Sophos Firewall: hardware, virtueel of cloud?

Sophos Firewall kan worden ingezet als XGS Appliance, virtuele appliance, Software Appliance of Cloud Deployment. Alle varianten draaien op Sophos Firewall OS, maar het operationele model verschilt. De keuze heeft gevolgen voor prestaties, ondersteuning, netwerkpoortontwerp, HA, herstel, licenties, monitoring en de verdeling van de platformverantwoordelijkheden bij een storing.

Vraag bij nieuwe projecten niet alleen welke variant goedkoper is. Bepalend is welke variant past bij de locatie, het virtualisatieplatform, de cloudarchitectuur en het beheerteam. De Sophos Firewall-dimensioneringsgids is ook belangrijk om de benodigde capaciteit en prestaties te bepalen.

De platformkeuze bepaalt ook de compliancefuncties: De FIPS 140-3-modus is beschikbaar op XGS Appliances, ondersteunde virtuele platformen, AWS en Azure, maar niet op Software Appliances of XG- en SG-hardware.

Kies het operationele model

Snelle beslissing

• XGS Appliance: Meestal geschikt wanneer een locatie een dedicated firewall met fysieke netwerkpoorten en duidelijk geregelde ondersteuning nodig heeft.
• Virtueel apparaat: Vooral geschikt als er een stabiel virtualisatieplatform beschikbaar is en netwerkzones virtueel netjes gescheiden kunnen worden.
• Software Appliance: Meestal geschikt als u bewust eigen hardware als firewallplatform wilt inzetten, beheren en ondersteunen.
• Cloud Deployment: Meest geschikt voor het beschermen van workloads in AWS of Azure of voor het verbinden met lokale netwerken.

De belangrijkste regel: een virtuele of cloudfirewall is geen vrijbrief voor minder planning. CPU, RAM, opslag, virtuele switches, routing, HA, back-up en monitoring moeten net zo zorgvuldig worden gepland als bij hardware.

Wanneer moet je voorzichtig zijn?

De beslissing moet niet alleen gebaseerd zijn op wat technisch mogelijk is. Sommige omgevingen zien er op papier flexibel uit, maar creëren tijdens de bedrijfsvoering onnodige risico’s.

• Hypervisor wordt al intensief gebruikt: IPS, TLS Inspection, VPN en logboekregistratie hebben voorspelbare CPU en I/O-reserve nodig.
• WAN, LAN, DMZ en het management lopen door hetzelfde fysieke knelpunt: Een logisch zuivere scheiding heeft weinig nut als het echte datapad overbelast of verkeerd gesegmenteerd is.
• Geen enkel team voelt zich medeverantwoordelijk voor hypervisor en firewall: Incidenten blijven liggen tussen de platform-, netwerk- en firewallteams.
• HA was alleen gepland als een selectievakje: Zonder host-, opslag-, netwerk- en hersteltests is hoge beschikbaarheid niet bewezen.
• Cloudrouting is niet volledig gedocumenteerd: De firewall beschermt alleen verkeer dat er daadwerkelijk doorheen wordt geleid.
• Herstel is nooit geoefend: Een back-up is alleen betrouwbaar als herstel onder realistische omstandigheden is getest of ten minste goed is gepland.

In dergelijke gevallen is een XGS Appliance vaak niet minder modern, maar eenvoudigweg de robuustere operationele keuze. Omgekeerd kan een virtuele of cloudfirewall zeer nuttig zijn als het platform, het netwerkontwerp, de monitoring en de verantwoordelijkheden duidelijk zijn vastgelegd.

Vergelijk de platforms

XGS Appliance

Voor traditionele locaties is een XGS Appliance doorgaans de variant die het eenvoudigst te plannen is. Hardware, netwerkpoorten, ondersteuning, RMA, levenscyclus en firewallbesturingssysteem vormen een op elkaar afgestemd systeem.

Het fysieke hardwareaanbod van Sophos voorziet in uiteenlopende behoeften, van thuisgebruikers en kleine bedrijven tot grote ondernemingen. Welke XGS Appliance past, hangt af van het verkeer, de beveiligingsfuncties, de poorten en de HA-eisen. Laat de keuze zo nodig door Sophos sales of een partner aan deze eisen toetsen. Geschiktheid voor een thuisnetwerk betekent niet automatisch dat de gratis Home-licentie op de gekozen hardware mag worden gebruikt.

Voordelen:

• dedicated firewallhardware,
• vaste netwerkpoortconfiguratie en uitbreidingsmogelijkheden,
• duidelijke toewijzing van WAN, LAN, DMZ, HA-link en beheer,
• eenvoudig proces voor hardwareondersteuning en vervanging,
• geen afhankelijkheid van hypervisorresources,
• zeer geschikt voor vestigingen, hoofdkantoren en edgefirewalls.

Het grootste voordeel ligt in het beheer: bij een probleem hoeft u niet eerst uit te zoeken of de hypervisor, vSwitch, opslag, cloudrouting of de firewall zelf de oorzaak is. Voor veel mkb-locaties is dit belangrijker dan maximale flexibiliteit.

Virtuele appliance

Een virtuele Sophos Firewall is zinvol als er al een goed ingericht virtualisatieplatform beschikbaar is en de firewall moet worden geïntegreerd in een datacenter, een multi-tenantomgeving of een ontwerp voor interne segmentatie.

Deze biedt SFOS-beveiligingsfuncties van hardwareappliances in gevirtualiseerde vorm, waaronder identiteitsgebaseerde beveiliging. Bij beveiligingsbeslissingen telt dus de identiteit van de gebruiker mee, niet alleen het netwerkadres. Organisaties en Managed Security Service Providers (MSSP’s) kunnen de netwerkbeveiliging voor virtuele datacenters of kantoren op een virtuele firewall bundelen. De beschikbare functies hangen af van de licenties en het ondersteunde platform; dit betekent niet dat de hardwareversnelling identiek is of dat de doorvoer gelijk is aan die van een XGS Appliance.

