Sophos Firewall-zones en interfaces goed plannen

Een zone groepeert interfaces met een vergelijkbaar vertrouwensniveau. De interface is de fysieke of virtuele aansluiting, bijvoorbeeld Port1, een VLAN of een LAG-, RED- of XFRM-interface. Elke gekoppelde interface behoort tot precies één zone; fysieke poorten kunnen ook niet gekoppeld zijn.

Belangrijk: een zone staat verkeer niet automatisch toe. Ook tussen twee interfaces in de zone LAN is een passende LAN-to-LAN-firewallregel nodig. Toegang tot de firewall zelf, zoals WebAdmin, SSH of DNS, wordt bovendien geregeld via Device Access.

Zones en interfaces direct configureren

Een zone aanmaken

Onder Network > Zones > Add maakt men in vier stappen een eigen zone aan:

1. Geef een unieke naam op, bijvoorbeeld Server, Management, Guest of IoT.
2. Kies LAN of DMZ als Type.
3. Sta onder Device Access alleen lokale firewalldiensten toe die vanuit deze zone echt nodig zijn.
4. Sla de configuratie op.

De zone moet daarna onder Network > Zones zichtbaar zijn en in een firewallregel als Source zone of Destination zone kunnen worden geselecteerd. Productieverkeer loopt er pas doorheen zodra ten minste één interface is toegewezen.

Eigen zones kunnen alleen van het type LAN of DMZ zijn. Extra WAN- of VPN-zones zijn niet mogelijk. SFOS wijst VPN-interfaces automatisch toe aan de zone VPN. De firewall ondersteunt in totaal maximaal 100 zones.

Een fysieke interface configureren

Een bestaande poort wordt onder Network > Interfaces via Edit interface bewerkt:

1. Geef een duidelijke Name op, bijvoorbeeld Core Switch Trunk of MPLS Provider.
2. Kies de juiste Network zone.
3. Configureer IPv4 en indien nodig IPv6.
4. Controleer bij WAN-interfaces de gateway en eventueel MTU en MSS.
5. Sla op en controleer vervolgens linkstatus, gatewaystatus en Log Viewer.

Alleen interfaces in de zone WAN krijgen een gatewayconfiguratie. Interne interfaces hebben normaal een statisch adres; WAN-verbindingen kunnen statisch, via DHCP of via PPPoE worden geconfigureerd.

Voor concrete taken zijn er gerichte handleidingen:

• Een VLAN-interface configureren en testen
• Een LAG-interface configureren
• Sophos SD-RED configureren
• Device Access beveiligen
• Een site-to-site IPsec VPN configureren

Het zonemodel plannen

Zone, interface en netwerkobject onderscheiden

Deze drie onderdelen hebben verschillende functies:

• Zone: beschrijft het beveiligingsgebied waar verkeer vandaan komt of naartoe gaat.
• Interface: verbindt de firewall fysiek of virtueel met een netwerk.
• Netwerkobject: beschrijft het concrete IP-adres of subnet in een regel.

Een regel is pas nauwkeurig als zowel zone als netwerkobject kloppen. Source zone: LAN samen met Source networks: Any is vaak onnodig ruim. Omgekeerd helpt een correct netwerkobject niet als het pakket via een andere zone binnenkomt dan in de regel is opgegeven.

De standaardzones hebben vaste taken:

• LAN voor interne netwerken
• WAN voor provider- en internetverbindingen
• DMZ voor blootgestelde of sterk geïsoleerde systemen
• WiFi voor WLAN-omgevingen
• VPN voor Remote Access- en site-to-site-tunnels

Eigen LAN-zones zijn bijvoorbeeld geschikt voor Client, Server, Management, Guest, IoT, VoIP, Backup of OT. Een eigen DMZ-zone past bij gepubliceerde servers, reverse proxies en andere systemen waarvan toegang tot het interne netwerk strikt beperkt moet blijven.

Niet elk VLAN heeft een eigen zone nodig. Meerdere VLAN’s kunnen worden samengevoegd als vertrouwensniveau, firewallregels en Device Access gelijk zijn. Verschillen toegestane doelen, beheerstoegang of beveiligingsfuncties, dan is een aparte zone meestal overzichtelijker.

Voor VPN-gebruikers of vestigingstunnels worden geen eigen VPN-zonetypen gemaakt. De scheiding gebeurt binnen de zone VPN met nauwkeurige netwerkobjecten, gebruikers en firewallregels.

