Sophos Firewall-zones en interfaces goed plannen

Een zone groepeert interfaces met een vergelijkbaar vertrouwensniveau. De interface is de fysieke of virtuele aansluiting, bijvoorbeeld Port1, een VLAN of een LAG-, RED- of XFRM-interface. Elke gekoppelde interface behoort tot precies één zone; fysieke poorten kunnen ook niet gekoppeld zijn.

Belangrijk: een zone staat verkeer niet automatisch toe. Ook tussen twee interfaces in de zone LAN is een passende LAN-to-LAN-firewallregel nodig. Toegang tot de firewall zelf, zoals WebAdmin, SSH of DNS, wordt bovendien geregeld via Device Access.

Zones en interfaces direct configureren

Een zone aanmaken

Onder Network > Zones > Add maakt men in vier stappen een eigen zone aan:

1. Geef een unieke naam op, bijvoorbeeld Server, Management, Guest of IoT.
2. Kies LAN of DMZ als Type.
3. Sta onder Device Access alleen lokale firewalldiensten toe die vanuit deze zone echt nodig zijn.
4. Sla de configuratie op.

De zone moet daarna onder Network > Zones zichtbaar zijn en in een firewallregel als Source zone of Destination zone kunnen worden geselecteerd. Productieverkeer loopt er pas doorheen zodra ten minste één interface is toegewezen.

Eigen zones kunnen alleen van het type LAN of DMZ zijn. Extra WAN- of VPN-zones zijn niet mogelijk. SFOS wijst VPN-interfaces automatisch toe aan de zone VPN. Het maximale aantal zones is afhankelijk van de versie: SFOS 22.0 staat maximaal 100 zones toe, SFOS 23.0 maximaal 248 zones.

Een fysieke interface configureren

Het aantal beschikbare fysieke poorten hangt af van het appliance-model. Controleer bij de planning daarom eerst welke aansluitingen het concrete apparaat biedt; virtuele interfaces vervangen geen extra benodigde fysieke poorten.

Een bestaande poort wordt onder Network > Interfaces via Edit interface bewerkt:

1. Geef een duidelijke Name van maximaal 58 tekens op, bijvoorbeeld Core Switch Trunk of MPLS Provider.
2. Kies de juiste Network zone.
3. Configureer IPv4 en indien nodig IPv6.
4. Controleer bij WAN-interfaces de gateway en eventueel MTU en MSS.
5. Sla op en controleer vervolgens linkstatus, gatewaystatus en Log Viewer.

Alleen interfaces in de zone WAN krijgen een gatewayconfiguratie. Interne interfaces hebben normaal een statisch adres; WAN-verbindingen kunnen statisch, via DHCP of via PPPoE worden geconfigureerd.

Als de fysieke interface al een VLAN heeft, staat SFOS niet toe dat de IPv4-toewijzing van Static naar DHCP of PPPoE wordt gewijzigd. Voor IPv6 is ook de wijziging van Static naar DHCP of Delegated geblokkeerd. Leg vóór zo’n wijziging de VLAN-afhankelijkheden vast onder Object usage. Verplaats vervolgens de betrokken VLAN-interfaces naar een andere Parent Interface of verwijder ze tijdens een onderhoudsvenster. Wijzig pas daarna de toewijzingsmethode, herstel de VLAN-configuratie en test de connectiviteit.

Stem onder Advanced settings de instellingen Link mode, Auto-negotiation for media type, modelafhankelijke Forward Error Correction (FEC), MTU en MSS af op het apparaat aan de andere kant. Sla bij poorten van 25, 50 en 100 Gbit/s eerst Link mode op, open de interface opnieuw en laad daarna de aanbevolen configuratie. Op XGS 2100, 2300, 3100 en 3300 moeten alle SFP+-poorten in de FleXi Port-modules dezelfde snelheid gebruiken. SFOS ondersteunt geen DSCP-markering voor door het systeem gegenereerd DHCP- en ARP-verkeer; een policy mag voor deze pakketten niet op prioriteitsbehandeling vertrouwen.

De poortsnelheden op de firewall en het apparaat aan de andere kant moeten op elkaar aansluiten. Een 25-Gbit/s-poort kan bijvoorbeeld niet zonder passende omzetting via breakout-kabels met een 40-Gbit/s-poort worden verbonden. Ondersteunde 40- en 100-Gbit/s-poorten van de firewall kunnen met geschikte breakout-kabels in twee of vier poorten worden opgesplitst. Dit is geen garantie voor elke appliance of elke kabelcombinatie; controleer vóór de planning de ondersteuning van de concrete poorten, transceivers en het apparaat aan de andere kant.

