replay window-size <waarde>

Een groter venster kan relevant zijn wanneer pakketten sterk worden herschikt over parallelle paden. Het is geen algemene throughputknop. De waarde 0 verwijdert anti-replaybescherming en wordt niet als oplossing aanbevolen. Zo’n test hoort in een geïsoleerd onderhoudsvenster met expliciete instructie van Sophos Support en een direct beschikbare rollback.

De IKEv2-cookiedrempel beschermt halfopen SA’s

Volgens Sophos is cookievalidatie altijd actief en alleen beschikbaar voor IKEv2. cookie_threshold schakelt deze functie niet aan of uit. Wanneer het aantal gelijktijdige halfopen IKE SA’s de drempel overschrijdt, vraagt de responder een cookie aan de initiator. Zo wordt de opbouwstatus tegen DoS-belasting beschermd. De gedocumenteerde default is 30.

set vpn ipsec-performance cookie_threshold <getal>

Kies een lagere of hogere waarde alleen op basis van echte IKE-belasting en supportdiagnose. Hiermee worden ontbrekende Child SA’s, niet-passende proposals of authenticatiefouten niet opgelost. Observeer bij validatie nieuwe IKEv2-verbindingen, strongswan.log, CPU-belasting en legitieme gelijktijdige aanmeldingen.

Gebruik het opgeloste peeradres alleen voor de gedocumenteerde Charon-situatie

use-resolved-ip-address is bedoeld voor veel site-to-site IPsec-tunnels met FQDN-peers en trage DNS-resolutie. Volgens Sophos kan precies deze combinatie een charon-thread blokkeren. Met enable gebruikt de firewall het al opgeloste adres in plaats van de tunnel te starten met een nieuwe resolutie van de remote FQDN.

set vpn ipsec-performance use-resolved-ip-address enable
set vpn ipsec-performance use-resolved-ip-address disable

De FQDN moet al met succes zijn opgelost. De gedocumenteerde default is Off. De optie vervangt dus geen werkende DNS, passende TTL’s of bereikbare resolvers. Correleer vóór inschakeling resolutietijd, actuele A- en AAAA-antwoorden, tunnelaantal en charon.log. Controleer na een DNS- of providerwissel of de firewall het nieuwe peeradres binnen de verwachte tijd gebruikt. Laat de instelling zonder de beschreven Charon-situatie uitgeschakeld.

L2TP-compatibiliteit, MTU en PPTP

set vpn bevat ook authenticatieprotocollen voor L2TP en PPTP plus de globale L2TP-MTU. Dat maakt PPTP niet geschikt voor nieuwe omgevingen. PPTP is verouderd en hoort niet nieuw te worden uitgerold. Ook L2TP Remote Access blijft een gecontroleerde compatibiliteitsoplossing, niet de voorkeursstandaard voor nieuwe beheerde clients.

Lees eerst de huidige configuratie met show vpn configuration. Voor L2TP en PPTP zijn ANY, CHAP, MS_CHAPv2 en PAP beschikbaar:

set vpn l2tp authentication <ANY|CHAP|MS_CHAPv2|PAP>
set vpn pptp authentication <ANY|CHAP|MS_CHAPv2|PAP>

Kies niet alleen op basis van de sterkst klinkende naam. Client, authenticatieserver en de VPN-methode onder Authentication > Services moeten hetzelfde protocol ondersteunen. Vooral met Active Directory kan de ondersteunde combinatie verschillen van een RADIUS-pad. ANY is geen beveiligingsverbetering, maar verbreedt de geaccepteerde methoden en vereist daarom een bewuste risicobeslissing.

De L2TP-MTU kan van 576 tot 1460 worden ingesteld; de gedocumenteerde default is 1410:

set vpn l2tp mtu <576-1460>

De L2TP-MTU wijzigt geen route-based of policy-based site-to-site IPsec-interface. Pas deze alleen stapsgewijs aan bij een reproduceerbaar L2TP-fragmentatieprobleem. Grote en kleine overdrachten, DNS, authenticatie en opnieuw verbinden moeten daarna blijven werken.

Gecontroleerd testen en herstellen

Wijzig per onderhoudsvenster precies één globale waarde. Gebruik vóór en na de change dezelfde tunnels, testflow en WAN- of HA-overgang. Leg voor IPsec tunnelstatus, Child SA, bytecounters, strongswan.log, charon.log, CPU en Packet Loss vast. Neem bij sessieopschoning ook VoIP, DNS en andere UDP-flows mee.

Een geslaagde ping is geen volledige acceptatietest. Controleer minstens één bestaande flow, één nieuwe verbinding, beide richtingen en een gecontroleerde negatieve test. Lees daarna de doelstatus opnieuw met de passende show vpn ...-opdracht.

Blijft de verwachte verbetering uit of ontstaan nieuwe onderbrekingen, stel dan exact de vóór de test genoteerde waarde in. Controleer daarna tunnel en verkeer opnieuw. Voer zonder bekende beginsituatie, onafhankelijke beheerroute en onderbouwd symptoom geen set vpn-wijziging uit.

FAQ