Konfigurera Sophos Firewall korrekt efter installationsguiden

Efter installationsguiden är Sophos Firewall åtkomlig, registrerad och i grunden driftklar. Den är däremot ännu inte säkert konfigurerad för produktion. Guiden hanterar starten, inte den färdiga produktionsarkitekturen.

Artikeln samlar kontrollerna efter den första installationen: internetåtkomst, registrering, licenser, firmware, backup, zoner, Device Access, DNS, DHCP, brandväggs- och NAT-regler, loggning och inledande härdning. Den utgår från SFOS 22 och är en praktisk checklista för nya XGS Appliances, virtuella brandväggar och mindre migreringar. Fältnamnen följer Sophos engelska gränssnitt; enskilda sidor och alternativ kan variera beroende på plattform, modell och online- eller offlineinstallation.

Vid migrering från XG till XGS Appliance, från hårdvara till virtuell miljö eller vid restore till en ersättningsenhet bör även Sophos Firewall Backup skapa eller återställa och Sophos XG vs. XGS: skillnader, EOL och migrering kontrolleras.

Snabbväg efter första inloggningen

Om brandväggen precis kommer ut ur guiden är inte alla detaljer lika brådskande. De första 30 minuterna handlar om att inte tappa åtkomst, säkra situationen och identifiera de största operativa riskerna.

Denna ordning är vettig för de flesta nya installationer:

1. Säker administratörsåtkomst: Dokumentlösenord, Secure Storage Master Key och andra administratörs- eller brytglasåtkomst.
2. Kontrollera licens och registrering: Kontrollera under Administration > Licensing om modell, serienummer, baslicens och prenumerationer är korrekta.
3. Skapa säkerhetskopia: Ladda ner en manuell säkerhetskopia och lagra den externt innan du gör några ytterligare ändringar.
4. Kontrollera firmware och mönster: Kontrollera firmware-status, Hotfixes och mönsteruppdateringar, men installera bara uppdateringar med ett underhållsfönster och återställningsplan.
5. Device Access Gräns: Tillåt inte att WebAdmin och SSH är brett tillgängliga från klient-, gäst-, IoT- eller WAN-zoner.
6. Kontrollera zoner och gränssnitt för rimlighet: Kontrollera WAN, LAN, VLANs, bryggor, hanteringsnätverk och senare säkerhetszoner mot nätverksplanen.
7. Utvärdera standardregler: Anta inte den första brandväggen och NAT-reglerna som en färdig säkerhetsdesign.
8. Aktivera loggning: För viktiga regler, slå på Logga brandväggstrafik så att senare tester i Log Viewer kan spåras.
9. Planacceptanstest: Släpp bara produktiv trafik efter en kort testplan, inte direkt efter guiden.

Endast när dessa punkter är rena bör produktiv trafik, fjärråtkomst, WAF, SD-WAN, RED eller TLS Inspection ställas in. Annars blir felsökningen onödigt svår senare eftersom det är oklart om ett problem kommer från grundkonfigurationen, en säkerhetsfunktion eller en applikation.

Ställ in vägar efter situation

Efter guiden förgrenas arbetet snabbt i flera områden. Dessa ingångspunkter är vettiga för nya brandväggar:

• Central anslutning: Om du vill ansluta brandväggen till Sophos Fusion (tidigare Sophos Central) eller förstå gränserna för Central, passar anslut Sophos Firewall till Sophos Fusion.
• Licensstatus: För baslicens, support och prenumerationer Sophos Firewall Understanding Base License hjälper.
• Säkerhetskopiera och återställa: Innan den första ändringen bör Sophos Firewall skapa eller återställa säkerhetskopia förberedas.
• Administratörsåtkomst: WebAdmin, SSH, User Portal eller VPN Portal förstärks via Sophos Firewall Säker åtkomst: konfigurera Device Access korrekt.
• Nätverksdesign: För zoner, gränssnitt, VLANs eller bryggor är Sophos Firewall Konfigurera zoner och gränssnitt den bättre starten.
• Första regler: För brandvägg och NAT grunderna, Förstå och korrekt konfigurera Sophos Firewall regler passar.
• DNS och DHCP: Intern namnupplösning är renare med konfigurera DNS Request Routes till Sophos Firewall.
• Rapportering: Aktivera central brandväggsrapportering hjälper till för loggar, rapporter och längre lagring.
• Hälsokontroll: Säkerhetsfynd enligt SFOS 22 kan prioriteras med Sophos Firewall Health Check korrekt.
• Uppgraderingsplanering: För firmwareuppdatering eller SFOS-22 uppgradering, passar Sophos Firewall före SFOS 22 kontrollera uppgradering.

Denna separation är viktig eftersom en framgångsrik guide inte betyder en färdig säkerhetsarkitektur. Innan produktiv trafik bör hanteringsåtkomst, säkerhetskopiering, licens, zoner, regler, loggning och skyddsfunktioner kontrolleras noggrant.

