Hantera Windows Firewall med Sophos Fusion Endpoint
Windows Firewall Policy i Sophos Fusion (tidigare Sophos Central) övervakar eller konfigurerar den värdbaserade brandväggen i Windows. Den skapar inga detaljregler: undantag förblir lokala Windows Firewall-regler eller distribueras med ett avsett system som Group Policy eller MDM.
Produktgräns: Denna Policy gäller Windows-datorer och Windows-servrar. Den har inget att göra med en Sophos Firewall-appliance, dess nätverksregler, NAT, VPN eller Central Firewall Management. Sökvägen för datorer är My Products > Endpoint > Policies och för servrar My Products > Server > Policies.
Snabb väg
- Välj Add Policy, välj Windows Firewall som funktion och, för Endpoint, önskad Policy-typ.
- Tilldela önskade enheter eller grupper på sidan med Policy-information.
- Börja med Monitor Only under Settings > Monitor Type.
- Aktivera Policy och dokumentera rapporterad status och befintliga regler i en pilotgrupp.
- Byt först därefter till Monitor & Configure Network Profiles och ange inkommande anslutningar för Domain Networks, Private Networks och Public Networks.
Den försiktiga starten är viktig: Sophos varnar uttryckligen för att andra brandväggar och Windows Group Policy kan påverka hur Policy tillämpas. Den befintliga regelbasen måste också fortsätta tillåta kommunikation med Sophos.
Välj rätt Monitor Type
| Läge | Betydelse |
|---|---|
| Disabled | Avinstallerar Sophos brandväggskomponent från Endpoint; valet finns i aktuell Endpoint-hjälp men inte i separat Server Policy |
| Monitor Only | Rapporterar brandväggsstatus utan att ändra profiler |
| Monitor & Configure Network Profiles | Rapporterar status och anger vald åtgärd för inkommande anslutningar per nätverksprofil |
Monitor Only är dokumenterad standard och säker bas vid befintlig GPO- eller MDM-hantering. Disabled betyder inte bara ”konfigurera inte”: på Endpoint-datorer avinstalleras komponenten. För Windows-servrar dokumenterar Sophos endast Monitor Only och Monitor & Configure Network Profiles.
Inkommande anslutningar per nätverksprofil
Domain, Private och Public har tre åtgärder:
- Block All: blockerar alla inkommande anslutningar för profilen.
- Block (with exceptions): blockerar inkommande anslutningar om inte ett undantag som konfigurerats lokalt på datorn eller servern tillåter dem. Utan undantag blockeras alla.
- Allow All: tillåter alla inkommande anslutningar för profilen.
Enligt Sophos styr valen inkommande anslutningar; de är inte en generell regel för utgående trafik. Block (with exceptions) är vanligen en rimlig produktionsbas. Allow All ökar angreppsytan, medan Block All kan avbryta hantering, autentisering, utskrift, filåtkomst och support.
Fastställ Windows-profil och regelägare
Windows tillämpar profilen Domain, Private eller Public beroende på identifierat nätverk. En domänansluten enhet använder automatiskt Domain när en domänkontrollant identifieras. Public är standard för oidentifierade nätverk. Piloten bör därför omfatta minst en enhet för varje profil som faktiskt används.
När Sophos Fusion konfigurerar profilerna förhindrar Policy ändringar av Windows Firewall via Windows Security Center. Det är avsiktligt men kan ändra Helpdesk-processen.
Utse en ägare för detaljreglerna före Configure Mode. Sophos Fusion anger här endast profilåtgärden. Windows-hanteringen avgör fortfarande vilka lokala regler som får slås samman och vilka som kommer från GPO eller MDM. Uttryckliga Windows Block-regler har företräde framför motstridiga Allow-regler, så ett synligt undantag garanterar inte trafikflöde.
