Via SSH verbinding maken met Sophos Firewall

Voor veel ondersteunings- en probleemoplossingstaken heeft u toegang nodig tot de Sophos Firewall via SSH. Denk hierbij bijvoorbeeld aan loganalyses, serviceherstarts, speciale diagnosecommando’s of het werken in de Advanced Shell.

Maar SSH is ook een beheertoegang met een hoog risico. Toegang mag daarom alleen worden toegestaan ​​vanaf betrouwbare beheerdersnetwerken, via een gerichte Local Service ACL-uitzonderingsregel of via duidelijk gedefinieerde ondersteuningstoegang. Voor algemene versterking van lokale firewallservices is Configureer Device Access correct ook geschikt.

Vereisten

Voor een SSH-verbinding met de Sophos Firewall heeft u nodig:

• Administratieve toegang tot de Sophos Firewall.
• Het IP-adres of de DNS-naam van de firewall.
• Toegang tot gebruiker admin.
• Een gewijzigd en veilig gedocumenteerd wachtwoord voor de standaardbeheerder; het fabriekswachtwoord mag niet in productie gebruikt blijven.
• Een vertrouwde beheerdersbron, bijvoorbeeld beheernetwerk, VPN of vast beheerders-IP.
• Op macOS of Linux: de vooraf geïnstalleerde Terminal-app met SSH.
• Op Windows: Windows Terminal met OpenSSH of PuTTY.
• SSH-toegang toegestaan onder Administration > Device access of via een Local service ACL exception rule.
• Bij geplande wijzigingen in de Advanced Shell: een back-up, een onderhoudsvenster en een duidelijk vastgelegd plan om wijzigingen bij problemen terug te draaien.

⚠️ SSH mag alleen worden toegestaan ​​vanaf vertrouwde netwerken. Voor productieve omgevingen is het beter om de toegang tot een beheer-IP- of beheerdersnetwerk te beperken in plaats van SSH algemeen vrij te geven.

Vooraf bepalen waarvoor SSH nodig is

Niet elke analyse heeft de Advanced Shell nodig. Voordat u inlogt, moet duidelijk zijn welke console nodig is en hoe ernstig de ingreep is.

• Routing, DNS, Ping, eenvoudige systeemopdrachten: Device Console. Sophos CLI, minder riskant dan de Advanced Shell.
• Gedetailleerde systeeminformatie, databases of systeemdiensten: hiervoor kan Advanced Shell nodig zijn. Beperk u zonder betrouwbare, casusspecifieke Sophos-instructies tot alleen-lezen controles en wijzig of verwijder niets.
• Servicestatus controleren of fouten opsporen: Advanced Shell. Debug alleen specifiek activeren en weer deactiveren.
• Onbekende opdrachten: Controleer de opdracht eerst, reproduceer deze in een testomgeving of open een supportaanvraag. Probeer het niet in het productiesysteem.

Het onderscheid is belangrijk omdat Device Console en Advanced Shell verschillende syntaxis gebruiken. Veel fouten ontstaan ​​simpelweg omdat een correct commando op de verkeerde plaats wordt ingevoerd. Een breder overzicht is beschikbaar in Sophos Firewall Probleemoplossing: Services en logboeken.

SSH-toegang tot de firewall toestaan

Om een verbinding mogelijk te maken, moet de Sophos Firewall SSH toestaan in de juiste zone of via een Local Service ACL-uitzonderingsregel.

1. Meld u aan bij WebAdmin van de Sophos Firewall.
2. Open Administration.
3. Selecteer Device access.
4. Controleer onder Local service ACL of SSH is toegestaan voor de beoogde vertrouwde beheerzone. Noteer de huidige toestand voordat u iets wijzigt.
5. Als u bewust toegang voor deze hele zone wilt toestaan, schakelt u SSH alleen voor deze zone in en slaat u de wijziging op met Apply. Instellingen die al correct zijn, hoeft u niet opnieuw te wijzigen.

Voor een vertrouwd intern beheernetwerk kan bijvoorbeeld LAN de juiste zone zijn. Toegang toestaan voor een zone beperkt de toegang echter niet tot één beheercomputer. Om de toegang te beperken tot een beheer-IP of beheernetwerk gebruikt u in plaats daarvan de hieronder beschreven Local service ACL exception rule; brede toegang voor de zone is daarvoor geen aanvullende verplichte stap. Schakel SSH niet zonder gerichte beperking in voor WAN.

Device Access regelt toegang tot de firewall zelf. Dit is niet hetzelfde als een normale firewallregel die verkeer door de firewall toestaat. Als SSH in Device Access te breed is ingeschakeld, kan een client de lokale SSH-service van de firewall bereiken, ook wanneer een klassieke LAN-to-WAN-regel correct is geconfigureerd.

