Gereserveerde poorten op Sophos Firewall controleren

Sophos Firewall reserveert bepaalde poorten voor interne systeemdiensten. Deze poorten blijven gereserveerd, ook wanneer de bijbehorende dienst niet wordt gebruikt. Staat de gewenste poort in de onderstaande lijst, kies dan voor de lokale firewallfunctie een andere poort.

Dit is vooral belangrijk bij het plannen van een eigen poort voor WebAdmin, User Portal, VPN Portal, SSL VPN, WAF, een proxy of een andere dienst op de firewall. De reservering is slechts de eerste controle: een niet-gereserveerde poort kan al in gebruik zijn of via port sharing een onverwachte toegangsroute openen.

⚠️ Een niet-gereserveerde poort is nog geen beveiligingstoestemming. Bereikbaarheid, WAN-IP-adres, protocol, Administration > Device access, port sharing en voorliggende NAT moeten afzonderlijk worden gepland en getest. Doorgestuurd verkeer vereist daarnaast passende firewallregels; die regels regelen niet de toegang tot lokale systeemdiensten.

Gereserveerde poorten in SFOS 22

Deze lijst komt overeen met de op 4 september 2026 gecontroleerde stand van Sophos Firewall 22.0. Bereiken omvatten beide grenswaarden.

Poort	Poort	Poort
`4`	`11`	`22`
`23`	`24`	`25`
`41`	`53`	`58`
`109`	`142`	`161`
`179`	`197`	`198`
`273`	`299`	`300`
`414`	`415`	`417`
`418`	`419`	`464`
`500`	`514`	`546`
`547`	`885`	`886`
`992`	`994`	`1211`
`1415`	`1701`	`1723`
`1813`	`2121`	`2600`
`2709`	`2712`	`2718`
`2727`	`2736`	`2745`
`2754`	`2755`	`3001`
`3306`	`3400`	`3410`
`4128`	`4455`	`4500`
`4501`	`5432`	`5433`
`5434`	`5555`	`5685`
`5900–6000`	`6009`	`6060`
`6061`	`6177`	`6277`
`6379`	`6783`	`6789`
`7830`	`7831`	`8005`
`8009`	`8088`	`8089`
`8090`	`8091`	`8347`
`8384`	`9006`	`9090`
`9091`	`9092`	`9595`
`9687`	`9922`	`11001–11010`
`25315`	`25316`	`36878`
`39175`	`43076`	`49093`
`65001–65039`	`65123`	`65353`

Sophos publiceert deze reserveringen als poortnummers, zonder protocolspecifieke uitzondering. Probeer ze daarom niet te omzeilen door van TCP naar UDP te wisselen. Een dienst uitschakelen of herstarten geeft het nummer evenmin vrij.

Gereserveerd, uniek of gedeeld?

Bij de controle op conflicten telt de combinatie van protocol en poort: TCP 8443 en UDP 8443 zijn verschillende combinaties. Een productreservering geldt daarentegen voor het poortnummer zelf.

Gereserveerd: geen lokale firewallfunctie kan een nummer uit de lijst gebruiken.
Uniek: Web admin console en User portal vereisen elk een unieke poort, standaard TCP 4444 en TCP 4443.
Beperkt delen: gebruiken VPN Portal en SSL VPN dezelfde poort en hetzelfde protocol, dan werkt Login Security niet en wordt VPN Portal bereikbaar vanuit SSL VPN-zones. WAF moet verschillen in WAN-IP-adres, poort of protocol.

Lees port sharing tussen WebAdmin, portals, WAF en SSL VPN voor alle voorwaarden. De lijst vervangt deze conflictcontrole niet.

Een eigen poort wijzigen en controleren

1. Huidige toestand en afhankelijkheden vastleggen

Noteer vóór de wijziging poort, protocol, WAN-IP-adres en toegestane zones onder Administration > Device access. Inventariseer ook voorliggende NAT-/listenerregels, URL’s, monitoring en verspreide VPN-profielen om exact te kunnen terugkeren.