Förbered innan installation

Innan du startar guiden bör åtkomst, WAN-anslutning, hanteringsnätverk och licenskontext vara tydlig. Detta hindrar dig från att improvisera under installationen och att behöva korrigera oklara grundantaganden senare.

Krav för inställning

Innan du ställer in den bör det vara klart hur brandväggen kommer att integreras i nätverket. Många senare problem uppstår inte i själva guiden, utan eftersom WAN, LAN, DNS, hanteringsåtkomst eller licensdata är improviserade.

Ha klart innan du börjar:

• Brandväggsmodell, serienummer och planerad plats.
• WAN får åtkomst till data eller leverantörsinformation, till exempel DHCP, statisk IP, PPPoE, VLAN eller uppströms router.
• Internt målnätverk för den första LAN eller hanteringsåtkomsten.
• DNS servrar fungerar under installationen.
• Ett Sophos Fusion-konto med full licens eller testlicens och en brandvägg med Base License; för Central-anslutning av en redan konfigurerad och claimad enhet vid behov en person som kan generera en OTP.
• Schemalagt administratörslösenord och lagringsplats i lösenordshanteraren.
• Bestäm om brandväggen ska sättas upp igen direkt eller återställas via backup.

Brandväggen myndigheter och fungerande internetförsörjningskoppling för registrering, licensiering, uppdateringar och central försörjningskoppling. Om en uppströmsenhet filtrerar utgående trafik måste åtminstone den nödvändiga HTTPS-attkomsten fungera. För komplexet av hävstångsinstallationer finns WAN-atcomst-planering såväl som för att gissa under guiden.

Anslutningar och nätverkskonfiguration

Beroende på modell skiljer sig portnamn och standardtilldelningar. Många hårdvaruenheter tillåter initial LAN-åtkomst via standardadressen, medan större modeller också kan ha en dedikerad hanteringsport.

I den beskrivna fabriksinställningen för hårdvaran är Port B WAN-porten och får sin adress via DHCP. Det är ett utgångsvärde, inte ett krav för varje plattform eller leverantör: Vid statisk adressering, PPPoE eller leverantörs-VLAN anpassas WAN-konfigurationen till anslutningsplanen.

För den första LAN-åtkomsten med den dokumenterade fabriksinställningen får administratörens dator först en ledig IPv4-adress i 172.16.16.0/24, exempelvis 172.16.16.2 med nätmasken 255.255.255.0. Anslut datorn direkt eller via det kontrollerade installationsnätverket till den avsedda LAN-porten; i det beskrivna hårdvaruexemplet är det Port A. Öppna först därefter https://172.16.16.16:4444. Portnamn och fabrikstilldelningar måste stämma med modellen eller plattformen; dessa LAN-instruktioner ersätter inte den separata MGMT-åtkomsten.

Typiska första åtkomster:

• LAN port med https://172.16.16.16:4444: Initial installation via det lokala installationsnätverket.
• MGMT-port med https://10.0.1.1:4444: dedikerad hanteringsåtkomst på modeller med MGMT-port.
• Serial Console eller Local Access: Nödsituationer eller ombilder.

Den initiala installationsklienten bör anslutas direkt eller via ett kontrollerat installationsnätverk. Gamla DHCP-servrar, felaktiga VLANs eller en produktiv switchport med en oväntad portkonfiguration kan komplicera den initiala installationen i onödan.

För modeller med en dedikerad hanteringsport bör detta nätverk verkligen vara reserverat för administratörer. Icke-administrativa användare, vanliga klienter eller gästenheter hör inte hemma på samma hanteringsportundernät. Annars blir en praktisk initial åtkomst snabbt ett onödigt hanteringsområde.

Konfigurera den dedikerade administrationsporten

Enheter på 1U och större har minst en dedikerad administrationsport. Den visas som PortMGMT under Network > Interfaces, tillhör LAN-zonen som standard och använder inledningsvis 10.0.1.1. Ge den direktanslutna administrationsdatorn en ledig adress i samma subnät för installationen, exempelvis 10.0.1.2/24. Ändra PortMGMT efter installationen till en adress i planerat administrations-VLAN. Om åtkomst behövs via VPN ska endast nödvändiga HTTPS och vid behov SSH tillåtas för VPN-zonen under Administration > Device access.

HA-anmärkning: I ett HA-kluster synkroniserar SFOS den vanliga administrationsportskonfigurationen från Primary till Auxiliary. PortMGMT-gränssnittets IP-adress är därför samma på båda enheterna och kan inte anges olika per nod. Separat WebAdmin-åtkomst till Auxiliary konfigureras via ytterligare Peer administration IP i samma administrationsnät.

