Skonfiguruj poprawnie Sophos Firewall po zakończeniu kreatora instalacji

Po zakończeniu kreatora konfiguracji Sophos Firewall jest dostępny i zasadniczo gotowy do pracy; rejestracja jest zakończona albo świadomie odroczona na sprzęcie, który na to pozwala. Nie oznacza to jednak, że zapora jest już bezpiecznie skonfigurowana do eksploatacji. Kreator zapewnia konfigurację początkową, a nie gotową architekturę środowiska produkcyjnego.

Artykuł zbiera kontrole wymagane po konfiguracji początkowej: dostęp do Internetu, rejestrację, licencje, firmware, kopie zapasowe, strefy, Device Access, DNS, DHCP, reguły firewalla i NAT, logowanie oraz pierwsze działania zabezpieczające. Opiera się na SFOS 22 i stanowi praktyczną listę dla nowych urządzeń XGS Appliance, firewalli wirtualnych oraz niewielkich migracji. Nazwy pól odpowiadają angielskiej wersji interfejsu Sophos; poszczególne strony i opcje mogą zależeć od platformy, modelu oraz konfiguracji online lub offline.

W przypadku migracji z XG na urządzenie XGS Appliance, ze sprzętu na platformę wirtualną albo przywracania na urządzenie zastępcze należy dodatkowo sprawdzić tworzenie lub przywracanie kopii zapasowej Sophos Firewall oraz Sophos XG vs. XGS: różnice, EOL i migracja.

Dla kontekstu: Reguły i polityki zapory sieciowej sterują ruchem internetowym i sieciowym. Inspekcja SSL/TLS może przechwytywać i odszyfrowywać połączenia SSL i TLS realizowane przez TCP. IPS wykorzystuje reguły, które pomagają zapobiegać atakom sieciowym. Web Protection umożliwia określanie ograniczeń przeglądania stron na podstawie kategorii, grup adresów URL i typów plików. Dostępność danej funkcji i sposób jej działania zależą od licencji i konfiguracji. Pożądany efekt ochrony należy zweryfikować za pomocą odpowiednich testów; pomyślna konfiguracja podstawowa nie gwarantuje kompleksowej ochrony.

Szybka ścieżka po pierwszym logowaniu

Bezpośrednio po zakończeniu kreatora nie wszystkie szczegóły są równie pilne. W pierwszych 30 minutach najważniejsze jest zachowanie dostępu, zabezpieczenie bieżącego stanu konfiguracji i rozpoznanie największych ryzyk operacyjnych.

Ta kolejność ma sens w przypadku większości nowych instalacji:

1. Zabezpieczyć dostęp administratora: Bezpiecznie udokumentować hasło, Secure Storage Master Key oraz drugi dostęp administratora lub dostęp Break-Glass.
2. Sprawdź licencję i rejestrację: Sprawdź w Administration > Licensing, czy model, numer seryjny, licencja podstawowa i subskrypcje są prawidłowe.
3. Utwórz kopię zapasową: Pobierz ręczną kopię zapasową i przechowuj ją zewnętrznie przed wprowadzeniem dalszych zmian.
4. Sprawdź firmware i sygnatury: Sprawdź stan oprogramowania sprzętowego, poprawki i aktualizacje sygnatur, ale instaluj aktualizacje tylko z oknem konserwacji i planem wycofywania.
5. Ogranicz Device Access: Nie zezwalaj na szeroki dostęp do WebAdmin i SSH ze stref klientów, gości, IoT lub WAN.
6. Sprawdź strefy i interfejsy pod kątem wiarygodności: Sprawdź WAN, LAN, sieci VLAN, mosty, sieć zarządzania i późniejsze strefy bezpieczeństwa pod kątem planu sieci.
7. Oceń reguły domyślne: Nie przyjmuj początkowych reguł zapory sieciowej i reguł NAT jako gotowego projektu zabezpieczeń.
8. Aktywuj rejestrowanie: Włącz Log firewall traffic dla ważnych reguł, aby późniejsze testy można było prześledzić w Log viewer.
9. Zaplanuj test akceptacyjny: Dopuść ruch produkcyjny dopiero po wykonaniu krótkiego planu testów, a nie bezpośrednio po zakończeniu kreatora.

Dopiero po sprawdzeniu tych punktów i usunięciu wykrytych problemów należy przygotować obsługę ruchu produkcyjnego, dostęp zdalny, WAF, SD-WAN, RED lub TLS Inspection. W przeciwnym razie późniejsze rozwiązywanie problemów będzie niepotrzebnie trudne, ponieważ nie będzie jasne, czy ich przyczyną jest konfiguracja podstawowa, funkcja zabezpieczeń czy aplikacja.

Skonfiguruj ścieżki według sytuacji

Po kreatorze praca szybko dzieli się na kilka obszarów. Te punkty wejścia mają sens w przypadku nowych zapór sieciowych:

• Połączenie z Central: Jeśli chcesz połączyć zaporę z Sophos Fusion (dawniej Sophos Central) lub poznać ograniczenia Central, skorzystaj z artykułu Połączenie Sophos Firewall z Sophos Fusion.
• Stan licencji: Licencję podstawową, wsparcie i subskrypcje omawia artykuł Licencja podstawowa Sophos Firewall — co obejmuje.
• Kopia zapasowa i przywracanie: Przed pierwszą zmianą przygotuj procedurę opisaną w artykule Tworzenie lub przywracanie kopii zapasowej Sophos Firewall.
• Dostęp do zarządzania: Zabezpieczenie dostępu do WebAdmin, SSH, User Portal lub VPN Portal opisuje artykuł Zabezpieczanie dostępu do Sophos Firewall: prawidłowa konfiguracja Device Access.
• Projekt sieci: Przy planowaniu stref, interfejsów, sieci VLAN i mostów lepszym punktem wyjścia jest artykuł Konfiguracja stref i interfejsów Sophos Firewall.
• Pierwsze reguły: Podstawy reguł firewalla i NAT wyjaśnia artykuł Reguły Sophos Firewall: działanie i prawidłowa konfiguracja.
• DNS i DHCP: Prawidłowe rozwiązywanie nazw wewnętrznych pomaga przygotować artykuł Konfiguracja DNS Request Routes na Sophos Firewall.
• Raportowanie: Logi, raporty i ich dłuższe przechowywanie omawia artykuł Włączanie Central Firewall Reporting.
• Health Check: Artykuł Prawidłowe korzystanie z Sophos Firewall Health Check pomaga ustalić priorytety ustaleń dotyczących bezpieczeństwa w SFOS 22.
• Planowanie aktualizacji: Przed aktualizacją firmware lub przejściem na SFOS 22 skorzystaj z artykułu Sprawdzenie Sophos Firewall przed aktualizacją do SFOS 22.

To rozdzielenie jest ważne, ponieważ pomyślny kreator nie oznacza gotowej architektury bezpieczeństwa. Przed ruchem produkcyjnym należy dokładnie sprawdzić dostęp do zarządzania, kopię zapasową, licencję, strefy, reguły, funkcje rejestrowania i ochrony.

Przygotuj przed konfiguracją

Przed uruchomieniem kreatora dostęp, połączenie WAN, sieć zarządzania i kontekst licencji powinny być jasne. Zapobiega to improwizowaniu podczas konfiguracji i konieczności późniejszego poprawiania niejasnych podstawowych założeń.

Wymagania instalacyjne

Przed konfiguracją powinno być jasne, w jaki sposób zapora zostanie zintegrowana z siecią. Wiele późniejszych problemów pojawia się nie w samym kreatorze, ale w wyniku improwizacji WAN, LAN, DNS, dostępu do zarządzania lub danych licencyjnych.

Przygotuj się przed rozpoczęciem:

• Model zapory, numer seryjny i planowana lokalizacja.
• Dane dostępowe WAN lub informacje od dostawcy, na przykład DHCP, statyczny adres IP, PPPoE, VLAN lub router nadrzędny.
• Wewnętrzna sieć docelowa dla pierwszego LAN lub dostępu zarządzającego.
• Serwery DNS, które będą działać podczas konfiguracji.
• Konto Sophos Fusion z pełną licencją lub licencją próbną oraz zapora z Base License; do połączenia z Central urządzenia już skonfigurowanego i przypisanego do konta ewentualnie osoba, która może wygenerować OTP.
• Zaplanowane hasło administratora i lokalizacja w menedżerze haseł.
• Zaplanowany Secure Storage Master Key (SSMK) i chronione miejsce przechowywania w menedżerze haseł lub w ramach przewidzianej procedury odzyskiwania; oba elementy ustal przed rozpoczęciem konfiguracji.
• Decyzja, czy skonfigurować zaporę bezpośrednio, czy przywrócić ją za pomocą kopii zapasowej.

