Sophos Firewall: Device Access en Local Service ACL

Onder Administration > Device access wordt bepaald vanuit welke zones de lokale diensten van Sophos Firewall bereikbaar zijn. Dit omvat HTTPS voor WebAdmin en API, SSH, Ping, DNS, SNMP, SSL VPN, User Portal en VPN Portal.

Deze diensten eindigen rechtstreeks op de firewall en vormen het beheer- en servicevlak ervan. Als een vrijgave te breed is, kunnen bots, gecompromitteerde interne clients of externe aanvallers aanmeldpagina’s, de API en SSH rechtstreeks bereiken om inloggegevens, bekende kwetsbaarheden of verkeerde configuraties te testen. MFA en veilige wachtwoorden blijven belangrijk, maar beperken de bereikbaarheid niet: Device Access verkleint het aanvalsoppervlak vóór het aanmelden en behoort daarom tot de eerste hardeningmaatregelen.

De identiteitsbron blijft hiervan gescheiden. Als WebAdmin centrale TACACS+-inloggegevens moet gebruiken, beschrijft TACACS+ voor Sophos Firewall-beheerders de serverkoppeling, lokale profieltoewijzing, pilotaanmelding en fallback; de HTTPS-bereikbaarheid wordt hier nog steeds beperkt.

De bestemming van de verbinding is doorslaggevend:

• Device Access-zonetabel: staat een lokale firewalldienst in principe toe vanuit een zone.
• Local service ACL exception rule: staat een lokale dienst toe of blokkeert deze voor specifieke bronnen, bestemmingen en diensten.
• Firewallregel: regelt verkeer door de firewall, bijvoorbeeld van LAN naar een server in DMZ.

Wanneer bijvoorbeeld https://172.16.16.16:4444 wordt geopend, eindigt de verbinding op de firewall. Een normale firewallregel vervangt daarom geen Device Access-vrijgave.

⚠️ WebAdmin, SSH en portals mogen alleen bereikbaar zijn vanuit netwerken die deze werkelijk nodig hebben. Voor extern beheer zijn een admin-VPN, Sophos Central Firewall Management in Sophos Fusion (aanmelden via fusion.sophos.com), een managementnetwerk of een gerichte ACL-uitzondering veiliger dan een brede WAN-vrijgave.

Twee uitzonderingen kunnen de zonetabel voor HTTP- en HTTPS-diensten omzeilen:

• Web Proxy: aanvragen via de Web Proxy gelden als intern en kunnen met Device Access niet op basis van de bronzone worden geregeld. Wie de proxy mag gebruiken, kan daardoor WebAdmin, Captive Portal, VPN Portal en User Portal bereiken, ook als de dienst voor de eigen zone is uitgeschakeld.
• Port Sharing: als VPN Portal en SSL VPN dezelfde poort en hetzelfde protocol gebruiken, wordt het VPN Portal bereikbaar vanuit alle SSL-VPN-toegangszones. Ook zijn de instellingen onder Login security dan niet van toepassing.

Beide paden moeten bij de acceptatietest afzonderlijk worden gecontroleerd. Het overkoepelende artikel Sophos Firewall Hardening plaatst Device Access in de volledige systeemhardening.

Zones en lokale diensten plannen

De zonetabel is geschikt voor duidelijke basisvrijgaven, zoals DNS vanuit LAN, Ping vanuit een monitoringzone of HTTPS vanuit een managementnetwerk. Als alleen een afzonderlijk IP-adres of klein netwerk toegang nodig heeft, is een ACL Exception Rule nauwkeuriger.

Een zone groepeert interfaces. Voor een aangepaste zone kan toegang tot lokale diensten ook onder Network > Zones worden toegestaan of geblokkeerd. Bepaal daarom vóór een wijziging de werkelijke ingangsinterface en de bijbehorende zone. Bereid ook het nauw begrensde bronobject, de vereiste Interface Host als bestemming en de werkelijk gebruikte dienstpoort voor. Bestaande IP Hosts staan onder Hosts and services > IP host; Interface Hosts worden via Network > Interfaces beheerd.

Lees de standaardmatrix als uitgangspunt

Een nieuwe SFOS 22-configuratie staat lokale diensten standaard toe vanuit de volgende zones. Deze matrix is geen hardeningdoel: restore, migratie, wizard en latere wijzigingen kunnen tot een andere situatie leiden, en niet-benodigde diensten worden na een positieve en negatieve test verwijderd.

