Konfigurera Sophos Firewall korrekt efter installationsguiden

Efter installationsguiden är Sophos Firewall åtkomlig och i grunden driftklar; registreringen är slutförd eller avsiktligt uppskjuten på hårdvara som stöder detta. Den är däremot ännu inte säkert konfigurerad för produktion. Guiden hanterar starten, inte den färdiga produktionsarkitekturen.

Artikeln samlar kontrollerna efter den första installationen: internetåtkomst, registrering, licenser, firmware, backup, zoner, Device Access, DNS, DHCP, brandväggs- och NAT-regler, loggning och inledande härdning. Den utgår från SFOS 22 och är en praktisk checklista för nya XGS Appliances, virtuella brandväggar och mindre migreringar. Fältnamnen följer Sophos engelska gränssnitt; enskilda sidor och alternativ kan variera beroende på plattform, modell och online- eller offlineinstallation.

Vid migrering från XG till XGS Appliance, från hårdvara till virtuell miljö eller vid restore till en ersättningsenhet bör även Skapa eller återställa en säkerhetskopia av Sophos Firewall och Sophos XG vs. XGS: skillnader, EOL och migrering kontrolleras.

Som bakgrund: Brandväggsregler och policyer styr internet- och nätverkstrafiken. SSL/TLS-inspektion kan fånga upp och dekryptera SSL- och TLS-anslutningar över TCP. IPS använder regler som hjälper till att förhindra nätverksattacker. Med Web Protection går det att ange begränsningar för webbsurfning utifrån kategorier, URL-grupper och filtyper. Om en viss funktion är tillgänglig och vilken effekt den har beror på licensen och konfigurationen. Den önskade skyddseffekten måste verifieras med lämpliga tester; en lyckad grundkonfiguration är ingen garanti för heltäckande skydd.

Snabbväg efter första inloggningen

Om brandväggen precis kommer ut ur guiden är inte alla detaljer lika brådskande. De första 30 minuterna handlar om att inte tappa åtkomst, säkra situationen och identifiera de största operativa riskerna.

Denna ordning är vettig för de flesta nya installationer:

1. Säkra administratörsåtkomsten: Dokumentera lösenordet, Secure Storage Master Key och en andra administratörs- eller Break-Glass-åtkomst på ett säkert sätt.
2. Kontrollera licens och registrering: Kontrollera under Administration > Licensing om modell, serienummer, baslicens och prenumerationer är korrekta.
3. Skapa säkerhetskopia: Ladda ner en manuell säkerhetskopia och lagra den externt innan du gör några ytterligare ändringar.
4. Kontrollera firmware och mönster: Kontrollera firmware-status, Hotfixes och mönsteruppdateringar, men installera bara uppdateringar med ett underhållsfönster och återställningsplan.
5. Begränsa Device Access: Tillåt inte bred åtkomst till WebAdmin och SSH från klient-, gäst-, IoT- eller WAN-zoner.
6. Kontrollera zoner och gränssnitt för rimlighet: Kontrollera WAN, LAN, VLANs, bryggor, hanteringsnätverk och senare säkerhetszoner mot nätverksplanen.
7. Utvärdera standardregler: Betrakta inte de första brandväggs- och NAT-reglerna som en färdig säkerhetsdesign.
8. Aktivera loggning: Aktivera Log firewall traffic för viktiga regler så att senare tester kan följas i Log Viewer.
9. Planera acceptanstestet: Tillåt produktionstrafik först när testerna i en kort testplan har genomförts med godkänt resultat, inte direkt efter guiden.

Först när dessa punkter är kontrollerade bör produktiv trafik, fjärråtkomst, WAF, SD-WAN, RED eller TLS Inspection ställas in. Annars blir felsökningen onödigt svår senare eftersom det är oklart om ett problem kommer från grundkonfigurationen, en säkerhetsfunktion eller en applikation.

Välj installationsväg efter situation

Efter guiden förgrenas arbetet snabbt i flera områden. Dessa ingångspunkter är vettiga för nya brandväggar:

• Central anslutning: Om du vill ansluta brandväggen till Sophos Fusion (tidigare Sophos Central) eller förstå gränserna för Central, passar anslut Sophos Firewall till Sophos Fusion.
• Licensstatus: Läs Förstå Sophos Firewall Base License för information om baslicens, support och prenumerationer.
• Säkerhetskopiera och återställa: Innan den första ändringen bör Sophos Firewall skapa eller återställa säkerhetskopia förberedas.
• Administratörsåtkomst: WebAdmin, SSH, User Portal eller VPN Portal förstärks via Sophos Firewall Säker åtkomst: konfigurera Device Access korrekt.
• Nätverksdesign: För zoner, gränssnitt, VLANs eller bryggor är Sophos Firewall Konfigurera zoner och gränssnitt den bättre starten.
• Första regler: För grunderna i brandväggsregler och NAT passar Förstå och konfigurera Sophos Firewall-regler korrekt.
• DNS och DHCP: Intern namnupplösning är renare med konfigurera DNS Request Routes på Sophos Firewall.
• Rapportering: Aktivera central brandväggsrapportering hjälper till för loggar, rapporter och längre lagring.
• Hälsokontroll: Säkerhetsfynd enligt SFOS 22 kan prioriteras med Använd Sophos Firewall Health Check korrekt.
• Uppgraderingsplanering: Inför en firmwareuppdatering eller uppgradering till SFOS 22, läs Kontrollera Sophos Firewall före uppgradering till SFOS 22.

Denna separation är viktig eftersom en framgångsrik guide inte betyder en färdig säkerhetsarkitektur. Innan produktiv trafik bör hanteringsåtkomst, säkerhetskopiering, licens, zoner, regler, loggning och skyddsfunktioner kontrolleras noggrant.

Förbered innan installation

Innan du startar guiden bör åtkomst, WAN-anslutning, hanteringsnätverk och licenskontext vara tydlig. Detta hindrar dig från att improvisera under installationen och att behöva korrigera oklara grundantaganden senare.

Förutsättningar för installationen

Innan du ställer in den bör det vara klart hur brandväggen kommer att integreras i nätverket. Många senare problem uppstår inte i själva guiden, utan eftersom WAN, LAN, DNS, hanteringsåtkomst eller licensdata är improviserade.

Ha klart innan du börjar:

• Brandväggsmodell, serienummer och planerad plats.
• WAN-anslutningsuppgifter eller operatörsuppgifter till hands, till exempel DHCP, statisk IP, PPPoE, VLAN eller en uppströmsrouter.
• Internt målnätverk för den första LAN eller hanteringsåtkomsten.
• DNS-servrar som fungerar under installationen.
• Ett Sophos Fusion-konto med full licens eller testlicens och en brandvägg med Base License; för Central-anslutning av en redan konfigurerad och claimad enhet vid behov en person som kan generera en OTP.
• Planerat administratörslösenord och lagringsplats i lösenordshanteraren.
• Planerad Secure Storage Master Key (SSMK) och skyddad lagringsplats i lösenordshanteraren eller enligt den avsedda återställningsproceduren; bestäm båda innan du startar installationsguiden.
• Bestäm om brandväggen ska konfigureras från grunden eller återställas via backup.

