Avanet-supporttoegang tot Sophos Firewall instellen

Voor een supportcase kan Avanet tijdelijk directe toegang tot de WebAdmin-console van een Sophos Firewall nodig hebben. Deze toegang is alleen veilig als deze wordt beperkt tot een bekende supportbron, de benodigde service en een duidelijke periode. De algemene WAN-toegang voor HTTPS en SSH blijft daarbij uitgeschakeld; de toegang verloopt via een gerichte Local service ACL exception rule.

Voor veel situaties volstaat schermdeling of een bestaand, gecontroleerd partneraccount. Nieuwe directe WAN-toegang is alleen zinvol wanneer Avanet zelfstandig analyses of wijzigingen moet uitvoeren. SSH wordt pas toegevoegd als Device Console, Advanced Shell of logbestanden nodig zijn.

De technische basis wordt uitgelegd in Device Access en Local Service ACL op Sophos Firewall. Zorg vóór wijzigingen bovendien voor een actuele Sophos Firewall-back-up.

Belangrijk: Supporttoegang is administratieve toegang tot de firewall. De gebruiker, ACL-regel en SSH-key moeten na afloop van de case worden uitgeschakeld of verwijderd, tenzij permanente toegang is afgesproken.

Diagnostics > Support access is geen alternatief voor deze procedure. Deze functie maakt uitsluitend voor Sophos Support een tijdelijke Access ID aan, waarmee Sophos zonder beheerdersreferenties toegang tot WebAdmin en de shell krijgt. Deel deze ID niet met Avanet.

Toegang en periode vastleggen

Leg vóór de configuratie het volgende vast in het ticket:

• welke werkzaamheden Avanet mag uitvoeren,
• of WebAdmin volstaat of ook SSH nodig is,
• wanneer de toegang begint en eindigt,
• welke Avanet-supportbron wordt gebruikt,
• wie de toegang goedkeurt en controleert of deze achteraf wordt ingetrokken.

Avanet moet in het geauthenticeerde ticket het exacte openbare uitgaande IP-adres of een uitdrukkelijk daarvoor bestemde FQDN opgeven. Leid de bron niet af van een website en raad deze niet. Open en test vóór de wijziging een onafhankelijke beheerroute via console, management-LAN, admin-VPN of Sophos Fusion.

Voeg aan een bestaand Avanet- of partneraccount geen tweede permanent account toe. Controleer in dat geval het profiel, MFA, de bronbeperking en de status van het bestaande account. Voor een gezamenlijke analyse zonder directe aanmelding is schermdeling vaak de optie met het minste risico.

WebAdmin-gebruiker instellen

De algemene procedure voor persoonlijke accounts, profielen, MFA en offboarding staat in Sophos Firewall-beheerders en profielen veilig instellen. Dit onderdeel vult die procedure aan met de supportspecifieke situatie, inclusief tijdsvenster, supportbron en gecontroleerde afbouw.

Een lokaal caseaccount, bijvoorbeeld avanet-<ticket>, is uitsluitend bedoeld voor WebAdmin en maakt wijzigingen in de Audit Trail beter toewijsbaar. SFOS slaat de naam in kleine letters op; deze kan later niet worden gewijzigd.

1. Open Authentication > Users.
2. Selecteer Add.
3. Voer de gebruikersnaam en weergavenaam in.
4. Stel User type in op Administrator.
5. Selecteer een passend Profile.
6. Voer een sterk wachtwoord in dat uitsluitend voor deze toegang wordt gebruikt, plus een e-mailadres.

Gebruik bijvoorbeeld avanet-<ticket> als Username en vervang <ticket> door het interne casenummer. Deze handleiding publiceert bewust geen wachtwoord of supportadres. Het profiel Administrator geeft volledige WebAdmin-toegang en is alleen geschikt als de opdracht dit vereist. Begin anders onder Profiles > Device access met Read-only en geef alleen voor goedgekeurde wijzigingen Read-write.

Onder Administrator advanced settings zijn twee aanvullende beperkingen beschikbaar:

• Schedule for device access: staat aanmelding bij de WebAdmin-console alleen tijdens het geselecteerde tijdschema toe.
• Login restriction for device access: staat aanmelding alleen vanaf geselecteerde IPv4-adressen of een IPv4-bereik toe.

Als het vaste support-IP-adres bekend is, voeg dit dan ook toe als Login restriction for device access. De Local Service ACL beperkt zo de bereikbaarheid van de console en de gebruikersbeperking beperkt bovendien de aanmelding van dit account. Sla de configuratie op met Save.

