POP3 en IMAP scannen en testen op Sophos Firewall

Sophos Firewall kan e-mails scannen wanneer clients ze ophalen via POP3, POP3S, IMAP en IMAPS. Alleen een POP-IMAP-policy maken is niet voldoende. Pas een passende firewallregel stuurt het e-mailverkeer door de proxy en activeert de geconfigureerde scan- en TLS-instellingen.

De belangrijkste acceptatietest is daarom geen groene schakelaar, maar een echte ophaalactie van de bedoelde client naar de bedoelde mailserver. Firewall Rule ID, gebruikte poort, certificaatketen, onderhandelde TLS-versie en warren.log moeten allemaal overeenkomen met het geplande pad.

⚠️ Zonder Scan email content in de firewallregel die daadwerkelijk overeenkomt, past SFOS de POP/IMAP-instellingen en -policies niet toe. Een policy alleen biedt geen bescherming.

POP/IMAP-scanning in acht stappen

1. Documenteer het clientnetwerk, de mailserver, de protocollen en de werkelijk gebruikte poorten.
2. Selecteer één pilotbron en test de bestaande e-mailophaling.
3. Importeer onder Certificates > Certificate authorities de CA die het mailservercertificaat heeft uitgegeven als deze nog niet wordt vertrouwd.
4. Stel onder Email > General settings de POP/S and IMAP/S settings en POP and IMAP TLS configuration in.
5. Maak alleen indien nodig onder Email > Policies and exceptions een POP-IMAP scan-policy voor afzenders, ontvangers of berichtkenmerken.
6. Maak een beperkte, gelogde firewallregel voor de pilotclient en mailserver en activeer de benodigde protocollen onder Scan email content.
7. Controleer het ophalen, de TLS-verbinding, Firewall Rule ID en warren.log met een klein testbericht.
8. Voeg pas na een positieve en negatieve test meer clients toe en documenteer het terugvalpad.

Wat de POP/IMAP-proxy beschermt

POP3 en IMAP worden gebruikt om berichten in een mailbox op te halen en te beheren. Ze zijn niet hetzelfde als SMTP, dat berichten tussen een afzender, MTA en mailserver transporteert. De handleiding voor MTA Mode legt daarom MX, SMTP-routing, relay, spool en SMTP-quarantaine uit; deze handleiding richt zich op het ophalen van e-mail door een client.

SFOS maakt onderscheid tussen niet-versleutelde of met STARTTLS opgewaardeerde poorten en varianten die vanaf het begin TLS gebruiken:

• POP3: TCP 110, met een optionele upgrade naar TLS via STARTTLS
• POP3S: TCP 995, TLS vanaf het begin van de verbinding
• IMAP: TCP 143, met een optionele upgrade naar TLS via STARTTLS
• IMAPS: TCP 993, TLS vanaf het begin van de verbinding

Nieuwe ontwerpen zouden versleutelde verbindingen voor mailclients moeten gebruiken. Het selecteren van een protocol in SFOS verandert echter niets aan de clientconfiguratie. Als de client een andere poort gebruikt of de geplande regel omzeilt, wordt dat verkeer niet automatisch beschermd door de geselecteerde standaardoptie.

POP/IMAP-scanning vereist een geldige Email Protection-licentie. Het vervangt noch de bescherming van de mailserver, noch de scan wanneer een bericht via SMTP binnenkomt. Vooral bij cloudmaildiensten moet vooraf worden vastgesteld of de provider conventioneel POP/IMAP-ophalen toestaat en of een transparante proxy compatibel is met de TLS- en authenticatievereisten.

Voorbeeld en testgrens vastleggen

Een gecontroleerde pilot voorkomt dat een onjuiste certificaat- of regelconfiguratie alle mailclients tegelijk raakt. Dit voorbeeld gebruikt documentatiewaarden:

• pilotclient 10.20.30.50 in de zone LAN
• mailserver mail.example.net
• doeladres 192.0.2.25
• gebruikt protocol IMAPS op TCP 993
• firewallregel Pilot_POP_IMAP_Scan

Vervang 10.20.30.50, mail.example.net en 192.0.2.25 door de echte waarden. Het doeladres behoort tot het TEST-NET-documentatiebereik en mag niet als productief serveradres worden gebruikt. De pilot hoort een eigen testmailbox te gebruiken en niet het enige account van een beheerder.

Haal vóór de wijziging een bericht op en noteer de huidige certificaatuitgever. Bewaar ook de bestaande firewallregel, de regelteller en de clientconfiguratie. Daardoor is later te onderscheiden of een probleem door routing, TLS, proxyscanning of de mailserver ontstaat.

TLS en scanlimieten voorbereiden

CA en certificaatvalidatie

Voeg onder Certificates > Certificate authorities de CA toe die het certificaat van de mailserver heeft uitgegeven als de firewall deze nog niet vertrouwt. Bestanden van een private CA mogen alleen uit de eigen PKI of een andere geverifieerde bron komen. Certificaten importeren op Sophos Firewall legt de algemene import en ketencontrole uit.

