Let's Encrypt-certificaten instellen op Sophos Firewall

De geïntegreerde Let’s Encrypt-functie in Sophos Firewall 22 vraagt ​​en vernieuwt certificaten voor openbare FQDN’s. Het maakt gebruik van HTTP-01 via IPv4. Voor elke validatie maakt de firewall een tijdelijke WAF-regel; Terwijl de validatie bezig is, zijn webapplicaties die door WAF-regels worden beschermd, niet beschikbaar via de firewall.

De getoonde configuratie- en toewijzingsstappen gelden voor SFOS 22. Het afwijkende vernieuwingsmoment in SFOS 23 wordt expliciet beschreven in het gedeelte over vernieuwing.

⚠️ Uitgifte en vernieuwing kunnen de dienstverlening dus onderbreken. Voer handmatig gestarte wijzigingen voor WAF-applicaties in productie uit in een gecontroleerd onderhoudsvenster en houd bij het beheer ook rekening met het versieafhankelijke moment van automatische vernieuwing. De hier vergeleken Sophos-pagina’s documenteren geen instelling waarmee dat automatische moment vrij kan worden ingepland. Tijdens de validatie mag poort 80 niet worden geblokkeerd of naar elders worden verzonden door DNAT, firewall, GeoIP of upstream-regels.

Snelle procedure

1. Zorg ervoor dat elke FQDN publiekelijk en consistent wereldwijd wordt omgezet naar het geselecteerde IPv4-adres.
2. Bevestig dat inkomende HTTP op poort 80 de firewall bereikt en dat er geen DNAT van toepassing is op dat adres en die poort.
3. Ga naar Certificates > Let’s Encrypt, lees de voorwaarden en klik op Register account.
4. Ga naar Certificates > Certificates, klik op Add, selecteer Request Let’s Encrypt certificate onder Action en voltooi Name, Domains en Hosted address.
5. Nadat u op Save heeft geklikt, wijst u het geldige certificaat toe aan de beoogde service en test u deze extern.
6. Controleer de vervaldatum, poort 80-pad en letsencrypt.log vóór de verlengingstermijn.

Gebruik en beperkingen

De integratie is geschikt voor services waarbij de firewall het certificaat presenteert, waaronder WAF, WebAdmin, User Portal, de browsergebaseerde VPN Portal, Captive Portal, SPX-portals en hotspot-aanmelding. Voor de rest van een WAF-publicatie, zie Sophos Firewall WAF: Webservers veilig publiceren.

Sophos documenteert deze limieten:

• Alleen openbare FQDN’s en IPv4 worden ondersteund.
• Validatie maakt gebruik van HTTP-01. Deze SFOS-integratie accepteert geen IP-adressen of wildcard-domeinen.
• Remote Access VPN, Site-to-Site VPN en de Chromebook SSO-authenticatieservice kunnen deze certificaten niet gebruiken. Het browsergebaseerde VPN Portal-certificaat is een aparte instelling.
• Voor SFOS 22 vermeldt Sophos een geldigheidsduur van 90 dagen en een vernieuwingsaanvraag wanneer er minder dan 30 dagen resteren. In SFOS 23 hangt vernieuwing daarentegen af van de werkelijke geldigheidsduur van het certificaat: de firewall vraagt vernieuwing aan zodra twee derde van die duur is verstreken. Zo past het moment zich aan wijzigingen in de geldigheidsduur van Let’s Encrypt-certificaten aan.
• Bestaande certificaten worden niet meer vernieuwd na Deregister account.

Sophos introduceerde de integratie met SFOS 21. Sophos Firewall v21: de belangrijkste vernieuwingen plaatst de oorspronkelijke functies in hun context.

Maak extern een wildcardcertificaat aan met DNS-01; zie Een Let’s Encrypt wildcard-certificaat maken. Certificaten beheren op Sophos Firewall omvat import, privésleutels en CA-ketens. IPv6-ondersteuning in Sophos Firewall 22 legt andere IPv6-grenzen uit.