Wachtwoord en MFA vooraf testen

Deel het wachtwoord via een beveiligd kanaal en zet het niet in e-mail of ticket. Kies onder Authentication > Multi-factor authentication bij OTP Specific users and groups, voeg het caseaccount toe en selecteer bij Require MFA for de Web admin console. Seed, QR-code en eenmalige codes horen niet in het ticket. Is MFA technisch niet beschikbaar, gebruik dan schermdeling of VPN in plaats van MFA weg te laten. Zie MFA voor beheerders.

Supportbron en Local Service ACL beperken

Het in het ticket bevestigde bronobject maken

Voor een kort onderhoudsvenster heeft een IP-host met uitsluitend het bevestigde openbare IP-adres de kleinste vertrouwensomvang. Als het ticket uitdrukkelijk een FQDN noemt, ondersteunt de Local Service ACL ook een FQDN-host en vertrouwt de firewall alle opgeloste adressen tot de DNS-TTL verloopt. Wildcard-FQDN’s worden niet ondersteund.

1. Open voor een vast IP-adres Hosts and services > IP host, selecteer Add en sla het bevestigde adres als één IPv4-host op.
2. Open alleen voor een bevestigde FQDN Hosts and services > FQDN host en selecteer Add.
3. Gebruik een casespecifieke Name en kopieer de exacte ticketwaarde naar FQDN.
4. Sla op met Save, open het object opnieuw en controleer het.

Vergelijk bij een FQDN alle opgeloste adressen met het ticket. Een onverwacht of onbevestigd adres is een stopvoorwaarde: gebruik het ene bevestigde IP-adres of vraag Avanet om verduidelijking.

Local Service ACL Exception Rule aanmaken

HTTPS en SSH zijn lokale services van de firewall. Normale firewallregels regelen dit verkeer niet. Stel de toegang daarom in onder Administration > Device access.

1. Open Administration > Device access.
2. Controleer in het gedeelte Local service ACL of HTTPS en SSH niet algemeen zijn ingeschakeld voor WAN.
3. Scrol naar Local service ACL exception rule en selecteer Add.
4. Maak de regel aan met de volgende waarden.

• Rule name: Avanet-Support
• Rule position: Top
• Description: ticketnummer, doel en geplande einddatum
• IP version: IPv4
• Source zone: WAN
• Source Network / Host: exact het bevestigde IP- of FQDN-object
• Destination host: openbaar firewalladres, of Any als de firewall via meerdere relevante WAN-adressen bereikbaar moet zijn
• Services: HTTPS; SSH alleen bij een bevestigde behoefte; Ping/Ping6 alleen voor een concrete diagnose
• Action: Accept

Sla op met Save. De positie Top zorgt ervoor dat de gerichte toegang vóór een overlappende Drop-regel wordt gecontroleerd. Controleer desondanks de bestaande Exception Rules: een bredere Accept-regel erboven of een onjuiste bronzone kan het beoogde beveiligingsmodel veranderen.

Niet gebruiken: Any of 0.0.0.0 als Source. Sophos voorkomt niet zonder reden dat de WebAdmin-console algemeen via WAN wordt opengesteld. Schakel voor deze procedure ook niet het WAN-selectievakje voor HTTPS of SSH in.

SSH alleen toevoegen wanneer nodig

SSH geeft toegang tot Device Console en Advanced Shell en heeft daardoor aanzienlijk meer bereik dan een beperkt WebAdmin-profiel. Voor veel supportcases blijft Services daarom beperkt tot HTTPS.

De gebruiker avanet kan niet worden gebruikt voor SSH. Sophos Firewall accepteert voor de CLI uitsluitend de standaardgebruiker admin. Sla de Public Key daarom niet op bij de gebruiker avanet, maar algemeen onder Public key authentication for admin.

1. Open Administration.
2. Selecteer Device access.
3. Scrol naar Public key authentication for admin.
4. Schakel Enable authentication in.
5. Plak de voor de huidige case bevestigde Public Key onder Authorized keys en voeg deze toe met het plusteken.
6. Selecteer Apply.

Alleen de standaardbeheerder kan SSH-keys toevoegen of verwijderen; bij een aangepaste beheerder wordt Apply niet weergegeven. Sophos ondersteunt RSA-keys vanaf 2048 bits en bepaalde DSA- en ECDSA-keys, maar geen ED25519. Gebruik voor een nieuwe support-key een moderne, voldoende sterke sleutel die door de gebruikte SSH-client wordt ondersteund.

