Sophos Firewall VLAN instellen en testen

Een VLAN op de Sophos Firewall is meer dan een VLAN ID. Om het nieuwe netwerk echt te laten werken, moeten de bovenliggende interface, switch-tagging, zone, IP-adres, DHCP, DNS, Device Access, firewallregels en NAT overeenkomen.

Het artikel beschrijft de generieke Sophos Firewallstroom en de belangrijkste operationele beslissingen rond segmentatie, zone, DHCP, regels en testen. Als het gaat om een ​​concrete implementatie met UniFi-switches, dan past het artikel VLAN Sophos Firewall en configureer UniFi-switch. Voor speciale bridge-gevallen volgens SFOS 22 is Sophos Firewall Controleer bridge-VLAN’s volgens SFOS 22 de betere start.

Kort antwoord

Er wordt een VLAN aangemaakt op Sophos Firewall onder Network > Interfaces > Add interface > Add VLAN. Daarna heb je meestal nodig:

• een geschikte zone
• een statisch IP-adres als gateway
• DHCP-server of DHCP-relais
• DNS-ontwerp
• Device Access voor lokale firewalldiensten
• Firewallregels voor internet, interne netwerken of servers
• Logging en een korte acceptatietest

Alleen als een testclient het IP-adres, de gateway, DNS, toegestane verbindingen, geblokkeerde verbindingen en overeenkomende loggegevens toont, wordt de VLAN netjes geaccepteerd.

Wanneer een VLAN zinvol is

VLAN’s scheiden Layer 2-netwerken logisch van elkaar. Op de Sophos Firewall worden ze vaak gebruikt om meerdere netwerken over dezelfde fysieke uplink of LAG te routeren.

Typische toepassingen:

• Apart clientnetwerk en servernetwerk
• Isoleer WiFi van gasten van interne LAN
• Plaats VoIP-telefoons in het eigen netwerk
• Beperk IoT, camera’s of printers
• Creëer een beheernetwerk voor beheerders-pc’s, switches en monitoring
• Voer een DMZ- of servernetwerk uit via een gemeenschappelijke switch-uplink

Een VLAN vervangt echter niet de firewallregels. Het zorgt voor de technische scheiding op Laag 2. De Sophos Firewall beslist of verkeer tussen VLAN’s is toegestaan ​​via zones, routing, firewallregels, NAT en beveiligingsbeleid.

Plan VLAN-architectuur

De belangrijkste vraag is niet hoe je een VLAN creëert. De belangrijkste vraag is welke beveiligingsgebieden er in het netwerk moeten zijn. Veel problemen ontstaan ​​omdat VLAN’s puur technisch worden gemaakt: VLAN 10, VLAN 20, VLAN 30. Na een paar maanden weet niemand meer welke communicatie moet worden toegestaan ​​en waarom bepaalde netwerken zijn afgesloten.

We raden aan om VLAN’s eerst te plannen op basis van risico, functie en operationele verantwoordelijkheid. Een goede startstructuur ziet er vaak zo uit:

• Beheer: Beheerders-pc’s, switches, toegangspunten, monitoring en controllers. De toegang tot administratieve interfaces moet zeer streng worden gecontroleerd.
• Cliënten: Werkstationapparaten, notebooks en normale gebruikersapparaten. Meestal is dit het standaardnetwerk met internettoegang en gerichte interne goedkeuringen.
• Server: Domeincontroller, bestandsserver en applicatieserver. Servers mogen niet rechtstreeks toegankelijk zijn vanaf elk clientnetwerk.
• Gasten: Gast WiFi en externe apparaten. Dit netwerk heeft normaal gesproken alleen internet nodig en geen toegang tot interne systemen.
• IoT en camera’s: Camera’s, printers, sensoren en gebouwtechnologie. Veel van deze apparaten hebben zwakke update- en beveiligingsmodellen.
• VoIP: Telefoons, PBX en SBC. Eigen DHCP-opties, QoS en duidelijke toegankelijkheid helpen hier vaak bij.
• Back-up: Back-upservers, opslagplaatsen en onveranderlijke opslag. Scheiding beschermt tegen ransomware en zijwaartse beweging.
• DMZ: Openbaar toegankelijke systemen of omgekeerde proxy’s. Blootgestelde diensten horen in een apart gebied.

