Begrijp en configureer de Sophos Firewall-regels veilig

Een Sophos Firewall-regel bepaalt welk verkeer tussen zones, netwerken, gebruikers en diensten wordt toegestaan of geblokkeerd. Niet het inschakelen van zo veel mogelijk opties is doorslaggevend, maar passende matchcriteria, de juiste volgorde, adequate beveiligingsfuncties en een reproduceerbare test.

Het menupad is:

Rules and policies > Firewall rules > Add firewall rule > New firewall rule

Dit artikel licht het regelformulier van boven naar beneden toe en gebruikt steeds het voorbeeld LAN_to_WAN_Clients. Speciale onderwerpen zoals NAT, TLS Inspection of IPS worden toegelicht voor zover dat voor de firewallregel nodig is; de gedetailleerde instructies zijn direct op de relevante plaats gelinkt.

Vooraf plannen

De juiste functie bepalen

Normale firewallregels regelen doorgestuurd verkeer dat door de firewall stroomt. Andere taken worden op andere plaatsen geconfigureerd:

• Lokale firewallservices: WebAdmin, User Portal, VPN Portal, SSH, DNS en SNMP worden geregeld via Administration > Device access, Local Service ACL en de configuratie van de betreffende service. Daarvoor is Device Access en Local Service ACL bedoeld.
• Door het systeem gegenereerd verkeer: Verbindingen die de firewall zelf opzet, hebben geen normale firewallregel nodig. De serviceconfiguratie, routing, WAN Link Manager en eventueel SD-WAN voor System Traffic zijn bepalend.
• Adres- en poortvertaling: NAT vertaalt verkeer, maar staat het niet toe. De firewall- en NAT-regel moeten samen kloppen.
• Routing en retourpad: Een passende firewallregel bewijst nog niet dat routing, SD-WAN, VPN of het retourpad correct zijn.
• Weblogica: Webcategorieën, URL-groepen en acties staan in de Web Policy. De firewallregel koppelt deze policy.
• HTTPS-decryptie: Een SSL/TLS inspection rule ontsleutelt het verkeer. Scan HTTP and decrypted HTTPS scant alleen HTTPS dat al is ontsleuteld.
• Gebruikersidentiteit: AD SSO, STAS, Captive Portal, Entra ID SSO of RADIUS moet de gebruiker eerst betrouwbaar aan het verkeer koppelen. Apparaten zonder aanmelding kunnen bij een vast, eenduidig IP-adres als Clientless Users worden geconfigureerd; deze koppeling is geen authenticatie.

Beheertoegang door de firewall tot servers, switches of hypervisors hoort in normale firewallregels. Toegang tot de firewall zelf hoort daarentegen bij Device Access.

Volgorde, IPv4 en IPv6

Sophos Firewall controleert regels van boven naar beneden. Zodra alle matchcriteria van een regel overeenkomen, worden de volgende regels niet meer geëvalueerd. Een algemene regel LAN_to_WAN_Any boven LAN_to_WAN_Restricted maakt de specifieke regel daarom ineffectief.

Een regel kan onder andere matchen op Source zone, Source network, tijdschema, Destination zone, Destination network, Service, gebruiker en Exclusions. Alle geconfigureerde criteria moeten bij de verbinding passen.

Automatisch aangemaakte MTA-, IPsec- of Hotspot-regels kunnen bovenaan de lijst verschijnen. Controleer de volgorde daarom opnieuw na wizards, migraties of VPN-wijzigingen. Bij een Sophos Firewall-hotspot maakt deze controle uitdrukkelijk deel uit van de installatieprocedure. Als SFOS geen passende regel vindt, geldt onderaan de impliciete Drop-all-regel met Firewall Rule ID #0. De regel toont geen Usage Count; het verkeer dat wordt gedropt, wordt als gebeurtenis gelogd.

IPv4- en IPv6-regels worden afzonderlijk beheerd. Een werkende IPv4-regel beschermt dezelfde dienst niet automatisch via IPv6. In dual-stackomgevingen moeten beide regelsets bewust worden gepland en getest.