Selecteer vervolgens het bedoelde TLS certificate onder Email > General settings > POP and IMAP TLS configuration. Laat Allow invalid certificate uitgeschakeld. Het uitschakelen van validatie repareert geen ongeldige, verlopen of niet-vertrouwde tegenpartij.

Volgens de SFOS-help schakelt Disable legacy TLS protocols protocollen ouder dan TLS 1.1 uit. De optie bewijst niet dat een concrete sessie TLS 1.2 of TLS 1.3 gebruikt. Als de beveiligingsnorm minimaal TLS 1.2 vereist, moet de onderhandelde versie in het echte clientpad worden gecontroleerd. Kan de gebruikte combinatie niet aan die eis voldoen, stop dan de uitrol en beoordeel een andere beschermingsarchitectuur.

Omdat de firewall versleuteld mailverkeer verwerkt om het te scannen, kan op de client een certificaatwaarschuwing zichtbaar worden. Negeer een nieuwe waarschuwing niet. Controleer de weergegeven naam, uitgever, keten en het clientvertrouwen en verhelp de oorzaak vóór een brede uitrol.

Berichtgrootte en ontvangerheaders

Onder POP/S and IMAP/S settings bepaalt Don’t scan emails greater than de maximale berichtgrootte voor scanning. Voor POP/IMAP betekent 0 niet onbeperkt; volgens de SFOS-help stelt dit de limiet in op 10,240 KB. Grotere berichten worden niet gescand. Kies de limiet op basis van typische bijlagen, beschikbare prestaties en het geaccepteerde restrisico.

De Recipient headers helpen SFOS ontvangers voor POP/IMAP-policies te herkennen. Standaard gebruikt de firewall Delivered-To, Received en X-RCPT-TO. Voeg alleen een andere header toe als de echte mailserver deze betrouwbaar instelt. Een verzonnen of later verwijderde header leidt anders tot moeilijk verklaarbare policymatches.

Een optionele POP-IMAP-policy maken

Met een actief Email Protection-abonnement past SFOS automatisch de standaardpolicy default-pop-av toe op POP3/S- en IMAP/S-verkeer. Deze verwijdert met virussen geïnfecteerde bijlagen en vervangt de berichttekst door een melding. Houd bij tests en probleemoplossing rekening met deze automatische basispolicy voordat het gedrag aan een eigen policy wordt toegeschreven.

Een POP-IMAP-policy voegt criteria en waarschuwingen voor gebruikers toe. Stel onder Email > Policies and exceptions > Add a policy > POP-IMAP scan eerst een naam en de afzender- en ontvangergroepen in. De policy kan daarna onder andere reageren op een spamclassificatie, bron-IP of -netwerk, berichtgrootte of een header.

De gedocumenteerde acties zijn Accept en Prefix subject. Prefix subject bezorgt het bericht en voegt een melding aan het onderwerp toe. De policy is dus geen algemene quarantaine- of blokkeerregel. Als None als criterium wordt gekozen, geldt de actie voor alle berichten tussen de opgegeven afzenders en ontvangers. Controleer dit bereik bewust voordat de policy wordt opgeslagen.

Voor de eerste technische proxytest kan de extra policy worden weggelaten. Zo blijft zichtbaar of de basisketen van TLS, firewallregel en scanning al werkt. Voeg pas een policy toe als afzender-, ontvanger- of headerlogica werkelijk nodig is.

De firewallregel voor het ophalen van e-mail maken

Maak de regel onder Rules and policies > Firewall rules. Deze hoort alleen het bedoelde clientnetwerk of de pilot-host, het mailserverdoel en de werkelijk benodigde mailpoorten te bevatten. Een algemene regel van LAN naar WAN met veel beveiligingsfuncties is tijdens de acceptatietest onoverzichtelijk.

Voor het voorbeeld Pilot_POP_IMAP_Scan passen de volgende waarden:

• Source zones: LAN
• Source networks and devices: host 10.20.30.50
• Destination zones: de zone van het pad naar de mailserver, bij een externe server meestal WAN
• Destination networks: hostobject voor 192.0.2.25 of de echte mailserver
• Services: IMAPS
• Log firewall traffic: ingeschakeld

Activeer onder Scan email content de optie Scan IMAPS. Als de omgeving werkelijk aanvullende protocollen gebruikt, selecteer dan ook Scan IMAP, Scan POP3 of Scan POP3S. Add ports voegt de bijbehorende services toe; daarna moeten ze onder Services in de regel zichtbaar zijn.

Plaats de regel boven een algemenere regel die dezelfde client en mailserver al matcht. Na het opslaan is de werkelijke Firewall Rule ID in Log Viewer doorslaggevend, niet de verwachte positie in de regeltabel. Sophos Firewall-regels veilig configureren legt opbouw, volgorde en Rule-ID-controle uit.