Toegangsrichtingen vóór de regels bepalen

Vóór de configuratie volstaat een korte lijst met toegestane richtingen, bijvoorbeeld:

• Client naar WAN: benodigde web-, DNS-, NTP- en applicatiediensten
• Client naar Server: alleen vastgelegde applicatiepoorten
• Guest naar WAN: internettoegang, maar geen toegang tot interne netwerken
• IoT naar Server: alleen noodzakelijke doelen zoals DNS, NTP of een beheerplatform
• Management naar interne zones: strikt beperkte en gelogde beheerdiensten
• DMZ naar LAN: standaard geblokkeerd, alleen expliciet noodzakelijke verbindingen
• VPN naar Server: alleen vrijgegeven doelen en diensten

Voor elke toegestane richting moeten doel, diensten, NAT-behoefte, logging en verantwoordelijke bekend zijn. Daaruit ontstaan de regels. Opbouw, volgorde en matching worden uitgelegd in Sophos Firewall-regels correct configureren.

Controleren vóór een wijziging

Vóór het aanmaken of verplaatsen van een interface moeten minimaal deze punten duidelijk zijn:

• zone en vertrouwensniveau van het netwerk
• IP-adres, subnet en default gateway
• DHCP-bron en DNS-server
• benodigde lokale firewalldiensten
• firewall- en NAT-regels
• routing en SD-WAN
• testclient, verwachte toegang en verwachte logvermelding

Bij productiewijzigingen horen ook een actuele back-up, een terugweg en controle onder Object usage.

Een VLAN aanmaken en opleveren

Een VLAN wordt onder Network > Interfaces > Add interface > Add VLAN aangemaakt. Doorslaggevend zijn:

• Interface: fysieke, RED-, Bridge- of LAG-interface waarop het getagde VLAN aankomt
• Network zone: beveiligingsgebied van het VLAN
• VLAN ID: moet overeenkomen met de switch en eventueel het access point
• IPv4/IPv6 configuration: bij interne VLAN’s meestal een statisch gatewayadres

Een gast-VLAN kan bijvoorbeeld op Port3 liggen met VLAN ID 20, zone Guest en gatewayadres 192.168.20.1/24. Op de switch moet VLAN 20 tagged zijn op de uplink naar Port3; een clientpoort of gast-SSID koppelt de eindapparaten aan dit VLAN.

De firewall kan de interface correct tonen terwijl de switch het VLAN via de verkeerde poort, untagged of met een andere VLAN ID verzendt. Een VLAN is daarom pas gereed nadat het volledige pad is getest:

1. Controleer VLAN ID, Parent Interface, Zone, IP-adres en masker op de firewall.
2. Configureer de uplink naar de firewall als trunk met het VLAN tagged.
3. Wijs de accesspoort of SSID aan het juiste VLAN toe.
4. Test DHCP, gateway en DNS met een testclient.
5. Test een toegestane interne toegang en een bewust verboden toegang.
6. Test internettoegang en bevestig de verwachte Firewall Rule ID in Log Viewer.

Voor intern verkeer is NAT normaal niet nodig. Krijgt de client een adres maar bereikt hij de firewall niet als DNS-server of via ping, controleer dan eerst Device Access. Het volledige proces met switch-tagging en DHCP staat in Een Sophos Firewall-VLAN configureren en testen.

Sophos noemt voor XGS-appliances geen vast maximaal aantal VLAN’s per fysieke Parent Port. Bij hoge belasting, veel VLAN’s of HA-ontwerpen kunnen meerdere uplinks of een LAG beheer en probleemoplossing toch vereenvoudigen.

Het juiste interfacetype kiezen

Alias

Een alias voegt een extra IP-adres toe aan een bestaande interface. Dit is vooral nuttig als een provider meerdere openbare IP-adressen in hetzelfde subnet aanbiedt.

Meerdere afzonderlijke WAN-interfaces in hetzelfde subnet kunnen ARP-problemen en onbereikbare gateways veroorzaken. Een alias op de bestaande WAN-interface of een goed geplande LAG is dan meestal de nettere oplossing. Een alias volgt de status van de Parent Interface en kan niet afzonderlijk worden uitgeschakeld.