De regelbasis duidelijk scheiden

Voor het aanmaken moeten Source, Destination, Services, Owner en testcase vaststaan. Verschillende risico’s horen niet in één verzamelregel:

• Clientinternet: Clientnetwerken naar de WAN-zone, met een passende Web Policy, Application Control, IPS en logging.
• Serverinternet: Alleen benodigde update-, back-up- of clouddoelen; meestal zonder gebruikerscontext.
• Gastwifi: Guest-zone naar internet, zonder interne doelen en indien nodig met een bandbreedtelimiet.
• Management: Gedefinieerde beheernetwerken naar servers en infrastructuur, gescheiden van normaal clientverkeer.
• Remote Access VPN: VPN-zone naar de werkelijk benodigde interne doelen en Services.
• Site-to-Site: Lokale en externe netwerken met passende routing, NAT en retourpad.
• Gepubliceerde systemen: WAN naar DMZ of serverzone met een beperkte Source, DNAT of WAF, IPS, logging en actuele patches.
• Tijdelijke toegang: Eigen regel met ticket, Owner, vervaldatum en geplande verwijdering.

Voor de netwerkstructuur helpt Sophos Firewall-zones en -interfaces configureren.

⚠️ Any kan helpen bij een korte test, maar is zelden een goede eindconfiguratie. Beperk de regel daarna tot de werkelijk benodigde bronnen, doelen en Services of verwijder de regel weer.

Praktijkvoorbeeld LAN_to_WAN_Clients

In het voorbeeld mogen clients uit een gedefinieerd LAN verbinding maken met internet. Servers, gasten, VoIP en management krijgen eigen regels.

• Rule name: LAN_to_WAN_Clients
• Description: Internettoegang voor clientnetwerk. Webfilter, App Control en IPS actief. Owner IT, review 2026-12-01.
• Rule position: Bottom, daarna onder specifieke blokkeer- en uitzonderingsregels plaatsen
• Rule group: Internet Access
• Action: Accept
• Log firewall traffic: ingeschakeld
• Source zones: LAN
• Source networks and devices: net_LAN_Clients
• During scheduled time: All the time
• Destination zones: WAN
• Destination networks: Any
• Services: HTTP, HTTPS en alleen de basisservices die daadwerkelijk rechtstreeks extern worden gebruikt
• Web policy: Default Workplace Policy
• Block QUIC protocol: ingeschakeld
• IPS: passende clientpolicy
• App control: passende client-Application Policy
• Shape traffic: alleen bij een concreet bandbreedtedoel
• DSCP marking: alleen als downstreamapparaten de markering verwerken

DNS en NTP horen alleen in deze LAN-to-WAN-regel als clients rechtstreeks externe resolvers of tijdservers benaderen. Als ze de firewall als DNS- of tijdservice gebruiken, is dit lokaal verkeer.

Voor de acceptatietest zijn een gedefinieerde client, een concreet doel, de verwachte Firewall Rule ID, de verwachte NAT Rule ID en een controle in de Log Viewer nodig. Zo wordt niet alleen gecontroleerd of de toepassing werkt, maar ook of de bedoelde regels het verkeer verwerken.

Firewallregel configureren

Kopgedeelte

Rule status, Rule name en Description

Rule status is standaard actief bij een nieuwe regel. Voorbereide regels kunnen tot het onderhoudsvenster uitgeschakeld blijven. Permanent uitgeschakelde test- of migratieregels moeten regelmatig worden gecontroleerd.

De naam moet Source, Destination en doel herkenbaar maken, bijvoorbeeld:

• LAN_to_WAN_Clients
• Guest_to_WAN_WebOnly
• Server_to_WAN_Updates
• VoIP_to_WAN_SIP_RTP
• WAN_to_DMZ_HTTPS_Webserver

De Description documenteert doel, Owner, ticket, beperkingen en eventueel de vervaldatum. Rule1, Allow of Internet helpt later tijdens het beheer nauwelijks. De afzonderlijke werkwijze staat in Sophos Firewall-regels zinvol documenteren.

Rule position en Rule group

Bij het aanmaken biedt Rule position in SFOS 22 de opties Top en Bottom. Daarna kan de regel in de regeltabel worden verplaatst of met Move To gericht worden gepositioneerd. Kies Top alleen als een specifieke regel bewust vóór bestaande regels moet worden toegepast.

Rule group verbetert het overzicht, maar verandert de matchlogica niet. None is de standaard. Bij Automatic wijst SFOS de regel aan een bestaande groep toe op basis van het eerste passende regeltype en de Source-/Destination-zones. De firewall blijft de afzonderlijke regels van boven naar beneden evalueren.

