Naar de inhoud
Avanet

IP-hosts, diensten en groepen in Sophos Firewall correct gebruiken

Sophos Firewall

IP-hosts en diensten geven adressen, netwerken en poorten een begrijpelijke naam. Een firewallregel laat daardoor direct zien welke bron met welke bestemming en dienst mag communiceren.

De belangrijke keuze is de juiste omvang: één adres wordt als IP aangemaakt, een subnet als Network, een aaneengesloten adresbereik als IP range en een kleine verzameling afzonderlijke adressen als IP list. Bij TCP en UDP beschrijft een dienst normaal gesproken de vaste Destination Port; de dynamische Source Port blijft ongewijzigd.

Voor een nieuwe regel loopt de kortste veilige route van het kleinste geschikte hostobject via een bestaande of eigen dienst naar een strikt begrensde firewallregel. Pas daarna komen bijzondere gevallen zoals System Hosts, MAC Hosts en herbruikbare groepen aan bod. Vóór elke latere wijziging laat Object Usage zien welke regels en Policies van het object afhankelijk zijn.

Het juiste hostobject kiezen

Onder Hosts and services > IP host zijn vier typen beschikbaar:

  • IP: precies één IPv4- of IPv6-adres, bijvoorbeeld een server, printer of beheersysteem.
  • Network: een volledig subnet met netwerkmasker, bijvoorbeeld 198.51.100.0/24.
  • IP range: een aaneengesloten bereik, bijvoorbeeld 203.0.113.10 tot 203.0.113.20.
  • IP list: meerdere afzonderlijke, niet-aaneengesloten adressen. Een lijst ondersteunt maximaal 800 IP-adressen en kan geen lid van een IP Host Group zijn. In de huidige SFOS 22-help staat de zin ‘For IP list, use only class B IP addresses.’ Omdat Sophos deze verouderde formulering met netwerkklassen niet nader toelicht, mag hieruit geen ondersteuning voor willekeurige IPv4- of IPv6-lijsten worden afgeleid.

Een FQDN Host past beter wanneer het bestemmingsadres verandert en er een stabiele DNS-naam bestaat. Resolutie, wildcards en beperkingen worden uitgelegd in FQDN Hosts en Wildcard FQDNs correct gebruiken.

Als algemene regel geldt: gebruik het kleinste stabiele object dat het benodigde verkeer volledig beschrijft. Een object van het type IP omvat slechts één adres en is te beperkt voor een volledig subnet; een /24-netwerk zou onnodig breed zijn voor één server.

Een IP-host stap voor stap maken

Het volgende voorbeeld stelt één testserver voor:

  1. Open Hosts and services > IP host en selecteer Add.
  2. Voer host_test_web in als Name.
  3. Stel IP version in op IPv4.
  4. Selecteer IP als Type.
  5. Voer 192.0.2.10 in bij IP address.
  6. Sla op met Save.

De volgende adressen uit 192.0.2.0/24, 198.51.100.0/24 en 203.0.113.0/24 zijn gereserveerd voor documentatievoorbeelden. In een productieconfiguratie worden alle namen, adressen en netwerkgroottes vervangen door waarden uit het werkelijke netwerk.

Network, range en IP list

De velden veranderen met het geselecteerde type:

  • Network: net_test_branch met 198.51.100.0 en /24 stelt het volledige testnetwerk voor. Voer het netwerkadres in, niet het adres van de gateway.
  • IP range: range_test_admins van 203.0.113.10 tot 203.0.113.20 stelt een aaneengesloten pool voor.
  • IP list: voer bij list_test_hosts uitsluitend adressen uit de eigen, gecontroleerde omgeving in, gescheiden door komma’s. Vanwege de onduidelijke Class B-vermelding in de huidige help moet de concrete lijst op de gebruikte SFOS-build worden aangemaakt en met een testregel worden gevalideerd. De lijst is geschikt voor enkele vaste afzonderlijke adressen, niet voor continu veranderende indicatoren van compromittering.

Voor dynamisch onderhouden schadelijke IP-adressen, domeinen of URL’s zijn Threat Feeds in Sophos Firewall de geschiktere functie. Een handmatige IP list wordt niet automatisch bijgewerkt.