Dit is geen rigide schema. Een klein kantoor heeft niet noodzakelijkerwijs tien VLAN’s nodig. Een omgeving met meerdere locaties, servers, WLAN’s, camera’s, back-upsystemen en externe toegang mag echter niet alles in één grote LAN onderbrengen.

Classificeer microsegmentatie op realistische wijze

Microsegmentatie betekent niet dat elk afzonderlijk apparaat zijn eigen VLAN nodig heeft. In de praktijk is de betere start meestal schone macrosegmentatie: clients, servers, beheer, gasten, IoT, back-up en DMZ zijn gescheiden. Vooral kritische systemen kunnen dan fijner worden gesegmenteerd.

Voorbeelden van fijnere segmentatie:

• Plaats de domeincontroller in zijn eigen serversubnet.
• Maak back-upsystemen alleen toegankelijk vanuit een paar bronnen.
• Cameranetwerk alleen toestaan voor NVR of VMS.
• Maak printers alleen toegankelijk via printservers of gedefinieerde clientnetwerken.
• Open beheer-VLAN alleen voor beheerdersapparaten en monitoring.

Belangrijk is dat elke extra scheiding ook exploitatiekosten met zich meebrengt. Het heeft regels, logs, tests, documentatie nodig en iemand die de uitzonderingen onderhoudt. Een goede segmentatie is niet zo ingewikkeld mogelijk, maar juist begrijpelijk en controleerbaar.

Voorbereiding voor ZTNA en moderne toegangen

Een schone VLAN-structuur helpt later ook bij ZTNA, VPN, SASE of andere toegangsconcepten. Als interne applicaties zich al in duidelijke server- of applicatienetwerken bevinden, kan de toegang specifieker worden gepubliceerd en hoeft u geen volledige flat LAN vrij te geven.

Voor ZTNA is het volgende bijzonder nuttig:

• Applicatieservers bevinden zich in bekende servernetwerken.
• Beheertoegang is gescheiden van normaal clientverkeer.
• DNS-namen en interne routes zijn duidelijk gedocumenteerd.
• Firewallregels laten zien welke gebruikers- of locatiegroepen welke doelen nodig hebben.
• Oude algemene LAN to LAN of Any to Any regels worden ontmanteld.

Als Sophos ZTNA later wordt gebruikt, verloopt de toegang via Sophos ZTNA Gateway plannen en aanmaken. VLAN-planning is hiervoor geen verplichte vereiste, maar maakt de latere werking wel veel schoner.

Hoeveel VLAN’s heeft u nodig?

Er is geen vast correct aantal. U moet VLAN’s creëren waar uw eigen beveiligingsbeslissing noodzakelijk is.

Een aparte VLAN is meestal zinvol als ten minste één van deze punten van toepassing is:

• Het netwerk heeft andere firewallregels nodig. Dan moet u uw eigen zone of op zijn minst uw eigen VLAN-object plannen.
• Device Access moet er anders uitzien. Een aparte zone is vaak schoner.
• DHCP-opties verschillen, bijvoorbeeld voor VoIP, PXE of gastnetwerken.
• Verkeer moet afzonderlijk worden geregistreerd, gemonitord of geëvalueerd.
• De apparaten hebben een aanzienlijk ander risico, bijvoorbeeld IoT, gasten, back-up of beheer.
• Er zijn andere verantwoordelijke partijen of een eigen bedrijfsproces.

Maar je moet niet elk klein speciaal onderwerp meteen in een nieuwe VLAN forceren. Als twee clientnetwerken exact dezelfde regels, hetzelfde webbeleid en dezelfde Device Access krijgen, kan een gemeenschappelijke zone met duidelijke netwerkobjecten voldoende zijn.

Plan vooraf

Voordat u de VLAN aanmaakt, moet u deze kort documenteren. Dit hoeft geen groot netwerkplan te zijn, maar de belangrijkste waarden moeten wel duidelijk zijn.