Ha din egen Sophos ID till hands för inloggningen. Om du ännu inte har en personlig Sophos ID kan du skapa den under installationen. Det ersätter varken inbjudan och behörigheter i det avsedda Sophos Fusion-kontot eller valet av rätt tenant, claiming av brandväggen eller licenskraven för detta. Kontoförberedelserna beskrivs i Hantera Sophos ID och kontoåtkomst.

Brandväggen behöver en fungerande internetanslutning för registrering, licenssynkronisering, Pattern Updates och anslutning till Central. Om en uppströmsenhet filtrerar utgående trafik måste åtminstone den nödvändiga HTTPS-åtkomsten fungera. Vid mer komplexa leverantörskonfigurationer bör WAN-åtkomsten först planeras medvetet, i stället för att gissa under guiden.

Anslutningar och nätverkskonfiguration

Beroende på modell skiljer sig portnamn och standardtilldelningar. Många hårdvaruenheter tillåter initial LAN-åtkomst via standardadressen, medan större modeller också kan ha en dedikerad hanteringsport.

I den beskrivna fabriksinställningen för hårdvaran är Port B WAN-porten och får sin adress via DHCP. Det är ett utgångsvärde, inte ett krav för varje plattform eller leverantör: Vid statisk adressering, PPPoE eller leverantörs-VLAN anpassas WAN-konfigurationen till anslutningsplanen.

För den första LAN-åtkomsten med den dokumenterade fabriksinställningen får administratörens dator först en ledig IPv4-adress i 172.16.16.0/24, exempelvis 172.16.16.2 med nätmasken 255.255.255.0. Anslut datorn direkt eller via det kontrollerade installationsnätverket till den avsedda LAN-porten; i det beskrivna hårdvaruexemplet är det Port A. Öppna först därefter https://172.16.16.16:4444. Portnamn och fabrikstilldelningar måste stämma med modellen eller plattformen; dessa LAN-instruktioner ersätter inte den separata MGMT-åtkomsten.

Typiska första åtkomster:

• LAN port med https://172.16.16.16:4444: Initial installation via det lokala installationsnätverket.
• MGMT-port med https://10.0.1.1:4444: dedikerad hanteringsåtkomst på modeller med MGMT-port.
• Serial Console eller Local Access: Nödsituationer eller ominstallation av systemavbildningen.

Den initiala installationsklienten bör anslutas direkt eller via ett kontrollerat installationsnätverk. Gamla DHCP-servrar, felaktiga VLANs eller en produktiv switchport med en oväntad portkonfiguration kan komplicera den initiala installationen i onödan.

För modeller med en dedikerad hanteringsport bör detta nätverk verkligen vara reserverat för administratörer. Icke-administrativa användare, vanliga klienter eller gästenheter hör inte hemma på samma hanteringsportundernät. Annars blir en praktisk initial åtkomst snabbt ett onödigt hanteringsområde.

Konfigurera den dedikerade administrationsporten

Som ett valfritt steg kan administrationsportens IP-adress ändras redan i Setup Assistant. Slutför sedan installationen och öppna WebAdmin igen via den adress som faktiskt tilldelades där, med HTTPS och den konfigurerade konsolporten; om standardporten är oförändrad är detta exempelvis https://10.0.1.1:4444, förutsatt att denna adress har behållits. Efter en adressändring måste även administratörens dator finnas i rätt subnät eller ha en tillåten rutt till det nya administrationsnätet. Den senare redigeringen under Network > Interfaces och den HA-distinktion som beskrivs nedan påverkas inte av detta.

Enheter på 1U och större har minst en dedikerad administrationsport. Den visas som PortMGMT under Network > Interfaces, tillhör LAN-zonen som standard och använder inledningsvis 10.0.1.1. Ge den direktanslutna administrationsdatorn en ledig adress i samma subnät för installationen, exempelvis 10.0.1.2/24. Ändra PortMGMT efter installationen till en adress i planerat administrations-VLAN. Om åtkomst behövs via VPN ska endast nödvändiga HTTPS och vid behov SSH tillåtas för VPN-zonen under Administration > Device access.

HA-anmärkning: De officiella anvisningarna för HA och administrationsporten motsäger varandra om IP-adresseringen. Identiska PortMGMT-adresser tillsammans med ytterligare en Peer administration IP är ingen belagd generell lösning på motsägelsen. Klargör HA-kraven för roller och administrationsadressering för den installerade builden före Initiate HA eller ändringar av administrationsadresser; stoppa om beteendet är oklart och behåll oberoende administratörsåtkomst.

Tillgång till webbgränssnittet

För att konfigurera, gå till WebAdmin-konsolen via en webbläsare. Beroende på gränssnittet används en av dessa adresser:

• LAN port: https://172.16.16.16:4444
• Management Port: https://10.0.1.1:4444

När den öppnas för första gången använder brandväggen ett lokalt signerat certifikat. Webbläsarvarningen är normal för närvarande, men bör inte ignoreras senare. Ett lämpligt certifikat bör planeras för produktiv WebAdmin-åtkomst, särskilt om flera administratörer, Central Management eller en hanterings-FQDN används.

Så länge standardanvändaren admin fortfarande används med standardlösenordet gäller ytterligare begränsningar. SSH från WAN-zonen avvisas inte normalt, men brandväggen stänger tyst anslutningen. WebAdmin från WAN-zonen visar meddelandet Forbidden. SCP kan inte användas med standardåtkomstdata i zonerna LAN och WAN. Detta tillstånd ska förstås som en installationsfas, inte en driftsmodell.

Endast om fabriksinställningarna är oförändrade är användarnamnet admin och lösenordet admin. Gör denna första inloggning enbart i ett isolerat, kontrollerat administrations- eller installationsnätverk och ersätt omedelbart lösenordet med ett starkt, eget lösenord. Om enheten redan har konfigurerats eller lösenordet har ändrats ska de faktiskt giltiga inloggningsuppgifterna användas. Standarduppgifterna från fabriken är inte avsedda för produktionsdrift.

För senare åtkomst via webbläsaren använder du HTTPS med brandväggens faktiska aktuella interna IP-adress eller ett värdnamn som kan slås upp samt den konfigurerade konsolporten, exempelvis https://firewall.example:4444. Ersätt exempelvärdnamnet och vid behov porten: 4444 är standardvärdet, inte nödvändigtvis det värde som för närvarande är konfigurerat. IP-adresserna ovan är exempel från fabriksinställningarna och gäller inte automatiskt efter en ändring. Konsolinställningarna ändras under Administration > Admin settings. Separat från detta styr Administration > Device access från vilka zoner respektive källor de lokala tjänsterna kan nås; varken kontobehörigheter eller utloggning ersätter dessa åtkomstbegränsningar. Tillåt inte generell WebAdmin-åtkomst från WAN.

