Sophos Firewall NetFlow configureren en testen

Met NetFlow stuurt de Sophos Firewall verbindingsmetadata naar een externe flowcollector. Daarmee kunnen communicatieverbanden, verkeersvolume en opvallende verbindingen over langere tijd worden geanalyseerd. De belangrijkste voorwaarde wordt gemakkelijk over het hoofd gezien: alleen verkeer uit firewallregels waarvoor Log firewall traffic is ingeschakeld, wordt geëxporteerd.

De korte aanpak is:

1. Op de collector een NetFlow-v5-listener voorbereiden, bijvoorbeeld op UDP 2055.
2. Onder System > Administration > Netflow de collector toevoegen.
3. In de betreffende firewallregel Log firewall traffic inschakelen.
4. Een duidelijk gedocumenteerde testflow genereren.
5. Het transport met Packet Capture en de inhoud op de collector afzonderlijk controleren.

Voor een betrouwbaar resultaat moeten drie zaken kloppen: de velden van versie 5, de firewallregel die werkelijk matcht en het netwerkpad naar de collector.

Wanneer NetFlow het juiste hulpmiddel is

NetFlow past wanneer een collector flowrecords van verbindingen die door gelogde regels zijn verwerkt, over langere tijd moet opslaan en analyseren. Typische vragen zijn: welke bron- en doeladressen communiceren met elkaar, welke poorten worden gebruikt en hoeveel pakketten of bytes horen bij de flow?

Andere hulpmiddelen beantwoorden andere vragen:

• sFlow Monitoring samplet verkeer en interfacecounters van geselecteerde hardware-interfaces. Dit is vooral geschikt voor verkeerspatronen en capaciteitsbewaking.
• Syslog naar een SIEM transporteert firewall-, VPN-, IPS- en andere logevents met productspecifieke velden.
• SNMP Hardware Monitoring bewaakt hardware, interfaces, temperatuur, ventilatoren en voedingen.
• Central Firewall Reporting biedt Sophos-eigen rapporten, zoekfuncties en retentie in Sophos Fusion (voorheen Sophos Central).
• Packet Capture blijft nauwkeuriger voor één pakketpad, NAT of een verbindingsprobleem.

NetFlow vervangt deze hulpmiddelen niet. Vaak laat de collector eerst een opvallende flow zien, waarna Log Viewer of Packet Capture verklaart welke regel, NAT-beslissing of securityfunctie erbij betrokken was.

Wat NetFlow v5 wel en niet laat zien

SFOS 22 en SFOS 23 documenteren NetFlow Version 5 en de mogelijkheid om alle v5-parameters te exporteren. Deze gedocumenteerde mogelijkheid bevestigt niet dat elk veld voor elke flow een betekenisvolle waarde bevat; controleer daarvoor de werkelijk ontvangen records. Een v5-record kan onder meer de volgende waarden bevatten:

• IPv4-bron- en doeladres;
• bron- en doelpoort en het IP-protocol;
• pakket- en bytecounters;
• begin- en eindtijd van de flow;
• inkomende en uitgaande interface als ifIndex;
• TCP-flags, ToS en AS- en prefixinformatie.

NetFlow v5 bevat daarentegen geen native velden voor gebruikersnaam, Firewall Rule ID, URL, toepassing of pakketinhoud. Een collector kan IP-adressen met aanvullende gegevensbronnen correleren, maar deze informatie komt niet rechtstreeks uit het v5-record.

De Sophos-help beschrijft daarbij ook het doel om bandbreedte-intensieve protocollen, policies, interfaces en gebruikers te identificeren. Protocollen en interface-indexen kunnen op basis van v5-records worden geanalyseerd; voor de koppeling aan een policy of gebruiker zijn aanvullende log- of inventarisgegevens nodig. Sophos noemt PRTG en Open Source Data Analyzer als voorbeelden voor rapportanalyse, niet als een uitputtende compatibiliteitslijst.

Het collectoradres mag in SFOS als IPv4-adres, IPv6-adres of FQDN worden ingevoerd. Dat verandert het exportformaat niet: de firewall blijft NetFlow v5 versturen. Dit formaat heeft geen velden voor IPv6-bron- en doeladressen. Een IPv6-collectoradres heeft daarom alleen betrekking op het transport naar de collector; het maakt IPv6-gebruikersverkeer niet beschikbaar als native IPv6-flows.

