POP3 en IMAP scannen en testen op Sophos Firewall

Sophos Firewall kan e-mails scannen wanneer clients ze ophalen via POP3, POP3S, IMAP en IMAPS. Dit geldt zowel in MTA- als in Legacy-mode; het menupad naar de optionele POP-IMAP-policy verschilt. Een policy alleen is niet voldoende: pas een passende firewallregel stuurt het e-mailverkeer door de proxy en activeert de geconfigureerde scan- en TLS-instellingen.

De belangrijkste acceptatietest is daarom geen groene schakelaar, maar een echte ophaalactie van de bedoelde client naar de bedoelde mailserver. Firewall Rule ID, gebruikte poort, certificaatketen, onderhandelde TLS-versie en warren.log moeten allemaal overeenkomen met het geplande pad.

⚠️ Zonder Scan email content in de firewallregel die daadwerkelijk overeenkomt, past SFOS de POP/IMAP-instellingen en -policies niet toe. Een policy alleen biedt geen bescherming.

POP/IMAP-scanning in acht stappen

1. Documenteer het clientnetwerk, de mailserver, de protocollen en de werkelijk gebruikte poorten.
2. Selecteer één pilotbron en test de bestaande e-mailophaling.
3. Importeer onder Certificates > Certificate authorities de CA die het mailservercertificaat heeft uitgegeven als deze nog niet wordt vertrouwd.
4. Stel onder Email > General settings de POP/S and IMAP/S settings en POP and IMAP TLS configuration in.
5. Maak alleen indien nodig een POP-IMAP scan-policy voor afzenders, ontvangers of berichtkenmerken: onder Email > Policies and exceptions in MTA-mode of onder Email > Policies in Legacy-mode.
6. Maak een beperkte, gelogde firewallregel voor de pilotclient en mailserver en activeer de benodigde protocollen onder Scan email content.
7. Controleer het ophalen, de TLS-verbinding, Firewall Rule ID en warren.log met een klein testbericht.
8. Voeg pas na een positieve en negatieve test meer clients toe en documenteer het terugvalpad.

Wat de POP/IMAP-proxy beschermt

POP3 en IMAP worden gebruikt om berichten in een mailbox op te halen en te beheren. Ze zijn niet hetzelfde als SMTP, dat berichten tussen een afzender, MTA en mailserver transporteert. De handleiding voor MTA Mode legt daarom MX, SMTP-routing, relay, spool en SMTP-quarantaine uit; deze handleiding richt zich op het ophalen van e-mail door een client.

SFOS maakt onderscheid tussen niet-versleutelde of met STARTTLS opgewaardeerde poorten en varianten die vanaf het begin TLS gebruiken:

• POP3: TCP 110, met een optionele upgrade naar TLS via STARTTLS
• POP3S: TCP 995, TLS vanaf het begin van de verbinding
• IMAP: TCP 143, met een optionele upgrade naar TLS via STARTTLS
• IMAPS: TCP 993, TLS vanaf het begin van de verbinding

Nieuwe ontwerpen zouden versleutelde verbindingen voor mailclients moeten gebruiken. Het selecteren van een protocol in SFOS verandert echter niets aan de clientconfiguratie. Als de client een andere poort gebruikt of de geplande regel omzeilt, wordt dat verkeer niet automatisch beschermd door de geselecteerde standaardoptie.

POP/IMAP-scanning vereist een geldige Email Protection-licentie. Het vervangt noch de bescherming van de mailserver, noch de scan wanneer een bericht via SMTP binnenkomt. Vooral bij cloudmaildiensten moet vooraf worden vastgesteld of de provider conventioneel POP/IMAP-ophalen toestaat en of een transparante proxy compatibel is met de TLS- en authenticatievereisten.

Voorbeeld en testgrens vastleggen

Een gecontroleerde pilot voorkomt dat een onjuiste certificaat- of regelconfiguratie alle mailclients tegelijk raakt. Dit voorbeeld gebruikt documentatiewaarden:

• pilotclient 10.20.30.50 in de zone LAN
• mailserver mail.example.net
• doeladres 192.0.2.25
• gebruikt protocol IMAPS op TCP 993
• firewallregel Pilot_POP_IMAP_Scan

Vervang 10.20.30.50, mail.example.net en 192.0.2.25 door de echte waarden. Het doeladres behoort tot het TEST-NET-documentatiebereik en mag niet als productief serveradres worden gebruikt. De pilot hoort een eigen testmailbox te gebruiken en niet het enige account van een beheerder.