Vaak is een compacte planningsset voldoende:

• VLAN Naam: bijvoorbeeld Clients
• VLAN ID: bijvoorbeeld 100
• Subnet: bijvoorbeeld 10.100.0.0/24
• Gateway op Sophos Firewall: bijvoorbeeld 10.100.0.1
• Ouderinterface: bijvoorbeeld Port3 of LAG1
• Zone: bijvoorbeeld Client, LAN, Guest, Server of DMZ
• DHCP: Sophos Firewall, DHCP Relay of externe server
• DNS: Firewall, interne DNS-server of bewust ander ontwerp
• Doel: bijvoorbeeld werkstationclients met internettoegang

Vooral de zone is belangrijk. Deze instelling heeft later invloed op de firewallregels, Device Access, webbeleid, IPS, logs en probleemoplossing. Voor basiszoneplanning is Sophos Firewall Zones en interfaces configureren geschikt.

De ID VLAN moet binnen het geldige bereik van 1 tot 4094 liggen. Dezelfde VLAN ID kan niet meerdere keren worden aangemaakt op dezelfde fysieke bovenliggende interface. In productieve netwerken moet de ID niet alleen technisch worden toegewezen, maar ook worden benoemd met de switchconfiguratie, WLAN SSID, DHCP-scope, documentatie en monitoring. Als VLAN 100 op de firewall Clients wordt genoemd, maar Office op de switch en LAN-neu op DHCP, wordt het oplossen van problemen onnodig moeizaam.

Begrijp de bovenliggende interface en schakel over van tagging

De Ouderinterface is de fysieke poort, brug of LAG waarop de Sophos Firewall de getagde VLAN-pakketten ontvangt. De VLAN ID op de Sophos Firewall moet exact overeenkomen met wat de switch op deze link verzendt.

Typische ontwerpen:

• Fysieke poort als trunk: Een switch-uplink transporteert meerdere VLAN’s die zijn getagd naar de firewall.
• LAG als trunk: Meerdere fysieke poorten vormen een LAG, waarop zich meerdere VLAN-interfaces bevinden.
• RED-interface: VLAN’s kunnen ook worden gepland op geschikte RED-interfaces als de sitemodus en switch-zijde overeenkomen.
• Toegangspoort zonder VLAN-tag: Een eindapparaat blijft ongelabeld hangen in een VLAN. Het taggen gebeurt op de switch, niet op de client.
• Brug met VLAN’s: Speciaal geval dat zorgvuldig moet worden gecontroleerd, vooral bij migraties of transparante ontwerpen.

Als een normale client-pc rechtstreeks op een switchpoort is aangesloten, verzendt deze normaal gesproken ongelabeld. De switch wijst deze poort vervolgens toe aan een VLAN. De Sophos Firewall ziet alleen de VLAN op de uplink wanneer de switch de VLAN die is getagd naar de firewall transporteert.

Individuele poorten of VLAN-trunk via LAG?

Theoretisch kunt u uw eigen fysieke firewallpoort gebruiken per VLAN. Dit is begrijpelijk voor zeer kleine installaties, maar schaalt slecht. Poorten worden schaars, de bekabeling wordt verwarrend en wijzigingen aan zones, schakelaars of HA worden later omslachtiger.

In productieve omgevingen is het ontwerp van een kofferbak meestal schoner:

1. De Sophos Firewall is aangesloten op één of meerdere kernschakelaars.
2. Een fysieke poort of LAG transporteert meerdere getagde VLAN’s.
3. Op de firewall worden op deze bovenliggende interface voor elke VLAN aparte VLAN-interfaces aangemaakt.
4. De firewall blijft de standaardgateway voor de VLAN’s en beslist over het routerings- en beveiligingsbeleid.

Onze voorkeursvariant is vaak een LAG met twee snelle uplinks, bijvoorbeeld 2x SFP+, mits de firewall en switches dit ondersteunen. De VLAN’s draaien er vervolgens op als getagde interfaces. Dit betekent niet automatisch de dubbele snelheid voor een enkele sessie, maar biedt wel meer redundantie, meer reserves en een duidelijker ontwerp dan veel individuele koperpoorten per VLAN.