Webbläsare och språk i WebAdmin Console

De vanliga webbläsarna Chrome, Edge, Firefox och Safari stöds; använd en aktuell webbläsarversion. Konsolens språk gäller menyer, knappar, felmeddelanden, verktygstips och andra skärmtexter. Sedan SFOS 20.0 MR1 identifierar brandväggen automatiskt webbläsarens föredragna språk. Om det inte finns något motsvarande språk som stöds används engelska. Språkpreferensen sparas i webbläsarens cache.

För att ändra språk öppnar du språklistan på inloggningssidan, väljer önskat språk och loggar sedan in. WebAdmin Console använder därefter detta språk. Menysökvägar och UI-benämningar i denna artikel anges fortfarande på engelska för att göra det enkelt att hitta rätt; en konsol på ett annat språk visar motsvarande lokaliserade benämningar.

Kör installationsguiden

Installationsguiden ställer in den grundläggande brandväggen. Denna fas handlar inte om den slutliga säkerhetsdesignen, utan snarare om att få brandväggen online, registrerad och hanterbar på ett kontrollerat sätt.

Initial installation med installationsguiden

Installationsguiden samlar in grunduppgifterna och gör brandväggen startklar. Listan nedan beskriver besluten, inte en skärmordning som är identisk på alla plattformar:

1. Acceptera Sophos slutanvändarvillkor.
2. Starta installationen.
3. Ersätt administratörens standardlösenord med ett starkt, komplext lösenord och lagra det säkert.
4. Ställ in brandväggsnamn och tidszon.
5. Kontrollera Deployment Mode och uppgifterna för WAN, LAN och DNS mot nätverksplanen.
6. Ange serienummer eller befintliga licensuppgifter.
7. Granska alternativet för automatisk installation av firmware noggrant. I det registreringsflöde som beskrivs nedan avmarkeras Install the latest firmware automatically during setup (recommended); firmwareuppgraderingen planeras därefter separat med ett underhållsfönster och lokal åtkomst.
8. Skapa Secure Storage Master Key och spara den i lösenordshanteraren.
9. Slutför registrering och licenssynkronisering eller, om plattformen tillåter det, skjut medvetet upp dem.

Om nätverksinställningarna behöver ändras under gateway-installationen och guiden erbjuder detta steg, öppna Manual configuration, ange inställningar som passar nätverket och tillämpa dem med Apply. Bekräfta dialogrutan med OK och gå vidare med Continue. Kopiera inte exempelvärden utan att kontrollera dem; denna valfria följd är inte en universell skärmordning för varje plattform.

Secure Storage Master Key är viktig för skyddade data och återställningsscenarier. Vid nya installationer skapas nyckeln i Setup Assistant. Förvara den inte i en oskyddad lokal textfil på administratörens bärbara dator, utan i en skyddad lösenordshanterare eller enligt en kontrollerad återställningsprocedur. Om nyckeln går förlorad kan den tekniskt nollställas, men en nollställning återskapar inte den förlorade nyckeln och gör det inte möjligt att dekryptera befintliga säkerhetskopior eller data som skyddats med den.

SFOS 22 använder rekommenderade standardvärden i guiden, bland annat för hotfixar och Device Access. Se dem som en utgångspunkt, inte som ett generellt godkännande: kontrollera de faktiska inställningarna efter den första inloggningen. Under Administration > Admin and user settings bör du särskilt granska automatisk utloggning av inaktiva administratörssessioner och skyddet mot brute-force-inloggningar. Försvaga inte det rekommenderade skyddet utan särskilda skäl; dokumentera ursprungsvärdena före en ändring och testa inloggningen från det avsedda administrationsnätet.

Kontrollera tidsgränsen för inaktivitet under Sign out administrator session. Under Prevent brute force sign-in attacks kontrollerar du antalet misslyckade inloggningsförsök från samma IP-adress inom det inställda tidsintervallet och hur länge åtkomsten blockeras. Dokumentera de faktiska värdena innan de ändras; utlös inte avsiktligt en blockering för att testa dessa kontroller.

För administratörers SSH-åtkomst är autentisering med publik nyckel ett alternativ till lösenord; den ersätter inte WebAdmin-autentisering. Guiden för SSH-åtkomst och publika nycklar förklarar Administration > Device access > Public key authentication for admin, nyckelhantering och test i en andra session medan den befintliga administrationssessionen hålls öppen. Behåll en fungerande alternativ administrationsväg tills den nya SSH-inloggningen har verifierats.

Välj Gateway Mode eller Bridge Mode

Valet av läge i Setup Wizard är inte en kosmetisk inställning. Med This Firewall (Routed Mode) fungerar Sophos Firewall som en layer 3-gateway, routar trafiken och kan ersätta den befintliga gatewayen. Det är vanligtvis den tydligaste designen för en ny installation, men WAN- och LAN-adresser, rutter, NAT och brandväggsregler måste planeras.

Med Internet gateway (Bridge Mode) arbetar brandväggen inline som en layer 2-bridge framför eller bakom den befintliga routern. Det nuvarande IP-schemat kan behållas medan trafiken passerar IPS, malware-skanning och andra skyddsfunktioner. Bridgen vidarebefordrar även STP, RSTP och multicast routing. Transparent betyder därför inte riskfritt: switchvägen, loopskyddet, bridge members, zonerna och reglerna hör fortfarande till nätverksplanen.

⚠️ När Finish väljs tillämpar assistenten konfigurationen och startar om brandväggen. Om assistenten körs efter att ett HA-kluster har konfigurerats stänger SFOS av HA. Läget ska därför inte väljas på nytt i wizarden för ett befintligt HA-kluster. Sophos stöder HA på bridge-interface för en ny Bridge Mode-installation via assistenten, men kabeldragning, rollbyte och dataväg måste ändå testas kontrollerat.

För modeller med inbyggd trådlös radio, konfigurera det skyddade trådlösa nätverket och det trådlösa gästnätverket enligt nätverksplanen i motsvarande steg under gateway-installationen och välj sedan Continue. Dessa val ersätter inte kontrollen av den avsedda separationen mellan gästnätverket och LAN.

På modellerna XGS 88w, 108w, 118w och 128w erbjuder wizarden inte Bridge wireless network with LAN. Denna begränsning måste också beaktas vid gateway-installation; konfigurationen efter installationen som beskrivs nedan är därför inte begränsad till Bridge Mode. Om LocalWifi0 ska bryggas direkt till LAN konfigureras detta efter installationen under Wireless > Access points > LocalWifi0 > Bridge to Ethernet och testas med en trådlös klient.

I Gateway Mode kan wizarden dessutom aktivera Enable TAP/Discover Mode för en eller flera passiva övervakningsportar. Det gör inte de routade gränssnitten passiva: bara TAP-porten observerar en speglad kopia. Konfigurera Discover Mode med TAP och SPAN beskriver hela flödet för SPAN, rapportering och HA.