Tillgång till webbgränssnittet

För att konfigurera, gå till WebAdmin-konsolen via en webbläsare. Beroende på gränssnittet används en av dessa adresser:

• LAN port: https://172.16.16.16:4444
• Management Port: https://10.0.1.1:4444

När den öppnas för första gången använder brandväggen ett lokalt signerat certifikat. Webbläsarvarningen är normal för närvarande, men bör inte ignoreras senare. Ett lämpligt certifikat bör planeras för produktiv WebAdmin-åtkomst, särskilt om flera administratörer, central ledning eller en hanterings-FQDN används.

Så länge standardanvändaren admin fortfarande används med standardlösenordet gäller ytterligare begränsningar. SSH från WAN-zonen avvisas inte normalt, men brandväggen stänger tyst anslutningen. WebAdmin från WAN-zonen visar ett förbjudet meddelande. SCP kan inte användas med standardåtkomstdata i zonerna LAN och WAN. Detta tillstånd ska förstås som en installationsfas, inte en driftsmodell.

Kör installationsguiden

Installationsguiden ställer in den grundläggande brandväggen. Denna fas handlar inte om den slutliga säkerhetsdesignen, utan snarare om att få brandväggen online, registrerad och hanterbar på ett kontrollerat sätt.

Initial installation med installationsguiden

Installationsguiden samlar in grunduppgifterna och gör brandväggen startklar. Listan nedan beskriver besluten, inte en skärmordning som är identisk på alla plattformar:

1. Acceptera Sophos slutanvändarvillkor.
2. Starta installationen.
3. Ställ in administratörslösenord och lagra det säkert.
4. Ställ in brandväggsnamn och tidszon.
5. Kontrollera Deployment Mode och uppgifterna för WAN, LAN och DNS mot nätverksplanen.
6. Ange serienummer eller befintliga licensuppgifter.
7. Planera ett underhållsfönster för firmwareuppgraderingen som följer efter onlineguiden och se till att lokal åtkomst finns kvar.
8. Skapa Secure Storage Master Key och spara den i lösenordshanteraren.
9. Slutför registrering och licenssynkronisering eller, om plattformen tillåter det, skjut medvetet upp dem.

Om nätverksinställningarna behöver ändras under gateway-installationen och guiden erbjuder detta steg, öppna Manual configuration, ange inställningar som passar nätverket och tillämpa dem med Apply. Bekräfta dialogrutan med OK och gå vidare med Continue. Kopiera inte exempelvärden utan att kontrollera dem; denna valfria följd är inte en universell skärmordning för varje plattform.

Secure Storage Master Key är viktigt för skyddade data och återställningsscenarier. För nya installationer skapas den i Setup Assistant. Det hör inte hemma i en lokal textfil på admin-anteckningsboken, utan i ett kontrollerat lösenord eller återställningsprocedur. Om den tappas bort kan den tekniskt återställas, men befintliga skyddade säkerhetskopior eller data kan inte dekrypteras automatiskt.

SFOS 22 använder rekommenderade standardvärden i guiden, bland annat för hotfixar och Device Access. Se dem som en utgångspunkt, inte som ett generellt godkännande: kontrollera de faktiska inställningarna efter den första inloggningen. Under Administration > Admin and user settings bör du särskilt granska automatisk utloggning av inaktiva administratörssessioner och skyddet mot brute-force-inloggningar. Försvaga inte det rekommenderade skyddet utan särskilda skäl; dokumentera ursprungsvärdena före en ändring och testa inloggningen från det avsedda administrationsnätet.

Välj Gateway Mode eller Bridge Mode

Valet av läge i Setup Wizard är inte en kosmetisk inställning. Med This Firewall (Routed Mode) fungerar Sophos Firewall som en layer 3-gateway, routar trafiken och kan ersätta den befintliga gatewayen. Det är vanligtvis den tydligaste designen för en ny installation, men WAN- och LAN-adresser, rutter, NAT och brandväggsregler måste planeras.

Med Internet gateway (Bridge Mode) arbetar brandväggen inline som en layer 2-bridge framför eller bakom den befintliga routern. Det nuvarande IP-schemat kan behållas medan trafiken passerar IPS, malware-skanning och andra skyddsfunktioner. Bridgen vidarebefordrar även STP, RSTP och multicast routing. Transparent betyder därför inte riskfritt: switchvägen, loopskyddet, bridge members, zonerna och reglerna hör fortfarande till nätverksplanen.

⚠️ När Finish väljs tillämpar assistenten konfigurationen och startar om brandväggen. Om assistenten körs efter att ett HA-kluster har konfigurerats stänger SFOS av HA. Läget ska därför inte väljas på nytt i wizarden för ett befintligt HA-kluster. Sophos stöder HA på bridge-interface för en ny Bridge Mode-installation via assistenten, men kabeldragning, rollbyte och dataväg måste ändå testas kontrollerat.

För modeller med inbyggd trådlös radio, konfigurera det skyddade trådlösa nätverket och det trådlösa gästnätverket enligt nätverksplanen i motsvarande steg under gateway-installationen och välj sedan Continue. Dessa val ersätter inte kontrollen av den avsedda separationen mellan gästnätverket och LAN.

