Skonfiguruj poprawnie Sophos Firewall po uruchomieniu kreatora instalacji

Po uruchomieniu kreatora konfiguracji można uzyskać dostęp do Sophos Firewall, zarejestrować go i w zasadzie przygotować do pracy. Jednak jego obsługa nie jest jeszcze bezpieczna. Kreator wykonuje uruchomienie, a nie architekturę produktywną.

Artykuł zbiera kontrole wymagane po konfiguracji początkowej: dostęp do Internetu, rejestrację, licencje, firmware, kopie zapasowe, strefy, Device Access, DNS, DHCP, reguły firewalla i NAT, logowanie oraz pierwsze działania zabezpieczające. Opiera się na SFOS 22 i stanowi praktyczną listę dla nowych urządzeń XGS Appliance, firewalli wirtualnych oraz niewielkich migracji. Nazwy pól odpowiadają angielskiej wersji interfejsu Sophos; poszczególne strony i opcje mogą zależeć od platformy, modelu oraz konfiguracji online lub offline.

W przypadku migracji z XG na urządzenie XGS Appliance, ze sprzętu na platformę wirtualną albo przywracania na urządzenie zastępcze należy dodatkowo sprawdzić tworzenie lub przywracanie kopii zapasowej Sophos Firewall oraz Sophos XG vs. XGS: różnice, EOL i migracja.

Szybka ścieżka po pierwszym logowaniu

Jeśli zapora właśnie wychodzi z kreatora, nie każdy szczegół jest równie pilny. Pierwsze 30 minut polega na tym, aby nie stracić dostępu, zabezpieczyć sytuację i zidentyfikować największe ryzyka operacyjne.

Ta kolejność ma sens w przypadku większości nowych instalacji:

1. Bezpieczny dostęp administratora: Hasło do dokumentu, Secure Storage Master Key i drugi dostęp administratora lub dostęp do stłuczenia szyby.
2. Sprawdź licencję i rejestrację: Sprawdź w Administration > Licensing, czy model, numer seryjny, licencja podstawowa i subskrypcje są prawidłowe.
3. Utwórz kopię zapasową: Pobierz ręczną kopię zapasową i przechowuj ją zewnętrznie przed wprowadzeniem dalszych zmian.
4. Sprawdź oprogramowanie sprzętowe i wzorzec: Sprawdź stan oprogramowania sprzętowego, poprawki i aktualizacje sygnatur, ale instaluj aktualizacje tylko z oknem konserwacji i planem wycofywania.
5. Device Access limit: nie pozwala na szeroką dostępność WebAdmin i SSH ze stref klienta, gościa, IoT lub WAN.
6. Sprawdź strefy i interfejsy pod kątem wiarygodności: Sprawdź WAN, LAN, sieci VLAN, mosty, sieć zarządzania i późniejsze strefy bezpieczeństwa pod kątem planu sieci.
7. Oceń reguły domyślne: Nie przyjmuj początkowych reguł zapory sieciowej i reguł NAT jako gotowego projektu zabezpieczeń.
8. Aktywuj rejestrowanie: Aktywuj Log firewall traffic, aby uzyskać ważne reguły, aby można było prześledzić późniejsze testy w Log Viewer.
9. Test akceptacji planu: Zwolnij ruch produktywny dopiero po krótkim planie testowym, a nie bezpośrednio po kreatorze.

Tylko wtedy, gdy te punkty są czyste, należy skonfigurować ruch produktywny, dostęp zdalny, WAF, SD-WAN, RED lub TLS Inspection. W przeciwnym razie rozwiązywanie problemów stanie się później niepotrzebnie trudne, ponieważ nie jest jasne, czy problem wynika z podstawowej konfiguracji, funkcji bezpieczeństwa czy aplikacji.

Skonfiguruj ścieżki według sytuacji

Po kreatorze praca szybko dzieli się na kilka obszarów. Te punkty wejścia mają sens w przypadku nowych zapór sieciowych:

• Połączenie centralne: Jeśli zapora sieciowa powinna być podłączona do Sophos Fusion (dawniej Sophos Central) lub granice Centrali powinny być zrozumiałe, Sophos Firewall połącz się z Sophos Fusion pasuje.
• Stan licencji: W przypadku licencji podstawowej, wsparcia i subskrypcji pomaga Sophos Firewall Zrozumienie licencji podstawowej.
• Kopia zapasowa i przywracanie: Przed pierwszą zmianą należy przygotować Sophos Firewall utworzenie lub przywrócenie kopii zapasowej.
• Dostęp zarządczy: WebAdmin, SSH, User Portal lub VPN Portal są wzmocnione poprzez Sophos Firewall Bezpieczny dostęp: odpowiednio skonfiguruj Device Access.
• Projekt sieci: W przypadku stref, interfejsów, sieci VLAN i mostów lepszym początkiem będzie Sophos Firewall Skonfiguruj strefy i interfejsy.
• Pierwsze zasady: W przypadku firewalla i podstaw NAT reguły Sophos Firewall są zrozumiałe i poprawnie skonfigurowane.
• DNS i DHCP: Rozpoznawanie nazw wewnętrznych staje się czystsze dzięki DNS Skonfiguruj trasy żądań na Sophos Firewall.
• Raportowanie: W przypadku dzienników, raportów i dłuższego przechowywania pomaga opcja Aktywuj raportowanie centralnej zapory.
• Health Check: Ustalenia dotyczące bezpieczeństwa zgodnie z SFOS 22 można poprawnie przypisać do priorytetu za pomocą Sophos Firewall Health Check.
• Planowanie aktualizacji: W przypadku aktualizacji oprogramowania sprzętowego lub aktualizacji SFOS-22, Sophos Firewall pasuje przed SFOS 22, sprawdź aktualizację.

To rozdzielenie jest ważne, ponieważ pomyślny kreator nie oznacza gotowej architektury bezpieczeństwa. Przed ruchem produktywnym należy dokładnie sprawdzić dostęp do zarządzania, kopię zapasową, licencję, strefy, reguły, funkcje rejestrowania i ochrony.

Przygotuj przed konfiguracją

Przed uruchomieniem kreatora dostęp, połączenie WAN, sieć zarządzania i kontekst licencji powinny być jasne. Zapobiega to improwizowaniu podczas konfiguracji i konieczności późniejszego poprawiania niejasnych podstawowych założeń.

Wymagania instalacyjne

Przed konfiguracją powinno być jasne, w jaki sposób zapora zostanie zintegrowana z siecią. Wiele późniejszych problemów pojawia się nie w samym kreatorze, ale w wyniku improwizacji WAN, LAN, DNS, dostępu do zarządzania lub danych licencyjnych.

Przygotuj się przed rozpoczęciem:

• Model zapory, numer seryjny i planowana lokalizacja.
• WAN dane dostępowe lub informacje o dostawcy, na przykład DHCP, statyczny adres IP, PPPoE, VLAN lub router nadrzędny.
• Wewnętrzna sieć docelowa dla pierwszego LAN lub dostępu zarządzającego.
• Serwery DNS pracują podczas instalacji.
• Konto Sophos Fusion z pełną licencją lub licencją próbną oraz zapora z Base License; do połączenia z Central urządzenia już skonfigurowanego i przypisanego do konta ewentualnie osoba, która może wygenerować OTP.
• Zaplanowane hasło administratora i lokalizacja w menedżerze haseł.
• Decyzja, czy skonfigurować zaporę bezpośrednio, czy przywrócić ją za pomocą kopii zapasowej.