De belangrijkste velden zijn Administration > Admin and user settings > Admin console HTTPS port, User portal HTTPS port en VPN portal HTTPS port. Voor SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings > Protocol en Port. TCP 10443 is slechts een aanpasbaar voorbeeld; controleer het ondanks afwezigheid op de lijst tegen listeners, deelvoorwaarden en voorliggende apparaten.

Voor directe toegang tot lokale beheerdiensten bepaalt Administration > Device access de toegestane zones. Een gewone firewallregel verleent deze toegang niet en lost lokale conflicten niet op. Gebruik voor één host of netwerk een Local service ACL exception rule in plaats van brede zonetoegang.

⚠️ Afzonderlijke webproxyroute: SFOS behandelt HTTP- en HTTPS-aanvragen van de webproxy van de firewall als intern, niet als aanvragen uit de clientzone. De dienst voor die zone weigeren onder Administration > Device access isoleert deze proxyroute daarom niet. Gebruikers met proxytoegang kunnen via deze route lokale HTTPS-diensten zoals WebAdmin of de portals bereiken. Dit gaat over bereikbaarheid, niet over het omzeilen van de aanmelding of de toegang tot een SSL VPN-tunnel. Het portaloverzicht legt deze Device Access-uitzondering uit.

Controleer voor SSL VPN ook Override hostname, WAN-doorsturing en clientconfiguraties. De globale instellingen komen in het geïmporteerde .ovpn-bestand; getroffen clients hebben dus een bijgewerkte configuratie nodig.

3. Positief, negatief en functioneel testen

Maak na opslaan vanuit een toegestane zone verbinding met de volledige URL of een nieuw VPN-profiel en controleer aanmelding, tunnel en functie. Test ook vanuit een verboden zone en controleer dat geen tweede lokale dienst bereikbaar werd. Werk daarna NAT, monitoring en bladwijzers bij en test opnieuw. Dat de interface een waarde accepteert, bewijst alleen dat de instelling kon worden opgeslagen, niet dat de dienst bereikbaar is of dat aanmelding of VPN-verbinding werkt.

De positieve en negatieve tests voor directe toegang blijven nodig. Als clients de webproxy van de firewall kunnen gebruiken, test dan daarnaast de volledige nieuwe HTTPS-URL van de daadwerkelijk gewijzigde WebAdmin- of portaldienst via precies die proxy: vanuit de werkelijke clientzone en volgens de beoogde toegang. Leg vast of de dienst via de proxy bereikbaar is en of dit overeenkomt met de geplande toestemming of weigering. Een geweigerde directe verbinding bewijst geen isolatie van deze afzonderlijke route; een bereikbare aanmeldpagina bewijst nog geen geslaagde aanmelding.

4. Bij fouten de vorige toestand herstellen

Vul in hetzelfde veld de genoteerde poort en het oorspronkelijke protocol in. Zet NAT-/listenerregels, profielen, URL’s en monitoring terug en herhaal beide tests. De rollback moet de volledige vorige toestand herstellen en niet alleen een andere bereikbare poort gebruiken.

Uitgaande verbindingen naar Sophos zijn een ander onderwerp: Uitgaande Sophos-diensten en poorten toestaan.

Typische fouten

De gewenste poort kan niet worden opgeslagen

Controleer het nummer, inclusief de drie bereiken, en daarna lokale diensten en port sharing. Een vrije socket of firewallregel heft een productreservering niet op.

De poort is niet gereserveerd, maar extern niet bereikbaar

Controleer Administration > Device access, lokale ACL-uitzonderingen, WAN-IP, protocol, NAT, providerfiltering en de actieve dienst. Voor SSL VPN moet Override hostname een voor clients bereikbaar adres bevatten.

Oude profielen werken niet meer na een poortwijziging

VPN-profielen, URL’s, monitoring en portforwarding kunnen de oude poort bevatten. Werk ze bij of herstel ze allemaal naar de vastgelegde oude waarde.

FAQ

Komt een gereserveerde poort vrij wanneer de dienst wordt uitgeschakeld?

Nee. Sophos reserveert deze poorten ook wanneer de dienst niet wordt gebruikt.

Kan een firewallregel een gereserveerde poort vrijgeven?

Nee. Firewallregels sturen doorgestuurd verkeer; ze heffen de reservering of toegangscontrole voor lokale diensten niet op.