Configurar certificados Let's Encrypt na Sophos Firewall

O recurso integrado Let’s Encrypt no Sophos Firewall 22 solicita e renova certificados para FQDNs públicos. Ele usa HTTP-01 sobre IPv4. Para cada validação, o firewall cria uma regra WAF temporária; enquanto a validação está em andamento, os aplicativos Web protegidos pelas regras do WAF ficam indisponíveis por meio do firewall.

Os passos de configuração e atribuição apresentados aqui referem-se ao SFOS 22. O momento de renovação diferente no SFOS 23 é explicado expressamente na secção sobre renovação.

⚠️ A emissão e a renovação podem, portanto, interromper o serviço. Execute as alterações iniciadas manualmente numa janela de manutenção controlada para as aplicações WAF em produção e tenha também em conta, na operação, o momento de renovação automática, que depende da versão. As páginas da Sophos comparadas aqui não documentam uma definição que permita agendar livremente esse momento automático. Durante a validação, a porta 80 não deve ser bloqueada ou enviada para outro lugar por DNAT, firewall, GeoIP ou regras upstream.

Procedimento rápido

1. Faça com que cada FQDN seja resolvido de forma pública e consistente em todo o mundo para o endereço IPv4 selecionado.
2. Confirme se o HTTP de entrada na porta 80 atinge o firewall e se nenhum DNAT se aplica a esse endereço e porta.
3. Vá para Certificates > Let’s Encrypt, leia os termos e clique em Register account.
4. Vá para Certificates > Certificates, clique em Add, selecione Request Let’s Encrypt certificate em Action e preencha Name, Domains e Hosted address.
5. Após clicar em Save, atribua o certificado válido ao serviço pretendido e teste-o externamente.
6. Verifique a data de validade, o caminho da porta 80 e letsencrypt.log antes da janela de renovação.

Usos e limitações

A integração é adequada para serviços onde o firewall apresenta o certificado, incluindo WAF, WebAdmin, User Portal, o VPN Portal baseado em navegador, Captive Portal, portais SPX e login de hotspot. Para o restante de uma publicação do WAF, consulte Sophos Firewall WAF: publicar servidores web com segurança.

A Sophos documenta estes limites:

• Somente FQDNs públicos e IPv4 são suportados.
• A validação usa HTTP-01. Esta integração SFOS não aceita endereços IP ou domínios curinga.
• Remote Access VPN, Site-to-Site VPN e o serviço de autenticação Chromebook SSO não podem usar esses certificados. O certificado VPN Portal baseado em navegador é uma configuração separada.
• Para o SFOS 22, a Sophos indica uma validade de 90 dias e um pedido de renovação quando faltam menos de 30 dias. No SFOS 23, a renovação depende do período de validade real do certificado: a firewall solicita a renovação quando já decorreram dois terços desse período. Assim, o momento da renovação adapta-se às alterações dos períodos de validade dos certificados Let’s Encrypt.
• Os certificados existentes deixam de ser renovados após Deregister account.

A Sophos introduziu a integração com o SFOS 21. Sophos Firewall v21: as novidades mais importantes contextualiza o âmbito inicial.

Crie um certificado curinga externamente com DNS-01; consulte Criar um certificado curinga Let’s Encrypt. Gerenciar certificados no Sophos Firewall abrange importações, chaves privadas e cadeias de CA. Suporte IPv6 no Sophos Firewall 22 explica outros limites do IPv6.

Prepare o DNS e o caminho da rede

Cada entrada em Domains deve atender às mesmas condições:

• Seu registro DNS público é resolvido para o endereço WAN IPv4 do firewall ou para um endereço que roteia a porta 80 para o firewall.
• Todos os resolvers DNS públicos têm de devolver o mesmo endereço de destino. O GeoDNS dependente da região não é adequado para este fluxo de trabalho.
• O registo DNS deve conter apenas um endereço IP. O Sophos só permite vários endereços quando eles pertencem a outros firewalls que roteiam HTTP para o firewall solicitante.
• Nem uma regra de firewall nem um dispositivo upstream podem bloquear a porta de entrada 80. Isto inclui regras GeoIP; Let’s Encrypt valida em muitos países e não publica intervalos fixos de fontes de validação.
• Nenhum DNAT pode ser aplicado à porta 80 no endereço WAN do firewall. Se um roteador possuir o IP público na frente do firewall, esse roteador deverá encaminhar a porta 80 para a interface WAN do firewall.
• Uma rota SD-WAN não deve enviar HTTP de saída através de um dispositivo que impeça o acesso ao Let’s Encrypt.