De webgebaseerde CLI Console biedt een andere toegangsroute dan een SSH-client: de SSH-client gebruikt TCP 22, terwijl de browserconsole de HTTPS-toegang tot WebAdmin gebruikt. Voor toegang via de browser opent u Administration > Device access, controleert u onder Local service ACL of HTTPS is toegestaan voor de beoogde vertrouwde beheerzone en schakelt u dit zo nodig in met Apply. Vervolgens opent u in WebAdmin rechtsboven de vervolgkeuzelijst voor de beheerder en selecteert u Console. Voor deze toegangsroute via de browser hoeft SSH niet te zijn toegestaan. Ook HTTPS wordt niet zonder gerichte beperking voor WAN opengesteld; bestaande bronbeperkingen blijven van kracht.

Voor de accountkeuze geldt de gedocumenteerde beperking van SFOS 22 en 23: de PuTTY-instructies vereisen uitdrukkelijk admin en sluiten andere gebruikersnamen uit, ook bij aanmelden met een wachtwoord. De profielbeschrijving geeft het profiel Administrator weliswaar volledige CLI-toegang en staat toe dat het aan andere beheerders wordt toegewezen, maar noemt daarvoor geen transportmethode. Een rolmachtiging garandeert daarom niet dat een account op naam zich via netwerk-SSH kan aanmelden. Evenmin is hier algemene toegang tot de browserconsole voor elk account op naam bevestigd. Voordat u een toegangsroute als terugvaloptie gebruikt, controleert u de concrete toegang met het beoogde account op de geïnstalleerde SFOS-versie. Als Console ontbreekt of de toegang wordt geweigerd, houdt u bestaande werkende sessies open; controleer het account, het profiel en de toegangsroute en bespreek het probleem zo nodig met Sophos Support in plaats van WAN- of ACL-machtigingen te verruimen. De volgende SSH-stappen blijven admin gebruiken; het exclusieve beheer van de SSH Public Keys door de standaardbeheerder is een afzonderlijke machtiging.

Noteer vóór de wijziging in welke zones SSH momenteel is ingeschakeld en welke SSH-uitzonderingen al bestaan. Zo kunt u de beginsituatie herstellen zonder een andere bewuste toestemming te verwijderen.

Klik onder Local service ACL exception rule op Add en stel de waarden zo beperkt mogelijk in:

• Name: bijvoorbeeld SSH-vanaf-adminnetwerk; vrij te kiezen en eenduidig
• Rule position: de positie van de uitzondering in de Local Service ACL
• Description: doel, verantwoordelijk team en einddatum bij tijdelijke toegang
• IP version: IPv4 of IPv6 passend bij de adminbron en het bestemmingsadres
• Source zone: de zone van waaruit het beheer plaatsvindt
• Source Network / Host: het beheerders-IP of beheernetwerk
• Destination host: het firewall-IP of de interface die wordt beheerd, als de toegang ook tot een concreet doeladres kan worden beperkt
• Services: SSH
• Action: Accept

Sla op met Save. Voor één beheersysteem kan Source Network / Host bijvoorbeeld een hostobject met 192.0.2.10 zijn. Dit is een documentatieadres; vervang het door het werkelijke, bij voorkeur vaste beheer-IP. Destination host beperkt bovendien via welk firewall-IP de dienst bereikbaar is. Neem niet zonder operationele reden alle interfaceadressen op.

Open een nieuwe SSH-sessie vanaf de bedoelde beheerbron. De test slaagt wanneer het consolemenu verschijnt. Test daarna vanaf een bewust niet-toegestaan netwerk en bevestig dat daar geen sessie tot stand komt. Houd bij een onverwacht resultaat de bestaande WebAdmin-sessie open en controleer bron-IP, Source zone, IP version, Destination host, regelpositie en bovenliggende filters.

Was de toegang tijdelijk, verwijder dan uitsluitend deze uitzondering onder Administration > Device access > Local service ACL exception rule en bevestig met OK. Als u een zonevakje wijzigde, zet u alleen dat vakje terug naar de genoteerde toestand en klikt u op Apply. Test vervolgens vanaf dezelfde bron of SSH weer precies zoals vóór de wijziging bereikbaar of geblokkeerd is. Zo valideert de test de uitgangssituatie zonder ervan uit te gaan dat de aanmelding altijd moet slagen of mislukken.

SSH mag niet ongecontroleerd toegankelijk zijn vanaf internet. Als externe toegang nodig is, mag dit alleen worden toegestaan via een duidelijk gedefinieerd bron-IP, VPN of speciale ondersteuningstoegang.