API-opmerking: De referentie Configure Netflow voor SFOS 23 documenteert voor NetflowServer de datatypen IPADDRESS en DOMAIN en een maximum van 255 tekens. De SFOS 22-referentie vermeldt daarnaast STRING en geeft voor dit veld geen maximale lengte op. Dit is een verschil in de gedocumenteerde API-metadata, geen bewijs voor onbeperkte acceptatie in SFOS 22 of waarden die nu in SFOS 23 worden geweigerd. Hieruit kan geen WebAdmin-validatie of getest gedrag tijdens de uitvoering worden afgeleid.

Collector en netwerkpad voorbereiden

Voor de firewallconfiguratie heeft de collector een actieve NetFlow-v5-listener nodig. Sophos gebruikt standaard UDP 2055; een andere geldige UDP-poort kan worden gebruikt als firewall en collector identiek zijn ingesteld. Er kunnen maximaal vijf NetFlow-servers worden opgeslagen.

Voor het voorbeeld gelden:

• Collectornaam: flow-collector-primary
• Collectoradres: 192.0.2.50
• Transport: UDP
• Collectorpoort: 2055
• Testregel: LAN_Test_to_WAN_HTTPS

192.0.2.50 is een gereserveerd documentatieadres en kan niet als echte collector worden gebruikt. Het laat in het voorbeeld alleen zien welk veld wordt bedoeld. Hier wordt het echte IP-adres of de FQDN ingevoerd van de collector waarop de v5-listener draait en die via het geplande netwerkpad vanaf de firewall bereikbaar is. Vooraf moeten de volgende punten duidelijk zijn:

• De collector ondersteunt NetFlow v5 en luistert daadwerkelijk op UDP 2055.
• De firewall heeft een route naar de collector; bij een FQDN werkt ook DNS.
• Tussenliggende componenten en de hostfirewall van de collector staan de UDP-poort toe.
• De collector wijst het werkelijk gebruikte bronadres aan de juiste firewall toe.
• Doel, toegangsrechten en bewaartermijn van de flowgegevens zijn vastgelegd.

De NetFlow-export is door de firewall gegenereerd systeemverkeer. Een firewallregel voor clients stuurt deze export niet. Relevant zijn het pad voor systeemverkeer, routing, DNS bij een FQDN en filters tussen de firewall en de collector.

⚠️ De geraadpleegde NetFlow-referenties beschrijven geen TLS- of authenticatie-instellingen en vormen geen uitputtende inventaris van de beschikbare opties. Flowgegevens kunnen interne adressen, communicatiepartners, poorten, tijden en volumes zichtbaar maken. De collector zou daarom via een betrouwbaar managementnetwerk of een beveiligd VPN-pad bereikbaar moeten zijn.

Voorbeeld: PRTG als collector voorbereiden

Bij PRTG ontvangt de Probe de flows, niet automatisch de centrale webserver. Het volgende voorbeeld gaat uit van een bestaande lokale of Remote-Probe. De NetFlow v5-sensor ondersteunt geen Cluster-Probe; bij PRTG Hosted Monitor is hiervoor een Remote-Probe vereist.

1. Op de beoogde Probe een NetFlow v5-sensor toevoegen.
2. Onder Receive Packets on UDP Port 2055 invoeren.
3. Onder Receive Packets on IP Address het werkelijke Probe-adres selecteren dat in SFOS als collectordoel wordt ingevoerd.
4. Onder Sender IP Address het daadwerkelijk waargenomen bronadres van de firewallexport invoeren. Een leeg veld accepteert gegevens van willekeurige afzenders op deze poort en is daarom geen geschikte permanente vervanging voor een correcte toewijzing.
5. Voor de eerste test Include Filter en Exclude Filter leeg laten, zodat geen collectorfilter de referentieflow uitfiltert. Op de Probe-host alleen ontvangst van de benodigde exporters toestaan.

Na de exporttest Top Talkers, Top Connections en Top Protocols vergelijken met de genoteerde testwaarden. Als UDP-pakketten op de Probe-host aankomen, maar analyseresultaten ontbreken, eerst het ontvangstadres, het afzenderfilter en de Include-/Exclude-filters controleren. De status Unknown kan na het verstrijken van Active Flow Timeout (Minutes) optreden als er geen nieuwe flowgegevens binnenkomen. Deze status bewijst op zichzelf geen firewallfout; hier wordt voor SFOS geen onbevestigde exporttimeout voorgeschreven.