Haal vóór de wijziging een bericht op en noteer de huidige certificaatuitgever. Bewaar ook de bestaande firewallregel, de regelteller en de clientconfiguratie. Daardoor is later te onderscheiden of een probleem door routing, TLS, proxyscanning of de mailserver ontstaat.

TLS en scanlimieten voorbereiden

CA en certificaatvalidatie

Voeg onder Certificates > Certificate authorities de CA toe die het certificaat van de mailserver heeft uitgegeven als de firewall deze nog niet vertrouwt. Bestanden van een private CA mogen alleen uit de eigen PKI of een andere geverifieerde bron komen. Certificaten importeren op Sophos Firewall legt de algemene import en ketencontrole uit.

Selecteer vervolgens onder Email > General settings > POP and IMAP TLS configuration bij TLS certificate de eerder geverifieerde en geïmporteerde CA die het mailservercertificaat heeft uitgegeven. Laat Allow invalid certificate uitgeschakeld. Het uitschakelen van validatie repareert geen ongeldige, verlopen of niet-vertrouwde tegenpartij.

Vink Disable legacy TLS protocols aan om volgens de SFOS-help protocollen ouder dan TLS 1.1 uit te schakelen. De optie bewijst niet dat een concrete sessie TLS 1.2 of TLS 1.3 gebruikt. Als de beveiligingsnorm minimaal TLS 1.2 vereist, moet de onderhandelde versie in het echte clientpad worden gecontroleerd. Kan de gebruikte combinatie niet aan die eis voldoen, stop dan de uitrol en beoordeel een andere beschermingsarchitectuur.

Omdat de firewall versleuteld mailverkeer verwerkt om het te scannen, kan op de client een certificaatwaarschuwing zichtbaar worden. Negeer een nieuwe waarschuwing niet. Controleer de weergegeven naam, uitgever, keten en het clientvertrouwen en verhelp de oorzaak vóór een brede uitrol.

Berichtgrootte en ontvangerheaders

Onder POP/S and IMAP/S settings bepaalt Don’t scan emails greater than de maximale berichtgrootte voor scanning. Voor POP/IMAP betekent 0 niet onbeperkt; volgens de SFOS-help stelt dit de limiet in op 10,240 KB. Grotere berichten worden niet gescand. Kies de limiet op basis van typische bijlagen, beschikbare prestaties en het geaccepteerde restrisico.

De Recipient headers helpen SFOS ontvangers voor POP/IMAP-policies te herkennen. Standaard gebruikt de firewall Delivered-To, Received en X-RCPT-TO. Voeg alleen een andere header toe als de echte mailserver deze betrouwbaar instelt. Een verzonnen of later verwijderde header leidt anders tot moeilijk verklaarbare policymatches.

Een optionele POP-IMAP-policy maken

Met een actief Email Protection-abonnement past SFOS automatisch de standaardpolicy default-pop-av toe op POP3/S- en IMAP/S-verkeer. Deze verwijdert met virussen geïnfecteerde bijlagen en vervangt de berichttekst door een melding. Houd bij tests en probleemoplossing rekening met deze automatische basispolicy voordat het gedrag aan een eigen policy wordt toegeschreven.

Een POP-IMAP-policy voegt criteria en waarschuwingen voor gebruikers toe. In MTA-mode is het pad Email > Policies and exceptions > Add policy > POP-IMAP scan; in Legacy-mode is dit Email > Policies > Add policy > POP-IMAP scan. Stel eerst een naam en de afzender- en ontvangergroepen in. De policy kan daarna onder andere reageren op een spamclassificatie, bron-IP of -netwerk, berichtgrootte of een header.

Kies voor afzenders en ontvangers e-mailadresgroepen of domeingroepen en een exacte match of keywordmatch. Afzonderlijke testadressen met een exacte match maken een nauwkeurig pilotbereik mogelijk; domeingroepen of keywords kunnen het bedoelde bereik vergroten. Controleer het daadwerkelijke bereik met passende en niet-passende berichten, zonder aanvullende regels voor wildcards of hoofdlettergevoeligheid aan te nemen.

• Inbound email is: selecteer spam, probable spam, virus outbreak of probable virus outbreak als classificatie.
• Source IP/network address: geef het IP-adres of netwerkadres van de afzender op.
• Message size: stel een boven- of ondergrens voor de berichtgrootte in. Dit policycriterium vervangt de globale limiet Don’t scan emails greater than niet.
• Message header: kies de header; voer bij Other de details in. Kies daarna een exacte match of keywordmatch en geef de te vergelijken keywordwaarde op.