Typische beslissingen zijn:

• HTTPS: WebAdmin en API alleen vanuit managementnetwerken of nauw gedefinieerde beheerbronnen.
• SSH: Alleen voor beheer of support en bij voorkeur met Public Key. Voor SSH via het netwerk is het ingebouwde account admin de gedocumenteerde aanmeldroute in SFOS 22/23; een CLI-profielrecht bevestigt geen SSH-aanmeldroute voor een benoemd beheerdersaccount. Alleen de Default Admin beheert de Public-Key-instellingen en sleutels.
• DNS: alleen voor interne clientzones die de firewall als DNS-resolver gebruiken. DNS vanuit WAN is geen normaal clientscenario.
• Ping/Ping6: voor noodzakelijke monitoring, niet standaard vanuit onveilige zones.
• SNMP: alleen vanaf het monitoringsysteem of -netwerk; de configuratie wordt beschreven in SNMP Hardware Monitoring.
• RADIUS SSO: Alleen vanaf de vaste accountingafzender. RADIUS SSO met accounting legt de koppeling tussen client-IP en gebruiker uit.
• SSL VPN: extern zo ruim als nodig en met MFA, logging en een bewust gekozen poort en protocol.
• VPN Portal: biedt sinds SFOS 20 Sophos Connect en IPsec- en SSL-VPN-configuraties aan.
• User Portal: dient onder meer voor persoonlijke gegevens, OTP-tokens, quarantaine, uitzonderingen en Policy Overrides, niet voor het downloaden van de VPN-configuratie.
• RED, SMTP Relay en Dynamic Routing: alleen in de daarvoor bestemde netwerken of voor gedefinieerde tegenpartijen. Hoe deze grens voor Multicast-Neighbors wordt gecontroleerd, staat in PIM-SM op Sophos Firewall configureren; voor kleine IPv4-routingdomeinen legt RIPv2 op Sophos Firewall configureren de afzonderlijke toestemming voor peerzone en dataverkeer uit.

Het servicedialoogvenster biedt daarnaast AD SSO, Captive portal, Chromebook SSO, Clients, IPsec, Web proxy en Wireless Protection. Dat een dienst selecteerbaar is, is geen aanbeveling voor brede zonetoegang; elke selectie vereist een concreet client-, peer- of beheerpad. De zoekvelden voor Source Network / Host, Destination host en Services doorzoeken ook kenmerken. Met 53 kan bijvoorbeeld de DNS-dienst worden gevonden.

WebAdmin, VPN Portal en User Portal ondersteunen sinds SFOS 22 TLS 1.3. Goede versleuteling verkleint echter niet het aanvalsoppervlak van een onnodig bereikbare dienst.

Device Access bepaalt alleen vanuit welk netwerk de WebAdmin Console bereikbaar is. Als de login via Microsoft Entra ID moet verlopen, legt Entra ID SSO voor Sophos Firewall WebAdmin uit hoe Entra-rollen en -groepen afzonderlijk aan lokale beheerdersprofielen worden gekoppeld.

Daarnaast kan restrict-admin-console-wan-access WebAdmin-toegang vanuit alle WAN-bronnen globaal blokkeren. Advanced Firewall Settings veilig controleren legt de bewust omgekeerde enable/disable-logica en de scheiding van Local Service ACL uit.

Bronnen nauw beperken

Een ACL Exception Rule ondersteunt als bron Country, Country group, FQDN host/group, Host group, IP address/list/range, MAC address/list en Network. Wildcard-FQDN’s worden niet ondersteund.

Voor WebAdmin vanuit WAN mag geen vrijgave voor alle bronnen worden gebruikt. SFOS staat niet toe dat de ACL-uitzondering wordt aangemaakt wanneer Source Network / Host op Any is ingesteld of het bron-IP-adres 0.0.0.0 is. Deze productbeperking maakt andere grote netwerken niet automatisch veilig. Een vast beheer-IP, een klein managementnetwerk of een onderhouden FQDN-object is aanzienlijk veiliger. Voor mobiele gebruikers met wisselende bronadressen moet beheer via VPN of Sophos Fusion plaatsvinden.

Brede WAN-vrijgaven voor WebAdmin en User Portal worden sinds SFOS 19.5 MR2 automatisch uitgeschakeld na 90 opeenvolgende dagen zonder geslaagde aanmelding. Specifieke WAN-bronnen in ACL Exception Rules vallen hier niet onder en moeten periodiek worden gecontroleerd. De Sophos Firewall Health Check helpt bij de terugkerende controle van beheerstoegang, MFA en configuratie.