De belangrijkste varianten:

• Eén firewallpoort per VLAN: eenvoudig te begrijpen en implementeerbaar met weinig VLAN-kennis. Maar het schaalt slecht, vereist veel poorten en maakt de bekabeling al snel verwarrend.
• Eén trunkpoort met VLAN’s: eenvoudig, schoon en met weinig kabels. De individuele uplink blijft echter een single point of Failure.
• LAG met VLAN-trunk: redundant, schoon en eenvoudig schaalbaar. De switch en firewall moeten LAG of LACP correct ondersteunen.
• Routing op core switch: zeer performant in grote netwerken. De firewall ziet het interne oost-westverkeer echter niet meer volledig.

Voor veel MKB- en middelgrote netwerken is firewall als standaardgateway voor de VLAN’s de betere beveiligingsbeslissing. Intern verkeer tussen VLAN’s loopt dan over de Sophos Firewall en kan worden gecontroleerd met firewallregels, IPS, webbeleid, logboekregistratie en latere beveiligingsfuncties. Routering op de kernschakelaar kan nuttig zijn als een zeer hoge interne oost-westdoorvoer vereist is. Maar dan moet je bewust accepteren dat de firewall niet meer elke interne communicatie ziet.

Als vuistregel:

• Veiligheidsgericht en overzichtelijk: VLAN-gateways op de Sophos Firewall.
• Zeer hoge interne prestaties: Controleer de routering op de kernswitch, maar voeg beveiligingszones en ACL’s netjes toe.
• Nieuwe installaties: Leid VLAN’s naar de firewall via trunk of LAG, verspil geen enkele poort per VLAN.
• Kleine sites: Een enkele trunkpoort kan voldoende zijn als er geen redundantie vereist is.

Veel voorkomende misvattingen:

• De VLAN wordt aangemaakt op de firewall, maar de uplink van de switch transporteert deze niet.
• De VLAN is getagd op de toegangspoort, hoewel de client verwacht dat deze niet is getagd.
• De VLAN ID komt niet overeen op de switch en firewall.
• De VLAN is aangemaakt op de verkeerde bovenliggende interface.
• De ouderinterface werd gebruikt als een normale toegangspoort in plaats van als een trunk.
• Op de bovenliggende interface is al een VLAN aangemaakt, waarna de fysieke poort spontaan moet worden omgeschakeld naar DHCP of PPPoE. Dergelijke wijzigingen moeten van tevoren worden gepland, omdat Sophos niet toestaat dat de IP-toewijzing van een statische fysieke interface willekeurig wordt gewijzigd in DHCP of PPPoE na VLAN-configuratie.

Maak een VLAN-interface

Menupad:

Network > Interfaces > Add interface > Add VLAN

Werkwijze:

1. Naam toewijzen, bijvoorbeeld Clients VLAN 100.
2. Selecteer de bovenliggende interface als Interface, bijvoorbeeld Port3 of LAG1.
3. Kies bewust voor Netwerkzone.
4. Voer VLAN ID in, bijvoorbeeld 100.
5. Gebruik onder IPv4 configuratie meestal Static.
6. Voer het IP-adres en het subnetmasker in, bijvoorbeeld 10.100.0.1/24.
7. Opslaan.

Voor interne VLAN’s is het firewall-IP meestal de standaardgateway van de clients. Als een ander systeem routert of de firewall alleen bepaalde netwerken ziet, moet dit ontwerp expliciet worden gedocumenteerd. Anders ga je later op zoek naar firewallregels, ook al gebruikt de client de Sophos Firewall niet als gateway.

Na het opslaan opent u de bovenliggende interface onder Network > Interfaces of gebruikt u het filter VLAN. Sophos toont VLAN-interfaces onder de bovenliggende interface en ook in de VLAN-weergave. De automatisch gegenereerde hardwarenaam is gebaseerd op de ouderinterface en VLAN ID; De beschrijvende interfacenaam is echter bijzonder belangrijk voor de werking, omdat deze in andere instellingen, logs en regels voorkomt.

Er moet ook een geschikt netwerkobject worden gemaakt voor firewallregels:

Hosts and services > IP host

Voorbeeld:

• Naam: NET_Client_VLAN100
• IP-versie: IPv4
• Type: Network
• IP-adres: 10.100.0.0
• Subnet: /24

Dergelijke objecten maken regels, logzoekopdrachten en daaropvolgende beoordelingen veel duidelijker dan onbewerkte IP-bereiken in elke afzonderlijke regel.

DHCP en DNS instellen

Na de VLAN-interface is een beslissing nodig om adressen toe te wijzen.