Een IPv4-adres instellen in het interactieve herstelmenu

Onder 1. Network Configuration > Interface Configuration toont de CLI IPv4-adres en netmask, IPv6-adres en prefix, zone, gateways en geconfigureerde aliases van fysieke poorten. VLAN- en WLAN-interfaces verschijnen niet in deze weergave.

Met y begint een IPv4-wijziging. SFOS toont per poort achtereenvolgens huidig adres, netmask en zone; Enter zonder nieuwe waarde behoudt het veld. Dit pad geldt alleen voor Gateway mode en statische IPv4-waarden. VLAN, DHCP, PPPoE, WLAN en WWAN kunnen hiermee niet worden geconfigureerd en het IPv6-dialoogvenster verschilt.

Sla vóór de wijziging alle waarden, poort-ID, zone, gateway, aliases en een onafhankelijk managementpad op. Controleer na opslag link, nieuwe IP en netmask, gateway, Device Access, routing, DNS en het echte managementpad. Herstel bij verlies van toegang of een verkeerd datapad de oorspronkelijke waarden via console of onafhankelijke toegang.

Link- en MAC-waarden corrigeren in Device Console

WebAdmin blijft de normale configuratieroute. Device Console is bedoeld voor een gedocumenteerde correctie of recovery, omdat een onjuiste linkwaarde het enige beheerpad onmiddellijk kan onderbreken. Leg vooraf Port ID, peer, huidige Link mode, autonegotiation, FEC, onafhankelijke beheerstoegang en rollback vast.

De officiële SFOS 22-syntaxis accepteert 1000fd, 100fd, 100hd, 10fd, 10hd of auto voor de vermelde koperwaarden:

set network interface-link Port2 linkmode auto autoneg on
set network interface-link Port2 linkmode 1000fd autoneg off

autoneg beheert aanvullende linkparameters naast snelheid en duplex. FEC-modi zijn modelafhankelijk en Sophos geeft in dit CLI-commando geen universele lijst. Gebruik voor poorten van 25, 50 of 100 Gbit/s de aanbevolen configuratie voor de exacte appliance en transceiver, geen waarde die van een ander model is gekopieerd.

Overschrijf een MAC-adres alleen voor een aantoonbare ontwerpafhankelijkheid. Het voorbeeldadres is lokaal beheerd, maar moet in de echte omgeving nog steeds uniek zijn:

set network macaddr Port2 override 02:00:5e:10:00:02
set network macaddr Port2 default

Controleer Port Security, DHCP-bindings, provider-allowlists, HA en LAG vóór de override. default herstelt het bestaande standaard-MAC-adres van de poort. Sophos documenteert MTU 1500 en MSS 1460 als standaardwaarden; wijzig ze alleen met de gecontroleerde procedure in MTU en MSS bij VPN-problemen controleren.

Voor IPv6 bepaalt DAD attempts hoeveel Neighbor Solicitation-berichten de firewall tijdens Duplicate Address Detection verstuurt. Onder Allowed RA servers komen de MAC- of IPv6-adressen van Router Advertisement-servers waarvan deze interface een stateless configuratie mag accepteren. IPv6 Prefix Delegation op Sophos Firewall behandelt het providerprefix en de interne distributie; IPv6 Router Advertisement configureren beschrijft clientflags en geadverteerde prefixes.

Voor concrete taken zijn er gerichte handleidingen:

• Een VLAN-interface configureren en testen
• Door SFOS beheerde Wi-Fi configureren en testen
• Bestaande APX-apparaten met Wireless Mesh verbinden
• Een LAG-interface configureren
• Een GRE-tunnel configureren en testen
• IPv6 over IPv4 of IPv4 over IPv6 vervoeren met een IP-tunnel
• Een PPPoE-WAN configureren en controleren
• WAN-failover met een tweede internetverbinding instellen
• Sophos SD-RED configureren
• Device Access beveiligen
• Multicast tussen interfaces doorsturen met een statische Multicast-route
• Dynamische Multicast Routing met PIM-SM plannen en controleren
• Een site-to-site IPsec VPN configureren

Het zonemodel plannen

Zone, interface en netwerkobject onderscheiden

Deze drie onderdelen hebben verschillende functies:

• Zone: beschrijft het beveiligingsgebied waar verkeer vandaan komt of naartoe gaat.
• Interface: verbindt de firewall fysiek of virtueel met een netwerk.
• Netwerkobject: beschrijft het concrete IP-adres of subnet in een regel.

