Naar de inhoud
Avanet

LINCE-modus op Sophos Firewall begrijpen en inschakelen

Sophos Firewall

Sophos Firewall biedt onder SFOS 22 een LINCE-modus. Deze beperkt de beschikbare cryptografische algoritmen en wijzigt onder andere het gedrag van SSH. Sophos documenteert geen Factory Reset zoals bij de FIPS-modus; het direct gedocumenteerde effect is dat de SSH-service opnieuw start en bestaande SSH-sessies worden verbroken.

Het belangrijkste punt komt vóór elk commando: Een ingeschakelde LINCE-modus is niet automatisch een certificeringsbewijs voor de geïnstalleerde SFOS-build. De actuele Sophos-help voor SFOS 22 noemt expliciet SFOS 20.0 MR1 en MR2 als LINCE-gecertificeerd. Voor formele certificering zijn daarom ook het certificaat en de exacte product-, versie- en platformscope nodig.

De veilige volgorde is kort:

  1. Leg de compliance-eis en certificeringsscope schriftelijk vast.
  2. Documenteer de SFOS-build, het platform, de HA-status en het huidige SSH-gebruik.
  3. Test de backup, een onafhankelijke WebAdmin- of consoletoegang en het herstelpad.
  4. Controleer SSH-sleutels en clients aan de hand van de LINCE-algoritmen.
  5. Schakel bij HA de modus in op beide apparaten terwijl ze nog standalone zijn.
  6. Voer system certification lince enable uit en wacht op de SSH-herstart.
  7. Test beheerstoegang, sleutelauthenticatie, VPN’s, syslog en backup opnieuw.

⚠️ Waarschuwing: Het commando verbreekt bestaande SSH-verbindingen. Schakel de modus niet vanuit een actieve SSH-sessie in zonder werkende WebAdmin- of lokale consoletoegang en zonder compatibele SSH-sleutel.

LINCE-modus en LINCE-certificering zijn niet hetzelfde

LINCE is een Spaanse publieke beveiligingscertificering voor IT-producten. De modus op de firewall activeert de door Sophos gedocumenteerde cryptografische beperkingen. Een certificering geldt echter alleen voor de productversie en evaluatiescope die in het certificaat staan.

De actuele SFOS 22-help documenteert de LINCE-modus, maar noemt alleen SFOS 20.0 MR1 en MR2 als LINCE-gecertificeerd. Hieruit kan niet worden afgeleid dat SFOS 22 formeel gecertificeerd wordt door alleen de modus in te schakelen.

Houd voor een audit of aanbesteding minimaal deze bewijzen gescheiden:

  • exact firewalltype en SFOS-build
  • ingeschakelde LINCE-modus als technische systeeminstelling
  • officieel certificaat met versie, platform en scope
  • gedocumenteerde configuratie en controle van de betrokken services

Als voor de doelversie geen passend certificaat bestaat, moet het complianceteam of Sophos het toegestane migratiepad bevestigen. Een zichtbare modus of beperkte algoritmelijst vervangt deze goedkeuring niet.

Wat cryptografisch verandert

Sophos noemt de volgende toegestane algoritmen voor de LINCE-modus:

KexAlgorithms:
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521

Encryption:
aes128-gcm@openssh.com
aes256-gcm@openssh.com

Public key authentication:
hmac-sha2-256
hmac-sha2-512

Server host key algorithms:
rsa-sha2-512
rsa-sha2-256
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521

De namen tonen waarom voorbereiding belangrijk is: oude SSH-clients, oude publieke sleutels of automatiseringssystemen vinden na inschakeling mogelijk geen gemeenschappelijke combinatie meer. Inventariseer daarom eerst alle administratieve SSH-toegang, monitoringscripts en backupautomatisering. Een werkende WebAdmin-login bewijst niet dat public-key-authenticatie ook werkt.

LINCE is ook niet hetzelfde als FIPS 140-3 op Sophos Firewall. FIPS heeft andere platform-, algoritme- en HA-grenzen en veroorzaakt bij inschakeling een Factory Reset. Verwissel de twee modi niet in terminologie of in een migratieplan.

De inschakeling voorbereiden

Vóór het onderhoudsvenster moet een betrouwbaar herstelpad klaarstaan. Dit omvat een actuele versleutelde backup, het backupwachtwoord en de Secure Storage Master Key die bij het maken actief was. WebAdmin of de lokale console moet bovendien functioneren zonder afhankelijk te zijn van de SSH-verbinding die zo wordt verbroken.

