Naar de inhoud
Avanet

IP-hosts, services en groepen in Sophos Firewall correct gebruiken

Sophos Firewall

IP-hosts en services geven adressen, netwerken en poorten een begrijpelijke naam. Een firewallregel laat daardoor direct zien welke bron met welke bestemming en service mag communiceren.

De belangrijke keuze is de juiste omvang: één adres wordt als IP aangemaakt, een subnet als Network, een aaneengesloten adresbereik als IP range en een kleine verzameling afzonderlijke adressen als IP list. Bij TCP en UDP beschrijft een service normaal gesproken de vaste Destination Port; de dynamische Source Port blijft ongewijzigd.

Het juiste hostobject kiezen

Onder Hosts and services > IP host zijn vier typen beschikbaar:

  • IP: precies één IPv4- of IPv6-adres, bijvoorbeeld een server, printer of beheersysteem.
  • Network: een volledig subnet met netwerkmasker, bijvoorbeeld 198.51.100.0/24.
  • IP range: een aaneengesloten bereik, bijvoorbeeld 203.0.113.10 tot 203.0.113.20.
  • IP list: meerdere afzonderlijke, niet-aaneengesloten adressen. Een lijst ondersteunt maximaal 800 IP-adressen en kan geen lid van een IP Host Group zijn.

Een FQDN Host past beter wanneer het bestemmingsadres verandert en er een stabiele DNS-naam bestaat. Resolutie, wildcards en beperkingen worden uitgelegd in FQDN Hosts en Wildcard FQDNs correct gebruiken.

Als algemene regel geldt: gebruik het kleinste stabiele object dat het benodigde verkeer volledig beschrijft. Een object van het type IP omvat slechts één adres en is te beperkt voor een volledig subnet; een /24-netwerk zou onnodig breed zijn voor één server.

Een IP-host stap voor stap maken

Het volgende voorbeeld stelt één testserver voor:

  1. Open Hosts and services > IP host en selecteer Add.
  2. Voer host_test_web in als Name.
  3. Stel IP version in op IPv4.
  4. Selecteer IP als Type.
  5. Voer 192.0.2.10 in bij IP address.
  6. Sla op met Save.

De volgende adressen uit 192.0.2.0/24, 198.51.100.0/24 en 203.0.113.0/24 zijn gereserveerd voor documentatievoorbeelden. In een productieconfiguratie worden alle namen, adressen en netwerkgroottes vervangen door waarden uit het werkelijke netwerk.

Network, range en IP list

De velden veranderen met het geselecteerde type:

  • Network: net_test_branch met 198.51.100.0 en /24 stelt het volledige testnetwerk voor. Voer het netwerkadres in, niet het adres van de gateway.
  • IP range: range_test_admins van 203.0.113.10 tot 203.0.113.20 stelt een aaneengesloten pool voor.
  • IP list: list_test_hosts kan bijvoorbeeld 192.0.2.10,198.51.100.20 bevatten. De lijst is geschikt voor enkele vaste afzonderlijke adressen, niet voor continu veranderende Indicators of Compromise.

Voor dynamisch onderhouden schadelijke IP-adressen, domeinen of URL’s zijn Threat Feeds in Sophos Firewall de geschiktere functie. Een handmatige IP list wordt niet automatisch bijgewerkt.

IP Host Groups

Onder Hosts and services > IP host group kunnen hosts met hetzelfde functionele doel worden samengevoegd. Een groep kan bijvoorbeeld alle toegestane beheersystemen bevatten en daarna in meerdere regels worden gebruikt.

Er gelden drie belangrijke beperkingen:

  • IPv4- en IPv6-hosts mogen niet in dezelfde IP Host Group staan.
  • Een normale host kan lid zijn van meerdere groepen.
  • Een object van het type IP list kan niet aan een IP Host Group worden toegevoegd.

Groepen moeten één gezamenlijke betekenis hebben. Een verzamelgroep met servers, clients en tijdelijke uitzonderingen kan klikken besparen, maar maakt het later moeilijk te begrijpen waarom een regel toegang toestaat.

Systeem- en interfacehosts begrijpen

SFOS maakt verschillende hostobjecten automatisch aan. Deze objecten mogen niet als normale Custom Hosts worden nagemaakt of op de verkeerde plaats worden gewijzigd:

  • Interface Hosts volgen de IP-configuratie onder Network > Interfaces en worden daar gewijzigd. Zones en interfaces in Sophos Firewall legt de relatie tussen aansluiting, zone en regel uit.
  • ##WWAN1 wordt dynamisch bijgehouden voor de Cellular WAN-interface.
  • ##ALL_SSLVPN_RW, ##ALL_SSLVPN_RW6, ##ALL_IPSEC_RW en ##ALL_RW stellen dynamische Remote Access-hosts voor.
  • Andere System Hosts kunnen niet als eigen objecten worden gewijzigd of verwijderd.

De dynamische Remote Access-hosts kunnen niet aan een andere IP Host Group worden toegevoegd. Physical Interface Hosts zijn niet beschikbaar in bepaalde NAT-velden, waaronder Translated source en Translated destination. In dat geval kan een afzonderlijke IP-host met hetzelfde adres nodig zijn. De naam moet de relatie met de interface duidelijk aangeven, zodat het object niet als een onafhankelijk adres wordt gezien.

Een service met de juiste Destination Port maken

Controleer vóór het maken van een nieuwe service of er al een passende standaardservice bestaat, zoals HTTP, HTTPS, DNS of NTP. Een Custom Service is nuttig wanneer een toepassing een andere poort of een bijzondere protocolcombinatie nodig heeft.