Mantenha o relógio sincronizado com o NTP. Verifique o DNS e a porta 80 fora da rede local antes de solicitar um certificado; o DNS dividido (split DNS) ou o retorno NAT (NAT loopback) podem tornar um teste interno enganador.

Registre ou cancele o registro da conta

1. Abra Certificates > Let’s Encrypt.
2. Leia o Subscriber Agreement e os termos.
3. Clique em Register account.

Clicar no botão aceita o Subscriber Agreement. Se os termos mudarem, o SFOS exigirá o registro novamente. Até que seja confirmado, novos certificados não poderão ser criados e os existentes não serão renovados. Sophos envia um e-mail de administrador e mostra um alerta Control Center; configure a entrega de e-mail em Administration > Notification settings.

Deregister account encerra o registro. Não remove necessariamente todos os certificados existentes, mas a renovação futura é interrompida. Confirme os certificados de substituição, atribuições e datas de validade antes de cancelar o registro.

Solicite um certificado

1. Abra Certificates > Certificates e clique em Add.
2. Para Action, selecione Request Let’s Encrypt certificate.
3. Insira um Name exclusivo, como leappexamplecom.
4. Em Domains, adicione todos os FQDN necessários, como app.example.com. Não insira um endereço IP ou *.example.com.
5. Em Hosted address, selecione o endereço IPv4 público da interface WAN para a qual os domínios são resolvidos.
6. Clique em Save e considere a interrupção do WAF.
7. Em Certificates > Certificates, verifique se o certificado é válido e confiável e tem uma data plausível Valid until.

Se um FQDN estiver errado, remova a solicitação com falha e crie-a novamente com o nome correto. Corrija o DNS e o caminho da porta 80 antes de tentar novamente, em vez de enviar repetidamente a mesma solicitação inválida.

Atribuir o certificado

A emissão por si só não altera um serviço. SFOS 22 documenta estas atribuições:

• WAF: edite a regra WAF em Rules and policies > Firewall rules, ative HTTPS e selecione o certificado em HTTPS certificate. Seus domínios preenchem a regra. Salvar uma regra WAF reinicia todas as regras de proteção do servidor web e descarta suas conexões ativas.
• Portais WebAdmin, User Portal, VPN Portal, Captive Portal e SPX: Vá para Administration > Admin and user settings > Admin console and end-user interaction > Certificate e selecione o certificado para o serviço relevante.
• Hotspot: Vá para Wireless > Wireless settings > Hotspot settings, escolha-o em Login page certificate e clique em Apply. Este certificado é usado quando Redirect to HTTPS está habilitado para o ponto de acesso.

Em seguida, abra o FQDN real de fora. O nome do certificado, o SNI, os domínios WAF e o certificado realmente servido devem concordar. Para SMTP TLS ou outro recurso, use apenas um seletor de certificado mostrado na página SFOS 22 desse recurso; as atribuições do portal acima não se aplicam automaticamente a ele.

Atribuir, eliminar ou reverter com segurança

Antes da alteração, registe o certificado anterior e todas as atribuições afetadas, crie uma cópia de segurança atual da configuração e mantenha disponível um caminho de teste externo. Sempre que possível, atribua primeiro o novo certificado a um único serviço e teste-o com o respetivo FQDN real. Se o teste falhar, volte a selecionar o certificado anterior na mesma configuração do serviço e confirme com Save ou Apply. No WAF, isto volta a reiniciar todas as regras de Web Server Protection e interrompe as ligações ativas.

Não elimine o certificado anterior até todos os serviços afetados passarem num teste externo e estarem definidas as responsabilidades pela validade e renovação. Antes da eliminação, altere todas as referências conhecidas para o novo certificado ou outro certificado válido. Trate o restauro da cópia de segurança como a última opção de reversão, não a primeira: substitui toda a configuração em execução e reinicia a firewall.

Renovação, HA e backup

O momento da renovação depende da versão do SFOS: o SFOS 22 solicita a renovação quando faltam menos de 30 dias; o SFOS 23, quando já decorreram dois terços do período de validade real do certificado. Nos controlos operacionais, verifique o certificado concreto e o seu período de validade, em vez de assumir um limite fixo de 30 dias para o SFOS 23. Ambas as versões continuam a precisar de um caminho funcional de DNS, IPv4 e porta 80, tal como na emissão inicial. Verifique novamente o caminho após alterações de DNS, fornecedor, NAT, GeoIP, SD-WAN, WAF ou firmware. Um certificado atualmente válido não prova que a próxima validação funcionará.

