L2TP Remote Access op Sophos Firewall instellen en testen

L2TP Remote Access is nog steeds beschikbaar op Sophos Firewall, maar zou niet automatisch de eerste keuze moeten zijn voor nieuwe beheerde endpoints. Sophos Connect met IPsec of SSL VPN is centraler te beheren en biedt het completere Sophos-clientpad. L2TP blijft nuttig wanneer een besturingssysteem zijn ingebouwde VPN-client moet gebruiken of wanneer een bestaande compatibele omgeving gecontroleerd moet worden voortgezet.

Beoordeling voor nieuwe omgevingen: De huidige SFOS 22-help documenteert L2TP nog steeds als een configureerbaar type externe toegang. Sophos heeft hiervoor geen openbare uitfaseringsaankondiging gepubliceerd. Dat biedt echter geen garantie op ondersteuning in een latere hoofdversie. Avanet raadt L2TP niet aan als nieuwe standaard voor beheerde clients. Implementeer geen nieuwe L2TP-toegang zonder een concrete legacy- of compatibiliteitsvereiste.

L2TP op zichzelf definieert de tunnel, niet de vereiste beveiliging. Op Sophos Firewall beschermt een IPsec-policy de verbinding. Het IPsec-profiel, de authenticatie, de preshared key of het certificaat en de clientconfiguratie moeten daarom op elkaar aansluiten. Een groene Active-status betekent bovendien alleen dat de policy is ingeschakeld; pas de Connection-status en werkelijk verkeer bevestigen de tunnel.

⚠️ De Route Precedence die Sophos voor L2TP vereist, plaatst vpn wereldwijd vóór Static en SD-WAN Policy Routes. Een nieuwe L2TP-policy met een wildcard-peer kan ook bestaande preshared keys beïnvloeden. Documenteer daarom vóór de wijziging de huidige volgorde, een onafhankelijk beheerpad en alle andere VPN-, Static- en SD-WAN-paden.

L2TP in acht stappen

1. Controleren of L2TP werkelijk nodig is en of client, IPsec-profiel en authenticatie bij elkaar passen.
2. Een niet-overlappende private lease-range, interne DNS-servers en een beperkte gebruikersgroep plannen.
3. Onder Remote access VPN > L2TP > L2TP global settings L2TP inschakelen en gebruikers toevoegen.
4. Een L2TP-policy maken met het passende IPsec-profiel, de WAN-poort, authenticatie en NAT Traversal.
5. Onder Administration > Device access de service IPsec voor de noodzakelijke WAN-bereikbaarheid toestaan.
6. De huidige Route Precedence vastleggen en vpn gecontroleerd op de eerste plaats zetten.
7. Een beperkte firewallregel met logging maken van de zone VPN naar de interne doelen die werkelijk nodig zijn.
8. Met een externe pilotclient authenticatie, lease-adres, DNS, regel, retourpad en een negatieve test valideren.

Wanneer L2TP past

L2TP kan nuttig zijn voor ingebouwde clients van een besturingssysteem of bestaande apparaten waarop Sophos Connect niet is voorzien. Het is ook een begrijpelijke keuze wanneer een kleine, al gedocumenteerde L2TP-omgeving zonder extra clientsoftware moet blijven functioneren.

Voor een nieuwe standaarduitrol is Sophos Connect met IPsec of SSL VPN meestal geschikter. Profieldistributie, clientdiagnose en het Sophos-specifieke supportpad zijn daar duidelijker. PPTP is geen modern alternatief: het protocol definieert zelf geen versleuteling en zou niet meer voor nieuwe Remote Access-verbindingen moeten worden gepland.

Vóór de configuratie moeten drie grenzen duidelijk zijn:

• L2TP gebruikt op Sophos Firewall één gedeelde globale adrespool en gemeenschappelijke DNS-instellingen voor alle L2TP-policies.
• Groepen die uit Active Directory of Microsoft Entra ID zijn geïmporteerd, worden niet automatisch voor L2TP ingeschakeld. Ze moeten expliciet via Add members worden toegevoegd.
• L2TP en PPTP houden bij de evaluatie van groepslidmaatschappen alleen rekening met de relevante Main Group. Een aanvullend groepslidmaatschap bewijst daarom op zichzelf nog geen autorisatie. Gebruikersgroepen en Main Group correct beheren legt de achtergrond uit.