Virtuele en cloudimplementaties met SFOS kunnen via Sophos Endpoint Security Heartbeat ook de gezondheidsstatus van beheerde endpoints meewegen bij toegangsbeslissingen. Hiervoor zijn passende licentierechten voor endpoints en firewall, registratie in dezelfde juiste organisatie en een expliciet geconfigureerde reactie vereist. Identiteitsgebaseerde beveiliging is geen gelijkwaardig mechanisme voor de gezondheidsstatus van endpoints; registratie alleen bewijst niet dat isolatie plaatsvindt of dat alle verkeerspaden worden geblokkeerd. De voorwaarden, reactiepaden en controles op de werking worden uitgelegd in de handleiding voor Security Heartbeat en Synchronized Security.

Sophos biedt ook centraal beheer van Sophos Firewall-apparaten. Het platformoverzicht voor SFOS 22 noemt hiervoor Sophos Fusion (previously Sophos Central), terwijl dat voor SFOS 23 Sophos Central gebruikt. Deze verschillende namen bewijzen niet dat centraal beheer met SFOS 23 is geïntroduceerd. Controleer bij de planning welke dienst uw beheerportaal gebruikt en welke voorwaarden gelden voor het toevoegen van de firewall; centrale loganalyse is op zichzelf geen centraal apparaatbeheer.

Relevante virtuele platforms zijn onder meer VMware, Microsoft Hyper-V, KVM, Nutanix Prism en Citrix Hypervisor. Controleer vóór de implementatie de concrete platformversie aan de hand van de actuele compatibiliteitsinformatie van Sophos. Sophos noemt minimaal één vCPU, 4 GB RAM, twee vNICs, een primaire schijf van 32 GB en een rapportschijf van 80 GB. Dit zijn installatievereisten, geen sizingadvies voor productie-inspectieverkeer.

Controleer meer dan alleen de productfamilie. Voor Nutanix vereist Sophos bijvoorbeeld AOS 6.5.x of een latere LTS-versie, de bijbehorende AHV-versie, een compatibele versie van Prism Central en een AHV-cluster dat bij Prism Central is geregistreerd. KVM vereist een x86-host met een recente Linux-kernel en ingeschakelde Intel VT- of AMD-V-ondersteuning. Als u vCPU en RAM voor een hogere belasting vergroot, plan dan ook een grotere rapportschijf voor het extra logvolume.

Belangrijke operationele vragen:

• Zijn CPU-resources gegarandeerd of is er sprake van sterke overallocatie?
• Zijn RAM en opslag voldoende gedimensioneerd?
• Zijn virtuele NIC’s en poortgroepen duidelijk gescheiden?
• Zijn er speciale netwerkpaden voor WAN, LAN, DMZ, HA en beheer?
• Is promiscue modus, VLAN trunking of SR-IOV vereist?
• Is er een goed uitgewerkt back-up- en herstelplan?
• Is het duidelijk wie samen de problemen met de hypervisor, storage en firewall oplost?

Een virtuele firewall kan heel goed werken. Er ontstaan echter al snel problemen als deze op een overbelaste host draait of als WAN, LAN en beheer alleen logisch goed gescheiden zijn, maar fysiek door dezelfde knelpunten lopen.

⚠️ Hypervisorsnapshots of backups van de virtualisatieleverancier zijn geen ondersteunde vervanging voor de geïntegreerde Sophos-backup. Sla voor een ondersteunde restore de configuratie op via Backup & Firmware > Backup & Restore. Platformbackups mogen aanvullend bestaan, maar mogen niet het enige herstelpad zijn.

Software Appliance

Een Software Appliance wordt op eigen, dedicated x86-64-hardware geïnstalleerd. Dit kan zinvol zijn voor labs, speciale omgevingen of zeer gerichte ontwerpen. In productie moet dit model bewust worden gekozen, omdat hardwarekeuze, drivers, reserveonderdelen, monitoring en ondersteuning grotendeels onder de verantwoordelijkheid van de beheerder vallen.

SFOS op geschikte fysieke hardware biedt firewallregels en -beleid, dreigingsrespons en statische, SD-WAN- en dynamische routing, afhankelijk van de toepasselijke licenties en de dimensionering van het platform. Fabrikantnamen zoals Dell of HP zijn voorbeelden, geen geverifieerde compatibiliteitslijst per model.

De installatie formatteert en partitioneert de schijf opnieuw en verwijdert daarbij het bestaande besturingssysteem en alle bestanden. Voor een SFOS 22 Software Appliance vereist Sophos Legacy BIOS, minimaal 4 GB RAM, twee netwerkinterfaces en minimaal 32 GB opslag; 64 GB wordt aanbevolen. Als niet aan de minimumvereisten wordt voldaan, kan de firewall in fail-safe mode gaan.

Afwijkende opslagwaarden: De platformoverzichten voor SFOS 22 en 23 noemen 10 GB als minimum voor eigen hardware. De specifieke SFOS 22-installatievereisten voor de Software Appliance noemen daarentegen minimaal 32 GB en bevelen 64 GB aan. Deze handleiding volgt bewust de specifiekere, conservatieve installatievereiste: minimaal 32 GB, met 64 GB aanbevolen. Plan geen installatie met 10 GB en controleer vóór installatie ook de vereisten voor de gekozen SFOS-versie.

Als een appliance al in de Failsafe-modus start, moet vóór resourcewijzigingen de door SFOS vastgestelde oorzaak worden bewaard met het runbook Sophos Firewall in de Failsafe-modus controleren.

Controleer:

• Is de hardware geschikt voor continu gebruik?
• Zijn netwerkkaarten, opslag en BIOS/UEFI-configuratie geschikt?
• Is er vervangende hardware?
• Is het installatie- en herstelproces gedocumenteerd?
• Wie is verantwoordelijk voor hardwarefouten?