Web Proxy en Port Sharing vooraf controleren

Noteer vóór de hardening onder Administration > Admin and user settings en in de SSL VPN global settings welke poorten en protocollen worden gebruikt.

• WebAdmin gebruikt standaard TCP 4444, User Portal TCP 4443 en VPN Portal TCP 443.
• In SFOS 22/23 is TCP 443 de gedocumenteerde standaard voor WAF; noteer vóór de controle op conflicten de daadwerkelijk ingestelde WAF-listeners.
• SSL VPN gebruikt standaard TCP 8443; UDP kan ook als protocol worden geselecteerd.
• WebAdmin en User Portal mogen hun poort niet met andere diensten delen.
• VPN Portal en SSL VPN mogen niet dezelfde poort en hetzelfde protocol gebruiken, omdat zoneblokkades en Login Security anders niet werken zoals verwacht.

Als de Web Proxy actief is, volstaat een test zonder proxy niet. Dezelfde Portal- of WebAdmin-aanroep moet ook via de expliciete proxy vanuit een in principe geblokkeerde zone worden getest.

Direct Web Proxy met een PAC-bestand instellen legt uit hoe de proxylistener tot een pilotclient wordt beperkt en hoe deze blootstelling gecontroleerd wordt getest.

Gerichte Local Service ACL Exception Rule maken

Vóór rechtstreekse WAN-toegang tot WebAdmin: Gebruik in de Device Console eerst de alleen-lezenopdracht show advanced-firewall om de werkelijke waarde van restrict-admin-console-wan-access en de geïnstalleerde build vast te leggen. Voor SFOS 22/23 beschrijft Sophos enable als een blokkade van WebAdmin vanuit alle WAN-bronnen en als de standaardwaarde; die standaardwaarde vervangt de vastgelegde vorige waarde niet. De ACL-instructies beschrijven gerichte WAN-uitzonderingen, maar leggen niet vast of deze voorrang hebben op die globale beperking. Ga er daarom niet van uit dat de volgende ACL-uitzondering op zichzelf WebAdmin bereikbaar maakt vanuit WAN. Behoud bij enable de beperking en gebruik de reeds geteste, geautoriseerde toegangsroute via admin-VPN, managementnetwerk of Fusion. Als rechtstreekse WAN-toegang onvermijdelijk is en de wisselwerking voor de geïnstalleerde build niet duidelijk is vastgesteld, stop dan de wijziging voor rechtstreekse WAN-toegang en vraag Sophos Support om verduidelijking. Controleer ook bij een mislukte positieve test eerst deze voorwaarde in plaats van de ACL te verruimen.

Dit ACL-voorbeeld is geen instructie om de globale instelling op disable te zetten. Een wijziging van de globale beperking vereist een afzonderlijk goedgekeurde wijziging met een werkende onafhankelijke beheerroute, de gedocumenteerde werkelijke vorige waarde, eigen tests vanuit toegestane en geblokkeerde WAN-bronnen en exact herstel van die vorige waarde bij afbreken en na afloop van tijdelijke toegang. Voer geen wijziging uit als de beginwaarde of herstelroute niet betrouwbaar kan worden vastgesteld. Pas het volgende gerichte WAN-voorbeeld alleen toe nadat deze voorwaarden zijn opgehelderd.

Een typische uitzondering staat WebAdmin vanuit WAN alleen toe voor een vast support-IP. Het menupad is Administration > Device access > Local service ACL exception rule > Add.

1. Rule name: admin-https-from-support-ip
2. Rule position: voor een specifieke WAN-uitzondering Top kiezen en de overige regels op overlap controleren.
3. Description: doel, ticket en geplande vervaldatum documenteren.
4. IP version: passend bij de bron selecteren, meestal IPv4.
5. Source zone: WAN
6. Source Network / Host: een specifiek beheer-IP of een nauw begrensd en onderhouden object selecteren.
7. Destination host: beperken tot het vereiste firewalladres of de interface. Any breidt de bereikbare bestemmingsadressen of interfaces uit, niet de onder Services geselecteerde diensten.
8. Services: alleen HTTPS selecteren, niet voor het gemak ook SSH.
9. Action: Accept

Neem de voorbeeldwaarden niet ongewijzigd over. Voor een intern managementnetwerk kan hetzelfde patroon bijvoorbeeld Source zone: LAN of een aangepaste managementzone, Source Network / Host: mgmt-net, de Interface Host van het management-IP als Destination host, HTTPS en Accept gebruiken. Om een bekende bron uit te sluiten binnen een zone waarvoor toegang verder wel nodig is, gebruikt men een afzonderlijke, correct geplaatste regel met het nauw begrensde bronobject, alleen de betrokken diensten en Drop. Een landengroep is hooguit een grove netwerkgrens en geen vervanging voor een vaste beheerbron of een VPN.