Het volgende voorbeeld maakt de TCP-service voor iPerf3:

  1. Open Hosts and services > Services en selecteer Add.
  2. Voer svc_iperf3_tcp in als Name.
  3. Stel Type in op TCP/UDP en Protocol op TCP.
  4. Laat de standaard Source Port 1:65535 ongewijzigd.
  5. Voer 5201 in als Destination Port.
  6. Sla op met Save.

De client kiest zijn Source Port normaal gesproken dynamisch. Als de service deze ook tot 5201 zou beperken, past een normale verbinding niet meer. De vaste serverpoort hoort daarom bij Destination Port. Een beperkte Source Port is alleen juist wanneer het protocol dit uitdrukkelijk vereist en werkelijk verkeer dit bevestigt.

Voor een iPerf3-UDP-test wordt ook svc_iperf3_udp aangemaakt met protocol UDP en Destination Port 5201. Omdat iPerf3 voor de UDP-test nog steeds een TCP-besturingsverbinding gebruikt, worden beide services samengevoegd:

  1. Open Hosts and services > Service group en selecteer Add.
  2. Voer grp_iperf3 in als Name.
  3. Selecteer svc_iperf3_tcp en svc_iperf3_udp.
  4. Sla op met Save.

De volledige meetprocedure staat in iPerf3-speedtest via Sophos Firewall.

IP, ICMP en ICMPv6

Naast TCP en UDP kan een Custom Service een IP-protocolnummer of ICMP-/ICMPv6-typen en -codes beschrijven. Deze typen zijn bedoeld voor protocollen die geen TCP- of UDP-poort gebruiken. Waarden moeten uit de technische documentatie van de toepassing komen en niet na één mislukte test worden geraden.

Objecten in een firewallregel gebruiken

Een host- of serviceobject staat op zichzelf geen verkeer toe. Het wordt pas actief als matchcriterium in een regel. Een beperkt voorbeeld kan er zo uitzien:

  • Source zones: LAN
  • Source networks and devices: net_test_branch
  • Destination zones: DMZ
  • Destination networks: host_test_web
  • Services: HTTPS
  • Log firewall traffic: ingeschakeld

Pas zones, adressen en service aan het werkelijke netwerk aan. Antwoordverkeer van een toegestane stateful verbinding wordt automatisch teruggestuurd. Deze regel staat echter geen onafhankelijke nieuwe verbindingen van de DMZ naar het LAN toe. Sophos Firewall-regels begrijpen en veilig configureren legt de volgorde, beveiligingsfuncties en tests uit.

Controleer na het opslaan een echte verbindingspoging in de Log Viewer. De verwachte Rule ID, Source IP, Destination IP en Destination Port moeten zichtbaar zijn. Zo kan een verkeerd gedefinieerd object worden onderscheiden van verkeer dat door een andere regel wordt verwerkt.

Object Usage vóór wijzigingen vernieuwen

Een object kan worden gebruikt in firewall- en NAT-regels, VPN’s, SD-WAN-routes of andere configuraties. Controleer daarom eerst de afhankelijkheden voordat het object wordt gewijzigd of verwijderd.

De kolom Usage in de objectlijst toont het bekende aantal verwijzingen. Deze teller wordt automatisch slechts eenmaal per dag bijgewerkt. Vóór een wijziging:

  1. Selecteer Refresh naast Usage.
  2. Open de bijgewerkte teller van het betrokken object.
  3. Klap de categorieën uit en controleer elke afhankelijke regel of Policy.
  4. Beslis pas daarna of het object kan worden gewijzigd, vervangen of verwijderd.

Niet elke afhankelijkheid kan rechtstreeks vanuit de Usage-weergave worden gewijzigd. Sommige afhankelijkheden, waaronder WAN gateways en CLI-configuraties, moeten afzonderlijk op de aangegeven configuratieplaats worden geopend. Een teller van nul is pas na een handmatige Refresh een betrouwbare basis.

Veelvoorkomende fouten vermijden

  • Host in plaats van Network: Een afzonderlijk IP-adres omvat niet automatisch het bijbehorende subnet.
  • Verkeerd netwerkadres of masker: Bij een Network-object moeten netwerkadres en prefix overeenkomen met de werkelijke segmentatie.
  • Source Port beperkt: Bij normale client-serververbindingen blijft 1:65535 staan; de Destination Port wordt beperkt.
  • Te veel Any: Een nauwkeurig hostobject verliest zijn beveiligingswaarde als de bron of service onnodig breed blijft.
  • Systeemobject gedupliceerd: SFOS beheert interface- en Remote Access-hosts; deze mogen niet zonder concrete reden worden gekopieerd.
  • IP list als Threat Feed: Een IP list blijft statisch en vervangt geen automatisch bijgewerkte dreigingsindicatoren.
  • Afhankelijkheden niet vernieuwd: Selecteer vóór het wijzigen of verwijderen van een object altijd Refresh in Object Usage.

Beschrijvende voorvoegsels zoals host_, net_, range_, svc_ en grp_ zijn geen technische vereiste, maar maken zoeken en review eenvoudiger. Belangrijker dan het concrete schema is het consequente gebruik van namen, doelen en bereiken in de volledige regelset.

SFOS ondersteunt maximaal 16.000 hosts verdeeld over alle hosttypen. Voor het dagelijkse beheer is een kleinere, begrijpelijke objectbasis nog steeds waardevoller dan veel vrijwel identieke items. Verwijder ongebruikte objecten gecontroleerd nadat hun Usage is vernieuwd en beoordeeld.