Zapora wymaga działającego połączenia internetowego do rejestracji, porównywania licencji, aktualizacji sygnatur i połączenia centralnego. Jeśli urządzenie nadrzędne filtruje ruch wychodzący, musi działać przynajmniej niezbędny dostęp HTTPS. W przypadku bardziej złożonych konfiguracji dostawców dostęp WAN należy najpierw zaplanować świadomie, a nie zgadywać podczas działania kreatora.

Połączenia i konfiguracja sieci

Nazwy portów i domyślne mapowanie różnią się w zależności od modelu. Wiele urządzeń sprzętowych umożliwia początkowy dostęp LAN poprzez standardowy adres, podczas gdy większe modele mogą również mieć dedykowany port zarządzania.

W opisanej fabrycznej konfiguracji sprzętowej Port B jest portem WAN i uzyskuje adres przez DHCP. To wartość początkowa, a nie wymóg dla każdej platformy lub każdego operatora: Przy adresacji statycznej, PPPoE lub sieciach VLAN operatora dostosować konfigurację WAN do planu połączenia.

Przed pierwszym dostępem przez LAN z udokumentowaną konfiguracją fabryczną przypisać komputerowi administratora wolny adres IPv4 w sieci 172.16.16.0/24, na przykład 172.16.16.2 z maską podsieci 255.255.255.0. Podłączyć komputer bezpośrednio lub przez kontrolowaną sieć konfiguracyjną do przewidzianego portu LAN; w opisanym przykładzie sprzętowym jest to Port A. Dopiero potem otworzyć https://172.16.16.16:4444. Nazwy portów i ich przypisanie fabryczne muszą odpowiadać modelowi lub platformie; te instrukcje LAN nie zastępują odrębnego dostępu MGMT.

Typowe początkowe dostępy:

• LAN port z https://172.16.16.16:4444: Wstępna konfiguracja poprzez lokalną sieć konfiguracyjną.
• Port MGMT z https://10.0.1.1:4444: dedykowanym dostępem do zarządzania w modelach z portem MGMT.
• Konsola szeregowa lub dostęp lokalny: Scenariusze awaryjne lub ponowne uruchomienie obrazu.

Klient konfiguracji początkowej powinien być podłączony bezpośrednio lub poprzez kontrolowaną sieć konfiguracyjną. Stare serwery DHCP, nieprawidłowe sieci VLAN lub wydajny port przełącznika z nieoczekiwaną konfiguracją portów mogą niepotrzebnie utrudnić początkową konfigurację.

W przypadku modeli z dedykowanym portem zarządzania ta sieć powinna być naprawdę zarezerwowana dla administratorów. Użytkownicy nieadministracyjni, zwykli klienci lub urządzenia gościnne nie należą do tej samej podsieci portu zarządzania. W przeciwnym razie praktyczny dostęp początkowy szybko stanie się niepotrzebnym obszarem zarządzania.

Konfiguracja dedykowanego portu zarządzania

Urządzenia 1U i większe mają co najmniej jeden dedykowany port zarządzania. Jest widoczny jako PortMGMT pod Network > Interfaces, domyślnie należy do strefy LAN i początkowo używa 10.0.1.1. Na czas instalacji przypisać bezpośrednio podłączonemu komputerowi administracyjnemu wolny adres w tej samej podsieci, na przykład 10.0.1.2/24. Po instalacji zmienić PortMGMT na adres z planowanego VLAN zarządzania. Jeśli dostęp ma odbywać się przez VPN, pod Administration > Device access zezwolić dla strefy VPN tylko na wymagane HTTPS i ewentualnie SSH.

Uwaga dotycząca HA: W klastrze HA SFOS synchronizuje zwykłą konfigurację portu zarządzania z Primary do Auxiliary. Adres IP interfejsu PortMGMT jest więc taki sam na obu urządzeniach i nie można ustawić go oddzielnie dla każdego węzła. Oddzielny dostęp WebAdmin do Auxiliary jest konfigurowany przez dodatkowy Peer administration IP w tej samej sieci zarządzania.

Dostęp do interfejsu sieciowego

Aby skonfigurować, uzyskaj dostęp do konsoli WebAdmin za pośrednictwem przeglądarki internetowej. W zależności od interfejsu używany jest jeden z poniższych adresów:

• LAN port: https://172.16.16.16:4444
• Port zarządzania: https://10.0.1.1:4444

Zapora używa lokalnie podpisanego certyfikatu przy pierwszym dostępie. Ostrzeżenie przeglądarki jest w tym momencie normalne, ale nie należy go później ignorować. Należy zaplanować odpowiedni certyfikat dla produktywnego dostępu WebAdmin, szczególnie jeśli używanych jest wielu administratorów, centralne kierownictwo lub zarządzanie FQDN.

Tak długo jak domyślny użytkownik admin jest nadal używany z domyślnym hasłem, obowiązują dodatkowe ograniczenia. SSH ze strefy WAN nie jest normalnie odrzucany, ale zapora sieciowa cicho zamyka połączenie. WebAdmin ze strefy WAN wyświetla komunikat Zabronione. SCP nie może być używane z domyślnymi danymi dostępowymi w strefach LAN i WAN. Stan ten należy rozumieć jako fazę instalacji, a nie model działania.

Uruchom kreatora instalacji

Kreator instalacji konfiguruje podstawową zaporę sieciową. W tej fazie nie chodzi o ostateczny projekt zabezpieczeń, ale raczej o uruchomienie zapory sieciowej, zarejestrowanie jej i zarządzanie nią w kontrolowany sposób.

Konfiguracja wstępna przy użyciu kreatora instalacji

Kreator instalacji zbiera podstawowe dane i przygotowuje firewall do uruchomienia. Poniższa lista przedstawia decyzje, a nie identyczną dla każdej platformy kolejność ekranów:

1. Zaakceptuj Warunki użytkowania użytkownika końcowego Sophos.
2. Rozpocznij instalację.
3. Ustaw hasło administratora i przechowuj je bezpiecznie.
4. Ustaw nazwę zapory sieciowej i strefę czasową.
5. Porównaj Deployment Mode oraz ustawienia WAN, LAN i DNS z planem sieci.
6. Podaj numer seryjny lub informacje o istniejącej licencji.
7. Zaplanuj okno serwisowe na aktualizację firmware wykonywaną po zakończeniu asystenta online i zachowaj dostęp lokalny.
8. Utwórz Secure Storage Master Key i zapisz go w menedżerze haseł.
9. Przeprowadź rejestrację i synchronizację licencji albo, jeśli dana platforma na to pozwala, świadomie je odłóż.