Daarna wordt de configuratie opgeslagen en getest vanuit een toegestane en een niet-toegestane bron. De positie van de regel is belangrijk: hoger geplaatste regels kunnen het resultaat beïnvloeden. Bij overlappende regels moet de werkelijke werking daarom op de firewall worden gecontroleerd en niet alleen uit de lijst worden afgeleid.

API-toegang

Voor de API moeten drie voorwaarden op elkaar aansluiten:

1. De API is ingeschakeld onder Administration > API access.
2. Het bronadres staat in Allowed IP hosts.
3. Device Access staat HTTPS toe vanuit de betreffende zone of via een passende ACL-uitzondering.

Sinds SFOS 22 staat de API-configuratie onder Administration en ondersteunt deze IP-hostobjecten voor adressen, bereiken en netwerken. Er zijn maximaal 64 objecten mogelijk. Een brede HTTPS-vrijgave is hiervoor niet nodig. De volledige configuratie staat in Sophos Firewall API-toegang veilig beperken.

XML-automatisering: zone-instelling, geen ACL-uitzondering

De XML-zonedocumentatie voor SFOS 22/23 plaatst HTTPS en SSH onder respectievelijk Zone/ApplianceAccess/AdminServices/HTTPS en Zone/ApplianceAccess/AdminServices/SSH. Dit is toegang tot lokale diensten op zoneniveau: geen firewallregel voor doorvoerverkeer en geen bronspecifieke Local service ACL exception rule. Een wijziging in deze tak beïnvloedt de bereikbaarheid van het beheer vanuit de zone; ze beperkt de toegang niet tot één beheer-IP. Voor een nauw begrensde brontoestemming blijft de hierboven beschreven ACL-uitzondering de juiste grens.

De documentatie spreekt zichzelf tegen over de waarden: het XML-voorbeeld toont Enable/Disable, terwijl de gezamenlijke parametertabel Enable herhaalt en ook 12 en 40 vermeldt. Hieruit kan geen betrouwbare booleaanse of numerieke codering worden afgeleid. Verduidelijk vóór elke geautomatiseerde schrijfopdracht de syntaxis voor de geïnstalleerde firmware; deze uitleg van de hiërarchie is geen uitvoerbaar sjabloon om toegang te verlenen.

Ook Zone/MemberPorts is geen schrijfopdracht: het commentaar in het XML-voorbeeld markeert de aangesloten poorten uitdrukkelijk als alleen-lezen. De optionele CSV-rij in de tabel beschrijft hun weergave, niet een geverifieerde manier om ze te wijzigen. Test vóór elke geautomatiseerde zonewijziging een onafhankelijke herstelroute met een aangemelde sessie en controleer daarna toegestane en geblokkeerde bronnen zoals beschreven in de uitrol hieronder.

Een aangepaste zone veilig verwijderen

Het verwijderen van een Local service ACL exception rule verwijdert alleen die uitzondering, niet de zone met die naam. Het uitschakelen van een lokale dienst is evenmin een zoneverwijdering. Zones en interfaces legt de koppelingen uit.

