Sophos Firewall SSL VPN voor externe toegang instellen

Remote Access SSL VPN wordt op Sophos Firewall ingesteld onder Remote access VPN > SSL VPN. Voor veilige toegang moeten zes onderdelen op elkaar aansluiten:

Gebruikers of groepen aan een SSL-VPN-beleid toewijzen.
Protocol, certificaat, gateway, leasebereik en DNS globaal configureren.
Bewust kiezen tussen Split Tunnel en Use as default gateway.
Verkeer uit de VPN-zone met strikte firewallregels toestaan.
VPN Portal, authenticatie, MFA en Device Access beveiligen.
Een actueel .ovpn-profiel of op Windows een .pro-provisioningbestand distribueren en de toegang positief en negatief testen.

⚠️ SSL VPN is een publiek bereikbaar toegangspunt. MFA en sterke wachtwoorden vervangen geen strikte gebruikersgroepen, Local Service ACLs, firewallregels, actuele profielen, logs en regelmatige controles.

Dit artikel behandelt de firewallzijde. De installatie wordt afzonderlijk beschreven voor Windows, macOS, iPhone en iPad, Android en Linux. Voor de voorafgaande keuze tussen SSL VPN, IPsec en ZTNA helpt Sophos Connect of SSL VPN.

Vereisten en objecten voorbereiden

Vóór de configuratie moeten de publieke toegang, de bevoegde gebruikers en de interne doelen vaststaan:

actuele SFOS-versie en actuele Sophos Connect-client;
publieke FQDN of publiek IP-adres;
certificaten voor de SSL-VPN-tunnel en VPN Portal;
gebruikers of groepen en authenticatieservers;
MFA-methode voor portal en tunnel;
niet-overlappend SSL-VPN-leasebereik;
interne doelnetwerken, DNS-servers en zoekdomein;
keuze voor Split Tunnel of Full Tunnel;
proces voor profieldistributie en clientupdates.

Interne doelen worden eerst als hosts of netwerkobjecten aangemaakt:

Hosts and services > IP host

In het volgende voorbeeld worden deze objecten gebruikt:

LAN_Server: 10.10.10.0/24 voor interne servers;
LAN_Client: 10.10.20.0/24, als externe gebruikers dit clientnetwerk echt nodig hebben;
DNS_Internal: 10.10.10.10 voor interne DNS of een domeincontroller;
SSLVPN_Users: gebruikersgroep voor de Policy members.

Geef geen volledige interne netwerken vrij als afzonderlijke servers of subnetten volstaan. Ook DNS-servers hebben een duidelijk object nodig, zodat de route en firewallregel later controleerbaar blijven.

Globale SSL-VPN-instellingen configureren

De globale instellingen gelden voor alle Remote Access SSL-VPN-policies en maken deel uit van de .ovpn-configuratie:

Remote access VPN > SSL VPN > SSL VPN global settings

Deze waarden worden ook gebruikt voor SSL Site-to-Site-verbindingen tussen twee Sophos Firewalls. Wie poort, protocol, certificaat of Override hostname wijzigt, moet daarom zowel de Remote Access-profielen als bestaande SSL Site-to-Site-tunnels controleren en de bijbehorende configuratie opnieuw distribueren.

Protocol, certificaten, gateway en poort

SSL VPN ondersteunt TCP en UDP. UDP is meestal de efficiëntere eerste keuze; TCP kan als geteste uitwijkmogelijkheid helpen wanneer externe netwerken UDP blokkeren. Test de keuze met echte hotel-, mobiele en gastnetwerken.

De standaardpoort voor SSL VPN is 8443; VPN Portal gebruikt standaard 443. Voor elke publiek bereikbare dienst is een unieke combinatie van WAN-IP, poort en protocol het duidelijkst.

Sophos gebruikt twee afzonderlijke certificaten:

SSL server certificate onder de globale SSL-VPN-instellingen authenticeert de tunnelserver.
Het HTTPS-certificaat van VPN Portal wordt gekozen onder Administration > Admin and user settings.

Beide certificaten moeten passen bij de gebruikte publieke FQDN. Bij certificaten van een externe CA moet ook de vereiste certificaatketen aanwezig zijn.