IP Host Groups

Onder Hosts and services > IP host group kunnen hosts met hetzelfde functionele doel worden samengevoegd. Een groep kan bijvoorbeeld alle toegestane beheersystemen bevatten en daarna in meerdere regels worden gebruikt.

Naast Custom IP Hosts kunnen ook de standaardhosts voor interfaces, Cellular WAN en internet lid van een groep zijn. Groepslidmaatschap staat los van de vraag of het hostobject kan worden gewijzigd: een systeemhost die niet rechtstreeks bewerkbaar is, is dus niet automatisch uitgesloten van groepen. Dynamische systeemhosts voor Remote Access-VPN blijven echter uitgesloten.

Er gelden drie belangrijke beperkingen:

  • IPv4- en IPv6-hosts mogen niet in dezelfde IP Host Group staan.
  • Een normale host kan lid zijn van meerdere groepen.
  • Een object van het type IP list kan niet aan een IP Host Group worden toegevoegd.

Voor een kleine IPv4-testgroep met de eerder gemaakte host_test_web:

  1. Open Hosts and services > IP host group en selecteer Add.
  2. Voer grp_test_servers in als Name; pas de naam aan het doel van de groep aan.
  3. Stel IP version in op IPv4, passend bij de bestaande testhost.
  4. Selecteer host_test_web via Add new item. Extra leden moeten hetzelfde doel en dezelfde IP-versie hebben.
  5. Sla op met Save.

Open de groep daarna opnieuw en controleer de IP-versie en de leden. Ontbreekt een gewenste host in de selectie, controleer dan eerst de IP-versie en het type; omzeil de uitsluiting van een IP list of een Remote Access-VPN-systeemhost niet met een onnodig breed vervangend object.

Groepen moeten één gezamenlijke betekenis hebben. Een verzamelgroep met servers, clients en tijdelijke uitzonderingen kan klikken besparen, maar maakt het later moeilijk te begrijpen waarom een regel toegang toestaat.

Systeem- en interfacehosts begrijpen

De IP-hostlijst toont fysieke interfaces, inclusief extra FleXi-Port-modules, en zelf aangemaakte virtuele interfaces. Onder Address details staan het adres en het netwerkmasker uit Network > Interfaces. Vergelijk bij een onverwachte waarde eerst deze interfaceconfiguratie met de weergave; het automatisch bijgehouden hostobject is niet de plaats om een adres te wijzigen.

SFOS maakt verschillende hostobjecten automatisch aan. Deze objecten mogen niet als normale Custom Hosts worden nagemaakt of op de verkeerde plaats worden gewijzigd:

  • Interface Hosts volgen de IP-configuratie onder Network > Interfaces en worden daar gewijzigd. Zones en interfaces in Sophos Firewall legt de relatie tussen aansluiting, zone en regel uit.
  • Als een extra adres volgens het provider- en netwerkontwerp lokaal aan een fysieke interface moet zijn gekoppeld, configureer het dan als alias-IP aan de fysieke interface. Biedt een NAT-veld de bijbehorende Interface Host niet aan, maak dan tevens een duidelijk benoemde Custom IP Host met dit adres. Dezelfde naam gebruiken is slechts een handige conventie, geen technische vereiste.
  • ##WWAN1 wordt gemaakt wanneer Cellular WAN wordt ingeschakeld, gebruikt het IP-adres van de WWAN-interface en wordt dynamisch bijgehouden.
  • ##ALL_SSLVPN_RW, ##ALL_SSLVPN_RW6, ##ALL_IPSEC_RW en ##ALL_RW stellen dynamische Remote Access-hosts voor.
  • ##ALL_SSLVPN_RW bevat de IP-adressen die de firewall toewijst aan tot stand gebrachte Remote Access-SSL-VPN-verbindingen met Sophos Connect. ##ALL_IPSEC_RW bevat de toegewezen adressen voor de overeenkomstige IPsec-verbindingen. ##ALL_RW combineert de toegewezen adressen van beide verbindingstypen; SFOS voegt ze dynamisch toe wanneer de verbindingen tot stand komen.
  • Andere System Hosts kunnen niet als eigen objecten worden gewijzigd of verwijderd.

