Niet-standaardpoorten inspecteren met Sophos Firewall

Sophos Firewall inspecteert HTTP, HTTPS, FTP, SMTP/S, POP en IMAP op de standaardpoorten. Als een toepassing een van deze protocollen op een andere poort gebruikt, kan service-param de protocolinspectie naar die poort uitbreiden.

De opdracht is geen algemene poortopener. Ze maakt geen serviceobject of firewallregel aan en activeert evenmin een web-, TLS- of mailpolicy. Voor werkelijke inspectie moeten de regelmatch, toegestane doelpoort en verantwoordelijke inspectieroute op elkaar aansluiten. Voor nieuwe webregels wordt eerst bepaald of de flow door de DPI Engine of Web Proxy wordt verwerkt.

⚠️ service-param is een globale toewijzing. Een extra poort heeft niet alleen invloed op één host of firewallregel. Leg vóór de wijziging bestaand gebruik van de poort, betrokken policies en een uitvoerbare rollback vast.

Kies eerst het inspectiepad

Een extra doelpoort en de inspectie van die flow zijn twee afzonderlijke beslissingen. Onder Hosts and services > Services bepaalt een TCP-serviceobject welke doelpoort met een firewallregel overeenkomt. Laat bij het aanmaken onder Hosts and services > Services > Add Source port normaal op 1:65535 staan, omdat toepassingen hun bronpoort dynamisch kiezen. Het object schakelt op zichzelf geen inhoudsinspectie in.

Voor webverkeer is service-param in SFOS 22 meestal niet de eerste stap:

De DPI Engine detecteert HTTP en SSL/TLS op alle poorten. Een HTTPS-portal op TCP 8443 heeft daarom een overeenkomende service in de firewallregel, de bedoelde webpolicy en passende scaninstellingen nodig. Als ontsleuteling vereist is, moet ook een regel onder Rules and policies > SSL/TLS inspection rules overeenkomen. Deze regels detecteren TLS op iedere TCP-poort en beoordelen bron, bestemming, gebruiker, service en websitecriteria gezamenlijk.
Met Use web proxy instead of DPI engine verwerkt de Transparent Web Proxy alleen HTTP op poort 80 en HTTPS op poort 443. HTTP- en TLS-verkeer op andere poorten blijft bij de DPI Engine. service-param is daarom geen manier om de transparante proxy algemeen naar extra poorten uit te breiden.
Met de Direct Web Proxy maakt de client verbinding met de listener die onder Web > General settings > Web proxy configuration is ingesteld. Dit expliciete proxypad werkt ongeacht of Use web proxy instead of DPI engine in een firewallregel is geselecteerd.

IPS is eveneens een afzonderlijk pad. Intrusion prevention > IPS policies moet globaal zijn ingeschakeld, er moet een actief Network Protection-abonnement of een proeflicentie zijn en de bedoelde IPS-policy moet in de overeenkomende firewallregel zijn ingesteld. service-param activeert IPS niet en toont niet of een signature de flow heeft herkend. Correleer daarvoor Firewall Rule ID en het IPS-event in Log Viewer.

Daarmee is service-param vooral relevant wanneer de door Sophos gedocumenteerde protocolspecifieke service een extra poort moet verwerken, bijvoorbeeld FTP of een mailprotocol. Voor alleen DPI-web- of TLS-inspectie wordt in plaats daarvan het regelpad correct geconfigureerd.

Wanneer service-param geschikt is

De opdracht is geschikt wanneer een bekende toepassing werkelijk HTTP, HTTPS, FTP, SMTP, SMTPS, POP of IMAP op een niet-standaard TCP-poort gebruikt, controle van het inspectiepad niet al tot de DPI-oplossing heeft geleid en de protocolspecifieke service dat verkeer moet verwerken. Typische voorbeelden zijn FTP op TCP 2121 of een afgestemde SMTP-configuratie op TCP 2525.