1. Bepaal onder Network > Zones de exacte naam van de aangepaste zone die niet meer nodig is in productie en documenteer de vorige toestand. Retired_Test is slechts een voorbeeld, geen verwijderdoel om over te nemen. Meld u eerst aan via de onafhankelijke beheerroute uit de uitrol hieronder en test deze; zij mag niet afhankelijk zijn van deze zone of van de te wijzigen interfaces of regels.
2. Controleer onder Network > Interfaces alle toewijzingen aan deze zone en onder Rules and policies > Firewall rules alle verwijzingen als Source zone of Destination zone. Verwijder geen benodigde interfaces of regels: wijs ze alleen binnen een goedgekeurde wijziging toe aan de bedoelde resterende zone en controleer het effect. Als verwijzingen moeten blijven of hun gebruik onduidelijk is, behoud de zone en haar afhankelijkheden en stop de verwijdering. Verwijder geen productieafhankelijkheden in cascade om verwijdering af te dwingen.
3. Verwijder uitsluitend deze benoemde zone nadat de afhankelijkheden zijn opgehelderd. De XML-documentatie voor SFOS 22/23 vereist Name met maximaal 60 tekens: eerst A-Za-z1-9 (niet 0), daarna A-Za-z0-9_. Dit bewijst geen ondersteuning voor wildcards of automatische cascadeverwijdering; hier wordt geen XML-verzoek of niet-onderbouwd verwijderdialoogvenster voorgeschreven.
4. Controleer daarna dat alleen de bedoelde zone ontbreekt, de resterende interfacetoewijzingen en firewallregels kloppen en benodigd doorvoerverkeer blijft werken. Test lokale diensten opnieuw vanuit toegestane en geblokkeerde bronnen, evenals de onafhankelijke beheerroute. Stop bij afwijkingen en gebruik die route om de gedocumenteerde wijzigingen gericht terug te draaien, niet om toestemmingen te verruimen.

De gedocumenteerde XML-statuswaarden zijn 200 (ZoneDeleteSuccess), 500 (ZoneDeleteFailed), 503 (ZoneInterfaceExists) en 504 (ZoneFirewallRuleExists). Controleer bij 503 of 504 opnieuw de betrokken interface- of regelverwijzingen in plaats van afhankelijke objecten zonder onderscheid te verwijderen. 500 is geen succes; ook 200 vervangt de nacontrole niet.

DNS vanuit WAN

Een DNS-ACL-uitzondering vanuit WAN zorgt er op zichzelf niet voor dat de firewall daar DNS-aanvragen beantwoordt. Hiervoor moet onder Network > DNS ook een statische DNS Host met Publish on WAN worden ingesteld. Dit mag alleen voor een specifieke autoritatieve toepassing gebeuren; de firewall mag daardoor geen publiek toegankelijke recursieve resolver worden. DNS Host Entries op Sophos Firewall instellen en testen legt delegatie, de DNS Host Entry en positieve en negatieve tests uit.

Operationele details vóór de wijziging

Na een upgrade of restore vanuit een versie vóór SFOS 20 neemt VPN Portal de vorige User Portal-poort over, ook een aangepaste poort. User Portal verhuist naar 4443, of naar 65040 als die poort bezet is. Controleer de ingestelde poort en niet alleen de standaardwaarde voordat een schijnbaar ontbrekende ACL-vrijgave wordt onderzocht. VPN Portal-gebruikers of -groepen moeten ook in een geschikte Remote Access-policy zijn opgenomen; bereikbaarheid alleen geeft geen gebruikersautorisatie.

De WAF-listener moet van VPN Portal verschillen in WAN-IP-adres of poort. Ten opzichte van SSL VPN volstaat ook een ander protocol: WAF en VPN Portal gebruiken TCP, terwijl SSL VPN TCP of UDP kan gebruiken. Listener-scheiding is niet hetzelfde als ACL-toestemming; test de betrokken diensten opnieuw na iedere poortwijziging.

Dynamic Routing staat routingupdates naar de firewall toe, niet het dataverkeer erdoorheen. Schakel dit in voor de werkelijke peerzone, niet automatisch voor WAN. In het WAN-voorbeeld met twee RIP-firewalls ontvangt alleen de kant met ingeschakelde toegang updates; de andere kant laat ze vallen en leert de geadverteerde netwerken niet. Controleer bij eenzijdig ontbrekende routes de peerzone aan beide kanten en daarna de protocolconfiguratie in het gekoppelde routingartikel.

De widget Messages in Control center kan waarschuwen voor WAN-toegang tot HTTPS en SSH. Controleer zonetoestemmingen en ACL-uitzonderingen en beperk toegang tot een VPN of specifieke hosts en netwerken. Meldingen kunnen niet handmatig worden verwijderd; sommige verdwijnen wanneer aan de vereiste is voldaan. Een verdwenen melding vervangt geen positieve en negatieve tests. Meldingen over de mastersleutel, registratie, licenties, rapporten en firmware horen bij hun eigen operationele procedures, niet bij een extra ACL-regel.

Wijzigingen uitrollen zonder lockout

Wijzigingen in Device Access worden onmiddellijk actief.