Jeśli podczas konfiguracji w trybie gateway trzeba zmienić ustawienia sieciowe, a kreator udostępnia ten krok, otworzyć Manual configuration, wprowadzić ustawienia odpowiednie dla danej sieci i zastosować je przyciskiem Apply. Potwierdzić okno przyciskiem OK i przejść dalej przez Continue. Nie kopiować wartości przykładowych bez ich sprawdzenia; ta opcjonalna sekwencja nie stanowi uniwersalnej kolejności ekranów dla każdej platformy.

Secure Storage Master Key jest ważny dla scenariuszy chronionych danych i przywracania. W przypadku nowych instalacji jest on tworzony w Asystencie ustawień. Nie należy do lokalnego pliku tekstowego w notatniku administratora, ale do kontrolowanego hasła lub procedury odzyskiwania. Jeśli zostanie utracony, technicznie można go zresetować, ale istniejących chronionych kopii zapasowych lub danych nie można automatycznie odszyfrować.

SFOS 22 stosuje w asystencie zalecane ustawienia domyślne, między innymi dla hotfixów i Device Access. To punkt wyjścia, a nie automatyczna akceptacja: po pierwszym logowaniu sprawdź ustawienia, które rzeczywiście obowiązują. W Administration > Admin and user settings zwróć szczególną uwagę na wylogowywanie nieaktywnych sesji administratorów i ochronę przed próbami logowania brute-force. Nie osłabiaj ogólnie zalecanych zabezpieczeń; przed zmianą zapisz wartości początkowe i przetestuj logowanie z docelowej sieci administracyjnej.

Wybór Gateway Mode lub Bridge Mode

Wybór trybu w Setup Wizard nie jest zmianą kosmetyczną. W trybie This Firewall (Routed Mode) Sophos Firewall działa jako brama warstwy 3, routuje ruch i może zastąpić dotychczasową bramę. Jest to zwykle czytelniejszy projekt dla nowej instalacji, ale wymaga zaplanowania adresów WAN i LAN, tras, NAT oraz reguł firewalla.

W trybie Internet gateway (Bridge Mode) firewall działa inline jako bridge warstwy 2 przed istniejącym routerem lub za nim. Dotychczasowy schemat adresacji IP może pozostać bez zmian, a ruch przechodzi przez IPS, skanowanie malware i inne funkcje ochronne. Bridge przekazuje także STP, RSTP i multicast routing. Tryb transparentny nie oznacza braku ryzyka: ścieżka przez switche, ochrona przed pętlami, bridge members, strefy i reguły nadal należą do projektu sieci.

⚠️ Po wybraniu Finish asystent stosuje konfigurację i ponownie uruchamia firewall. Uruchomienie asystenta po skonfigurowaniu klastra HA wyłącza HA. Dlatego nie należy ponownie wybierać trybu w wizardzie istniejącego klastra HA. Sophos obsługuje HA na interfejsach bridge dla nowego wdrożenia Bridge Mode wykonanego przez asystenta, ale okablowanie, zmianę ról i ścieżkę danych nadal trzeba przetestować w kontrolowany sposób.

W modelach z wbudowanym modułem radiowym skonfigurować chronioną sieć bezprzewodową i bezprzewodową sieć gościnną zgodnie z planem sieci w odpowiednim kroku konfiguracji w trybie gateway, a następnie wybrać Continue. Te wybory nie zastępują sprawdzenia zamierzonego rozdzielenia sieci gościnnej i LAN.

W modelach XGS 88w, 108w, 118w i 128w wizard nie oferuje opcji Bridge wireless network with LAN. To ograniczenie należy uwzględnić również podczas konfiguracji w trybie gateway; opisana poniżej konfiguracja po instalacji nie jest więc ograniczona do Bridge Mode. Jeżeli LocalWifi0 ma zostać bezpośrednio połączony z LAN przez bridge, konfigurację wykonuje się po instalacji w Wireless > Access points > LocalWifi0 > Bridge to Ethernet, a następnie testuje z klientem bezprzewodowym.

W Gateway Mode wizard może dodatkowo włączyć Enable TAP/Discover Mode dla jednego lub kilku pasywnych portów monitorujących. Nie zmienia to routowanych interfejsów w pasywne: tylko port TAP obserwuje kopię lustrzaną. Konfiguracja Discover Mode z TAP i SPAN opisuje pełny przebieg SPAN, raportowania i HA.

Po restarcie w obu trybach najpierw sprawdza się dostęp administracyjny, stan interfejsów, DNS i znany przepływ testowy. W Gateway Mode dodatkowo kontroluje się default gateway, NAT i Firewall Rule ID. W Bridge Mode sprawdza się oba bridge members, STP/RSTP, router, który nadal pełni swoją rolę, oraz rzeczywistą ścieżkę w obu kierunkach.

Połączenie internetowe i weryfikacja DNS

Kreator sprawdza, czy zapora sieciowa ma dostęp do Internetu. Jeśli sprawdzenie się nie powiedzie, nie powinieneś po prostu wprowadzać „dowolnego DNS”. Lepsza jest jasna definicja:

• Czy interfejs WAN ma prawidłowy adres IP?
• Czy brama domyślna jest poprawna?
• Czy wymagany jest routing PPPoE, VLAN lub routing statyczny?
• Czy zapora może rozpoznać DNS?
• Czy wychodzący ruch HTTPS jest blokowany przez urządzenie nadrzędne?
• Czy data, godzina i strefa czasowa są prawidłowe?

W środowiskach produkcyjnych DNS nie powinien przypadkowo wskazywać publicznych resolverów, jeśli potrzebne jest wewnętrzne rozpoznawanie nazw. Po wstępnej konfiguracji domeny wewnętrzne powinny być czysto kierowane do wewnętrznych serwerów DNS przez DNS Request Routes na Sophos Firewall.

Rejestracja Sophos Firewall

Rejestracja łączy zaporę sieciową z licencją Sophos i kontekstem centralnym. Możesz to zrobić bezpośrednio w kreatorze lub później w trakcie pracy. W przypadku wydajnych zapór ogniowych ten krok nie powinien być niepotrzebnie przedłużany, ponieważ od niego zależy status licencji, wsparcie, subskrypcje i funkcje centralne.

Claiming przypisuje numer seryjny do właściwego konta Sophos Fusion. Nie jest to ta sama czynność co późniejsza rejestracja istniejącej zapory w Central Management za pomocą OTP. Poniższa ścieżka konfiguracji online wymaga konta Sophos Fusion z pełną licencją lub licencją próbną oraz zapory z Base License.

Poniższa procedura przypisania zakłada posiadanie numeru seryjnego. Jeśli numer seryjny nie jest jeszcze dostępny, a kreator online oferuje odpowiednią drugą opcję, umożliwia ona uzyskanie tymczasowego numeru seryjnego na 30-dniowy okres próbny. Następnie zalogować się na właściwe konto Sophos Fusion lub utworzyć konto, wybrać opcję licencji dla okresu próbnego i potwierdzić przyciskiem Claim firewall. Numer seryjny zostaje przypisany do zapory; przejść dalej przez Continue. Ten tymczasowy numer seryjny nie jest ani opisaną poniżej ewaluacją poszczególnych modułów ochrony na już zidentyfikowanej zaporze, ani odroczeniem rejestracji sprzętu.