Het volledige pad testen

Plaats eerst een klein, onschadelijk bericht in de private testmailbox. De pilotclient haalt het via de bedoelde FQDN en poort op. In Log Viewer moeten bron-IP, doel-IP, service, actie en Firewall Rule ID overeenkomen met de nieuwe regel. Een tellerstijging bij een andere regel is een stopvoorwaarde.

Voor de controle van certificaat en TLS kunnen bijvoorbeeld de volgende verbindingstests, die niets wijzigen, vanaf een client in hetzelfde netwerk worden uitgevoerd:

openssl s_client -connect mail.example.net:993 -servername mail.example.net
openssl s_client -connect mail.example.net:995 -servername mail.example.net
openssl s_client -starttls imap -connect mail.example.net:143 -servername mail.example.net
openssl s_client -starttls pop3 -connect mail.example.net:110 -servername mail.example.net

Test alleen protocollen die de mailserver werkelijk aanbiedt. Vervang mail.example.net door de echte FQDN. De uitvoer bevestigt certificaat, keten en TLS-parameters, maar niet een succesvolle aanmelding of inhoudsscan. Beëindig de interactieve verbinding na de controle met Ctrl+C.

Herhaal daarna het ophalen met de echte mailclient. Gebruik warren.log voor proxyanalyse; Log Viewer en Packet Capture tonen daarnaast de regelmatch en het netwerkpad. Noteer tijdstip, client-IP, server-IP, poort en testonderwerp samen. Sophos Firewall-services en logs ordent het logbestand en legt veilige toegang uit.

Een betrouwbare acceptatietest bevat ook een negatief geval. Een niet-toegestane pilot-host of een niet-geselecteerde poort mag niet per ongeluk via een andere brede scanregel dezelfde beschermingsstatus krijgen. Als een speciaal voorbereide testtegenpartij met een ongeldige certificaatketen beschikbaar is, moet deze mislukken zolang Allow invalid certificate uitgeschakeld is; creëer hiervoor geen certificaatfout op de productieve tegenpartij.

Fouten per symptoom afbakenen

Het ophalen werkt, maar de proxy scant niet

Controleer eerst de Firewall Rule ID. Als een hogere of algemenere regel overeenkomt, corrigeer dan volgorde, bron, bestemming en service. Als de bedoelde regel overeenkomt, moeten de juiste optie Scan IMAP/IMAPS/POP3/POP3S en de poort onder Services actief zijn. Een POP-IMAP-policy alleen activeert de proxy niet.

De mailclient meldt na activering een certificaatfout

Noteer de weergegeven FQDN, uitgever, geldigheid en volledige keten. Controleer daarna de CA die onder POP and IMAP TLS configuration is geselecteerd en het vertrouwen van de client. Schakel Allow invalid certificate niet in als permanente workaround. Als onduidelijk blijft welk certificaat de proxy of server presenteert, draai dan de pilot terug voordat meer clients worden geraakt.

STARTTLS werkt, maar POP3S of IMAPS niet

Controleer poorten en verbindingsmodi afzonderlijk. POP3 op 110 en IMAP op 143 schakelen pas met STARTTLS naar een versleutelde sessie; POP3S op 995 en IMAPS op 993 beginnen met TLS. Mailclient, serverlistener, firewallservice en ingeschakelde scanoptie moeten dezelfde variant gebruiken.

Een groot bericht wordt bezorgd, maar niet gescand

Vergelijk Don’t scan emails greater than met de werkelijke berichtgrootte. Ook 0 beperkt POP/IMAP-scanning tot 10,240 KB. Verhoog de limiet niet blind voor één test zonder het effect op prestaties en geaccepteerd risico te beoordelen.

Het onderwerpvoorvoegsel ontbreekt

Controleer afzender- en ontvangergroep, matchtype, criterium en Recipient headers. Het bericht kan technisch zijn gescand terwijl de optionele policy niet overeenkwam. Beoordeel daarom de proxywerking en policyactie afzonderlijk.

Beheer en rollback

Voeg na een succesvolle pilot geleidelijk andere clients toe. Houd tijdens de uitrol regeltellers, warren.log, TLS-fouten en helpdeskmeldingen in de gaten. Wijzigingen aan mailservercertificaat, FQDN, poort of clientprofiel horen daarna bij hetzelfde wijzigingsproces, omdat ze het gevalideerde pad veranderen.

Verwijder voor een rollback eerst de pilot uit de beperkte regel of schakel de betreffende scanoptie uit. Controleer vervolgens of de oorspronkelijke e-mailophaling weer werkt en de verwachte vorige regel matcht. Verwijder een geïmporteerde CA of globale POP/IMAP-instelling alleen als geen andere service deze gebruikt. Verwijder berichten, logs of certificaten niet als standaard rollbackstap.

FAQ