De dynamische Remote Access-hosts kunnen niet aan een andere IP Host Group worden toegevoegd. Physical Interface Hosts zijn niet beschikbaar in bepaalde NAT-velden, waaronder Translated source en Translated destination. In dat geval kan een afzonderlijke IP-host met hetzelfde adres nodig zijn. De naam moet de relatie met de interface duidelijk aangeven, zodat het object niet als een onafhankelijk adres wordt gezien.

Voor interne hosts in het aliassubnet moet SFOS de standaardgateway zijn. Fungeert een upstreamapparaat als gateway voor verkeer van Sophos Firewall, dan heeft dat apparaat een IP-adres uit elk betrokken aliassubnet nodig. Na vervanging van een firewall kunnen verouderde ARP-records op upstreamapparaten het alias-IP tijdelijk onbereikbaar maken. Controleer en vernieuw dan eerst hun ARP-cache, in plaats van de NAT-regel onnodig ruimer te maken.

Voor uitgaande internet-SD-WAN-routes adviseert Sophos bovendien Internet IPv4 group of de opgenomen standaardhosts als bestemming te gebruiken in plaats van Any. Zo blijft de route beperkt tot openbare IPv4-bestemmingen en komt intern verkeer niet alleen door een te breed bestemmingsobject op hetzelfde pad terecht.

In tegenstelling tot niet-bewerkbare systeemhosts kunnen de standaardinternethosts worden gewijzigd en verwijderd. Vernieuw eerst Object Usage zoals hieronder beschreven en controleer afhankelijke regels en SD-WAN-routes. Deze uitzondering geldt voor internethosts, niet voor dynamische VPN/WWAN-systeemhosts; interfaceadressen worden nog steeds onder Network > Interfaces gewijzigd.

MAC hosts gebruiken voor direct zichtbare apparaten

Een MAC host beschrijft een apparaat op Layer 2 en kan één adres of een lijst bevatten. Dit past alleen waar de firewall het werkelijke bron-MAC-adres ziet. Achter een router, VPN of NAT ziet de firewall normaal het MAC-adres van de next hop en niet dat van de oorspronkelijke client. Voor gerouteerde regels is een IP host of netwerk daarom meestal het stabielere object.

Onder Hosts and services > MAC host > Add krijgt het object een duidelijke naam en het type MAC address of MAC list. Het adres kan met dubbele punten worden geschreven, zoals 00:16:76:49:33:CE, of met koppeltekens, zoals 00-16-76-49-33-CE; meerdere vermeldingen worden met komma’s gescheiden. Een MAC list ondersteunt maximaal 1.000 MAC-adressen.

Een MAC host is geen apparaatidentiteit. Een MAC-adres kan worden gekopieerd of vervalst en kan veranderen door dockingstations, virtuele machines of privé-Wi-Fi-adressen. Het object is geschikt als beperkt overeenstemmingscriterium in een gecontroleerd segment, maar niet als enige authenticatie of beveiligingsgrens.

Voorbeeld: een niet-webflow blokkeren op bron-MAC

Dit voorbeeld voor SFOS 22/23 blokkeert een nieuwe IPv4-iPerf3-TCP-flow van een direct zichtbaar LAN-testapparaat naar een gecontroleerde WAN-testserver. Het is geen procedure om alle internettoegang te blokkeren: HTTP/HTTPS en Web Exceptions vallen buiten deze test. Controleer eerst met Packet Capture op de inkomende interface het werkelijke bron-MAC-adres van het apparaat. Is alleen een upstreamrouter zichtbaar, dan is deze regel ongeschikt; een LAN-poort op een switch bewijst op zichzelf geen Layer 2-zichtbaarheid. Controleer vóór de wijziging de bereikbaarheid van de WAN-testserver en TCP-poort 5201. Daar moet daadwerkelijk iPerf3 draaien, geen webdienst.