Override hostname bepaalt de FQDN of het publieke IP-adres in het clientprofiel. Dit is vooral belangrijk bij upstream NAT, meerdere WAN-interfaces of DDNS. Als het veld leeg blijft, kunnen meerdere interfaceadressen in het profiel terechtkomen. Sophos Connect geeft voorrang aan DDNS-gateways en probeert andere vermeldingen in omgekeerde volgorde; één duidelijke FQDN is daarom eenvoudiger te testen en te beheren.

VPN Portal en SSL VPN mogen technisch dezelfde poort en hetzelfde protocol delen. De instellingen voor Login Security werken dan echter niet zoals bedoeld en VPN Portal wordt bereikbaar vanuit de zones waarin SSL VPN is geactiveerd. WAF moet van VPN Portal verschillen in WAN-IP of poort en van SSL VPN in WAN-IP, poort of protocol. Meer WAF-afhankelijkheden worden uitgelegd in Sophos Firewall WAF.

Leasebereik en DNS

Het IPv4-leasebereik moet privé zijn en mag niet overlappen met interne netwerken, site-to-site-VPN’s, statische routes, andere Remote Access-pools of gebruikelijke thuisnetwerken. Veelvoorkomende voorbeelden zijn 192.168.0.0/24, 192.168.1.0/24, 192.168.2.0/24, 10.0.0.0/24 en 10.0.1.0/24.

Voor IPv4 accepteert SFOS hier maximaal een /24; kleinere netwerken zoals /25 kunnen niet worden geselecteerd. De toegang wordt niet beperkt met een kunstmatig kleine pool, maar met het beleid en firewallregels. Gebruik in regels de systeemhosts ##ALL_SSLVPN_RW en voor IPv6 ##ALL_SSLVPN_RW6.

Onder IPv4 DNS worden de interne DNS-servers opgegeven. Domain name bevat het zoekdomein dat aan korte hostnamen wordt toegevoegd. Bij Split Tunnel moet de DNS-server of het netwerk ervan ook onder Permitted network resources staan en bereikbaar zijn via een firewallregel uit de VPN-zone. Bij Full Tunnel vervalt de Split-Tunnel-route, maar niet de firewallregel.

Als de firewall zelf als DNS-resolver fungeert, wordt DNS onder Administration > Device access voor de VPN-zone toegestaan. Een afzonderlijke test via het IP-adres en via de hostnaam maakt onderscheid tussen routing- en DNS-problemen.

Statische IP-adressen, parallelle sessies en tijdswaarden

Statische SSL-VPN-IP-adressen zijn mogelijk voor onderbouwde uitzonderingen, zoals een IP-gebaseerde vrijgave voor een legacytoepassing, en moeten binnen de daarvoor ingestelde pool liggen. Een gebruiker met een statisch SSL-VPN-IP-adres kan echter geen parallelle Remote Access-sessies opbouwen.

Los daarvan beperkt Simultaneous logins onder Authentication > Services of rechtstreeks bij de lokale gebruiker het aantal parallelle aanmeldingen. De globale waarde geldt alleen voor gebruikers die daarna worden aangemaakt.

Key lifetime bepaalt het moment waarop nieuwe sleutels worden onderhandeld en is geen idle- of maximale sessietime-out. Inactieve verbindingen worden geregeld via de globale idle-instellingen en optioneel via Disconnect idle clients in het beleid. Bij onverwachte onderbrekingen moeten deze waarden, de statische IP-toewijzing, parallelle aanmeldingen en logs afzonderlijk worden gecontroleerd.

SSL-VPN-beleid aanmaken

Het beleid wordt handmatig of met de wizard aangemaakt:

Remote access VPN > SSL VPN

De wizard toont de globale instellingen alleen ter controle en kan ze niet wijzigen. De wizard maakt het beleid aan, stelt de gekozen authenticatie en Device Access voor VPN Portal en SSL VPN in en maakt de firewallregel. In bestaande omgevingen is Configure manually meestal transparanter:

Selecteer Add > Configure manually.
Voer als Name bijvoorbeeld SSLVPN-Remote-Users in.
Selecteer onder Policy members de groep SSLVPN_Users.
Kies Split Tunnel of Use as default gateway.
Selecteer bij Split Tunnel LAN_Server en DNS_Internal als Permitted network resources.
Stel optioneel Disconnect idle clients en Override global timeout in.
Sla op en test met een normaal lid van de doelgroep.