Efter omstarten kontrolleras i båda lägena först administrationsåtkomst, interfacestatus, DNS och ett känt testflöde. I Gateway Mode kontrolleras även default gateway, NAT och Firewall Rule ID. I Bridge Mode verifieras båda bridge members, STP/RSTP, routern som fortfarande ansvarar för vägen samt en verklig fram- och returväg.

Internetanslutning och DNS verifiering

Guiden kontrollerar om brandväggen når internet. Om kontrollen misslyckas, skriv inte bara “någon DNS”. Avgränsa i stället felet systematiskt:

• Har WAN-gränssnittet en giltig IP-adress?
• Är standardgatewayen korrekt?
• Behövs PPPoE, VLAN eller statisk routing?
• Kan brandväggen lösa DNS?
• Blockeras utgående HTTPS-trafik av en uppströmsenhet?
• Är datum, tid och tidszon korrekta?

För produktionsmiljöer bör DNS inte slumpmässigt ställas in på offentliga resolvers när intern namnupplösning behövs. Efter den första installationen ska interna domäner vidarebefordras korrekt till interna DNS-servrar via DNS Request Routes på Sophos Firewall.

Registrering av Sophos Firewall

Registrering kopplar brandväggen till Sophos License and Central-kontext. Du kan göra det direkt i guiden eller senare under drift. För produktiva brandväggar bör detta steg inte lämnas onödigt långt eftersom licensstatus, support, prenumerationer och centrala funktioner beror på det.

Claiming kopplar serienumret till rätt Sophos Fusion-konto. Det är inte samma sak som att senare registrera en befintlig brandvägg för Central Management med en OTP. Onlineinstallationen nedan kräver ett Sophos Fusion-konto med full licens eller testlicens och en brandvägg med Base License.

Följande claim-procedur förutsätter ett befintligt serienummer. Om det ännu inte finns något serienummer och onlineguiden erbjuder motsvarande andra alternativ, ger detta ett tillfälligt serienummer för en 30-dagars provperiod. Logga därefter in på det avsedda Sophos Fusion-kontot eller skapa ett konto, välj licensalternativet för provperioden och bekräfta med Claim firewall. Serienumret tilldelas brandväggen; gå vidare med Continue. Detta tillfälliga serienummer är varken den nedan beskrivna utvärderingen av enskilda skyddsmoduler på en redan identifierad brandvägg eller uppskjuten hårdvaruregistrering.

Claima en ny brandvägg under onlineinstallationen

1. Avmarkera Install the latest firmware automatically during setup (recommended) i guiden och klicka på Continue. Uppgraderingen förblir då ett planerat steg med underhållsfönster och lokal åtkomst, i stället för att köras samtidigt med registreringen.
2. Ange brandväggens namn och tidszon. Välj I have an existing serial number, ange den avsedda brandväggens serienummer och klicka på Continue.
3. Välj Claim in Sophos Central på Claim your firewall with Sophos Central. Logga in på rätt Sophos Fusion-konto; de engelska UI-etiketterna kan fortfarande ange Sophos Central.
4. Ange serienumret i Claim firewall och klicka på Validate. Kontrollera enhetskopplingen innan du claimar.
5. Välj medvetet mellan Just claim the firewall with Base license och Claim with 30 days Xstream Protection, Web Server Protection and Email Protection evaluation license. Det första alternativet kopplar bara baslicensen; det andra startar även den angivna utvärderingen på 30 dagar. En testperiod är inte ett betalt skyddspaket och ersätter inte en planerad förnyelse.
6. Klicka på Claim firewall. Tillbaka på brandväggen avslutar du på Basic setup is complete med Skip to finish, eller använder Continue för att konfigurera avancerade inställningar på ett kontrollerat sätt.
7. Logga in lokalt när installationen är klar och kontrollera serienummer och licensstatus under Administration > Licensing. Öppna My Products > Firewall Management > Firewall licenses i Sophos Fusion, sök efter samma brandvägg och fäll ut pilen bredvid namnet. Konto, serienummer och licensuppgifter ska stämma med den konfigurerade enheten.

För en redan konfigurerad och claimad enhet kan en administratör i en partner- eller kundmiljö i stället generera en OTP för Central Management-anslutningen. Då behöver Super Admin-uppgifter inte delas, men det ersätter varken claiming eller licensaktivering. Anslut Sophos Firewall till Sophos Fusion beskriver OTP- och hanteringsflödet.

Viktigt: Sophos Fusion Firewall Management kräver en betald prenumeration utöver Base Firewall License eller en aktiv supportlicens som ger rätt till funktionen, exempelvis Enhanced Support. Enbart Base Firewall License räcker inte för detta. Dessutom måste brandväggen kunna nå internet via IPv4 för Central Management.

Skjut upp registreringen: Endast hårdvarubrandväggar kan förbli utan claiming i upp till 30 dagar under den första installationen, till exempel för en demonstration eller installation utan internetåtkomst. Alternativet finns inte för software-, virtuella, Azure- eller AWS BYOL-brandväggar.

• Med internetåtkomst: Välj I do not want to register now under Register your firewall. Klicka på Continue, sedan på Continue i varningen, och slutför guiden.
• Utan internetåtkomst: Välj Continue Offline under Internet Connection. Klicka på Continue, sedan på Continue i varningen, och slutför guiden.

Fram till registreringen fungerar alla lokala funktioner utom Sophos Fusion och Synchronized Security Heartbeat. Efter installationen ska Registration has been currently deferred on this device. visas under Administration > Licensing. Registrera brandväggen i Sophos Fusion och slutför registreringen inom 30 dagar. Uppskjuten registrering ger inte rätt till betalda abonnemang; kontrollera den faktiska licensstatusen separat.

Aktivering av licenser

Efter registrering kontrollerar brandväggen dina licenser med Sophos licensserver. Om brandväggen har tillgång till Internet synkroniseras licensinformationen regelbundet. Dessutom kan du starta synkroniseringen manuellt i WebAdmin-konsolen.

Nya prenumerationer börjar när beställningen har fullgjorts, inte när licensnyckeln tillämpas. Nyckeln måste ändå tillämpas för att koppla licensen till den här brandväggen. Att tillämpa den senare ändrar varken start- eller slutdatum.

Aktivera en betald prenumeration på brandväggen

Klicka på Activate subscription under Administration > Licensing, ange licensnyckeln och välj Verify key. Jämför de visade prenumerationsuppgifterna med beställningen och brandväggen; bekräfta med Confirm endast om kopplingen är rätt. Den nya prenumerationen ska därefter visa Subscribed under Module subscription details.

Öppna sedan My Products > Firewall Management > Firewall licenses i Sophos Fusion, sök efter samma serienummer och fäll ut uppgifterna med pilen bredvid namnet. Kontrollera att den lokalt aktiverade prenumerationen även visas där med förväntade moduler och slutdatum. Aktivera en Sophos Firewall-licensnyckel beskriver License Schedule, förnyelser och aktiveringsfel.