NetFlow-collector configureren

1. In WebAdmin System > Administration > Netflow openen.
2. Op Add klikken.
3. Onder Server name flow-collector-primary invoeren.
4. Onder Netflow server IP/domain 192.0.2.50 invoeren.
5. Onder Netflow server port 2055 invoeren.
6. Met Save opslaan.

Bestaande NetFlow-serververmeldingen kunnen ook worden bijgewerkt. Herhaal na een wijziging de hieronder beschreven gecontroleerde exporttest: controleer de regelmatch, het UDP-transport en de v5-decodering afzonderlijk.

In dit scherm is geen gedocumenteerde verbindingstest beschikbaar. Een opgeslagen vermelding bevestigt daarom alleen de configuratie, niet het transport of de decodering op de collector.

Rule Logging als gegevensbron inschakelen

NetFlow exporteert alleen verbindingen uit firewallregels waarvoor Log firewall traffic is ingeschakeld. De instelling wordt onder Rules and policies > Firewall rules in de betreffende regel gecontroleerd.

Voor de eerste test moet een duidelijk afgebakende regel worden gebruikt. In het voorbeeld verwerkt LAN_Test_to_WAN_HTTPS een HTTPS-test van een bekende client naar een toegestaan doel. De voorbeeldnaam is niet belangrijk; doorslaggevend is dat in Log Viewer zonder twijfel herkenbaar is welke regel de flow daadwerkelijk verwerkt.

Hoe een regel correct wordt opgebouwd en gelogd, staat in Sophos Firewall-regels correct configureren. Bij twijfel over de match helpt een regel testen met Log Viewer, Policy tester en Packet Capture.

Export gecontroleerd testen

De test scheidt drie vragen: heeft de juiste regel gematcht, verlaat een UDP-pakket de firewall en kan de collector de inhoud als NetFlow v5 lezen?

Bepaal vooraf een eindig observatievenster dat bij de lokale omgeving past en noteer het eindtijdstip. De geraadpleegde bronnen geven geen SFOS-exportschema; de export kan pas enige tijd na het einde van de verbinding worden waargenomen. Bewaak tijdens dit venster de capturestatus, het buffergebruik en de verwerking op de collector. De WebAdmin-capture heeft een buffer van 2048 KB en stopt automatisch wanneer deze vol is, tenzij Wrap capture buffer once full is ingeschakeld. Met die optie blijft de capture lopen, maar worden oudere pakketten overschreven. Sla benodigde bewijzen op voordat ze verloren gaan en beschouw een voortijdig gestopte of overschreven capture niet als een doorlopende observatie.

1. Op de collector controleren of de v5-listener op UDP 2055 draait.
2. Tijdstip, testclient, doeladres, doelpoort en verwachte firewallregel noteren.
3. Onder Diagnostics > Packet capture op Configure klikken, bij Enter BPF string dst host 192.0.2.50 and dst port 2055 invoeren, op Save klikken en de capture met Trace On starten.
4. Vanaf de testclient één herkenbare, begrensde testflow genereren, bijvoorbeeld een toegestane HTTPS-aanroep, en de verbinding waar mogelijk afronden. Het eindtijdstip noteren.
5. In Log Viewer controleren of LAN_Test_to_WAN_HTTPS of de verwachte Rule ID heeft gematcht.
6. Tot het vastgelegde einde van het venster blijven observeren en naar UDP-pakketten voor de collector zoeken; daarna de capture met Trace Off stoppen.
7. Tijdens hetzelfde venster op de collector controleren of een v5-record met de verwachte bron- en doelwaarden verschijnt en het resultaat noteren. Ontbrekende gegevens in een kort venster zijn zonder vastgestelde exporttiming niet doorslaggevend en bewijzen op zichzelf geen exportfout.

Voor een aanvullende alleen-lezen controle kan in de Device Console een korte capture worden uitgevoerd:

tcpdump 'host 192.0.2.50 and port 2055'

192.0.2.50 en 2055 worden vervangen door de echte collector en poort. Met Ctrl+C wordt de capture beëindigd. Zichtbare UDP-pakketten bevestigen het transport tot aan de geobserveerde interface, maar nog niet dat de collector de records als versie 5 decodeert.