De herstelroute moet ook na de geplande zone- of poortwijziging werken. Een tweede browsertabblad via dezelfde geblokkeerde toegangsroute is niet onafhankelijk. Leg vooraf de exacte vorige instellingen vast en bepaal wie consoletoegang heeft; voer zonder werkende herstelroute geen wijziging op afstand uit. Bij werkzaamheden op afstand moet de tweede beheerroute vóór de wijziging daadwerkelijk aangemeld en getest zijn.

1. De huidige zonevrijgaven, ACL-uitzonderingen, poorten en vereiste diensten documenteren.
2. Een onafhankelijke toegangsroute openen, bijvoorbeeld lokale console, management-LAN, admin-VPN of Sophos Fusion.
3. Bij grotere wijzigingen een actuele back-up en de Secure Storage Master Key beschikbaar houden.
4. De nieuwe, gerichte Accept-uitzondering maken zonder de bestaande brede vrijgave al te verwijderen.
5. De toegestane toegang als baseline testen. Zolang de brede zonevrijgave actief is, bewijst deze test nog niet dat de nieuwe uitzondering wordt toegepast.
6. Onder Diagnostics > Packet capture een nauw filter voor bron, bestemming en poort instellen en Trace On activeren.
7. Via de onafhankelijke beheerroute de oude brede zonevrijgave verwijderen.
8. Direct daarna de dienst vanuit de toegestane bron functioneel testen. Een geslaagde TCP-/TLS- of diensttoegang en doorgaans Status: Consumed bevestigen de positieve test; Reason: LOCAL_ACL hoeft daarbij niet te verschijnen.
9. Dezelfde dienst vanuit een niet-toegestane bron testen. Voor de geblokkeerde poging zijn doorgaans Status: Violation en Reason: LOCAL_ACL te verwachten.
10. Voor HTTP/HTTPS ook het Web-Proxy-pad en voor portals de SSL-VPN-toegangszones testen.
11. Packet Capture stoppen en in Log viewer aanvullende dienst- of aanmeldingsgebeurtenissen controleren. De Rule-ID die Packet Capture toont, is de ID van de firewallregel, niet de ID van de ACL Exception Rule, en kan bij lokaal verkeer 0 zijn.
12. Regel, doel, verantwoordelijke, ticket, bron, dienst en controle- of vervaldatum documenteren.

Afbreken en herstellen: als de toegestane toegang uitvalt, zet dan via de onafhankelijke route de laatst gewijzigde instelling terug naar de vastgelegde vorige waarde en test opnieuw. Als een geblokkeerde bron de dienst nog bereikt, verruim de toestemming niet: onderzoek de proxy, Port Sharing en overlappende ACL-regels en beperk de ongewenste route zonder de hersteltoegang te verliezen. Herhaal beide tests pas na de correctie.

Beknopte documentatievoorbeelden helpen bij een latere controle:

• HTTPS: regel admin-https-from-mgmt, bron mgmt-net, doel WebAdmin, elk kwartaal controleren.
• SSH: bron support-ip-temporary, doel supportcase, na afsluiting van het ticket verwijderen.
• SNMP: bron monitoring-server, doel hardware- en interfacemonitoring, halfjaarlijks controleren.
• SSL VPN: bron WAN, doel Remote Access, logs maandelijks controleren.

Bij meerdere firewalls of een HA-cluster moet eerst een systeem met een goede herstelmogelijkheid worden gewijzigd. Rolwisselingen en onderhoudstoegang worden behandeld in Sophos Firewall High Availability instellen.

Uitzonderingen en aanvullende bescherming

User Portal, VPN Portal en SSL VPN

Bepaal eerst welke portal werkelijk nodig is. VPN-clients en -configuraties horen in het VPN Portal; het User Portal vervult andere gebruikersfuncties. Een overzicht staat in Sophos Firewall-portals vergeleken.

Als een Remote Access-dienst wereldwijd bereikbaar moet zijn, zijn MFA, restrictieve gebruikersgroepen en logging belangrijker dan een ongeschikte landenbeperking. De configuratie staat in MFA voor WebAdmin, VPN Portal en Remote Access. Port Sharing moet desondanks worden vermeden: authenticatie vervangt geen correcte toegangsregeling.

Publiek bereikbare aanmeldpagina’s van WebAdmin, User Portal, VPN Portal en SSL VPN worden snel door scanners en bots gevonden. Ook met MFA leidt dit tot brute-forceverkeer, ruis in de logs en extra belasting.

