Sophos Firewall-zones en interfaces goed plannen

Een zone groepeert interfaces met een vergelijkbaar vertrouwensniveau. De interface is de fysieke of virtuele aansluiting, bijvoorbeeld Port1, een VLAN of een LAG-, RED- of XFRM-interface. Elke gekoppelde interface behoort tot precies één zone; fysieke poorten kunnen ook niet gekoppeld zijn.

Belangrijk: een zone staat verkeer niet automatisch toe. Ook tussen twee interfaces in de zone LAN is een passende LAN-to-LAN-firewallregel nodig. Toegang tot de firewall zelf, zoals WebAdmin, SSH of DNS, wordt bovendien geregeld via Device Access.

Zones en interfaces direct configureren

Een zone aanmaken

Onder Network > Zones > Add maakt men in vier stappen een eigen zone aan:

1. Geef een unieke naam op, bijvoorbeeld Server, Management, Guest of IoT.
2. Kies LAN of DMZ als Type.
3. Sta onder Device Access alleen lokale firewalldiensten toe die vanuit deze zone echt nodig zijn.
4. Sla de configuratie op.

De zone moet daarna onder Network > Zones zichtbaar zijn en in een firewallregel als Source zone of Destination zone kunnen worden geselecteerd. Productieverkeer loopt er pas doorheen zodra ten minste één interface is toegewezen.

Eigen zones kunnen alleen van het type LAN of DMZ zijn. Extra WAN- of VPN-zones zijn niet mogelijk. SFOS wijst VPN-interfaces automatisch toe aan de zone VPN. Het maximale aantal zones is afhankelijk van de versie: SFOS 22.0 staat maximaal 100 zones toe, SFOS 23.0 maximaal 248 zones.

Een fysieke interface configureren

Het aantal beschikbare fysieke poorten hangt af van het appliance-model. Controleer bij de planning daarom eerst welke aansluitingen het concrete apparaat biedt; virtuele interfaces vervangen geen extra benodigde fysieke poorten.

Een bestaande poort wordt onder Network > Interfaces via Edit interface bewerkt:

1. Geef een duidelijke Name van maximaal 58 tekens op, bijvoorbeeld Core Switch Trunk of MPLS Provider.
2. Kies de juiste Network zone.
3. Configureer IPv4 en indien nodig IPv6.
4. Controleer bij WAN-interfaces de gateway en eventueel MTU en MSS.
5. Sla op en controleer vervolgens linkstatus, gatewaystatus en Log Viewer.

De zone WAN is bedoeld voor aansluitingen met een default gateway. Interne interfaces hebben normaal een statisch adres; fysieke interfaces bieden voor IPv4 de methoden Static, DHCP en PPPoE. De onderstaande procedures voor het invullen van de velden maken onderscheid tussen deze methoden. De daarin genoemde gatewayvelden zijn op zichzelf geen reden om een interne interface aan de zone WAN toe te wijzen: zone, adressering en routing moeten passen bij het netwerkontwerp en het daadwerkelijk getoonde formulier.

Als de fysieke interface al een VLAN heeft, staat SFOS niet toe dat de IPv4-toewijzing van Static naar DHCP of PPPoE wordt gewijzigd. Voor IPv6 is ook de wijziging van Static naar DHCP of Delegated geblokkeerd. Leg vóór zo’n wijziging de VLAN-afhankelijkheden vast onder Object usage. Verplaats vervolgens de betrokken VLAN-interfaces naar een andere Parent Interface of verwijder ze tijdens een onderhoudsvenster. Wijzig pas daarna de toewijzingsmethode, herstel de VLAN-configuratie en test de connectiviteit.

IPv4 op de fysieke poort: Static of DHCP

⚠️ Voer vóór een wijziging van het adres of de toewijzingsmethode Object usage > Refresh uit, documenteer het huidige adres, masker, de zone en gateway en bereid een back-up, onderhoudsvenster en onafhankelijke beheerstoegang voor. De wijziging kan het huidige management- en datapad onderbreken. Behandel bestaande VLAN-afhankelijkheden eerst zoals hierboven beschreven. De herstelroute via de console verderop vervangt de normale configuratie via WebAdmin niet.

Static: vaste IPv4-waarden invullen

1. Open onder Network > Interfaces de juiste fysieke poort via Menu > Edit interface en controleer Hardware. Deze fysieke aansluiting kan hier niet worden gewijzigd.
2. Selecteer IPv4 configuration en kies de toewijzingsmethode Static.
3. Vul het IPv4-adres in dat voor deze interface is bedoeld. Pas het subnetmasker indien nodig aan het geplande netwerk aan.
4. Vul Gateway name en Gateway IP address in volgens het getoonde formulier en de goedgekeurde netwerk- of providerwaarden. De naam dient als unieke aanduiding; het gateway-IP is het adres van het beoogde apparaat aan de andere kant, niet een extra adres van de firewall.
5. Vergelijk de waarden en poort-ID nogmaals en sla op met Save. Controleer daarna het opgeslagen IP-adres en masker, de link, eventueel de gatewaystatus, en ook routing, DNS, Device Access en de daadwerkelijke data- en managementpaden.

Een statische WAN-aansluiting kan uitsluitend ter illustratie bijvoorbeeld IPv4-adres 192.0.2.2, masker 255.255.255.0, Gateway name ISP-Static en Gateway IP address 192.0.2.1 gebruiken. Deze adressen behoren tot een documentatienetwerk en zijn geen providerwaarden voor productiegebruik. Vervang adres, masker en gateway door de bij elkaar horende gegevens van de eigen provider; kies een naam waaraan de verbinding tijdens het beheer herkenbaar blijft.

DHCP: dynamische adresverkrijging en gedocumenteerde velden onderscheiden

1. Open de fysieke poort onder Network > Interfaces > Menu > Edit interface, controleer Hardware en de zone en selecteer IPv4 configuration.
2. Kies DHCP. Met deze methode krijgt de interface een adres van een DHCP-server; hiermee wordt geen DHCP-server voor clients ingericht.
3. De gedocumenteerde procedure voor de DHCP-velden noemt daarnaast het invoeren van een IPv4-adres, een optionele wijziging van het subnetmasker en Gateway name en Gateway IP address. De beschrijving legt echter niet uit hoe deze gegevens samenhangen met het adres dat van de DHCP-server wordt verkregen. Leid hieruit geen handmatig vervangend adres, fallback of overschrijving van de DHCP-lease af.
4. Controleer vóór het opslaan welke velden in de geïnstalleerde build daadwerkelijk zichtbaar of bewerkbaar zijn en vergelijk deze met de goedgekeurde DHCP-/providerconfiguratie. Neem geen statische voorbeeldwaarden over in DHCP-velden. Als de functie van een verplicht veld onduidelijk is, sla de wijziging dan niet op, maar bespreek dit eerst met de provider of support.
5. Sla de configuratie pas na deze verduidelijking op met Save en controleer of een passend adres wordt verkregen. Connecting betekent dat er nog een lease wordt verkregen; als deze status aanhoudt, onderzoek dan eerst de link, de bereikbaarheid van DHCP en de providervereisten. Controleer vervolgens IP-adres, masker, gateway, DNS, routing en de daadwerkelijke management- en datapaden.

