Sophos Firewall NetFlow configureren en testen

Met NetFlow stuurt de Sophos Firewall verbindingsmetadata naar een externe flowcollector. Daarmee kunnen communicatieverbanden, verkeersvolume en opvallende verbindingen over langere tijd worden geanalyseerd. De belangrijkste voorwaarde wordt gemakkelijk over het hoofd gezien: alleen verkeer uit firewallregels waarvoor Log firewall traffic is ingeschakeld, wordt geëxporteerd.

De korte aanpak is:

1. Op de collector een NetFlow-v5-listener voorbereiden, bijvoorbeeld op UDP 2055.
2. Onder System > Administration > Netflow de collector toevoegen.
3. In de betreffende firewallregel Log firewall traffic inschakelen.
4. Een duidelijk gedocumenteerde testflow genereren.
5. Het transport met Packet Capture en de inhoud op de collector afzonderlijk controleren.

NetFlow is daarmee snel ingesteld. Voor een betrouwbaar resultaat moet echter duidelijk zijn welke gegevens versie 5 bevat, welke regel de testflow verwerkt en via welk pad de firewall de collector bereikt.

Wanneer NetFlow het juiste hulpmiddel is

NetFlow past wanneer een collector flowrecords van verbindingen die door gelogde regels zijn verwerkt, over langere tijd moet opslaan en analyseren. Typische vragen zijn: welke bron- en doeladressen communiceren met elkaar, welke poorten worden gebruikt en hoeveel pakketten of bytes horen bij de flow?

Andere hulpmiddelen beantwoorden andere vragen:

• sFlow Monitoring samplet verkeer en interfacecounters van geselecteerde hardware-interfaces. Dit is vooral geschikt voor verkeerspatronen en capaciteitsbewaking.
• Syslog naar een SIEM transporteert firewall-, VPN-, IPS- en andere logevents met productspecifieke velden.
• SNMP Hardware Monitoring bewaakt hardware, interfaces, temperatuur, ventilatoren en voedingen.
• Central Firewall Reporting biedt Sophos-eigen rapporten, zoekfuncties en retentie in Sophos Central.
• Packet Capture blijft nauwkeuriger voor één pakketpad, NAT of een verbindingsprobleem.

NetFlow vervangt deze hulpmiddelen niet. Vaak laat de collector eerst een opvallende flow zien, waarna Log Viewer of Packet Capture verklaart welke regel, NAT-beslissing of securityfunctie erbij betrokken was.

Wat NetFlow v5 wel en niet laat zien

SFOS 22 exporteert NetFlow Version 5. Een v5-record kan onder meer de volgende waarden bevatten:

• IPv4-bron- en doeladres;
• bron- en doelpoort en het IP-protocol;
• pakket- en bytecounters;
• begin- en eindtijd van de flow;
• inkomende en uitgaande interface als ifIndex;
• TCP-flags, ToS en AS- en prefixinformatie.

NetFlow v5 bevat daarentegen geen native velden voor gebruikersnaam, Firewall Rule ID, URL, toepassing of pakketinhoud. Een collector kan IP-adressen met aanvullende gegevensbronnen correleren, maar deze informatie komt niet rechtstreeks uit het v5-record.

Het collectoradres mag in SFOS als IPv4-adres, IPv6-adres of FQDN worden ingevoerd. Dat verandert het exportformaat niet: de firewall blijft NetFlow v5 versturen. Of het benodigde IPv6-gebruikersverkeer in de gebruikte opzet bruikbaar wordt weergegeven, moet daarom afzonderlijk worden getest; een IPv6-collectoradres bevestigt geen ondersteuning voor IPv6-flows.

Collector en netwerkpad voorbereiden

Voor de firewallconfiguratie heeft de collector een actieve NetFlow-v5-listener nodig. Sophos gebruikt standaard UDP 2055; andere poorten tussen 1 en 65535 zijn mogelijk als firewall en collector identiek zijn ingesteld. Er kunnen maximaal vijf NetFlow-servers worden opgeslagen.