De gedocumenteerde acties zijn Accept en Prefix subject. Prefix subject bezorgt het bericht en voegt een melding aan het onderwerp toe. De policy is dus geen algemene quarantaine- of blokkeerregel. Als None als criterium wordt gekozen, geldt de actie voor alle berichten tussen de opgegeven afzenders en ontvangers. Controleer dit bereik bewust voordat de policy wordt opgeslagen.

Een onschadelijk pilotvoorbeeld gebruikt de eigen testadresgroepen met een exacte match en het criterium Message header: Other, details Subject, exacte match, keywordwaarde Test email. Configureer Prefix subject met het vrij gekozen voorvoegsel Pilot en sla de policy op. Bij het passende bericht verandert het verwachte onderwerp van Test email in Pilot: Test email. Een tweede bericht tussen dezelfde testadressen met onderwerp Control email voldoet niet aan het headercriterium en hoort dit voorvoegsel niet te krijgen. Pas testadressen en voorvoegsel aan de eigen pilot aan; test beide nieuwe berichten via hetzelfde bedoelde ophaalpad. Andere actieve policies mogen de vergelijking niet vertekenen.

Open voor een bestaande POP-IMAP scan-policy in MTA-mode Email > Policies and exceptions en in Legacy-mode Email > Policies. Kies bij de betreffende policy Edit, wijzig de benodigde instellingen en sla de policy op. Controleer daarna opnieuw het ophalen van e-mail en de werking van de policy via het bedoelde clientpad.

Voor de eerste technische proxytest kan de extra policy worden weggelaten. Zo blijft zichtbaar of de basisketen van TLS, firewallregel en scanning al werkt. Voeg pas een policy toe als afzender-, ontvanger- of headerlogica werkelijk nodig is.

XML-hiërarchie en grenzen van automatisering

Voor automatisering heet het policyobject POPIMAPScanningPolicy. De volgende toelichting beschrijft de gedocumenteerde structuur voor SFOS 22/23, niet een geteste of verzendklare POST-request. XML API-toegang beveiligen legt beveiligde toegang en de beoordeling van XML-antwoorden uit. Ook bij een via de API beheerde policy blijven de scanopties in de firewallregel die daadwerkelijk overeenkomt vereist.

Het gedocumenteerde voorbeeld onderscheidt drie niveaus:

• POPIMAPScanningPolicy/Name duidt de te beheren policy aan. POPIMAPScanningPolicy/After/Name duidt daarentegen de andere policy aan waarachter deze in het voorbeeld wordt geplaatst. De naam van de doelpolicy en de referentie voor de volgorde mogen niet worden verward. Het voorbeeld toont deze plaatsingsstructuur aan, maar niet een algemene evaluatievolgorde of het gedrag bij een ontbrekende referentie of bij het weglaten van After.
• Onder POPIMAPScanningPolicy/EmailAddress staan SenderEmail, SenderAction, RecipientEmail en RecipientAction. Adreswaarden en matchoperatoren horen daarmee bij de gemeenschappelijke bovenliggende node EmailAddress, niet direct onder het policyobject. De parameterbeschrijving behandelt beide adreswaarden als afzonderlijke strings; uit de groepsselectie in de interface volgt geen aanvullende XML-lijstnode.
• FilterCriteria, Action, To en MatchIs staan in het voorbeeld direct onder POPIMAPScanningPolicy, buiten EmailAddress en After. To bevat hier het onderwerpvoorvoegsel voor de voorvoegselactie, geen ontvangeradres. MatchIs beschrijft afhankelijk van het criterium de classificatie van inkomende e-mails of de te vergelijken headerwaarde.

De parametertabel markeert Name, SenderEmail, SenderAction, RecipientEmail, RecipientAction, FilterCriteria en Action als verplicht. Voor Name vermeldt deze maximaal 255 tekens, voor To maximaal 300 en voor MatchIs maximaal 750 tekens. Deze limieten beschrijven velden, niet het toegestane bereik van de policy; de adreswaarde Any uit het voorbeeld is bijvoorbeeld geen geschikte instelling voor een beperkte pilot.

Andere criteriumspecifieke parameters zijn Address voor bron-IP of netwerk (array van strings, meerdere waarden), MessageSizeOperator met MessageSize (geheel getal) en MessageHeaderString (maximaal 765 tekens) met MessageHeaderOperator voor headervergelijkingen. De parametertabel vermeldt deze velden, maar het getoonde voorbeeld voor inkomende e-mails bevat ze niet. Het is daarom geen volledige XML-template voor bron-IP-, grootte- of headerfilters; ontbrekende bovenliggende nodes, grootte-eenheden of afhankelijkheden tussen verplichte velden worden hieruit niet afgeleid.