Diagnostics > Support access is een afzonderlijk mechanisme. Het stelt SSH niet zomaar vanaf internet open, maar geeft Sophos Support tijdelijke toegang via een supportkanaal dat door de firewall wordt opgezet. Ook deze toegang moet in tijd worden beperkt en na de supportcase weer worden uitgeschakeld.

Bij het inschakelen van Support access kiest u een duur; daarna genereert de firewall een unieke Access ID voor Sophos Support. Deze Access ID blijft gedurende de gekozen periode geldig; Support access kan op elk moment voortijdig worden uitgeschakeld. Sophos Support kan daarmee toegang krijgen tot WebAdmin en de shell zonder de gebruikelijke beheerdersreferenties nodig te hebben. De firewall zet zelf de uitgaande supportverbindingen voor zowel HTTPS als SSH op via TCP 22; operationeel is dit iets anders dan inkomende SSH vanaf het WAN toestaan.

Vóór elke activering – ook in WebAdmin – controleert u eerst onder 4. Device Console het bestaande supportkanaal met de alleen-lezen opdracht:

show support_access

De opdracht toont of Support access actief is en, bij actieve toegang, ook de Access ID en de duur. Documenteer de uitgangstoestand en een weergegeven duur en Access ID uitsluitend in de geauthentificeerde, bijbehorende supportcase. De weergave alleen bewijst niet bij welke case het kanaal hoort; stem deze koppeling en de toestemming voor toegang af met het verantwoordelijke team en Sophos Support.

Als er al een kanaal voor een andere case actief is of als onduidelijk is wie ervoor verantwoordelijk is, stopt u en stemt u de vervolgstappen af, zonder het kanaal opnieuw te activeren, te vervangen of uit te schakelen. Ook een actief kanaal dat al voor dezelfde case is geautoriseerd, wordt niet opnieuw geactiveerd; het verdere gebruik en de afsluiting ervan worden binnen de bestaande case afgestemd. De zelfstandige procedure van activeren, analyseren en deactiveren begint u alleen als de uitgangstoestand bevestigd inactief is en er uitdrukkelijke toestemming voor deze supportcase is. Deze voorwaarde geldt voor beide volgende toegangsroutes.

Voor de WebAdmin-methode opent men Diagnostics > Support access, schakelt men Support access in en bevestigt men met OK. Daarna kiest men de benodigde duur voor de betreffende supportcase, klikt men op Apply en bevestigt men opnieuw met OK. De firewall zet een beveiligde stuurverbinding naar zijn toegangsproxy op; de gegenereerde access ID staat onder Access status en wordt uitsluitend via het afgesproken supportkanaal met Sophos Support gedeeld.

Support access via Device Console beheren

SFOS 22 kan het supportkanaal ook onder 4. Device Console activeren. Voer daar onmiddellijk vóór de schrijfopdracht nogmaals de hierboven beschreven controle uit met show support_access. Activeer het kanaal alleen als het bevestigd inactief is en er toestemming voor deze case is:

set support_access enable

Na een geslaagde activering toont de opdracht de Access ID en de toegangsduur. Vergelijk de daadwerkelijk weergegeven duur met de toestemming voor deze case; de gedocumenteerde CLI-syntaxis bevat geen parameter om een duur in te stellen. Als u een specifieke duur nodig hebt, gebruikt u na dezelfde voorafgaande controle de hierboven beschreven WebAdmin-methode. Geef de Access ID en de duur alleen door in de geauthentificeerde, bijbehorende supportcase en kopieer ze niet naar algemene documentatie, chats of wachtwoordkluizen.

Na afronding van de analyse schakelt u, ongeacht de resterende looptijd, uitsluitend uw eigen kanaal uit dat met toestemming voor deze case is ingesteld. Controleer eerst met show support_access en de gedocumenteerde Access ID of het nog steeds om dit kanaal gaat. Als het al inactief is, is de schrijfopdracht niet nodig; bij een afwijkende ID of onduidelijkheid over wie verantwoordelijk is, stopt u en stemt u de vervolgstappen af, in plaats van een mogelijk kanaal van een ander uit te schakelen:

set support_access disable

Controleer vervolgens onder Diagnostics > Support access of met show support_access of uw eigen kanaal niet meer actief is. disable wijzigt noch de normale SSH-configuratie onder Device Access, noch Local Service ACL Exception Rules; draai tijdelijke beheer- en SSH-machtigingen daarom afzonderlijk terug naar de eerder genoteerde toestand, en alleen voor zover u deze zelf hebt gewijzigd.