Przygotuj własną Sophos ID do logowania. Jeśli nie masz jeszcze osobistej Sophos ID, możesz ją utworzyć podczas konfiguracji. Nie zastępuje to zaproszenia ani uprawnień na docelowym koncie Sophos Fusion, wyboru właściwego tenanta, przypisania zapory do konta (claim) ani wymaganych do tego licencji. Przygotowanie konta opisuje artykuł Zarządzanie Sophos ID i dostępem do konta.

Zapora wymaga działającego połączenia internetowego do rejestracji, porównywania licencji, aktualizacji sygnatur i połączenia centralnego. Jeśli urządzenie nadrzędne filtruje ruch wychodzący, musi działać przynajmniej niezbędny dostęp HTTPS. W przypadku bardziej złożonych konfiguracji dostawców dostęp WAN należy najpierw zaplanować świadomie, a nie zgadywać podczas działania kreatora.

Połączenia i konfiguracja sieci

Nazwy portów i domyślne mapowanie różnią się w zależności od modelu. Wiele urządzeń sprzętowych umożliwia początkowy dostęp LAN poprzez standardowy adres, podczas gdy większe modele mogą również mieć dedykowany port zarządzania.

W opisanej fabrycznej konfiguracji sprzętowej Port B jest portem WAN i uzyskuje adres przez DHCP. To wartość początkowa, a nie wymóg dla każdej platformy lub każdego operatora: Przy adresacji statycznej, PPPoE lub sieciach VLAN operatora dostosować konfigurację WAN do planu połączenia.

Przed pierwszym dostępem przez LAN z udokumentowaną konfiguracją fabryczną przypisać komputerowi administratora wolny adres IPv4 w sieci 172.16.16.0/24, na przykład 172.16.16.2 z maską podsieci 255.255.255.0. Podłączyć komputer bezpośrednio lub przez kontrolowaną sieć konfiguracyjną do przewidzianego portu LAN; w opisanym przykładzie sprzętowym jest to Port A. Dopiero potem otworzyć https://172.16.16.16:4444. Nazwy portów i ich przypisanie fabryczne muszą odpowiadać modelowi lub platformie; te instrukcje LAN nie zastępują odrębnego dostępu MGMT.

Typowe początkowe dostępy:

• LAN port z https://172.16.16.16:4444: Wstępna konfiguracja poprzez lokalną sieć konfiguracyjną.
• Port MGMT z https://10.0.1.1:4444: dedykowanym dostępem do zarządzania w modelach z portem MGMT.
• Konsola szeregowa lub dostęp lokalny: Scenariusze awaryjne lub ponowna instalacja obrazu systemu.

Klient konfiguracji początkowej powinien być podłączony bezpośrednio lub poprzez kontrolowaną sieć konfiguracyjną. Stare serwery DHCP, nieprawidłowe sieci VLAN lub port przełącznika z nieoczekiwaną konfiguracją mogą niepotrzebnie utrudnić początkową konfigurację.

W przypadku modeli z dedykowanym portem zarządzania ta sieć powinna być naprawdę zarezerwowana dla administratorów. Użytkownicy nieadministracyjni, zwykli klienci lub urządzenia gościnne nie należą do tej samej podsieci portu zarządzania. W przeciwnym razie praktyczny dostęp początkowy szybko stanie się niepotrzebnym obszarem zarządzania.

Konfiguracja dedykowanego portu zarządzania

Opcjonalnie adres IP portu zarządzania można zmienić już w Setup Assistant. Następnie zakończ konfigurację i ponownie otwórz WebAdmin przez faktycznie przypisany tam adres, używając HTTPS i skonfigurowanego portu konsoli; przy niezmienionym porcie domyślnym będzie to na przykład https://10.0.1.1:4444, o ile ten adres został zachowany. Po zmianie adresu komputer administratora musi również znajdować się w odpowiedniej podsieci lub mieć dozwoloną trasę do nowej sieci zarządzania. Nie zmienia to możliwości późniejszej edycji w Network > Interfaces ani opisanego poniżej rozróżnienia dotyczącego HA.

Urządzenia 1U i większe mają co najmniej jeden dedykowany port zarządzania. Jest widoczny jako PortMGMT pod Network > Interfaces, domyślnie należy do strefy LAN i początkowo używa 10.0.1.1. Na czas instalacji przypisać bezpośrednio podłączonemu komputerowi administracyjnemu wolny adres w tej samej podsieci, na przykład 10.0.1.2/24. Po instalacji zmienić PortMGMT na adres z planowanego VLAN zarządzania. Jeśli dostęp ma odbywać się przez VPN, pod Administration > Device access zezwolić dla strefy VPN tylko na wymagane HTTPS i ewentualnie SSH.

Uwaga dotycząca HA: Oficjalne instrukcje dotyczące HA i portu zarządzania zawierają sprzeczne informacje o adresacji IP. Jednakowe adresy IP PortMGMT oraz dodatkowy Peer administration IP nie stanowią potwierdzonego ogólnego rozwiązania tej sprzeczności. Przed Initiate HA lub zmianą adresów zarządzania wyjaśnij wymagania HA dotyczące ról i adresacji zarządzania dla zainstalowanego buildu; przy niewyjaśnionym zachowaniu zatrzymaj działania i zachowaj niezależny dostęp administracyjny.

Dostęp do interfejsu WebAdmin

Aby skonfigurować, uzyskaj dostęp do konsoli WebAdmin za pośrednictwem przeglądarki internetowej. W zależności od interfejsu używany jest jeden z poniższych adresów:

• LAN port: https://172.16.16.16:4444
• Port zarządzania: https://10.0.1.1:4444

Zapora używa lokalnie podpisanego certyfikatu przy pierwszym dostępie. Ostrzeżenie przeglądarki jest w tym momencie normalne, ale nie należy go później ignorować. Należy zaplanować odpowiedni certyfikat dla produkcyjnego dostępu WebAdmin, szczególnie jeśli z dostępu korzysta wielu administratorów, używane jest Central Management lub nazwa FQDN do zarządzania.

Tak długo jak domyślny użytkownik admin jest nadal używany z domyślnym hasłem, obowiązują dodatkowe ograniczenia. SSH ze strefy WAN nie jest normalnie odrzucany, ale zapora sieciowa cicho zamyka połączenie. WebAdmin ze strefy WAN wyświetla komunikat Forbidden. SCP nie może być używane z domyślnymi danymi dostępowymi w strefach LAN i WAN. Stan ten należy rozumieć jako fazę instalacji, a nie model działania.

Tylko przy niezmienionej konfiguracji fabrycznej nazwa użytkownika to admin, a hasło to admin. Pierwsze logowanie wykonaj wyłącznie w odizolowanej, kontrolowanej sieci administracyjnej lub konfiguracyjnej i natychmiast zastąp hasło silnym, własnym hasłem. Jeśli urządzenie zostało już skonfigurowane lub hasło zostało zmienione, użyj faktycznie obowiązujących danych logowania. Fabryczne dane logowania nie są przeznaczone do pracy w środowisku produkcyjnym.

Przy kolejnych połączeniach w przeglądarce używaj HTTPS z faktycznie aktualnym wewnętrznym adresem IP lub rozwiązywalną nazwą hosta zapory oraz skonfigurowanym portem konsoli, na przykład https://firewall.example:4444. Zastąp przykładową nazwę hosta i w razie potrzeby port: 4444 jest wartością domyślną, niekoniecznie aktualnie skonfigurowaną. Podane wyżej adresy IP są przykładami ustawień fabrycznych i po zmianie nie pozostają automatycznie aktualne. Ustawienia konsoli zmienia się w Administration > Admin settings. Niezależnie od tego Administration > Device access określa, z których stref lub źródeł dostępne są lokalne usługi; ani uprawnienia konta, ani wylogowanie nie zastępują tych ograniczeń dostępu. Nie zezwalaj na nieograniczony dostęp do WebAdmin ze strefy WAN.