Een regel is pas nauwkeurig als zowel zone als netwerkobject kloppen. Source zone: LAN samen met Source networks: Any is vaak onnodig ruim. Omgekeerd helpt een correct netwerkobject niet als het pakket via een andere zone binnenkomt dan in de regel is opgegeven.

De standaardzones hebben vaste taken:

• LAN voor interne netwerken
• WAN voor provider- en internetverbindingen
• DMZ voor blootgestelde of sterk geïsoleerde systemen
• WiFi voor WLAN-omgevingen
• VPN voor Remote Access- en site-to-site-tunnels

De zone WiFi geldt voor draadloze netwerken die een eigen zone gebruiken. Bij Bridge to AP LAN en Bridge to VLAN wordt echter geen afzonderlijke WiFi-interface aangemaakt; het verkeerspad volgt de gekozen bridge-toewijzing.

Een Wireless Network legt gemeenschappelijke instellingen voor WLAN-clients vast: SSID, beveiligingsmodus en de verwerking van clientverkeer. Met de Traffic Mode Separate zone maakt de firewall een bijbehorende VXLAN-tunnel aan. De keuze van de Traffic Mode bepaalt daarmee ook hoe het WLAN op de firewall wordt aangesloten; het is niet alleen een aanduiding voor het netwerk.

Eigen LAN-zones zijn bijvoorbeeld geschikt voor Client, Server, Management, Guest, IoT, VoIP, Backup of OT. Een eigen DMZ-zone past bij gepubliceerde servers, reverse proxies en andere systemen waarvan toegang tot het interne netwerk strikt beperkt moet blijven.

Niet elk VLAN heeft een eigen zone nodig. Meerdere VLAN’s kunnen worden samengevoegd als vertrouwensniveau, firewallregels en Device Access gelijk zijn. Verschillen toegestane doelen, beheerstoegang of beveiligingsfuncties, dan is een aparte zone meestal overzichtelijker.

Voor VPN-gebruikers of vestigingstunnels worden geen eigen VPN-zonetypen gemaakt. De scheiding gebeurt binnen de zone VPN met nauwkeurige netwerkobjecten, gebruikers en firewallregels.

Toegangsrichtingen vóór de regels bepalen

Vóór de configuratie volstaat een korte lijst met toegestane richtingen, bijvoorbeeld:

• Client naar WAN: benodigde web-, DNS-, NTP- en applicatiediensten
• Client naar Server: alleen vastgelegde applicatiepoorten
• Guest naar WAN: internettoegang, maar geen toegang tot interne netwerken
• IoT naar Server: alleen noodzakelijke doelen zoals DNS, NTP of een beheerplatform
• Management naar interne zones: strikt beperkte en gelogde beheerdiensten
• DMZ naar LAN: standaard geblokkeerd, alleen expliciet noodzakelijke verbindingen
• VPN naar Server: alleen vrijgegeven doelen en diensten

Voor elke toegestane richting moeten doel, diensten, NAT-behoefte, logging en verantwoordelijke bekend zijn. Daaruit ontstaan de regels. Opbouw, volgorde en matching worden uitgelegd in Sophos Firewall-regels correct configureren.

Controleren vóór een wijziging

Vóór het aanmaken of verplaatsen van een interface moeten minimaal deze punten duidelijk zijn:

• zone en vertrouwensniveau van het netwerk
• IP-adres, subnet en default gateway
• DHCP-bron en DNS-server
• benodigde lokale firewalldiensten
• firewall- en NAT-regels
• routing en SD-WAN
• testclient, verwachte toegang en verwachte logvermelding

Bij productiewijzigingen horen ook een actuele back-up, een terugweg en controle onder Object usage.

Een VLAN aanmaken en opleveren

Een VLAN vormt een geïsoleerd broadcastdomein: broadcasts blijven binnen dit VLAN. Het toewijzen van meerdere VLAN’s aan dezelfde beveiligingszone heft deze Layer 2-scheiding niet op; de zone bepaalt de context voor firewallregels en Device Access.