Gastgebruikers en gastgroepen kunnen niet als Policy members worden gebruikt. Als een gebruiker of groep al in een ouder SSL-VPN-beleid staat, verwijdert SFOS de toewijzing uit het eerdere beleid. Controleer daarom vóór het opslaan of er overlappingen bestaan.

Een beleidsspecifieke Override global timeout werkt alleen als deze lager is dan de globale idle-waarde. Een hogere waarde heft de globale limiet niet op.

Split Tunnel of Full Tunnel

Bij Split Tunnel worden alleen de onder Permitted network resources geselecteerde IPv4- en IPv6-netwerken en ondersteunde FQDN-doelen via het VPN gerouteerd. FQDN-doelen worden alleen voor IPv4 ondersteund. Het overige internetverkeer blijft lokaal. Dit verlaagt de firewallbelasting en latentie, maar vereist een nauwkeurige planning van resources en DNS.

Als het IP-adres van een toegestaan FQDN-doel verandert, worden bestaande tunnels niet automatisch bijgewerkt. De betrokken gebruikers moeten de verbinding verbreken en opnieuw opbouwen.

Bij Full Tunnel wordt Use as default gateway geactiveerd. Al het gebruikersverkeer loopt dan via de firewall. Permitted network resources worden daarbij niet als toegangsbeperking afgedwongen. Interne doelen en services moeten met firewallregels worden beperkt; IPv4-internettoegang vereist bovendien een passende SNAT-/MASQ-regel.

Full Tunnel maakt centrale controle van webverkeer, DNS en logs mogelijk, maar verhoogt de behoefte aan bandbreedte, de firewallbelasting en de inspanning voor privacy en support. Test deze modus daarom met echte toepassingen en gelijktijdige gebruikers.

Firewallregels, Device Access en authenticatie

Firewallregels en DNS

Een opgebouwde tunnel verleent nog geen toegang tot interne resources. Daarvoor wordt een regel aangemaakt:

Rules and policies > Firewall rules

Voorbeeld voor Split Tunnel:

Rule name: VPN_SSLVPN_to_Internal_Servers
Action: Accept
Source zone: VPN
Source networks and devices: ##ALL_SSLVPN_RW
Destination zones: LAN
Destination networks: LAN_Server, DNS_Internal
Services: alleen de vereiste applicatieservices en DNS
Log firewall traffic: geactiveerd

De regel moet boven bredere VPN-regels staan. Een negatieve test naar een niet-toegestaan doel laat zien of een algemene regel verder naar beneden onbedoeld toch toegang verleent.

Voor IPv4 Full Tunnel komt er een regel van VPN naar WAN en een passende SNAT-/MASQ-regel bij. IPv6 vereist in plaats daarvan bewuste IPv6-routing en afzonderlijke IPv6-firewallregels. Bij ontbrekende toegang helpen Log Viewer, Rule ID en de handleiding voor het testen van firewallregels.

VPN Portal, Device Access en MFA

Portal, lokale diensten en authenticatie worden op afzonderlijke plaatsen gecontroleerd:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Minimaal vereist zijn:

SSL VPN in de zones vanwaar de tunnel mag worden opgebouwd;
VPN Portal alleen in de daadwerkelijk vereiste zones;
DNS in de VPN-zone alleen als de firewall als resolver fungeert;
passende VPN portal authentication methods;
passende SSL VPN authentication methods;
MFA voor portal en tunnel.

Normale firewallregels regelen deze lokale diensten niet. Striktere bronnetwerken, afzonderlijke IP-adressen of landen worden met Local Service ACL Exception Rules ingesteld. De volledige beveiligingsprocedure staat in Device Access en Local Service ACL.