Voorbeeld en voorbereiding

In het voorbeeld maakt een externe client verbinding met een intern applicatienetwerk. De waarden zijn bewust documentatiewaarden en moeten aan de eigen omgeving worden aangepast:

• L2TP-pool: 10.250.30.10 tot 10.250.30.100 binnen 10.250.30.0/24
• interne DNS-server: 10.10.10.10
• toegestane groep: L2TP_Users
• policynaam: L2TP_Remote_Access
• IPsec-profiel: DefaultL2TP als uitgangspunt voor de compatibiliteitstest
• intern doelnetwerk: 10.10.10.0/24
• voorbeeldservice: HTTPS

De range 10.250.30.0/24 is alleen een privaat voorbeeldnetwerk. Deze mag niet overlappen met LAN-, VLAN-, Site-to-Site- of thuisnetwerken en evenmin met lease-ranges van Remote Access IPsec, SSL VPN of PPTP. Sophos staat voor Assign IP from maximaal 254 adressen binnen een /24 of kleiner subnet toe.

Controleer vóór de start ook het volgende:

• Een passend IPsec-profiel is afgestemd op de instellingen die de ingebouwde client ondersteunt.
• Het publieke adres of de FQDN van de geselecteerde WAN-poort is vanaf de client bereikbaar.
• Systeemtijd, DNS en de certificaatketen zijn correct wanneer een certificaat wordt gebruikt.
• De gebruiker of groep bestaat en de juiste authenticatiemethode staat onder Authentication > Services > VPN (IPsec/dial-in/L2TP/PPTP) authentication methods.
• De huidige uitvoer van system route_precedence show en een bijbehorend rollbackcommando zijn gedocumenteerd.
• WebAdmin of de console blijft via een onafhankelijk beheerpad bereikbaar.

De authenticatiebron en de client moeten dezelfde methode ondersteunen: SFOS vermeldt PAP, CHAP of MSCHAPv2 voor Local en RADIUS, alleen PAP voor Active Directory en LDAP, en PAP of CHAP voor TACACS+. Controleer vóór de uitrol welke methode de bron en de ingebouwde client beide ondersteunen. De buitenste IPsec-beveiliging blijft voor L2TP verplicht; deze compatibiliteitsmatrix is geen aanbeveling voor PPTP of voor onbeveiligd gebruik van PAP.

Globale L2TP-instellingen configureren

Schakel onder Remote access VPN > L2TP > L2TP global settings de optie Enable L2TP in. Voer in dit voorbeeld bij Assign IP from 10.250.30.10 tot 10.250.30.100 in. Selecteer 10.10.10.10 als Primary DNS server wanneer deze server de interne namen kan omzetten. Stel secundaire DNS en WINS alleen in wanneer de omgeving die werkelijk nodig heeft.

De optie Allow leasing IP address from RADIUS server for L2TP, PPTP, and Sophos Connect client is alleen zinvol wanneer de RADIUS-server betrouwbaar een geschikt adres levert. Als deze geen adres retourneert, gebruikt de firewall eerst een statisch adres dat voor de gebruiker is geconfigureerd, of daarna de globale pool. Zowel RADIUS-toewijzing als het fallbackpad moeten daarom zonder overlap worden gepland. RADIUS op Sophos Firewall instellen beschrijft de serverconfiguratie.

Voeg vervolgens via Add members de groep L2TP_Users toe en controleer deze met Show members. Voor een directorygebruiker is een geslaagde groepsimport alleen niet voldoende. Een pilotgebruiker moet werkelijk lid zijn van de toegestane groep, en die groep moet als Main Group bij de L2TP-evaluatie worden gebruikt.

De L2TP-policy maken

Gebruik onder Remote access VPN > L2TP de knop Add om de policy L2TP_Remote_Access te maken.

Profiel en opstartgedrag

Selecteer onder Profile het IPsec-profiel dat bij de clients past. In het voorbeeld dient het bestaande profiel DefaultL2TP als uitgangspunt voor de compatibiliteitstest. De algoritmen en lifetimes moeten nog steeds worden vergeleken met de ondersteunde clientwaarden; een naam met Default is geen blijvende beveiligingsgarantie. De twee waarden van Gateway type hebben verschillende operationele gevolgen:

• Respond only houdt de policy na een herstart gereed zodat deze inkomende aanvragen kan beantwoorden.
• Disable laat de policy inactief totdat deze handmatig via de Active-status wordt ingeschakeld.

Voor een productieve Remote Access-service is Respond only meestal het begrijpelijke uitgangspunt. Controleer deze keuze expliciet na een herstart van firewall of service, zodat activering en verbindingsstatus niet met elkaar worden verward.

Authenticatie en preshared key

De beschikbare waarden voor Authentication type zijn Preshared key en Digital certificate. Certificaten vermijden een gedeelde PSK, maar vereisen een volledig geplande vertrouwensketen en passende clientondersteuning. Een PSK moet lang en willekeurig zijn, via een apart kanaal worden overgebracht en gecontroleerd worden vernieuwd.