Inför säkert i en pilotgrupp
1. Dokumentera utgångsläget
Ta med datorer eller servrar från profilerna som faktiskt används samt en Home Office-klient om scenariot förekommer. I Monitor Only dokumenteras aktiva profiler, lokala regler, GPO- eller MDM-inställningar, tredjepartsbrandväggar och program som behöver inkommande anslutningar.
2. Konfigurera Policy
Välj Monitor & Configure Network Profiles under Settings > Monitor Type. Ange medvetet en åtgärd för Domain Networks, Private Networks och Public Networks. Distribuera nödvändiga undantag lokalt eller via överenskommen Windows-hantering före bytet och begränsa dem till rätt profiler. Placera pilot-Policy ovanför mer allmänna Windows Firewall-policies i listan, eftersom Sophos Fusion tillämpar den första aktiva Policy vars scope matchar. Ändra och kontrollera först endast en profil som faktiskt används under piloten.
3. Validera effekten
Efter att ha sparat kontrolleras först att Policy är aktiverad och tilldelad testenheten. Öppna sedan My Environment > Computers & Servers > testenhet > Policies och kontrollera att pilot-Policyns namn visas som faktiskt tillämpad Policy för Windows Firewall. Testa först därefter nödvändiga inkommande anslutningar per aktiv profil, exempelvis Remote Support, utskrift eller godkända klient-servertjänster. Sophos Fusion-kommunikation, DNS, DHCP, inloggning, programdistribution och normal Endpoint-funktion ingår också i godkännandet. Enbart grön status visar inte att varje nödvändig anslutning fungerar.
4. Återgå säkert
Behåll före ändringen testad hanteringsåtkomst som är oberoende av den berörda nätverksvägen. Vid oväntade blockeringar återställs samma Policy till Monitor Only, sparas och testas igen när enheten tagit emot ändringen. Om Sophos Fusion-kommunikationen redan är bruten räcker inte fjärråterställning via samma väg; använd den förberedda alternativa åtkomsten. Disabled är ingen snabb återställning eftersom komponenten avinstalleras på Endpoint-datorer.
Övervaka en annan registrerad brandvägg
Om en annan värdbrandvägg är registrerad i Windows Security Center kan Sophos övervaka dess status. Det innebär inte att Sophos Fusion kan konfigurera dess regler. Grön status bekräftar bara den skyddsstatus som Windows rapporterar, inte kvaliteten på alla regler.
Felsökning efter symptom
Vid oväntat blockerad trafik kontrolleras först aktiv Windows-nätverksprofil, faktiskt tillämpad Sophos Policy samt effektiva Windows Firewall-regler. Kontrollera sedan den resulterande principuppsättningen (RSoP) för GPO, MDM-inställningar och registrerade säkerhetsprodukter. Var särskilt uppmärksam på motstridiga uttryckliga Block-regler och undantag som endast gäller fel profil.
Om användaren inte längre kan ändra Windows Firewall i Security Center är det förväntat i Configure Mode. Om lokala ändringar behövs ska driftmodellen anpassas, inte Endpoint Agent manipuleras.
Om Sophos Fusion visar fel status kontrolleras Windows Security Center, registrerad brandvägg, tjänstestatus, händelser och mottagning av Policy. En omstart kan behövas efter en komponentändring. Ett brett Threat Protection-undantag reparerar inte brandväggs-Policyn. Använd inte gamla Registry- eller Audit Policy-lösningar på aktuella agents. Dokumentera den installerade agentversionen och incidentens tidsfönster och använd sedan Sophos Endpoint-uppdateringar, Cache och Message Relay för att korrelera starten med komponentändringar och kontrollera kända versionsproblem. Om ingen träff finns eskaleras ärendet till Sophos Support med exakt agentversion, tidsstämplar och loggar.
Relaterade artiklar
Bygg Sophos Fusion Endpoint-policies korrekt förklarar tilldelning. Agentens nätverksåtkomst och proxykrav behandlas separat.