På modellerna XGS 88w, 108w, 118w och 128w erbjuder wizarden inte Bridge wireless network with LAN. Denna begränsning måste också beaktas vid gateway-installation; konfigurationen efter installationen som beskrivs nedan är därför inte begränsad till Bridge Mode. Om LocalWifi0 ska bryggas direkt till LAN konfigureras detta efter installationen under Wireless > Access points > LocalWifi0 > Bridge to Ethernet och testas med en trådlös klient.

I Gateway Mode kan wizarden dessutom aktivera Enable TAP/Discover Mode för en eller flera passiva övervakningsportar. Det gör inte de routade gränssnitten passiva: bara TAP-porten observerar en speglad kopia. Konfigurera Discover Mode med TAP och SPAN beskriver hela flödet för SPAN, rapportering och HA.

Efter omstarten kontrolleras i båda lägena först administrationsåtkomst, interfacestatus, DNS och ett känt testflöde. I Gateway Mode kontrolleras även default gateway, NAT och Firewall Rule ID. I Bridge Mode verifieras båda bridge members, STP/RSTP, routern som fortfarande ansvarar för vägen samt en verklig fram- och returväg.

Internetanslutning och DNS verifiering

Guiden kontrollerar om brandväggen når internet. Om kontrollen misslyckas, skriv inte bara “någon DNS”. En tydlig definition är bättre:

• Har WAN-gränssnittet en giltig IP-adress?
• Är standardgatewayen korrekt?
• Behövs PPPoE, VLAN eller statisk routing?
• Kan brandväggen lösa DNS?
• Blockeras utgående HTTPS-trafik av en uppströmsenhet?
• Är datum, tid och tidszon korrekta?

För produktionsmiljöer bör DNS inte slumpmässigt ställas in på offentliga resolvers när intern namnupplösning behövs. Efter den första installationen ska interna domäner vidarebefordras rent till interna DNS-servrar via DNS begärande rutter på Sophos Firewall.

Registrering av Sophos Firewall

Registrering kopplar brandväggen till Sophos License and Central-kontext. Du kan göra det direkt i guiden eller senare under drift. För produktiva brandväggar bör detta steg inte lämnas onödigt långt eftersom licensstatus, support, prenumerationer och centrala funktioner beror på det.

Claiming kopplar serienumret till rätt Sophos Fusion-konto. Det är inte samma sak som att senare registrera en befintlig brandvägg för Central Management med en OTP. Onlineinstallationen nedan kräver ett Sophos Fusion-konto med full licens eller testlicens och en brandvägg med Base License.

Följande claim-procedur förutsätter ett befintligt serienummer. Om det ännu inte finns något serienummer och onlineguiden erbjuder motsvarande andra alternativ, ger detta ett tillfälligt serienummer för en 30-dagars provperiod. Logga därefter in på det avsedda Sophos Fusion-kontot eller skapa ett konto, välj licensalternativet för provperioden och bekräfta med Claim firewall. Serienumret tilldelas brandväggen; gå vidare med Continue. Detta tillfälliga serienummer är varken den nedan beskrivna utvärderingen av enskilda skyddsmoduler på en redan identifierad brandvägg eller uppskjuten hårdvaruregistrering.

Claima en ny brandvägg under onlineinstallationen

1. Avmarkera Install the latest firmware automatically during setup (recommended) i guiden och klicka på Continue. Uppgraderingen förblir då ett planerat steg med underhållsfönster och lokal åtkomst, i stället för att köras samtidigt med registreringen.
2. Ange brandväggens namn och tidszon. Välj I have an existing serial number, ange den avsedda brandväggens serienummer och klicka på Continue.
3. Välj Claim in Sophos Central på Claim your firewall with Sophos Central. Logga in på rätt Sophos Fusion-konto; de engelska UI-etiketterna kan fortfarande ange Sophos Central.
4. Ange serienumret i Claim firewall och klicka på Validate. Kontrollera enhetskopplingen innan du claimar.
5. Välj medvetet mellan Just claim the firewall with Base license och Claim with 30 days Xstream Protection, Web Server Protection and Email Protection evaluation license. Det första alternativet kopplar bara baslicensen; det andra startar även den angivna utvärderingen på 30 dagar. En testperiod är inte ett betalt skyddspaket och ersätter inte en planerad förnyelse.
6. Klicka på Claim firewall. Tillbaka på brandväggen avslutar du på Basic setup is complete med Skip to finish, eller använder Continue för att konfigurera avancerade inställningar på ett kontrollerat sätt.
7. Logga in lokalt när installationen är klar och kontrollera serienummer och licensstatus under Administration > Licensing. Öppna My Products > Firewall Management > Firewall licenses i Sophos Fusion, sök efter samma brandvägg och fäll ut pilen bredvid namnet. Konto, serienummer och licensuppgifter ska stämma med den konfigurerade enheten.