Przeglądarki i język konsoli WebAdmin

Obsługiwane są popularne przeglądarki Chrome, Edge, Firefox i Safari; używaj aktualnej wersji przeglądarki. Język konsoli dotyczy menu, przycisków, komunikatów o błędach, podpowiedzi i innych tekstów wyświetlanych na ekranie. Od SFOS 20.0 MR1 zapora automatycznie rozpoznaje preferowany język przeglądarki. Jeśli nie ma odpowiadającego mu obsługiwanego języka, używany jest angielski. Preferencja językowa jest zapisywana w pamięci podręcznej przeglądarki.

Aby zmienić język, na stronie logowania otwórz listę rozwijaną języków, wybierz żądany język, a następnie zaloguj się. Konsola WebAdmin będzie wtedy używać tego języka. Ścieżki menu i nazwy elementów interfejsu w tym artykule pozostają w języku angielskim, aby zapewnić jednoznaczną orientację; konsola w innym języku wyświetla odpowiednio zlokalizowane nazwy.

Uruchom kreatora instalacji

Kreator instalacji konfiguruje podstawową zaporę sieciową. W tej fazie nie chodzi o ostateczny projekt zabezpieczeń, ale raczej o uruchomienie zapory sieciowej, zarejestrowanie jej i zarządzanie nią w kontrolowany sposób.

Konfiguracja wstępna przy użyciu kreatora instalacji

Kreator instalacji zbiera podstawowe dane i przygotowuje firewall do uruchomienia. Poniższa lista przedstawia decyzje, a nie identyczną dla każdej platformy kolejność ekranów:

1. Zaakceptuj Warunki użytkowania użytkownika końcowego Sophos.
2. Rozpocznij instalację.
3. Zastąp domyślne hasło administratora silnym, złożonym hasłem i przechowuj je bezpiecznie.
4. Ustaw nazwę zapory sieciowej i strefę czasową.
5. Porównaj Deployment Mode oraz ustawienia WAN, LAN i DNS z planem sieci.
6. Podaj numer seryjny lub informacje o istniejącej licencji.
7. Uważnie rozważyć opcję automatycznej instalacji firmware. W opisanej poniżej ścieżce przypisywania urządzenia opcja Install the latest firmware automatically during setup (recommended) zostaje odznaczona; aktualizacja firmware jest następnie planowana oddzielnie, z uwzględnieniem okna serwisowego i dostępu lokalnego.
8. Utwórz Secure Storage Master Key i zapisz go w menedżerze haseł.
9. Przeprowadź rejestrację i synchronizację licencji albo, jeśli dana platforma na to pozwala, świadomie je odłóż.

Jeśli podczas konfiguracji w trybie gateway trzeba zmienić ustawienia sieciowe, a kreator udostępnia ten krok, otworzyć Manual configuration, wprowadzić ustawienia odpowiednie dla danej sieci i zastosować je przyciskiem Apply. Potwierdzić okno przyciskiem OK i przejść dalej przez Continue. Nie kopiować wartości przykładowych bez ich sprawdzenia; ta opcjonalna sekwencja nie stanowi uniwersalnej kolejności ekranów dla każdej platformy.

Secure Storage Master Key jest ważny dla ochrony danych i ich przywracania. W przypadku nowych instalacji jest tworzony w Setup Assistant. Przechowuj go w chronionym menedżerze haseł lub zgodnie z przewidzianą procedurą odzyskiwania, a nie w niekontrolowanym lokalnym pliku tekstowym na laptopie administratora. Utracony klucz można technicznie zresetować, ale reset nie odzyskuje poprzedniego klucza i nie umożliwia odszyfrowania istniejących kopii zapasowych ani danych chronionych tym kluczem.

SFOS 22 stosuje w asystencie zalecane ustawienia domyślne, między innymi dla hotfixów i Device Access. To punkt wyjścia, a nie automatyczna akceptacja: po pierwszym logowaniu sprawdź ustawienia, które rzeczywiście obowiązują. W Administration > Admin and user settings zwróć szczególną uwagę na wylogowywanie nieaktywnych sesji administratorów i ochronę przed próbami logowania brute-force. Nie osłabiaj ogólnie zalecanych zabezpieczeń; przed zmianą zapisz wartości początkowe i przetestuj logowanie z docelowej sieci administracyjnej.

W Sign out administrator session sprawdź czas bezczynności przed wylogowaniem. W Prevent brute force sign-in attacks sprawdź liczbę nieudanych prób logowania z tego samego adresu IP w ustawionym przedziale czasu oraz czas blokady dostępu. Zapisz obowiązujące wartości przed ich zmianą; nie wywołuj celowo blokady w celu przetestowania tych zabezpieczeń.

Dla dostępu SSH administratorów uwierzytelnianie kluczem publicznym jest alternatywą dla hasła; nie zastępuje uwierzytelniania WebAdmin. Przewodnik po dostępie SSH i konfiguracji kluczy publicznych wyjaśnia Administration > Device access > Public key authentication for admin, zarządzanie kluczami i testowanie w drugiej sesji przy zachowaniu otwartej dotychczasowej sesji administracyjnej. Zachowaj działającą alternatywną drogę zarządzania do czasu sprawdzenia nowego logowania SSH.

Wybór Gateway Mode lub Bridge Mode

Wybór trybu w Setup Wizard nie jest zmianą kosmetyczną. W trybie This Firewall (Routed Mode) Sophos Firewall działa jako brama warstwy 3, routuje ruch i może zastąpić dotychczasową bramę. Jest to zwykle czytelniejszy projekt dla nowej instalacji, ale wymaga zaplanowania adresów WAN i LAN, tras, NAT oraz reguł firewalla.

W trybie Internet gateway (Bridge Mode) firewall działa inline jako bridge warstwy 2 przed istniejącym routerem lub za nim. Dotychczasowy schemat adresacji IP może pozostać bez zmian, a ruch przechodzi przez IPS, skanowanie malware i inne funkcje ochronne. Bridge przekazuje także STP, RSTP i multicast routing. Tryb transparentny nie oznacza braku ryzyka: ścieżka przez switche, ochrona przed pętlami, bridge members, strefy i reguły nadal należą do projektu sieci.

⚠️ Po wybraniu Finish asystent stosuje konfigurację i ponownie uruchamia firewall. Uruchomienie asystenta po skonfigurowaniu klastra HA wyłącza HA. Dlatego nie należy ponownie wybierać trybu w wizardzie istniejącego klastra HA. Sophos obsługuje HA na interfejsach bridge dla nowego wdrożenia Bridge Mode wykonanego przez asystenta, ale okablowanie, zmianę ról i ścieżkę danych nadal trzeba przetestować w kontrolowany sposób.

W modelach z wbudowanym modułem radiowym skonfigurować chronioną sieć bezprzewodową i bezprzewodową sieć gościnną zgodnie z planem sieci w odpowiednim kroku konfiguracji w trybie gateway, a następnie wybrać Continue. Te wybory nie zastępują sprawdzenia zamierzonego rozdzielenia sieci gościnnej i LAN.

W modelach XGS 88w, 108w, 118w i 128w wizard nie oferuje opcji Bridge wireless network with LAN. To ograniczenie należy uwzględnić również podczas konfiguracji w trybie gateway; opisana poniżej konfiguracja po instalacji nie jest więc ograniczona do Bridge Mode. Jeżeli LocalWifi0 ma zostać bezpośrednio połączony z LAN przez bridge, konfigurację wykonuje się po instalacji w Wireless > Access points > LocalWifi0 > Bridge to Ethernet, a następnie testuje z klientem bezprzewodowym.

W Gateway Mode wizard może dodatkowo włączyć Enable TAP/Discover Mode dla jednego lub kilku pasywnych portów monitorujących. Nie zmienia to routowanych interfejsów w pasywne: tylko port TAP obserwuje kopię lustrzaną. Konfiguracja Discover Mode z TAP i SPAN opisuje pełny przebieg SPAN, raportowania i HA.

Po restarcie w obu trybach najpierw sprawdza się dostęp administracyjny, stan interfejsów, DNS i znany przepływ testowy. W Gateway Mode dodatkowo kontroluje się default gateway, NAT i Firewall Rule ID. W Bridge Mode sprawdza się oba bridge members, STP/RSTP, router, który nadal pełni swoją rolę, oraz rzeczywistą ścieżkę w obu kierunkach.