Bereid DNS en het netwerkpad voor

Elke inzending onder Domains moet aan dezelfde voorwaarden voldoen:

• Het openbare DNS-record wordt omgezet naar het WAN IPv4-adres van de firewall of naar een adres dat poort 80 naar de firewall leidt.
• Alle openbare DNS-providers retourneren hetzelfde adres. Regioafhankelijke GeoDNS is niet geschikt voor deze workflow.
• Het DNS-record moet één IP-adres bevatten. Sophos staat alleen meerdere adressen toe als deze tot andere firewalls behoren die HTTP naar de aanvragende firewall routeren.
• Noch een firewallregel, noch een upstream-apparaat mag de inkomende poort 80 blokkeren. Dit omvat GeoIP-regels; Let’s Encrypt valideert uit veel landen en publiceert geen vaste validatiebronbereiken.
• Er mag geen DNAT van toepassing zijn op poort 80 op het WAN-adres van de firewall. Als een router eigenaar is van het openbare IP-adres vóór de firewall, moet die router in plaats daarvan poort 80 doorsturen naar de WAN-interface van de firewall.
• Een SD-WAN-route mag geen uitgaande HTTP verzenden via een apparaat dat toegang tot Let’s Encrypt verhindert.

Houd de klok gesynchroniseerd met NTP. Controleer DNS en poort 80 van buiten het lokale netwerk voordat u een certificaat aanvraagt; split DNS (verschillende DNS-antwoorden binnen en buiten het netwerk) of NAT-loopback kunnen een interne test misleidend maken.

Registreer of deregistreer het account

1. Open Certificates > Let’s Encrypt.
2. Lees de Subscriber Agreement en voorwaarden.
3. Klik op Register account.

Als u op de knop klikt, accepteert u de Subscriber Agreement. Als de voorwaarden veranderen, vereist SFOS opnieuw registratie. Zolang dit niet is bevestigd, kunnen er geen nieuwe certificaten worden aangemaakt en worden bestaande certificaten niet verlengd. Sophos stuurt een beheerdersmail en toont een Control Center-waarschuwing; configureer de e-mailbezorging onder Administration > Notification settings.

Deregister account beëindigt de registratie. Het verwijdert niet noodzakelijkerwijs elk bestaand certificaat, maar toekomstige verlengingen stoppen. Bevestig vervangende certificaten, opdrachten en vervaldata voordat u zich uitschrijft.

Vraag een certificaat aan

1. Open Certificates > Certificates en klik op Add.
2. Voor Action selecteert u Request Let’s Encrypt certificate.
3. Voer een unieke Name in, zoals leappexamplecom.
4. Voeg onder Domains elke vereiste FQDN toe, zoals app.example.com. Voer geen IP-adres of *.example.com in.
5. Selecteer onder Hosted address het openbare IPv4-adres van de WAN-interface waarnaar de domeinen worden omgezet.
6. Klik op Save en houd rekening met de WAF-storing.
7. Controleer onder Certificates > Certificates of het certificaat geldig en vertrouwd is en een plausibele Valid until-datum heeft.

Als een FQDN onjuist is, verwijdert u de mislukte aanvraag en maakt u deze opnieuw aan met de juiste naam. Herstel DNS en het poort 80-pad voordat u het opnieuw probeert, in plaats van herhaaldelijk hetzelfde ongeldige verzoek in te dienen.