För en redan konfigurerad och claimad enhet kan en administratör i en partner- eller kundmiljö i stället generera en OTP för Central Management-anslutningen. Då behöver Super Admin-uppgifter inte delas, men det ersätter varken claiming eller licensaktivering. Anslut Sophos Firewall till Sophos Fusion beskriver OTP- och hanteringsflödet.

Viktigt: Sophos Fusion Brandväggshantering kräver en aktiv betalprenumeration eller ett lämpligt supportavtal. Den rena basbrandväggslicensen är inte tillräcklig för alla centrala hanteringsfunktioner. Dessutom måste brandväggen för central hantering ansluta till Internet via IPv4.

Skjut upp registreringen: Endast hårdvarubrandväggar kan förbli utan claiming i upp till 30 dagar under den första installationen. Alternativet finns inte för software-, virtuella, Azure- eller AWS BYOL-brandväggar. Med internetåtkomst väljs I do not want to register now under Register your firewall; offline börjar processen med Continue Offline. Fram till registreringen fungerar alla lokala funktioner utom Sophos Fusion och Synchronized Security Heartbeat. Under Administration > Licensing ska Registration has been currently deferred on this device visas. Registrera brandväggen i Sophos Fusion och slutför registreringen inom 30 dagar.

Aktivering av licenser

Efter registrering kontrollerar brandväggen dina licenser med Sophos licensserver. Om brandväggen har tillgång till Internet synkroniseras licensinformationen regelbundet. Dessutom kan du utlösa justeringen manuellt i konsolen WebAdmin.

Nya prenumerationer börjar när beställningen har fullgjorts, inte när licensnyckeln tillämpas. Nyckeln måste ändå tillämpas för att koppla licensen till den här brandväggen. Att tillämpa den senare ändrar varken start- eller slutdatum.

Aktivera en betald prenumeration på brandväggen

Klicka på Activate subscription under Administration > Licensing, ange licensnyckeln och välj Verify key. Jämför de visade prenumerationsuppgifterna med beställningen och brandväggen; bekräfta med Confirm endast om kopplingen är rätt. Den nya prenumerationen ska därefter visa Subscribed under Module subscription details.

Öppna sedan My Products > Firewall Management > Firewall licenses i Sophos Fusion, sök efter samma serienummer och fäll ut uppgifterna med pilen bredvid namnet. Kontrollera att den lokalt aktiverade prenumerationen även visas där med förväntade moduler och slutdatum. Aktivera en Sophos Firewall-licensnyckel beskriver License Schedule, förnyelser och aktiveringsfel.

Starta en utvärdering från brandväggen

Klicka på Sign in to Sophos Central under Activate evaluations in Sophos Central i Administration > Licensing. Välj endast de funktioner som ska testas i Activate Evaluations och bekräfta med Evaluate selected. Tillbaka på brandväggen ska de valda modulerna visa Evaluating under Module subscription details. Dokumentera slutdatum och beslutet om fortsatt licensiering innan produktionsregler blir beroende av dessa moduler.

Tillämpa en prenumeration i Sophos Fusion och synkronisera lokalt

Nyckeln kan även tillämpas centralt:

1. Öppna My Products > Firewall Management > Firewall licenses i Sophos Fusion, sök efter brandväggen med serienumret och fäll ut uppgifterna med pilen.
2. Klicka på Apply subscriptions, ange Subscription Key och välj Preview subscription.
3. Kontrollera prenumerationsuppgifter och enhetskoppling innan du bekräftar med Apply subscription. De nya prenumerationerna ska visas i portalens brandväggsuppgifter.
4. Öppna Administration > Licensing på brandväggen och klicka på Synchronize. Samma prenumerationer ska visas under Module subscription details med motsvarande status och slutdatum.

Detta kontrollerar båda riktningarna: lokal aktivering i Central-vyn och central tillämpning i den lokala licensvyn. Vid skillnader kontrollerar du först serienummer, konto, WAN, DNS och systemtid, i stället för att prova nyckeln på andra enheter. En giltig licens konfigurerar inte en skyddspolicy; dess effekt testas separat.

Under Administration > Licensing bör du kontrollera:

• Är rätt modell registrerad med rätt serienummer?
• Är baslicensen aktiv?
• Syns support, Xstream-skydd, standardskydd eller enskilda prenumerationer korrekt?
• Är utgångsdatum rimliga?
• Tillämpades verkligen en ny licensnyckel eller lagrades den bara i portalen?
• Visar brandväggen efter Synchronize samma status som Sophos Fusion?

Utan lämplig licens fungerar många skyddsfunktioner inte eller bara i begränsad omfattning. Beroende på funktion gäller detta till exempel IPS, Web Protection, Zero-Day Protection, DNS Protection, Central Orchestration, Active Threat Response eller supporttjänster. Grunderna för support och moduler finns i Sophos Firewall Understanding OS Base License och Vilka Sophos Firewall-paket finns det?.