Als na een van deze wijzigingen het verwachte pad ontbreekt, herstel dan via de onafhankelijke toegang de gedocumenteerde oorspronkelijke methode en de bijbehorende waarden en test opnieuw. PPPoE gebruikt daarentegen de toegangsgegevens van de provider; de volledige procedure staat in Een PPPoE-WAN configureren en controleren.

IPv6 op de fysieke poort: methode en ontvangstmodus

Onder IPv6 configuration zijn op WAN-interfaces Static of DHCP beschikbaar; interne interfaces bieden Static, DHCP of Delegated. Delegated gebruikt een door de provider gedelegeerd prefix voor interne interfaces. IPv6 Prefix Delegation op Sophos Firewall beschrijft de volledige procedure met WAN-DHCP, Upstream Interface en interne distributie. Dit is een afzonderlijke taak en vervangt de statische configuratie of de keuze van de ontvangstmodus hieronder niet.

Static: IPv6-adres, prefix en gatewayvelden

1. Open onder Network > Interfaces > Menu > Edit interface de fysieke poort en selecteer IPv6 configuration.
2. Kies Static. Statische IPv6-adressen zijn bedoeld voor WAN- en interne interfaces.
3. Vul het geplande IPv6-adres in en pas het prefix indien nodig aan het toegewezen netwerk aan.
4. Vul de in de Static-procedure genoemde velden Gateway name en Gateway IP address in volgens het daadwerkelijk getoonde formulier en het netwerkontwerp. De algemene Static-instructies noemen deze velden ook in het onderdeel voor WAN- en interne interfaces; leid hieruit noch een verplicht intern default gateway, noch een algemene regel af dat deze velden uitsluitend voor WAN gelden. Laat onduidelijke of onverwachte verplichte velden vóór een productiewijziging verduidelijken.
5. Sla op met Save en controleer het opgeslagen IPv6-adres en prefix, eventueel de gateway, IPv6-routing, DNS en toegestane verbindingen. Behoud daarbij de onafhankelijke beheerstoegang; herstel bij een verkeerd pad de eerder gedocumenteerde IPv6-waarden.

De voorzorgsmaatregelen vóór de IPv4-procedure gelden ook voor IPv6: documenteer de vorige methode en waarden, controleer VLAN-afhankelijkheden en gebruik het huidige managementpad niet als enige terugweg.

DHCPv6: Auto, Manual en Stateless

Na selectie van DHCP onder IPv6 configuration bepaalt Mode hoe de firewall zelf het adres voor de interface ontvangt. Dit is niet dezelfde instelling als een Router Advertisement-server voor interne clients:

• Auto: het interfaceadres wordt automatisch toegewezen volgens de gebruikte configuratiemethode; deze kan DHCP only of Stateless zijn. Leid hieruit geen vaste selectieregel af die hier niet is gedocumenteerd.
• Manual > DHCP only: de firewall wijst het door de DHCPv6-server geleverde adres en de overige parameters aan de interface toe.
• Manual > Stateless: de firewall vormt het interfaceadres met Stateless Address Auto-Configuration (SLAAC) volgens de Managed- en Other-flags (M/O) die in Router Advertisements worden aangekondigd. Met Accept other configuration from DHCP kunnen aanvullende parameters van de DHCPv6-server worden verkregen. Hierdoor wordt de ontvangstmodus niet DHCP only.

De optionele functie DHCP rapid commit gebruikt een uitwisseling van twee berichten (solicit en reply) in plaats van vier (solicit, advertise, request en reply). Schakel deze alleen in als Rapid Commit ook op de DHCPv6-server is ingeschakeld en binnen de goedgekeurde configuratie past. Gebruik dit niet als algemene optimalisatie; beoordeel eerst het concrete knelpunt.

De DHCPv6-procedure noemt Gateway name en Gateway IP address. Bij Mode Manual en Stateless kan Gateway IP address echter niet worden ingesteld. Deze beperking hoort bij de Stateless-modus en mag niet worden toegepast op Manual > DHCP only. Vergelijk de ontvangstmodus en gatewayvelden vóór het opslaan met het beoogde RA-/DHCPv6-ontwerp en het zichtbare formulier; forceer geen gateway-IP als de gekozen modus dit niet toestaat.

Controleer na Save het daadwerkelijk toegewezen IPv6-adres, prefix en overige parameters, evenals routing, DNS en een toegestaan IPv6-datapad. Vergelijk bij een verkeerd of ontbrekend adres eerst de gekozen modus, de ontvangen RA-flags en de bereikbaarheid van DHCPv6 met het apparaat aan de andere kant; wissel niet zonder controle tussen modi. Herstel bij een onderbroken managementpad de vorige configuratie via de onafhankelijke toegang.

Poort- en linkinstellingen afstemmen

Stem onder Advanced settings de instellingen Link mode, Auto-negotiation for media type, modelafhankelijke Forward Error Correction (FEC), MTU en MSS af op het apparaat aan de andere kant. Sla bij poorten van 25, 50 en 100 Gbit/s eerst Link mode op, open de interface opnieuw en laad daarna de aanbevolen configuratie. Op XGS 2100, 2300, 3100 en 3300 moeten alle SFP+-poorten in de FleXi Port-modules dezelfde snelheid gebruiken. De volledige procedure met Show recommended settings, Load recommended configuration, beide opslagstappen en de afwijkende weergave bij andere poorten, waaronder 40 Gbit/s, staat in Breakout-interfaces en poortinstellingen configureren.

SFOS ondersteunt geen DSCP-markering voor zelf gegenereerd DHCP- en ARP-verkeer, ook niet wanneer de firewall als DHCP-client, relay of server werkt. Een policy mag voor deze pakketten daarom niet op DSCP-gebaseerde prioritering vertrouwen. Deze beperking betreft DSCP; dit betekent niet dat elke andere mogelijke vorm van prioritering is uitgesloten.