Starta en utvärdering från brandväggen

Klicka på Sign in to Sophos Central under Activate evaluations in Sophos Central i Administration > Licensing. Välj endast de funktioner som ska testas i Activate Evaluations och bekräfta med Evaluate selected. Tillbaka på brandväggen ska de valda modulerna visa Evaluating under Module subscription details. Dokumentera slutdatum och beslutet om fortsatt licensiering innan produktionsregler blir beroende av dessa moduler.

Tillämpa en prenumeration i Sophos Fusion och synkronisera lokalt

Nyckeln kan även tillämpas centralt:

1. Öppna My Products > Firewall Management > Firewall licenses i Sophos Fusion, sök efter brandväggen med serienumret och fäll ut uppgifterna med pilen.
2. Klicka på Apply subscriptions, ange Subscription Key och välj Preview subscription.
3. Kontrollera prenumerationsuppgifter och enhetskoppling innan du bekräftar med Apply subscription. De nya prenumerationerna ska visas i portalens brandväggsuppgifter.
4. Öppna Administration > Licensing på brandväggen och klicka på Synchronize. Samma prenumerationer ska visas under Module subscription details med motsvarande status och slutdatum.

Detta kontrollerar båda riktningarna: lokal aktivering i Central-vyn och central tillämpning i den lokala licensvyn. Vid skillnader kontrollerar du först serienummer, konto, WAN, DNS och systemtid, i stället för att prova nyckeln på andra enheter. En giltig licens konfigurerar inte en skyddspolicy; dess effekt testas separat.

Under Administration > Licensing bör du kontrollera:

• Är rätt modell registrerad med rätt serienummer?
• Är baslicensen aktiv?
• Syns support, Xstream Protection, Standard Protection eller enskilda prenumerationer korrekt?
• Är utgångsdatum rimliga?
• Tillämpades verkligen en ny licensnyckel eller lagrades den bara i portalen?
• Visar brandväggen efter Synchronize samma status som Sophos Fusion?

Utan lämplig licens fungerar många skyddsfunktioner inte eller bara i begränsad omfattning. Beroende på funktion gäller detta till exempel IPS, Web Protection, Zero-Day Protection, DNS Protection, Central Orchestration, Active Threat Response eller supporttjänster. Grunderna för support och moduler finns i Förstå Sophos Firewall OS Base License och Vilka Sophos Firewall-paket finns det?.

Anslutning till plattformen Sophos Fusion

Sophos Fusion är inte absolut nödvändigt för lokal drift av en enda Sophos Firewall. Brandväggen kan manövreras helt via WebAdmin. Sophos Fusion har dock fördelar om du medvetet använder dessa funktioner:

• central översikt över en eller flera brandväggar,
• Central brandväggshantering utan direkt WebAdmin publicering från Internet,
• centrala säkerhetskopior,
• Central brandväggsrapportering,
• Beroende på licensen, längre logglagring och ytterligare rapporteringsfunktioner,
• Security Heartbeat och Synchronized Application Control i Sophos endpoint-miljöer,
• Integration i andra Sophos Fusion-processer.

Det är viktigt att ha rätt förväntningar: Sophos Fusion ersätter inte lokal driftdokumentation eller en välordnad administrationsprocess. Alla som aktiverar Central Management bör medvetet definiera roller, MFA, åtkomst, backuplagring och rapporteringslagring.

Mer om detta finns i artikeln Ansluta Sophos Firewall med Sophos Fusion: Fördelar och begränsningar.

Slutför installationen

Om gateway-assistenten erbjuder ett val av nätverksskyddsalternativ, välj medvetet de alternativ som passar det planerade nätverket och licensen och fortsätt med Continue. Inte heller detta val ersätter den efterföljande kontrollen av skyddsprofilerna och deras verkan.

I motsvarande steg i guiden, ange en e-postmottagare för aviseringar och säkerhetskopior och gå vidare med Continue. Före Finish, jämför konfigurationssammanfattningen med de avsedda inställningarna. Avsluta först därefter: Brandväggen tillämpar ändringarna och startar om. HA-varningen och de efterföljande kontrollerna gäller fortfarande.

När konfigurationen är klar startar brandväggen om eller omdirigerar till inloggningsskärmen. I det registreringsflöde som beskrivs ovan avmarkerades Install the latest firmware automatically during setup (recommended): att slutföra detta flöde innebär därför inte att den senaste firmwareversionen har installerats. Kontrollera den firmwareversion som faktiskt är aktiv efter inloggning och planera en eventuell nödvändig uppdatering separat med säkerhetskopia, underhållsfönster och en möjlighet att återgå till föregående tillstånd. Om en automatisk uppdatering valdes i ett annat konfigurationsflöde och anslutningen bryts under uppdateringen, är detta i sig ännu inget bevis på ett hårdvarufel eller en lyckad uppgradering. Kontrollera firmwareversionen och det grundläggande driftläget så snart lokal åtkomst är möjlig igen, innan produktionstrafik tillåts.

För detta automatiska uppgraderingsflöde under installationen beskriver det dokumenterade återställningsscenariot vid anslutningsförlust en omstart med den firmware som brandväggen levererades med. Det kan förklara varför den ursprungliga versionen visas igen. Detta är inte ett garanterat resultat för varje avbrott eller plattform och inte ett universellt löfte om återställning vid vanliga firmwareuppdateringar. Kontrollera den aktiva versionen och det grundläggande driftläget via lokal åtkomst och håll produktionstrafiken stoppad tills kontrollerna är klara.

Kontrollera direkt efter första inloggningen:

• Datum, tid och tidszon.
• Firmwareversion och mönsteruppdateringar.
• Licensstatus under Administration > Licensing.
• WAN status och internetåtkomst.
• Administratörslösenord och Secure Storage Master Key i lösenordshanteraren.
• Säkerhetskopieringskonfiguration.
• Tillgänglighet för WebAdmin-konsolen endast från önskade nätverk.
• Standardregler, NAT och DNS.
• Kontrollera de första loggposterna i Log viewer.

Gemensam orientering i WebAdmin

Efter varje inloggning öppnas Control center med en översikt över systemstatus och säkerhetsfunktionernas tillstånd. Sökfältet högst upp i vänstermenyn söker igenom menyalternativ, flikar och avsnittsrubriker. Resultaten visar även respektive sökväg, så att du kan hitta rätt inställningssida utan att öppna alla menyer var för sig.

Sidhuvudet i SFOS 22: navigering och utloggning

Denna orientering gäller det dokumenterade sidhuvudet i SFOS 22. How-to guides öppnar biblioteket med konfigurationsvideor, Log viewer öppnar Log Viewer i ett separat fönster och Help öppnar den sammanhangsberoende hjälpen för den aktuella sidan.