Anslutning till plattformen Sophos Fusion

Sophos Fusion är inte absolut nödvändigt för lokal drift av en enda Sophos Firewall. Brandväggen kan manövreras helt via WebAdmin. Sophos Fusion har dock fördelar om du medvetet använder dessa funktioner:

• central översikt över en eller flera brandväggar,
• Central brandväggshantering utan direkt WebAdmin publicering från Internet,
• centrala säkerhetskopior,
• Central brandväggsrapportering,
• Beroende på licensen, längre logglagring och ytterligare rapporteringsfunktioner,
• Security Heartbeat och Synchronized Application Control i Sophos endpoint-miljöer,
• Integration i andra Sophos Fusion-processer.

Det är viktigt att ha rätt förväntningar: Sophos Fusion ersätter inte lokal driftdokumentation eller en ren adminprocess. Alla som aktiverar Central Management bör medvetet definiera roller, MFA, åtkomst, backuplagring och rapporteringslagring.

Mer om detta finns i artikeln Ansluta Sophos Firewall med Sophos Fusion: Fördelar och begränsningar.

Färdigställande av anläggningen

I motsvarande steg i guiden, ange en e-postmottagare för aviseringar och säkerhetskopior och gå vidare med Continue. Före Finish, jämför konfigurationssammanfattningen med de avsedda inställningarna. Avsluta först därefter: Brandväggen tillämpar ändringarna och startar om. HA-varningen och de efterföljande kontrollerna gäller fortfarande.

När installationen är klar startar brandväggen om eller omdirigeras till inloggningsskärmen. Om en firmware-uppdatering utförs under guiden och anslutningen går sönder, bör du inte omedelbart anta att det finns en defekt: brandväggen kan starta om och komma tillbaka med den levererade firmwareversionen. Därefter ska du inte börja direkt med produktiv trafik, utan hellre kolla grundstatusen först.

Kontrollera direkt efter första inloggningen:

• Datum, tid och tidszon.
• Firmwareversion och mönsteruppdateringar.
• Licensstatus under Administration > Licensing.
• WAN status och internetåtkomst.
• Administratörslösenord och Secure Storage Master Key i lösenordshanteraren.
• Säkerhetskopieringskonfiguration.
• Tillgänglighet för WebAdmin-konsolen endast från önskade nätverk.
• Standardregler, NAT och DNS.
• Loggar först in i Loggvisaren.

Sidhuvudet i SFOS 23: hitta rätt efter inloggningen

Denna orientering gäller uttryckligen WebAdmin-sidhuvudet som dokumenteras för SFOS 23; installationsproceduren för SFOS 22 ovan är fortfarande grunden.

• Sophos-logotypen leder tillbaka till Control center. Sidhuvudet visar modell och serienummer. Via Account icon kan man kontrollera användarroll, enhetsnamn, serienummer samt firmwareversion och build innan man arbetar på enheten.
• I kontomenyn öppnar Command line CLI-konsolen och Licenses licensvyn. Välj Account icon > Sign out för att logga ut. Restart startar om enheten; Shutdown stänger av den. Båda avbryter driften och är inte alternativ till utloggning: klicka inte på dem för att utforska gränssnittet, utan använd dem endast som planerade underhållsåtgärder.
• Frågeteckenmenyn erbjuder Help, Videos och Support. Feedbackikonen öppnar ett fönster för kommentarer.
• När HA är konfigurerat öppnar den separata HA icon klusterstatus samt namn och serienummer för Primary och Auxiliary. Detta är inte HA-ikonen i Sophos Fusion. För konfigurering och drift, se HA-kluster och varianter.
• Logs and policy test samlar loggåtkomst och fliken Policy test. Logghanteringen beskrivs fortfarande i Log Viewer-guiden; testa brandväggsregler korrekt förklarar den versionsspecifika vägen till testet.

Generalisera inte benämningarna: Det tidigare avsnittet om utloggning i SFOS 23-dokumentationen använder fortfarande Logout, medan avsnittet om sidhuvudet använder Sign out. Den oförändrade Manage-sidan anger dessutom admin > Console i stället för Account icon > Command line. Dessa texter är inte konsekventa; de nya benämningarna här gäller bara det uttryckligen dokumenterade SFOS 23-sidhuvudet. De visar inte att de tidigare SFOS 22-vägarna har tagits bort överallt.

Gör dig redo för produktion efter installationsguiden

Efter guiden börjar det riktiga arbetet: Brandväggen måste härdas, integreras i nätverksarkitekturen, dokumenteras och förberedas för felsökning. Dessa steg har större inflytande på senare drift än själva guiden.

Varför installationsguiden inte räcker

Guiden skapar en initial grundkonfiguration, men inte en färdig säkerhetsarkitektur. Gränssnitt, zoner, Device Access, DNS, DHCP, brandväggsregler, NAT, loggar, säkerhetskopior och skyddsprofiler måste kontrolleras medvetet.