Połączenie internetowe i weryfikacja DNS

Kreator sprawdza, czy zapora sieciowa ma dostęp do Internetu. Jeśli sprawdzenie się nie powiedzie, nie powinieneś po prostu wprowadzać „dowolnego DNS”. Lepiej systematycznie zawęzić przyczynę:

• Czy interfejs WAN ma prawidłowy adres IP?
• Czy brama domyślna jest poprawna?
• Czy wymagane są PPPoE, VLAN lub routing statyczny?
• Czy zapora rozwiązuje nazwy DNS?
• Czy wychodzący ruch HTTPS jest blokowany przez urządzenie nadrzędne?
• Czy data, godzina i strefa czasowa są prawidłowe?

W środowiskach produkcyjnych DNS nie powinien przypadkowo wskazywać publicznych resolverów, jeśli potrzebne jest wewnętrzne rozpoznawanie nazw. Po wstępnej konfiguracji zapytania o domeny wewnętrzne powinny być prawidłowo kierowane do wewnętrznych serwerów DNS przez DNS Request Routes na Sophos Firewall.

Rejestracja Sophos Firewall

Rejestracja łączy zaporę sieciową z licencją Sophos i kontekstem centralnym. Możesz to zrobić bezpośrednio w kreatorze lub później w trakcie pracy. W przypadku zapór ogniowych w środowisku produkcyjnym ten krok nie powinien być niepotrzebnie przedłużany, ponieważ od niego zależy status licencji, wsparcie, subskrypcje i funkcje centralne.

Claiming przypisuje numer seryjny do właściwego konta Sophos Fusion. Nie jest to ta sama czynność co późniejsza rejestracja istniejącej zapory w Central Management za pomocą OTP. Poniższa ścieżka konfiguracji online wymaga konta Sophos Fusion z pełną licencją lub licencją próbną oraz zapory z Base License.

Poniższa procedura przypisania zakłada posiadanie numeru seryjnego. Jeśli numer seryjny nie jest jeszcze dostępny, a kreator online oferuje odpowiednią drugą opcję, umożliwia ona uzyskanie tymczasowego numeru seryjnego na 30-dniowy okres próbny. Następnie zalogować się na właściwe konto Sophos Fusion lub utworzyć konto, wybrać opcję licencji dla okresu próbnego i potwierdzić przyciskiem Claim firewall. Numer seryjny zostaje przypisany do zapory; przejść dalej przez Continue. Ten tymczasowy numer seryjny nie jest ani opisaną poniżej ewaluacją poszczególnych modułów ochrony na już zidentyfikowanej zaporze, ani odroczeniem rejestracji sprzętu.

Przypisanie nowej zapory podczas konfiguracji online

1. W kreatorze wyłącz Install the latest firmware automatically during setup (recommended) i kliknij Continue. Dzięki temu aktualizacja pozostaje zaplanowaną czynnością z oknem serwisowym i dostępem lokalnym, zamiast uruchamiać się podczas rejestracji.
2. Ustaw nazwę zapory i strefę czasową. Wybierz I have an existing serial number, wpisz numer seryjny właściwej zapory i kliknij Continue.
3. Na ekranie Claim your firewall with Sophos Central wybierz Claim in Sophos Central. Zaloguj się do właściwego konta Sophos Fusion; angielskie etykiety interfejsu mogą nadal zawierać nazwę Sophos Central.
4. W oknie Claim firewall wpisz numer seryjny i kliknij Validate. Przed przypisaniem sprawdź, czy chodzi o właściwe urządzenie.
5. Świadomie wybierz Just claim the firewall with Base license albo Claim with 30 days Xstream Protection, Web Server Protection and Email Protection evaluation license. Pierwsza opcja przypisuje tylko licencję podstawową, a druga uruchamia także wskazaną 30-dniową wersję próbną. Okres próbny nie jest płatnym pakietem ochronnym i nie zastępuje zaplanowanego odnowienia.
6. Kliknij Claim firewall. Po powrocie do zapory zakończ na ekranie Basic setup is complete przyciskiem Skip to finish albo użyj Continue, aby w kontrolowany sposób skonfigurować ustawienia zaawansowane.
7. Po zakończeniu zaloguj się lokalnie i sprawdź numer seryjny oraz stan licencji w Administration > Licensing. W Sophos Fusion otwórz My Products > Firewall Management > Firewall licenses, znajdź tę samą zaporę i rozwiń strzałkę obok jej nazwy. Konto, numer seryjny i szczegóły licencji muszą odpowiadać skonfigurowanemu urządzeniu.

Dla urządzenia już skonfigurowanego i przypisanego do konta administrator w środowisku partnera lub klienta może zamiast tego wygenerować OTP do połączenia z Central Management. Pozwala to uniknąć udostępniania danych Super Admin, ale nie zastępuje claimingu ani aktywacji licencji. Połączenie Sophos Firewall z Sophos Fusion opisuje procedurę OTP i zarządzania.

Ważne: Sophos Fusion Firewall Management wymaga płatnej subskrypcji wykraczającej poza Base Firewall License lub aktywnej licencji wsparcia uprawniającej do tej funkcji, na przykład Enhanced Support. Sama Base Firewall License nie wystarcza. Ponadto firewall musi mieć dostęp do Internetu przez IPv4 na potrzeby Central Management.

Odroczenie rejestracji: Tylko zapory sprzętowe mogą podczas pierwszej konfiguracji pozostać bez claiming przez maksymalnie 30 dni, na przykład na potrzeby demonstracji lub konfiguracji bez dostępu do Internetu. Opcja nie jest dostępna dla zapór software, wirtualnych, Azure ani AWS BYOL.

• Z dostępem do Internetu: W Register your firewall wybrać I do not want to register now. Kliknąć Continue, następnie Continue w ostrzeżeniu i ukończyć kreator.
• Bez dostępu do Internetu: W Internet Connection wybrać Continue Offline. Kliknąć Continue, następnie Continue w ostrzeżeniu i ukończyć kreator.

Do czasu rejestracji działają wszystkie funkcje lokalne poza Sophos Fusion i Synchronized Security Heartbeat. Po konfiguracji pod Administration > Licensing musi być widoczny komunikat Registration has been currently deferred on this device. W ciągu 30 dni przypisać zaporę w Sophos Fusion i zakończyć rejestrację. Odroczenie nie zapewnia uprawnień do płatnych subskrypcji; rzeczywisty stan licencji sprawdzić osobno.

Aktywacja licencji

Po rejestracji zapora sieciowa sprawdza Twoje licencje na serwerze licencji Sophos. Jeśli zapora sieciowa ma dostęp do Internetu, informacje o licencji są regularnie synchronizowane. Dodatkowo możesz uruchomić porównanie ręcznie w konsoli WebAdmin.

Nowe subskrypcje rozpoczynają się w momencie realizacji zamówienia, a nie zastosowania klucza licencyjnego. Klucz trzeba jednak zastosować, aby przypisać licencję do tej zapory. Późniejsze zastosowanie nie przesuwa daty rozpoczęcia ani wygaśnięcia.

Aktywacja płatnej subskrypcji na zaporze

W Administration > Licensing kliknij Activate subscription, wpisz klucz licencyjny i wybierz Verify key. Porównaj wyświetlone szczegóły subskrypcji z zamówieniem i zaporą; potwierdź przyciskiem Confirm tylko wtedy, gdy przypisanie jest prawidłowe. Nowa subskrypcja musi następnie mieć stan Subscribed w Module subscription details.

Następnie w Sophos Fusion otwórz My Products > Firewall Management > Firewall licenses, znajdź ten sam numer seryjny i rozwiń szczegóły strzałką obok nazwy. Sprawdź, czy lokalnie aktywowana subskrypcja jest widoczna także tam z oczekiwanymi modułami i datami wygaśnięcia. Aktywacja klucza licencyjnego Sophos Firewall opisuje License Schedule, odnowienia i błędy aktywacji.