Een open TCP-poort bewijst niet dat het verwachte protocol wordt gebruikt. Als op 8443 propriëtair binair verkeer loopt, kan een toewijzing aan HTTPS verbindingen verstoren in plaats van bescherming toevoegen. Controleer bij webverkeer ook of de DPI Engine het protocol al detecteert of dat werkelijk een proxyservicepoort moet worden toegevoegd. Maak bij mailverkeer onderscheid tussen SMTP met STARTTLS en SMTPS met TLS vanaf het begin van de verbinding. Bij gebruik van Mail Protection in MTA-modus volgt het verkeer een ander pad dat door de MTA wordt gerouteerd.

service-param is niet geschikt wanneer alleen een firewallregel een extra doelpoort moet toestaan. Maak onder Hosts and services > Services een passend TCP-serviceobject en gebruik dit in de firewallregel. Voeg de inspectietoewijzing pas toe wanneer de verantwoordelijke proxy- of mailservice ook de niet-standaardpoort moet verwerken.

De beginsituatie in Device Console vastleggen

De opdracht wordt uitgevoerd via 4. Device Console. Vóór iedere wijziging toont de volgende opdracht de bestaande servicepoorten en andere globale waarden:

show service-param

Leg de volledige uitvoer vast met SFOS-build, tijdstip en changereferentie. Controleer vooral of de gewenste poort al aan een andere service is toegewezen. Wijs dezelfde poort niet op basis van een vermoeden tegelijk toe aan HTTP, HTTPS, SMTP en SMTPS.

Sophos documenteert voor SFOS 22 deze servicenamen:

FTP
HTTP
HTTPS
IMAP
POP
SMTP
SMTPS
IM_MSN
IM_YAHOO

IM_MSN en IM_YAHOO zijn legacylabels in de CLI. Ze vormen geen uitgangspunt voor een nieuw instant-messagingontwerp. Nieuwe toepassingen worden beschermd met firewallregels, Application Control, TLS Inspection en de daadwerkelijk ondersteunde protocoldetectie.

Een extra poort toevoegen

De gedocumenteerde basissyntaxis voor de ondersteunde services is:

set service-param <service> add port <portID>
set service-param <service> delete port <portID>

Voor een bevestigde SMTP-verbinding op TCP 2525 ziet een gecontroleerde pilot er bijvoorbeeld zo uit:

show service-param
set service-param SMTP add port 2525
show service-param

Dit voorbeeld geldt voor transparante mailproxy-inspectie in Legacy mode. De firewallregel heeft daarnaast een service nodig die TCP 2525 als doelpoort toestaat; selecteer SMTP onder Scan email content en configureer een passende mailpolicy. Stel vóór de wijziging vast dat de poort SMTP vervoert en of STARTTLS wordt gebruikt. Alleen een geslaagde TCP-verbinding of mailbezorging bewijst geen inhoudsinspectie. Wijzig in MTA mode niet de automatisch aangemaakte MTA-firewallregel voor deze pilot.

De tijdelijke aanduiding portID in de Sophos-syntaxis wordt in Device Console gebruikt met de concrete poortwaarde. Voeg een poort pas toe nadat een Packet Capture of de documentatie van de toepassing protocol en doelpoort heeft bevestigd.

Globale speciale opties niet met een poorttest mengen

Voor HTTPS vermeldt Sophos ook deny_unknown_proto on|off en invalid-certificate allow|block. SMTPS beschikt eveneens over invalid-certificate allow|block. SMTP heeft verdere globale opties voor Failure Notifications, Fast ISP Mode, Notification Port en Strict Protocol Check.

Deze waarden lossen een ander probleem op dan add port en worden niet tijdens dezelfde poortpilot gewijzigd. Met name invalid-certificate allow kan certificaatfouten globaal tolereren, terwijl deny_unknown_proto en strict-protocol-check de verwerking van niet-conforme verbindingen veranderen. Een geslaagde verbinding na meerdere gelijktijdige wijzigingen is moeilijk toe te wijzen en kan de bescherming ongemerkt verminderen.