⚠️ De toegestane waarden worden in de parameterbeschrijving deels alleen aangegeven als niet-opgeloste symbolen, zoals $POPIMAP{SENDER_MATCHTYPE_CONTAINS}, $POPIMAP{RULETYPE_INBOUND_EMAIL} en $POPIMAP{POP_IMAP_ACTION_PREFIX_SUBJECT}. Deze symbolen zijn geen bevestigde letterlijke waarden voor een POST. Het voorbeeld toont weliswaar Contains, InboundEmailIs en Prefix Subject, maar biedt geen volledige toewijzing van alle constanten. Voor MessageHeaderOperator vermeldt de kolom Default zelfs GreaterThan, terwijl de beschrijving Contains/Equals voorschrijft. Los deze tegenstrijdigheid niet op met een gegokte operator en verstuur noch UI-labels noch symboolnamen zonder controle als API-waarden.

Zolang de concrete waarden en de benodigde filterstructuur voor de gebruikte build niet zijn opgehelderd, blijft configuratie via de hierboven beschreven interface de veilige, gedocumenteerde werkwijze. Bewaar vóór een later goedgekeurde API-wijziging de namen, volgorde, het adresbereik, criterium en de actie; lees daarna de opgeslagen toestand opnieuw uit of controleer deze in de interface en haal het passende en niet-passende testberichtenpaar opnieuw op. De referentie vermeldt voor Add en Edit de XML-statuswaarden 200, 500 en 502, maar geen verklarende meldingen. Een HTTP-succes alleen bevestigt daarom noch de opgeslagen policy, noch de werking ervan. Hier is geen schrijfaanroep op een appliance uitgevoerd.

De firewallregel voor het ophalen van e-mail maken

Maak de regel onder Rules and policies > Firewall rules. In MTA-mode kan ook de automatisch aangemaakte MTA-firewallregel worden aangevuld; voor een duidelijk begrensde pilot is een eigen beperkte regel echter gemakkelijker te beoordelen. Maak in Legacy-mode een nieuwe firewallregel. Deze hoort alleen het bedoelde clientnetwerk of de pilot-host, het mailserverdoel en de werkelijk benodigde mailpoorten te bevatten. Een algemene regel van LAN naar WAN met veel beveiligingsfuncties is tijdens de acceptatietest onoverzichtelijk.

Voor het voorbeeld Pilot_POP_IMAP_Scan passen de volgende waarden:

• Source zones: LAN
• Source networks and devices: host 10.20.30.50
• Destination zones: de zone van het pad naar de mailserver, bij een externe server meestal WAN
• Destination networks: hostobject voor 192.0.2.25 of de echte mailserver
• Services: IMAPS
• Log firewall traffic: ingeschakeld

Activeer onder Scan email content de optie Scan IMAPS. Als de omgeving werkelijk aanvullende protocollen gebruikt, selecteer dan ook Scan IMAP, Scan POP3 of Scan POP3S. Add ports voegt de bijbehorende services toe; daarna moeten ze onder Services in de regel zichtbaar zijn.

Plaats de regel boven een algemenere regel die dezelfde client en mailserver al matcht. Na het opslaan is de werkelijke Firewall Rule ID in Log Viewer doorslaggevend, niet de verwachte positie in de regeltabel. Sophos Firewall-regels veilig configureren legt opbouw, volgorde en Rule-ID-controle uit.

Het volledige pad testen

Plaats eerst een klein, onschadelijk bericht in de private testmailbox. De pilotclient haalt het via de bedoelde FQDN en poort op. In Log Viewer moeten bron-IP, doel-IP, service, actie en Firewall Rule ID overeenkomen met de nieuwe regel. Een tellerstijging bij een andere regel is een stopvoorwaarde.

Voor de controle van certificaat en TLS kunnen bijvoorbeeld de volgende verbindingstests, die niets wijzigen, vanaf een client in hetzelfde netwerk worden uitgevoerd:

openssl s_client -connect mail.example.net:993 -servername mail.example.net
openssl s_client -connect mail.example.net:995 -servername mail.example.net
openssl s_client -starttls imap -connect mail.example.net:143 -servername mail.example.net
openssl s_client -starttls pop3 -connect mail.example.net:110 -servername mail.example.net

Test alleen protocollen die de mailserver werkelijk aanbiedt. Vervang mail.example.net door de echte FQDN. De uitvoer bevestigt certificaat, keten en TLS-parameters, maar niet een succesvolle aanmelding of inhoudsscan. Beëindig de interactieve verbinding na de controle met Ctrl+C.