Een VLAN wordt onder Network > Interfaces > Add interface > Add VLAN aangemaakt. Doorslaggevend zijn:

• Interface: fysieke, RED-, Bridge- of LAG-interface waarop het getagde VLAN aankomt
• Network zone: beveiligingsgebied van het VLAN
• VLAN ID: moet overeenkomen met de switch en eventueel het access point
• IPv4/IPv6 configuration: bij interne VLAN’s meestal een statisch gatewayadres

Een gast-VLAN kan bijvoorbeeld op Port3 liggen met VLAN ID 20, zone Guest en gatewayadres 192.168.20.1/24. Op de switch moet VLAN 20 tagged zijn op de uplink naar Port3; een clientpoort of gast-SSID koppelt de eindapparaten aan dit VLAN.

De firewall kan de interface correct tonen terwijl de switch het VLAN via de verkeerde poort, untagged of met een andere VLAN ID verzendt. Een VLAN is daarom pas gereed nadat het volledige pad is getest:

1. Controleer VLAN ID, Parent Interface, Zone, IP-adres en masker op de firewall.
2. Configureer de uplink naar de firewall als trunk met het VLAN tagged.
3. Wijs de accesspoort of SSID aan het juiste VLAN toe.
4. Test DHCP, gateway en DNS met een testclient.
5. Test een toegestane interne toegang en een bewust verboden toegang.
6. Test internettoegang en bevestig de verwachte Firewall Rule ID in Log Viewer.

Voor intern verkeer is NAT normaal niet nodig. Krijgt de client een adres maar bereikt hij de firewall niet als DNS-server of via ping, controleer dan eerst Device Access. Het volledige proces met switch-tagging en DHCP staat in Een Sophos Firewall-VLAN configureren en testen.

Sophos noemt voor XGS Appliances geen vast maximaal aantal VLAN’s per fysieke Parent Port. Bij hoge belasting, veel VLAN’s of HA-ontwerpen kunnen meerdere uplinks of een LAG beheer en probleemoplossing toch vereenvoudigen.

Het juiste interfacetype kiezen

Virtuele interfaces en aliases worden onder Network > Interfaces via Add interface aangemaakt. Selecteer daar het gewenste type en open de configuratie ervan. De volgende secties helpen bij de keuze van het type; een alias voegt iets toe aan een bestaande interface, terwijl bijvoorbeeld VLAN, Bridge en LAG verschillende logische verbindingen vormen.

Alias

Een alias voegt een extra IP-adres toe aan een bestaande interface. Dit is vooral nuttig als een provider meerdere openbare IP-adressen in hetzelfde subnet aanbiedt.

Een alias-IP op Sophos Firewall configureren en testen legt uit hoe het extra adres wordt gekoppeld, als hostobject in regels en NAT wordt gebruikt en hoe ARP en systeemverkeer worden gecontroleerd.

Meerdere afzonderlijke WAN-interfaces in hetzelfde subnet kunnen ARP-problemen en onbereikbare gateways veroorzaken. Een alias op de bestaande WAN-interface of een goed geplande LAG is dan meestal de nettere oplossing. Een alias volgt de status van de Parent Interface en kan niet afzonderlijk worden uitgeschakeld.

Bridge

Een Bridge verbindt meerdere interfaces op Layer 2. Deze kan met een IP-adres voor routed verkeer of zonder IP transparant werken. Voor nieuwe gesegmenteerde netwerken zijn VLAN’s meestal duidelijker; Bridges passen eerder bij migraties of bewust transparante ontwerpen.

De volledige werkwijze met Members, STP, VLAN- en EtherType-filters, regels en controle staat in Een Bridge-interface op Sophos Firewall configureren.

Belangrijke beperkingen:

• Een Bridge ondersteunt geen Dynamic DNS, DHCP client, PPPoE of IPsec VPN.
• Verkeer tussen Bridge Members kan nog steeds firewallregels vereisen, bijvoorbeeld LAN-to-LAN.
• HA kan niet worden geactiveerd zolang STP op een Bridge actief is.
• Als een VLAN-filter actief is maar geen VLAN toestaat, verwijdert de firewall alle tagged frames; untagged verkeer blijft onaangetast.
• Verkeer via een Bridge zonder IP kan zonder logvermelding worden verwijderd als het een Web Proxy- of NAT-regel raakt.