Als er al veel mislukte VPN Portal-aanmeldingen of accountvergrendelingen optreden, combineert Sophos Firewall VPN Portal beschermen tegen brute force logcontrole, identiteitscontrole, indamming via ACL’s en nacontrole tot een incidentprocedure.

Als een portal wereldwijd bereikbaar moet blijven, kunnen Sophos Firewall Threat Feeds met de actie Block ook bekende kwaadaardige IPv4-bronnen uit Third-Party Feeds zoals Cybora blokkeren, inclusief verkeer naar de firewall zelf. Domein- of URL-IoC’s beschermen een aanmelding niet tegen een kwaadaardig bron-IP; IPv6-bronnen worden momenteel niet ondersteund. Threat Feeds zijn daarom aanvullende bescherming en geen vervanging voor gerichte ACL’s. Het gekoppelde artikel legt de configuratie, tests en allowlisting uit.

SSH en tijdelijke supportregels

SSH mag alleen indien nodig bereikbaar zijn vanuit een managementnetwerk, via VPN of voor een vast support-IP. Authenticatie met Public Key verdient de voorkeur. Na een supportcase wordt de tijdelijke ACL-uitzondering verwijderd; er mag niet worden uitgegaan van een uitschakelstatus die niet in de huidige interface is bevestigd. Meer stappen staan in Via SSH verbinding maken met Sophos Firewall.

CLI-rechten zijn niet hetzelfde als SSH-aanmelding: Volgens de profielbeschrijving voor SFOS 22/23 verleent het profiel Administrator volledige CLI-toegang, zonder het transport te specificeren. De PuTTY-handleiding voor dezelfde versies schrijft daarentegen voor SSH via het netwerk de gebruikersnaam admin voor en sluit andere gebruikersnamen uit; dit geldt ook voor aanmelding met een wachtwoord. Hieruit wordt noch SSH-functionaliteit voor benoemde beheerdersaccounts afgeleid, noch een algemene uitspraak over elke vorm van CLI-toegang. De WebAdmin-functie Console opent via de WebAdmin-toegang een console in de browser en is geen bewijs van een SSH-aanmelding via het netwerk. Of een specifiek benoemd account deze browsertoegang kan gebruiken, moet afzonderlijk worden gecontroleerd aan de hand van de rechten van dat account en de geïnstalleerde firmware. Ook het sleutelbeheer, dat alleen voor de Default Admin is toegestaan, is een afzonderlijk recht en bepaalt niet welke accounts zich met een wachtwoord via SSH kunnen aanmelden.

Controleer vóór een ACL-wijziging de daadwerkelijke herstelroute: Gebruik voor de gedocumenteerde SSH-route via het netwerk het ingebouwde account admin met de actuele inloggegevens of een daarvoor ingestelde sleutel. Meld u via de gekozen toegangsroute in een nieuwe sessie aan, open de vereiste console en leg het account, het transport en de firmwareversie vast in het wijzigingsdossier; een bereikbare TCP-poort alleen volstaat niet. Werkende toegang tot Console in de browser blijft afhankelijk van het WebAdmin-pad en is geen onafhankelijke herstelroute als dat pad wordt geblokkeerd. Als een benoemd account nodig is als SSH-herstelroute of als het waargenomen gedrag afwijkt van de handleiding, stop dan de wijziging, behoud een reeds geteste, geautoriseerde toegangsroute en laat Sophos Support verduidelijken welke accounts en transporten precies worden ondersteund. Verruim de ACL niet en gebruik herhaalde aanmeldpogingen niet als vervanging voor deze verduidelijking.

Verwijder een verlopen uitzondering onder Administration > Device access > Local service ACL exception rule met Delete bij de betreffende regel en bevestig met OK. Test vooraf de beheerroute die behouden moet blijven; controleer daarna dat de voormalige supportbron niet meer kan verbinden. Een vastgelegde vervaldatum is hier een reviewverplichting, geen bewijs van een automatisch verwijdermechanisme.

Troubleshooting

Controleer bij een plotseling onbereikbare login ook Administration > Admin and user settings > Login security > Block login. Deze blokkade per bron-IP hangt af van mislukte aanmeldingen en kan WebAdmin, CLI, VPN Portal en User Portal treffen. Het is geen ACL-regel. Mislukte CAPTCHA-pogingen tellen niet als deze aanmeldpogingen. Controleer de ingestelde blokkeerduur en gebeurtenissen in plaats van HTTPS voor een hele zone toe te staan of de bescherming zonder onderscheid uit te schakelen.