Voor standaardlocaties is een XGS Appliance vaak eenvoudiger. Voor bijzondere technische gevallen kan een Software Appliance toch geschikt zijn als het operations team het platform goed beheerst.

Cloud Deployment

Cloudimplementaties zijn met name handig wanneer workloads in AWS of Azure moeten worden beschermd of wanneer cloudnetwerken zijn verbonden met lokale locaties. In de cloud zijn andere vragen belangrijk dan op de traditionele locatie.

Plannen:

• VPC/VNet-ontwerp,
• routeringstabellen,
• Beschikbaarheidszones,
• Elastische IP’s of openbare IP’s,
• Site-naar-site VPN of SD-WAN,
• Logging en centrale evaluatie,
• cloudkosten voor de instance, opslag, verkeer en het HA-ontwerp,
• Operationele verantwoordelijkheid tussen cloudteam en firewallteam.

Een cloudfirewall is geen vervanging voor een schoon cloudnetwerkontwerp. Alleen de paden die daadwerkelijk door de firewall worden geleid, worden beveiligd. De implementatie- en routeringskeuzes worden uitgelegd in de handleidingen voor Sophos Firewall op AWS en Sophos Firewall op Azure.

Een virtuele of software-appliance installeren

Download de image rechtstreeks van de Sophos-pagina Firewall Installers. Kies onder Virtual Installers het bijbehorende OVF-pakket voor Citrix of VMware, het VHD-pakket voor Hyper-V of het QCOW2-pakket voor KVM, Proxmox of Nutanix. Gebruik voor eigen hardware in plaats daarvan de ISO onder Software Installers.

Controleer vóór de import of de hierboven gekoppelde downloadpagina via HTTPS is geladen, het pakket niet van een mirror van derden komt en het archief volledig en zonder fouten is uitgepakt. Houd bij een OVF-pakket het manifest, de OVF en beide VMDK-bestanden bij elkaar. Stop als de import een afwijking in het manifest of de checksum meldt en download het pakket opnieuw rechtstreeks van Sophos. Voor een interne bestandsoverdracht kunt u ook direct na het downloaden een SHA-256-waarde vastleggen en deze op het doelsysteem opnieuw vergelijken. Hiermee worden overdrachtsfouten gedetecteerd, maar dit vervangt geen handtekening van de leverancier.

Vóór de import gelden de minima van 1 vCPU, 4 GB RAM, twee vNIC’s, een primaire schijf van 32 GB en een rapportschijf van 80 GB. Onvoldoende resources activeren fail-safe mode. Controleer het aangeschafte CPU-/resourcerecht voordat u toewijzingen wijzigt; deze minima zijn geen dimensioneringsadvies voor productie. Vergroot de rapportschijf als extra CPU/RAM een hoger logvolume mogelijk maakt. Hypervisorsnapshots en back-uptools van de virtualisatieleverancier zijn geen ondersteunde firewallback-ups; gebruik de SFOS-back-upfunctie.

De volgende installatieprocedures moeten voor de specifieke platform-/SFOS-combinatie worden gecontroleerd; een geslaagde installatie bevestigt nog geen werkende productie- of herstelroute. Controleer eerst de actuele ondersteuning voor het platform, besturingssysteem, beheerprogramma en de image. Valideer de installatie op een nieuwe, geïsoleerde VM voordat u productieverkeer erdoorheen routeert. Laat de bestaande firewall en productieroutes ongewijzigd totdat de nieuwe installatie is geaccepteerd.

De platformoverzichten voor SFOS 22 en 23 noemen voor de Citrix-familie ook XCP-ng-Center als alternatief beheerprogramma voor XenCenter en voor VMware ook VMware Workstation als alternatief voor de hier beschreven ESXi/vSphere-werkwijze. Deze daar vermelde opties zijn geen bevestiging van actuele ondersteuning en geen algemene goedkeuring voor alle XCP-ng-versies. Voordat u een van deze alternatieven kiest, moet de ondersteuning voor de exacte host-, platform- en beheerprogrammaversie bevestigd zijn. Blijft die ondersteuning onduidelijk, dan breekt u de implementatie af en gebruikt u een aantoonbaar ondersteunde werkwijze. De onderstaande XenCenter- en ESXi/vSphere-stappen zijn geen installatiehandleiding voor deze alternatieven; met name mag u de ESXi-procedure niet overnemen als installatieprocedure voor Workstation.

Citrix Hypervisor en XenCenter

Voorwaarden: Citrix Hypervisor is al geïnstalleerd op een bereikbare host en XenCenter is geïnstalleerd op het beheerapparaat. Controleer welke host-, OS- en toolversies worden ondersteund en sla het uitgepakte Citrix OVF-pakket op waar XenCenter alle bestanden kan lezen.

1. Klik in XenCenter met de rechtermuisknop op de beoogde resource en selecteer Import > Browse. Selecteer de OVF, klik op Open en vervolgens op Next.
2. Selecteer onder Import VM(s) to de bestemming of geef een Home Server op en klik op Next. Selecteer de storage repository voor beide schijven.
3. Koppel de netwerkinterfaces bewust: PortA aan het geïsoleerde beheer-/LAN-netwerk en de WAN-adapter aan het afzonderlijke, beoogde WAN-/testnetwerk. Stel WebAdmin met de fabrieksinstellingen niet bloot aan internet.
4. Verify manifest content is optioneel in de importwizard; bewaar het manifest en onderzoek afwijkingen in plaats van de controle te omzeilen. Ga verder met Next. Laat onder OS Fixup Settings de optie Don’t use Operating System Fixup geselecteerd.
5. Controleer het overzicht en klik op Finish. Bevestig dat de import is geslaagd, beide schijven aanwezig zijn en beide NIC’s aan de bedoelde netwerken zijn gekoppeld. Klik pas daarna met de rechtermuisknop op deze nieuwe VM en selecteer Start. Open de console en volg de gezamenlijke procedure voor eerste toegang hieronder.