Als er vóór de firewall nog een router of uitgaand filter staat, moet die TCP 22 naar *.apu.sophos.com toestaan. Hiervoor wordt geen inkomende WAN-regel op Sophos Firewall gemaakt. Inactieve supportsessies worden na 15 minuten gesloten; de gekozen totale duur en de mogelijkheid om Support access handmatig uit te schakelen staan los van die time-out.

Uitgaande services en poorten van Sophos Firewall controleren ordent de overige fabrikantdoelen voor updates, licenties, RED, Central, reporting en back-ups.

Support access via XML API: vóór schrijftoegang duidelijkheid verkrijgen

De XML-API-help voor SFOS 22 en 23 noemt het object SupportAccess, maar bevat twee tegenstrijdigheden: In het XML-voorbeeld heet de tag voor de duur GrantAccessFor, maar in de parametertabel GrantAccessForr. Voor ConfigOption vermeldt de tabel de standaardwaarde ON, maar staat alleen Enable en Disable toe. Hieruit kan noch een geldige requestwaarde ON noch standaard actieve supporttoegang worden afgeleid. Verduidelijk vóór een schrijfbewerking de geldige schrijfwijze van de tag voor de geïnstalleerde build in API help of met Sophos Support.

De tabel markeert beide velden als optionele scalaire waarden en vermeldt de tijdsperioden 1 day, 2 days, 1 week, 2 weeks, 1 month en 2 months. Dit maakt niet duidelijk wat er daadwerkelijk gebeurt als een veld wordt weggelaten. Vóór een geautomatiseerde wijziging controleert u daarom de objectspecifieke API-help van de geïnstalleerde SFOS-build en laat u openstaande vragen over de tag, de waarden of het gedrag bij weglaten door Sophos Support ophelderen. Zolang de tegenstrijdigheid niet is opgehelderd, stopt u de XML-schrijftoegang; u verzint geen payload en probeert niet beide schrijfwijzen in het productiesysteem uit. Voor een goedgekeurde supportcase blijft de hierboven beschreven WebAdmin-methode het alternatief, zonder WAN- of ACL-machtigingen te verruimen.

De referentie vermeldt voor deze bewerking 200 met Operation Successful. en 500 met Operation Fail.. Controleer de concrete objectrespons, in plaats van een mislukte of onduidelijke schrijfbewerking blindelings te herhalen. Na een bevestigde wijziging controleert u de daadwerkelijke activeringsstatus en de duur onder Diagnostics > Support access of met het hierboven beschreven show support_access. Deactiveer na de supportcase uitsluitend uw eigen, voor deze case geautoriseerde kanaal met toepassing van de hierboven beschreven controles op de verantwoordelijkheid en controleer de inactieve toestand; tijdelijke SSH-/ACL-machtigingen worden nog steeds afzonderlijk teruggedraaid.

Publieke sleutel voor admin opslaan

Voor toegang tot SSH heeft authenticatie met openbare sleutels de voorkeur. Op de Sophos Firewall kan de openbare sleutel voor de gebruiker admin worden opgeslagen onder Administration > Device access. Inloggen met een wachtwoord kan nodig zijn voor noodgevallen, maar zou niet de handigste standaardtoegang moeten blijven.

⚠️ Een SSH login op de Sophos Firewall is alleen mogelijk met de gebruiker admin. Andere WebAdmin-gebruikers kunnen niet inloggen via SSH.

Belangrijk: alleen de standaardbeheerder kan de authenticatie met openbare sleutels voor SSH wijzigen, dus SSH-sleutels toevoegen of verwijderen. Zulke wijzigingen aan SSH-sleutels horen thuis in een gedocumenteerd beheerproces en zijn geen ad-hocroute voor ondersteuning.

De standaardbeheerder is geen normaal rolaccount dat zomaar kan worden vervangen. Sophos geeft aan dat dit account niet kan worden hernoemd of verwijderd. Het wachtwoord van de standaardbeheerder, MFA- of herstelinformatie voor interactieve beheerdersaanmeldingen en de opgeslagen openbare SSH-sleutels moeten daarom samen in het beheerproces worden beheerd. Een publieke sleutel vervangt geen zorgvuldig beheer van dit account.

Benoemde WebAdmin-beheerders worden afzonderlijk beheerd en kunnen niet met hun eigen gebruikersnaam via SSH aanmelden. Lokale beheerders en Device Access-profielen volgens least privilege beheren beschrijft de levenscyclus en rechten van deze accounts.

Voordat u de publieke sleutel op de firewall opslaat, genereert u op uw eigen beheerclient met een SSH-sleutelhulpmiddel een bij elkaar horend paar van een publieke en een privésleutel. Een bestaand, geschikt en bij elkaar horend sleutelpaar kan worden hergebruikt. Volg voor het sleuteltype en de sleutellengte de aanwijzingen in de volgende sectie over ondersteunde SSH-sleuteltypen. Bewaar en bescherm de privésleutel uitsluitend op de beheerclient; deel deze nooit en upload deze nooit naar de firewall. Kopieer voor de volgende stappen alleen de publieke sleutel.