Documenteer voor de technische inventarisatie:

  • SFOS-versie en build
  • standalone- of HA-status en de rol van elk apparaat
  • gebruikte SSH-clients, publieke sleutels en automatiseringsaccounts
  • VPN-peers en onderhandelde cryptografische waarden
  • TLS-syslogcollector en de certificaatnamen ervan
  • backupdoel, hersteldoel en huidige LINCE-status

Vervang bij public-key-authenticatie de bestaande sleutel niet uit voorzorg. Controleer eerst het sleuteltype, de clientondersteuning en alternatieve beheerstoegang. Via SSH met Sophos Firewall verbinden legt de normale toegang uit; voor de LINCE-wijziging blijft de lokale console het veiligste onafhankelijke herstelpad.

LINCE inschakelen op een standalone firewall

Schakel de modus in de CLI in met:

system certification lince enable

Na bevestiging start de SSH-service opnieuw. Het beëindigen van de actieve SSH-sessie is daarom verwacht en op zichzelf geen fout. Herstart de firewall niet meteen en stuur geen verdere commando’s via een tweede parallelle SSH-sessie.

Maak een nieuwe verbinding zodra de service weer gereed is. Test niet alleen gebruikersnaam en wachtwoord. Bij public-key-authenticatie moet exact de bedoelde sleutel werken. Test daarna WebAdmin, API-automatisering en elk systeem dat SSH gebruikt voor backup of beheer.

Een succesvolle nieuwe SSH-sessie bevestigt het beheerpad, maar nog niet alle effecten van de modus. Voer ook een productieachtige VPN-test en een TLS-syslogtest uit. Voor syslogtransport in LINCE-modus accepteert SFOS de Common Name of Subject Alternative Name voor naamvergelijking; de volledige configuratie staat in Syslog en SIEM koppelen.

Status controleren en LINCE weer uitschakelen

Lees de huidige status voordat over een moduswijziging wordt beslist:

system certification lince show

Device Console biedt ook de opdracht om de modus uit te schakelen:

system certification lince disable

Dit is geen ongeplande noodrollback. Bij actieve HA is een wijziging in beide richtingen geblokkeerd. De uitgebreide LINCE-help beschrijft ook niet wat er direct bij het uitschakelen gebeurt en garandeert met name geen ononderbroken SSH-werking. Daarom vereist ook disable onafhankelijke beheerstoegang, een actuele backup, compatibele SSH-clients en policies en een onderhoudsvenster. Maak daarna een nieuwe sessie, voer show uit, test SSH, API, VPN en TLS-syslog en controleer de systeemlogs. De bevestigde vorige toestand blijft het rollbackplan.

HA vereist de juiste volgorde

Schakel voor een nieuw HA-cluster eerst LINCE in op beide firewalls terwijl ze nog standalone zijn. Bouw HA pas op wanneer beide apparaten dezelfde modus gebruiken en afzonderlijk bereikbaar zijn.

Sinds SFOS 21.5 MR1 kan LINCE niet meer worden in- of uitgeschakeld nadat het cluster is opgebouwd. Een spontane wijziging op één node van een bestaand HA-cluster is daarom geen geldige test. Plan eerst de clusterwijziging, het onderhoudsvenster en het herstel.

De volledige HA-procedure legt rollen, licenties, synchronisatie en controle uit. LINCE volgt een ander model dan FIPS: bij LINCE worden beide standalone apparaten vóór HA gelijkgezet; bij FIPS schakelt de voorbereide Primary de modus later op de Auxiliary in.

Backup, herstel en firmware begrijpen

Op een compatibele firewall neemt een herstel de LINCE-status van de backup over. Bevat de backup LINCE, dan wordt de modus ingeschakeld; bevat deze geen LINCE, dan blijft de modus uitgeschakeld. Op een versie zonder LINCE-ondersteuning is de modus niet beschikbaar.

HA voegt een harde voorwaarde toe: de backup en beide doelapparaten moeten dezelfde LINCE-status hebben. Zo niet, dan wordt het herstel geweigerd. Leg de status samen met SFOS-build, model, HA-rol, backupwachtwoord en SSMK vast in het herstelprotocol.