Uruchomienie wersji próbnej z zapory

W Administration > Licensing, w obszarze Activate evaluations in Sophos Central, kliknij Sign in to Sophos Central. W Activate Evaluations wybierz tylko funkcje przeznaczone do testowania i potwierdź przyciskiem Evaluate selected. Po powrocie do zapory wybrane moduły muszą mieć stan Evaluating w Module subscription details. Udokumentuj datę wygaśnięcia i decyzję o dalszym licencjonowaniu, zanim reguły produkcyjne zaczną zależeć od tych modułów.

Zastosowanie subskrypcji w Sophos Fusion i synchronizacja lokalna

Klucz można również zastosować centralnie:

1. W Sophos Fusion otwórz My Products > Firewall Management > Firewall licenses, znajdź zaporę po numerze seryjnym i rozwiń szczegóły strzałką.
2. Kliknij Apply subscriptions, wpisz Subscription Key i wybierz Preview subscription.
3. Sprawdź szczegóły subskrypcji i przypisanie urządzenia przed potwierdzeniem przyciskiem Apply subscription. Nowe subskrypcje muszą być widoczne w szczegółach zapory w portalu.
4. Na zaporze otwórz Administration > Licensing i kliknij Synchronize. W Module subscription details muszą pojawić się te same subskrypcje z odpowiadającymi im stanami i datami wygaśnięcia.

W ten sposób sprawdzane są oba kierunki: lokalna aktywacja w widoku Central i centralne zastosowanie w lokalnym widoku licencji. Przy rozbieżnościach najpierw sprawdź numer seryjny, konto, WAN, DNS i czas systemowy, zamiast próbować klucza na innych urządzeniach. Odpowiednia licencja nie konfiguruje polityki ochrony; jej działanie trzeba przetestować osobno.

Pod Administration > Licensing powinieneś sprawdzić:

• Czy zarejestrowano właściwy model z prawidłowym numerem seryjnym?
• Czy licencja podstawowa jest aktywna?
• Czy pomoc techniczna, Xstream Protection, Standard Protection lub poszczególne subskrypcje są poprawnie widoczne?
• Czy daty ważności są wiarygodne?
• Czy rzeczywiście zastosowano nowy klucz licencyjny, czy tylko zapisano go w portalu?
• Czy zapora sieciowa po Synchronize wyświetla ten sam stan co Sophos Fusion?

Bez odpowiedniej licencji wiele funkcji ochronnych nie działa lub działa tylko w ograniczonym zakresie. W zależności od funkcji dotyczy to na przykład IPS, ochrony sieci Web, Zero-Day Protection, DNS Protection, centralnej orkiestracji, aktywnego reagowania na zagrożenia lub usług wsparcia. Podstawy wsparcia i modułów można znaleźć w Sophos Firewall Omówienie podstawowej licencji systemu operacyjnego i Jakie pakiety Sophos Firewall są tam dostępne?.

Połączenie z platformą Sophos Fusion

Sophos Fusion nie jest obowiązkowe w przypadku lokalnej obsługi pojedynczego Sophos Firewall. Zaporę można obsługiwać całkowicie poprzez WebAdmin. Sophos Fusion przynosi korzyści, jeśli świadomie korzystasz z tych funkcji:

• centralny przegląd jednego lub więcej firewalli,
• Centralne zarządzanie firewallem bez bezpośredniej publikacji WebAdmin z Internetu,
• Centralne kopie zapasowe,
• Centralne raportowanie zapory sieciowej,
• w zależności od licencji dłuższe przechowywanie logów i dodatkowe funkcje raportowania,
• Security Heartbeat i Synchronized Application Control w środowiskach punktów końcowych Sophos,
• Integracja z innymi procesami Sophos Fusion.

Ważne jest, aby mieć właściwe oczekiwania: Sophos Fusion nie zastępuje lokalnej dokumentacji operacyjnej ani czystego procesu administracyjnego. Każdy, kto aktywuje Centralne Zarządzanie, powinien świadomie zdefiniować role, MFA, dostęp, przechowywanie kopii zapasowych i przechowywanie raportów.

Więcej informacji można znaleźć w artykule Sophos Firewall łączenie się z Sophos Fusion: zalety i ograniczenia.

Kończenie konfiguracji

Jeśli asystent bramy oferuje wybór opcji ochrony sieci, świadomie wybrać opcje odpowiednie dla planowanej sieci i licencji, a następnie przejść dalej za pomocą Continue. Również ten wybór nie zastępuje późniejszego sprawdzenia profili ochrony i ich działania.

W odpowiednim kroku kreatora ustawić odbiorcę wiadomości email z powiadomieniami i kopiami zapasowymi, a następnie przejść dalej przez Continue. Przed Finish porównać podsumowanie konfiguracji z zamierzonymi ustawieniami. Dopiero potem zakończyć: Zapora zastosuje zmiany i uruchomi się ponownie. Ostrzeżenie dotyczące HA i późniejsze kontrole nadal obowiązują.

Po zakończeniu konfiguracji zapora uruchamia się ponownie lub przekierowuje do ekranu logowania. W opisanej powyżej ścieżce przypisywania urządzenia opcja Install the latest firmware automatically during setup (recommended) została odznaczona: ukończenie tej ścieżki nie oznacza zatem, że zainstalowano najnowszy firmware. Po zalogowaniu sprawdzić faktycznie aktywną wersję firmware i oddzielnie zaplanować ewentualną wymaganą aktualizację, uwzględniając kopię zapasową, okno serwisowe i możliwość powrotu do poprzedniego stanu. Jeśli w innej ścieżce konfiguracji wybrano automatyczną aktualizację, a połączenie zostanie podczas niej przerwane, samo to nie stanowi jeszcze dowodu usterki sprzętowej ani udanej aktualizacji. Gdy dostęp lokalny będzie ponownie możliwy, sprawdzić wersję firmware i podstawowy stan działania przed dopuszczeniem ruchu produkcyjnego.

W tej ścieżce automatycznej aktualizacji podczas konfiguracji udokumentowany scenariusz odzyskiwania po utracie połączenia przewiduje ponowne uruchomienie z firmware, z którym dostarczono zaporę. Może to wyjaśniać ponowne pojawienie się pierwotnej wersji. Nie jest to gwarantowany wynik każdego przerwania połączenia ani dla każdej platformy, ani uniwersalna obietnica wycofania zwykłych aktualizacji firmware. Sprawdzić aktywną wersję i podstawowy stan działania przez dostęp lokalny oraz wstrzymać ruch produkcyjny do zakończenia tych kontroli.

Sprawdź natychmiast po pierwszym logowaniu:

• Data, godzina i strefa czasowa.
• Wersja firmware i aktualizacje sygnatur.
• Stan licencji w Administration > Licensing.
• Status WAN i dostęp do Internetu.
• Hasło administratora i Secure Storage Master Key w menedżerze haseł.
• Konfiguracja kopii zapasowej.
• Dostępność konsoli WebAdmin tylko z wybranych sieci.
• Reguły domyślne, NAT i DNS.
• Pierwsze wpisy w Log viewer.

Ogólna orientacja w WebAdmin

Po każdym logowaniu otwiera się Control center z przeglądem stanu systemu i funkcji bezpieczeństwa. Pole wyszukiwania u góry lewego menu przeszukuje pozycje menu, karty i nagłówki sekcji. Wyniki pokazują również odpowiednie ścieżki, dzięki czemu można znaleźć właściwą stronę ustawień bez otwierania każdego menu z osobna.

Nagłówek w SFOS 22: nawigacja i wylogowanie

Poniższe wskazówki dotyczą nagłówka udokumentowanego dla SFOS 22. How-to guides otwiera bibliotekę filmów dotyczących konfiguracji, Log viewer otwiera przeglądarkę logów w osobnym oknie, a Help udostępnia pomoc kontekstową dla bieżącej strony.

Kliknij nazwę zalogowanego użytkownika w prawym górnym rogu, na przykład admin. Menu zawiera Support, które umożliwia otwarcie strony pomocy technicznej i utworzenie zgłoszenia, About product, które otwiera stronę licencji, oraz Console, które otwiera konsolę CLI. W przypadku urządzeń HA wyświetla dodatkowo typ HA, bieżący stan, nazwy węzłów oraz numery seryjne urządzeń Primary i Auxiliary.

