Sophos Firewall VLAN instellen en testen

Een VLAN op de Sophos Firewall is meer dan een VLAN ID. Om het nieuwe netwerk echt te laten werken, moeten de bovenliggende interface, switch-tagging, zone, IP-adres, DHCP, DNS, Device Access, firewallregels en NAT overeenkomen.

Het artikel beschrijft de generieke Sophos Firewallstroom en de belangrijkste operationele beslissingen rond segmentatie, zone, DHCP, regels en testen. Als het gaat om een ​​concrete implementatie met UniFi-switches, dan past het artikel VLAN Sophos Firewall en configureer UniFi-switch. Voor speciale bridge-gevallen volgens SFOS 22 is Sophos Firewall Controleer bridge-VLAN’s volgens SFOS 22 de betere start.

Kort antwoord

Er wordt een VLAN aangemaakt op Sophos Firewall onder Network > Interfaces > Add interface > Add VLAN. Daarna heb je meestal nodig:

• een geschikte zone
• een statisch IP-adres als gateway
• DHCP-server of DHCP-relais
• DNS-ontwerp
• Device Access voor lokale firewalldiensten
• Firewallregels voor internet, interne netwerken of servers
• Logging en een korte acceptatietest

Alleen als een testclient het IP-adres, de gateway, DNS, toegestane verbindingen, geblokkeerde verbindingen en overeenkomende loggegevens toont, wordt de VLAN netjes geaccepteerd.

Wanneer een VLAN zinvol is

VLAN’s scheiden Layer 2-netwerken logisch van elkaar. Op de Sophos Firewall worden ze vaak gebruikt om meerdere netwerken over dezelfde fysieke uplink of LAG te routeren.

Typische toepassingen:

• Apart clientnetwerk en servernetwerk
• Isoleer WiFi van gasten van interne LAN
• Plaats VoIP-telefoons in het eigen netwerk
• Beperk IoT, camera’s of printers
• Creëer een beheernetwerk voor beheerders-pc’s, switches en monitoring
• Voer een DMZ- of servernetwerk uit via een gemeenschappelijke switch-uplink

Een VLAN vervangt echter niet de firewallregels. Het zorgt voor de technische scheiding op Laag 2. De Sophos Firewall beslist of verkeer tussen VLAN’s is toegestaan ​​via zones, routing, firewallregels, NAT en beveiligingsbeleid.

Een VLAN kan meerdere switches omvatten. Verkeer tussen apparaten binnen hetzelfde VLAN wordt door de switches binnen dat Layer 2-netwerk doorgestuurd en loopt normaal niet via de VLAN-gateway. Ook wanneer Sophos Firewall de standaardgateway is, inspecteert deze dus niet automatisch de communicatie binnen hetzelfde VLAN. Verkeer tussen verschillende VLAN’s heeft een Layer 3-pad via een router, Layer 3-switch of firewall nodig.

Plan VLAN-architectuur

De belangrijkste vraag is niet hoe je een VLAN creëert. De belangrijkste vraag is welke beveiligingsgebieden er in het netwerk moeten zijn. Veel problemen ontstaan ​​omdat VLAN’s puur technisch worden gemaakt: VLAN 10, VLAN 20, VLAN 30. Na een paar maanden weet niemand meer welke communicatie moet worden toegestaan ​​en waarom bepaalde netwerken zijn afgesloten.

We raden aan om VLAN’s eerst te plannen op basis van risico, functie en operationele verantwoordelijkheid. Een goede startstructuur ziet er vaak zo uit:

• Beheer: Beheerders-pc’s, switches, toegangspunten, monitoring en controllers. De toegang tot administratieve interfaces moet zeer streng worden gecontroleerd.
• Cliënten: Werkstationapparaten, notebooks en normale gebruikersapparaten. Meestal is dit het standaardnetwerk met internettoegang en gerichte interne goedkeuringen.
• Server: Domeincontroller, bestandsserver en applicatieserver. Servers mogen niet rechtstreeks toegankelijk zijn vanaf elk clientnetwerk.
• Gasten: Gast WiFi en externe apparaten. Dit netwerk heeft normaal gesproken alleen internet nodig en geen toegang tot interne systemen.
• IoT en camera’s: Camera’s, printers, sensoren en gebouwtechnologie. Veel van deze apparaten hebben zwakke update- en beveiligingsmodellen.
• VoIP: Telefoons, PBX en SBC. Eigen DHCP-opties, QoS en duidelijke toegankelijkheid helpen hier vaak bij.
• Back-up: Back-upservers, opslagplaatsen en onveranderlijke opslag. Scheiding beschermt tegen ransomware en zijwaartse beweging.
• DMZ: Openbaar toegankelijke systemen of omgekeerde proxy’s. Blootgestelde diensten horen in een apart gebied.