De publieke sleutel wordt toegevoegd in het gedeelte Public key authentication for admin:

1. Open Administration.
2. Selecteer Device access.
3. Scroll naar het gedeelte Public key authentication for admin.
4. Activeer Enable authentication.
5. Voeg de openbare sleutel toe onder Authorized keys.
6. Sla op met Apply.

Houd de bestaande WebAdmin- of SSH-sessie open terwijl u de nieuwe sleutel in een tweede SSH-sessie test. Verwijder pas een oude sleutel of wijzig pas de wachtwoordterugval wanneer het consolemenu in die tweede sessie verschijnt. Bij een mislukte test blijft de bestaande toegang beschikbaar: controleer sleuteltype, publieke-sleutelinvoer, bijbehorende privésleutel en toegestane bron en verwijder alleen de nieuw toegevoegde foutieve invoer.

De privésleutel blijft altijd op de beheerclient en mag niet worden gedeeld. Alleen de publieke sleutel wordt op de firewall opgeslagen.

Als meerdere beheerders SSH gebruiken, mag dezelfde privésleutel niet worden gedeeld. Het is beter om aparte admin-clients te hebben, gedocumenteerde publieke sleutels en een overzicht van welke sleutels nog nodig zijn. Na personeels- of dienstverlenerswisselingen moet het gebied Authorized keys worden gecontroleerd.

Ondersteunde SSH-sleuteltypen

Niet elk modern sleuteltype SSH is even geschikt voor Sophos Firewall. Voordat u het uitrolt, moet u controleren of het sleuteltype wordt ondersteund.

• RSA: Gebruik minimaal 2048 bits.
• DSA: Minimaal 2048 bits, indien nodig vanwege compatibiliteitsredenen.
• ECDSA: Wordt ondersteund. Verwar ECDSA niet met ED25519.
• ED25519: Voor SSH Public Key Authentication niet gebruiken op Sophos Firewall.

Voor nieuwe beheerderstoegang is een goed beheerde RSA- of ondersteunde ECDSA-sleutel meestal pragmatischer dan een modern sleuteltype dat de firewall of een oudere SSH-tool niet accepteert.

Verbinding maken vanaf macOS of Linux

Op macOS en Linux is meestal al een SSH-client aanwezig. De verbinding wordt in de terminal tot stand gebracht.

Voorbeeld:

ssh admin@192.0.2.1

192.0.2.1 wordt vervangen door het IP-adres of DNS-naam van uw eigen Sophos Firewall.

Wanneer de verbinding voor de eerste keer tot stand wordt gebracht, vraagt ​​de SSH-client of de vingerafdruk van het doelsysteem moet worden geaccepteerd. Deze vingerafdruk moet worden gecontroleerd en vervolgens bevestigd. Als er na een nieuwe image, hardwarevervanging of IP-wijziging een waarschuwing over een gewijzigde hostsleutel verschijnt, mag de nieuwe vingerafdruk niet blindelings worden geaccepteerd. Controleer eerst of dezelfde firewall daadwerkelijk is vervangen, opnieuw geïnstalleerd of verplaatst naar een nieuw IP-adres. Alleen dan kan de oude invoer in ~/.ssh/known_hosts worden opgeschoond en de nieuwe vingerafdruk worden geaccepteerd.

Afhankelijk van de configuratie wordt vervolgens het wachtwoord van de gebruiker admin opgevraagd of wordt de login uitgevoerd met behulp van de opgeslagen SSH-sleutel.

Als een specifieke privésleutel moet worden gebruikt:

ssh -i ~/.ssh/sophos-admin-key admin@192.0.2.1

Voor terugkerende toegang documenteert u het pad naar de privésleutel, het toegestane bron-IP en het doel. Kopieer de known_hosts-vermelding niet naar tickets of chatgeschiedenis. Bij hostsleutelwaarschuwingen is de wijzigingsgeschiedenis belangrijker dan een snelle tijdelijke oplossing.

Verbinding maken met PuTTY

Onder Windows kunt u Windows Terminal gebruiken met OpenSSH of PuTTY gebruiken.