Bij een transparante Bridge moet daarom worden gecontroleerd of Web Proxy Filtering of Source Translation echt nodig is.

Sophos documenteert NC-177630 voor SFOS 22.0.0 GA-Respin Build 411. De fout kan optreden wanneer gerouteerd verkeer via een Bridge met SNAT of MASQ wordt vertaald en inkomend en uitgaand verkeer hetzelfde fysieke Bridge Member gebruiken. Antwoordpakketten worden dan door het Hairpin Filter verworpen zonder in drppkt te verschijnen. Dit geldt ook als slechts één Bridge Member actief is. Verkeer via verschillende fysieke Bridge Members of zonder SNAT/MASQ wordt niet getroffen.

Sophos noemt SFOS 22.0.1 MR1 Build 490 als versie met de oplossing. Op GA-Respin Build 411 mag SNAT of MASQ voor de betreffende flow alleen worden verwijderd als de vertaling niet nodig is en er een retourroute naar het oorspronkelijke client-IP-adres bestaat. Als alternatief wordt het verkeer via een afzonderlijke fysieke interface gerouteerd in plaats van via de Bridge. Ontbreekt een van de beschreven oorzaken of treedt het probleem op met MR1 Build 490 of nieuwer, dan moet naar een andere oorzaak worden gezocht. Het afzonderlijke SFOS 22-geval voor VLAN-verkeer naar de firewall staat in Bridge-VLAN’s na SFOS 22 controleren.

Een Bridge via RED kan een Layer 2-netwerk over locaties uitbreiden, maar moet een gemotiveerde uitzondering blijven.

Broadcasts, ARP en onbekend unicastverkeer lopen daarbij over de WAN-verbinding. Een routed ontwerp met eigen vestigingssubnets en gerichte firewallregels is stabieler, schaalbaarder en makkelijker te onderzoeken.

LAG

Een Link Aggregation Group bundelt twee tot vier fysieke interfaces in één logische uplink. Daarop kunnen ook VLAN’s worden gebruikt.

De gebruikelijke modi zijn:

• Active-Backup: één link is actief, een andere neemt het over bij uitval.
• LACP (802.3ad): meerdere links kunnen parallel worden gebruikt; firewall en switch moeten identiek zijn geconfigureerd.

Als Members komen niet-gekoppelde fysieke interfaces met statische configuratie in aanmerking. PPPoE-, Cellular WAN- en WLAN-interfaces zijn uitgesloten. Bij LACP moeten de poorten hetzelfde type en dezelfde snelheid hebben.

De xmit-hash-policy verdeelt verbindingen over de links. Eén TCP-verbinding wordt hierdoor normaal niet sneller omdat deze op één link blijft. LAG biedt vooral redundantie en extra totale bandbreedte voor meerdere parallelle verbindingen.

Cellular WAN en WWAN1

Bij het activeren van Cellular WAN maakt SFOS de interface WWAN1 aan. Deze hoort bij de mobiele verbinding en is niet gelijk te stellen aan een vrij aangemaakt VLAN of een alias. De hieronder beschreven beperkingen voor HA en de uitsluiting als LAG Member blijven van toepassing.

In SFOS 23.0 biedt Network > Interfaces in het Menu van de WWAN-interface de acties Connect en Disconnect om het Cellular WAN-modem te verbinden of de verbinding te verbreken. Reset start het modem opnieuw op. Deze voor SFOS 23.0 beschreven acties mogen niet als een identiek klikpad voor SFOS 22.0 worden verondersteld.

Zorg vóór Disconnect of Reset voor onafhankelijke beheerstoegang en een onderhoudsvenster wanneer de mobiele verbinding productieverkeer of beheerstoegang verzorgt. Controleer daarna de interfacestatus en het benodigde data- en managementpad. Een herstart van het modem is geen gegarandeerde oplossing voor een verbindingsfout waarvan de oorzaak nog niet is vastgesteld.

TAP / Discover Mode

Een fysieke poort in Discover Mode ontvangt een door de switch gespiegelde verkeerskopie. De poort staat niet inline en kan het geobserveerde verkeer niet blokkeren of met beveiligingsregels sturen. Dit is nuttig voor een inventarisatie of proof of concept, maar niet als productief beveiligingspad.