Dit is geen rigide schema. Een klein kantoor heeft niet noodzakelijkerwijs tien VLAN’s nodig. Een omgeving met meerdere locaties, servers, WLAN’s, camera’s, back-upsystemen en externe toegang mag echter niet alles in één grote LAN onderbrengen.

Classificeer microsegmentatie op realistische wijze

Microsegmentatie betekent niet dat elk afzonderlijk apparaat zijn eigen VLAN nodig heeft. In de praktijk is de betere start meestal schone macrosegmentatie: clients, servers, beheer, gasten, IoT, back-up en DMZ zijn gescheiden. Vooral kritische systemen kunnen dan fijner worden gesegmenteerd.

Voorbeelden van fijnere segmentatie:

• Plaats de domeincontroller in zijn eigen serversubnet.
• Maak back-upsystemen alleen toegankelijk vanuit een paar bronnen.
• Cameranetwerk alleen toestaan voor NVR of VMS.
• Maak printers alleen toegankelijk via printservers of gedefinieerde clientnetwerken.
• Open beheer-VLAN alleen voor beheerdersapparaten en monitoring.

Belangrijk is dat elke extra scheiding ook exploitatiekosten met zich meebrengt. Het heeft regels, logs, tests, documentatie nodig en iemand die de uitzonderingen onderhoudt. Een goede segmentatie is niet zo ingewikkeld mogelijk, maar juist begrijpelijk en controleerbaar.

Voorbereiding voor ZTNA en moderne toegangen

Een schone VLAN-structuur helpt later ook bij ZTNA, VPN, SASE of andere toegangsconcepten. Als interne applicaties zich al in duidelijke server- of applicatienetwerken bevinden, kan de toegang specifieker worden gepubliceerd en hoeft u geen volledige flat LAN vrij te geven.

Voor ZTNA is het volgende bijzonder nuttig:

• Applicatieservers bevinden zich in bekende servernetwerken.
• Beheertoegang is gescheiden van normaal clientverkeer.
• DNS-namen en interne routes zijn duidelijk gedocumenteerd.
• Firewallregels laten zien welke gebruikers- of locatiegroepen welke doelen nodig hebben.
• Oude algemene LAN to LAN of Any to Any regels worden ontmanteld.

Als Sophos ZTNA later wordt gebruikt, verloopt de toegang via Sophos ZTNA Gateway plannen en aanmaken. VLAN-planning is hiervoor geen verplichte vereiste, maar maakt de latere werking wel veel schoner.

Hoeveel VLAN’s heeft u nodig?

Er is geen vast correct aantal. U moet VLAN’s creëren waar uw eigen beveiligingsbeslissing noodzakelijk is.

Een aparte VLAN is meestal zinvol als ten minste één van deze punten van toepassing is:

• Het netwerk heeft andere firewallregels nodig. Dan moet u uw eigen zone of op zijn minst uw eigen VLAN-object plannen.
• Device Access moet er anders uitzien. Een aparte zone is vaak schoner.
• DHCP-opties verschillen, bijvoorbeeld voor VoIP, PXE of gastnetwerken.
• Verkeer moet afzonderlijk worden geregistreerd, gemonitord of geëvalueerd.
• De apparaten hebben een aanzienlijk ander risico, bijvoorbeeld IoT, gasten, back-up of beheer.
• Er zijn andere verantwoordelijke partijen of een eigen bedrijfsproces.

Maar je moet niet elk klein speciaal onderwerp meteen in een nieuwe VLAN forceren. Als twee clientnetwerken exact dezelfde regels, hetzelfde webbeleid en dezelfde Device Access krijgen, kan een gemeenschappelijke zone met duidelijke netwerkobjecten voldoende zijn.