VMware ESXi en vSphere Client

Voorwaarden: op de server draait al een momenteel ondersteunde ESXi-versie en de beheerder heeft een werkende vSphere Client-beheersessie met netwerktoegang tot de server. Pak het VMware-pakket uit op het beheerapparaat. Oude aanduidingen van virtuele hardwareversies bewijzen niet dat ESXi 4 of 5 momenteel wordt ondersteund.

Kies het OVF-template bewust:

• sf_virtual en sf_virtual_vm7: verouderde hardwareversie 7, PCNet32 (Vlance), virtuele linkbeschrijving 10 Mbps, half duplex, vast ingesteld.
• sf_virtual_vm8: hardwareversie 8, E1000E, 1000 Mbps, full duplex, auto-negotiation On.
• sf_virtual_vm8_paravirtual: hardwareversie 8, VMXNET 3, 10000 Mbps, full duplex, auto-negotiation Off. Gebruik E1000E als gedocumenteerd alternatief als de VMXNET 3-driver in uw implementatie niet werkt.
• sf_virtual_virtualbox is geen VMware-template. De bovenstaande linkbeschrijvingen zijn kenmerken van virtuele adapters, geen garanties voor firewalldoorvoer.

1. Klik in vSphere Client met de rechtermuisknop op de implementatielocatie en selecteer Deploy OVF Template > Local file > Choose files. Selecteer de gekozen OVF samen met sf_virtual-disk1.vmdk, sf_virtual-disk2.vmdk en sf_virtual.mf; klik op Open > Next.
2. Geef naam en locatie op, selecteer de compute-resource en controleer de details. Ga telkens verder met Next.
3. Selecteer de datastore en de indeling van de virtuele schijven. Thick Provision Lazy Zeroed reserveert ruimte bij het aanmaken en vult blokken met nullen wanneer er voor het eerst naar wordt geschreven. Thick Provision Eager Zeroed reserveert de ruimte en vult deze al bij het aanmaken met nullen, wat langer kan duren. Thin Provision wijst ruimte naar behoefte toe om opslag te besparen; bewaak de daadwerkelijke datastorecapaciteit. Noch deze beschrijving van schijfindelingen, noch deze procedure bewijst ondersteuning door Sophos voor Fault Tolerance of een algemeen geldende beperking op schijfconversie.
4. Koppel beide bronnetwerken bewust, met PortA op het geïsoleerde beheernetwerk. Controleer de volledige configuratie en klik op Finish. Wacht totdat de implementatie is geslaagd; controleer beide schijfgroottes en de koppelingen van de verbonden NIC’s.
5. Selecteer Actions > Power > Power on, open de console en volg de gezamenlijke procedure voor eerste toegang.

Hyper-V Manager

Voorwaarden: een ondersteunde Hyper-V-host en Hyper-V Manager op een beheerapparaat met netwerktoegang tot de host. Pak het Hyper-V-pakket uit en plaats beide VHD-bestanden op opslag die voor de host toegankelijk is; een pad dat alleen op de pc van de beheerder zichtbaar is, volstaat niet voor een externe host.

1. Open Action > Connect to Server en vervolgens Action > New > Virtual Machine. Kies in de wizard naam en locatie, Generation 1 en een Startup memory van minimaal 4096 MB.
2. Kies voor de eerste adapter de geïsoleerde virtuele beheerswitch. Selecteer Use an existing virtual hard disk > Browse > PRIMARY-DISK.vhd > Open. Controleer de instellingen en klik op Finish; start de VM nog niet.
3. Klik met de rechtermuisknop op de nieuwe VM, open Settings en selecteer onder Hardware de optie Network Adapter > Add. Koppel deze tweede adapter aan het afzonderlijke, geplande netwerk en klik op Apply.
4. Selecteer SCSI Controller > Hard Drive > Add > Virtual hard disk > Browse, selecteer AUXILIARY-DISK.vhd en klik op Open > OK. Controleer de primaire opstartschijf, de aanvullende SCSI-schijf, beide switches en de schijfgroottes.
5. Klik met de rechtermuisknop op de VM en selecteer Connect; start de VM vanuit de console. Volg de gezamenlijke procedure voor eerste toegang.

KVM en Virtual Machine Manager

Voorwaarden: een x86-Linux-host met een recente kernel en ingeschakelde Intel VT of AMD-V, plus een geïnstalleerde en toegankelijke Virtual Machine Manager of geschikte, ondersteunde KVM-beheertools. Voer deze alleen-lezencontroles uit op de Linux-host, niet in de SFOS-console:

grep --color vmx /proc/cpuinfo
grep --color svm /proc/cpuinfo

Verwacht overeenkomende vmx-vlaggen voor Intel of svm voor AMD, niet noodzakelijk beide. Als de relevante controle geen overeenkomsten oplevert, stop dan en controleer de CPU-mogelijkheden, de virtualisatie-instellingen in de firmware en, bij een geneste host, of de benodigde functies worden doorgegeven. Zichtbare vlaggen bewijzen op zichzelf niet dat virtualisatie in de firmware is ingeschakeld of dat de KVM-implementatie werkt. #!sh in oudere instructies is een opmaakmarkering, geen commandoprefix.

1. Pak het KVM-archief uit. Open File > New Virtual Machine > Import existing disk image > Browse, kies PRIMARY-DISK.qcow2 met Choose volume en klik op Forward.
2. Stel Memory (RAM) in op minimaal 4096 MB en CPU op minimaal 1, binnen de licentierechten en de benodigde dimensionering. Selecteer Customize configuration before install > Finish. Geef een naam op en klik op Apply.
3. Stel de Network source van de eerste NIC in op het geïsoleerde beheernetwerk. Het behouden voorbeeld gebruikt Device model > Hypervisor default; controleer of de resulterende adapter wordt ondersteund en klik op Apply. Kies geen ongedeelde bridge waarop WAN en LAN gezamenlijk zijn aangesloten.
4. Selecteer de primaire schijf, die aanvankelijk als IDE Disk 1 wordt weergegeven, en vervolgens Advanced options > Disk bus > VirtIO > Apply.
5. Selecteer Add Hardware > Network, kies het afzonderlijke, geplande netwerk en selecteer Device model > virtio > Finish.
6. Selecteer Add Hardware > Storage > Select or create custom storage > Manage. Kies AUXILIARY-DISK.qcow2 met Choose volume, stel Disk bus > VirtIO in en klik op Finish.
7. Controleer beide schijven, hun bussen en groottes en de NIC-koppelingen voordat u Begin Installation selecteert. Selecteer de firewall en open de console met Open; volg de gezamenlijke procedure voor eerste toegang.