• DHCP tot Sophos Firewall: geschikt voor eenvoudige locaties, client-, gast-, IoT- of VoIP-netwerken.
• DHCP Relay: nuttig voor centrale Windows DHCP-server of bestaande DHCP-infrastructuur.
• Externe DHCP-server in VLAN: Speciaal geval wanneer een server direct verantwoordelijk is in VLAN.
• Statische IP’s: geschikt voor kleine server-, beheer- of infrastructuurnetwerken.

DHCP op Sophos Firewall wordt aangemaakt onder Network > DHCP. Interface, bereik, gateway, DNS-server en zoekdomein zijn belangrijk. Speciale opties zoals PXE, VoIP of fabrikantspecifieke waarden worden beschreven in Sophos Firewall DHCP Configuratieopties.

Sophos Firewall kan de DHCP-server en DHCP-relay configureren op fysieke en virtuele interfaces zoals VLAN’s, draadloze netwerken en bruggen. Dit is niet de juiste plaats voor aliasinterfaces. Als DHCP via VPN-routes wordt gepland, moet ook worden gecontroleerd of het specifieke VPN-ontwerp DHCP Relay ondersteunt; Bij routegebaseerde VPN’s is dit niet automatisch het geval.

Bij het ontwerpen van DNS moet u duidelijk beslissen of clients de Sophos Firewall als DNS-forwarders gebruiken of rechtstreeks interne DNS-servers vragen. Wanneer de firewall als DNS-forwarder fungeert, moeten interne domeinen vaak worden doorgestuurd naar de juiste DNS-servers via DNS Routes aanvragen op Sophos Firewall.

Controleer Device Access

Device Access beheert de lokale diensten van Sophos Firewall. Dit is niet hetzelfde als een firewallregel tussen VLAN’s.

Typische voorbeelden:

• Clients moeten de firewall als DNS-server gebruiken: sta DNS toe voor de zone.
• Probleemoplossing moet ping op de firewall toestaan: schakel bewust Ping/Ping6 in.
• Normale client-, gast- of IoT-VLAN’s mogen geen WebAdmin- of SSH-toegang hebben.
• Beheertoegang moet via uw eigen beheerdersnetwerk of Lokale Service ACL Exception Rules lopen.

Het exacte proces vindt u in Sophos Firewall Toegang beveiligen: Device Access correct configureren.

Firewallregels en NAT toevoegen

Een nieuwe VLAN heeft dan passende firewallregels nodig. Zonder regel kan een client een IP-adres krijgen, maar niet automatisch op internet of andere interne netwerken.

Een eenvoudige eerste internetregel zou er als volgt uit kunnen zien:

• Regelnaam: Clients_to_WAN
• Bronzones: Client of LAN
• Bronnetwerken: VLAN-netwerk, bijvoorbeeld 10.100.0.0/24
• Bestemmingszones: WAN
• Bestemmingsnetwerken: Any
• Diensten: bewust gewenste diensten, niet automatisch Any
• Firewallverkeer loggen: ingeschakeld

Voor interne toegang moeten aparte regels worden opgesteld. Een gast-, IoT- of camera-VLAN mag niet overal in het server- of beheernetwerk worden toegelaten. Regelplanning wordt gedetailleerder beschreven in Sophos firewallregels begrijpen en configureren.

NAT is niet nodig voor al het VLAN-verkeer. Voor normale internettoegang wordt vaak de bestaande MASQ- of SNAT-regel gebruikt. Tussen interne VLAN’s is NAT meestal onjuist, omdat doelsystemen dan niet langer het echte client-IP zien. De classificatie is in NAT begrijp Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Acceptatietest

Een VLAN is pas voltooid als de pakketstroom is bewezen. Een enkele ping is niet genoeg.

Nuttige testprocedure:

1. Sluit de testclient aan op de beoogde switchpoort of SSID.
2. Controleer of de client een IP-adres ontvangt van de juiste VLAN.
3. Controleer gateway, DNS-server en zoekdomein.
4. Ping het IP-adres van de firewall in VLAN als ping is toegestaan.
5. Test de DNS-resolutie voor interne en externe namen.
6. Test toegestane internettoegang.
7. Test de toegestane interne toegang, indien aanwezig.
8. Test opzettelijk geen toegestane interne toegang en vink blokkering aan in Log Viewer.
9. Controleer in Log Viewer Rule ID, Bronzone, Bestemmingszone en NAT ID.
10. Als er iets onduidelijk is, gebruik dan Packet capture op de VLAN-interface.