Plan vooraf

Voordat u de VLAN aanmaakt, moet u deze kort documenteren. Dit hoeft geen groot netwerkplan te zijn, maar de belangrijkste waarden moeten wel duidelijk zijn.

Vaak is een compacte planningsset voldoende:

• VLAN Naam: bijvoorbeeld Clients
• VLAN ID: bijvoorbeeld 100
• Subnet: bijvoorbeeld 10.100.0.0/24
• Gateway op Sophos Firewall: bijvoorbeeld 10.100.0.1
• Ouderinterface: bijvoorbeeld Port3 of LAG1
• Zone: bijvoorbeeld Client, LAN, Guest, Server of DMZ
• DHCP: Sophos Firewall, DHCP Relay of externe server
• DNS: Firewall, interne DNS-server of bewust ander ontwerp
• Doel: bijvoorbeeld werkstationclients met internettoegang

Vooral de zone is belangrijk. Deze instelling heeft later invloed op de firewallregels, Device Access, webbeleid, IPS, logs en probleemoplossing. Voor basiszoneplanning is Sophos Firewall Zones en interfaces configureren geschikt.

De ID VLAN moet binnen het geldige bereik van 1 tot 4094 liggen. Dezelfde VLAN ID kan niet meerdere keren worden aangemaakt op dezelfde fysieke bovenliggende interface. In productieve netwerken moet de ID niet alleen technisch worden toegewezen, maar ook worden benoemd met de switchconfiguratie, WLAN SSID, DHCP-scope, documentatie en monitoring. Als VLAN 100 op de firewall Clients wordt genoemd, maar Office op de switch en LAN-neu op DHCP, wordt het oplossen van problemen onnodig moeizaam.

Voor een XGS Appliance noemt Sophos geen vaste bovengrens voor het aantal VLAN-interfaces per fysieke interface. Dat maakt een onbeperkte trunk nog geen goed ontwerp. Sophos raadt aan om veel VLAN’s over meerdere interfaces te verdelen voor betere prestaties en beheerbaarheid. Houd rekening met belasting, model, redundantie en de vraag of het pad tijdens een storing nog te overzien is.

Parent interface en switchtagging begrijpen

De Ouderinterface is de fysieke poort, brug of LAG waarop de Sophos Firewall de getagde VLAN-pakketten ontvangt. De VLAN ID op de Sophos Firewall moet exact overeenkomen met wat de switch op deze link verzendt.

Typische ontwerpen:

• Fysieke poort als trunk: Een switch-uplink transporteert meerdere VLAN’s die zijn getagd naar de firewall.
• LAG als trunk: Meerdere fysieke poorten vormen een LAG, waarop zich meerdere VLAN-interfaces bevinden.
• RED-interface: VLAN’s via een SD-RED 60 vereisen Standard/Unified en passende LAN-poortmodi. De juiste Sophos RED-bedrijfsmodus kiezen legt de grenzen uit.
• Toegangspoort zonder VLAN-tag: Een eindapparaat blijft ongelabeld hangen in een VLAN. Het taggen gebeurt op de switch, niet op de client.
• Brug met VLAN’s: Speciaal geval dat zorgvuldig moet worden gecontroleerd, vooral bij migraties of transparante ontwerpen.

Als een normale client-pc rechtstreeks op een switchpoort is aangesloten, verzendt deze normaal gesproken ongelabeld. De switch wijst deze poort vervolgens toe aan een VLAN. De Sophos Firewall ziet alleen de VLAN op de uplink wanneer de switch de VLAN die is getagd naar de firewall transporteert.

Individuele poorten of VLAN-trunk via LAG?

Theoretisch kunt u uw eigen fysieke firewallpoort gebruiken per VLAN. Dit is begrijpelijk voor zeer kleine installaties, maar schaalt slecht. Poorten worden schaars, de bekabeling wordt verwarrend en wijzigingen aan zones, schakelaars of HA worden later omslachtiger.

In productieomgevingen is een trunkontwerp meestal overzichtelijker:

1. De Sophos Firewall is aangesloten op één of meerdere kernschakelaars.
2. Een fysieke poort of LAG transporteert meerdere getagde VLAN’s.
3. Op de firewall worden op deze bovenliggende interface voor elke VLAN aparte VLAN-interfaces aangemaakt.
4. De firewall blijft de standaardgateway voor de VLAN’s en beslist over het routerings- en beveiligingsbeleid.