Voor het voorbeeld gelden:

• Collectornaam: flow-collector-primary
• Collectoradres: 192.0.2.50
• Transport: UDP
• Collectorpoort: 2055
• Testregel: LAN_Test_to_WAN_HTTPS

192.0.2.50 is een gereserveerd documentatieadres en kan niet als echte collector worden gebruikt. Het laat in het voorbeeld alleen zien welk veld wordt bedoeld. Hier wordt het echte IP-adres of de FQDN ingevoerd van de collector waarop de v5-listener draait en die via het geplande netwerkpad vanaf de firewall bereikbaar is. Vooraf moeten de volgende punten duidelijk zijn:

• De collector ondersteunt NetFlow v5 en luistert daadwerkelijk op UDP 2055.
• De firewall heeft een route naar de collector; bij een FQDN werkt ook DNS.
• Tussenliggende componenten en de hostfirewall van de collector staan de UDP-poort toe.
• De collector wijst het werkelijk gebruikte bronadres aan de juiste firewall toe.
• Doel, toegangsrechten en bewaartermijn van de flowgegevens zijn vastgelegd.

De NetFlow-export is door de firewall gegenereerd systeemverkeer. Een firewallregel voor clients stuurt deze export niet. Relevant zijn het pad voor systeemverkeer, routing, DNS bij een FQDN en filters tussen de firewall en de collector.

⚠️ De NetFlow-configuratie biedt geen TLS- of authenticatieoptie. Flowgegevens kunnen interne adressen, communicatiepartners, poorten, tijden en volumes zichtbaar maken. De collector zou daarom via een betrouwbaar managementnetwerk of een beveiligd VPN-pad bereikbaar moeten zijn.

NetFlow-collector configureren

1. In WebAdmin System > Administration > Netflow openen.
2. Op Add klikken.
3. Onder Netflow Server name flow-collector-primary invoeren.
4. Onder Netflow server IP/domain 192.0.2.50 invoeren.
5. Onder Netflow server port 2055 invoeren.
6. Met Save opslaan.

In dit scherm is geen gedocumenteerde verbindingstest beschikbaar. Een opgeslagen vermelding bevestigt daarom alleen de configuratie, niet het transport of de decodering op de collector.

Rule Logging als gegevensbron inschakelen

NetFlow exporteert alleen verbindingen uit firewallregels waarvoor Log firewall traffic is ingeschakeld. De instelling wordt onder Rules and policies > Firewall rules in de betreffende regel gecontroleerd.

Voor de eerste test moet een duidelijk afgebakende regel worden gebruikt. In het voorbeeld verwerkt LAN_Test_to_WAN_HTTPS een HTTPS-test van een bekende client naar een toegestaan doel. De voorbeeldnaam is niet belangrijk; doorslaggevend is dat in Log Viewer zonder twijfel herkenbaar is welke regel de flow daadwerkelijk verwerkt.

Hoe een regel correct wordt opgebouwd en gelogd, staat in Sophos Firewall-regels correct configureren. Bij twijfel over de match helpt een regel testen met Log Viewer, Policy tester en Packet Capture.

Export gecontroleerd testen

De test scheidt drie vragen: heeft de juiste regel gematcht, verlaat een UDP-pakket de firewall en kan de collector de inhoud als NetFlow v5 lezen?

1. Op de collector controleren of de v5-listener op UDP 2055 draait.
2. Tijdstip, testclient, doeladres, doelpoort en verwachte firewallregel noteren.
3. Vanaf de testclient precies één nieuwe verbinding genereren, bijvoorbeeld een toegestane HTTPS-aanroep.
4. In Log Viewer controleren of LAN_Test_to_WAN_HTTPS of de verwachte Rule ID heeft gematcht.
5. Onder Diagnostics > Packet capture met dst host 192.0.2.50 and dst port 2055 naar de export zoeken.
6. Op de collector controleren of een v5-record met de verwachte bron- en doelwaarden verschijnt.