Met Windows Terminal werkt het tot stand brengen van een verbinding op dezelfde manier als bij macOS of Linux:

ssh admin@192.0.2.1

Voor PuTTY: als het programma nog niet aanwezig is, downloadt u het eerst van de officiële PuTTY-downloadpagina en stelt u het in op de beheercomputer. Daarna maakt u als volgt verbinding:

1. Open PuTTY.
2. Voer het IP-adres of de DNS-naam van de Sophos Firewall in onder Host Name.
3. Stel Port in op 22.
4. Stel Connection type in op SSH.
5. Maak verbinding met Open.
6. Controleer en bevestig de SSH-vingerafdruk.
7. Meld u aan als gebruiker admin en gebruik het wachtwoord of de SSH-sleutel, afhankelijk van de configuratie.

Na het inloggen verschijnt het consolemenu Sophos Firewall.

Als PuTTY wordt gebruikt met een privésleutel, moet de sleutel overeenkomen met de openbare sleutel die in de firewall is opgeslagen. Na een verandering van personeel of dienstverlener moet niet alleen het wachtwoord worden gewijzigd; oude openbare sleutels moeten ook worden verwijderd uit Authorized keys.

Device Console of Advanced Shell openen

Na een geslaagde aanmelding verschijnt het Main Menu. Het volgende overzicht helpt u bij het kiezen van een menuoptie:

Main Menu

  1. Network Configuration
  2. System Configuration
  3. Route Configuration
  4. Device Console
  5. Device Management
  6. VPN Management
  7. Shutdown/Reboot Device
  0. Exit

Select Menu Number [0-7]:

Bij de prompt Select Menu Number [0-7]: voert u het nummer van de gewenste menuoptie in, bijvoorbeeld 1 voor Network Configuration. Voor diagnoseopdrachten zijn vooral de volgende twee routes belangrijk. 7. Shutdown/Reboot Device leidt naar acties die de werking kunnen onderbreken; deze menuoptie is niet bedoeld om zomaar uit te proberen.

Voor veel SFOS-opdrachten gebruikt u:

4. Device Console

Voor diepere Linux- of bestandssysteemtaken gebruikt u de Advanced Shell via:

5. Device Management
3. Advanced Shell

De Advanced Shell biedt zeer uitgebreide toegang tot het systeem. Opdrachten mogen alleen daar worden uitgevoerd als duidelijk is wat ze doen.

Volgens Sophos blijven configuratiewijzigingen die rechtstreeks in Advanced Shell worden aangebracht, bijvoorbeeld aan interfaces, regels of policies, niet behouden na een herstart en komen ze niet in back-ups terecht. Dit is daarom geen normale configuratieroute. Bestanden onder /tmp/ worden bij een herstart eveneens verwijderd.

• Device Console: ping, dnslookup, traceroute, show, routering of systeemopties.
• Advanced Shell: gedetailleerde systeeminformatie, databases, systeemdiensten en casusspecifieke diagnose op aanwijzing van Sophos Support.

Voor loganalyse, servicenamen en typische foutpatronen is Sophos Firewall Probleemoplossing: Services en logs een beter startpunt dan het onthouden van individuele opdrachten.

De opdrachtfamilies set en system begrijpen

In 4. Device Console definieert set instellingen en parameters van verschillende systeemcomponenten; system configureert systeemparameters. Beide families kunnen de configuratie wijzigen. Gebruik daarom alleen de help om ermee kennis te maken, geen volledige wijzigingsopdracht. De documentatie voor SFOS 22 en 23 gebruikt deze algemene syntaxisschema’s; het zijn geen opdrachten om te kopiëren:

set [command] [option 1|option 2] <value>
system [command] [option 1|option 2] <value>

• set of system is het vaste voorvoegsel en wordt precies zo ingevoerd.
• Vervang [command] door de gewenste gedocumenteerde opdracht, bijvoorbeeld advanced-firewall voor set of firewall-acceleration voor system.
• [option 1|option 2] betekent dat u één van de gedocumenteerde alternatieven kiest. Voer de vierkante haken en | niet in; ze betekenen hier niet dat u de keuze zomaar mag weglaten.
• <value> is een plaatshouder voor een waarde die bij de gekozen optie past. Vervang deze, inclusief de punthaken, door de benodigde waarde. Welke argumenten werkelijk vereist zijn, bepaalt de help van de specifieke opdracht, niet alleen dit algemene schema.

Alleen ter uitleg van de syntaxis, niet uitvoeren: in het fabrikantvoorbeeld set advanced-firewall icmp-error-message allow is set het voorvoegsel, advanced-firewall de gekozen opdracht, icmp-error-message de optie en allow de concrete waarde in plaats van <value>. Dit is een configuratiewijziging, geen noodzakelijke SSH-stap. Ook het voorbeeld system firewall-acceleration enable is geen oefening: system is het voorvoegsel, firewall-acceleration de gekozen opdracht en enable de gekozen optie. Dit specifieke voorbeeld bevat geen aanvullende waarde; voeg niet zonder controle <value> toe en schakel versnelling niet in om iets uit te proberen.