Onder Advanced settings > Interface settings gebruikt Use default MAC address het standaard-MAC-adres van de interface. Bij een interface met Member-poorten levert de eerst toegevoegde Member-poort dit standaard-MAC-adres. Override default MAC address staat een ander MAC-adres toe; een Factory Reset herstelt het standaard-MAC-adres. Dit is geen aansporing om een reset uit te voeren en geen vereiste voor een zelfstandige fysieke PPPoE-poort. Controleer vóór een onderbouwde override de hieronder beschreven afhankelijkheden en de terugweg.

De poortsnelheden op de firewall en het apparaat aan de andere kant moeten op elkaar aansluiten. Een 25-Gbit/s-poort kan bijvoorbeeld niet zonder passende omzetting via breakout-kabels met een 40-Gbit/s-poort worden verbonden. Ondersteunde 40- en 100-Gbit/s-poorten van de firewall kunnen met geschikte breakout-kabels in twee of vier poorten worden opgesplitst. Dit is geen garantie voor elke appliance of elke kabelcombinatie; controleer vóór de planning de ondersteuning van de concrete poorten, transceivers en het apparaat aan de andere kant.

Een IPv4-adres instellen in het interactieve herstelmenu

Onder 1. Network Configuration > Interface Configuration toont de CLI IPv4-adres en netmask, IPv6-adres en prefix, zone, gateways en geconfigureerde aliases van fysieke poorten. VLAN- en WLAN-interfaces verschijnen niet in deze weergave.

Met y begint een IPv4-wijziging. SFOS toont per poort achtereenvolgens huidig adres, netmask en zone; Enter zonder nieuwe waarde behoudt het veld. Dit pad geldt alleen voor Gateway mode en statische IPv4-waarden. VLAN, DHCP, PPPoE, WLAN en WWAN kunnen hiermee niet worden geconfigureerd en het IPv6-dialoogvenster verschilt.

Sla vóór de wijziging alle waarden, poort-ID, zone, gateway, aliases en een onafhankelijk managementpad op. Controleer na opslag link, nieuwe IP en netmask, gateway, Device Access, routing, DNS en het echte managementpad. Herstel bij verlies van toegang of een verkeerd datapad de oorspronkelijke waarden via console of onafhankelijke toegang.

Link- en MAC-waarden corrigeren in Device Console

WebAdmin blijft de normale configuratieroute. Device Console is bedoeld voor een gedocumenteerde correctie of recovery, omdat een onjuiste linkwaarde het enige beheerpad onmiddellijk kan onderbreken. Leg vooraf Port ID, peer, huidige Link mode, autonegotiation, FEC, onafhankelijke beheerstoegang en rollback vast.

De officiële SFOS 22-syntaxis accepteert 1000fd, 100fd, 100hd, 10fd, 10hd of auto voor de vermelde koperwaarden:

De volgende voorbeelden zijn alternatieven, geen commandoreeks. Vervang Port2 door de gecontroleerde fysieke poort en kies precies één variant die bij de goedgekeurde poort- en peerconfiguratie past; voer niet beide na elkaar uit. Leg eerst aan beide kanten de oorspronkelijke waarden voor Link mode, autonegotiation en, indien van toepassing, FEC vast, samen met de linkstatus, werkelijke snelheid en duplex. Zorg voor onafhankelijke toegang en leg vast hoe deze waarden exact worden hersteld via WebAdmin of een door support voor de geïnstalleerde build bevestigde procedure. Zijn de oorspronkelijke waarden of de herstelroute onbekend, stop dan vóór de CLI-wijziging en neem contact op met support.

Alternatief 1: automatische snelheid en duplex, met aanvullende autonegotiation ingeschakeld:

set network interface-link Port2 linkmode auto autoneg on

Alternatief 2: 1000 Mbps Full-Duplex, met aanvullende autonegotiation uitgeschakeld:

set network interface-link Port2 linkmode 1000fd autoneg off

autoneg beheert aanvullende linkparameters naast snelheid en duplex. FEC-modi zijn modelafhankelijk en Sophos geeft in dit CLI-commando geen universele lijst. Gebruik voor poorten van 25, 50 of 100 Gbit/s de aanbevolen configuratie voor de exacte appliance en transceiver, geen waarde die van een ander model is gekopieerd.

Vergelijk direct na de gekozen wijziging de opgeslagen waarden voor Link mode, autonegotiation en, indien van toepassing, FEC in WebAdmin en op de peer met de goedgekeurde doelwaarden. Controleer aan beide kanten de linkstatus, werkelijke snelheid en duplex, evenals de normale beheerstoegang en de benodigde werkelijke datapaden. Ontbreekt een pad, is het instabiel of verslechterd, herstel dan via de onafhankelijke toegang de exact vastgelegde oorspronkelijke poortwaarden en alle peerinstellingen die voor de wijziging zijn aangepast, inclusief gewijzigde FEC. Gebruik de vooraf vastgelegde herstelroute en herhaal dezelfde controles; de configuratie van elke kant moet weer overeenkomen met de eigen uitgangssituatie. Geen van de voorbeelden, ook auto met autoneg on niet, is een algemene rollback.

Overschrijf een MAC-adres alleen voor een aantoonbare ontwerpafhankelijkheid. Leg vóór elke wijziging het effectieve MAC-adres en de ingestelde modus vast (default of override, inclusief een eventueel bestaand aangepast adres) als uitgangssituatie. Controleer Port Security, DHCP-bindings, provider-allowlists, HA, LAG en de MAC-/ARP-koppelingen van de tegenpartij. Een onafhankelijke beheerverbinding en een onderhoudsvenster moeten beschikbaar zijn.

De CLI-beschrijvingen voor SFOS 22.0 en 23.0 zeggen dat default het bestaande MAC-adres behoudt. Dit bewijst niet de interpretatie dat het na een override het standaard-MAC-adres herstelt. Gebruik default niet als inverse opdracht of algemene rollbackroute; bevestig eerst de methode voor herstel van de daadwerkelijke vorige waarde. Verifieer vóór de override hoe zowel het exacte adres als de modus op de geïnstalleerde build worden hersteld. Als de uitgangssituatie of het herstelpad niet kan worden geverifieerd, wijzig dan niets en stem dit af met Sophos Support.