En Sophos Firewall är inte en konsumentrouter där du är klar efter guiden. Om det planeras rätt kan det säkra ett nätverk mycket bra, men bara om arkitekturen är rätt: zoner måste matcha säkerhetslogiken, hanteringsåtkomst måste begränsas, regler ska skapas medvetet och dokumenteras och skyddsfunktioner som webbfilter, IPS, Application Control eller TLS Inspection måste aktiveras och testas specifikt. En felkonfigurerad brandvägg kan skapa en falsk känsla av säkerhet.

Först är det värt att ta en titt på Control Center. Där kan du se systemstatus, trafik, användar- och enhetsinformation, aktiva brandväggsregler, rapporter och information som ny firmware eller hälsokontroll. Varningar och anteckningar på detta område ska inte bara ignoreras utan snarare användas som en praktisk checklista för uppföljningsarbete.

Kontrollera firmware, licens och backup

Under Backup & firmware kan du kontrollera om den aktiva firmwaren är uppdaterad. Firmwareuppdateringar är säkerhetsrelevanta eftersom de inkluderar buggfixar, stabilitetsförbättringar och säkerhetsfixar. Uppdateringar bör inte skjutas upp permanent, men de bör inte heller installeras oförberedda.

Sophos Firewall fungerar med två fasta programplatser. Det betyder att om problem uppstår kan du starta tillbaka till en tidigare firmware. Ändå bör en manuell säkerhetskopia skapas innan några större ändringar. Med produktiva brandväggar planerar du ett underhållsfönster, kontrollerar Release-anteckningar, HA-status, ledigt lagringsutrymme, VPN-beroenden och extern tillgänglighet.

En vanlig säkerhetskopia bör också ställas in under Backup & firmware. Ett säkerhetskopieringslösenord krävs för krypterade säkerhetskopior. Secure Storage Master Key är också relevant för att återställa känslig data. Denna nyckel hör definitivt hemma i en lösenordshanterare. Om den tappas bort kan du återställa den via konsolen, men befintliga skyddade säkerhetskopior kan inte längre återställas normalt.

Kontrollera sedan under Administration > Licensiering om registrering, baslicens och bokade prenumerationer visas korrekt. För uppdateringsämnet hjälper artiklarna Sophos Firewall Firmware Update: Preparation and Best Practices och Updating the Firmware on the Sophos Firewall till. Säkerhetskopiering förklaras mer i detalj i artikeln Sophos Firewall Skapa eller återställ en säkerhetskopia.

Planera zoner och gränssnitt noggrant

Guiden kan kombinera flera LAN-portar till en brygga på hårdvaruapparater. Detta är användbart för en snabb start, men är inte alltid den bästa målarkitekturen. Under Network > Interfaces bör du kontrollera vilka portar, VLANs, bryggor eller LAGs som verkligen behövs.

Varje gränssnitt är tilldelat exakt en zon. Den här uppgiften avgör senare hur brandväggsregler, Device Access och skyddsprofiler gäller. Typiska produktiva zoner är till exempel LAN, Server, DMZ, Guest, VoIP, Management eller VPN. Inte varje VLAN behöver nödvändigtvis sin egen zon, men varje zon bör ha en tydlig säkerhetsinnebörd.

Du kan ta reda på mer om detta i artikeln Sophos Firewall Planera och konfigurera zoner och gränssnitt.

Säker Device Access

Ett vanligt misstag efter den första installationen är för mycket hanteringsåtkomst. Åtkomst till lokala brandväggstjänster, såsom WebAdmin, SSH, User Portal, VPN Portal, DNS eller Ping, kontrolleras inte via vanliga brandväggsregler. Administration > Device access ansvarar för detta.

⚠️ WebAdmin, SSH, User Portal och VPN Portal bör aldrig vara tillgänglig bara för att brandväggens regelbas ser “ren” ut. Dessa tjänster beror på Device Access och Local Service ACLs. Efter varje ändring bör du aktivt testa från vilka zoner och källnätverk som verkligen är möjlig.

För produktiva system bör HTTPS och SSH inte tillåtas i stor utsträckning från osäkra zoner. Om extern åtkomst är nödvändig bör du arbeta med en Local Service ACL-undantagsregel och begränsa åtkomsten till fasta IP-adresser eller definierade hanteringsnätverk. Alternativt är Sophos Fusion Brandväggshantering ofta den renare lösningen.

Mer information finns i artikeln Sophos Firewall Säkra åtkomst: Konfigurera Device Access korrekt.

Ställ in administratörskonton, MFA och reserv

Efter den första inloggningen ska du inte arbeta permanent med delad administratörsåtkomst. Engagerade administratörer, tydliga roller och dokumenterad akutåtkomst är bättre för vardagen. Detta gör det möjligt att senare se vem som gjort en ändring, och ett enstaka komprometterat lösenord ger dig inte automatiskt full tillgång till brandväggen.