Om veilig te verkennen, typt u in Device Console alleen set en drukt u drie keer op Tab om de beschikbare instellingen te tonen. Tab gevolgd door ? toont de beschrijvingen. Herhaal dit met het voorvoegsel system voor de andere familie. Verwacht helptekst, geen gewijzigde instelling. Maak de invoerregel daarna leeg zonder met Enter een wijzigingsopdracht te versturen. Ontbreekt de verwachte help, controleer dan eerst de console en de documentatie van de geïnstalleerde SFOS-versie in plaats van een voorbeeldopdracht uit te proberen.

Verbinding beëindigen

⚠️ De oudere Device Console-opdrachten enableremote en disableremote zijn geen normale manier om uit te loggen: voor SFOS 22 en 23 beschrijft Sophos dat disableremote niet alleen nieuwe SSH-verbindingen op poort 22 verhindert, maar ook bestaande SSH-sessies beëindigt. Voer deze opdrachten daarom niet uit om uit te loggen of een tijdelijke ACL-toestemming terug te draaien. Voordat deze opdrachten met uitdrukkelijke goedkeuring worden gebruikt, moet een werkende hersteltoegang die onafhankelijk is van netwerk-SSH zijn getest: een lokale seriële of out-of-bandconsole voor fysieke appliances, of de passende platformconsole voor virtuele of cloudfirewalls. Zonder deze toegang en een voor de geïnstalleerde versie bevestigd herstelplan stopt u en bespreekt u de situatie met Sophos Support. De beschrijving van enableremote noemt een Ethernet-poort; hieruit wordt noch TCP-poortsyntaxis noch een algemene omgekeerde opdracht afgeleid. Voor tijdelijke toegangsrechten blijft het hierboven beschreven nauwkeurig terugdraaien onder Administration > Device access leidend; het uitgaand opgebouwde kanaal onder Diagnostics > Support access staat hiervan los.

In de Advanced Shell gebruikt u de volgende opdracht om de shell te verlaten. Deze opdracht vervangt niet de nummerkeuze in het consolemenu:

exit

Als u zich in een submenu bevindt, keert u eerst terug naar het Main Menu. Daar beëindigt 0. Exit de consolesessie: voer bij de menuprompt 0 in. De shellopdracht en het menunummer worden dus op verschillende plaatsen gebruikt.

Sophos Firewall sluit inactieve SSH-sessies na 15 minuten. Dat vervangt geen nette logout: open sessies, debugmodi en tijdelijke toegangsregels moeten alsnog bewust worden gesloten of verwijderd.

Als SSH-toegang alleen voor een supportcase was toegestaan, trekt u daarna precies die tijdelijke toegangsrechten weer in. Een daarvoor aangemaakte Local service ACL exception rule verwijdert u zoals hierboven beschreven; een gewijzigd zonevakje zet u terug naar de eerder genoteerde toestand en slaat u op met Apply. Andere rechten die nog nodig zijn, blijven behouden. Dit is vooral belangrijk bij externe bron-IP-adressen of toegang voor dienstverleners.

Na diepgaande interventies moet ook het volgende worden gecontroleerd:

• Is debuggen weer uitgeschakeld?
• Is een tijdelijke ACL-uitzonderingsregel verwijderd of uitgeschakeld?
• Staan er geen tijdelijke bestanden, supportdumps of opnames onnodig op de firewall?
• Zijn loguittreksels, tijd, commando en resultaat gedocumenteerd in het ticket of de wijziging?
• Werd de SSH-sleutel alleen gebruikt voor geplande beheerders- of ondersteuningstoegang?

Veelvoorkomende problemen

Verbinding wordt geweigerd

Als de verbinding wordt geweigerd, is SSH vaak niet toegestaan voor de gekozen zone of bron. Controleer daarom onder Administration > Device access de SSH-instelling en de bestaande vermeldingen onder Local service ACL exception rule. Ga ook na of bredere toegang voor een zone bewust is ingetrokken. Hef zo’n beperking niet zonder controle op.

Verbindingstime-out

Een time-out geeft vaak aan dat de firewall niet kan worden bereikt via het geselecteerde IP-adres, dat een route ontbreekt of dat een upstream firewall de toegang blokkeert.

Als een nog niet volledig geconfigureerde firewall het standaardwachtwoord uit de fabriek gebruikt, weigert SFOS SSH-verbindingen vanuit de WAN-zone bewust zonder foutmelding. Dit is een beveiligingsmaatregel. Wijzig het wachtwoord eerst via een toegestane lokale beheerroute; maak Device Access of de ACL niet ruimer als omweg.