Bridge

Een Bridge verbindt meerdere interfaces op Layer 2. Deze kan met een IP-adres voor routed verkeer of zonder IP transparant werken. Voor nieuwe gesegmenteerde netwerken zijn VLAN’s meestal duidelijker; Bridges passen eerder bij migraties of bewust transparante ontwerpen.

Belangrijke beperkingen:

• Een Bridge ondersteunt geen Dynamic DNS, DHCP client, PPPoE of IPsec VPN.
• Verkeer tussen Bridge Members kan nog steeds firewallregels vereisen, bijvoorbeeld LAN-to-LAN.
• HA kan niet worden geactiveerd zolang STP op een Bridge actief is.
• Als een VLAN-filter actief is maar geen VLAN toestaat, verwijdert de firewall alle tagged frames; untagged verkeer blijft onaangetast.
• Verkeer via een Bridge zonder IP kan zonder logvermelding worden verwijderd als het een Web Proxy- of NAT-regel raakt.

Bij een transparante Bridge moet daarom worden gecontroleerd of Web Proxy Filtering of Source Translation echt nodig is.

De Sophos Known Issues List beschrijft bovendien een buildgebonden fout voor SFOS 22.0 GA Build 411 en MR1 Build 490: wordt verkeer via een Bridge met SNAT of MASQ vertaald en liggen bron en doel achter dezelfde fysieke Bridge Member, dan kunnen antwoordpakketten door het hairpin-filter worden verwijderd zonder in drppkt te verschijnen. Dit geldt ook als slechts één Bridge Member actief wordt gebruikt. Verkeer via verschillende fysieke Members of zonder SNAT/MASQ is niet getroffen. Nieuwere builds zoals 22.0 MR2 Build 546 staan in de huidige Known Issues List niet als getroffen vermeld.

Als alleen bepaalde Bridge-verbindingen mislukken, controleer dan topologie en NAT samen, test zonder Source Translation of gebruik een routed ontwerp. Het afzonderlijke SFOS 22-geval voor VLAN-verkeer naar de firewall staat in Bridge-VLAN’s na SFOS 22 controleren.

Een Bridge via RED kan een Layer 2-netwerk over locaties uitbreiden, maar moet een gemotiveerde uitzondering blijven.

Broadcasts, ARP en onbekend unicastverkeer lopen daarbij over de WAN-verbinding. Een routed ontwerp met eigen vestigingssubnets en gerichte firewallregels is stabieler, schaalbaarder en makkelijker te onderzoeken.

LAG

Een Link Aggregation Group bundelt twee tot vier fysieke interfaces in één logische uplink. Daarop kunnen ook VLAN’s worden gebruikt.

De gebruikelijke modi zijn:

• Active-Backup: één link is actief, een andere neemt het over bij uitval.
• LACP (802.3ad): meerdere links kunnen parallel worden gebruikt; firewall en switch moeten identiek zijn geconfigureerd.

Als Members komen niet-gekoppelde fysieke interfaces met statische configuratie in aanmerking. PPPoE-, Cellular WAN- en WLAN-interfaces zijn uitgesloten. Bij LACP moeten de poorten hetzelfde type en dezelfde snelheid hebben.

De xmit-hash-policy verdeelt verbindingen over de links. Eén TCP-verbinding wordt hierdoor normaal niet sneller omdat deze op één link blijft. LAG biedt vooral redundantie en extra totale bandbreedte voor meerdere parallelle verbindingen.

XFRM voor route-based IPsec

Bij een route-based IPsec-verbinding maakt SFOS automatisch een XFRM-interface in de zone VPN. Dit geldt voor zowel Any-to-any als verbindingen met Traffic Selectors:

• Any-to-any: wijs onder Network > Interfaces een IP-adres toe aan de automatisch aangemaakte XFRM. Daarna bepalen statische, SD-WAN- of dynamische routes het tunnelverkeer.
• Traffic Selectors: SFOS maakt de XFRM en bij het opzetten van de tunnel automatisch een statische route. Aan deze XFRM kan geen eigen IP-adres worden toegewezen en geen eigen route worden toegevoegd.

In beide gevallen vereist VPN-verkeer passende firewallregels. Onder Administration > Device access staat IPsec in de zone WAN inkomende IPsec-verbindingsaanvragen toe. Ping op de tunnel wordt afzonderlijk voor VPN toegestaan.