  1. Voer onder Hosts and services > MAC host > Add mac_test_client in als Name, MAC address als Type en 02:00:00:00:00:10 als MAC address, en sla op met Save. De naam en het lokaal beheerde unicastadres zijn voorbeelden; vervang het adres door het geverifieerde apparaat-MAC-adres.
  2. Open Rules and policies > Firewall rules, kies IPv4 en maak drop_mac_test_wan via Add firewall rule > New firewall rule. Stel Action in op Drop en schakel Log firewall traffic in.
  3. Stel Source zones in op LAN, Source networks and devices op mac_test_client en Destination zones op WAN. Kies onder Destination networks de IP Host van de eigen WAN-testserver en onder Services svc_iperf3_tcp; maak deze TCP-dienst met Destination Port 5201 zoals beschreven in de volgende sectie. Zo blijven bestemming en niet-webtestdienst nauw begrensd. Any is voor dit voorbeeld niet nodig.
  4. Stel During scheduled time voor een permanente blokkering in op All the time, of kies anders het passende schema. Plaats de regel boven regels die dezelfde flow anders eerder zouden toestaan, zonder bewuste uitzonderingen met hogere prioriteit te verdringen. Top is geen universele vereiste. Rule group kan None blijven; een groep vervangt geen correcte positie. Sla op met Save en controleer de werkelijke volgorde.

Start daarna vanaf het testapparaat een nieuwe iPerf3-TCP-verbindingspoging naar dezelfde WAN-testserver op poort 5201, geen UDP- of browsertest. In Log Viewer moeten Drop en de Rule ID van deze blokkeerregel bij de flow passen. Test dezelfde niet-webflow vanaf een tweede, niet-geblokkeerd apparaat: deze moet nog steeds de bedoelde Allow-regel treffen. Gebruik voor beide tests nieuwe verbindingen, geen bestaande sessies. Ontbreekt de verwachte match, controleer dan het bron-MAC-adres in Packet Capture, zones, IP-versie, schema, bestemmings-/dienstbereik en eerdere regels.

Deze controle toont alleen de geteste flows aan, geen algemene web- of internetblokkering. IPv6, andere bestemmingszones, bestemmingen en diensten vallen erbuiten en vereisen eigen configuratie en tests. Schakel voor terugdraaien uitsluitend de nieuwe blokkeerregel uit en controleer met een nieuwe iPerf3-TCP-flow de eerder toegestane toestand. Het hierboven beschreven spoofing- en identiteitsrisico blijft bestaan.

Een dienst met de juiste Destination Port maken

Controleer vóór het maken van een nieuwe dienst of er al een passende standaarddienst bestaat. Een Custom Service is nuttig wanneer een toepassing een andere poort of een bijzondere protocolcombinatie nodig heeft.

Het volgende voorbeeld maakt de TCP-dienst voor iPerf3:

  1. Open Hosts and services > Services en selecteer Add.
  2. Voer svc_iperf3_tcp in als Name.
  3. Stel Type in op TCP/UDP en Protocol op TCP.
  4. Laat de standaard Source Port 1:65535 ongewijzigd.
  5. Voer 5201 in als Destination Port.
  6. Sla op met Save.

De client kiest zijn Source Port normaal gesproken dynamisch. Als de dienst deze ook tot 5201 zou beperken, past een normale verbinding niet meer. De vaste serverpoort hoort daarom bij Destination Port. Een beperkte Source Port is alleen juist wanneer het protocol dit uitdrukkelijk vereist en werkelijk verkeer dit bevestigt.

Voor een iPerf3-UDP-test wordt ook svc_iperf3_udp aangemaakt met protocol UDP en Destination Port 5201. Omdat iPerf3 voor de UDP-test nog steeds een TCP-besturingsverbinding gebruikt, worden beide diensten samengevoegd:

  1. Open Hosts and services > Service group en selecteer Add.
  2. Voer grp_iperf3 in als Name.
  3. Selecteer svc_iperf3_tcp en svc_iperf3_udp.
  4. Sla op met Save.

De volledige meetprocedure staat in iPerf3-speedtest via Sophos Firewall.

Een Service Group kan standaard- en Custom Services combineren, en een dienst kan lid zijn van meerdere groepen. Services en Service Groups maken geen onderscheid tussen IPv4 en IPv6; de IP-versie wordt bepaald door de hostobjecten en de regelcontext. Standaard Service Groups kunnen niet worden gewijzigd of verwijderd, dus voor een eigen combinatie wordt een nieuwe groep gemaakt.

Ook vooraf gedefinieerde diensten en diensten die al in Security Policies worden gebruikt, kunnen niet worden gewijzigd of verwijderd. Omzeil een afhankelijkheid niet, maar maak de benodigde Custom Service, vervang het oude object gecontroleerd in de afhankelijke Policies en controleer daarna de bijgewerkte Usage-weergave.