Voor een aanvullende alleen-lezen controle kan in de Device Console een korte capture worden uitgevoerd:

tcpdump 'host 192.0.2.50 and port 2055'

192.0.2.50 en 2055 worden vervangen door de echte collector en poort. Met Ctrl+C wordt de capture beëindigd. Zichtbare UDP-pakketten bevestigen het transport tot aan de geobserveerde interface, maar nog niet dat de collector de records als versie 5 decodeert.

Een test is pas volledig geslaagd wanneer regelmatch, UDP-transport en v5-decodering alle drie kloppen. Zo blijft ook duidelijk op welk punt een fout optreedt.

Ontbrekende of onvolledige flows isoleren

Geen UDP-pakketten naar het collectoradres

Collectoradres en poort onder System > Administration > Netflow controleren. Daarna DNS bij een FQDN, de route, de uitgaande interface en filters op tussenliggende componenten controleren. Ook de hostfirewall van de collector moet UDP 2055 toestaan.

Als andere regels of routingpaden tegelijk worden gewijzigd, is het resultaat nauwelijks nog toe te wijzen. Daarom eerst werken met een bekende gelogde regel en één testflow.

UDP-pakketten komen aan, maar de collector toont niets

De listener moet uitdrukkelijk NetFlow v5 verwerken. Een ingang die alleen voor NetFlow v9, IPFIX of sFlow is ingesteld, kan de UDP-pakketten ontvangen en toch geen bruikbare flows tonen. Collectorlogs, parser en verwacht bronadres controleren.

Packet Capture bewijst in dit geval alleen het transport. De geslaagde decodering moet op de collector zelf zichtbaar zijn.

Slechts een deel van de verbindingen is zichtbaar

Eerst controleren welke firewallregel het ontbrekende verkeer daadwerkelijk verwerkt en of Log firewall traffic daar is ingeschakeld. Een andere regel kan hoger in de lijst matchen dan verwacht. Ook UDP-pakketverlies kan hiaten veroorzaken.

NetFlow v5 heeft technische beperkingen. Ontbrekende gebruikersnamen, Rule IDs, URL’s of toepassingsnamen zijn geen exportfout. IPv6-gebruikersverkeer mag evenmin alleen op basis van een IPv6-geschikt collectoradres worden verwacht.

Het bronadres is onverwacht

Het NetFlow-scherm heeft geen eigen Source-IP-keuze. Welk adres de collector ziet, hangt daarom af van het pad voor systeemverkeer van de firewall. Route, uitgaande interface en eventueel aanwezige SD-WAN- of Source-NAT-configuratie voor systeemverkeer controleren voordat op de collector een vaste toewijzing wordt opgeslagen.

HA-failover of firmwarewissel

Voor NetFlow is geen naadloze of duplicaatvrije HA-export publiekelijk toegezegd. Daarom tijdens normaal bedrijf en na een gecontroleerde failover controleren of records blijven binnenkomen, welk bronadres zichtbaar is en of de collector deze nog steeds aan de juiste firewall toewijst.

Na wijzigingen aan firmware, routing, DNS, collector of Rule Logging wordt dezelfde gedocumenteerde test herhaald. Een korte referentieflow is betrouwbaarder dan de aanname dat een opgeslagen NetFlow-vermelding nog steeds werkt.

Beheer en privacy

NetFlow-gegevens hebben net als firewalllogs een eigenaar en een vastgelegde bewaartermijn nodig. Het beheer moet ten minste de volgende punten omvatten:

• ontvangst op de collector per firewall bewaken en uitval alarmeren;
• bronadressen, interfacetoewijzing en tijdsynchronisatie documenteren;
• toegang tot interne communicatiemetadata beperken;
• retentie en verwijdering op de collector vastleggen;
• na wijzigingen aan routing, HA, firmware of Rule Logging opnieuw testen;
• opvallende flows met Log Viewer of Packet Capture verifiëren.

NetFlow toont verbanden over tijd, maar bewijst niet de oorzaak van een geblokkeerde of trage verbinding. Voor een concrete sessie blijven Rule ID, NAT ID, pakketpad en betrokken securityfuncties doorslaggevend.

Veelgestelde vragen