Przypisanie nowej zapory podczas konfiguracji online

1. W kreatorze wyłącz Install the latest firmware automatically during setup (recommended) i kliknij Continue. Dzięki temu aktualizacja pozostaje zaplanowaną czynnością z oknem serwisowym i dostępem lokalnym, zamiast uruchamiać się podczas rejestracji.
2. Ustaw nazwę zapory i strefę czasową. Wybierz I have an existing serial number, wpisz numer seryjny właściwej zapory i kliknij Continue.
3. Na ekranie Claim your firewall with Sophos Central wybierz Claim in Sophos Central. Zaloguj się do właściwego konta Sophos Fusion; angielskie etykiety interfejsu mogą nadal zawierać nazwę Sophos Central.
4. W oknie Claim firewall wpisz numer seryjny i kliknij Validate. Przed przypisaniem sprawdź, czy chodzi o właściwe urządzenie.
5. Świadomie wybierz Just claim the firewall with Base license albo Claim with 30 days Xstream Protection, Web Server Protection and Email Protection evaluation license. Pierwsza opcja przypisuje tylko licencję podstawową, a druga uruchamia także wskazaną 30-dniową wersję próbną. Okres próbny nie jest płatnym pakietem ochronnym i nie zastępuje zaplanowanego odnowienia.
6. Kliknij Claim firewall. Po powrocie do zapory zakończ na ekranie Basic setup is complete przyciskiem Skip to finish albo użyj Continue, aby w kontrolowany sposób skonfigurować ustawienia zaawansowane.
7. Po zakończeniu zaloguj się lokalnie i sprawdź numer seryjny oraz stan licencji w Administration > Licensing. W Sophos Fusion otwórz My Products > Firewall Management > Firewall licenses, znajdź tę samą zaporę i rozwiń strzałkę obok jej nazwy. Konto, numer seryjny i szczegóły licencji muszą odpowiadać skonfigurowanemu urządzeniu.

Dla urządzenia już skonfigurowanego i przypisanego do konta administrator w środowisku partnera lub klienta może zamiast tego wygenerować OTP do połączenia z Central Management. Pozwala to uniknąć udostępniania danych Super Admin, ale nie zastępuje claimingu ani aktywacji licencji. Połączenie Sophos Firewall z Sophos Fusion opisuje procedurę OTP i zarządzania.

Ważne: Sophos Fusion Zarządzanie zaporą sieciową wymaga aktywnej płatnej subskrypcji lub odpowiedniej umowy wsparcia. Sama licencja podstawowa na firewall nie jest wystarczająca dla wszystkich funkcji centralnego zarządzania. Dodatkowo zapora sieciowa do centralnego zarządzania musi być podłączona do Internetu poprzez IPv4.

Odroczenie rejestracji: Tylko zapory sprzętowe mogą podczas pierwszej konfiguracji pozostać bez claiming przez maksymalnie 30 dni. Opcja nie jest dostępna dla zapór software, wirtualnych, Azure ani AWS BYOL. Przy dostępie do Internetu wybrać I do not want to register now w Register your firewall; offline rozpocząć od Continue Offline. Do czasu rejestracji działają wszystkie funkcje lokalne poza Sophos Fusion i Synchronized Security Heartbeat. Pod Administration > Licensing musi być widoczny komunikat Registration has been currently deferred on this device. W ciągu 30 dni przypisać zaporę w Sophos Fusion i zakończyć rejestrację.

Aktywacja licencji

Po rejestracji zapora sieciowa sprawdza Twoje licencje na serwerze licencji Sophos. Jeśli zapora sieciowa ma dostęp do Internetu, informacje o licencji są regularnie synchronizowane. Dodatkowo możesz uruchomić porównanie ręcznie w konsoli WebAdmin.

Nowe subskrypcje rozpoczynają się w momencie realizacji zamówienia, a nie zastosowania klucza licencyjnego. Klucz trzeba jednak zastosować, aby przypisać licencję do tej zapory. Późniejsze zastosowanie nie przesuwa daty rozpoczęcia ani wygaśnięcia.

Aktywacja płatnej subskrypcji na zaporze

W Administration > Licensing kliknij Activate subscription, wpisz klucz licencyjny i wybierz Verify key. Porównaj wyświetlone szczegóły subskrypcji z zamówieniem i zaporą; potwierdź przyciskiem Confirm tylko wtedy, gdy przypisanie jest prawidłowe. Nowa subskrypcja musi następnie mieć stan Subscribed w Module subscription details.

Następnie w Sophos Fusion otwórz My Products > Firewall Management > Firewall licenses, znajdź ten sam numer seryjny i rozwiń szczegóły strzałką obok nazwy. Sprawdź, czy lokalnie aktywowana subskrypcja jest widoczna także tam z oczekiwanymi modułami i datami wygaśnięcia. Aktywacja klucza licencyjnego Sophos Firewall opisuje License Schedule, odnowienia i błędy aktywacji.

Uruchomienie wersji próbnej z zapory

W Administration > Licensing, w obszarze Activate evaluations in Sophos Central, kliknij Sign in to Sophos Central. W Activate Evaluations wybierz tylko funkcje przeznaczone do testowania i potwierdź przyciskiem Evaluate selected. Po powrocie do zapory wybrane moduły muszą mieć stan Evaluating w Module subscription details. Udokumentuj datę wygaśnięcia i decyzję o dalszym licencjonowaniu, zanim reguły produkcyjne zaczną zależeć od tych modułów.

Zastosowanie subskrypcji w Sophos Fusion i synchronizacja lokalna

Klucz można również zastosować centralnie:

1. W Sophos Fusion otwórz My Products > Firewall Management > Firewall licenses, znajdź zaporę po numerze seryjnym i rozwiń szczegóły strzałką.
2. Kliknij Apply subscriptions, wpisz Subscription Key i wybierz Preview subscription.
3. Sprawdź szczegóły subskrypcji i przypisanie urządzenia przed potwierdzeniem przyciskiem Apply subscription. Nowe subskrypcje muszą być widoczne w szczegółach zapory w portalu.
4. Na zaporze otwórz Administration > Licensing i kliknij Synchronize. W Module subscription details muszą pojawić się te same subskrypcje z odpowiadającymi im stanami i datami wygaśnięcia.

W ten sposób sprawdzane są oba kierunki: lokalna aktywacja w widoku Central i centralne zastosowanie w lokalnym widoku licencji. Przy rozbieżnościach najpierw sprawdź numer seryjny, konto, WAN, DNS i czas systemowy, zamiast próbować klucza na innych urządzeniach. Odpowiednia licencja nie konfiguruje polityki ochrony; jej działanie trzeba przetestować osobno.