Third-party Threat Feeds kunnen ook systeemgericht verkeer naar VPN-diensten blokkeren. Daarmee kunnen bekende ongewenste bronnen aanvullend worden geweerd; de configuratie en beperkingen worden uitgelegd in Threat Feeds op Sophos Firewall.

VPN portal authentication methods regelen de aanmelding bij het portal en het downloaden van profielen; SSL VPN authentication methods regelen de daadwerkelijke tunnelaanmelding. WebAdmin is een afzonderlijke beheerinterface en hoeft voor SSL VPN niet vanuit de WAN-zone beschikbaar te zijn.

Bij Microsoft Entra ID moet voor VPN Portal en SSL VPN dezelfde Entra-server worden geselecteerd. De volledige configuratie staat in Microsoft Entra ID SSO voor Sophos Connect.

VPN Portal ondersteunt geen RADIUS-authenticatie met Challenge-MFA. Sophos Connect ondersteunt evenmin een OTP-challenge, maar verzendt wachtwoord en OTP samen; call- en pushmethoden worden ondersteund. Test de gekozen methode met een normale pilotgebruiker. Meer basisinformatie staat in MFA voor Sophos Firewall.

Clientprofiel distribueren en bijwerken

Bij een handmatig geïmporteerd .ovpn-bestand moeten profielrelevante globale wijzigingen opnieuw worden gedownload en geïmporteerd. Dit geldt met name voor protocol, poort, interface, servercertificaat en andere waarden uit de globale SSL-VPN-configuratie. Een Sophos Connect-update vervangt geen verouderd profiel.

Controleer na een wijziging van Override hostname of de poort of het opnieuw geïmporteerde profiel daadwerkelijk de nieuwe gatewaynaam en poort gebruikt.

Na wijzigingen aan Policy members, Permitted network resources of het IP-adres van een FQDN-doel is normaal gesproken alleen een disconnect en reconnect nodig. Voor deze wijzigingen hoeft geen nieuw .ovpn-bestand te worden gedownload.

Een .pro-provisioningbestand wordt alleen ondersteund op Windows 10 en 11. Het downloadt de voor de gebruiker beschikbare IPsec- en SSL-VPN-configuraties en latere wijzigingen automatisch. Als de provisioning-gateway of VPN-portalpoort verandert, moet ook het .pro-bestand worden aangepast en opnieuw gedistribueerd. Bij de eerste uitrol kan de aanmelding twee keer verschijnen: eerst voor het downloaden van het profiel en daarna voor het opbouwen van de tunnel.

Als .pro alleen een IPsec-verbinding of geen SSL-VPN-configuratie levert, controleer dan eerst Policy members, groepslidmaatschap, bereikbaarheid van VPN Portal en authenticatie.

Na activering of wijziging van Microsoft Entra ID SSO moet de client een actuele configuratie gebruiken. Entra SSO in Sophos Connect is een Windows-scenario vanaf clientversie 2.4.

Profielnamen moeten uniek zijn. Verwijder oude verbindingsvermeldingen na een wijziging van gateway of gebruiker en test de distributie met een normale doelgebruiker. Informatie over clientversies staat in Sophos Connect veilig bijwerken.

Configuratie testen en fouten lokaliseren

Acceptatietest

Een volledige test gebruikt een normale pilotgebruiker en één concreet intern doel:

De gebruiker ziet in VPN Portal precies de verwachte SSL-VPN-configuratie.
Test MFA met een juiste en een onjuiste factor.
Importeer .ovpn of .pro en controleer het toegewezen leaseadres.
Controleer bij Split Tunnel de route naar LAN_Server en DNS_Internal.
Test het interne doel eerst via het IP-adres en daarna via de hostnaam.
Open de toegestane service en controleer de Firewall Rule ID in Log Viewer.
Probeer een niet-toegestane verbinding en bevestig de drop.
Controleer bij Full Tunnel ook publieke internettoegang, DNS, Web Policy en IPv4-SNAT.
Verbreek na een beleids- of FQDN-wijziging de verbinding, bouw deze opnieuw op en herhaal dezelfde test.