De officiële syntaxis bevat ook:

set service-param HTTPS deny_unknown_proto <on|off>
set service-param HTTPS invalid-certificate <allow|block>
set service-param SMTPS invalid-certificate <allow|block>
set service-param SMTP failure_notification <on|off>
set service-param SMTP fast-isp-mode <on|off>
set service-param SMTP notification-port add port <portID>
set service-param SMTP strict-protocol-check <on|off>

Beoordeel vóór zo’n globale wijziging afzonderlijk de exacte bestaande uitvoer, betrokken afzenders of webtoepassingen, beveiligingsimpact en aanwijzingen van support. Dit artikel presenteert deze opdrachten daarom niet als aanbevolen standaardwaarden.

Het effect met een echte flow controleren

De test begint met precies één pilotbron en een gelogde firewallregel. Gebruik vóór en na de wijziging dezelfde bestemming, doelpoort en een nieuwe verbinding. In Log Viewer moeten Firewall Rule ID, web- of mailactie en tijdstip bij de pilot horen.

Controleer bij HTTPS ook de certificaatuitgever, TLS-handshake en verwachte Block- of Allow-actie. Als malwarescanning onderdeel van het ontwerp is, volgt een gecontroleerde EICAR-test over precies deze poort. EICAR bevestigt alleen het normale antiviruspad, niet iedere TLS-, policy- of ML-functie. Gebruik voor SMTP, SMTPS, POP en IMAP een duidelijk herkenbaar testbericht en volg dit in Mail Logs, Quarantine en waar van toepassing Mail Spool.

Een Packet Capture bevestigt dat de client werkelijk de bedoelde doelpoort gebruikt. Als alleen het Firewall Log Allow toont, is nog niet bewezen dat de achterliggende proxy- of mailservice de inhoud heeft geïnspecteerd. Sophos Firewall-regels gecontroleerd testen combineert regelmatching, Log Viewer en Packet Capture.

De poorttoewijzing terugdraaien

De rollback verwijdert alleen de tijdens de change toegevoegde poort uit de juiste service:

set service-param SMTP delete port 2525
show service-param

Bouw daarna dezelfde testflow opnieuw op. De verbinding moet terugkeren naar de gedocumenteerde beginsituatie. Tijdelijke firewallservicepermissies, pilotregels en uitzonderingen worden afzonderlijk verwijderd; delete port verwijdert deze objecten niet.

Als het toevoegen van de poort mislukt, leg dan de fout en show service-param vast. Bepaal daarmee of de poort al als standaardpoort wordt behandeld of aan een andere service is toegewezen. Verwijder een bestaande invoer niet blind, want een ander inspectiepad kan ervan afhankelijk zijn.

Operationele checklist

Toepassing, protocol en werkelijke doelpoort zijn bevestigd.
show service-param en de SFOS-build zijn vóór de wijziging vastgelegd.
Firewallservice, regelmatch en inspectietoewijzing worden afzonderlijk behandeld.
De poort is niet al aan een conflicterende service toegewezen.
In de pilot verandert alleen add port, niet een globale certificaat- of protocoloptie.
Positieve test, negatieve test, inspectielog en Packet Capture zijn voorbereid.
De passende opdracht delete port en het ongewijzigde terugvalpad staan klaar.

FAQ

Opent service-param de extra poort in de firewall?

Nee. De opdracht wijst een poort toe aan een inspectieservice. Een passend serviceobject en een firewallregel moeten het verkeer nog steeds uitdrukkelijk toestaan. De verantwoordelijke web-, TLS- of mailpolicy blijft eveneens een afzonderlijke voorwaarde.

Kan dezelfde poort tegelijk aan SMTP en SMTPS worden toegewezen?

Doe dit niet op basis van een vermoeden. SMTP met STARTTLS en SMTPS met TLS vanaf het begin van de verbinding zijn verschillende protocolpaden. Bepaal eerst met de toepassingsdocumentatie, een Capture en show service-param welke service de poort werkelijk nodig heeft en of er al een toewijzing bestaat.