Pod Administration > Licensing powinieneś sprawdzić:

• Czy zarejestrowano właściwy model z prawidłowym numerem seryjnym?
• Czy licencja podstawowa jest aktywna?
• Czy pomoc techniczna, ochrona Xstream, ochrona standardowa lub indywidualne subskrypcje są poprawnie widoczne?
• Czy daty ważności są wiarygodne?
• Czy rzeczywiście zastosowano nowy klucz licencyjny, czy tylko zapisano go w portalu?
• Czy zapora sieciowa po Synchronize wyświetla ten sam stan co Sophos Fusion?

Bez odpowiedniej licencji wiele funkcji ochronnych nie działa lub działa tylko w ograniczonym zakresie. W zależności od funkcji dotyczy to na przykład IPS, ochrony sieci Web, Zero-Day Protection, DNS Protection, centralnej orkiestracji, aktywnego reagowania na zagrożenia lub usług wsparcia. Podstawy wsparcia i modułów można znaleźć w Sophos Firewall Omówienie podstawowej licencji systemu operacyjnego i Jakie pakiety Sophos Firewall są tam dostępne?.

Połączenie z platformą Sophos Fusion

Sophos Fusion nie jest obowiązkowe w przypadku lokalnej obsługi pojedynczego Sophos Firewall. Zaporę można obsługiwać całkowicie poprzez WebAdmin. Sophos Fusion przynosi korzyści, jeśli świadomie korzystasz z tych funkcji:

• centralny przegląd jednego lub więcej firewalli,
• Centralne zarządzanie firewallem bez bezpośredniej publikacji WebAdmin z Internetu,
• Centralne kopie zapasowe,
• Centralne raportowanie zapory sieciowej,
• w zależności od licencji dłuższe przechowywanie logów i dodatkowe funkcje raportowania,
• Security Heartbeat i Synchronized Application Control w środowiskach punktów końcowych Sophos,
• Integracja z innymi procesami Sophos Fusion.

Ważne jest, aby mieć właściwe oczekiwania: Sophos Fusion nie zastępuje lokalnej dokumentacji operacyjnej ani czystego procesu administracyjnego. Każdy, kto aktywuje Centralne Zarządzanie, powinien świadomie zdefiniować role, MFA, dostęp, przechowywanie kopii zapasowych i przechowywanie raportów.

Więcej informacji można znaleźć w artykule Sophos Firewall łączenie się z Sophos Fusion: zalety i ograniczenia.

Kończenie konfiguracji

W odpowiednim kroku kreatora ustawić odbiorcę wiadomości email z powiadomieniami i kopiami zapasowymi, a następnie przejść dalej przez Continue. Przed Finish porównać podsumowanie konfiguracji z zamierzonymi ustawieniami. Dopiero potem zakończyć: Zapora zastosuje zmiany i uruchomi się ponownie. Ostrzeżenie dotyczące HA i późniejsze kontrole nadal obowiązują.

Po zakończeniu instalacji zapora sieciowa uruchamia się ponownie lub powoduje przekierowanie do ekranu logowania. Jeśli w kreatorze zostanie przeprowadzona aktualizacja oprogramowania sprzętowego i połączenie zostanie zerwane, nie należy od razu zakładać, że wystąpiła usterka: zapora sieciowa może się zrestartować i powrócić z dostarczoną wersją oprogramowania. Następnie nie powinieneś zaczynać bezpośrednio od ruchu produkcyjnego, ale raczej najpierw sprawdź stan podstawowy.

Sprawdź natychmiast po pierwszym logowaniu:

• Data, godzina i strefa czasowa.
• Wersja oprogramowania sprzętowego i aktualizacje wzorców.
• Stan licencji w Administration > Licensing.
• Status WAN i dostęp do Internetu.
• Hasło administratora i Secure Storage Master Key w menedżerze haseł.
• Konfiguracja kopii zapasowej.
• Dostępność konsoli WebAdmin tylko z wybranych sieci.
• Reguły domyślne, NAT i DNS.
• Pierwsze logowanie w Przeglądarce logów.

Nagłówek SFOS 23: orientacja po zalogowaniu

Poniższe wskazówki dotyczą wyłącznie nagłówka WebAdmin udokumentowanego dla SFOS 23; opisana wyżej procedura konfiguracji SFOS 22 pozostaje podstawą.

• Logo Sophos prowadzi z powrotem do Control center. Nagłówek pokazuje model i numer seryjny. Account icon pozwala sprawdzić rolę użytkownika, nazwę urządzenia, numer seryjny oraz wersję i build firmware przed rozpoczęciem pracy.
• W menu konta Command line otwiera konsolę CLI, a Licenses widok licencji. Aby się wylogować, wybierz Account icon > Sign out. Restart uruchamia urządzenie ponownie, a Shutdown je wyłącza. Obie czynności przerywają działanie i nie zastępują wylogowania: nie wybieraj ich podczas poznawania interfejsu, lecz wykonuj wyłącznie jako zaplanowane czynności serwisowe.
• Menu ze znakiem zapytania udostępnia Help, Videos i Support. Ikona przesyłania opinii otwiera okno na komentarze.
• Przy skonfigurowanym HA osobna HA icon otwiera status klastra oraz nazwy i numery seryjne urządzeń Primary i Auxiliary. Nie jest to ikona HA w Sophos Fusion. Konfigurację i eksploatację opisuje artykuł Klastry HA i warianty.
• Logs and policy test łączy dostęp do logów z kartą Policy test. Obsługę logów nadal opisuje przewodnik po Log Viewer; prawidłowe testowanie reguł firewalla wyjaśnia dostęp do testu zależnie od wersji.

Nie uogólniaj nazw: Wcześniejsza sekcja o wylogowaniu w dokumentacji SFOS 23 nadal używa Logout, natomiast sekcja o nagłówku używa Sign out. Niezmieniona strona Manage podaje również admin > Console zamiast Account icon > Command line. Te fragmenty nie są ze sobą spójne; nowe nazwy tutaj dotyczą wyłącznie nagłówka SFOS 23, który został wyraźnie udokumentowany. Nie dowodzą, że wcześniejsze ścieżki SFOS 22 zostały wszędzie usunięte.

Przygotuj się do produkcji po użyciu Kreatora instalacji

Po uruchomieniu kreatora rozpoczyna się prawdziwa praca: zapora sieciowa musi zostać wzmocniona, zintegrowana z architekturą sieci, udokumentowana i przygotowana do rozwiązywania problemów. Kroki te mają większy wpływ na późniejszą obsługę niż sam kreator.

Dlaczego Kreator instalacji nie wystarczy

Kreator tworzy początkową konfigurację podstawową, ale nie gotową architekturę zabezpieczeń. Interfejsy, strefy, Device Access, DNS, DHCP, reguły firewalla, NAT, logi, kopie zapasowe i profile zabezpieczeń muszą być świadomie sprawdzane.

Sophos Firewall nie jest routerem konsumenckim, w którym wystarczy skorzystać z kreatora. Prawidłowo zaplanowany może bardzo dobrze zabezpieczyć sieć, ale tylko jeśli architektura jest odpowiednia: strefy muszą odpowiadać logice bezpieczeństwa, dostęp do zarządzania musi być ograniczony, reguły powinny być tworzone świadomie i udokumentowane, a funkcje ochrony, takie jak filtry sieciowe, IPS, Application Control lub TLS Inspection muszą być specjalnie aktywowane i przetestowane. Źle skonfigurowana zapora sieciowa może stworzyć fałszywe poczucie bezpieczeństwa.