Klicka på det inloggade användarnamnet högst upp till höger, exempelvis admin. Menyn erbjuder Support för supportsidan och för att öppna ett supportärende, About product för licenssidan och Console för CLI-konsolen. På HA-enheter visar den även HA-typ, aktuell status, nodnamn och serienummer för Primary och Auxiliary.

När arbetet är klart väljer du Logout via användarnamnet högst upp till höger, så att ingen inloggad session lämnas kvar. Reboot device startar om brandväggen och Shutdown device stänger av den: båda avbryter driften och ska endast användas som planerade underhållsåtgärder, inte som ersättning för utloggning. De avvikande benämningarna för det uttryckligen dokumenterade SFOS 23-sidhuvudet beskrivs i nästa avsnitt; de visar inte att de äldre menysökvägarna har tagits bort generellt.

Sidhuvudet i SFOS 23: hitta rätt efter inloggningen

Denna orientering gäller uttryckligen WebAdmin-sidhuvudet som dokumenteras för SFOS 23; installationsproceduren för SFOS 22 ovan är fortfarande grunden.

• Sophos-logotypen leder tillbaka till Control center. Sidhuvudet visar modell och serienummer. Via Account icon kan man kontrollera användarroll, enhetsnamn, serienummer samt firmwareversion och build innan man arbetar på enheten.
• I kontomenyn öppnar Command line CLI-konsolen och Licenses licensvyn. Välj Account icon > Sign out för att logga ut. Restart startar om enheten; Shutdown stänger av den. Båda avbryter driften och är inte alternativ till utloggning: klicka inte på dem för att utforska gränssnittet, utan använd dem endast som planerade underhållsåtgärder.
• Frågeteckenmenyn erbjuder Help, Videos och Support. Feedbackikonen öppnar ett fönster för kommentarer.
• När HA är konfigurerat öppnar den separata HA icon klusterstatus samt namn och serienummer för Primary och Auxiliary. Detta är inte HA-ikonen i Sophos Fusion. För konfigurering och drift, se HA-kluster och varianter.
• Logs and policy test samlar loggåtkomst och fliken Policy test. Logghanteringen beskrivs fortfarande i Log Viewer-guiden; testa brandväggsregler korrekt förklarar den versionsspecifika vägen till testet.

Generalisera inte benämningarna: Det tidigare avsnittet om utloggning i SFOS 23-dokumentationen använder fortfarande Logout, medan avsnittet om sidhuvudet använder Sign out. Den oförändrade Manage-sidan anger dessutom admin > Console i stället för Account icon > Command line. Dessa texter är inte konsekventa; de nya benämningarna här gäller bara det uttryckligen dokumenterade SFOS 23-sidhuvudet. De visar inte att de tidigare SFOS 22-vägarna har tagits bort överallt.

Gör dig redo för produktion efter installationsguiden

Efter guiden börjar det riktiga arbetet: Brandväggen måste härdas, integreras i nätverksarkitekturen, dokumenteras och förberedas för felsökning. Dessa steg har större inflytande på senare drift än själva guiden.

Varför installationsguiden inte räcker

Vid efterarbetet kontrolleras gränssnitt och zoner, Device Access, DNS, DHCP, regler, NAT, loggar och säkerhetskopior. Skyddsprofiler som webbfilter, IPS, Application Control och TLS Inspection aktiveras och testas utifrån arkitekturen. Följande avsnitt går igenom dessa kontroller.

Först är det värt att ta en titt på Control Center. Där kan du se systemstatus, trafik, användar- och enhetsinformation, aktiva brandväggsregler, rapporter och information som ny firmware eller hälsokontroll. Varningar och anteckningar på detta område ska inte bara ignoreras utan snarare användas som en praktisk checklista för uppföljningsarbete.

Kontrollera firmware, licens och backup

Under Backup & firmware kan du kontrollera om den aktiva firmwaren är uppdaterad. Firmwareuppdateringar är säkerhetsrelevanta eftersom de inkluderar buggfixar, stabilitetsförbättringar och säkerhetsfixar. Uppdateringar bör inte skjutas upp permanent, men de bör inte heller installeras oförberedda.

Sophos Firewall har två firmwareplatser. Vid problem kan du därför starta brandväggen med en tidigare firmwareversion. Skapa ändå en manuell säkerhetskopia före varje större ändring. För brandväggar i produktion ska du planera ett underhållsfönster och kontrollera versionsinformationen, HA-status, ledigt lagringsutrymme, VPN-beroenden och extern åtkomst.

Konfigurera även regelbunden säkerhetskopiering under Backup & firmware. Ett säkerhetskopieringslösenord krävs för krypterade säkerhetskopior. Secure Storage Master Key behövs också i återställningsscenarier för känsliga data och ska förvaras i en skyddad lösenordshanterare. Om nyckeln går förlorad kan den nollställas via konsolen, men det återskapar inte den förlorade nyckeln och dekrypterar inte befintliga säkerhetskopior eller data som skyddats med den. Nollställningen gör därför inte dessa säkerhetskopior återställningsbara.

Kontrollera sedan under Administration > Licensing om registrering, baslicens och bokade prenumerationer visas korrekt. För uppdateringsämnet hjälper artiklarna Sophos Firewall-firmwareuppdatering: förberedelser och bästa praxis och Uppdatera firmware på Sophos Firewall till. Säkerhetskopiering förklaras mer i detalj i artikeln Sophos Firewall Skapa eller återställ en säkerhetskopia.

Planera zoner och gränssnitt noggrant

Guiden kan kombinera flera LAN-portar till en brygga på hårdvaruapparater. Detta är användbart för en snabb start, men är inte alltid den bästa målarkitekturen. Under Network > Interfaces bör du kontrollera vilka portar, VLANs, bryggor eller LAGs som verkligen behövs.

Varje gränssnitt är tilldelat exakt en zon. Den här uppgiften avgör senare hur brandväggsregler, Device Access och skyddsprofiler gäller. Typiska produktiva zoner är till exempel LAN, Server, DMZ, Guest, VoIP, Management eller VPN. Inte varje VLAN behöver nödvändigtvis sin egen zon, men varje zon bör ha en tydlig säkerhetsinnebörd.

Du kan ta reda på mer om detta i artikeln Sophos Firewall Planera och konfigurera zoner och gränssnitt.

Säker Device Access

Ett vanligt misstag efter den första installationen är för mycket hanteringsåtkomst. Åtkomst till lokala brandväggstjänster, såsom WebAdmin, SSH, User Portal, VPN Portal, DNS eller Ping, kontrolleras inte via vanliga brandväggsregler. Administration > Device access ansvarar för detta.

⚠️ WebAdmin, SSH, User Portal och VPN Portal bör aldrig göras åtkomliga enbart för att brandväggens regelbas ser “ren” ut. Åtkomsten till dessa tjänster styrs av Device Access och Local Service ACLs. Testa aktivt efter varje ändring från vilka zoner och källnätverk åtkomst faktiskt är möjlig.