Onze voorkeursvariant is vaak een LAG met twee snelle uplinks, bijvoorbeeld 2x SFP+, mits de firewall en switches dit ondersteunen. De VLAN’s draaien er vervolgens op als getagde interfaces. Dit betekent niet automatisch de dubbele snelheid voor een enkele sessie, maar biedt wel meer redundantie, meer reserves en een duidelijker ontwerp dan veel individuele koperpoorten per VLAN.

De belangrijkste varianten:

• Eén firewallpoort per VLAN: eenvoudig te begrijpen en implementeerbaar met weinig VLAN-kennis. Maar het schaalt slecht, vereist veel poorten en maakt de bekabeling al snel verwarrend.
• Eén trunkpoort met VLAN’s: eenvoudig, schoon en met weinig kabels. De individuele uplink blijft echter een single point of Failure.
• LAG met VLAN-trunk: redundant, schoon en eenvoudig schaalbaar. De switch en firewall moeten LAG of LACP correct ondersteunen.
• Routing op core switch: zeer performant in grote netwerken. De firewall ziet het interne oost-westverkeer echter niet meer volledig.

Voor veel MKB- en middelgrote netwerken is firewall als standaardgateway voor de VLAN’s de betere beveiligingsbeslissing. Intern verkeer tussen VLAN’s loopt dan over de Sophos Firewall en kan worden gecontroleerd met firewallregels, IPS, webbeleid, logboekregistratie en latere beveiligingsfuncties. Routering op de kernschakelaar kan nuttig zijn als een zeer hoge interne oost-westdoorvoer vereist is. Maar dan moet je bewust accepteren dat de firewall niet meer elke interne communicatie ziet.

Als vuistregel:

• Veiligheidsgericht en overzichtelijk: VLAN-gateways op de Sophos Firewall.
• Zeer hoge interne prestaties: Controleer de routering op de kernswitch, maar voeg beveiligingszones en ACL’s netjes toe.
• Nieuwe installaties: Leid VLAN’s naar de firewall via trunk of LAG, verspil geen enkele poort per VLAN.
• Kleine sites: Een enkele trunkpoort kan voldoende zijn als er geen redundantie vereist is.

Veel voorkomende misvattingen:

• De VLAN wordt aangemaakt op de firewall, maar de uplink van de switch transporteert deze niet.
• De VLAN is getagd op de toegangspoort, hoewel de client verwacht dat deze niet is getagd.
• De VLAN ID komt niet overeen op de switch en firewall.
• De VLAN is aangemaakt op de verkeerde bovenliggende interface.
• De ouderinterface werd gebruikt als een normale toegangspoort in plaats van als een trunk.
• Op de bovenliggende interface is al een VLAN aangemaakt, waarna de fysieke poort spontaan moet worden omgeschakeld naar DHCP of PPPoE. Dergelijke wijzigingen moeten van tevoren worden gepland, omdat Sophos niet toestaat dat de IP-toewijzing van een statische fysieke interface willekeurig wordt gewijzigd in DHCP of PPPoE na VLAN-configuratie.

Maak een VLAN-interface

Menupad:

Network > Interfaces > Add interface > Add VLAN

Werkwijze:

1. Voer een Name van maximaal 58 tekens in, bijvoorbeeld Clients VLAN 100. De naam kan later worden gewijzigd en verschijnt in andere instellingen.
2. Selecteer de bovenliggende interface als Interface, bijvoorbeeld Port3 of LAG1.
3. Kies Zone op basis van de functie van het VLAN.
4. Voer VLAN ID in, bijvoorbeeld 100.
5. Gebruik onder IPv4 configuratie meestal Static.
6. Voer het IP-adres en het subnetmasker in, bijvoorbeeld 10.100.0.1/24.
7. Opslaan.

Voor interne VLAN’s is het firewall-IP meestal de standaardgateway van de clients. Als een ander systeem routert of de firewall alleen bepaalde netwerken ziet, moet dit ontwerp expliciet worden gedocumenteerd. Anders ga je later op zoek naar firewallregels, ook al gebruikt de client de Sophos Firewall niet als gateway.