Een XFRM wordt niet direct onder Network > Interfaces uitgeschakeld, maar via de verbinding onder Site-to-site VPN > IPsec. Bij fragmentatieproblemen zijn MTU en MSS relevant; zie MTU en MSS bij VPN-problemen controleren.

RED

Een RED-interface verbindt een externe vestiging via een versleutelde tunnel. De bedrijfsmodus bepaalt hoeveel verkeer via de centrale locatie loopt:

• Standard/Unified: de centrale firewall beheert en filtert al het vestigingsverkeer. Valt de tunnel uit, dan kan ook internettoegang uitvallen.
• Standard/Split: alleen gedefinieerde doelnetwerken lopen door de tunnel; internetverkeer gaat lokaal naar buiten en wordt niet centraal gefilterd.
• Transparent/Split: RED werkt transparant in een bestaand netwerk. Dit is flexibel, maar moeilijker te plannen en onderzoeken.
• Manual/Split: de netwerkconfiguratie is sterker handmatig en kan lokale autonomie mogelijk maken.

De RED-service moet onder System services > RED actief zijn. De verbinding vereist normaal TCP 3400, UDP 3410 en NTP via UDP 123. DNS, correcte systeemtijd en uitgaande internettoegang moeten werken.

Het VLAN-gedrag hangt af van RED-model, bedrijfsmodus, LAN-poortmodus en WLAN-configuratie. Sophos adviseert Standard/Unified voor VLAN’s achter RED; op een SD-RED 60 is VLAN-tagging alleen in deze modus mogelijk. WLAN met Bridge to VLAN volgt eigen regels. Moduskeuze, provisioning, LED-status en probleemoplossing staan in Sophos SD-RED configureren.

Status en Device Access controleren

Interfacestatus

Onder Network > Interfaces geven de statuswaarden aan of eerst de link of de policy moet worden onderzocht:

• Not configured: geen zone toegewezen
• Connected: geconfigureerd en verbonden
• Connecting: ontvangt een adres, bijvoorbeeld via DHCP
• Disconnected: adres is vrijgegeven
• Disconnecting: adres wordt vrijgegeven
• Unplugged: geen fysieke verbinding; bij WiFi eventueel geen Access Point of Wireless Network
• Not available: geconfigureerde FleXi Port zonder aanwezige FleXi Port-module

Bij Not configured of Unplugged zijn firewallregels nog niet het eerste aanknopingspunt. Controleer eerst Zone Binding, kabel, SFP, poortsnelheid, switchpoort en DHCP of PPPoE.

Lokale firewalldiensten

Onder Administration > Device access wordt per zone bepaald of lokale diensten zoals HTTPS, SSH, User Portal, VPN Portal, DNS, Ping/Ping6, Captive Portal, RADIUS SSO of Wireless Protection bereikbaar zijn.

Deze toestemmingen gelden voor de firewall zelf. Doorgaand verkeer tussen netwerken wordt door firewallregels geregeld. HTTPS en SSH mogen alleen vanuit een managementnetwerk of via een gerichte Local service ACL exception rule zijn toegestaan. DNS is nodig wanneer clients de firewall als DNS-server gebruiken.

⚠️ Als clients de Web Proxy van de firewall mogen gebruiken, behandelt SFOS HTTP- en HTTPS-aanvragen als interne proxyverzoeken. Daardoor kunnen WebAdmin, Captive Portal, VPN Portal of User Portal bereikbaar zijn hoewel de dienst voor de clientzone uitstaat. Proxytoegang en lokale portals moeten in dit ontwerp afzonderlijk worden gecontroleerd.

Afhankelijkheden en wijzigingen veilig beheren

Object Usage vóór bewerken of verwijderen

Zone Binding, DNS, gateways, SD-WAN, Interface Hosts, VLAN’s, Dynamic DNS, DHCP, firewallregels, NAT en VPN kunnen van dezelfde interface afhangen. Object usage toont deze verwijzingen.

De getoonde teller wordt automatisch slechts eenmaal per dag bijgewerkt. Klik vóór wijzigen of verwijderen daarom op Refresh en documenteer belangrijke afhankelijkheden.

Bij uitschakelen blijft de interfaceconfiguratie behouden. IPsec-tunnels waarbij de firewall Initiator is, worden direct verbroken. Responder-tunnels en Remote Access-verbindingen eindigen uiterlijk door inactiviteit of Dead Peer Detection.