För produktiva system bör HTTPS och SSH inte tillåtas i stor utsträckning från osäkra zoner. Om extern åtkomst är nödvändig bör du arbeta med en Local service ACL exception rule och begränsa åtkomsten till fasta IP-adresser eller definierade hanteringsnätverk. Alternativt är Sophos Fusion Brandväggshantering ofta den renare lösningen.

Mer information finns i artikeln Sophos Firewall Säkra åtkomst: Konfigurera Device Access korrekt.

Ställ in administratörskonton, MFA och reserv

Efter den första inloggningen ska du inte arbeta permanent med delad administratörsåtkomst. Personliga administratörskonton, tydliga roller och dokumenterad nödåtkomst är bättre för vardagen. Detta gör det möjligt att senare se vem som gjort en ändring, och ett enstaka komprometterat lösenord ger dig inte automatiskt full tillgång till brandväggen.

Denna ordning är vettig för nya brandväggar:

1. Testa minst en andra administrativ åtkomst innan MFA är allmänt aktiverad.
2. Behandla den lokala standardanvändaren admin som ett break-glass-konto och använd det inte i det dagliga arbetet.
3. Aktivera MFA för WebAdmin, VPN Portal och Remote Access enligt plan.
4. Dokumentera roller och ansvar, särskilt om Sophos Fusion brandväggshantering används.
5. Ställ in tokenåterställningar, lösenordslagring och åtkomst utanför kontorstid.

MFA minskar risken för stulen åtkomstdata, men ersätter inte åtkomstbegränsningar. Därför hör MFA för Sophos Firewall WebAdmin, VPN Portal och fjärråtkomst och Device Access ihop. Om flera personer arbetar via Sophos Fusion ska Sophos Fusion administrationsrollerna också kontrolleras.

Kontrollera DNS, DHCP och intern namnupplösning

Network > DNS bestämmer hur brandväggen tar emot DNS servrar: via DHCP, via PPPoE information från leverantören eller statiskt. För interna domäner bör du använda DNS request routes så att förfrågningar om interna zoner går till rätt interna DNS server.

För nya installationer bör DNS testas med riktiga interna och externa namn. Ett test med enbart google.com räcker inte om Active Directory, filservrar, skrivare, hanteringssystem eller interna applikationer används senare. Det som är särskilt viktigt är om klienterna får rätt DNS-servrar och om brandväggen inte oavsiktligt vidarebefordrar interna domäner till offentliga resolvers.

Praktisk DNS-kontroll:

• Brandväggen slår upp externa namn: DNS-uppslagningen fungerar för de testade namnen. Kontrollera därefter registrering, licenssynkronisering, uppdateringar och anslutning till Central separat.
• Klienten slår upp externa namn: DNS-uppslagningen fungerar för de testade namnen. Kontrollera även DHCP-tilldelningen, den använda DNS-servern och brandväggsregeln.
• Klienten slår upp interna namn: Den interna namnuppslagningen fungerar för de testade namnen. Kontrollera om den avsedda interna DNS-servern eller DNS request route används.
• VPN- eller VLAN-klienten slår upp interna namn: Namnuppslagningen fungerar även från det testade nätverket. Kontrollera ändå DNS-servern, sökdomänen och zonregeln mot den planerade konfigurationen.

DHCP konfigureras per gränssnitt under Network > DHCP. Konfigurera Sophos Firewall som DHCP-server visar hur man planerar och testar adressintervall, gateway, DNS, leasetider och statiska tilldelningar.

Om DHCP ska vidarebefordras över VPN-rutter kan brandväggen också fungera som ett DHCP-relä. För DHCP specialalternativ finns det Sophos Firewall DHCP Konfigurera alternativ.

Kontrollera de första brandväggs- och NAT-reglerna

Standardregeln för utgående överföring som skapats av guiden bör inte antas blint. Under Rules and policies > Firewall rules bör du kontrollera vilka källzoner som är tillåtna, vilka destinationer som ska vara tillgängliga och vilka säkerhetsfunktioner som är aktiva. Regler bearbetas uppifrån och ned; den första matchningsregeln vinner.

Till att börja med bör det finnas minst en avsiktligt namngiven klient-till-internet-regel. Den här regeln bör inte bara tillåta Any till Any, utan bör tydligt visa källzon, källnätverk, destinationer, tjänster, loggning och säkerhetsfunktioner. Om regeln senare utökas bör det förbli klart om den är avsedd för vanliga klienter, servrar, gäster, IoT eller hanteringsenheter.

En första regelkontroll kan se ut så här:

1. Anslut testklienten i den angivna zonen.
2. Kontrollera IP-adress, gateway och DNS på klienten.
3. Skapa ett externt HTTPS-anrop.
4. Sök efter käll-IP, destination, tjänst och Rule ID i Log viewer.
5. Kontrollera om den förväntade brandväggsregeln och NAT-regeln uppfylldes.
6. Genomföra ett avsiktligt otillåtet test, till exempel från en gäst- eller administrationszon.
7. Dokumentera vilken regel som behålls i produktion och vilken regel från installationsguiden eller testregel som tas bort.

Följande gäller för NAT: NAT tillåter ingen trafik på egen hand. En lämplig brandväggsregel krävs alltid. För vanliga klienters åtkomst till internet är en käll-NAT-regel med MASQ vanligtvis relevant. För publicerade servrar behöver du dock DNAT plus lämplig brandväggsregel, loggning och ett externt test utanför din egen LAN. För nya konfigurationer är fristående NAT-regler vanligtvis tydligare än länkade NAT-regler. Grunderna finns i Förstå och korrekt konfigurera Sophos Firewall-regler och Förstå NAT på Sophos Firewall: SNAT, DNAT, MASQ, PAT. Om en intern server ska publiceras, se artikeln Publicera en server via DNAT på Sophos Firewall.

Aktivera medvetet skyddsfunktioner

En brandväggsregel är inte automatiskt en fullständig skyddsregel. Beroende på licens och mål bör IPS, Web Protection, Application Control, skanning av skadlig programvara, TLS Inspection, Zero-Day Protection eller Threat Feeds medvetet aktiveras, testas och dokumenteras.

Praktisk ordning:

1. Skapa rena zoner och regler.
2. Aktivera loggning för viktiga regler.
3. Aktivera IPS och Web Protection där de passar tekniskt.
4. Lägg till Application Control för riskabla eller oönskade applikationer.
5. Inför bara TLS Inspection som planerat, med testgrupp, CA distribution och undantag.
6. Aktivera Threat Feeds, NDR eller Active Threat Response först när övervakningen och processen för att hantera falska positiva larm är fastställda.

För det bredare härdande sammanhanget passar Sophos Firewall Best Practices: Network, Rules and Security. För Zero-Day Protection finns Sophos Firewall förstå och använda Zero-Day Protection, för TLS Inspection finns det Sophos Firewall introducera TLS Inspection.