Action en logging

Action bepaalt hoe overeenkomend verkeer wordt behandeld:

• Accept: staat de verbinding toe.
• Drop: verwerpt deze normaal zonder antwoord. Als Use web authentication for unknown users is ingeschakeld, kan SFOS voor webverkeer in plaats daarvan een blokkeerpagina weergeven.
• Reject: verwerpt de verbinding en stuurt bij TCP een reset of bij UDP en ICMP een passend ICMP-antwoord.
• Protect with web server protection: maakt een WAF-regel. Deze optie is alleen beschikbaar voor IPv4 en vereist Webserver Protection. De configuratie hoort inhoudelijk bij Sophos Firewall WAF.

Drop is geschikt om verkeer stil te verwerpen; Reject geeft bij interne tests of troubleshooting sneller herkenbare feedback.

Log firewall traffic moet bij belangrijke regels zijn ingeschakeld. Daarnaast moeten onder System services > Log settings de juiste lokale, Sophos Central- of Syslog-doelen zijn geactiveerd. Zonder Destroy-event kan een sessie zonder afsluitend sessielog blijven, bijvoorbeeld bij een abrupte uitval van de verbinding.

Voor langere bewaring zijn Central Firewall Reporting of een Syslog-/SIEM-server geschikt. Logging dient niet alleen voor troubleshooting, maar ook voor de review: welke bronnen raken de regel, welke doelen worden gebruikt en is de toegang nog passend?

Hetzelfde selectievakje is de gegevensbron voor NetFlow v5 op Sophos Firewall: zonder Log firewall traffic exporteert NetFlow de verbindingen van deze regel niet.

Source, Destination en Services

In het gedeelte Source wordt bepaald waar het verkeer vandaan komt:

• Source zones: bijvoorbeeld LAN, VPN, DMZ, Guest of WAN.
• Source networks and devices: afzonderlijke hosts, netwerken, IP-ranges, groepen, FQDN Hosts of landobjecten.
• During scheduled time: All the time, werktijden of een onderhoudsvenster.

De zone alleen is meestal te breed. Voor het clientvoorbeeld wordt LAN daarom gecombineerd met net_LAN_Clients. Bij tijdgestuurde regels moeten de tijd van de firewall, de tijdzone en Schedule op elkaar aansluiten.

Tijdschema’s voor regels en policies instellen op Sophos Firewall laat zien hoe terugkerende en eenmalige tijdvensters worden gemaakt, toegewezen en bij hun omschakelgrenzen getest.

Onder Destination and services staan:

• Destination zones: bijvoorbeeld WAN, DMZ, LAN of VPN.
• Destination networks: Any, een host, netwerk, groep, landobject of FQDN Host.
• Services: protocol- en poortdefinities zoals HTTP, HTTPS, DNS, NTP of een eigen Service.

In Sophos Firewall-hosts en -services correct gebruiken staat hoe IP-hosts, netwerken, ranges, lijsten, Services en groepen worden aangemaakt en vóór wijzigingen worden gecontroleerd.

Any kan aanvaardbaar zijn voor een algemene clientinternetregel. Server-, management- en VPN-regels moeten veel beperktere doelen en Services gebruiken. Voor dynamische clouddoelen kunnen FQDN Hosts en Wildcard FQDNs helpen.

Gebruikers, Exclusions en Linked NAT

Match known users

Met Match known users worden gebruikers of groepen matchcriteria. Afhankelijk van de configuratie zijn daarna meer velden beschikbaar:

• Use web authentication for unknown users: leidt onbekende webgebruikers om naar AD SSO of Captive Portal. De authenticatie en toegang vanuit de betreffende zone moeten vooraf zijn geconfigureerd. Sophos Firewall Captive Portal instellen en testen laat zien hoe authenticatie, Device Access, de DNS-vereiste en de gebruikersregel samenwerken.
• Users or groups: beperkt de regel tot geselecteerde identiteiten.
• Exclude this user activity from data accounting: sluit het verkeer van deze gebruikers uit van de individuele registratie van dataverbruik.

Een gebruikersregel werkt alleen met een betrouwbare gebruikerstoewijzing. Een brede fallbackregel eronder mag hetzelfde verkeer niet zonder gebruikerscontext toestaan. Bij de acceptatietest moeten gebruiker, groep en Rule ID in de Log Viewer overeenkomen.

Add exclusion

Add exclusion sluit verkeer uit van deze regel. SFOS slaat de regel alleen over als alle geconfigureerde Exclusion-criteria tegelijk overeenkomen en controleert daarna de volgende regel.

Als criteria zijn Source zones, Source networks and devices, Destination zones, Destination networks en Services beschikbaar.