Proxmox VE: procedure voor directoryopslag

Deze procedure met bestandspaden geldt voor geschikte directoryopslag, niet voor willekeurige LVM-, ZFS- of Ceph-backends. Controleer eerst /etc/pve/storage.cfg om de daadwerkelijke opslag-ID, backend en het pad vast te stellen. Als uw backend deze QCOW2-bestandspaden niet kan gebruiken, stop dan en zoek de passende, ondersteunde importprocedure; plak de directoryvoorbeelden niet in een andere backend.

1. Selecteer de server en Create VM. Geef Name op, selecteer Do not use any media, kies instellingen voor System, Hard Disk en CPU die bij de omgeving passen en stel Memory (MB) in op minimaal 4096. De standaardinstellingen voor Machine, SCSI Controller en Cache zijn voorbeeldspecifiek, geen universele vereisten.
2. Selecteer de geïsoleerde Bridge voor beheer. Laat Start after created uitgeschakeld, controleer de instellingen en klik op Finish. Noteer het VMID en bevestig dat dit de nieuwe, ongebruikte test-VM is.
3. Open de >_ Shell van de host met de juiste rechten. Houd uitsluitend deze nieuwe VM uitgeschakeld, bewaar een kopie van /etc/pve/qemu-server/<vmid>.conf en leg de bestaande schijfkoppeling vast. Verwijder of vervang nooit een productieschijf. /var/lib/vz/images/108/ is slechts een voorbeeldmap voor VMID 108; gebruik het pad dat bij uw bevestigde opslag en VMID hoort.
4. Breng het daadwerkelijk gedownloade KVM-archief over naar die map en pak het uit, bijvoorbeeld met unzip ACTUAL_DOWNLOADED_ARCHIVE.zip nadat u de echte bestandsnaam hebt ingevuld. Verwacht PRIMARY-DISK.qcow2 en AUXILIARY-DISK.qcow2; een historische buildbestandsnaam is geen instructie voor een actuele download.
5. Open /etc/pve/qemu-server/<vmid>.conf in een teksteditor. Vervang uitsluitend op deze uitgeschakelde, wegwerpbare test-VM de oorspronkelijke scsi0-koppeling en voeg de aanvullende koppeling toe. De behouden voorbeeldsyntaxis is:

scsi0: vmdisk:<vmid>/PRIMARY-DISK.qcow2,size=32G
scsi1: vmdisk:<vmid>/AUXILIARY-DISK.qcow2,size=80G

Vervang vmdisk door de bevestigde ID van de directoryopslag en <vmid> door het daadwerkelijke VMID; dit zijn geen letterlijk bruikbare waarden. De size-aanduidingen vergroten een te kleine image niet. Controleer of de daadwerkelijke images aan de minimale groottes voldoen en of er geen bestaande scsi1-koppeling wordt overschreven.

6. Controleer onder Hardware beide schijfposities, de groottes en de primaire opstartschijf. Gebruik Add > Network device om de tweede NIC toe te voegen aan de bewust gekozen, afzonderlijke Bridge. Laat onder Options de optie QEMU Guest Agent uitgeschakeld. Controleer de koppelingen opnieuw voordat u Start selecteert en de console opent.
7. Als de wijziging onjuist is, houd de nieuwe VM uitgeschakeld en herstel de opgeslagen configuratie nadat u het VMID en de opslagidentiteit opnieuw hebt gecontroleerd. Verwijder het oorspronkelijke schijfbestand niet als onderdeel van deze terugdraaiprocedure. Deze lokale herstelstap geldt alleen vóór ingebruikname; herstel na ingebruikname vereist het afzonderlijke productieherstelplan. Volg de gezamenlijke procedure voor eerste toegang pas nadat de gecorrigeerde hardwarecontroles zijn geslaagd.

Nutanix Prism Central

Voorwaarden: AOS 6.5.x of een latere LTS-versie, de bijbehorende AHV-versie, een compatibele Prism Central (PC) en een AHV-cluster dat bij PC is geregistreerd. De platforminstructies schrijven de nieuwste GA (LTS)-versie van de Partner VA voor: GA betekent General Availability en LTS betekent Long-Term Support. Controleer welke versie van de partnerappliance en welke platformcombinatie daadwerkelijk worden ondersteund; een SFOS 23-helppagina identificeert op zichzelf niet de nieuwste GA-versie. Bevestig de gelicentieerde CPU-resources, minimaal 4 GB RAM, twee NIC’s en schijven van 32 GB/80 GB.