Najpierw warto rzucić okiem na Control Center. Można tam zobaczyć stan systemu, ruch, informacje o użytkownikach i urządzeniach, aktywne reguły zapory sieciowej, raporty i informacje, takie jak nowe oprogramowanie sprzętowe lub wyniki kontroli stanu. Ostrzeżeń i uwag w tym obszarze nie należy po prostu ignorować, lecz należy je raczej wykorzystać jako praktyczną listę kontrolną do dalszych prac.

Sprawdź oprogramowanie sprzętowe, licencję i kopię zapasową

W Kopia zapasowa i oprogramowanie sprzętowe sprawdzasz, czy aktywne oprogramowanie sprzętowe jest aktualne. Aktualizacje oprogramowania sprzętowego są istotne z punktu widzenia bezpieczeństwa, ponieważ obejmują poprawki błędów, ulepszenia stabilności i poprawki zabezpieczeń. Aktualizacji nie należy odkładać na stałe, ale nie należy ich też instalować bez przygotowania.

Sophos Firewall współpracuje z dwoma gniazdami oprogramowania sprzętowego. Oznacza to, że w przypadku problemów można przywrócić poprzednie oprogramowanie sprzętowe. Niemniej jednak przed wprowadzeniem jakichkolwiek większych zmian należy utworzyć ręczną kopię zapasową. Dzięki produktywnym zaporom ogniowym planujesz okno konserwacji, sprawdzasz informacje o wersji, status HA, wolne miejsce na dysku, zależności VPN i dostępność zewnętrzną.

Regularną kopię zapasową należy także skonfigurować w obszarze Kopia zapasowa i oprogramowanie sprzętowe. W przypadku zaszyfrowanych kopii zapasowych wymagane jest hasło kopii zapasowej. Secure Storage Master Key jest również odpowiedni do przywracania wrażliwych danych. Ten klucz zdecydowanie należy do menedżera haseł. Jeśli zostanie utracony, możesz go zresetować za pomocą konsoli, ale istniejących chronionych kopii zapasowych nie można już normalnie przywrócić.

Następnie sprawdź w Administration > Licensing, czy rejestracja, licencja podstawowa i zarezerwowane subskrypcje są wyświetlane poprawnie. W temacie aktualizacji pomocne będą artykuły Sophos Firewall Aktualizacja oprogramowania sprzętowego: przygotowanie i najlepsze praktyki i Aktualizacja oprogramowania sprzętowego w Sophos Firewall. Kopie zapasowe wyjaśniono bardziej szczegółowo w artykule Sophos Firewall Tworzenie lub przywracanie kopii zapasowej.

Przejrzyście planuj strefy i interfejsy

Kreator może połączyć kilka portów LAN w mostek na urządzeniach sprzętowych. Jest to przydatne do szybkiego startu, ale nie zawsze jest najlepszą architekturą docelową. W Network > Interfaces powinieneś sprawdzić, które porty, sieci VLAN, mosty lub grupy LAG są naprawdę potrzebne.

Każdy interfejs jest przypisany do dokładnie jednej strefy. To przypisanie określa później sposób stosowania reguł zapory sieciowej, Device Access i profili ochrony. Typowe strefy produkcyjne to na przykład LAN, Server, DMZ, Guest, VoIP, Management lub VPN. Nie każdy VLAN koniecznie potrzebuje własnej strefy, ale każda strefa powinna mieć jasne znaczenie związane z bezpieczeństwem.

Więcej na ten temat można dowiedzieć się w artykule Sophos Firewall Planowanie i konfiguracja stref i interfejsów.

Bezpieczne Device Access

Częstym błędem występującym po wstępnej konfiguracji jest zbyt duży dostęp do zarządzania. Dostęp do lokalnych usług zapory sieciowej, takich jak WebAdmin, SSH, User Portal, VPN Portal, DNS lub Ping, nie jest kontrolowany za pomocą normalnych reguł zapory. Administration > Device access jest za to odpowiedzialny.

⚠️ WebAdmin, SSH, User Portal i VPN Portal nigdy nie powinny być dostępne tylko dlatego, że baza reguł zapory wygląda na „czystą”. Usługi te zależą od list ACL Device Access i usług lokalnych. Po każdej zmianie należy aktywnie testować, z jakich stref i sieci źródłowych dostęp jest rzeczywiście możliwy.

W przypadku systemów produkcyjnych HTTPS i SSH nie powinny być szeroko wypuszczane z niebezpiecznych stref. Jeśli konieczny jest dostęp zewnętrzny, należy zastosować Regułę wyjątku ACL usługi lokalnej i ograniczyć dostęp do stałych adresów IP lub zdefiniowanych sieci zarządzania. Alternatywnie, zarządzanie zaporą sieciową Sophos Fusion jest często czystszym rozwiązaniem.

Więcej informacji można znaleźć w artykule Sophos Firewall Zabezpieczanie dostępu: poprawnie skonfiguruj Device Access.

Ustaw konta administratora, MFA i rezerwę

Po pierwszym logowaniu współdzielony dostęp administratora nie powinien być używany na stałe. Dedykowani administratorzy, jasne role i udokumentowany dostęp awaryjny sprawdzają się lepiej w życiu codziennym. Dzięki temu można później zobaczyć, kto dokonał zmiany, a pojedyncze złamane hasło nie zapewnia automatycznie pełnego dostępu do zapory.

Ta kolejność ma sens w przypadku nowych zapór sieciowych:

1. Przetestuj co najmniej drugi dostęp administracyjny, zanim MFA zostanie szeroko aktywowany.
2. Traktuj domyślnego użytkownika lokalnego admin jako konto typu break glass i nie używaj go jako użytkownika dziennego.
3. Aktywacja MFA zaplanowana dla WebAdmin, VPN Portal i dostępu zdalnego.
4. Dokumentuj role i obowiązki, szczególnie w przypadku korzystania z zarządzania zaporą sieciową Sophos Fusion.
5. Ustaw reset tokena, przechowywanie haseł i dostęp poza godzinami pracy.

MFA zmniejsza ryzyko kradzieży danych uwierzytelniających, ale nie zastępuje ograniczeń dostępu. Dlatego MFA dla Sophos Firewall WebAdmin, VPN Portal i dostęp zdalny i Device Access należą do siebie. Jeśli za pośrednictwem Sophos Fusion pracuje kilka osób, należy również sprawdzić role administracyjne Sophos Fusion.

DNS, DHCP i sprawdź wewnętrzne rozpoznawanie nazw

Network > DNS określa, w jaki sposób zapora odbiera serwery DNS: poprzez DHCP, poprzez informacje PPPoE od dostawcy lub statycznie. W przypadku domen wewnętrznych należy używać DNS tras żądań, aby żądania dotyczące stref wewnętrznych trafiały do ​​właściwego wewnętrznego serwera DNS.