Het volgende voorbeeld wijzigt het MAC-adres en kan beheer- en dataverbindingen onderbreken. Vervang Port2 door de gecontroleerde poort en het lokaal beheerde voorbeeldadres door het goedgekeurde doeladres dat uniek is in het eigen netwerk. Het is geen herstelwaarde:

set network macaddr Port2 override 02:00:5e:10:00:02

Voor het geverifieerde herstelpad:

• Als eerder override met een aangepast MAC-adres was ingesteld, stel dan via de gedocumenteerde override-tak het exact vastgelegde adres opnieuw in, niet het voorbeeldadres. De procedure moet bevestigd zijn voor de geïnstalleerde build.
• Als eerder default was ingesteld, gebruik dan Use default MAC address onder Network > Interfaces > Edit interface > Advanced settings > Interface settings alleen als die optie en het herstel van de vastgelegde uitgangssituatie op de geïnstalleerde build zijn bevestigd. Anders is een buildspecifieke procedure nodig die door Sophos Support is bevestigd; probeer CLI default of een fabrieksreset niet als vervanging.

Vergelijk na de wijziging en na het herstel de ingestelde modus en het effectieve adres met de beoogde waarden; bij rollback moeten beide overeenkomen met de vastgelegde uitgangssituatie. Controleer ook normale beheerstoegang, MAC-/ARP-learning van de tegenpartij en de betrokken werkelijke datastroom. Stop bij afwijkingen via de onafhankelijke toegang en stem dit af met support, in plaats van met andere MAC-waarden te experimenteren.

Sophos documenteert MTU 1500 en MSS 1460 als standaardwaarden; wijzig ze alleen met de gecontroleerde procedure in MTU en MSS bij VPN-problemen controleren.

Voor IPv6 bepaalt DAD attempts hoeveel opeenvolgende Neighbor Solicitation-berichten de firewall tijdens Duplicate Address Detection op een voorlopig (tentative) adres verstuurt. Onder Allowed RA servers komen de MAC- of IPv6-adressen van Router Advertisement-servers waarvan deze interface een stateless configuratie mag accepteren. IPv6 Prefix Delegation op Sophos Firewall behandelt het providerprefix en de interne distributie; IPv6 Router Advertisement configureren beschrijft clientflags en geadverteerde prefixes.

Voor concrete taken zijn er gerichte handleidingen:

• Een VLAN-interface configureren en testen
• Door SFOS beheerde Wi-Fi configureren en testen
• Bestaande APX-apparaten met Wireless Mesh verbinden
• Een LAG-interface configureren
• Een GRE-tunnel configureren en testen
• IPv6 over IPv4 of IPv4 over IPv6 vervoeren met een IP-tunnel
• Een PPPoE-WAN configureren en controleren
• WAN-failover met een tweede internetverbinding instellen
• Sophos SD-RED configureren
• Device Access beveiligen
• Multicast tussen interfaces doorsturen met een statische Multicast-route
• Dynamische Multicast Routing met PIM-SM plannen en controleren
• Een site-to-site IPsec VPN configureren

Het zonemodel plannen

Zone, interface en netwerkobject onderscheiden

Deze drie onderdelen hebben verschillende functies:

• Zone: beschrijft het beveiligingsgebied waar verkeer vandaan komt of naartoe gaat.
• Interface: verbindt de firewall fysiek of virtueel met een netwerk.
• Netwerkobject: beschrijft het concrete IP-adres of subnet in een regel.

Een regel is pas nauwkeurig als zowel zone als netwerkobject kloppen. Source zone: LAN samen met Source networks: Any is vaak onnodig ruim. Omgekeerd helpt een correct netwerkobject niet als het pakket via een andere zone binnenkomt dan in de regel is opgegeven.

De standaardzones hebben vaste taken:

• LAN voor interne netwerken
• WAN voor provider- en internetverbindingen
• DMZ voor blootgestelde of sterk geïsoleerde systemen
• WiFi voor WLAN-omgevingen
• VPN voor Remote Access- en site-to-site-tunnels

De zone WiFi geldt voor draadloze netwerken die een eigen zone gebruiken. Bij Bridge to AP LAN en Bridge to VLAN wordt echter geen afzonderlijke WiFi-interface aangemaakt; het verkeerspad volgt de gekozen bridge-toewijzing.

Een Wireless Network legt gemeenschappelijke instellingen voor WLAN-clients vast: SSID, beveiligingsmodus en de verwerking van clientverkeer. Met de Traffic Mode Separate zone maakt de firewall een bijbehorende VXLAN-tunnel aan. De keuze van de Traffic Mode bepaalt daarmee ook hoe het WLAN op de firewall wordt aangesloten; het is niet alleen een aanduiding voor het netwerk.

Eigen LAN-zones zijn bijvoorbeeld geschikt voor Client, Server, Management, Guest, IoT, VoIP, Backup of OT. Een eigen DMZ-zone past bij gepubliceerde servers, reverse proxies en andere systemen waarvan toegang tot het interne netwerk strikt beperkt moet blijven.

Niet elk VLAN heeft een eigen zone nodig. Meerdere VLAN’s kunnen worden samengevoegd als vertrouwensniveau, firewallregels en Device Access gelijk zijn. Verschillen toegestane doelen, beheerstoegang of beveiligingsfuncties, dan is een aparte zone meestal overzichtelijker.

Voor VPN-gebruikers of vestigingstunnels worden geen eigen VPN-zonetypen gemaakt. De scheiding gebeurt binnen de zone VPN met nauwkeurige netwerkobjecten, gebruikers en firewallregels.

Toegangsrichtingen vóór de regels bepalen

Vóór de configuratie volstaat een korte lijst met toegestane richtingen, bijvoorbeeld:

• Client naar WAN: benodigde web-, DNS-, NTP- en applicatiediensten
• Client naar Server: alleen vastgelegde applicatiepoorten
• Guest naar WAN: internettoegang, maar geen toegang tot interne netwerken
• IoT naar Server: alleen noodzakelijke doelen zoals DNS, NTP of een beheerplatform
• Management naar interne zones: strikt beperkte en gelogde beheerdiensten
• DMZ naar LAN: standaard geblokkeerd, alleen expliciet noodzakelijke verbindingen
• VPN naar Server: alleen vrijgegeven doelen en diensten

Voor elke toegestane richting moeten doel, diensten, NAT-behoefte, logging en verantwoordelijke bekend zijn. Daaruit ontstaan de regels. Opbouw, volgorde en matching worden uitgelegd in Sophos Firewall-regels correct configureren.