1. Pak op het beheerapparaat PRIMARY-DISK.qcow2 en AUXILIARY-DISK.qcow2 uit het pakket Virtual Installers: Firewall OS for KVM uit.
2. Open in PC Virtual Infrastructure > Images > Add Image > Add File. Voeg elk bestand toe met Image Type > Disk. Klik op Next, selecteer Placement Method en Select Clusters voor uw bestemming en klik op Save. Vernieuw na het uploaden en controleer of beide images beschikbaar zijn.
3. Open Infrastructure > VMs > Create VM. Stel onder General Configuration naam en tijdzone in; stel onder Compute Details de CPU-resources binnen uw licentierechten en voldoende RAM in. Verwijder onder Disks de standaard-cd-rom uitsluitend op deze nieuwe VM.
4. Selecteer Add New Disk > Operation > Clone from Image Service > Bus Type > SCSI > Image > PRIMARY-DISK.qcow2 > Add. Herhaal dit voor AUXILIARY-DISK.qcow2 als logschijf; het behouden voorbeeld gebruikt ook voor de aanvullende schijf SCSI. Neem hier niet de VirtIO-businstructies voor KVM over.
5. Selecteer onder Network Adapters (NIC) > Add New NIC > VLAN Name het geïsoleerde beheer-VLAN en klik op Add. Herhaal dit voor het afzonderlijke, beoogde tweede netwerk. De DHCP-connectiviteitsoptie uit de bron is optioneel; plan daarna stabiele interfaceadressering. Een VLAN-selectie is op zichzelf geen IP-adres.
6. Selecteer onder VM Host Affinity > Set Affinity een goedgekeurde host en klik op Save; sla vervolgens de VM op. Verwacht een succesmelding; controleer beide schijven, hun bussen en groottes en de NIC-koppelingen voordat u de VM inschakelt.
7. Schakel de nieuwe VM in en selecteer Launch console. Volg de gezamenlijke procedure voor eerste toegang.

Eerste toegang, validatie en veilig terugdraaien

Controleer vóór de eerste start de koppeling van PortA en PortB aan beheer-, LAN- en WAN-netwerken. Omgekeerde koppelingen kunnen WebAdmin rechtstreeks aan internet blootstellen. Uitsluitend in de geïsoleerde initiële omgeving is het gedocumenteerde fabrieksaccount met wachtwoord admin / admin; de console vraagt om het beheerderswachtwoord admin. Open https://172.16.16.16:4444 vanaf de geïsoleerde beheerclient, bijvoorbeeld 172.16.16.2/24. Lees en accepteer de Sophos End User Terms of Use en klik op Start setup voor registratie en basisconfiguratie. Vervang de fabrieksinloggegevens tijdens de configuratie voordat u de firewall aan andere netwerken blootstelt en volg vervolgens de handleiding voor de eerste configuratie.

Wijzig het standaardwachtwoord niet in de CLI voordat u de assistent gebruikt: deze start daarna niet meer. Als dit al is gebeurd, voltooi de basisconfiguratie dan handmatig; reset een geconfigureerde firewall niet alleen om de wizard terug te krijgen. Een fabrieksreset vernietigt de configuratie en is uitsluitend een bewuste optie voor een afgeschermde, wegwerpbare nieuwe VM zonder te behouden configuratie.

Controleer vóór de overstap naar productie de licentie en het serienummer, normaal opstarten in de console, beide schijven en rapportage, interfaces en zones, een ondersteunde SFOS-back-up en een negatieve WebAdmin-toegangstest vanaf een onbevoegd netwerk.

Installeer niet meteen opnieuw als WebAdmin niet bereikbaar is. Controleer of de client rechtstreeks op het netwerk van PortA zit, of de vNIC verbonden is en of de poortgroep of bridge daadwerkelijk aan het geïsoleerde beheernetwerk is gekoppeld. Bevestig in de console dat het opstarten is voltooid en sluit een adresconflict met 172.16.16.16 uit. PortA mag niet op het openbare WAN zijn aangesloten. Ontbrekende rapporten of fail-safe mode vereisen controle van de rapportschijfkoppeling, bus en grootte, CPU/RAM en beide vNIC’s; leg de gedetecteerde oorzaak vast met het fail-safe-runbook voordat u resources wijzigt.

Als u besluit de nieuwe implementatie vóór ingebruikname terug te draaien en er nog geen productieverkeer via de nieuwe VM wordt gerouteerd, schakelt u deze uit, draait u testroutes en tijdelijke gateways terug en blijft u de bestaande firewall ongewijzigd gebruiken. Controleer na het terugdraaien de oorspronkelijke werking voordat productiegebruik wordt hervat. Na ingebruikname vereist herstel een actuele SFOS-back-up en een gedocumenteerde herbouw, geen hypervisorsnapshot; gebruik de back-up- en herstelprocedure.

Software-appliance op eigen hardware

Het doelsysteem vereist x86-64, Legacy BIOS, minimaal 4 GB RAM, twee NIC’s en een HDD/SSD van 32 GB (64 GB aanbevolen). De USB-stick moet minimaal 1 GB groot zijn. Windows/macOS is het besturingssysteem van het werkstation waarmee het installatiemedium wordt geschreven, niet een besturingssysteem dat naast SFOS behouden blijft. Gebruik de download Software Installers: Firewall OS Software ISO for Intel Hardware, pak het archief uit en controleer de SW ISO en de overdrachtsintegriteit zoals hierboven beschreven. Gebruik geen HW-/XGS-image of pakket met virtuele schijven.

⚠️ Het schrijven van het installatiemedium wist het volledige geselecteerde USB-apparaat. De installatie formatteert en partitioneert daarna de schijf van de doelserver opnieuw en verwijdert het vorige besturingssysteem en alle gegevens. Identificeer vóór beide handelingen het exacte apparaat aan de hand van capaciteit en apparaatidentiteit, sla gegevens extern op en controleer een onafhankelijk herstelpad. Stop als niet eenduidig vaststaat welk apparaat het doel is. Na installatie is er geen automatische terugdraaifunctie; herstel vereist afzonderlijk bewaarde media en gegevens van het oorspronkelijke systeem, of een compatibele SFOS-back-up met het bijbehorende wachtwoord en de bijbehorende SSMK.