Na het opslaan opent u de bovenliggende interface onder Network > Interfaces of gebruikt u het filter VLAN. Sophos toont VLAN-interfaces onder de bovenliggende interface en ook in de VLAN-weergave. De automatisch gegenereerde hardwarenaam is gebaseerd op de ouderinterface en VLAN ID; De beschrijvende interfacenaam is echter bijzonder belangrijk voor de werking, omdat deze in andere instellingen, logs en regels voorkomt.

Ga voor een wijziging aan een bestaand VLAN naar Network > Interfaces > VLAN, open het menu van dat VLAN en kies Edit interface. Sla de wijzigingen op met Save en controleer daarna de betrokken verbindingen opnieuw. Zorg vóór wijzigingen aan gateway, zone of bovenliggende interface voor een onafhankelijke beheerverbinding.

IPv4-toewijzing voor interne en WAN-VLAN’s

Static is vrijwel altijd de juiste keuze voor een intern VLAN, omdat clients een stabiele standaardgateway nodig hebben. Bij de zone WAN vraagt SFOS ook om Gateway name en, bij statische toewijzing, Gateway IP address.

Een WAN-VLAN kan onder IPv4 configuration DHCP of PPPoE gebruiken. Bij DHCP toont SFOS het adres, netmasker en gateway-IP van de provider. PPPoE vereist minimaal Username en Password. Preferred IP is slechts een voorkeur; de server kan een ander adres toewijzen. Stel Access concentrator/service name alleen in als de provider dit eist.

Wijzig LCP echo interval of LCP failure alleen als metingen of eisen van de provider dit rechtvaardigen. Het vinkje weghalen schakelt LCP niet uit, maar herstelt 20 seconden en 3 onbeantwoorde verzoeken. Plan Schedule time for reconnect in een onderhoudsvenster, want na de herverbinding kan de provider een dynamisch adres geven. Controleer daarna gatewaystatus, publiek adres, DNS, NAT en een echte internetverbinding.

Bij PPPoE toont IPv4/netmask het IPv4-adres en subnetmasker dat de provider heeft toegewezen; Gateway IP address toont het IP-adres van de geconfigureerde gateway. Dit zijn weergavevelden, geen statische invoervelden. Access concentrator/service name beperkt verbindingen tot access concentrators die de opgegeven dienst kunnen leveren. LCP echo interval bepaalt het interval tussen echoverzoeken waarmee de verbinding wordt gecontroleerd. Als de bij LCP failure ingestelde verzoeken onbeantwoord blijven, verbreekt SFOS de PPPoE-verbinding. Controleer bij onverwachte onderbrekingen eerst de verbinding en provider in plaats van alleen de drempel te verhogen.

IPv6, prefix delegation en Router Advertisement

Onder IPv6 configuration zijn Static, DHCP en Delegated beschikbaar. Een WAN-VLAN kan het IPv6-adres via DHCPv6 verkrijgen. In de modus Auto selecteert SFOS de methode; bij Manual wordt onderscheid gemaakt tussen DHCP only en Stateless. Bij Stateless volgt de adresconfiguratie de M- en O-flags in de ontvangen router advertisements; met Accept other configuration from DHCP kunnen aanvullende waarden zoals DNS via DHCPv6 worden verkregen.

Voer bij Static onder IPv6 configuration het geplande IPv6-adres en de prefix in IPv6/prefix in. Als Zone op WAN staat, voer dan ook Gateway name en het IPv6-adres van de gateway onder Gateway IP address in. Adres, prefix en gateway moeten bij uw provider- of netwerkplan passen.

Om een providerprefix te verdelen, wordt DHCP prefix delegation op het WAN-VLAN ingeschakeld. Preferred delegated prefix accepteert de prefixlengtes /48, /52, /56 en /60; de provider kan alsnog een andere prefix delegeren. DHCP rapid commit verkort de uitwisseling alleen als de DHCPv6-server Rapid Commit eveneens ondersteunt.

Het prefixadres bij Preferred delegated prefix is optioneel: u kunt het leeg laten en een van de ondersteunde prefixlengtes opgeven. Voor DHCP rapid commit is serverondersteuning niet voldoende: Rapid Commit moet ook op de DHCPv6-server zijn ingeschakeld. Bij IPv6-toewijzing via DHCP vereist de zone WAN ook Gateway name; Gateway IP toont het IPv6-adres van de geconfigureerde gateway.