Een Public Key heeft bijvoorbeeld de volgende structuur:

ssh-rsa <base64-public-key> avanet-support-<ticket>

De privésleutel blijft bij de supportmedewerker en wordt nooit op de firewall opgeslagen. Verwijder na afloop van de supportcase de casespecifieke Public Key en verwijder SSH uit de Exception Rule, tenzij permanente toegang is afgesproken. De praktische aanmelding wordt beschreven in Via SSH verbinding maken met Sophos Firewall.

Toegang testen en problemen afbakenen

Een succesvolle aanmelding vanaf de toegestane bron is op zichzelf onvoldoende als acceptatietest. Controleer ook of de toegang vanaf een andere internetbron geblokkeerd blijft.

1. Open WebAdmin vanaf de afgesproken Avanet-supportbron via de geconfigureerde admin-poort. De standaardpoort is TCP 4444, maar deze kan zijn gewijzigd onder Administration > Admin and user settings.
2. Meld u aan als avanet en controleer of het gekozen profiel toegang geeft tot de benodigde menu’s.
3. Gebruik een tweede internetbron die niet is toegestaan. De WebAdmin-console mag vanaf die bron niet bereikbaar zijn.
4. Als SSH is toegestaan, test u de aanmelding als admin met de casespecifieke Private Key. SSH met een wachtwoord is voor deze test niet nodig.
5. Controleer de authenticatiegebeurtenissen in de Log viewer. Controleer configuratiewijzigingen daarnaast in de Audit Trail.
6. Documenteer het testresultaat en de eindtijd van de toegang in het ticket.

Als WebAdmin niet bereikbaar is

Begin de controle bij de bron en werk vervolgens richting de firewall:

• Komt het werkelijke uitgaande IP-adres overeen met het bronobject en, bij een FQDN, de huidige DNS-resolutie?
• Komt de toegang daadwerkelijk vanuit de zone die bij Source zone is geselecteerd?
• Komt het gebruikte WAN-adres overeen met Destination host?
• Staat de Exception Rule op Top en bevat deze HTTPS?
• Wordt de juiste WebAdmin-poort gebruikt?
• Blokkeert een router van de provider, een bovenliggend NAT-apparaat of een upstream-ACL de toegang?
• Voorkomt Login restriction for device access niet de TCP-verbinding, maar wel de aanmelding van de gebruiker?

Schakel de algemene WAN-selectievakjes voor HTTPS of SSH niet in om problemen op te lossen. Als de Exception Rule correct is, zijn deze niet nodig voor deze gerichte toegang.

Als de aanmelding mislukt

Als de console bereikbaar is maar aanmelden niet lukt, controleert u de gebruikersstatus, het wachtwoord, MFA, het profiel, Schedule for device access, Login restriction for device access en de systeembrede instellingen voor het blokkeren van aanmeldingen onder Administration > Admin and user settings. Na meerdere mislukte pogingen kan Sophos Firewall het bron-IP-adres tijdelijk blokkeren voor alle aanmeldservices.

Toegang gecontroleerd intrekken

Controleer na afloop van de supportcase de afgesproken wijzigingen en de toegang zelf afzonderlijk:

1. Controleer in de Audit Trail welke configuratiewijzigingen met avanet zijn uitgevoerd.
2. Bij grotere wijzigingen aan de regels kan Sophos Firewall Config Studio helpen bij een vergelijking van de situatie vóór en na de wijziging.
3. Schakel eerst de Local Service ACL Exception Rule uit of verwijder deze, zodat de externe route sluit.
4. Controleer vanaf de eerdere bron dat WebAdmin en SSH niet bereikbaar zijn en dat de onafhankelijke beheerroute blijft werken.
5. Verwijder alleen de SSH-key van deze case; schakel Enable authentication alleen uit als geen andere key ervan afhankelijk is.
6. Schakel het caseaccount uit of verwijder het, inclusief MFA-token, tenzij permanente toegang uitdrukkelijk is goedgekeurd.
7. Laat een tweede persoon ACL, account, keys, Audit Trail en ticket met de uitgangssituatie vergelijken.

Ook bewust behouden partnertoegang vereist MFA, een strikt beperkte bron, een verantwoordelijke en periodieke controle. Een inactief ticket is geen reden om managementtoegang permanent open te laten.

Veelgestelde vragen