Windows: Win32 Disk Imager

1. Sluit de USB-stick aan en identificeer de stationsletter, capaciteit en apparaatidentiteit in Windows Schijfbeheer; koppel waar praktisch mogelijk andere verwijderbare stations los. Verkrijg Win32 Disk Imager en start het programma op het werkstation.
2. De bestandskiezer filtert normaal op IMG-bestanden. Wijzig het filter in *.* en selecteer het uitgepakte Sophos SW-bestand met extensie .ISO.
3. Selecteer het bevestigde USB-doel, geen systeem- of gegevensschijf. Controleer het geselecteerde bestand en station opnieuw aan de hand van de vastgelegde identiteit. Klik daarna op Write en bevestig de waarschuwing over het wissen. Wacht totdat het schrijven is geslaagd en werp het apparaat veilig uit. De ISO als gewoon bestand kopiëren maakt geen opstartbaar medium.

macOS: alternatief met ingebouwde hulpmiddelen

1. Identificeer de externe USB-stick in Schijfhulpprogramma aan de hand van capaciteit en apparaatidentiteit. Oudere instructies tonen Partitions > Volume scheme: 1 partition > Format: Free Space > Apply; deze bedieningselementen zijn versieafhankelijk en bestaan mogelijk niet in uw macOS-versie. Verzin geen equivalent en formatteer geen andere schijf om die oude interface na te bootsen. De procedure voor het schrijven van media in de reimage-handleiding is een alternatief; gebruik hier de SW ISO in plaats van de hardware-image uit die handleiding.
2. Ga in Terminal naar de ISO-map. Vervang SOPHOS_ISO door de daadwerkelijke gedownloade bestandsnaam voordat u het commando uitvoert:

hdiutil convert -format UDRW -o sf.img.dmg SOPHOS_ISO

3. Verwacht het geconverteerde bestand sf.img.dmg. Voer diskutil list uit, identificeer opnieuw de volledige externe USB-schijf en ontkoppel de volumes voordat u rechtstreeks naar het apparaat schrijft (Schijfhulpprogramma: Unmount, niet uitwerpen). Stop als u het beoogde apparaat niet kunt identificeren of de volumes niet kunt ontkoppelen.
4. Het volgende is een sjabloon, geen commando dat u ongewijzigd kunt plakken en uitvoeren. Vervang PATH_TO_USB door het bevestigde pad naar het volledige apparaat, nooit door een partitie of een aangenomen schijfnummer. Het commando wist dat volledige apparaat:

dd if=./sf.img.dmg of=PATH_TO_USB bs=1m

Gebruik sudo alleen als dit voor de apparaatrechten nodig is en nadat u het doel opnieuw hebt gecontroleerd. Een raw-pad voegt r toe aan de bevestigde apparaatnaam (/dev/diskN wordt /dev/rdiskN); N is een placeholder, geen schijfnummer om over te nemen. Raw-toegang kan sneller zijn, maar maakt de handeling niet veiliger. Wacht totdat de opdrachtprompt terugkeert en het commando succesvol is voltooid; schrijf nog gebufferde gegevens weg met sync en werp de USB-stick veilig uit voordat u deze verwijdert. Stop bij een fout in plaats van te installeren vanaf een medium waarvan het schrijven niet is geverifieerd.

De fysieke server installeren en controleren

1. Plan downtime, behoud de bestaande firewallroute en externe back-ups en controleer Legacy BIOS/USB-boot en de exacte installatieschijf. Koppel waar mogelijk andere gegevensschijven los. Sluit een lokale monitor en toetsenbord aan en zo nodig een geschikte seriële console.
2. Start op vanaf de voorbereide USB-stick. Controleer de identiteit van server en schijf opnieuw voordat u bij de installatiebevestiging y typt en op Enter drukt. Bevestig dat het vorige besturingssysteem en alle gegevens verloren mogen gaan. Stop als het installatiedoel onduidelijk is. Volg de aanwijzingen totdat de installatie is voltooid, verwijder de USB-stick en start opnieuw; de eerste start kan enkele minuten duren. Pas XGS-ledinstructies niet toe op deze generieke server.
3. Controleer de gedetecteerde NIC’s en identificeer de beheerinterface voordat u de geïsoleerde beheerclient met adres 172.16.16.2/24 aansluit. Bevestig dat de server normaal opstart en gebruik https://172.16.16.16:4444, de Terms of Use en Start setup zoals hierboven beschreven. Beveilig de inloggegevens, voltooi registratie en licentieactivering en sla vóór de overstap een externe SFOS-back-up op.
4. Als de USB-stick niet opstart, controleer dan of de image naar het medium is geschreven in plaats van als bestand te zijn gekopieerd, of de juiste SW-image is gebruikt en of Legacy BIOS/USB-boot is geselecteerd. Leg bij ontbrekende NIC’s of fail-safe mode de oorzaak uit de console vast en controleer de minima en drivercompatibiliteit voordat u opnieuw installeert. Controleer bij onbereikbare WebAdmin de identiteit van de beheer-NIC, de link, het clientadres, volledig opstarten en adresconflicten; sluit de beheerinterface met fabrieksinstellingen nooit bij wijze van snelle oplossing aan op het openbare WAN. Gebruik de interne fail-safe-handleiding, handleiding voor de eerste configuratie en back-up- en herstelhandleiding om de volgende stap te bepalen.

Beheer en herstel plannen

Prestaties en dimensionering

Als het om hardware gaat, zijn de prestaties afhankelijk van het model dat u kiest. Voor virtuele, software- en cloudimplementaties zijn de prestaties meer platformafhankelijk.

Bijzonder relevant:

• CPU-prestaties en CPU-reservering,
• RAM-geheugen,
• opslaglatentie,
• virtuele NIC’s,
• hypervisor- of cloudnetwerkpad,
• aantal sessies,
• TLS Inspection,
• IPS,
• VPN-doorvoer,
• Loggen en rapporteren.

Waarden uit datasheets moeten daarom altijd in hun context worden gelezen. Firewalldoorvoer zonder beveiligingsinspectie is niet hetzelfde als Threat Protection, TLS Inspection of IPsec VPN onder werkelijke belasting. De handleiding voor het interpreteren van Sophos Firewall-prestatiegegevens legt deze verschillen uit.