In het interfaceoverzicht wordt deze poort vermeld als Discover, physical (TAP). Zo is deze te onderscheiden van een normale interface in het productiedatapad.

Discover Mode met TAP en SPAN instellen beschrijft de volledige configuratie met SPAN-poort, Device Console-opdrachten, Packet Capture, Security Audit Report en HA-grenzen.

XFRM voor route-based IPsec

Bij route-based IPsec maakt men onderscheid tussen Any-to-any-verbindingen en verbindingen met specifieke Traffic Selectors. Als beide subnets op Any staan, maakt SFOS automatisch een XFRM-interface in de zone VPN:

• Any-to-any: wijs onder Network > Interfaces een IP-adres toe aan de automatisch aangemaakte XFRM. Daarna bepalen statische, SD-WAN- of dynamische routes het tunnelverkeer.
• Traffic Selectors: SFOS maakt automatisch een statische route bij het opzetten van de tunnel. Als een XFRM-interface wordt weergegeven, mag men er geen IP-adres of handmatige routes aan toewijzen.

De officiële documentatie van SFOS 22 en SFOS 23 spreekt zichzelf tegen over het maken van XFRM voor specifieke subnets: volgens «Configure an XFRM interface» wordt geen XFRM gemaakt, terwijl «Route-based VPN» beschrijft dat er één per configuratie wordt gemaakt. Ga er daarom niet van uit dat de interface altijd aanwezig of altijd afwezig is. Vouw de Listening interface onder Network > Interfaces uit en controleer de werkelijke zichtbaarheid op de geïnstalleerde build. Het onderdeel Traffic Selectors in Een site-to-site IPsec VPN configureren beschrijft de bestaande controles voor zichtbaarheid en verkeer.

In beide gevallen vereist VPN-verkeer passende firewallregels. Onder Administration > Device access staat IPsec in de zone WAN inkomende IPsec-verbindingsaanvragen toe. Ping op de tunnel wordt afzonderlijk voor VPN toegestaan.

Een XFRM wordt niet direct onder Network > Interfaces uitgeschakeld, maar via de verbinding onder Site-to-site VPN > IPsec. Als SSL/TLS Decryption op IPsec-verkeer wordt toegepast, moet de XFRM-MTU volgens Sophos minstens 113 bytes lager zijn dan de MTU van de Listening Interface. Bij een MTU van 1400 op de Listening Interface mag de XFRM-MTU dus maximaal 1287 zijn. Deze productspecifieke grens geldt voor FastPath Offload en is geen algemene waarde voor elke tunnel. Zie MTU en MSS bij VPN-problemen controleren voor de volledige controleprocedure.

RED

Een RED-interface verbindt een externe vestiging via een versleutelde tunnel. De bedrijfsmodus bepaalt hoeveel verkeer via de centrale locatie loopt:

• Standard/Unified: de centrale firewall beheert en filtert al het vestigingsverkeer. Valt de tunnel uit, dan kan ook internettoegang uitvallen.
• Standard/Split: alleen gedefinieerde doelnetwerken lopen door de tunnel; internetverkeer gaat lokaal naar buiten en wordt niet centraal gefilterd.
• Transparent/Split: RED werkt transparant in een bestaand netwerk. Dit is flexibel, maar moeilijker te plannen en onderzoeken.
• Manual/Split: de netwerkconfiguratie is sterker handmatig en kan lokale autonomie mogelijk maken.

De RED-service moet onder System services > RED actief zijn. De verbinding vereist normaal TCP 3400, UDP 3410 en NTP via UDP 123. DNS, correcte systeemtijd en uitgaande internettoegang moeten werken.

Het VLAN-gedrag hangt af van RED-model, bedrijfsmodus, LAN-poortmodus en WLAN-configuratie. Sophos adviseert Standard/Unified voor VLAN’s achter RED; op een SD-RED 60 is VLAN-tagging alleen in deze modus mogelijk. WLAN met Bridge to VLAN volgt eigen regels. De juiste Sophos RED-bedrijfsmodus kiezen legt DHCP, gateway, internetpad en uitvalgedrag van de vier modi uit. Provisioning, LED-status en probleemoplossing staan in Sophos SD-RED configureren.