Leg bij elke test het tijdstip, de gebruiker en groep, het clientplatform en de clientversie, het bronnetwerk, het doel en de service vast. Als alleen een beheerder test, blijven fouten in groepen, MFA en beleid gemakkelijk onopgemerkt.

Logs per foutfase

Bepaal eerst of de fout optreedt bij portaltoegang, authenticatie, tunnelopbouw of pas bij de toegang tot het doel:

VPN Portal: vpnportal.log
Normale authenticatie: access_server.log
Microsoft Entra SSO: oauth_sso_vpn.log
Gebruikersspecifieke SSL-VPN-certificaten: peruser_cert_sslvpn.log
SSL-VPN-dienst: sslvpn.log
Actieve verbindingen: openvpn-status*.log
Doelverkeer: firewalllog, Rule ID en indien nodig Packet Capture

In Packet Capture bewijst Incoming alleen dat de firewall het pakket heeft ontvangen. Bij Forwarded zonder antwoord moeten de retourroute, NAT, het doelsysteem en de lokale firewall daarvan worden gecontroleerd.

De toewijzing van andere processen en bestanden staat in Sophos Firewall Services en logs.

Veelvoorkomende foutbeelden

Geen of lege .ovpn in VPN Portal: Een ontbrekende of lege OVPN-download oplossen onderscheidt fouten in policy, User ID, certificaat, opslag, firmware en HA. Gastaccounts zijn niet toegestaan. Sophos Connect ondersteunt alleen ASCII-gebruikersnamen; gebruikersnaam en domein mogen samen maximaal 51 tekens lang zijn.
Aanmelden mislukt: vergelijk access_server.log, vpnportal.log of oauth_sso_vpn.log met het testtijdstip. Controleer bij Entra dezelfde server voor portal en SSL VPN en de volledige certificaatketen.
Tunnel staat, maar interne doelen ontbreken: controleer de route op het endpoint, Permitted Resources bij Split Tunnel, firewallregel, retourroute, doelfirewall en overlap met het lokale thuisnetwerk.
IP-adres werkt, hostnaam niet: controleer DNS-server, zoekdomein, Split-Tunnel-route, DNS-firewallregel, lokale DoH of endpoint-DNS en indien nodig Device Access voor DNS.
Alleen afzonderlijke gebruikers zijn getroffen: vergelijk groepslidmaatschap, beleidstoewijzing, MFA, statisch IP-adres, Simultaneous logins en het geladen profiel.
Alleen oude clients zijn getroffen: importeer na globale wijzigingen een actueel .ovpn-bestand. Maak na uitsluitend beleids- of FQDN-wijzigingen eerst opnieuw verbinding en controleer de geladen routing.
Full Tunnel zonder internet: controleer de regel van VPN naar WAN, IPv4-SNAT, DNS en toegepaste web- en beveiligingspolicies.
Grote overdrachten blijven hangen: als kleine verbindingen wel werken, controleer dan MTU en MSS over het werkelijke pad. Gebruik daarvoor MTU en MSS bij VPN-problemen.
Verbinding eindigt na langere tijd: vergelijk begin- en eindtijd met Idle Timeout, Disconnect idle clients en Key lifetime. Controleer statisch IP-adres en Simultaneous logins, adresseer indien nodig een pilotgebruiker dynamisch en analyseer sslvpn.log en openvpn-status*.log rond het testtijdstip.
Bij geen enkele gebruiker wordt een tunnel opgebouwd: zoek naast Device Access en de poortvrijgave naar een brede DNAT-regel met Original destination: Any en Services: Any of de SSL-VPN-poort die de verbindingsopbouw eerder onderschept.
WAF, portal of SSL VPN overlappen: vergelijk WAN-IP, poort en protocol van alle lokale diensten en WAF-regels. Gedeelde combinaties kunnen extra blootstelling van het portal of ontbrekende Login Security veroorzaken.

Controleer in het dagelijks beheer regelmatig groepen, MFA, statische IP-toewijzingen, certificaatverloop, leasebereik, Device Access, firewallregels, profieldistributie en logs. Nieuwe SFOS- en Sophos Connect-versies worden eerst gevalideerd met een pilotgebruiker en een positieve en negatieve doeltest.