Sophos Firewall backup en herstel legt uit hoe compatibiliteit en de Secure Storage Master Key worden gecontroleerd. Een backup is alleen een herstelpad wanneer het geplande doelapparaat en de LINCE-status het herstel daadwerkelijk toestaan.

Sophos documenteert ook een beperkte firmwarecase: als LINCE na een migratie of upgrade wordt ingeschakeld, kan worden teruggerold naar de vorige versie waarop LINCE uitgeschakeld was, zolang de configuratie daarvan nog beschikbaar is. Dit is geen algemene garantie voor elke downgrade. Upgradepad, ondersteunde versie, configuratiecompatibiliteit en certificeringsscope moeten nog steeds afzonderlijk worden gecontroleerd.

Controleren na inschakeling

Een degelijke controle combineert technische werking met het formele doel:

  1. Leg de exacte SFOS-build en het tijdstip vast.
  2. Test nieuwe WebAdmin- en SSH-logins via de bedoelde beheerpaden.
  3. Test public-key-toegang met de productieclient en -sleutel.
  4. Controleer VPN’s met echt bidirectioneel applicatieverkeer.
  5. Controleer TLS-syslog op verbinding, naamvalidatie en nieuwe gebeurtenissen.
  6. Controleer bij HA beide nodes afzonderlijk voordat het cluster wordt opgebouwd.
  7. Maak een nieuwe backup en documenteer de herstelcompatibiliteit.
  8. Vergelijk het certificaat en de evaluatiescope met de gebruikte build.

Het resultaat moet expliciet onderscheid maken tussen modus ingeschakeld, services operationeel en formele certificering bewezen. Deze uitspraken zijn niet onderling uitwisselbaar.

Fouten veilig afbakenen

SSH-verbinding eindigt direct na het commando

Dit is verwacht omdat de SSH-service opnieuw start. Controleer via het eerder geteste WebAdmin- of consolepad of de firewall normaal werkt. Maak pas daarna een nieuwe SSH-verbinding.

Public-key-login werkt niet meer

Vergelijk key exchange, encryptie, MAC en Host Key-algoritme van de client met de gedocumenteerde LINCE-set. Vervang tijdens de storing niet blind de serversleutel of alle clients. Als geen gemeenschappelijke combinatie bestaat, keer dan terug via de onafhankelijke toegang en corrigeer het migratieplan.

LINCE kan niet worden gewijzigd in het HA-cluster

Dit is vanaf SFOS 21.5 MR1 de gedocumenteerde productgrens. Probeer de nodes niet met ongedocumenteerde commando’s los te koppelen. Plan eerst backup, beheerstoegang, onderbreking en de volledige herbouw van het cluster.

HA-herstel wordt geweigerd

Vergelijk de LINCE-status van de backup en beide doelapparaten. Controleer ook model, SFOS-versie, SSMK en de normale herstelgrenzen. Omzeil een modusverschil niet met een spontane firmwarewijziging of een ongecontroleerde tweede backup.

Een auditor vraagt certificeringsbewijs voor SFOS 22

Alleen de ingeschakelde modus is niet voldoende. Omdat de actuele Sophos-pagina expliciet alleen SFOS 20.0 MR1 en MR2 als gecertificeerd noemt, moet Sophos of de verantwoordelijke compliance-instantie geldig bewijs voor de concrete doelversie leveren. Claim tot die tijd geen formele LINCE-certificering voor SFOS 22.

FAQ

Voert het inschakelen van LINCE een Factory Reset uit?

Sophos documenteert voor het LINCE-commando een herstart van de SSH-service en verbreking van bestaande SSH-sessies, maar geen Factory Reset. De Factory Reset hoort bij het inschakelen van de FIPS-modus en mag niet op LINCE worden toegepast.

Kan LINCE later in een HA-cluster worden ingeschakeld?

Nee. Sinds SFOS 21.5 MR1 kan LINCE niet worden in- of uitgeschakeld zolang HA bestaat. Beide apparaten moeten als standalone firewalls dezelfde status krijgen voordat HA wordt opgebouwd.

Is SFOS 22 officieel LINCE-gecertificeerd wanneer LINCE-modus is ingeschakeld?

Dat kan niet uit de modus worden afgeleid. De actuele SFOS 22-help noemt expliciet alleen SFOS 20.0 MR1 en MR2 als gecertificeerd. Voor SFOS 22 is afzonderlijk bewijs nodig dat past bij de concrete build en implementatiescope.