Het interne VLAN gebruikt vervolgens Delegated en de voorbereide WAN-interface als Upstream interface. SFOS leidt daaruit het IPv6-adres en subnet van het VLAN af. Router advertisement levert adresinformatie aan clients; de optionele DHCPv6 server levert aanvullende parameters zoals DNS, maar in deze modus geen IPv6-adressen. IPv6 prefix delegation op Sophos Firewall configureren beschrijft het volledige traject van provider tot subnet; IPv6 Router Advertisement op Sophos Firewall behandelt de clientzijde.

In de modus Delegated toont IPv6 address het toegewezen adres, inclusief gedelegeerde prefix, Subnet ID, Interface ID en prefixlengte. Daarmee kunt u controleren of het VLAN de verwachte prefix en het juiste subnet gebruikt. Als deze interface aan de zone WAN wordt toegewezen, voer dan ook Gateway name en het IPv6-gatewayadres onder Gateway IP in; het gebruikelijke interne VLAN gebruikt deze WAN-invoertak niet.

Voor een VLAN met DHCPv6 beperkt DAD attempts de pogingen voor Duplicate Address Detection. Onder Allowed RA servers worden alleen de verwachte router-advertisementbronnen aan de hand van hun MAC- of IPv6-adres toegestaan. Beide instellingen horen bij de gedocumenteerde IPv6-topologie en mogen niet op goed geluk worden gewijzigd of ruim worden opengesteld.

DAD attempts telt hier de opeenvolgende Neighbor Solicitation-berichten die worden verzonden voor Duplicate Address Detection van een voorlopig adres, niet het aantal verbindingspogingen met de provider.

Er moet ook een geschikt netwerkobject worden gemaakt voor firewallregels:

Hosts and services > IP host

Voorbeeld:

• Naam: NET_Client_VLAN100
• IP-versie: IPv4
• Type: Network
• IP-adres: 10.100.0.0
• Subnet: /24

Dergelijke objecten maken regels, logzoekopdrachten en daaropvolgende beoordelingen veel duidelijker dan onbewerkte IP-bereiken in elke afzonderlijke regel.

DHCP en DNS instellen

Na de VLAN-interface is een beslissing nodig om adressen toe te wijzen.

• DHCP tot Sophos Firewall: geschikt voor eenvoudige locaties, client-, gast-, IoT- of VoIP-netwerken.
• DHCP Relay: nuttig voor centrale Windows DHCP-server of bestaande DHCP-infrastructuur.
• Externe DHCP-server in VLAN: Speciaal geval wanneer een server direct verantwoordelijk is in VLAN.
• Statische IP’s: geschikt voor kleine server-, beheer- of infrastructuurnetwerken.

De planning en het testen van het adresbereik, de gateway, DNS, leasetijd en statische toewijzingen worden beschreven in Sophos Firewall als DHCP-server configureren. Speciale opties zoals PXE, VoIP of fabrikantspecifieke waarden worden beschreven in DHCP-opties op Sophos Firewall configureren.

Sophos Firewall kan de DHCP-server en DHCP-relay configureren op fysieke en virtuele interfaces zoals VLAN’s, draadloze netwerken en bruggen. Dit is niet de juiste plaats voor aliasinterfaces. Als DHCP via VPN-routes wordt gepland, moet ook worden gecontroleerd of het specifieke VPN-ontwerp DHCP Relay ondersteunt; Bij routegebaseerde VPN’s is dit niet automatisch het geval.

Bij het ontwerpen van DNS moet u duidelijk beslissen of clients de Sophos Firewall als DNS-forwarders gebruiken of rechtstreeks interne DNS-servers vragen. Wanneer de firewall als DNS-forwarder fungeert, moeten interne domeinen vaak worden doorgestuurd naar de juiste DNS-servers via DNS Routes aanvragen op Sophos Firewall.

Controleer Device Access

Device Access beheert de lokale diensten van Sophos Firewall. Dit is niet hetzelfde als een firewallregel tussen VLAN’s.