Förbered loggning och felsökning

Log firewall traffic bör aktiveras i viktiga brandväggsregler, annars saknas ofta den exakta informationen du behöver för felsökning senare. Många människor är inte medvetna om detta: Om en brandväggsregel inte loggar, visas inte den berörda trafiken på ett användbart sätt i Log Viewer. Du kan då se andra systemhändelser, men inte det specifika regelbeslutet som du faktiskt letar efter.

Under System services > Log settings kan du definiera vilka loggtyper som skickas lokalt, till syslog-servrar eller till Sophos Fusion. Brandväggen har lokala loggfiler och en intern rapportdatabas, men dessa är inte tänkta som ett långtidsarkiv på veckor, månader eller år. Om loggar ska lagras permanent eller genomsökas centralt krävs antingen en extern syslog-server eller Sophos Fusion brandväggsrapportering.

Följande gäller i grova drag för Sophos Fusion: Med en aktiv brandväggsprenumeration är centrala brandväggsrapporter tillgängliga under en begränsad tidsperiod. Längre utvärderingar är möjliga med Xstream Protection eller Central Orchestration. Med Central Firewall Reporting Advanced får du ytterligare lagringsutrymme och betydligt längre lagring. Detaljerna beskrivs i Aktivera central brandväggsrapportering.

För inledande analyser räcker det vanligtvis med Log viewer, Policy tester och Packet capture. För djupare analys kan du även säkerhetskopiera CLI-loggar, aktivera felsökningsloggar eller använda tcpdump. Felsökningsloggar bör endast aktiveras specifikt och under en begränsad tidsperiod eftersom de genererar betydligt mer data. Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture visar hur man testar regler. För Packet Capture, tjänstnamn och loggfiler finns artiklarna Använd Packet Capture-verktyget i WebAdmin och Sophos Firewall Felsökning: tjänster och loggar. Om du vill samla in loggar för support eller extern analys, hjälper Sophos Firewall Spara loggar för extern analys.

Acceptanstest före produktiv trafik

Innan du går live bör du inte bara kontrollera om “Internet fungerar”. Ett litet, dokumenterat acceptanstest förhindrar många senare supportärenden.

Testa om möjligt reglerna offline i ett testnät först. Ett annat stegvis alternativ är att tillfälligt använda en annan gatewayadress i det verkliga nätet och endast peka utvalda testklienter mot brandväggen. Ändra gatewayadress eller kabeldragning i det planerade underhållsfönstret först när trafik fungerar i båda riktningarna. Om testet misslyckas pekas testklienterna tillbaka mot den befintliga gatewayen; produktionen förblir oförändrad.

Användbara tester:

• Administratörsinloggning från hanteringsnätverk: WebAdmin är tillgänglig, men inte öppen från oönskade zoner.
• Administratörsinloggning från klient, gäst eller WAN-zon: Åtkomst blockeras om inget medvetet hanteringsnätverk tillhandahålls där.
• Andra Admin eller Break Glass Access: Åtkomst är fortfarande möjlig om MFA, SSO eller ett användarkonto misslyckas.
• Klient från LAN till Internet: Brandväggsregel, NAT, DNS och säkerhetspolicy fungerar som förväntat.
• Internt DNS namn: DNS Request Routes eller interna resolvers fungerar.
• Blockerad testtrafik: Log viewer visar rätt regel eller att trafiken har blockerats som förväntat.
• Nedladdning och lagring av säkerhetskopiering: Säkerhetskopian är både skapad och möjlig att hitta.
• Central eller Syslog-destination: Loggar och rapporter kommer utanför brandväggen, om detta är planerat.

Testet bör kortfattat dokumenteras: datum, firmwareversion, plats, käll-IP testad, mål, förväntat resultat och utestående problem. Detta verkar ospektakulärt, men sparar tid när en VPN, en NAT regel eller ett DNS problem behöver undersökas dagar senare.

Checklista efter första installationen

Kontrollera omedelbart

• Administratörslösenord och Secure Storage Master Key lagras säkert.
• Brandvägg registrerad och licensstatus kontrollerad.
• Firmware-status och mönsteruppdateringar kontrollerade.
• Manuell säkerhetskopia skapad och lagrad externt.
• WebAdmin och SSH kan endast nås från önskade nätverk.
• Negativa åtkomsttester genomförda: verifierat att åtkomst till WebAdmin och SSH blockeras från oönskade zoner.
• Andra administratörsåtkomsten och Break-Glass-konceptet testade.
• WAN, DNS och tidszon kontrollerade.
• Standardbrandväggsregeln har utvärderats medvetet.

Kolla under de första dagarna

• Zoner, VLAN, bryggor och LAG är genomtänkt planerade.
• DNS request routes och DHCP-adressintervall kontrollerade.
• Brandväggsregler och NAT regler dokumenterade.
• Loggning aktiverad på viktiga brandväggsregler (Log firewall traffic).
• Central säkerhetskopiering eller lokal säkerhetskopiering konfigureras.
• Central Reporting, syslog eller annan loggdestination bestämd.
• De första reglerna validerade med Log Viewer, Policy Test och Packet Capture.

Kontrollera före produktionsstart

• Administrationsåtkomsten härdad.
• MFA och administratörsroller kontrollerade.
• IPS, Web Protection, Application Control och andra skyddsfunktioner aktiverade medvetet.
• TLS Inspection endast planerad med test- och undantagsprocess.
• Fjärråtkomst, IPsec, WAF, RED eller SD-WAN testade separat om de används.
• Återställning och supportsökväg dokumenteras.

Typiska misstag

• Guidens konfiguration används direkt produktivt: Regler som är för breda, felaktiga zoner eller öppna hanteringstjänster kvarstår. Efter guiden ska du fylla i din egen operativa checklista.
• Secure Storage Master Key inte dokumenterad: Återställning eller migrering blir onödigt svårt. SSMK bör lagras i lösenordshanteraren omedelbart.
• WebAdmin tillgänglig från WAN eller klientnätverk: Bots, brute force och onödiga attackytor blir mer sannolika. Device Access och Local Service ACL Exception Rules bör ställas in noggrant.
• MFA aktiverad utan reservlösning: Administratörer kan låsa sig ute vid problem med token, tid eller grupper. Testa den andra administratören, Break-Glass-åtkomsten och tokenprocessen i förväg.
• Loggning glömd i regler: Senare felsökning sker i blindo. Log firewall traffic bör vara aktivt på viktiga regler.
• DNS löses endast med offentlig resolver: Interna namn fungerar inte tillförlitligt. Planera interna DNS servrar och DNS Request Routes.
• NAT förväntas utan en lämplig brandväggsregel: Servrar eller tjänster kan inte nås trots NAT. Kontrollera alltid NAT och brandväggsregeln tillsammans.
• Firmware-uppdatering installerad utan backup: Det finns ingen väg tillbaka om problem uppstår. Före uppdateringar, kontrollera säkerhetskopiering, Release-anteckningar och underhållsfönster.

FAQ