Een zinvolle uitzondering is bijvoorbeeld een updateserver die van een algemene clientregel wordt uitgesloten en erboven een eigen regel met andere beveiligingsfuncties krijgt. Als Exclusions talrijk of moeilijk te begrijpen worden, is een afzonderlijke specifieke regel meestal beter.

Create linked NAT rule

Een Linked NAT Rule is een Source NAT-regel die alleen geldt voor het verkeer van de gekoppelde firewallregel. In de NAT-regel kunnen hoofdzakelijk de vertaalde Source en de interfacespecifieke Source Translation worden ingesteld.

De fabrieksconfiguratie bevat normaal een Default SNAT-regel met MASQ. Controleer vóór een extra Linked NAT Rule of deze regel het verkeer al correct afhandelt. Als een hoger geplaatste onafhankelijke NAT-regel matcht, heeft die voorrang op de Linked NAT Rule.

Bij DNAT bepaalt SFOS eerst het vertaalde doel en gebruikt vervolgens de zone daarvan voor de matching van de firewallregel. Een portforward naar een server in de DMZ vereist in de firewallregel daarom doorgaans Destination zone DMZ, ook al benadert de client het openbare WAN-adres.

Bij een onverwachte NAT Rule ID moet daarom ook de volgorde onder Rules and policies > NAT rules worden gecontroleerd. Na NAT-wijzigingen moet een nieuwe verbinding worden opgezet, omdat bestaande sessies niet opnieuw worden geëvalueerd. NAT staat zelf geen verkeer toe: de firewallregel bepaalt Allow of Drop, NAT vertaalt adressen of poorten. De details staan in NAT op Sophos Firewall begrijpen.

Beveiligingsfuncties selecteren

Niet elke optie is beschikbaar met de Base License. Controleer vóór de uitrol onder Administration > Licensing:

• Normale firewallregels: Base License
• IPS en Security Heartbeat: Network Protection
• Web Security, Application Control en bescherming tegen webmalware: Web Protection
• Sandboxing en bestandsanalyse: Zero-Day Protection
• E-mailbeveiliging: Email Protection
• WAF: Webserver Protection
• NDR Active threat intelligence: Xstream Protection Bundle

Standard Protection en Xstream Protection bevatten Web Protection. De Avanet-bundel Epic Protection bevat eveneens Web Protection. De volledige indeling staat in Sophos Firewall-licentiebundels vergelijken.

Web Filtering

Web policy koppelt een Web Policy met categorieën, URL-groepen, gebruikers en acties. Zonder Web Policy biedt dit veld geen webcontrole op basis van categorieën. De policy zelf wordt onder Web Protection aangemaakt en getest.

Apply web category-based traffic shaping gebruikt de bandbreedte-instellingen van de webcategorieën. De optie is alleen zinvol als daar werkelijk limieten of garanties zijn geconfigureerd.

Block QUIC protocol blokkeert voor de regel uitgaand UDP op poort 80 en 443. QUIC kan niet zoals normaal HTTP-/HTTPS-verkeer worden gescand en omzeilt Web Filtering. SFOS schakelt de optie standaard in als een Web Policy of de malwarescan wordt geselecteerd. Details staan in QUIC en HTTP/3 blokkeren.

Scan HTTP and decrypted HTTPS controleert HTTP en al ontsleuteld HTTPS op malware. De optie activeert geen decryptie. Daarvoor is onder Rules and policies > SSL/TLS inspection rules een passende SSL/TLS inspection rule nodig.

Use Zero-day protection stuurt verdachte downloads na de malwarescan door voor aanvullende analyse. De functie vereist Zero-Day Protection en kan afhankelijk van het bestandstype en de policy vertraging veroorzaken.

Scan FTP for malware is alleen nodig als de regel FTP toestaat. Bij legacysystemen moet de scan afzonderlijk worden getest.

Use web proxy instead of DPI engine beperkt proxyfiltering tot de gebruikelijke poorten 80 en 443. De Web Proxy is onder andere nodig voor SafeSearch, YouTube Restrictions, Google Workspace Domain Restrictions, Pharming Protection, Web Cache of Parent Proxy. In de DPI-modus gelden SSL/TLS inspection rules voor HTTP en TLS op alle poorten.

Een upstream proxy op Sophos Firewall configureren beschrijft de extra regel- en NAT-keten voor een parent proxy. Een proxy in WAN heeft een ander pad nodig dan een proxy in LAN of DMZ.