IP, ICMP en ICMPv6

Naast TCP en UDP kan een Custom Service een IP-protocolnummer of ICMP-/ICMPv6-typen en -codes beschrijven. Deze typen zijn bedoeld voor protocollen die geen TCP- of UDP-poort gebruiken. Waarden moeten uit de technische documentatie van de toepassing komen en niet na één mislukte test worden geraden.

Geef voor een dienst van het type IP onder Hosts and services > Services > Add een passende Name op, stel Type in op IP, selecteer het benodigde protocolnummer en sla op met Save. Het gaat om het nummer van het IP-protocol, niet om een TCP-/UDP-bestemmingspoort. Open de dienst daarna opnieuw en vergelijk het nummer met de vereisten van de toepassing; controleer bij een test met een strikt begrensde regel het daadwerkelijk waargenomen protocol in Packet Capture. Ontbreekt de verwachte match, controleer dan eerst het protocol en het bereik van de regel, in plaats van uit te wijken naar Any.

Onder Hosts and services > Services > Add kan een dienst meerdere vermeldingen van hetzelfde geselecteerde type bevatten. Kies voor ICMP of ICMPv6 eerst het benodigde type/code-paar, voeg met Add meer paren toe en verwijder onnodige vermeldingen met Remove. Controleer daarna alle vermeldingen en sla op met Save. Zo worden meerdere benodigde ICMP-berichten in één dienst beschreven zonder alle typen zonder onderscheid toe te staan. De afzonderlijke TCP/UDP-diensten en de Service Group uit het iPerf3-voorbeeld blijven een duidelijk alternatief wanneer diensten afzonderlijk moeten worden hergebruikt.

Versienotitie over de API-documentatie: In de opgeslagen Sophos-API-tabel ‘Add Service / Update Service’ voor SFOS 22 staat in de kolom Mandatory bij zowel ICMPType als ICMPv6Type No; voor SFOS 23 staat bij beide Yes. Dit zijn aanduidingen in de API-documentatie, geen bewijs van een wijziging in de GUI of het runtimegedrag. Ze betreffen de ICMP-/ICMPv6-velden en mogen niet worden opgevat als een verplichting om beide protocolfamilies aan TCP-/UDP-/IP-diensten toe te voegen. De pagina definieert geen voorwaardelijke regel voor wanneer deze velden mogen worden weggelaten; uit de aanduidingen volgen dus geen concrete instructies voor payloads of validatie.

Objecten in een firewallregel gebruiken

Een host- of dienstobject staat op zichzelf geen verkeer toe. Het wordt pas actief als matchcriterium in een regel. Een beperkt voorbeeld kan er zo uitzien:

  • Source zones: LAN
  • Source networks and devices: net_test_branch
  • Destination zones: DMZ
  • Destination networks: host_test_web
  • Services: HTTPS
  • Log firewall traffic: ingeschakeld

Pas zones, adressen en dienst aan het werkelijke netwerk aan. Antwoordverkeer van een toegestane toestandsgebonden verbinding wordt automatisch teruggestuurd. Deze regel staat echter geen onafhankelijke nieuwe verbindingen van de DMZ naar het LAN toe. Een NAT-regel alleen geeft evenmin toestemming; daarvoor blijft een passende firewallregel nodig.

SFOS controleert firewallregels van boven naar beneden en stopt bij de eerste overeenkomst. Plaats de nieuwe, specifieke regel daarom boven een bredere regel die dezelfde flow anders als eerste zou verwerken. Sophos Firewall-regels begrijpen en veilig configureren legt de volgorde, beveiligingsfuncties en tests uit.

Controleer na het opslaan een echte verbindingspoging in de Log Viewer. Isoleer de juiste flow met filters voor het testadres, de poort en de regel en controleer in de detailweergave Rule ID, Source, Destination en Service. Zo kan een verkeerd gedefinieerd object worden onderscheiden van verkeer dat door een andere regel wordt verwerkt. Wordt een verbinding verbroken zonder dat de firewall een Destroy-event herkent, dan kan de afsluitende sessieregistratie ontbreken; Packet Capture en Live Connections bieden dan een betere tegencontrole.