W przypadku nowych instalacji DNS należy przetestować z prawdziwymi nazwami wewnętrznymi i zewnętrznymi. Sam test z google.com nie wystarczy, jeśli później używane będą Active Directory, serwery plików, drukarki, systemy zarządzania lub aplikacje wewnętrzne. Szczególnie ważne jest to, czy klienci otrzymują właściwe serwery DNS i czy zapora sieciowa nie przekazuje przypadkowo domen wewnętrznych do publicznych programów rozpoznawania nazw.

Egzamin praktyczny DNS:

• Zapora rozpoznaje nazwy zewnętrzne: Rejestracja, porównywanie licencji, aktualizacje i połączenie centralne.
• Klient rozpoznaje nazwy zewnętrzne: DHCP, DNS serwer i reguła zapory są zgodne.
• Klient rozpoznaje nazwy wewnętrzne: Działa wewnętrzna trasa żądania DNS lub DNS.
• Klient VPN lub VLAN rozpoznaje nazwy wewnętrzne: Serwer DNS, domena wyszukiwania i reguła strefy pasują także poza pierwszą siecią LAN.

DHCP konfiguruje się w Network > DHCP osobno dla każdego interfejsu. Artykuł Konfiguracja Sophos Firewall jako serwera DHCP pokazuje, jak prawidłowo zaplanować i przetestować pulę adresów, bramę, DNS, czas dzierżawy oraz przypisania statyczne.

Jeśli DHCP ma być przekazywane trasami VPN, zapora sieciowa może również działać jako przekaźnik DHCP. Dla opcji specjalnych DHCP dostępna jest opcja Sophos Firewall DHCP Konfiguracja opcji.

Sprawdź początkową zaporę sieciową i reguły NAT

Domyślnej reguły ruchu wychodzącego utworzonej przez kreatora nie należy przyjmować na ślepo. W Rules and policies > Firewall rules powinieneś sprawdzić, które strefy źródłowe są dozwolone, które miejsca docelowe powinny być dostępne i które zabezpieczenia są aktywne. Reguły są przetwarzane od góry do dołu; wygrywa pierwsza pasująca reguła.

Podczas uruchamiania powinna istnieć co najmniej jedna celowo nazwana reguła klient-internet. Ta reguła nie powinna po prostu zezwalać Any na Any, ale powinna wyraźnie pokazywać strefę źródłową, sieć źródłową, miejsca docelowe, usługi, rejestrowanie i funkcje bezpieczeństwa. Jeżeli reguła zostanie później rozszerzona, powinno pozostać jasne, czy jest ona przeznaczona dla zwykłych klientów, serwerów, gości, Internetu Rzeczy czy urządzeń zarządzających.

Pierwsza kontrola reguły może wyglądać następująco:

1. Podłącz klienta testowego w wyznaczonej strefie.
2. Sprawdź adres IP, bramę i DNS na kliencie.
3. Wygeneruj zewnętrzne wywołanie HTTPS.
4. Wyszukaj źródłowy adres IP, miejsce docelowe, usługę i Rule ID w przeglądarce logów.
5. Sprawdź, czy została spełniona oczekiwana reguła zapory sieciowej i reguła NAT.
6. Wykonywanie celowo niedozwolonego testu, na przykład ze strefy gościa lub strefy zarządzania.
7. Dokument, która reguła pozostaje produktywna, a który kreator lub reguła testowa została usunięta.

Poniższe dotyczy NAT: NAT samo w sobie nie zezwala na ruch. Zawsze wymagana jest odpowiednia reguła zapory sieciowej. W przypadku zwykłych klientów w Internecie zwykle istotna jest reguła źródłowa NAT z MASQ. Do opublikowanych serwerów potrzebne są jednak DNAT oraz odpowiednie reguły firewalla, logowanie i zewnętrzny test spoza własnej sieci LAN. W przypadku nowych konfiguracji niezależne reguły NAT są zwykle bardziej przejrzyste niż połączone reguły NAT. Podstawy są w Sophos Firewall poprawnie zrozumieć i skonfigurować reguły i NAT na Sophos Firewall zrozumieć: SNAT, DNAT, MASQ, PAT. Jeśli ma zostać opublikowany serwer wewnętrzny, pasuje artykuł Publikuj serwer przez DNAT do Sophos Firewall.

Świadomie aktywuj funkcje ochronne

Reguła zapory nie jest automatycznie regułą pełnej ochrony. W zależności od licencji i celu IPS, ochrona sieci, Application Control, skanowanie złośliwego oprogramowania, TLS Inspection, Zero-Day Protection lub źródła zagrożeń powinny być świadomie aktywowane, testowane i dokumentowane.

Porządek praktyczny:

1. Utwórz czyste strefy i reguły.
2. Włącz rejestrowanie ważnych reguł.
3. IPS i aktywuj ochronę sieciową tam, gdzie pasuje.
4. Dodaj Application Control dla ryzykownych lub niechcianych aplikacji.
5. TLS Inspection wprowadza tylko zaplanowane, z grupą testową, dystrybucją CA i wyjątkami.
6. Aktywuj źródła zagrożeń, raport NDR lub aktywną reakcję na zagrożenia dopiero po wyjaśnieniu monitorowania i procesu fałszywie pozytywnego.

W szerszym kontekście wzmacniania, pasuje Sophos Firewall Najlepsze praktyki: sieć, reguły i bezpieczeństwo. Dla Zero-Day Protection jest Sophos Firewall zrozumienie i obsługa Zero-Day Protection, dla TLS Inspection Sophos Firewall wprowadzenie TLS Inspection.

Przygotuj rejestrowanie i rozwiązywanie problemów

Log firewall traffic powinien być aktywowany w ważnych regułach zapory sieciowej, w przeciwnym razie często brakuje później dokładnych informacji potrzebnych do rozwiązywania problemów. Wiele osób nie jest tego świadomych: jeśli reguła zapory nie jest rejestrowana, odpowiedni ruch w Log Viewer nie wydaje się znaczący. Możesz wtedy zobaczyć inne zdarzenia systemowe, ale nie konkretną decyzję dotyczącą reguły, której faktycznie szukasz.

W System services > Log settings możesz zdefiniować, które typy dzienników będą wysyłane lokalnie, do serwera Syslog lub do Sophos Fusion. Zapora sieciowa posiada lokalne pliki dziennika i wewnętrzną bazę danych raportów, ale nie są one przeznaczone do długoterminowego archiwum na tygodnie, miesiące czy lata. Jeśli logi mają być przechowywane na stałe lub przeszukiwane centralnie, wymagany jest zewnętrzny serwer Syslog lub raportowanie zapory Sophos Fusion.

Poniższe informacje dotyczą w przybliżeniu Sophos Fusion: W przypadku aktywnej subskrypcji zapory ogniowej raporty Centralnej zapory są dostępne przez ograniczony czas. Dłuższe oceny są możliwe dzięki Xstream Protection lub Central Orchestration. Dzięki Central Firewall Reporting Advanced zyskujesz dodatkową przestrzeń dyskową i znacznie dłuższe przechowywanie. Szczegóły opisano w Włącz raportowanie centralnej zapory sieciowej.