Sophos gebruikt de laatst geconfigureerde PSK voor alle verbindingen met dezelfde luisterinterface en dezelfde remote peer. Bij Remote Access staat Remote host doorgaans op *. Een nieuwe of gewijzigde wildcard-policy kan daardoor de PSK van bestaande Remote Access-configuraties vervangen. Controleer vóór het opslaan alle policies die dezelfde WAN-poort en wildcard-gateway gebruiken.

Definieer bij een PSK overeenkomende waarden voor Local ID en Remote ID. Het ID-type DER ASN1DN (X.509) wordt niet geaccepteerd voor PSK. De ID’s moeten overeenkomen met de ingebouwde client en mogen niet voor het gemak op willekeurige waarden worden ingesteld.

WAN-poort, peer en selectors

Selecteer onder Local WAN port de WAN-poort die werkelijk bereikbaar is. Stel Remote host voor clients met wisselende adressen in op de wildcardwaarde *. Schakel Allow NAT traversal in wanneer clients zich achter NAT bevinden, wat normaal is op thuis-, mobiele en hotelnetwerken.

Voor de gebruikelijke Remote Access-workflow gebruikt het Sophos-voorbeeld Remote subnet: Any, Local port: 1701 en Remote port: *. 1701 is de L2TP-poort op de firewall; de clientpoort kan variëren. Deze waarden zijn tunnelselectors en vervangen geen firewallregel. De latere toegang blijft beperkt tot concrete zones, doelen en services.

Met Disconnect when tunnel is idle kan de firewall inactieve clients na de onder Idle session time interval opgegeven periode verbreken. Pas de waarde aan het werkelijke werkpatroon aan en test deze met realistische pauzes. Een te korte periode veroorzaakt onnodige nieuwe verbindingen; zonder limiet kunnen vergeten sessies langer actief blijven.

Schakel na Save de policy in via het rode pictogram in de kolom Active. Groen onder Active betekent nog niet dat een client verbonden is. De afzonderlijke Connection-status toont of de tunnel werkelijk tot stand is gekomen.

Bereikbaarheid, routing en firewallregel

IPsec op WAN toestaan

Onder Administration > Device access moet IPsec voor de noodzakelijke WAN-bereikbaarheid zijn toegestaan. Voer deze toestemming zo beperkt uit als de topologie toelaat. Een sterke PSK of een certificaat rechtvaardigt geen onnodig brede toegang tot WebAdmin, User Portal of SSH. Device Access en Local Service ACL legt de scheiding tussen servicebereikbaarheid en gebruikersautorisatie uit.

Route Precedence gecontroleerd instellen

Sophos vereist voor L2TP dat VPN-routes vóór Static en SD-WAN Policy Routes worden geëvalueerd. Leg eerst de uitgangssituatie vast in de Device Console:

system route_precedence show

Stel vervolgens de gedocumenteerde L2TP-volgorde in en controleer deze opnieuw:

system route_precedence set vpn static sdwan_policyroute
system route_precedence show

Deze wijziging is wereldwijd van kracht en vormt geen afzonderlijke schakelaar voor de nieuwe L2TP-policy. Test vóór en na de wijziging overlappende Static-, SD-WAN- en VPN-paden, evenals de beheertoegang. Route Precedence op Sophos Firewall aanpassen legt de werking en veilige rollback uit.

Toegang tot interne doelen toestaan

Maak onder Rules and policies > Firewall rules een IPv4-regel met logging. Het Sophos-voorbeeld met Any voor bron, bestemming en service is eenvoudig voor een eerste functionele controle, maar geen goede permanente beveiligingsstandaard. Dit voorbeeld is beperkter:

• Source zone: VPN
• Source network: de L2TP-pool 10.250.30.0/24 of een passend IP host-object
• Destination zone: de zone met het applicatienetwerk
• Destination network: 10.10.10.0/24 of bij voorkeur de benodigde servers
• Services: HTTPS of alleen de werkelijk benodigde services
• Log firewall traffic: ingeschakeld

Internetverkeer via de firewall vereist een afzonderlijke regel van VPN naar WAN en een bewust NAT- en beveiligingsontwerp. Deze toegang wordt niet automatisch aangemaakt alleen omdat de L2TP-tunnel actief is.

De verbinding valideren

Voer de validatie uit vanaf een werkelijk extern netwerk. Een test vanuit hetzelfde LAN of via een bestaand VPN-pad kan problemen met routing, NAT en publieke bereikbaarheid verhullen.