Wijs het certificaat toe

Uitgifte alleen verandert een dienst niet. SFOS 22 documenteert deze opdrachten:

• WAF: Bewerk de WAF-regel onder Rules and policies > Firewall rules, schakel HTTPS in en selecteer het certificaat onder HTTPS certificate. De domeinen vullen de regel in. Als u een WAF-regel opslaat, worden alle beveiligingsregels voor webservers opnieuw gestart en worden hun liveverbindingen verbroken.
• WebAdmin-, User Portal-, VPN Portal-, Captive Portal- en SPX-portals: Ga naar Administration > Admin and user settings > Admin console and end-user interaction > Certificate en selecteer het certificaat voor de relevante service.
• Hotspot: Ga naar Wireless > Wireless settings > Hotspot settings, kies het onder Login page certificate en klik op Apply. Dit certificaat wordt gebruikt wanneer Redirect to HTTPS is ingeschakeld voor de hotspot.

Open vervolgens de echte FQDN van buitenaf. De certificaatnaam, SNI, WAF-domeinen en het daadwerkelijk geleverde certificaat moeten overeenkomen. Gebruik voor SMTP TLS of een andere functie alleen een certificaatkiezer die wordt weergegeven op de SFOS 22-pagina van die functie; bovenstaande portaaltoewijzingen zijn er niet automatisch op van toepassing.

Veilig toewijzen, verwijderen of terugdraaien

Noteer vóór de wijziging het vorige certificaat en alle betrokken toewijzingen, maak een actuele configuratieback-up en houd een extern testpad beschikbaar. Wijs het nieuwe certificaat waar mogelijk eerst aan één service toe en test die service met de echte FQDN. Als de test mislukt, selecteert u in dezelfde serviceconfiguratie opnieuw het vorige certificaat en bevestigt u met Save of Apply. Houd er bij WAF rekening mee dat hierdoor opnieuw alle Web Server Protection-regels worden herstart en actieve verbindingen worden verbroken.

Verwijder het vorige certificaat pas nadat elke betrokken service een externe test heeft doorstaan en duidelijk is wie vervaldatum en vernieuwing bewaakt. Wijzig vóór verwijdering elke bekende servicereferentie naar het nieuwe certificaat of een ander geldig certificaat. Beschouw het herstellen van een back-up als laatste terugvaloptie, niet als eerste: hierdoor wordt de volledige actieve configuratie vervangen en de firewall opnieuw gestart.

Verlenging, HA en back-up

Het vernieuwingsmoment hangt af van de SFOS-versie: SFOS 22 vraagt vernieuwing aan wanneer er minder dan 30 dagen resteren; SFOS 23 zodra twee derde van de werkelijke geldigheidsduur van het certificaat is verstreken. Controleer voor het beheer het specifieke certificaat en de geldigheidsperiode, in plaats van voor SFOS 23 uit te gaan van een vaste grens van 30 dagen. Beide versies hebben nog steeds het werkende DNS-, IPv4- en poort 80-pad van de eerste uitgifte nodig. Controleer het pad opnieuw na wijzigingen in DNS, provider, NAT, GeoIP, SD-WAN, WAF of firmware. Een momenteel geldig certificaat bewijst niet dat de volgende validatie zal werken.

Sophos beschrijft back-ups als gecodeerde kopieën van de gehele firewallconfiguratie. Maak een actuele back-up voordat het certificaat of de WAF worden gewijzigd. Als u deze herstelt, wordt de actieve configuratie vervangen en wordt de firewall opnieuw opgestart. Controleer dus de accountstatus, certificaten, servicetoewijzingen en externe levering achteraf.

Herstel in een HA-cluster een back-up op de huidige Primary, nooit op de Auxiliary. De Primary start zonder failover opnieuw op, waardoor zowel Active-Passive als Active-Active wordt onderbroken. Als de back-up de HA-configuratie bevat, synchroniseert de Primary daarna de herstelde configuratie met de Auxiliary.