Een test is pas volledig geslaagd wanneer regelmatch, UDP-transport en v5-decodering alle drie kloppen. Zo blijft ook duidelijk op welk punt een fout optreedt.

Ontbrekende of onvolledige flows isoleren

Geen UDP-pakketten naar het collectoradres

Collectoradres en poort onder System > Administration > Netflow controleren. Daarna DNS bij een FQDN, de route, de uitgaande interface en filters op tussenliggende componenten controleren. Ook de hostfirewall van de collector moet UDP 2055 toestaan.

Als andere regels of routingpaden tegelijk worden gewijzigd, is het resultaat nauwelijks nog toe te wijzen. Daarom eerst werken met een bekende gelogde regel en één testflow.

UDP-pakketten komen aan, maar de collector toont niets

De listener moet uitdrukkelijk NetFlow v5 verwerken. Een ingang die alleen voor NetFlow v9, IPFIX of sFlow is ingesteld, kan de UDP-pakketten ontvangen en toch geen bruikbare flows tonen. Collectorlogs, parser en verwacht bronadres controleren.

Packet Capture bewijst in dit geval alleen het transport. De geslaagde decodering moet op de collector zelf zichtbaar zijn.

Slechts een deel van de verbindingen is zichtbaar

Eerst controleren welke firewallregel het ontbrekende verkeer daadwerkelijk verwerkt en of Log firewall traffic daar is ingeschakeld. Een andere regel kan hoger in de lijst matchen dan verwacht. Ook UDP-pakketverlies kan hiaten veroorzaken.

NetFlow v5 heeft technische beperkingen. Ontbrekende gebruikersnamen, Rule IDs, URL’s of toepassingsnamen zijn geen exportfout. Het formaat kan IPv6-gebruikersverkeer ook niet met native IPv6-bron- en doeladressen weergeven; een IPv6-geschikt collectoradres verandert daar niets aan.

Het bronadres is onverwacht

De geraadpleegde NetFlow-referenties beschrijven geen aparte instelling voor het exportbronadres. Een in tijd begrensde Packet Capture toont het werkelijk gebruikte bronadres wanneer exportpakketten worden waargenomen. Vergelijk dit adres met de toewijzing en ingangsfilters op de collector; controleer bij een afwijking vervolgens de route en uitgaande interface.

HA-failover of firmwarewissel

De geraadpleegde referenties onderbouwen geen garantie voor naadloze of duplicaatvrije NetFlow-export bij HA-failover. Voer een failover alleen uit als een goedgekeurde, geplande operationele oefening. Controleer vooraf tijdens normaal bedrijf en achteraf met dezelfde begrensde test de ontvangst van records, hiaten of duplicaten, het zichtbare bronadres en de toewijzing aan de juiste firewall. Dit is een controleaanwijzing, geen verslag van een uitgevoerde HA-test.

Na wijzigingen aan firmware, routing, DNS, collector of Rule Logging wordt dezelfde gedocumenteerde test herhaald. Een korte referentieflow is betrouwbaarder dan de aanname dat een opgeslagen NetFlow-vermelding nog steeds werkt.

Beheer en privacy

NetFlow-gegevens hebben net als firewalllogs een eigenaar en een vastgelegde bewaartermijn nodig. Het beheer moet ten minste de volgende punten omvatten:

• ontvangst op de collector per firewall bewaken en uitval alarmeren;
• bronadressen, interfacetoewijzing en tijdsynchronisatie documenteren;
• toegang tot interne communicatiemetadata beperken;
• retentie en verwijdering op de collector vastleggen;
• na wijzigingen aan routing, HA, firmware of Rule Logging opnieuw testen;
• opvallende flows met Log Viewer of Packet Capture verifiëren.

NetFlow toont verbanden over tijd, maar bewijst niet de oorzaak van een geblokkeerde of trage verbinding. Voor een concrete sessie blijven Rule ID, NAT ID, pakketpad en betrokken securityfuncties doorslaggevend.

De wijziging terugdraaien

Verwijder de betreffende server onder System > Administration > Netflow om de export te stoppen. Controleer daarna met hetzelfde smalle Packet Capture-filter dat er geen UDP-pakketten meer naar deze collector gaan. Zet Log firewall traffic alleen terug naar de eerdere toestand: uitschakelen stopt niet alleen NetFlow voor die regel, maar voorkomt ook verdere vermeldingen in het firewalllog.

Veelgestelde vragen