Do wstępnych analiz zwykle wystarczą Log Viewer, Policy tester i Packet capture. Do głębszej analizy można dodatkowo zabezpieczyć logi CLI, aktywować debug logs albo użyć tcpdump. Debug logs należy włączać tylko celowo i na ograniczony czas, ponieważ generują znacznie więcej danych. Sposób testowania reguł opisuje testowanie reguł firewall za pomocą Log Viewer, Policy Test i Packet Capture. Dla Packet Capture, nazw usług i plików logów dostępne są artykuły narzędzie Packet Capture w WebAdmin oraz Sophos Firewall Troubleshooting: Services i logi. Jeśli logi mają zostać zebrane dla supportu lub zewnętrznej analizy, pomaga zabezpieczanie logów Sophos Firewall do analizy zewnętrznej.

Test akceptacyjny przed ruchem produktywnym

Przed uruchomieniem produkcyjnym nie wystarczy sprawdzić, czy „Internet działa”. Krótki, udokumentowany test akceptacyjny zapobiega wielu późniejszym zgłoszeniom.

Jeśli to możliwe, najpierw sprawdź reguły offline w sieci testowej. Inna bezpieczna metoda etapowa polega na tymczasowym użyciu innego adresu bramy w rzeczywistej sieci i skierowaniu do firewalla tylko wybranych klientów testowych. Adres bramy lub okablowanie zmień w zaplanowanym oknie serwisowym dopiero po potwierdzeniu ruchu w obu kierunkach. Jeśli test się nie powiedzie, skieruj klientów ponownie do dotychczasowej bramy; środowisko produkcyjne pozostanie bez zmian.

Przydatne testy:

• Logowanie administratora z sieci zarządzającej: WebAdmin jest osiągalne, ale nie jest otwarte z niepożądanych stref.
• Logowanie administratora z klienta, gościa lub strefy WAN: Dostęp jest blokowany, jeśli nie jest tam zapewniona sieć świadomego zarządzania.
• Dostęp drugiego administratora lub dostęp do Break Glass: Dostęp pozostaje możliwy w przypadku niepowodzenia MFA, SSO lub konta użytkownika.
• Klient z LAN do Internetu: Reguły zapory sieciowej, NAT, DNS i zasady bezpieczeństwa obowiązują zgodnie z oczekiwaniami.
• Wewnętrzna nazwa DNS: działają DNS Request Routes lub wewnętrzne resolvery.
• Zablokowany ruch testowy: Log Viewer pokazuje pasującą regułę lub oczekiwaną Drop.
• Pobieranie i przechowywanie kopii zapasowych: Kopia zapasowa jest nie tylko tworzona, ale także możliwa do wykrycia.
• Centrum lub miejsce docelowe Syslog: Dzienniki i raporty docierają poza zaporę sieciową, jeśli jest to zaplanowane.

Test powinien być krótko udokumentowany: data, wersja oprogramowania sprzętowego, lokalizacja, testowany źródłowy adres IP, cel, oczekiwany wynik i nierozwiązane problemy. Wydaje się to mało spektakularne, ale pozwala zaoszczędzić czas, gdy VPN, reguła NAT lub problem DNS wymagają zbadania kilka dni później.

Lista kontrolna po wstępnej konfiguracji

Sprawdź natychmiast

• Hasło administratora i Secure Storage Master Key są bezpiecznie przechowywane.
• Zapora została zarejestrowana i sprawdzono stan licencji.
• Sprawdzono status oprogramowania sprzętowego i aktualizacje wzorców.
• Utworzono ręczną kopię zapasową i zapisano ją zewnętrznie.
• WebAdmin i SSH można osiągnąć tylko z wybranych sieci.
• WebAdmin i SSH z niepożądanych stref aktywnie uzyskały wynik negatywny.
• Przetestowano drugi dostęp administratora i koncepcję rozbicia szyby.
• WAN, DNS i sprawdzona strefa czasowa.
• Celowo oceniono domyślną regułę zapory sieciowej.

Sprawdź w ciągu pierwszych kilku dni

• Strefy, sieci VLAN, mosty i grupy LAG zostały prawidłowo zaplanowane.
• DNS trasy żądań i kontrolowane obszary DHCP.
• Udokumentowano reguły zapory sieciowej i reguły NAT.
• Włączono ważne reguły logowania.
• Skonfigurowano proces tworzenia kopii zapasowej centralnej lub lokalnej.
• Zdecydowano o Central Reporting, Syslog lub innym miejscu docelowym dziennika.
• Pierwsze reguły sprawdzone za pomocą Log Viewer, Testu zasad i Packet Capture.

Sprawdź przed produktywną pracą lub uruchomieniem

• Utrudniony dostęp do zarządzania.
• Sprawdzono MFA i role administratora.
• IPS, Ochrona sieci, Application Control i inne funkcje zabezpieczające zostały celowo aktywowane.
• TLS Inspection zaplanowano tylko z procesem testowym i wyjątkiem.
• Dostęp zdalny, IPsec, WAF, RED lub SD-WAN testowane oddzielnie, jeśli są używane.
• Udokumentowano ścieżkę przywracania i wsparcia.

Typowe błędy

• Konfiguracja kreatora jest wykorzystywana bezpośrednio i produktywnie: Reguły, które są zbyt szerokie, nieprawidłowe strefy lub otwarte usługi zarządzania pozostają. Po uruchomieniu kreatora należy wypełnić własną operacyjną listę kontrolną.
• Secure Storage Master Key nieudokumentowane: Przywracanie lub migracja stają się niepotrzebnie trudne. SSMK należy natychmiast zapisać w menedżerze haseł.
• WebAdmin dostępny z WAN lub sieci klienckich: Boty, brutalna siła i niepotrzebne powierzchnie ataku stają się bardziej prawdopodobne. Device Access i usługa lokalna ACL Exception Rules powinny być ustawione blisko siebie.
• MFA bez aktywowanej funkcji awaryjnej: Administratorzy mogą się zablokować, jeśli występują problemy z tokenem, czasem lub grupą. Wcześniej przetestuj drugiego administratora, rozbij szybę i przeprowadź proces tokena.
• Zapomniane zasady logowania: Późniejsze rozwiązywanie problemów będzie niewidoczne. Log firewall traffic powinien być aktywny dla ważnych reguł.
• DNS rozwiązany tylko za pomocą publicznego mechanizmu rozpoznawania nazw: Nazwy wewnętrzne nie działają niezawodnie. Zaplanuj wewnętrzne serwery DNS i trasy żądań DNS.
• Oczekiwano NAT bez odpowiedniej reguły zapory sieciowej: Nie można uzyskać dostępu do serwerów lub usług pomimo NAT. Zawsze sprawdzaj jednocześnie NAT i regułę zapory sieciowej.
• Aktualizacja oprogramowania sprzętowego zainstalowana bez kopii zapasowej: Brakuje możliwości powrotu w przypadku problemów. Przed aktualizacjami sprawdź kopie zapasowe, informacje o wydaniu i okna konserwacji.

Często zadawane pytania