Typische voorbeelden:

• Clients moeten de firewall als DNS-server gebruiken: sta DNS toe voor de zone.
• Probleemoplossing moet ping op de firewall toestaan: schakel bewust Ping/Ping6 in.
• Normale client-, gast- of IoT-VLAN’s mogen geen WebAdmin- of SSH-toegang hebben.
• Beheertoegang moet via uw eigen beheerdersnetwerk of Lokale Service ACL Exception Rules lopen.

Het exacte proces vindt u in Sophos Firewall Toegang beveiligen: Device Access correct configureren.

Firewallregels en NAT toevoegen

Een nieuwe VLAN heeft dan passende firewallregels nodig. Zonder regel kan een client een IP-adres krijgen, maar niet automatisch op internet of andere interne netwerken.

Maak een nieuwe regel onder Rules and policies > Add firewall rule > New firewall rule. Voer de bron- en bestemmingszones, netwerkobjecten en diensten uit uw VLAN-plan in en sla op met Save.

VLAN-specifieke firewallregels kunnen ook gebruikersauthenticatie vereisen. Toegang hangt dan niet alleen af van het bronnetwerk en de zone, maar ook van de aangemelde gebruiker of diens groep. Een VLAN op zichzelf authenticeert geen gebruikers: configureer de juiste authenticatie en controleer deze met zowel een bevoegde als een onbevoegde testgebruiker.

Een eenvoudige eerste internetregel zou er als volgt uit kunnen zien:

• Regelnaam: Clients_to_WAN
• Bronzones: Client of LAN
• Bronnetwerken: VLAN-netwerk, bijvoorbeeld 10.100.0.0/24
• Bestemmingszones: WAN
• Bestemmingsnetwerken: Any
• Diensten: bewust gewenste diensten, niet automatisch Any
• Firewallverkeer loggen: ingeschakeld

Voor interne toegang moeten aparte regels worden opgesteld. Een gast-, IoT- of camera-VLAN mag niet overal in het server- of beheernetwerk worden toegelaten. Regelplanning wordt gedetailleerder beschreven in Sophos firewallregels begrijpen en configureren.

Het officiële voorbeeld zet beide VLAN-netwerken als bron en bestemming in één regel van LAN naar LAN. Dat werkt in een lab, maar is meestal te ruim voor productie. Gebruik liever gerichte regels zoals Clients_to_Server_HTTPS, van NET_Client_VLAN100 naar één serverobject en alleen voor HTTPS. Maak de omgekeerde regel alleen als systemen in het servernetwerk zelf verbindingen met clients moeten starten. Zo is in de logs duidelijk welke richting bedoeld was.

NAT is niet nodig voor al het VLAN-verkeer. Voor normale internettoegang wordt vaak de bestaande MASQ- of SNAT-regel gebruikt. Tussen interne VLAN’s is NAT meestal onjuist, omdat doelsystemen dan niet langer het echte client-IP zien. De classificatie is in NAT begrijp Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Acceptatietest

Een VLAN is pas voltooid als de pakketstroom is bewezen. Een enkele ping is niet genoeg.

Nuttige testprocedure:

1. Sluit de testclient aan op de beoogde switchpoort of SSID.
2. Controleer of de client een IP-adres ontvangt van de juiste VLAN.
3. Controleer gateway, DNS-server en zoekdomein.
4. Ping het IP-adres van de firewall in VLAN als ping is toegestaan.
5. Test de DNS-resolutie voor interne en externe namen.
6. Test toegestane internettoegang.
7. Test de toegestane interne toegang, indien aanwezig.
8. Probeer bewust interne toegang die niet is toegestaan en controleer in Log Viewer of de poging is geblokkeerd.
9. Controleer in Log Viewer Rule ID, Bronzone, Bestemmingszone en NAT ID.
10. Als er iets onduidelijk is, gebruik dan Packet capture op de VLAN-interface.

Voor de evaluatie met Log Viewer, Policy Test en Packet Capture helpt Sophos Firewall-regels testen met Log Viewer, Policy Test en Packet Capture.