Status en Device Access controleren

Interfacestatus

Onder Network > Interfaces geven de statuswaarden aan of eerst de link of de policy moet worden onderzocht:

• Not configured: geen zone toegewezen
• Connected: geconfigureerd en verbonden
• Connecting: ontvangt een adres, bijvoorbeeld via DHCP
• Disconnected: adres is vrijgegeven
• Disconnecting: adres wordt vrijgegeven
• Unplugged: geen fysieke verbinding; bij WiFi eventueel geen Access Point of Wireless Network
• Not available: geconfigureerde FleXi Port zonder aanwezige FleXi Port-module

Bij Not configured of Unplugged zijn firewallregels nog niet het eerste aanknopingspunt. Controleer eerst Zone Binding, kabel, SFP, poortsnelheid, switchpoort en DHCP of PPPoE.

Lokale firewalldiensten

Onder Administration > Device access wordt per zone bepaald of lokale diensten zoals HTTPS, SSH, User Portal, VPN Portal, DNS, Ping/Ping6, Captive Portal, RADIUS SSO of Wireless Protection bereikbaar zijn.

Deze toestemmingen gelden voor de firewall zelf. Doorgaand verkeer tussen netwerken wordt door firewallregels geregeld. HTTPS en SSH mogen alleen vanuit een managementnetwerk of via een gerichte Local service ACL exception rule zijn toegestaan. DNS is nodig wanneer clients de firewall als DNS-server gebruiken.

⚠️ Als clients de Web Proxy van de firewall mogen gebruiken, behandelt SFOS HTTP- en HTTPS-aanvragen als interne proxyverzoeken. Daardoor kunnen WebAdmin, Captive Portal, VPN Portal of User Portal bereikbaar zijn hoewel de dienst voor de clientzone uitstaat. Proxytoegang en lokale portals moeten in dit ontwerp afzonderlijk worden gecontroleerd.

Afhankelijkheden en wijzigingen veilig beheren

Object Usage vóór bewerken of verwijderen

Zone Binding, DNS, gateways, SD-WAN, Interface Hosts, VLAN’s, Dynamic DNS, DHCP, firewallregels, NAT en VPN kunnen van dezelfde interface afhangen. Object usage toont deze verwijzingen.

De getoonde teller wordt automatisch slechts eenmaal per dag bijgewerkt. Klik vóór wijzigen of verwijderen daarom op Refresh en documenteer belangrijke afhankelijkheden. Niet elke verwijzing kan in de pop-up worden bewerkt. WAN-gateways en CLI-configuraties moeten op hun eigen configuratiepagina of in de CLI worden gewijzigd.

Voor bewerkbare verwijzingen in regels of policies leidt de teller naar de concrete configuratie:

1. Klik in de kolom Usage op het aantal keren dat het betreffende object wordt gebruikt. De pop-up toont welke configuraties het object gebruiken.
2. Klap de juiste categorie uit met het pluspictogram om de bijbehorende regels of policies te tonen.
3. Klik op de betreffende regel of policy om deze te bewerken. Verwijder daar de verwijzing naar het object of vervang deze door het beoogde vervangende object.

Na de controle van afhankelijkheden wordt de betreffende interface onder Network > Interfaces in het Menu in- of uitgeschakeld met respectievelijk on of off. Zorg vóór off voor onafhankelijke beheerstoegang en een terugweg; de actie kan het momenteel gebruikte datapad onderbreken. Alias en XFRM kunnen hier niet onafhankelijk worden uitgeschakeld.

Bij uitschakelen blijft de interfaceconfiguratie behouden. IPsec-tunnels waarbij de firewall Initiator is, worden direct verbroken. Responder-tunnels en Remote Access-verbindingen eindigen uiterlijk door inactiviteit of Dead Peer Detection.

Een virtuele interface wordt onder Network > Interfaces via Menu > Delete interface verwijderd. Voer deze actie pas uit na Refresh onder Object usage, een gedocumenteerde controle van afhankelijkheden en het voorbereiden van een back-up en terugweg; de actie verwijdert niet alleen de zichtbare interfacevermelding.

Bij het verwijderen van een virtuele interface verwijdert SFOS alle firewallregels waarin deze wordt gebruikt, ook als de regel andere interfaces bevat. Daarnaast worden afhankelijke Zone Bindings, DHCP-servers of relays, ARP-vermeldingen, Protected Servers, Interface Hosts en hun groepsverwijzingen, plus unicast- en multicastroutes verwijderd. Aliasinterfaces volgen hun Parent Interface; XFRM-interfaces worden via de IPsec-verbinding beheerd.

