Verificar portas reservadas na Sophos Firewall

A Sophos Firewall reserva determinadas portas para serviços internos do sistema. Estas portas permanecem reservadas mesmo quando o serviço correspondente não está a ser utilizado. Uma porta reservada não pode, por isso, ser simplesmente atribuída a outra funcionalidade da firewall.

Isto é particularmente importante ao planear uma porta personalizada para WebAdmin, User Portal, VPN Portal, SSL VPN, WAF, um proxy ou outro serviço da firewall. A reserva é apenas a primeira verificação: uma porta não reservada pode já estar em uso ou abrir um caminho de acesso inesperado através da partilha de portas.

⚠️ Uma porta não reservada não constitui uma autorização de segurança. A acessibilidade, o endereço IP WAN, o protocolo, Administration > Device access, a partilha de portas e o NAT a montante têm de ser planeados e testados separadamente. O tráfego encaminhado também requer regras da firewall adequadas; essas regras não controlam o acesso aos serviços de sistema locais.

Portas reservadas no SFOS 22

A lista corresponde ao estado do Sophos Firewall 22.0 verificado em 4 de setembro de 2026. Os intervalos incluem ambos os limites.

A Sophos publica as reservas como números de porta, sem exceção específica por protocolo. Não se deve contorná-las mudando de TCP para UDP. Desativar ou reiniciar um serviço também não liberta o número.

Porta reservada, exclusiva ou partilhada?

Na verificação de colisões conta a combinação de protocolo e porta: TCP 8443 e UDP 8443 são combinações diferentes. Uma reserva do produto aplica-se, pelo contrário, ao próprio número da porta.

• Reservada: nenhuma função local pode usar um número da lista.
• Exclusiva: Web admin console e User portal exigem portas exclusivas, por predefinição TCP 4444 e TCP 4443.
• Partilha limitada: se VPN Portal e SSL VPN usarem a mesma porta e protocolo, Login Security não funciona e VPN Portal fica acessível pelas zonas SSL VPN. WAF deve diferir no IP WAN, porta ou protocolo.

Consulte a partilha de portas entre WebAdmin, portais, WAF e SSL VPN para todas as condições. A lista não substitui este controlo.

Alterar e verificar uma porta personalizada

1. Registar o estado e as dependências

Antes da alteração, anotar porta, protocolo, IP WAN e zonas permitidas em Administration > Device access. Inventariar ainda regras NAT/listeners a montante, URLs, monitorização e perfis VPN distribuídos para poder repor exatamente o estado.

Os campos principais são Administration > Admin and user settings > Admin console HTTPS port, User portal HTTPS port e VPN portal HTTPS port. Para SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings > Protocol e Port. TCP 10443 é apenas um exemplo adaptável; apesar de não estar reservado, deve ser comparado com listeners, partilha e dispositivos a montante.

2. Verificar acesso e partilha antes de guardar

Para o acesso direto aos serviços de gestão locais, Administration > Device access controla as zonas permitidas. Uma regra normal da firewall não concede este acesso nem resolve uma colisão local. Para um host ou rede específicos, usar uma Local service ACL exception rule em vez de acesso amplo à zona.

⚠️ Caminho separado pelo proxy web: O SFOS trata os pedidos HTTP e HTTPS do proxy web da firewall como internos, e não como pedidos provenientes da zona do cliente. Negar o serviço para essa zona em Administration > Device access não isola, por isso, este caminho pelo proxy. Os utilizadores com acesso ao proxy podem alcançar serviços HTTPS locais, como WebAdmin ou os portais, por este caminho. Trata-se de acessibilidade, não de contornar o login ou o acesso ao túnel SSL VPN. A visão geral dos portais explica esta exceção de Device Access.

Para SSL VPN, verificar ainda Override hostname, encaminhamento WAN e configurações dos clientes. As definições globais fazem parte do ficheiro .ovpn importado; os clientes afetados precisam de configuração atualizada.

3. Testar positiva, negativa e funcionalmente

Após guardar, ligar a partir de uma zona permitida com o URL completo ou novo perfil VPN e verificar login, túnel e função. Repetir numa zona proibida e confirmar que nenhum segundo serviço ficou acessível. Atualizar depois NAT, monitorização e favoritos e testar novamente. A aceitação de um valor pela interface só comprova que a definição foi guardada, não a acessibilidade nem o funcionamento do login ou da ligação VPN.

Os testes positivo e negativo do acesso direto continuam a ser necessários. Se os clientes puderem utilizar o proxy web da firewall, testar também o novo URL HTTPS completo do serviço WebAdmin ou do portal efetivamente alterado através desse mesmo proxy: a partir da zona real do cliente e de acordo com o acesso previsto. Registar se o serviço está acessível através do proxy e se o resultado corresponde à autorização ou negação planeada. Um acesso direto recusado não comprova o isolamento deste caminho separado; uma página de login acessível ainda não comprova um login bem-sucedido.

4. Repor o estado anterior em caso de falha

Introduzir no mesmo campo a porta e o protocolo anotados e devolver regras NAT/listeners, perfis, URLs e monitorização aos valores anteriores. Repetir os dois testes; o rollback deve restaurar todo o estado, e não apenas usar outra porta acessível.

As ligações de saída para a Sophos são outro tema: Permitir serviços e portas Sophos de saída.

Erros típicos

Não é possível guardar a porta pretendida

Verificar o número, incluindo os três intervalos, e depois serviços locais e partilha. Um socket livre ou regra da firewall não anulam uma reserva do produto.

A porta não está reservada, mas não é acessível externamente

Verificar Administration > Device access, exceções ACL locais, IP WAN, protocolo, NAT, filtros do fornecedor e serviço ativo. Para SSL VPN, Override hostname deve indicar um endereço acessível aos clientes.

Os perfis antigos deixam de funcionar após a alteração da porta

Perfis VPN, URLs, monitorização e reencaminhamentos podem conservar a porta antiga. Atualizá-los ou repô-los todos no valor anotado durante o rollback.

FAQ