Een expliciet geconfigureerde Direct Web Proxy-client gebruikt de listener daarentegen ook zonder deze optie. Direct Web Proxy met een PAC-bestand instellen legt de volledige configuratie met poort, Device Access, PAC-bestand, regel en tests uit.

Decrypt HTTPS during web proxy filtering hoort bij de Web Proxy-modus. In de DPI-modus wordt decryptie geregeld via SSL/TLS inspection rules. Web Exceptions kunnen Decryption, Malware Scan, Zero-Day Protection en Policy Checks overslaan en moeten daarom strikt worden beperkt en regelmatig worden gecontroleerd.

Synchronized Security Heartbeat

Heartbeat-regels vereisen:

• een firewall die in hetzelfde Sophos Central-account is geregistreerd en waarop Security Heartbeat is ingeschakeld;
• een beheerd Sophos Endpoint met een trial- of volledige licentie;
• Network Protection op de firewall.

Om ontbrekende heartbeats te herkennen, moeten de betreffende zones worden geselecteerd onder System > Sophos Central > Optional configurations > Missing heartbeat zones.

Met Minimum source HB permitted en Minimum destination HB permitted wordt een minimale gezondheidsstatus vereist. Destination Heartbeat is alleen geschikt voor interne doelen, niet voor de WAN-zone.

De opties Block clients with no heartbeat en Block request to destination with no heartbeat behandelen apparaten zonder heartbeat. Een apparaat dat nog nooit een heartbeat heeft verstuurd, blijft standaard toegestaan en wordt pas geblokkeerd als beide opties actief zijn. Dit moet bewust worden getest met apparaten zonder Sophos Endpoint.

Een Web Exception die Policy checks overslaat, kan webrequests ondanks Block clients with no heartbeat toestaan. De praktische controleprocedure staat in Waarschuwingen over ontbrekende Security Heartbeat analyseren.

Application Control, IPS en Traffic Shaping

Identify and control applications (App control) koppelt een Application Filter Policy. Application Control vereist Web Protection. Voor URL-gebaseerde Micro Apps in versleuteld verkeer, zoals bestandsuploads en -downloads binnen Dropbox of Gmail, is een passende ontsleutelende SSL/TLS inspection rule vereist. Filters, logs en False Positives worden toegelicht in Application Control configureren.

Apply application-based traffic shaping policy gebruikt de bandbreedtepolicy die onder Applications > Traffic shaping default aan een toepassing of categorie is toegewezen. Application Objects zijn daarentegen bedoeld voor SD-WAN-routes. Een via Shape traffic geselecteerde Rules Policy vormt het volledige verkeer van de firewallregel. Sophos documenteert de prioriteit bij gelijktijdig gebruik van een Application Policy en Rules Policy niet eenduidig; gebruik voor een reproduceerbaar ontwerp per gebruiksscenario slechts één variant en test een noodzakelijke combinatie op de gebruikte SFOS-build.

Detect and prevent exploits (IPS) koppelt een IPS Policy. IPS vereist Network Protection of een geldige triallicentie en moet onder Intrusion prevention > IPS policies globaal zijn ingeschakeld. Client-, server-, webserver- en VoIP-verkeer vereisen verschillende, geteste policies. De veilige uitrol staat in IPS configureren en testen.

Shape traffic wijst aan de volledige regel een Traffic Shaping Policy toe, bijvoorbeeld voor VoIP, meetings, back-ups of gasten. Garanties en limieten moeten bij de beschikbare WAN-bandbreedte passen. Meer informatie: Application Traffic Shaping configureren.

DSCP marking markeert pakketten voor downstreamswitches, routers of WAN-apparaten. Alleen de markering geeft geen prioriteit; alle betrokken apparaten moeten de gekozen DSCP-waarden consistent behandelen.

NDR Active threat intelligence

Scan with NDR Active threat intelligence controleert het verkeer met zorgvuldig geselecteerde NDR-signatures. De actie staat vast op Log threats: de functie detecteert en registreert gebeurtenissen, maar blokkeert het verkeer niet.

Vereisten zijn:

• Xstream Protection Bundle;
• globale activering van NDR Active threat intelligence;
• ingeschakelde IPS-logging;
• selectie van de optie in elke relevante firewallregel.

XGS-, virtuele, software- en gangbare cloudimplementaties worden ondersteund, maar XGS 87, 87w, 88 en 88w niet. XDR of MDR en de overdracht naar Sophos Central zijn optioneel voor verdere analyse in Central.