Object Usage vóór wijzigingen vernieuwen

Een object kan worden gebruikt in firewall- en NAT-regels, VPN’s, SD-WAN-routes of andere configuraties. Controleer daarom eerst de afhankelijkheden voordat het object wordt gewijzigd of verwijderd.

De kolom Usage in de objectlijst toont het bekende aantal verwijzingen. Deze teller wordt automatisch slechts eenmaal per dag bijgewerkt. Vóór een wijziging:

  1. Selecteer Refresh naast Usage.
  2. Open de bijgewerkte teller van het betrokken object.
  3. Klap de categorieën uit en controleer elke afhankelijke regel of Policy.
  4. Beslis pas daarna of het object kan worden gewijzigd, vervangen of verwijderd.

Niet elke afhankelijkheid kan rechtstreeks vanuit de Usage-weergave worden gewijzigd. Sommige afhankelijkheden, waaronder WAN-gateways en CLI-configuraties, moeten afzonderlijk op de aangegeven configuratieplaats worden geopend. Een teller van nul is pas na een handmatige Refresh een betrouwbare basis.

Bestaande objecten vinden en gericht beheren

De lijsten onder Hosts and services > IP host, IP host group, MAC host, Services en Service group kunnen worden doorzocht op de kenmerken van de betreffende objecten. Zoek vóór het maken van een nieuw object niet alleen op de gewenste naam, maar ook op de benodigde adres- of protocol-/poortwaarden, voor zover die van toepassing zijn op het objecttype. Zo valt een al passend object met een andere naam op. Zoek het object na het opslaan opnieuw op en controleer de waarden of groepsleden.

Custom IP Hosts en IP Host Groups kunnen worden toegevoegd, gewijzigd en verwijderd; eigen Service Groups kunnen eveneens worden gewijzigd, hernoemd, aangevuld met diensten of verwijderd. Vernieuw altijd eerst Object Usage. Een groepswijziging heeft invloed op alle regels die deze groep gebruiken, niet alleen op de toepassing die op dat moment wordt bewerkt. Leg vooraf de bestaande waarden en leden vast en controleer daarna de betrokken verbindingen met nieuwe sessies. Is het bereik onjuist, draai de wijziging dan gecontroleerd terug en test opnieuw. De hierboven beschreven beperkingen voor System Hosts, standaard Service Groups en beschermde diensten blijven gelden.

Objecten veilig beheren

Veelvoorkomende fouten vermijden

  • Host in plaats van Network: Een afzonderlijk IP-adres omvat niet automatisch het bijbehorende subnet.
  • Verkeerd netwerkadres of masker: Bij een Network-object moeten netwerkadres en prefix overeenkomen met de werkelijke segmentatie.
  • Source Port beperkt: Bij normale client-serververbindingen blijft 1:65535 staan; de Destination Port wordt beperkt.
  • Te veel Any: Een nauwkeurig hostobject verliest zijn beveiligingswaarde als de bron of dienst onnodig breed blijft.
  • Systeemobject gedupliceerd: SFOS beheert interface- en Remote Access-hosts; deze mogen niet zonder concrete reden worden gekopieerd.
  • IP list als Threat Feed: Een IP list blijft statisch en vervangt geen automatisch bijgewerkte dreigingsindicatoren.
  • Afhankelijkheden niet vernieuwd: Selecteer vóór het wijzigen of verwijderen van een object altijd Refresh in Object Usage.

Beschrijvende voorvoegsels zoals host_, net_, range_, svc_ en grp_ zijn geen technische vereiste, maar maken zoeken en beoordeling eenvoudiger. Belangrijker dan het concrete schema is het consequente gebruik van namen, doelen en bereiken in de volledige regelset.

De objectvoorraad klein en inzichtelijk houden

SFOS ondersteunt maximaal 16.000 hosts verdeeld over alle hosttypen. Dat is een platformlimiet, geen planningsdoel. Voor het dagelijkse beheer is een kleinere, begrijpelijke objectbasis waardevoller dan veel nauwelijks te onderscheiden items. Vervang of verwijder overbodige objecten uitsluitend gecontroleerd en nadat hun Usage is vernieuwd en beoordeeld.