Verificar portas reservadas na Sophos Firewall

A Sophos Firewall reserva determinadas portas para serviços internos do sistema. Estas portas permanecem reservadas mesmo quando o serviço correspondente não está a ser utilizado. Uma porta reservada não pode, por isso, ser simplesmente atribuída a outra funcionalidade da firewall.

Isto é particularmente importante ao planear uma porta personalizada para WebAdmin, VPN Portal, SSL VPN, WAF, um proxy ou outro serviço local. Antes da alteração, deve comparar-se a porta pretendida com a seguinte lista do SFOS 22.

⚠️ Uma porta disponível não constitui uma autorização de segurança. A acessibilidade, o endereço IP WAN, o protocolo, Device Access, a partilha de portas, o NAT a montante e as regras da firewall continuam a ter de ser planeados e testados separadamente.

Portas reservadas no SFOS 22

A lista seguinte corresponde à ajuda pública da Sophos Firewall 22.0. Os intervalos incluem ambos os limites.

Porta	Porta	Porta
`4`	`11`	`22`
`23`	`24`	`25`
`41`	`53`	`58`
`109`	`142`	`161`
`179`	`197`	`198`
`273`	`299`	`300`
`414`	`415`	`417`
`418`	`419`	`464`
`500`	`514`	`546`
`547`	`885`	`886`
`992`	`994`	`1211`
`1415`	`1701`	`1723`
`1813`	`2121`	`2600`
`2709`	`2712`	`2718`
`2727`	`2736`	`2745`
`2754`	`2755`	`3001`
`3306`	`3400`	`3410`
`4128`	`4455`	`4500`
`4501`	`5432`	`5433`
`5434`	`5555`	`5685`
`5900–6000`	`6009`	`6060`
`6061`	`6177`	`6277`
`6379`	`6783`	`6789`
`7830`	`7831`	`8005`
`8009`	`8088`	`8089`
`8090`	`8091`	`8347`
`8384`	`9006`	`9090`
`9091`	`9092`	`9595`
`9687`	`9922`	`11001–11010`
`25315`	`25316`	`36878`
`39175`	`43076`	`49093`
`65001–65039`	`65123`	`65353`

A lista não indica deliberadamente qual o processo interno que utiliza cada porta. Para escolher uma porta basta o limite do produto: se o valor pretendido constar aqui, deve escolher-se outra porta. Reiniciar um serviço ou desativar uma funcionalidade suspeita não a liberta.

Escolher uma porta personalizada com segurança

Documentar o endereço IP WAN, o protocolo e a porta previstos. TCP 8443 e UDP 8443 são combinações diferentes.
Comparar a porta com a lista de portas reservadas.
Verificar os serviços locais existentes e a partilha de portas entre WebAdmin, portais, WAF e SSL VPN.
Se existir um router ou load balancer a montante, verificar a respetiva configuração de NAT e listeners.
Efetuar a alteração numa janela de manutenção, testar positivamente o serviço a partir da zona de origem prevista e negativamente a partir de uma zona sem acesso permitido.

As ligações que a própria firewall estabelece a serviços Sophos são uma questão diferente. Os destinos e portas necessários estão indicados em Permitir serviços e portas Sophos de saída.

Erros típicos

Não é possível guardar a porta pretendida

Primeiro deve verificar-se se a porta está reservada. Depois, verificar os serviços ativos e a partilha de portas. Uma regra normal da firewall não resolve uma colisão entre serviços locais.

A porta não está reservada, mas não é acessível externamente

Nesse caso, o erro não está automaticamente relacionado com esta lista. Verificar Device Access ou uma Local Service ACL Exception, endereço IP WAN, protocolo, NAT a montante, filtros do fornecedor e o serviço realmente ativo. Um teste TCP aberto ainda não comprova um login ou uma ligação VPN funcionais.

Os perfis antigos deixam de funcionar após a alteração da porta

Os perfis VPN exportados, URLs guardados, monitorização e reencaminhamentos de portas contêm frequentemente a porta anterior. Estas dependências devem ser atualizadas após a alteração e testadas com uma nova ligação.

FAQ

Uma porta reservada fica disponível quando o serviço é desativado?

Não. A Sophos reserva estas portas mesmo quando o serviço não é utilizado.

Uma regra da firewall pode libertar uma porta reservada?

Não. As regras da firewall controlam o tráfego encaminhado. A reserva faz parte da configuração local do sistema da firewall.