Voor de evaluatie met Log Viewer, Policy Test en Packet Capture geldt Sophos Firewall testregel met Log Viewer, Policy Test en Packet Capture.

Typische fouten

• VLAN niet toegestaan op de uplink van de switch: De client krijgt geen IP-adres of bereikt de gateway niet. Controleer de trunk of getagde VLAN op de switch.
• Onjuiste ouderinterface: De firewall ziet het verkeer niet. Vergelijk VLAN-interface en fysieke bekabeling.
• VLAN ID bestaat al op dezelfde bovenliggende interface: Sophos Firewall staat niet tweemaal dezelfde VLAN ID toe op dezelfde fysieke interface. Controleer in dit geval bestaande VLAN-interfaces in plaats van een duplicaat te maken.
• Clientpoort getagd in plaats van niet-getagd: Normale clients komen niet terecht in VLAN. Controleer de toegangspoort of het native VLAN-profiel.
• DHCP ontbrekend of onjuist DHCP antwoorden: De client krijgt geen of een onjuist IP-adres. Controleer DHCP-leases en Packet Capture voor UDP 67/68.
• Geen IP-hostobject voor VLAN: Regels bevatten onbewerkte netwerken of onjuiste objecten. Maak een schone IP-host onder Hosts en services en gebruik deze in regels.
• DNS Device Access ontbreekt: IP-verkeer werkt, maar naamresolutie niet. Device Access en controleer de client-DNS.
• Verkeerde zone geselecteerd: Regels of beleid zijn niet van toepassing zoals verwacht. Vergelijk interfacezone- en firewallregels.
• Firewallregel ontbreekt: De client heeft een IP-adres, maar verkeer is geblokkeerd. Controleer Log Viewer en Rule ID.
• NAT tussen interne VLAN’s: Doelsystemen zien een onjuist bron-IP. Controleer NAT-regels en plan interne NAT-uitzonderingen.

Als een regel niet overeenkomt, ligt het probleem vaak bij zone-, bronnetwerk-, gateway- of switch-tagging. Het artikel Sophos Firewall Regel is niet van toepassing: Controleer oorzaken helpt bij het onderscheid.

Operationele controle

Voor productieve VLAN’s moet niet alleen de initiële configuratie correct zijn. Het is van cruciaal belang dat latere beheerders kunnen begrijpen waarom de VLAN bestaat en welke regels daarbij horen.

U moet documenteren:

• VLAN ID, naam en subnet
• Ouderinterface en schakel uplink
• automatisch gegenereerde hardwarenaam en beschrijvende interfacenaam
• Zone- en beveiligingsdoel
• IP-hostobject voor firewallregels
• DHCP-bron en DNS-server
• toegestane doelzones en diensten
• NAT-beslissing
• verantwoordelijke eigenaar
• Testklant of testprocedure
• Datum van de laatste regelcontrole

Voor grotere omgevingen is een eenvoudige toegangsmatrix ook de moeite waard. Zo’n matrix laat zien welke VLAN’s met elkaar mogen praten en welke bewust gescheiden worden gehouden.

Een eenvoudige toegangsmatrix kan er als volgt uitzien:

• Clienten naar internet: toegestaan met webbeleid, DNS Protection en logboekregistratie.
• Clients naar server: alleen gedefinieerde applicatiepoorten.
• Gasten naar intern: geblokkeerd.
• IoT naar internet: alleen vereiste bestemmingen en poorten.
• IoT to Server: alleen naar NVR, printserver of beheersystemen.
• Beheer van infrastructuur: toegestaan voor beheerderslogboeken.
• Back-up naar server: specifiek toegestaan, waardoor de omgekeerde richting ernstig wordt beperkt.

Deze matrix is vaak belangrijker dan de VLAN-lijst zelf. Dit voorkomt dat er later algemene regels ontstaan ​​die de segmentatie feitelijk teniet doen.

Veelgestelde vragen