Als een lokale dienst niet zoals verwacht bereikbaar of geblokkeerd is, controleer dan in deze volgorde:

1. Bestemming en poort: klopt het firewall-IP en gebruikt de dienst de verwachte poort?
2. Bronzone: komt de client rechtstreeks vanuit de verwachte zone, via VPN of via de Web Proxy?
3. Zonetabel: is de dienst onder Administration > Device access voor deze zone toegestaan?
4. ACL-uitzonderingen: kloppen IP version, Source zone, Source Network / Host, Destination host, Services, Action en positie?
5. Port Sharing: delen VPN Portal en SSL VPN dezelfde poort en hetzelfde protocol?
6. API: zijn API-activering, Allowed IP hosts en HTTPS Device Access alle drie correct ingesteld?
7. DNS: is DNS toegestaan voor interne clients? Voor publicatie via WAN is daarnaast Publish on WAN nodig.
8. Logs: toont Log Viewer aanvullende dienst- of aanmeldingsgebeurtenissen?
9. Packet Capture: Trace starten voordat de test wordt herhaald. De toegestane toegang moet functioneel slagen en toont doorgaans Status: Consumed; de geblokkeerde poging toont doorgaans Status: Violation en Reason: LOCAL_ACL. De Rule-ID is niet de ID van de ACL-uitzondering. De bediening wordt uitgelegd in Sophos Firewall Packet Capture.

Als WebAdmin of een portal ondanks een uitgeschakelde bronzone bereikbaar blijft, moeten eerst de Web Proxy en Port Sharing worden getest. Een aanvullende firewallregel lost dit probleem niet op.

Voor langdurige traceerbaarheid zijn Central Firewall Reporting of Sophos Firewall Syslog naar SIEM verzenden geschikt.

Operationele checklist

• WebAdmin is niet breed bereikbaar vanuit WAN-, gast-, IoT- of VoIP-zones.
• HTTPS, SSH en SNMP zijn beperkt tot specifieke beheer- of monitoringbronnen.
• User Portal, VPN Portal en SSL VPN zijn alleen actief als het operationele concept deze vereist.
• VPN Portal en SSL VPN delen niet dezelfde poort en hetzelfde protocol.
• Toegang via de Web Proxy tot lokale HTTP/HTTPS-diensten is afzonderlijk getest.
• API access, Allowed IP hosts en HTTPS Device Access zijn op elkaar afgestemd.
• Tijdelijke ACL-uitzonderingen bevatten doel en vervaldatum en worden na afloop verwijderd.
• Toegestane en geblokkeerde bronnen zijn getest; de logs bevestigen het resultaat.
• De regels worden periodiek gecontroleerd op verouderde bronnen, onnodige diensten en brede Accept-uitzonderingen.

Kanttekeningen bij de bronnen

STAS verzorgt gebruikersauthenticatie; het is geen VPN of versleuteld beheertransport. Toestemming voor deze authenticatieservice vervangt geen beschermd beheerpad.

De bewaarde SSH-sleutelinstructies voor SFOS 22/23 zijn dubbelzinnig: ze noemen RSA/DSA met minstens 2048 bits en vermelden ECDSA met uitsluiting van ED25519. Leid daaruit geen ED25519-ondersteuning af en beschouw DSA niet als een aanbeveling. Bevestig vóór registratie het ondersteunde algoritme voor de daadwerkelijk gebruikte firmware; upload alleen de publieke sleutel en behoud een afzonderlijk herstelpad. Een Device Access-toestemming valideert geen sleutelalgoritme.

Adaptive Learning omvat ook URL’s van gedetecteerde virussen, namen/URL’s/IP-adressen van dreigingen, bron-IP-adressen en gebruikte toepassingen. De standaard HTTPS-rapportage bevat apparaat-, firmware- en licentiegegevens (zonder eigenaarsinformatie), functie-/HA-/cloudbeheerstatus, aantallen objecten, fouten en CPU-/geheugen-/schijfgebruik in procenten. Behandel dit als een beslissing over gegevensverstrekking, niet als een ACL-controle. Sophos Assistant staat standaard aan; schakel Turn on Sophos Assistant uit onder Administration > Admin and user settings, klik op Apply en meld u af en opnieuw aan. Dit schakelt telemetrie niet uit.

FAQ