Typische fouten

• VLAN niet toegestaan op de uplink van de switch: De client krijgt geen IP-adres of bereikt de gateway niet. Controleer de trunk of getagde VLAN op de switch.
• Onjuiste ouderinterface: De firewall ziet het verkeer niet. Vergelijk VLAN-interface en fysieke bekabeling.
• VLAN ID bestaat al op dezelfde bovenliggende interface: Sophos Firewall staat niet tweemaal dezelfde VLAN ID toe op dezelfde fysieke interface. Controleer in dit geval bestaande VLAN-interfaces in plaats van een duplicaat te maken.
• Clientpoort getagd in plaats van niet-getagd: Normale clients komen niet terecht in VLAN. Controleer de toegangspoort of het native VLAN-profiel.
• DHCP ontbreekt of een verkeerde DHCP-server antwoordt: De client krijgt geen of een onjuist IP-adres. Controleer DHCP-leases en Packet Capture voor UDP 67/68.
• Geen IP-hostobject voor VLAN: Regels bevatten onbewerkte netwerken of onjuiste objecten. Maak een schone IP-host onder Hosts en services en gebruik deze in regels.
• DNS Device Access ontbreekt: IP-verkeer werkt, maar naamresolutie niet. Device Access en controleer de client-DNS.
• Verkeerde zone geselecteerd: Regels of beleid zijn niet van toepassing zoals verwacht. Vergelijk interfacezone- en firewallregels.
• Firewallregel ontbreekt: De client heeft een IP-adres, maar verkeer is geblokkeerd. Controleer Log Viewer en Rule ID.
• NAT tussen interne VLAN’s: Doelsystemen zien een onjuist bron-IP. Controleer NAT-regels en plan interne NAT-uitzonderingen.

Als een regel niet overeenkomt, ligt het probleem vaak bij zone-, bronnetwerk-, gateway- of switch-tagging. Het artikel Sophos Firewall Regel is niet van toepassing: Controleer oorzaken helpt bij het onderscheid.

De wijziging terugdraaien

Verwijder de VLAN-interface niet als eerste diagnosestap. Herstel eerst de vorige switchpoort- of SSID-toewijzing en controleer welke DHCP-configuratie, regels, NAT-regels, routes en objecten het VLAN gebruiken. Zo blijft de laatste werkende configuratie bereikbaar. Controleer vóór verwijdering een onafhankelijke beheertoegang en verwijder elke afhankelijkheid of wijs die aan een andere interface toe.

Open na een gecontroleerde migratie Network > Interfaces > VLAN, het menu van de interface en kies Delete interface. Controleer daarna dat het VLAN niet meer nodig is op de trunk en dat clients geen adressen uit het subnet ontvangen. Bij een mislukte uitrol volstaat meestal een beperkte rollback: herstel poort of SSID, schakel de nieuwe regels uit en laat de interface staan totdat de oorzaak bekend is.

Operationele controle

Voor productieve VLAN’s moet niet alleen de initiële configuratie correct zijn. Het is van cruciaal belang dat latere beheerders kunnen begrijpen waarom de VLAN bestaat en welke regels daarbij horen.

U moet documenteren:

• VLAN ID, naam en subnet
• Ouderinterface en schakel uplink
• automatisch gegenereerde hardwarenaam en beschrijvende interfacenaam
• Zone- en beveiligingsdoel
• IP-hostobject voor firewallregels
• DHCP-bron en DNS-server
• toegestane doelzones en diensten
• NAT-beslissing
• verantwoordelijke eigenaar
• Testklant of testprocedure
• Datum van de laatste regelcontrole

Voor grotere omgevingen is een eenvoudige toegangsmatrix ook de moeite waard. Zo’n matrix laat zien welke VLAN’s met elkaar mogen praten en welke bewust gescheiden worden gehouden.

Een eenvoudige toegangsmatrix kan er als volgt uitzien:

• Clienten naar internet: toegestaan met webbeleid, DNS Protection en logboekregistratie.
• Clients naar server: alleen gedefinieerde applicatiepoorten.
• Gasten naar intern: geblokkeerd.
• IoT naar internet: alleen vereiste bestemmingen en poorten.
• IoT to Server: alleen naar NVR, printserver of beheersystemen.
• Beheer naar infrastructuur: toegestaan voor beheerprotocollen.
• Back-up naar server: specifiek toegestaan, waardoor de omgekeerde richting ernstig wordt beperkt.

Deze matrix is vaak belangrijker dan de VLAN-lijst zelf. Dit voorkomt dat er later algemene regels ontstaan ​​die de segmentatie feitelijk teniet doen.

Veelgestelde vragen