1. Verbinding maken met een bevoegde pilotgebruiker en de gedocumenteerde clientconfiguratie.
2. Onder Remote access VPN > L2TP de Active- en Connection-status afzonderlijk controleren.
3. Controleren of de client een adres van 10.250.30.10 tot 10.250.30.100 en de bedoelde DNS-servers ontvangt.
4. Een interne naam omzetten en via HTTPS een expliciet toegestaan doel bereiken.
5. In Log Viewer de verwachte Firewall Rule ID, het bron-IP uit de L2TP-pool, doel, service en action controleren.
6. Het retourpad van het doelnetwerk naar de L2TP-pool controleren en dezelfde toegang na een nieuwe verbinding herhalen.
7. Een negatieve test uitvoeren met een gebruiker die niet is toegevoegd; deze mag geen bruikbare tunnel krijgen.
8. Idle-gedrag, verbreken, opnieuw verbinden en bij HA een gecontroleerde failover met een nieuwe aanmelding testen.

Geslaagde authenticatie bewijst nog geen werkend datapad. Een groene tunnel bewijst evenmin dat DNS, regel, NAT en retourpad kloppen. Sophos Firewall-regels testen legt uit hoe bewijs uit Log Viewer en Packet Capture van elkaar wordt gescheiden.

Problemen systematisch oplossen

De policy is actief, maar de tunnel blijft down

Vergelijk eerst WAN-poort, publieke bereikbaarheid, IPsec onder Device Access, NAT Traversal, clientadres, PSK of certificaat, Local/Remote ID en IPsec-profiel. Controleer daarna of een recenter opgeslagen wildcard-policy de verwachte PSK heeft vervangen.

Gebruik voor de eerste scheiding l2tpd.log voor L2TP en strongswan.log of charon.log voor de IPsec-onderhandeling. Sophos Firewall-services en logbestanden bevat de volledige toewijzing. Correleer logs met het exacte tijdstip, de gebruiker, het publieke client-IP en de policynaam; een serviceherstart is niet de eerste diagnosestap.

Aanmelding mislukt of de gebruiker krijgt geen toegang

Controleer onder Authentication > Services de methode voor VPN (IPsec/dial-in/L2TP/PPTP) authentication methods. Controleer daarna of gebruiker of groep onder Add members staat en welke groep in het gebruikersobject als Main Group wordt weergegeven. Controleer bij RADIUS authenticatie en optionele leasetoewijzing bovendien afzonderlijk.

De tunnel is up, maar interne doelen zijn onbereikbaar

Controleer achtereenvolgens lease-adres, Route Precedence, Firewall Rule ID, doelroute en retourpad. Een brede SD-WAN-route of concurrerende Static Route kan het pad wijzigen. De L2TP-pool moet vanuit het interne netwerk bereikbaar zijn zonder dat een tweede identieke route of overlappend netwerk het retourpad overneemt.

Als Log Viewer Rule 0, een onverwachte Rule ID of geen passend item toont, bepaal dan eerst welke regel werkelijk matcht voordat iets naar Any wordt verruimd. Wanneer het uitgaande pakket zichtbaar is maar geen antwoord terugkomt, gaat de volgende controle naar de doelhost, diens gateway, lokale firewall of retourroute.

De verbinding is traag of instabiel

Controleer latency, packet loss, MTU of fragmentatie, WAN-wisselingen en CPU-belasting tijdens een reproduceerbare test. Eén SMB-overdracht is geen zuivere VPN-doorvoertest. Meerdere gecontroleerde TCP-streams in beide richtingen helpen tunnel, transport en applicatie van elkaar te onderscheiden.

Wanneer alleen L2TP-verbindingen instabiel zijn, vergelijk dan tijdstempels in l2tpd.log, de IPsec-logs, WAN-events en het clientlog. Wijzig profiel, MTU of idle time alleen afzonderlijk en in een onderhoudsvenster nadat een concreet verband is aangetoond.

Veilig terugrollen

Houd tijdens de rollback het onafhankelijke beheerpad open. Herstel eerst exact de opgeslagen Route Precedence en test beheer-, Static-, SD-WAN- en VPN-paden. Schakel daarna de L2TP-policy uit en bevestig met een pilotclient dat er geen productieafhankelijkheid meer bestaat.

Verwijder vervolgens de firewallregels en IPsec-toestemming wanneer geen andere service hiervan afhankelijk is. Verwijder pas daarna gebruikers uit Add members en schakel Enable L2TP uit. Zet de Preshared Key niet blind terug naar een eerdere waarde; controleer alle policies met dezelfde WAN-poort en wildcard-gateway gezamenlijk.

FAQ