⚠️ Herstel van een back-up zonder HA-configuratie schakelt HA uit. De officiële SFOS 22-pagina over HA-herstel spreekt zichzelf tegen over de Auxiliary: de lopende tekst zegt dat de vorige configuratie behouden blijft, terwijl de samenvatting een fabrieksreset beschrijft waarbij alleen de configuraties van de beheerpoort van de peer en de speciale HA-link behouden blijven. Neem geen van beide uitkomsten als zeker aan en vertrouw niet op behouden regels of instellingen van de Auxiliary als herstelroute. Bereid vóór dit herstel een goedgekeurd herstelplan voor, met back-ups en beheerstoegang tot beide apparaten die onafhankelijk van het HA-cluster beschikbaar zijn. Laat het gedrag voor de gebruikte SFOS-versie bevestigen door Sophos Support of in een uitdrukkelijk geautoriseerde testomgeving met dezelfde versie; voer deze herstelvariant niet uit zolang de uitkomst onduidelijk blijft.

Sophos documenteert op de Let’s Encrypt-pagina geen aanvullende accountspecifieke of vernieuwingslogica. Controleer daarom na herstel of een rolwisseling de certificaatstatus en voer een externe TLS-test uit in plaats van op aannames te vertrouwen.

Valideren en problemen oplossen

Controleer na uitgifte en elke verlenging:

• openbare DNS uit verschillende regio’s;
• de vermelding onder Certificates > Certificates;
• de betrokken dienst van buiten het LAN;
• FQDN, SAN’s, uitgever, vervaldatum en de volledige tussenliggende keten;
• Log viewer, plus tail -f /log/reverseproxy.log voor WAF;
• uitgifte- en verlengingsevenementen in letsencrypt.log.

Vanaf een externe beheerderscomputer toont deze alleen-lezen opdracht de certificaten die door de service zijn verzonden. Vervang app.example.com tweemaal door de echte FQDN:

openssl s_client -connect app.example.com:443 -servername app.example.com -showcerts </dev/null

De uitvoer moet het servercertificaat en de vereiste intermediate certificaten bevatten. De root trust anchor wordt normaal niet door de server meegestuurd. Een tweede controle gebruikt de truststore van die computer:

curl -Iv https://app.example.com/

Volg in de Advanced Shell het officiële Let’s Encrypt-logboek; stop de uitvoer met Ctrl+C:

tail -f /log/letsencrypt.log

Sophos vermeldt tail -f /log/vpncertificate.log voor algemene certificaatbewerkingen en tail -f /log/reverseproxy.log voor WAF. SFOS 22.0 MR2 Build 546 heeft ondersteuning toegevoegd voor YE Root, YE1, YE2, YR Root, YR1 en YR2. Als alleen oudere clientsystemen na vernieuwing problemen hebben, controleer dan hun truststores. Als de server een intermediate certificaat niet meestuurt, controleer dan eerst de firmware, de servicetoewijzing en de upstream-proxy’s en escaleer vervolgens naar Sophos Support met de testuitvoer.

Veelvoorkomende fouten kunnen als volgt worden beperkt:

• Verzoek mislukt onmiddellijk: Controleer de openbare FQDN, het wereldwijd consistente DNS-antwoord en de IPv4-bestemming.
• Poort 80 bereikt een ander systeem: Verwijder of corrigeer DNAT op de firewall; Als er een upstream-router is, controleer dan of deze naar de firewall wordt doorgestuurd.
• Fout is afhankelijk van regio: Controleer GeoIP- en providerfilters. Beperk de toegang niet tot veronderstelde Let’s Encrypt IP-lijsten.
• Fout na een routeringswijziging: Controleer de uitgaande HTTP SD-WAN-route.
• Oud certificaat wordt geserveerd: Controleer de servicetoewijzing en eventuele upstream load balancer of reverse proxy.
• Verlenging vindt niet plaats: Controleer de resterende geldigheid, registratie, gewijzigde voorwaarden en het ongewijzigde HTTP-01-pad.
• Een dynamisch IP-certificaat aangemaakt tijdens EAP wordt niet verlengd in GA: Verwijder dit specifieke certificaat en maak het opnieuw aan in de GA-build, zoals Sophos aangeeft.

Veelgestelde vragen