Geen netwerktoegang tot de firewall

Als zowel WebAdmin als SSH onbereikbaar is, stelt u niet overhaast extra toegang via WAN of andere zones open. Voor een fysieke appliance is de lokale seriële console de terugvaloptie, bijvoorbeeld bij onjuiste instellingen voor Device Access, routing of onjuist toegewezen interfacezones. Gebruik de juiste RJ45-consolekabel of, op ondersteunde modellen, micro-USB en stel in het terminalprogramma 38400 baud in.

Als micro-USB en RJ45 tegelijk zijn aangesloten, heeft micro-USB voorrang en stuurt de firewall de console-uitvoer daarheen. Als het terminalvenster leeg blijft, controleert u eerst de juiste seriële poort, de kabel en deze voorrang. De waarde 38400 baud is in het BIOS grijs weergegeven, zodat deze niet per ongeluk kan worden gewijzigd; probeer deze waarde daarom niet daar aan te passen.

De concrete verbindingsstappen staan onder Een seriële verbinding openen. Als het wachtwoord van admin bekend is, meldt u zich na het maken van de verbinding daarmee aan en is geen wachtwoordreset nodig. Gebruik alleen de verbindingsstappen uit het gelinkte artikel, niet de resetprocedure. De verbinding is geslaagd wanneer het consolemenu verschijnt; bij virtuele of cloudfirewalls is in plaats daarvan de consoletoegang nodig die bij het betreffende platformtype past.

Inloggen mislukt

Als het inloggen mislukt, moeten de gebruiker admin, het wachtwoord of de SSH-sleutel en de toegestane bronnetwerken worden gecontroleerd. Typische berichten zoals Permission denied (publickey,password) duiden op een onjuist wachtwoord, een onjuiste privésleutel of een ontbrekende configuratie van de openbare sleutel.

Als het inloggen met de publieke sleutel mislukt, controleer dan bovendien het sleuteltype, de sleutellengte, de onjuiste privésleutel, het sleutelformaat PuTTY en de invoer onder Authorized keys. Een correct toegestane SSH-service helpt niet als de sleutel niet overeenkomt met de opgeslagen publieke sleutel.

Als het wachtwoord van de standaardbeheerder echt verloren is, beschrijft Het admin-wachtwoord van Sophos Firewall resetten de seriële herstelroute zonder volledige Factory Reset. Deze route geldt voor fysieke appliances met een consoleaansluiting; bij virtuele en cloudfirewalls moeten de platformconsole en de ondersteunde herstelroute worden gecontroleerd.

Hostsleutelwaarschuwing verschijnt

Een hostsleutelwaarschuwing kan onschadelijk zijn als een firewall opnieuw is geïnstalleerd of vervangen. De waarschuwing kan ook duiden op een onjuist doelsysteem of een verwisseling van IP-adressen. Controleer daarom eerst de firewall, IP-adres, DNS en wijzigingsgeschiedenis. Alleen dan moet de oude known_hosts-vermelding worden verwijderd.

Verkeerde console geopend

Als een gedocumenteerde Sophos CLI-opdracht niet wordt herkend, kan de verkeerde console openstaan of de syntaxis onvolledig zijn. In Device Console toont Tab beschikbare opdrachten en argumenten; ? toont de beschrijvingen. Voer daar geen Linux-shellinstructies in en experimenteer ook in Advanced Shell niet met ongedocumenteerde opdrachten.

Operationele checklist

• Sta SSH alleen toe vanaf vertrouwde beheerdersbronnen.
• Wijzig het fabriekswachtwoord van de standaardbeheerder voordat u SSH in productie gebruikt.
• Gebruik waar mogelijk een Local service ACL exception rule in plaats van brede toegang voor een zone.
• Geef voor het account admin de voorkeur aan authenticatie met een openbare sleutel boven aanmelding met een wachtwoord.
• Documenteer het wachtwoord van de standaardbeheerder, MFA- en herstelinformatie en SSH-sleutels afzonderlijk.
• Gebruik een ondersteund sleuteltype en documenteer de sleutellengte.
• Deel geen privésleutels.
• Controleer de SSH-vingerafdruk bij de eerste aanmelding.
• Ga zorgvuldig om met hostsleutelwaarschuwingen na het opnieuw installeren van een image of het vervangen van hardware.
• Verwar Device Console en Advanced Shell niet.
• Voer wijzigingen in de Advanced Shell alleen uit met een duidelijk doel.
• Trek tijdelijke SSH-toegangsrechten na supportcases weer in.
• Verwijder oude openbare sleutels na een wisseling van personeel of dienstverlener.

Veelgestelde vragen