Controleren vóór een wijziging

Vóór het aanmaken of verplaatsen van een interface moeten minimaal deze punten duidelijk zijn:

• zone en vertrouwensniveau van het netwerk
• IP-adres, subnet en default gateway
• DHCP-bron en DNS-server
• benodigde lokale firewalldiensten
• firewall- en NAT-regels
• routing en SD-WAN
• testclient, verwachte toegang en verwachte logvermelding

Bij productiewijzigingen horen ook een actuele back-up, een terugweg en controle onder Object usage.

Een VLAN aanmaken en opleveren

Een VLAN vormt een geïsoleerd broadcastdomein: broadcasts blijven binnen dit VLAN. Het toewijzen van meerdere VLAN’s aan dezelfde beveiligingszone heft deze Layer 2-scheiding niet op; de zone bepaalt de context voor firewallregels en Device Access.

Een VLAN wordt onder Network > Interfaces > Add interface > Add VLAN aangemaakt. Doorslaggevend zijn:

• Interface: fysieke, RED-, Bridge- of LAG-interface waarop het getagde VLAN aankomt
• Network zone: beveiligingsgebied van het VLAN
• VLAN ID: moet overeenkomen met de switch en eventueel het access point
• IPv4/IPv6 configuration: bij interne VLAN’s meestal een statisch gatewayadres

Een gast-VLAN kan bijvoorbeeld op Port3 liggen met VLAN ID 20, zone Guest en gatewayadres 192.168.20.1/24. Op de switch moet VLAN 20 tagged zijn op de uplink naar Port3; een clientpoort of gast-SSID koppelt de eindapparaten aan dit VLAN.

De firewall kan de interface correct tonen terwijl de switch het VLAN via de verkeerde poort, untagged of met een andere VLAN ID verzendt. Een VLAN is daarom pas gereed nadat het volledige pad is getest:

1. Controleer VLAN ID, Parent Interface, Zone, IP-adres en masker op de firewall.
2. Configureer de uplink naar de firewall als trunk met het VLAN tagged.
3. Wijs de accesspoort of SSID aan het juiste VLAN toe.
4. Test DHCP, gateway en DNS met een testclient.
5. Test een toegestane interne toegang en een bewust verboden toegang.
6. Test internettoegang en bevestig de verwachte Firewall Rule ID in Log Viewer.

Voor intern verkeer is NAT normaal niet nodig. Krijgt de client een adres maar bereikt hij de firewall niet als DNS-server of via ping, controleer dan eerst Device Access. Het volledige proces met switch-tagging en DHCP staat in Een Sophos Firewall-VLAN configureren en testen.

Sophos noemt voor XGS Appliances geen vast maximaal aantal VLAN’s per fysieke Parent Port. Bij hoge belasting, veel VLAN’s of HA-ontwerpen kunnen meerdere uplinks of een LAG beheer en probleemoplossing toch vereenvoudigen.

Het juiste interfacetype kiezen

Virtuele interfaces en aliases worden onder Network > Interfaces via Add interface aangemaakt. Selecteer daar het gewenste type en open de configuratie ervan. De volgende secties helpen bij de keuze van het type; een alias voegt iets toe aan een bestaande interface, terwijl bijvoorbeeld VLAN, Bridge en LAG verschillende logische verbindingen vormen.

Alias

Een alias voegt een extra IP-adres toe aan een bestaande interface. Dit is vooral nuttig als een provider meerdere openbare IP-adressen in hetzelfde subnet aanbiedt.

Een alias-IP op Sophos Firewall configureren en testen legt uit hoe het extra adres wordt gekoppeld, als hostobject in regels en NAT wordt gebruikt en hoe ARP en systeemverkeer worden gecontroleerd.

Meerdere afzonderlijke WAN-interfaces in hetzelfde subnet kunnen ARP-problemen en onbereikbare gateways veroorzaken. Een alias op de bestaande WAN-interface of een goed geplande LAG is dan meestal de nettere oplossing. Een alias volgt de status van de Parent Interface en kan niet afzonderlijk worden uitgeschakeld.

Bridge

Een Bridge verbindt meerdere interfaces op Layer 2. Deze kan met een IP-adres voor routed verkeer of zonder IP transparant werken. Voor nieuwe gesegmenteerde netwerken zijn VLAN’s meestal duidelijker; Bridges passen eerder bij migraties of bewust transparante ontwerpen.

De volledige werkwijze met Members, STP, VLAN- en EtherType-filters, regels en controle staat in Een Bridge-interface op Sophos Firewall configureren.

Belangrijke beperkingen:

• Een Bridge ondersteunt geen Dynamic DNS, DHCP client, PPPoE of IPsec VPN.
• Verkeer tussen Bridge Members kan nog steeds firewallregels vereisen, bijvoorbeeld LAN-to-LAN.
• HA kan niet worden geactiveerd zolang STP op een Bridge actief is.
• Als een VLAN-filter actief is maar geen VLAN toestaat, verwijdert de firewall alle tagged frames; untagged verkeer blijft onaangetast.
• Verkeer via een Bridge zonder IP kan zonder logvermelding worden verwijderd als het een Web Proxy- of NAT-regel raakt.

Bij een transparante Bridge moet daarom worden gecontroleerd of Web Proxy Filtering of Source Translation echt nodig is.

Sophos documenteert NC-177630 voor SFOS 22.0.0 GA-Respin Build 411. De fout kan optreden wanneer gerouteerd verkeer via een Bridge met SNAT of MASQ wordt vertaald en inkomend en uitgaand verkeer hetzelfde fysieke Bridge Member gebruiken. Antwoordpakketten worden dan door het Hairpin Filter verworpen zonder in drppkt te verschijnen. Dit geldt ook als slechts één Bridge Member actief is. Verkeer via verschillende fysieke Bridge Members of zonder SNAT/MASQ wordt niet getroffen.

Sophos noemt SFOS 22.0.1 MR1 Build 490 als versie met de oplossing. Op GA-Respin Build 411 mag SNAT of MASQ voor de betreffende flow alleen worden verwijderd als de vertaling niet nodig is en er een retourroute naar het oorspronkelijke client-IP-adres bestaat. Als alternatief wordt het verkeer via een afzonderlijke fysieke interface gerouteerd in plaats van via de Bridge. Ontbreekt een van de beschreven oorzaken of treedt het probleem op met MR1 Build 490 of nieuwer, dan moet naar een andere oorzaak worden gezocht. Het afzonderlijke SFOS 22-geval voor VLAN-verkeer naar de firewall staat in Bridge-VLAN’s na SFOS 22 controleren.

