Niet-standaardpoorten inspecteren met Sophos Firewall

Sophos Firewall inspecteert HTTP, HTTPS, FTP, SMTP/S, POP en IMAP op de standaardpoorten. Als een toepassing een van deze protocollen op een andere poort gebruikt, kan service-param die poort aanvullend aan de klassieke inspectieservice toewijzen.

De opdracht is geen algemene poortopener. Ze maakt geen serviceobject of firewallregel aan en activeert evenmin een web-, TLS- of mailpolicy. Voor werkelijke inspectie moeten de regelmatch, toegestane doelpoort en verantwoordelijke inspectieroute op elkaar aansluiten. Voor nieuwe webregels wordt eerst bepaald of de flow door de DPI Engine of Web Proxy wordt verwerkt.

⚠️ service-param is een globale toewijzing. Een extra poort heeft niet alleen invloed op één host of firewallregel. Leg vóór de wijziging bestaand gebruik van de poort, betrokken policies en een uitvoerbare rollback vast.

Wanneer service-param geschikt is

De opdracht is geschikt wanneer een bekende toepassing werkelijk HTTP, HTTPS, FTP, SMTP, SMTPS, POP of IMAP op een niet-standaard TCP-poort gebruikt en de bijbehorende klassieke service dat verkeer moet inspecteren. Typische voorbeelden zijn een intern HTTPS-portal op poort 8443 of een expliciete mailconfiguratie op een extra poort.

Een open TCP-poort bewijst niet dat het verwachte protocol wordt gebruikt. Als op 8443 propriëtair binair verkeer loopt, kan een toewijzing aan HTTPS verbindingen verstoren in plaats van bescherming toevoegen. Controleer bij webverkeer ook of de DPI Engine het protocol al detecteert of dat werkelijk een proxyservicepoort moet worden toegevoegd. Maak bij mailverkeer onderscheid tussen SMTP met STARTTLS en SMTPS met TLS vanaf het begin van de verbinding. Mail Protection in MTA-modus beschrijft het eigenlijke mailpad.

service-param is niet geschikt wanneer alleen een firewallregel een extra doelpoort moet toestaan. Maak onder Hosts and services > Services een passend TCP-serviceobject en gebruik dit in de firewallregel. Voeg de inspectietoewijzing pas toe wanneer de verantwoordelijke proxy- of mailservice ook de niet-standaardpoort moet verwerken.

De beginsituatie in Device Console vastleggen

De opdracht wordt uitgevoerd via 4. Device Console. Vóór iedere wijziging toont de volgende opdracht de bestaande servicepoorten en andere globale waarden:

show service-param

Leg de volledige uitvoer vast met SFOS-build, tijdstip en changereferentie. Controleer vooral of de gewenste poort al aan een andere service is toegewezen. Wijs dezelfde poort niet op basis van een vermoeden tegelijk toe aan HTTP, HTTPS, SMTP en SMTPS.

Sophos documenteert voor SFOS 22 deze servicenamen:

FTP
HTTP
HTTPS
IMAP
POP
SMTP
SMTPS
IM_MSN
IM_YAHOO

IM_MSN en IM_YAHOO zijn legacylabels in de CLI. Ze vormen geen uitgangspunt voor een nieuw instant-messagingontwerp. Nieuwe toepassingen worden beschermd met firewallregels, Application Control, TLS Inspection en de daadwerkelijk ondersteunde protocoldetectie.

Een extra poort toevoegen

De gedocumenteerde basissyntaxis voor de ondersteunde services is:

set service-param <service> add port <portID>
set service-param <service> delete port <portID>

Voor een bevestigd HTTPS-portal op TCP 8443 ziet een gecontroleerde pilot er bijvoorbeeld zo uit:

show service-param
set service-param HTTPS add port 8443
show service-param

De firewallregel heeft daarnaast een service nodig die TCP 8443 als doelpoort toestaat. Voor HTTPS moet duidelijk zijn welk inspectiepad ontsleutelt, welk certificaat wordt verwacht en of de toepassing Certificate Pinning gebruikt. Een zichtbare webpagina bewijst noch ontsleuteling noch malwarescanning.