Scan email content

Onder Scan email content kunnen IMAP, IMAPS, POP3, POP3S, SMTP en SMTPS worden geselecteerd. De beveiliging vereist Email Protection. Als de standaardpoorten ontbreken onder Services, kunnen ze via Add ports worden toegevoegd.

E-mailverkeer hoort niet verborgen te zijn in een algemene clientinternetregel. Een aparte e-mailregel maakt Source, Destination, protocollen, logging en beveiligingsfuncties duidelijker.

De regel testen en beheren

Acceptatietest na het opslaan

Na het opslaan is de regel pas klaar wanneer de gedefinieerde testcase de verwachte resultaten oplevert:

Voer per test maar één wijziging uit, zodat oorzaak en gevolg aan elkaar kunnen worden gekoppeld.

1. Regelpositie en Rule group controleren.
2. Log firewall traffic en de doelen onder System services > Log settings controleren.
3. Met één gedefinieerde client, doel en Service precies één testverbinding opzetten.
4. Firewall Rule ID, Rule name, gebruiker en Action in de Log Viewer controleren.
5. NAT Rule ID en vertaalde adressen controleren.
6. DNS en routing afzonderlijk verifiëren.
7. Web Policy, Application Control, IPS en TLS Inspection aan de hand van de verwachte Action controleren.
8. Letten op onverwachte Drops, SSL/TLS-fouten of prestatieproblemen.
9. De testregel verwijderen of beperken tot de productieobjecten.

Voor Policy Test, Log Viewer en Packet Capture is er de afzonderlijke procedure Sophos Firewall-regel testen.

Nieuwe regel, bestaande regel of uitschakelen

Een bestaande regel kan worden uitgebreid als Source, Destination, doel, Owner en beveiligingsbehoefte gelijk blijven. Een eigen regel is beter als logging, vervaldatum, Security Features, verantwoordelijken of reviewcyclus afwijken.

Tijdelijke supporttoegang, servers, gasten, VoIP, IoT en management mogen niet verdwijnen in een algemene clientregel. Bij onduidelijke oude regels is gecontroleerd uitschakelen meestal veiliger dan onmiddellijk verwijderen:

1. Doel, Owner en afhankelijkheden bepalen.
2. Logging en testvenster vastleggen.
3. Betrokken teams informeren.
4. Regel uitschakelen en gedefinieerde tests uitvoeren.
5. Pas na een traceerbare observatie verwijderen.

Een zelden gebruikte noodregel kan belangrijk zijn. Omgekeerd is een vaak gebruikte brede regel niet automatisch veilig.

Datateller, review en wijzigingsregistratie

Reset data transfer count reset de hoeveelheid overgedragen data van een regel. Dit is geen sessie- of hitcounter. De status Unused betekent alleen dat in de afgelopen 24 uur geen passend verkeer is gevonden. Beide aanwijzingen moeten samen met logs, regelbeschrijving en usecase worden beoordeeld. Voor de evaluatie van de overgedragen data kan ook Reports > Dashboards > Traffic dashboard > Allowed policies worden gebruikt.

Regelmatige reviews controleren ten minste:

• Source, Destination en Services;
• resterende Any-objecten;
• Owner, ticket en vervaldatum;
• logging en daadwerkelijk gebruik;
• NAT, Web Policy, IPS, TLS Inspection en andere beveiligingsfuncties;
• uitgeschakelde, tijdelijke en automatisch aangemaakte regels.

Vóór grote wijzigingen moet een back-up beschikbaar zijn. Audit Trail Logs en Config Studio tonen configuratiewijzigingen; bij door Central beheerde groepen bevestigt de Firewall Management Task Queue of de wijziging op de juiste appliance is aangekomen. De Firewall Health Check vult de regelmatige beveiligingsreview aan.

Typische fouten

• De verwachte regel wordt niet toegepast of Rule ID #0 verschijnt: Controleer de volgorde, IPv4/IPv6 en alle criteria voor Source, Destination, Service, gebruikers en Exclusions.
• De Firewall Rule ID klopt, maar de NAT Rule ID of het pakketpad niet: Controleer de NAT-volgorde, routing, SD-WAN en het retourpad.
• De regel wordt toegepast, maar de beveiliging werkt niet of de toepassing loopt vast: Controleer afzonderlijk licentie, globale activering, logging, Web Policy, QUIC, TLS Inspection, IPS en Traffic Shaping Policy.

Als Rule ID, NAT ID of het pakketpad onverwacht zijn, helpt Sophos Firewall-regel wordt niet toegepast bij een gestructureerde oorzaakanalyse.