Po zakończeniu pracy otwórz menu użytkownika w prawym górnym rogu i wybierz Logout, aby nie pozostawić aktywnej sesji. Reboot device ponownie uruchamia zaporę, a Shutdown device ją wyłącza: obie czynności przerywają działanie i służą wyłącznie do zaplanowanych prac serwisowych, a nie do wylogowania. Odmienne nazwy dotyczące wyraźnie udokumentowanego nagłówka SFOS 23 opisano w następnej sekcji; nie dowodzą one, że starsze ścieżki menu zostały powszechnie usunięte.

Nagłówek SFOS 23: orientacja po zalogowaniu

Poniższe wskazówki dotyczą wyłącznie nagłówka WebAdmin udokumentowanego dla SFOS 23; opisana wyżej procedura konfiguracji SFOS 22 pozostaje podstawą.

• Logo Sophos prowadzi z powrotem do Control center. Nagłówek pokazuje model i numer seryjny. Account icon pozwala sprawdzić rolę użytkownika, nazwę urządzenia, numer seryjny oraz wersję i build firmware przed rozpoczęciem pracy.
• W menu konta Command line otwiera konsolę CLI, a Licenses widok licencji. Aby się wylogować, wybierz Account icon > Sign out. Restart uruchamia urządzenie ponownie, a Shutdown je wyłącza. Obie czynności przerywają działanie i nie zastępują wylogowania: nie wybieraj ich podczas poznawania interfejsu, lecz wykonuj wyłącznie jako zaplanowane czynności serwisowe.
• Menu ze znakiem zapytania udostępnia Help, Videos i Support. Ikona przesyłania opinii otwiera okno na komentarze.
• Przy skonfigurowanym HA osobna HA icon otwiera status klastra oraz nazwy i numery seryjne urządzeń Primary i Auxiliary. Nie jest to ikona HA w Sophos Fusion. Konfigurację i eksploatację opisuje artykuł Klastry HA i warianty.
• Logs and policy test łączy dostęp do logów z kartą Policy test. Obsługę logów nadal opisuje przewodnik po Log Viewer; prawidłowe testowanie reguł firewalla wyjaśnia dostęp do testu zależnie od wersji.

Nie uogólniaj nazw: Wcześniejsza sekcja o wylogowaniu w dokumentacji SFOS 23 nadal używa Logout, natomiast sekcja o nagłówku używa Sign out. Niezmieniona strona Manage podaje również admin > Console zamiast Account icon > Command line. Te fragmenty nie są ze sobą spójne; nowe nazwy tutaj dotyczą wyłącznie nagłówka SFOS 23, który został wyraźnie udokumentowany. Nie dowodzą, że wcześniejsze ścieżki SFOS 22 zostały wszędzie usunięte.

Przygotuj się do produkcji po użyciu Kreatora instalacji

Po uruchomieniu kreatora rozpoczyna się prawdziwa praca: zapora sieciowa musi zostać wzmocniona, zintegrowana z architekturą sieci, udokumentowana i przygotowana do rozwiązywania problemów. Kroki te mają większy wpływ na późniejszą obsługę niż sam kreator.

Dlaczego Kreator instalacji nie wystarczy

W ramach prac po konfiguracji sprawdza się interfejsy i strefy, Device Access, DNS, DHCP, reguły, NAT, logi i kopie zapasowe. Profile ochrony, takie jak filtrowanie stron, IPS, Application Control i TLS Inspection, są włączane i testowane odpowiednio do architektury. Kolejne sekcje prowadzą przez te kontrole.

Najpierw warto rzucić okiem na Control Center. Można tam zobaczyć stan systemu, ruch, informacje o użytkownikach i urządzeniach, aktywne reguły zapory sieciowej, raporty i informacje, takie jak nowe oprogramowanie sprzętowe lub wyniki kontroli stanu. Ostrzeżeń i uwag w tym obszarze nie należy po prostu ignorować, lecz należy je raczej wykorzystać jako praktyczną listę kontrolną do dalszych prac.

Sprawdź oprogramowanie sprzętowe, licencję i kopię zapasową

W Backup & firmware sprawdzasz, czy aktywne oprogramowanie sprzętowe jest aktualne. Aktualizacje oprogramowania sprzętowego są istotne z punktu widzenia bezpieczeństwa, ponieważ obejmują poprawki błędów, ulepszenia stabilności i poprawki zabezpieczeń. Aktualizacji nie należy odkładać na stałe, ale nie należy ich też instalować bez przygotowania.

Sophos Firewall korzysta z dwóch slotów firmware. Oznacza to, że w przypadku problemów można przywrócić poprzednie oprogramowanie sprzętowe. Niemniej jednak przed wprowadzeniem jakichkolwiek większych zmian należy utworzyć ręczną kopię zapasową. W przypadku zapór ogniowych w środowisku produkcyjnym planujesz okno konserwacji, sprawdzasz informacje o wersji, status HA, wolne miejsce na dysku, zależności VPN i dostępność zewnętrzną.

Regularną kopię zapasową należy także skonfigurować w obszarze Backup & firmware. W przypadku zaszyfrowanych kopii zapasowych wymagane jest hasło kopii zapasowej. Secure Storage Master Key jest również odpowiedni do przywracania wrażliwych danych. Ten klucz zdecydowanie należy do menedżera haseł. Jeśli zostanie utracony, możesz go zresetować za pomocą konsoli, ale istniejących chronionych kopii zapasowych nie można już normalnie przywrócić.

Następnie sprawdź w Administration > Licensing, czy rejestracja, licencja podstawowa i zakupione subskrypcje są wyświetlane poprawnie. W temacie aktualizacji pomocne będą artykuły Sophos Firewall Aktualizacja oprogramowania sprzętowego: przygotowanie i najlepsze praktyki i Aktualizacja oprogramowania sprzętowego w Sophos Firewall. Kopie zapasowe wyjaśniono bardziej szczegółowo w artykule Sophos Firewall Tworzenie lub przywracanie kopii zapasowej.

Przejrzyście planuj strefy i interfejsy

Kreator może połączyć kilka portów LAN w mostek na urządzeniach sprzętowych. Jest to przydatne do szybkiego startu, ale nie zawsze jest najlepszą architekturą docelową. W Network > Interfaces powinieneś sprawdzić, które porty, sieci VLAN, mosty lub grupy LAG są naprawdę potrzebne.

Każdy interfejs jest przypisany do dokładnie jednej strefy. To przypisanie określa później sposób stosowania reguł zapory sieciowej, Device Access i profili ochrony. Typowe strefy produkcyjne to na przykład LAN, Server, DMZ, Guest, VoIP, Management lub VPN. Nie każdy VLAN koniecznie potrzebuje własnej strefy, ale każda strefa powinna mieć jasne znaczenie związane z bezpieczeństwem.

Więcej na ten temat można dowiedzieć się w artykule Sophos Firewall Planowanie i konfiguracja stref i interfejsów.

Bezpieczne Device Access

Częstym błędem występującym po wstępnej konfiguracji jest zbyt duży dostęp do zarządzania. Dostęp do lokalnych usług zapory sieciowej, takich jak WebAdmin, SSH, User Portal, VPN Portal, DNS lub Ping, nie jest kontrolowany za pomocą normalnych reguł zapory. Administration > Device access jest za to odpowiedzialny.

⚠️ WebAdmin, SSH, User Portal i VPN Portal nigdy nie powinny być dostępne tylko dlatego, że baza reguł zapory wygląda na „czystą”. Usługi te zależą od list ACL Device Access i usług lokalnych. Po każdej zmianie należy aktywnie testować, z jakich stref i sieci źródłowych dostęp jest rzeczywiście możliwy.

W przypadku systemów produkcyjnych dostęp do HTTPS i SSH nie powinien być szeroko dozwolony z niezaufanych stref. Jeśli konieczny jest dostęp zewnętrzny, należy zastosować Local service ACL exception rule i ograniczyć dostęp do stałych adresów IP lub zdefiniowanych sieci zarządzania. Alternatywnie, zarządzanie zaporą sieciową Sophos Fusion jest często czystszym rozwiązaniem.

Więcej informacji można znaleźć w artykule Sophos Firewall Zabezpieczanie dostępu: poprawnie skonfiguruj Device Access.