De tijdelijke aanduiding portID in de Sophos-syntaxis wordt in Device Console gebruikt met de concrete poortwaarde. Voeg een poort pas toe nadat een Packet Capture of de documentatie van de toepassing protocol en doelpoort heeft bevestigd.

Globale speciale opties niet met een poorttest mengen

Voor HTTPS vermeldt Sophos ook deny_unknown_proto on|off en invalid-certificate allow|block. SMTPS beschikt eveneens over invalid-certificate allow|block. SMTP heeft verdere globale opties voor Failure Notifications, Fast ISP Mode, Notification Port en Strict Protocol Check.

Deze waarden lossen een ander probleem op dan add port en worden niet tijdens dezelfde poortpilot gewijzigd. Met name invalid-certificate allow kan certificaatfouten globaal tolereren, terwijl deny_unknown_proto en strict-protocol-check de verwerking van niet-conforme verbindingen veranderen. Een geslaagde verbinding na meerdere gelijktijdige wijzigingen is moeilijk toe te wijzen en kan de bescherming ongemerkt verminderen.

De officiële syntaxis bevat ook:

set service-param HTTPS deny_unknown_proto <on|off>
set service-param HTTPS invalid-certificate <allow|block>
set service-param SMTPS invalid-certificate <allow|block>
set service-param SMTP failure_notification <on|off>
set service-param SMTP fast-isp-mode <on|off>
set service-param SMTP notification-port add port <portID>
set service-param SMTP strict-protocol-check <on|off>

Beoordeel vóór zo’n globale wijziging afzonderlijk de exacte bestaande uitvoer, betrokken afzenders of webtoepassingen, beveiligingsimpact en aanwijzingen van support. Dit artikel presenteert deze opdrachten daarom niet als aanbevolen standaardwaarden.

Het effect met een echte flow controleren

De test begint met precies één pilotbron en een gelogde firewallregel. Gebruik vóór en na de wijziging dezelfde bestemming, doelpoort en een nieuwe verbinding. In Log Viewer moeten Firewall Rule ID, web- of mailactie en tijdstip bij de pilot horen.

Controleer bij HTTPS ook de certificaatuitgever, TLS-handshake en verwachte Block- of Allow-actie. Als malwarescanning onderdeel van het ontwerp is, volgt een gecontroleerde EICAR-test over precies deze poort. EICAR bevestigt alleen het normale antiviruspad, niet iedere TLS-, policy- of ML-functie. Gebruik voor SMTP, SMTPS, POP en IMAP een duidelijk herkenbaar testbericht en volg dit in Mail Logs, Quarantine en waar van toepassing Mail Spool.

Een Packet Capture bevestigt dat de client werkelijk de bedoelde doelpoort gebruikt. Als alleen het Firewall Log Allow toont, is nog niet bewezen dat de achterliggende proxy- of mailservice de inhoud heeft geïnspecteerd. Sophos Firewall-regels gecontroleerd testen combineert regelmatching, Log Viewer en Packet Capture.

De poorttoewijzing terugdraaien

De rollback verwijdert alleen de tijdens de change toegevoegde poort uit de juiste service:

set service-param HTTPS delete port 8443
show service-param

Bouw daarna dezelfde testflow opnieuw op. De verbinding moet terugkeren naar de gedocumenteerde beginsituatie. Tijdelijke firewallservicepermissies, pilotregels en uitzonderingen worden afzonderlijk verwijderd; delete port verwijdert deze objecten niet.

Als het toevoegen van de poort al mislukt, leg dan de fout en show service-param vast. De poort wordt vaak al als standaardpoort behandeld of is aan een andere service toegewezen. Verwijder de bestaande invoer niet blind, want een ander inspectiepad kan ervan afhankelijk zijn.

Operationele checklist

• Toepassing, protocol en werkelijke doelpoort zijn bevestigd.
• show service-param en de SFOS-build zijn vóór de wijziging vastgelegd.
• Firewallservice, regelmatch en inspectietoewijzing worden afzonderlijk behandeld.
• De poort is niet al aan een conflicterende service toegewezen.
• In de pilot verandert alleen add port, niet een globale certificaat- of protocoloptie.
• Positieve test, negatieve test, inspectielog en Packet Capture zijn voorbereid.
• De passende opdracht delete port en het ongewijzigde terugvalpad staan klaar.

FAQ