HA en wijzigingen op afstand

Speciale HA-linkinterfaces horen in een DMZ-zone. Andere bewaakte of voor beheer gebruikte interfaces mogen in andere zones liggen.

Active-Active HA vereist statisch geconfigureerde interfaces. Cellular WAN wordt bij HA uitgeschakeld. Active-Passive kan dynamisch geadresseerde WAN-interfaces gebruiken, maar verbindingen zoals PPPoE worden bij failover niet noodzakelijk met hun sessie overgenomen.

Vóór een productiewijziging:

1. Documenteer configuratie en afhankelijkheden.
2. Bereid onderhoudsvenster, rollbackmoment, back-up en concrete terugweg voor.
3. Test onafhankelijke beheerstoegang, zoals Sophos Fusion (voorheen Sophos Central), een tweede WAN, een apart managementnetwerk of iemand op locatie.
4. Bereid een testclient of duidelijk testverkeer voor; voeg daarna de nieuwe zone of het nieuwe pad toe en test dit.
5. Controleer link, IP, gateway, DHCP, DNS, firewallregels, NAT en Device Access.
6. Verwijder oude objecten pas wanneer het nieuwe pad stabiel is.

Bij een VLAN-trunk horen oude VLAN ID, Native VLAN en switchpoortprofiel bij de terugweg. Bij WAN-wijzigingen zijn providerwaarden en SD-WAN-routes belangrijk; bij XFRM ook tunnel, routing en beide firewallrichtingen.

Fouten systematisch vinden

De oorzaak is meestal sneller af te bakenen door eerst naar het symptoom te kijken:

• Interface is unbound of disabled: de fysieke poort zelf kan niet worden verwijderd. Open om alleen de configuratie te verwijderen de poort onder Network > Interfaces, stel Network zone in op None en sla op. SFOS toont de interface daarna als Unbound, de status als Disabled en het IP-adres als N/A. Controleer vooraf Object Usage en het administratieve herstelpad.
• VLAN werkt niet: vergelijk VLAN ID, Parent Interface, trunk, Tagged/Untagged en Native VLAN.
• Firewall is niet bereikbaar via ping, HTTPS of DNS: controleer Device Access en Local Service ACL, niet eerst een gewone firewallregel.
• Intern verkeer wordt geblokkeerd: controleer Source zone, Destination zone, netwerkobjecten, routing, Services en regelvolgorde.
• WAN-gateway blijft inactief: controleer link, IP, gateway, PPPoE-gegevens en WAN Link Manager.
• Meerdere WAN-poorten liggen in hetzelfde subnet: voorkom ARP-problemen en controleer alias of LAG.
• SFP of Port Speed klopt niet: Gebruik SFP en SFP+ systematisch diagnosticeren om transceiver, kabel, breakout en snelheid aan beide kanten te vergelijken.
• VPN of PPPoE is instabiel: controleer MTU en MSS.

Voor de eigenlijke diagnose is deze volgorde zinvol:

1. Network > Interfaces: link, IP, zone en gateway
2. Network > Zones: zonetype en Device Access
3. Hosts and services: netwerk- en serviceobjecten
4. Firewall rules: richting, volgorde, Services en logging
5. NAT rules: Original en Translation
6. Log viewer: Rule ID of reden voor drop
7. Diagnostics > Tools > Packet capture: binnenkomst en doorsturen van het pakket

Lijkt de regel correct maar matcht deze niet, zie Firewallregel wordt niet toegepast. De pakketstroom wordt uitgelegd in Packet Capture in WebAdmin gebruiken.

Operationele checklist

• Zones volgens vertrouwensniveau gepland en gedocumenteerd
• Zone, interface en netwerkobject niet door elkaar gehaald
• VLAN ID, Parent, trunk en gateway gecontroleerd
• Device Access vooral voor HTTPS, SSH, DNS, ping en portals beperkt
• Firewallregels met concrete zones, netwerken, diensten en logging gemaakt
• Alias voor extra provider-IP-adressen in hetzelfde subnet overwogen
• DHCP, DNS, NTP, routing en indien nodig NAT getest
• Object Usage bijgewerkt en vóór wijzigingen gecontroleerd
• Onafhankelijke beheerstoegang en terugweg voorbereid
• Link Status, Log Viewer en Packet Capture na de wijziging gecontroleerd

FAQ