Ustaw konta administratora, MFA i rezerwę

Po pierwszym logowaniu współdzielony dostęp administratora nie powinien być używany na stałe. Indywidualne konta administratorów, jasne role i udokumentowany dostęp awaryjny lepiej sprawdzają się w codziennej pracy. Dzięki temu można później zobaczyć, kto dokonał zmiany, a pojedyncze złamane hasło nie zapewnia automatycznie pełnego dostępu do zapory.

Ta kolejność ma sens w przypadku nowych zapór sieciowych:

1. Przetestuj co najmniej drugi dostęp administracyjny, zanim MFA zostanie szeroko aktywowany.
2. Traktuj domyślnego użytkownika lokalnego admin jako konto typu break glass i nie używaj go jako użytkownika dziennego.
3. Zaplanuj i włącz MFA dla WebAdmin, VPN Portal i dostępu zdalnego.
4. Dokumentuj role i obowiązki, szczególnie w przypadku korzystania z zarządzania zaporą sieciową Sophos Fusion.
5. Ustaw reset tokena, przechowywanie haseł i dostęp poza godzinami pracy.

MFA zmniejsza ryzyko kradzieży danych uwierzytelniających, ale nie zastępuje ograniczeń dostępu. Dlatego MFA dla Sophos Firewall WebAdmin, VPN Portal i dostęp zdalny i Device Access należą do siebie. Jeśli za pośrednictwem Sophos Fusion pracuje kilka osób, należy również sprawdzić role administracyjne Sophos Fusion.

Sprawdź DNS, DHCP i wewnętrzne rozpoznawanie nazw

Network > DNS określa, w jaki sposób zapora odbiera serwery DNS: poprzez DHCP, poprzez informacje PPPoE od dostawcy lub statycznie. W przypadku domen wewnętrznych należy używać DNS request routes, aby żądania dotyczące stref wewnętrznych trafiały do ​​właściwego wewnętrznego serwera DNS.

W przypadku nowych instalacji DNS należy przetestować z prawdziwymi nazwami wewnętrznymi i zewnętrznymi. Sam test z google.com nie wystarczy, jeśli później używane będą Active Directory, serwery plików, drukarki, systemy zarządzania lub aplikacje wewnętrzne. Szczególnie ważne jest to, czy klienci otrzymują właściwe serwery DNS i czy zapora sieciowa nie przekazuje przypadkowo domen wewnętrznych do publicznych programów rozpoznawania nazw.

Praktyczna kontrola DNS:

• Firewall rozwiązuje nazwy zewnętrzne: Rozwiązywanie DNS działa dla przetestowanych nazw. Następnie oddzielnie sprawdzić rejestrację, synchronizację licencji, aktualizacje i połączenie z Central.
• Klient rozwiązuje nazwy zewnętrzne: Rozwiązywanie DNS działa dla przetestowanych nazw. Dodatkowo sprawdzić przypisanie DHCP, używany serwer DNS i regułę firewalla.
• Klient rozwiązuje nazwy wewnętrzne: Wewnętrzne rozwiązywanie nazw działa dla przetestowanych nazw. Sprawdzić, czy używany jest przewidziany wewnętrzny serwer DNS lub DNS request route.
• Klient VPN lub VLAN rozwiązuje nazwy wewnętrzne: Rozwiązywanie nazw działa również z przetestowanej sieci. Mimo to sprawdzić serwer DNS, domenę wyszukiwania i regułę strefy pod kątem zgodności z planowaną konfiguracją.

DHCP konfiguruje się w Network > DHCP osobno dla każdego interfejsu. Artykuł Konfiguracja Sophos Firewall jako serwera DHCP pokazuje, jak prawidłowo zaplanować i przetestować pulę adresów, bramę, DNS, czas dzierżawy oraz przypisania statyczne.

Jeśli DHCP ma być przekazywane trasami VPN, zapora sieciowa może również działać jako przekaźnik DHCP. Dla opcji specjalnych DHCP dostępna jest opcja Sophos Firewall DHCP Konfiguracja opcji.

Sprawdź pierwsze reguły zapory i NAT

Domyślnej reguły ruchu wychodzącego utworzonej przez kreatora nie należy przyjmować na ślepo. W Rules and policies > Firewall rules powinieneś sprawdzić, które strefy źródłowe są dozwolone, które miejsca docelowe powinny być dostępne i które zabezpieczenia są aktywne. Reguły są przetwarzane od góry do dołu; wygrywa pierwsza pasująca reguła.

Podczas uruchamiania powinna istnieć co najmniej jedna celowo nazwana reguła klient-internet. Ta reguła nie powinna po prostu zezwalać Any na Any, ale powinna wyraźnie pokazywać strefę źródłową, sieć źródłową, miejsca docelowe, usługi, rejestrowanie i funkcje bezpieczeństwa. Jeżeli reguła zostanie później rozszerzona, powinno pozostać jasne, czy jest ona przeznaczona dla zwykłych klientów, serwerów, gości, Internetu Rzeczy czy urządzeń zarządzających.

Pierwsza kontrola reguły może wyglądać następująco:

1. Podłącz klienta testowego w wyznaczonej strefie.
2. Sprawdź adres IP, bramę i DNS na kliencie.
3. Wygeneruj zewnętrzne wywołanie HTTPS.
4. Wyszukaj źródłowy adres IP, miejsce docelowe, usługę i Rule ID w Log viewer.
5. Sprawdź, czy została spełniona oczekiwana reguła zapory sieciowej i reguła NAT.
6. Wykonywanie celowo niedozwolonego testu, na przykład ze strefy gościa lub strefy zarządzania.
7. Udokumentuj, która reguła pozostaje w użyciu produkcyjnym, a która reguła utworzona przez kreatora lub na potrzeby testów zostaje usunięta.

Poniższe dotyczy NAT: NAT samo w sobie nie zezwala na ruch. Zawsze wymagana jest odpowiednia reguła zapory sieciowej. Dla ruchu zwykłych klientów do Internetu zwykle istotna jest reguła Source NAT z MASQ. Do opublikowanych serwerów potrzebne są jednak DNAT oraz odpowiednie reguły firewalla, logowanie i zewnętrzny test spoza własnej sieci LAN. W przypadku nowych konfiguracji niezależne reguły NAT są zwykle bardziej przejrzyste niż połączone reguły NAT. Podstawy są w Sophos Firewall poprawnie zrozumieć i skonfigurować reguły i NAT na Sophos Firewall zrozumieć: SNAT, DNAT, MASQ, PAT. Jeśli ma zostać opublikowany serwer wewnętrzny, pasuje artykuł Publikuj serwer przez DNAT do Sophos Firewall.

Świadomie aktywuj funkcje ochronne

Reguła zapory nie jest automatycznie regułą pełnej ochrony. W zależności od licencji i celu IPS, Web Protection, Application Control, skanowanie złośliwego oprogramowania, TLS Inspection, Zero-Day Protection lub źródła zagrożeń powinny być świadomie aktywowane, testowane i dokumentowane.

Porządek praktyczny:

1. Utwórz czyste strefy i reguły.
2. Włącz rejestrowanie ważnych reguł.
3. Włącz IPS i Web Protection tam, gdzie odpowiadają potrzebom ochrony.
4. Dodaj Application Control dla ryzykownych lub niechcianych aplikacji.
5. Wprowadzaj TLS Inspection wyłącznie według planu, z grupą testową, dystrybucją certyfikatu CA i wyjątkami.
6. Włącz Threat Feeds, NDR lub Active Threat Response dopiero po ustaleniu zasad monitorowania i obsługi fałszywych alarmów.

W szerszym kontekście wzmacniania, pasuje Sophos Firewall Najlepsze praktyki: sieć, reguły i bezpieczeństwo. Dla Zero-Day Protection jest Sophos Firewall zrozumienie i obsługa Zero-Day Protection, dla TLS Inspection Sophos Firewall wprowadzenie TLS Inspection.

Przygotuj rejestrowanie i rozwiązywanie problemów

Log firewall traffic powinien być aktywowany w ważnych regułach zapory sieciowej, w przeciwnym razie często brakuje później dokładnych informacji potrzebnych do rozwiązywania problemów. Wiele osób nie jest tego świadomych: jeśli reguła zapory nie rejestruje ruchu, w Log Viewer brakuje przydatnych wpisów dotyczących tego ruchu. Możesz wtedy zobaczyć inne zdarzenia systemowe, ale nie konkretną decyzję dotyczącą reguły, której faktycznie szukasz.