A Sophos descreve os backups como cópias criptografadas de toda a configuração do firewall. Faça um backup atual antes das alterações no certificado ou no WAF. Restaurá-lo substitui a configuração em execução e reinicia o firewall, portanto, verifique posteriormente o status da conta, os certificados, as atribuições de serviço e a entrega externa.

Num cluster HA, restaure a cópia no Primary atual, nunca no Auxiliary. O Primary reinicia sem failover, causando indisponibilidade tanto em Active-Passive como em Active-Active. Se a cópia contiver a configuração HA, o Primary sincroniza depois a configuração restaurada com o Auxiliary.

⚠️ Restaurar uma cópia sem configuração HA desativa a HA. A página oficial do SFOS 22 sobre recuperação HA apresenta informações contraditórias sobre o Auxiliary: o texto indica que mantém a configuração anterior, mas o resumo descreve uma reposição das definições de fábrica que conserva apenas as configurações da porta de administração do dispositivo par e da ligação HA dedicada. Não considere nenhum dos resultados garantido nem dependa de regras ou definições conservadas no Auxiliary como caminho de recuperação. Antes deste restauro, prepare um plano de recuperação aprovado, cópias de segurança e acesso administrativo a ambos os dispositivos disponíveis independentemente do cluster HA. Confirme o comportamento da versão SFOS utilizada com o Sophos Support ou num ambiente de teste expressamente autorizado com a mesma versão; não execute esta variante de restauro enquanto o resultado permanecer por esclarecer.

A Sophos não documenta na página Let’s Encrypt qualquer lógica adicional específica para a conta ou a renovação. Após um restauro ou mudança de função, verifique o estado do certificado e faça um teste TLS externo, em vez de confiar em pressupostos.

Validar e solucionar problemas

Após a emissão e cada renovação, verifique:

• DNS público de diversas regiões;
• a entrada em Certificates > Certificates;
• o serviço afetado fora da LAN;
• FQDN, SANs, emissor, vencimento e toda a cadeia intermediária;
• Log viewer, mais tail -f /log/reverseproxy.log para WAF;
• eventos de emissão e renovação em letsencrypt.log.

De um computador administrador externo, este comando somente leitura mostra os certificados enviados pelo serviço. Substitua app.example.com duas vezes pelo FQDN real:

openssl s_client -connect app.example.com:443 -servername app.example.com -showcerts </dev/null

O resultado deve conter o certificado do servidor e os certificados intermédios necessários. Normalmente, o servidor não envia a âncora de confiança raiz. Um segundo teste utiliza o repositório de confiança desse computador:

curl -Iv https://app.example.com/

Na Advanced Shell, acompanhe o registo oficial do Let’s Encrypt; prima Ctrl+C para parar a saída:

tail -f /log/letsencrypt.log

A Sophos lista tail -f /log/vpncertificate.log para operações gerais de certificados e tail -f /log/reverseproxy.log para WAF. SFOS 22.0 MR2 Build 546 adicionou suporte para YE Root, YE1, YE2, YR Root, YR1 e YR2. Se apenas os sistemas clientes mais antigos apresentarem problemas após a renovação, verifique os respetivos repositórios de confiança. Se o servidor não enviar um certificado intermédio, verifique primeiro o firmware, a atribuição ao serviço e os proxies a montante e, em seguida, encaminhe o problema para o Sophos Support com o resultado do teste.

As falhas comuns podem ser restringidas da seguinte forma:

• A solicitação falha imediatamente: Verifique o FQDN público, a resposta DNS globalmente consistente e o destino IPv4.
• A porta 80 atinge outro sistema: Remova ou corrija o DNAT no firewall; se houver um roteador upstream, verifique seu encaminhamento para o firewall.
• A falha depende da região: Verifique o GeoIP e os filtros do provedor. Não restrinja o acesso às supostas listas de IP do Let’s Encrypt.
• Falha após uma alteração de roteamento: Verifique a rota HTTP SD-WAN de saída.
• Certificado antigo é veiculado: Verifique a atribuição de serviço e qualquer balanceador de carga upstream ou proxy reverso.
• A renovação não acontece: Verifique a validade restante, o registro, os termos alterados e o caminho HTTP-01 inalterado.
• Um certificado de IP dinâmico criado durante o EAP não é renovado no GA: Exclua e recrie este certificado específico na compilação do GA, conforme instruções do Sophos.

Perguntas frequentes