Een Bridge via RED kan een Layer 2-netwerk over locaties uitbreiden, maar moet een gemotiveerde uitzondering blijven.

Broadcasts, ARP en onbekend unicastverkeer lopen daarbij over de WAN-verbinding. Een routed ontwerp met eigen vestigingssubnets en gerichte firewallregels is stabieler, schaalbaarder en makkelijker te onderzoeken.

LAG

Een Link Aggregation Group bundelt twee tot vier fysieke interfaces in één logische uplink. Daarop kunnen ook VLAN’s worden gebruikt.

De gebruikelijke modi zijn:

• Active-Backup: één link is actief, een andere neemt het over bij uitval.
• LACP (802.3ad): meerdere links kunnen parallel worden gebruikt; firewall en switch moeten identiek zijn geconfigureerd.

Als Members komen niet-gekoppelde fysieke interfaces met statische configuratie in aanmerking. PPPoE-, Cellular WAN- en WLAN-interfaces zijn uitgesloten. Bij LACP moeten de poorten hetzelfde type en dezelfde snelheid hebben.

De xmit-hash-policy verdeelt verbindingen over de links. Eén TCP-verbinding wordt hierdoor normaal niet sneller omdat deze op één link blijft. LAG biedt vooral redundantie en extra totale bandbreedte voor meerdere parallelle verbindingen.

LAG en WAN-failover hebben verschillende functies: een LAG bundelt fysieke links tot één logische verbinding. Onafhankelijke internetverbindingen worden daarentegen via hun WAN-gateways onder Network > WAN link manager gebruikt. Meerdere actieve gateways maken het mogelijk de belasting over de beschikbare verbindingen te verdelen; een back-upgateway kan het overnemen wanneer een storing wordt gedetecteerd. Dit garandeert noch ononderbroken bestaande sessies, noch meer bandbreedte voor één verbinding. WAN-failover met een tweede internetverbinding instellen beschrijft de procedure en hoe de werking wordt gecontroleerd.

Cellular WAN en WWAN1

Bij het activeren van Cellular WAN maakt SFOS de interface WWAN1 aan. Deze hoort bij de mobiele verbinding en is niet gelijk te stellen aan een vrij aangemaakt VLAN of een alias. De hieronder beschreven beperkingen voor HA en de uitsluiting als LAG Member blijven van toepassing.

In SFOS 23.0 biedt Network > Interfaces in het Menu van de WWAN-interface de acties Connect en Disconnect om het Cellular WAN-modem te verbinden of de verbinding te verbreken. Reset start het modem opnieuw op en is alleen beschikbaar voor 5G-modellen van Quectel en Sierra Wireless, niet voor andere modellen of USB-dongles. Deze voor SFOS 23.0 beschreven acties mogen niet als een identiek klikpad voor SFOS 22.0 worden verondersteld.

Zorg vóór Disconnect of Reset voor onafhankelijke beheerstoegang en een onderhoudsvenster wanneer de mobiele verbinding productieverkeer of beheerstoegang verzorgt. Een hardwareherstart waarbij de firewall wordt afgesloten, onderbreekt al het firewallverkeer; plan ook hiervoor onafhankelijke beheerstoegang en een onderhoudsvenster. Sluit voor een hardwareherstart van een niet-ondersteund model eerst de firewall af, koppel het modem los en sluit het weer aan, en start daarna de firewall weer op; wijzig geen fysieke WWAN-hardware terwijl de firewall draait. Controleer daarna de interfacestatus en de daadwerkelijk benodigde data- en managementpaden. Een herstart van het modem is geen gegarandeerde oplossing voor een verbindingsfout waarvan de oorzaak nog niet is vastgesteld.

TAP / Discover Mode

Een fysieke poort in Discover Mode ontvangt een door de switch gespiegelde verkeerskopie. De poort staat niet inline en kan het geobserveerde verkeer niet blokkeren of met beveiligingsregels sturen. Dit is nuttig voor een inventarisatie of proof of concept, maar niet als productief beveiligingspad.

In het interfaceoverzicht wordt deze poort vermeld als Discover, physical (TAP). Zo is deze te onderscheiden van een normale interface in het productiedatapad.

Discover Mode met TAP en SPAN instellen beschrijft de volledige configuratie met SPAN-poort, Device Console-opdrachten, Packet Capture, Security Audit Report en HA-grenzen.

XFRM voor route-based IPsec

Bij route-based IPsec maakt men onderscheid tussen Any-to-any-verbindingen en verbindingen met specifieke Traffic Selectors. Als beide subnets op Any staan, maakt SFOS automatisch een XFRM-interface in de zone VPN:

• Any-to-any: wijs onder Network > Interfaces een IP-adres toe aan de automatisch aangemaakte XFRM. Daarna bepalen statische, SD-WAN- of dynamische routes het tunnelverkeer.
• Traffic Selectors: SFOS maakt automatisch een statische route bij het opzetten van de tunnel. Als een XFRM-interface wordt weergegeven, mag men er geen IP-adres of handmatige routes aan toewijzen.

De officiële documentatie van SFOS 22 en SFOS 23 spreekt zichzelf tegen over het maken van XFRM voor specifieke subnets: volgens «Configure an XFRM interface» wordt geen XFRM gemaakt, terwijl «Route-based VPN» beschrijft dat er één per configuratie wordt gemaakt. Ga er daarom niet van uit dat de interface altijd aanwezig of altijd afwezig is. Vouw de Listening interface onder Network > Interfaces uit en controleer de werkelijke zichtbaarheid op de geïnstalleerde build. Het onderdeel Traffic Selectors in Een site-to-site IPsec VPN configureren beschrijft de bestaande controles voor zichtbaarheid en verkeer.

In beide gevallen vereist VPN-verkeer passende firewallregels. Onder Administration > Device access staat IPsec in de zone WAN inkomende IPsec-verbindingsaanvragen toe. Ping naar een lokaal firewalladres vanuit de zone VPN wordt afzonderlijk toegestaan via Ping/Ping6 onder Administration > Device access. Ping tussen hosts door de VPN-tunnel is daarentegen doorgaand verkeer en vereist passende routes en firewallregels; de toestemming in Device Access staat dit verkeer niet toe.