Herhaal daarna het ophalen met de echte mailclient. Gebruik warren.log voor proxyanalyse; Log Viewer en Packet Capture tonen daarnaast de regelmatch en het netwerkpad. Noteer tijdstip, client-IP, server-IP, poort en testonderwerp samen. Sophos Firewall-services en logs ordent het logbestand en legt veilige toegang uit.

Ophalen, Firewall Rule ID, TLS-parameters en correlatie met warren.log tonen samen het bedoelde ophaal- en TLS-pad aan, niet de doeltreffendheid van antivirus. Als een eigen Prefix subject-policy is geconfigureerd, test dan ook het hierboven beschreven berichtenpaar: Pilot: Test email voor het passende bericht en geen Pilot-voorvoegsel voor Control email. Documenteer de daadwerkelijk bezorgde onderwerpen; ook een correct voorvoegsel toont alleen de policyactie aan, niet de doeltreffendheid van antivirus. Controleer bij afwijkingen groepen, matchtype, headers en andere actieve policies en test beide berichten opnieuw.

De padtest bevat ook een negatief geval. Leg voor een niet-toegestane pilot-host of een niet-geselecteerde poort vooraf de verwachte regelbehandeling vast en controleer daarna de daadwerkelijke Rule ID en scanopties. Corrigeer een onbedoeld brede tweede scanregel; bewust geplande alternatieve bescherming is geen fout. De test vereist noch een globale afwezigheid van bescherming, noch algemeen blokkeren. Als een speciaal voorbereide testtegenpartij met een ongeldige certificaatketen beschikbaar is, moet de verbindings- of ophaalpoging door validatie van die keten mislukken zolang Allow invalid certificate op de firewall uitgeschakeld is; creëer hiervoor geen certificaatfout op de productieve tegenpartij.

Fouten per symptoom afbakenen

Het ophalen werkt, maar de proxy scant niet

Controleer eerst de Firewall Rule ID. Als een hogere of algemenere regel overeenkomt, corrigeer dan volgorde, bron, bestemming en service. Als de bedoelde regel overeenkomt, moeten de juiste optie Scan IMAP/IMAPS/POP3/POP3S en de poort onder Services actief zijn. Een POP-IMAP-policy alleen activeert de proxy niet.

De mailclient meldt na activering een certificaatfout

Noteer de weergegeven FQDN, uitgever, geldigheid en volledige keten. Controleer daarna de CA die onder POP and IMAP TLS configuration is geselecteerd en het vertrouwen van de client. Schakel Allow invalid certificate niet in als permanente workaround. Als onduidelijk blijft welk certificaat de proxy of server presenteert, draai dan de pilot terug voordat meer clients worden geraakt.

STARTTLS werkt, maar POP3S of IMAPS niet

Controleer poorten en verbindingsmodi afzonderlijk. POP3 op 110 en IMAP op 143 schakelen pas met STARTTLS naar een versleutelde sessie; POP3S op 995 en IMAPS op 993 beginnen met TLS. Mailclient, serverlistener, firewallservice en ingeschakelde scanoptie moeten dezelfde variant gebruiken.

Een groot bericht wordt bezorgd, maar niet gescand

Vergelijk Don’t scan emails greater than met de werkelijke berichtgrootte. Ook 0 beperkt POP/IMAP-scanning tot 10,240 KB. Verhoog de limiet niet blind voor één test zonder het effect op prestaties en geaccepteerd risico te beoordelen.

Het onderwerpvoorvoegsel ontbreekt

Controleer afzender- en ontvangergroep, matchtype, criterium en Recipient headers. Het bericht kan technisch zijn gescand terwijl de optionele policy niet overeenkwam. Beoordeel daarom de proxywerking en policyactie afzonderlijk.

Beheer en rollback

Voeg na een succesvolle pilot geleidelijk andere clients toe. Houd tijdens de uitrol regeltellers, warren.log, TLS-fouten en helpdeskmeldingen in de gaten. Wijzigingen aan mailservercertificaat, FQDN, poort of clientprofiel horen daarna bij hetzelfde wijzigingsproces, omdat ze het gevalideerde pad veranderen.

Verwijder voor een rollback eerst de pilot uit de beperkte regel of schakel de betreffende scanoptie uit. Controleer vervolgens of de oorspronkelijke e-mailophaling weer werkt en de verwachte vorige regel matcht. Verwijder een geïmporteerde CA of globale POP/IMAP-instelling alleen als geen andere service deze gebruikt. Verwijder berichten, logs of certificaten niet als standaard rollbackstap.

FAQ