Bij het verwijderen van een virtuele interface kan SFOS afhankelijke firewallregels, DHCP-configuraties, ARP-vermeldingen, routes, Interface Hosts en andere verwijzingen verwijderen. Aliasinterfaces volgen hun Parent Interface; XFRM-interfaces worden via de IPsec-verbinding beheerd.

HA en wijzigingen op afstand

Speciale HA-linkinterfaces horen in een DMZ-zone. Andere bewaakte of voor beheer gebruikte interfaces mogen in andere zones liggen.

Active-Active HA vereist statisch geconfigureerde interfaces. Cellular WAN wordt bij HA uitgeschakeld. Active-Passive kan dynamisch geadresseerde WAN-interfaces gebruiken, maar verbindingen zoals PPPoE worden bij failover niet noodzakelijk met hun sessie overgenomen.

Vóór een productiewijziging:

1. Documenteer configuratie en afhankelijkheden.
2. Bereid onderhoudsvenster, rollbackmoment, back-up en concrete terugweg voor.
3. Test onafhankelijke beheerstoegang, zoals Sophos Central, een tweede WAN, een apart managementnetwerk of iemand op locatie.
4. Bereid een testclient of duidelijk testverkeer voor; voeg daarna de nieuwe zone of het nieuwe pad toe en test dit.
5. Controleer link, IP, gateway, DHCP, DNS, firewallregels, NAT en Device Access.
6. Verwijder oude objecten pas wanneer het nieuwe pad stabiel is.

Bij een VLAN-trunk horen oude VLAN ID, Native VLAN en switchpoortprofiel bij de terugweg. Bij WAN-wijzigingen zijn providerwaarden en SD-WAN-routes belangrijk; bij XFRM ook tunnel, routing en beide firewallrichtingen.

Fouten systematisch vinden

De oorzaak is meestal sneller af te bakenen door eerst naar het symptoom te kijken:

• Interface is unbound of disabled: controleer Zone Binding en status. Een fysieke poort wordt niet verwijderd; de configuratie kan met Zone None worden verwijderd.
• VLAN werkt niet: vergelijk VLAN ID, Parent Interface, trunk, Tagged/Untagged en Native VLAN.
• Firewall is niet bereikbaar via ping, HTTPS of DNS: controleer Device Access en Local Service ACL, niet eerst een gewone firewallregel.
• Intern verkeer wordt geblokkeerd: controleer Source zone, Destination zone, netwerkobjecten, routing, Services en regelvolgorde.
• WAN-gateway blijft inactief: controleer link, IP, gateway, PPPoE-gegevens en WAN Link Manager.
• Meerdere WAN-poorten liggen in hetzelfde subnet: voorkom ARP-problemen en controleer alias of LAG.
• SFP of Port Speed klopt niet: vergelijk transceiver, kabel, breakout en snelheid aan beide kanten.
• VPN of PPPoE is instabiel: controleer MTU en MSS.

Voor de eigenlijke diagnose is deze volgorde zinvol:

1. Network > Interfaces: link, IP, zone en gateway
2. Network > Zones: zonetype en Device Access
3. Hosts and services: netwerk- en serviceobjecten
4. Firewall rules: richting, volgorde, Services en logging
5. NAT rules: Original en Translation
6. Log viewer: Rule ID of reden voor drop
7. Diagnostics > Tools > Packet capture: binnenkomst en doorsturen van het pakket

Lijkt de regel correct maar matcht deze niet, zie Firewallregel wordt niet toegepast. De pakketstroom wordt uitgelegd in Packet Capture in WebAdmin gebruiken.

Operationele checklist

• Zones volgens vertrouwensniveau gepland en gedocumenteerd
• Zone, interface en netwerkobject niet door elkaar gehaald
• VLAN ID, Parent, trunk en gateway gecontroleerd
• Device Access vooral voor HTTPS, SSH, DNS, ping en portals beperkt
• Firewallregels met concrete zones, netwerken, diensten en logging gemaakt
• Alias voor extra provider-IP-adressen in hetzelfde subnet overwogen
• DHCP, DNS, NTP, routing en indien nodig NAT getest
• Object Usage bijgewerkt en vóór wijzigingen gecontroleerd
• Onafhankelijke beheerstoegang en terugweg voorbereid
• Link Status, Log Viewer en Packet Capture na de wijziging gecontroleerd

FAQ