Een XFRM wordt niet direct onder Network > Interfaces uitgeschakeld, maar via de verbinding onder Site-to-site VPN > IPsec. Als SSL/TLS Decryption op IPsec-verkeer wordt toegepast, moet de XFRM-MTU volgens Sophos minstens 113 bytes lager zijn dan de MTU van de Listening Interface. Bij een MTU van 1400 op de Listening Interface mag de XFRM-MTU dus maximaal 1287 zijn. Deze productspecifieke grens geldt voor FastPath Offload en is geen algemene waarde voor elke tunnel. Zie MTU en MSS bij VPN-problemen controleren voor de volledige controleprocedure.

RED

Een RED-interface verbindt een externe vestiging via een versleutelde tunnel. De bedrijfsmodus bepaalt hoeveel verkeer via de centrale locatie loopt:

• Standard/Unified: de centrale firewall beheert en filtert al het vestigingsverkeer. Valt de tunnel uit, dan kan ook internettoegang uitvallen.
• Standard/Split: alleen gedefinieerde doelnetwerken lopen door de tunnel; internetverkeer gaat lokaal naar buiten en wordt niet centraal gefilterd.
• Transparent/Split: RED werkt transparant in een bestaand netwerk. Dit is flexibel, maar moeilijker te plannen en onderzoeken.
• Manual/Split: de netwerkconfiguratie is sterker handmatig en kan lokale autonomie mogelijk maken.

De RED-service moet onder System services > RED actief zijn. De verbinding vereist normaal TCP 3400, UDP 3410 en NTP via UDP 123. DNS, correcte systeemtijd en uitgaande internettoegang moeten werken.

Het VLAN-gedrag hangt af van RED-model, bedrijfsmodus, LAN-poortmodus en WLAN-configuratie. Sophos adviseert Standard/Unified voor VLAN’s achter RED; op een SD-RED 60 is VLAN-tagging alleen in deze modus mogelijk. WLAN met Bridge to VLAN volgt eigen regels. De juiste Sophos RED-bedrijfsmodus kiezen legt DHCP, gateway, internetpad en uitvalgedrag van de vier modi uit. Provisioning, LED-status en probleemoplossing staan in Sophos SD-RED configureren.

Status en Device Access controleren

Interfacestatus

Onder Network > Interfaces geven de statuswaarden aan of eerst de link of de policy moet worden onderzocht:

• Not configured: geen zone toegewezen
• Connected: geconfigureerd en verbonden
• Connecting: ontvangt een adres, bijvoorbeeld via DHCP
• Disconnected: adres is vrijgegeven
• Disconnecting: adres wordt vrijgegeven
• Unplugged: geen fysieke verbinding; bij WiFi eventueel geen Access Point of Wireless Network
• Not available: geconfigureerde FleXi Port zonder aanwezige FleXi Port-module

Bij Not configured of Unplugged zijn firewallregels nog niet het eerste aanknopingspunt. Controleer eerst Zone Binding, kabel, SFP, poortsnelheid, switchpoort en DHCP of PPPoE.

Lokale firewalldiensten

Onder Administration > Device access wordt per zone bepaald of lokale diensten zoals HTTPS, SSH, User Portal, VPN Portal, DNS, Ping/Ping6, Captive Portal, RADIUS SSO of Wireless Protection bereikbaar zijn.

Deze toestemmingen gelden voor de firewall zelf. Doorgaand verkeer tussen netwerken wordt door firewallregels geregeld. HTTPS en SSH mogen alleen vanuit een managementnetwerk of via een gerichte Local service ACL exception rule zijn toegestaan. DNS is nodig wanneer clients de firewall als DNS-server gebruiken.

⚠️ Als clients de Web Proxy van de firewall mogen gebruiken, behandelt SFOS HTTP- en HTTPS-aanvragen als interne proxyverzoeken. Daardoor kunnen WebAdmin, Captive Portal, VPN Portal of User Portal bereikbaar zijn hoewel de dienst voor de clientzone uitstaat. Proxytoegang en lokale portals moeten in dit ontwerp afzonderlijk worden gecontroleerd.

Afhankelijkheden en wijzigingen veilig beheren

Object Usage vóór bewerken of verwijderen

Zone Binding, DNS, gateways, SD-WAN, Interface Hosts, VLAN’s, Dynamic DNS, DHCP, firewallregels, NAT en VPN kunnen van dezelfde interface afhangen. Object usage toont deze verwijzingen.

De getoonde teller wordt automatisch slechts eenmaal per dag bijgewerkt. Klik vóór wijzigen of verwijderen daarom op Refresh en documenteer belangrijke afhankelijkheden. Niet elke verwijzing kan in de pop-up worden bewerkt. WAN-gateways en CLI-configuraties moeten op hun eigen configuratiepagina of in de CLI worden gewijzigd.

Voor bewerkbare verwijzingen in regels of policies leidt de teller naar de concrete configuratie:

1. Klik in de kolom Usage op het aantal keren dat het betreffende object wordt gebruikt. De pop-up toont welke configuraties het object gebruiken.
2. Klap de juiste categorie uit met het pluspictogram om de bijbehorende regels of policies te tonen.
3. Klik op de betreffende regel of policy om deze te bewerken. Verwijder daar de verwijzing naar het object of vervang deze door het beoogde vervangende object.

Na de controle van afhankelijkheden wordt de betreffende interface onder Network > Interfaces in het Menu in- of uitgeschakeld met respectievelijk on of off. Zorg vóór off voor onafhankelijke beheerstoegang en een terugweg; de actie kan het momenteel gebruikte datapad onderbreken. Alias en XFRM kunnen hier niet onafhankelijk worden uitgeschakeld.

Bij uitschakelen blijft de interfaceconfiguratie behouden. IPsec-tunnels waarbij de firewall Initiator is, worden direct verbroken. Responder-tunnels en Remote Access-verbindingen eindigen uiterlijk door inactiviteit of Dead Peer Detection.

Een virtuele interface wordt onder Network > Interfaces via Menu > Delete interface verwijderd. Voer deze actie pas uit na Refresh onder Object usage, een gedocumenteerde controle van afhankelijkheden en het voorbereiden van een back-up en terugweg; de actie verwijdert niet alleen de zichtbare interfacevermelding.

Bij het verwijderen van een virtuele interface verwijdert SFOS alle firewallregels waarin deze wordt gebruikt, ook als de regel andere interfaces bevat. Daarnaast worden afhankelijke Zone Bindings, DHCP-servers of relays, statische ARP- en proxy-ARP-vermeldingen, Protected Servers en daarop gebaseerde firewallregels, Interface Hosts en hun groepsverwijzingen, evenals unicast- en multicastroutes verwijderd. Aliasinterfaces volgen hun bovenliggende interface; XFRM-interfaces worden via de IPsec-verbinding beheerd.