W System services > Log settings możesz zdefiniować, które typy dzienników będą wysyłane lokalnie, do serwera Syslog lub do Sophos Fusion. Zapora sieciowa posiada lokalne pliki dziennika i wewnętrzną bazę danych raportów, ale nie są one przeznaczone do długoterminowego archiwum na tygodnie, miesiące czy lata. Jeśli logi mają być przechowywane na stałe lub przeszukiwane centralnie, wymagany jest zewnętrzny serwer Syslog lub raportowanie zapory Sophos Fusion.

Poniższe informacje dotyczą w przybliżeniu Sophos Fusion: W przypadku aktywnej subskrypcji zapory ogniowej raporty Centralnej zapory są dostępne przez ograniczony czas. Dłuższe oceny są możliwe dzięki Xstream Protection lub Central Orchestration. Dzięki Central Firewall Reporting Advanced zyskujesz dodatkową przestrzeń dyskową i znacznie dłuższe przechowywanie. Szczegóły opisano w Włącz raportowanie centralnej zapory sieciowej.

Do wstępnych analiz zwykle wystarczą Log viewer, Policy tester i Packet capture. Do głębszej analizy można dodatkowo zabezpieczyć logi CLI, aktywować debug logs albo użyć tcpdump. Debug logs należy włączać tylko celowo i na ograniczony czas, ponieważ generują znacznie więcej danych. Sposób testowania reguł opisuje testowanie reguł firewall za pomocą Log Viewer, Policy Test i Packet Capture. Dla Packet Capture, nazw usług i plików logów dostępne są artykuły narzędzie Packet Capture w WebAdmin oraz Sophos Firewall Troubleshooting: Services i logi. Jeśli logi mają zostać zebrane dla supportu lub zewnętrznej analizy, pomaga zabezpieczanie logów Sophos Firewall do analizy zewnętrznej.

Test akceptacyjny przed ruchem produkcyjnym

Przed uruchomieniem produkcyjnym nie wystarczy sprawdzić, czy „Internet działa”. Krótki, udokumentowany test akceptacyjny zapobiega wielu późniejszym zgłoszeniom.

Jeśli to możliwe, najpierw sprawdź reguły offline w sieci testowej. Inna bezpieczna metoda etapowa polega na tymczasowym użyciu innego adresu bramy w rzeczywistej sieci i skierowaniu do firewalla tylko wybranych klientów testowych. Adres bramy lub okablowanie zmień w zaplanowanym oknie serwisowym dopiero po potwierdzeniu ruchu w obu kierunkach. Jeśli test się nie powiedzie, skieruj klientów ponownie do dotychczasowej bramy; środowisko produkcyjne pozostanie bez zmian.

Przydatne testy:

• Logowanie administratora z sieci zarządzającej: WebAdmin jest osiągalne, ale nie jest otwarte z niepożądanych stref.
• Logowanie administratora z klienta, gościa lub strefy WAN: Dostęp jest blokowany, jeśli nie jest tam zapewniona sieć świadomego zarządzania.
• Dostęp drugiego administratora lub dostęp do Break Glass: Dostęp pozostaje możliwy w przypadku niepowodzenia MFA, SSO lub konta użytkownika.
• Klient z LAN do Internetu: Reguły zapory sieciowej, NAT, DNS i zasady bezpieczeństwa obowiązują zgodnie z oczekiwaniami.
• Wewnętrzna nazwa DNS: działają DNS Request Routes lub wewnętrzne resolvery.
• Zablokowany ruch testowy: Log Viewer pokazuje pasującą regułę lub oczekiwaną Drop.
• Pobieranie i przechowywanie kopii zapasowych: Kopia zapasowa jest nie tylko utworzona, ale można ją również odnaleźć.
• Central lub miejsce docelowe Syslog: Dzienniki i raporty docierają poza zaporę sieciową, jeśli jest to zaplanowane.

Test powinien być krótko udokumentowany: data, wersja oprogramowania sprzętowego, lokalizacja, testowany źródłowy adres IP, cel, oczekiwany wynik i nierozwiązane problemy. Wydaje się to mało spektakularne, ale pozwala zaoszczędzić czas, gdy VPN, reguła NAT lub problem DNS wymagają zbadania kilka dni później.

Lista kontrolna po wstępnej konfiguracji

Sprawdź natychmiast

• Hasło administratora i Secure Storage Master Key są bezpiecznie przechowywane.
• Zapora została zarejestrowana i sprawdzono stan licencji.
• Sprawdzono wersję firmware i aktualizacje sygnatur.
• Utworzono ręczną kopię zapasową i zapisano ją zewnętrznie.
• WebAdmin i SSH można osiągnąć tylko z wybranych sieci.
• Wykonano negatywne testy dostępu do WebAdmin i SSH z niepożądanych stref: potwierdzono, że dostęp jest blokowany.
• Drugi dostęp administratora i koncepcja Break-Glass przetestowane.
• WAN, DNS i sprawdzona strefa czasowa.
• Celowo oceniono domyślną regułę zapory sieciowej.

Sprawdź w ciągu pierwszych kilku dni

• Strefy, sieci VLAN, mosty i grupy LAG zostały prawidłowo zaplanowane.
• Sprawdzono DNS Request Routes i zakresy adresów DHCP.
• Udokumentowano reguły zapory sieciowej i reguły NAT.
• Rejestrowanie włączone dla ważnych reguł firewalla (Log firewall traffic).
• Skonfigurowano proces tworzenia kopii zapasowej centralnej lub lokalnej.
• Zdecydowano o Central Reporting, Syslog lub innym miejscu docelowym dziennika.
• Pierwsze reguły sprawdzone za pomocą Log Viewer, Testu zasad i Packet Capture.

Sprawdź przed pracą produkcyjną lub uruchomieniem

• Dostęp do zarządzania zabezpieczony i ograniczony do zaufanych źródeł.
• Sprawdzono MFA i role administratora.
• IPS, Web Protection, Application Control i inne funkcje zabezpieczające zostały celowo aktywowane.
• TLS Inspection zaplanowano wyłącznie z procesem testowania i obsługi wyjątków.
• Dostęp zdalny, IPsec, WAF, RED lub SD-WAN testowane oddzielnie, jeśli są używane.
• Udokumentowano ścieżkę przywracania i wsparcia.

Typowe błędy

• Konfiguracja kreatora jest wykorzystywana bezpośrednio w środowisku produkcyjnym: Reguły, które są zbyt szerokie, nieprawidłowe strefy lub otwarte usługi zarządzania pozostają. Po uruchomieniu kreatora należy wypełnić własną operacyjną listę kontrolną.
• Secure Storage Master Key nieudokumentowane: Przywracanie lub migracja stają się niepotrzebnie trudne. SSMK należy natychmiast zapisać w menedżerze haseł.
• WebAdmin dostępny z WAN lub sieci klientów: Boty, ataki brute-force i niepotrzebna powierzchnia ataku stają się bardziej prawdopodobne. Device Access i Local service ACL exception rules powinny ograniczać dostęp do wymaganych usług oraz zaufanych adresów lub sieci zarządzających.
• MFA włączone bez rozwiązania awaryjnego: Administratorzy mogą zablokować sobie dostęp w przypadku problemów z tokenami, czasem lub grupami. Wcześniej przetestować drugiego administratora, dostęp Break-Glass i proces obsługi tokenów.
• Zapomniano o rejestrowaniu w regułach: Późniejsze rozwiązywanie problemów odbywa się po omacku. Log firewall traffic powinno być aktywne dla ważnych reguł.
• DNS rozwiązany tylko za pomocą publicznego mechanizmu rozpoznawania nazw: Nazwy wewnętrzne nie działają niezawodnie. Zaplanuj wewnętrzne serwery DNS i trasy żądań DNS.
• Oczekiwano NAT bez odpowiedniej reguły zapory sieciowej: Nie można uzyskać dostępu do serwerów lub usług pomimo NAT. Zawsze sprawdzaj jednocześnie NAT i regułę zapory sieciowej.
• Aktualizacja oprogramowania sprzętowego zainstalowana bez kopii zapasowej: Brakuje możliwości powrotu w przypadku problemów. Przed aktualizacjami sprawdź kopie zapasowe, informacje o wydaniu i okna konserwacji.

Często zadawane pytania