HA en herstel

Hoge beschikbaarheid verschilt aanzienlijk, afhankelijk van het platform. Als het om hardware gaat, is HA meestal gemakkelijker te begrijpen: twee apparaten, HA-link, gedefinieerde interfaces, duidelijk vervangend apparaat. Er rijzen aanvullende vragen voor virtuele en cloud-implementaties:

• Werken HA-nodes op verschillende hosts?
• Zijn opslag, netwerk en hypervisor echt redundant?
• Zijn virtuele MAC-adressen en vSwitch-regels compatibel?
• Zijn er afhankelijkheden van cloudrouting of load-balancing?
• Werken back-ups en herstel op een nieuwe instance?
• Is het falen van een host of een beschikbaarheidszone getest?

De basisprincipes van de HA-varianten staan in Hoge beschikbaarheid (HA) instellen voor Sophos Firewall. Voor herstel is Een Sophos Firewall-back-up maken of terugzetten verplichte lectuur.

Licenties en ondersteuning

Controleer de licenties vóór implementatie of resourcewijzigingen. Oudere platforminstallatie-instructies beperken zowel vCPU als vRAM tot de aangeschafte licentie; het hieronder gekoppelde artikel beschrijft voor commerciële virtuele, software- en cloud-BYOL-licenties een wijziging per 1 maart 2025 naar CPU-corelicenties zonder de vroegere RAM-limiet. Die beschrijving bewijst niet dat voor elke SKU, elk bestaand licentierecht of elke Home-licentie dezelfde voorwaarden gelden. Controleer de aangeschafte SKU en core-rechten, het serienummer, abonnement en ondersteuning en de daadwerkelijke licentiestatus van de instance in het licentieportaal voordat u resources toewijst. Stop bij onduidelijke rechten en stem deze af met de licentieleverancier. Pas de commerciële wijziging niet toe op Home-licenties en leid uit dit artikel geen onbeperkte resourcerechten af. Het installatieminimum van 4 GB en de dimensionering van RAM, opslag en NIC’s voor productie blijven technische vereisten, ongeacht een eventueel toepasselijk licentieplafond.

De handleiding Sophos Firewall-basislicentie behandelt de basislicenties. De beschreven commerciële wijziging staat in Sophos Firewall VM & SW: CPU-corelicenties zonder de vroegere RAM-limiet.

Belangrijk voor het beheer:

• Documenteer de licentie- en ondersteuningsstatus.
• Leg het serienummer en de registratiestatus zorgvuldig vast.
• Controleer de HA-licenties voordat u het cluster opbouwt.
• Controleer vóór upgrades of u recht hebt op de firmware en ondersteuning.
• Zorg dat u het RMA- of herstelproces voor het gekozen platform kent.

Gebruik vóór grote upgrades ook de upgradecontrole voor Sophos Firewall vóór SFOS 22, omdat platformondersteuning, opslagruimte, back-up, HA en oude VPN-configuraties relevant kunnen zijn voor de upgrade.

Voor active-passive HA op virtuele of software-appliances heeft alleen de Primary alle vereiste licenties nodig, inclusief de Base Firewall License. Bij active-active heeft elke node een eigen Base Firewall License en dezelfde aanvullende beveiligingslicenties nodig; de vervaldatums mogen verschillen. Dit moet vóór de bouw van het cluster worden opgelost, niet tijdens de analyse van de eerste failover.

Beslissingsmatrix

• Klassieke locatie met WAN, LAN en DMZ: Meestal hardware. Alleen virtueel met een goede virtualisatiestrategie.
• Datacenter met bestaand hypervisorteam: Hardware is mogelijk, virtueel is vaak zinvol.
• Cloudworkloads in AWS of Azure: Bij voorkeur virtueel of cloud, geen klassieke hardware.
• Gemakkelijke ondersteuning en RMA belangrijk: Bij voorkeur hardware. Bij virtueel of cloud hangt veel af van het platformteam.
• Veel fysieke poorten vereist: Bij voorkeur hardware. Alleen virtueel met een strak NIC- en vSwitch-ontwerp.
• Dynamische schaling en Infrastructure as Code: Bij voorkeur virtueel of in de cloud.
• Klein IT-team zonder gespecialiseerde hypervisorkennis: Meestal hardware; Plan virtuele firewalls zorgvuldig.
• Tenant- of segmentatieontwerp in het datacenter: Hardware is mogelijk, virtueel is vaak zinvol.

Veelvoorkomende fouten

• Een virtuele firewall laten draaien op een overboekte host.
• WAN, LAN en beheer onvoldoende van elkaar scheiden op de hypervisor.
• Hardware kiezen op basis van prijs in plaats van de benodigde capaciteit.
• Een cloudfirewall implementeren zonder het routingontwerp af te ronden.
• HA plannen zonder uitval van hosts, opslag of cloudinfrastructuur te testen.
• Back-ups maken zonder herstel te oefenen.
• De licentie- en ondersteuningsstatus pas tijdens een upgrade controleren.
• TLS Inspection of IPS toevoegen zonder voldoende prestatiereserve.
• De verantwoordelijken voor platform, netwerk en firewall pas na een incident betrekken.

Controlelijst

• Locatie duidelijk gedefinieerd: locatie, datacenter of cloud.
• Verkeer, bandbreedte en beveiligingsfuncties vastgelegd voor dimensionering.
• Hardware-, virtuele, software- of cloudvarianten bewust gekozen.
• Verantwoordelijkheid voor firewall, hypervisor, cloud en netwerk gedocumenteerd.
• HA en herstelontwerp gecontroleerd.
• Back-up- en herstelproces getest of gepland.
• Licentie, ondersteuning en registratie verduidelijkt.
• Monitoring voor firewall en onderliggend platform beschikbaar.
• Upgrademogelijkheden en platformondersteuning gecontroleerd.
• Persoon verantwoordelijk voor platform, netwerk, firewall, back-up en herstel genoemd.

Veelgestelde vragen