Ook alleen bewerken kan invloed hebben op Zone Binding, DNS, gateways, SD-WAN-routes en -profielen, Interface Hosts, VLAN’s en Dynamic DNS. Na bewerken of verwijderen kunnen verbindingen tijdelijk niet reageren of uitvallen. Controleer daarom na elke wijziging de daadwerkelijke data- en managementpaden, niet alleen de opgeslagen interfacevermelding.

De configuratie van een fysieke poort bewust verwijderen

Een fysieke poort blijft op de appliance aanwezig; alleen de configuratie ervan kan worden verwijderd. off en Network zone None zijn daarbij niet gelijkwaardig: off behoudt de configuratie, terwijl None de IP-configuratie verwijdert. Deze actie dient om bewust een niet meer benodigde poort vrij te maken, niet als eerste herstelstap bij Unplugged of een onbereikbare gateway.

⚠️ Voer vóór het verwijderen Object usage > Refresh uit, documenteer en migreer de afhankelijkheden en test de back-up en onafhankelijke beheerderstoegang. Leg IP-adressen, maskers of prefixen, de zone, gateways en aliassen vast om de wijziging te kunnen terugdraaien. Reset de poort niet via het enige managementtoegangspad.

1. Open onder Network > Interfaces de betreffende fysieke poort.
2. Stel Network zone in op None. De IP-configuratie verdwijnt al in het formulier; controleer vóór de volgende stap nogmaals de poort-ID.
3. Sla op met Save.
4. In het overzicht moeten Unbound, de status Disabled en het IP-adres N/A verschijnen. Controleer vervolgens via de onafhankelijke toegang of de andere benodigde data- en managementpaden nog steeds werken.

Als de verkeerde poort is gereset, herstel dan de vorige zone en IP-configuratie via de onafhankelijke toegang of de console. Herstel verwijderde afhankelijke configuraties aan de hand van de eerdere inventarisatie of de back-up; het opnieuw toewijzen van een zone is hiervoor geen vervanging. Test tot slot de link, gateway, DHCP, DNS, routing, regels en Device Access opnieuw.

HA en wijzigingen op afstand

Speciale HA-linkinterfaces horen in een DMZ-zone. Andere bewaakte of voor beheer gebruikte interfaces mogen in andere zones liggen.

Active-Active HA vereist statisch geconfigureerde interfaces. Cellular WAN wordt bij HA uitgeschakeld. Active-Passive kan dynamisch geadresseerde WAN-interfaces gebruiken, maar verbindingen zoals PPPoE worden bij failover niet noodzakelijk met hun sessie overgenomen.

Vóór een productiewijziging:

1. Documenteer configuratie en afhankelijkheden.
2. Bereid onderhoudsvenster, rollbackmoment, back-up en concrete terugweg voor.
3. Test onafhankelijke beheerstoegang, zoals Sophos Fusion (voorheen Sophos Central), een tweede WAN, een apart managementnetwerk of iemand op locatie.
4. Bereid een testclient of duidelijk testverkeer voor; voeg daarna de nieuwe zone of het nieuwe pad toe en test dit.
5. Controleer link, IP, gateway, DHCP, DNS, firewallregels, NAT en Device Access.
6. Verwijder oude objecten pas wanneer het nieuwe pad stabiel is.

Bij een VLAN-trunk horen oude VLAN ID, Native VLAN en switchpoortprofiel bij de terugweg. Bij WAN-wijzigingen zijn providerwaarden en SD-WAN-routes belangrijk; bij XFRM ook tunnel, routing en beide firewallrichtingen.

Fouten systematisch vinden

De oorzaak is meestal sneller af te bakenen door eerst naar het symptoom te kijken:

• Interface is unbound of disabled: Controleer eerst of er bewust geen zone aan de poort is toegewezen of dat de interface is uitgeschakeld. Als de poort eerder in productie was, vergelijk dan de verwachte zone en IP-configuratie met de gedocumenteerde configuratie en herstel deze via een onafhankelijke toegang. None is geen herstelmaatregel, maar verwijdert de IP-configuratie; de bewuste procedure wordt hierboven uitgelegd onder De configuratie van een fysieke poort bewust verwijderen.
• VLAN werkt niet: vergelijk VLAN ID, Parent Interface, trunk, Tagged/Untagged en Native VLAN.
• Firewall is niet bereikbaar via ping, HTTPS of DNS: controleer Device Access en Local Service ACL, niet eerst een gewone firewallregel.
• Intern verkeer wordt geblokkeerd: controleer Source zone, Destination zone, netwerkobjecten, routing, Services en regelvolgorde.
• WAN-gateway blijft inactief: controleer link, IP, gateway, PPPoE-gegevens en WAN Link Manager.
• Meerdere WAN-poorten liggen in hetzelfde subnet: voorkom ARP-problemen en controleer alias of LAG.
• SFP of Port Speed klopt niet: Gebruik SFP en SFP+ systematisch diagnosticeren om transceiver, kabel, breakout en snelheid aan beide kanten te vergelijken.
• VPN of PPPoE is instabiel: controleer MTU en MSS.

Voor de eigenlijke diagnose is deze volgorde zinvol:

1. Network > Interfaces: link, IP, zone en gateway
2. Network > Zones: zonetype en Device Access
3. Hosts and services: netwerk- en serviceobjecten
4. Firewall rules: richting, volgorde, Services en logging
5. NAT rules: Original en Translation
6. Log viewer: Rule ID of reden voor drop
7. Diagnostics > Tools > Packet capture: binnenkomst en doorsturen van het pakket

Lijkt de regel correct maar matcht deze niet, zie Firewallregel wordt niet toegepast. De pakketstroom wordt uitgelegd in Packet Capture in WebAdmin gebruiken.

Operationele checklist

• Zones volgens vertrouwensniveau gepland en gedocumenteerd
• Zone, interface en netwerkobject niet door elkaar gehaald
• VLAN ID, Parent, trunk en gateway gecontroleerd
• Device Access vooral voor HTTPS, SSH, DNS, ping en portals beperkt
• Firewallregels met concrete zones, netwerken, diensten en logging gemaakt
• Alias voor extra provider-IP-adressen in hetzelfde subnet overwogen
• DHCP, DNS, NTP, routing en indien nodig NAT getest
• Object Usage bijgewerkt en vóór wijzigingen gecontroleerd
• Onafhankelijke beheerstoegang en terugweg voorbereid
• Link Status, Log Viewer en Packet Capture na de wijziging gecontroleerd

FAQ