Denna ordning är vettig för nya brandväggar:

1. Testa minst en andra administrativ åtkomst innan MFA är allmänt aktiverad.
2. Behandla den lokala standardanvändaren admin som ett break glass-konto och inte använda det som en dagsanvändare.
3. MFA är schemalagd att aktivera WebAdmin, VPN portal och fjärråtkomst.
4. Dokumentera roller och ansvar, särskilt om Sophos Fusion brandväggshantering används.
5. Ställ in tokenåterställningar, lösenordslagring och åtkomst utanför kontorstid.

MFA minskar risken för stulen åtkomstdata, men ersätter inte åtkomstbegränsningar. Därför hör MFA för Sophos Firewall WebAdmin, VPN Portal och fjärråtkomst och Device Access ihop. Om flera personer arbetar via Sophos Fusion ska Sophos Fusion administrationsrollerna också kontrolleras.

Kontrollera DNS, DHCP och intern namnupplösning

Network > DNS bestämmer hur brandväggen tar emot DNS servrar: via DHCP, via PPPoE information från leverantören eller statiskt. För interna domäner bör du använda DNS request routes så att förfrågningar om interna zoner går till rätt interna DNS server.

För nya installationer bör DNS testas med riktiga interna och externa namn. Ett test med enbart google.com räcker inte om Active Directory, filservrar, skrivare, hanteringssystem eller interna applikationer används senare. Det som är särskilt viktigt är om klienterna får rätt DNS-servrar och om brandväggen inte oavsiktligt vidarebefordrar interna domäner till offentliga resolvers.

Praktisk DNS tentamen:

• Brandväggen löser externa namn: Registrering, licensjämförelse, uppdateringar och centralt anslutningsarbete.
• Klienten löser externa namn: DHCP, DNS server- och brandväggsregelmatchning.
• Klient löser interna namn: Intern DNS eller DNS begäran rutt fungerar.
• VPN eller VLAN klient löser interna namn: DNS server, sökdomän och zonregel passar också utanför den första LAN.

DHCP konfigureras per gränssnitt under Network > DHCP. Konfigurera Sophos Firewall som DHCP-server visar hur man planerar och testar adressintervall, gateway, DNS, leasetider och statiska tilldelningar.

Om DHCP ska vidarebefordras över VPN-rutter kan brandväggen också fungera som ett DHCP-relä. För DHCP specialalternativ finns det Sophos Firewall DHCP Konfigurera alternativ.

Kontrollera den ursprungliga brandväggen och NAT-reglerna

Standardregeln för utgående överföring som skapats av guiden bör inte antas blint. Under Rules and policies > Firewall rules bör du kontrollera vilka källzoner som är tillåtna, vilka destinationer som ska vara tillgängliga och vilka säkerhetsfunktioner som är aktiva. Regler bearbetas uppifrån och ned; den första matchningsregeln vinner.

Till att börja med bör det finnas minst en avsiktligt namngiven klient-till-internet-regel. Den här regeln bör inte bara tillåta Any till Any, utan bör tydligt visa källzon, källnätverk, destinationer, tjänster, loggning och säkerhetsfunktioner. Om regeln senare utökas bör det förbli klart om den är avsedd för vanliga klienter, servrar, gäster, IoT eller hanteringsenheter.

En första regelkontroll kan se ut så här:

1. Anslut testklienten i den angivna zonen.
2. Kontrollera IP-adress, gateway och DNS på klienten.
3. Skapa ett externt HTTPS-anrop.
4. Sök efter käll-IP, destination, tjänst och Rule ID i Loggvisaren.
5. Kontrollera om den förväntade brandväggsregeln och NAT-regeln uppfylldes.
6. Genomföra ett avsiktligt otillåtet test, till exempel från en gäst- eller ledningszon.
7. Dokumentera vilken regel som förblir produktiv och vilken guide eller testregel som tas bort.

Följande gäller för NAT: NAT tillåter ingen trafik på egen hand. En lämplig brandväggsregel krävs alltid. För vanliga klienter på Internet är en käll-NAT-regel med MASQ vanligtvis relevant. För publicerade servrar behöver du dock DNAT plus lämplig brandväggsregel, loggning och ett externt test utanför din egen LAN. För nya konfigurationer är fristående NAT-regler vanligtvis tydligare än länkade NAT-regler. Grunderna finns i Förstå och korrekt konfigurera Sophos Firewall-regler och Förstå NAT på Sophos Firewall: SNAT, DNAT, MASQ, PAT. If an internal server is to be published, the article Publish server via DNAT to Sophos Firewall is appropriate.

Aktivera medvetet skyddsfunktioner

En brandväggsregel är inte automatiskt en fullständig skyddsregel. Beroende på licens och mål bör IPS, Web Protection, Application Control, skanning av skadlig programvara, TLS Inspection, Zero-Day Protection eller Threat Feeds medvetet aktiveras, testas och dokumenteras.

Praktisk ordning:

1. Skapa rena zoner och regler.
2. Aktivera loggning för viktiga regler.
3. Aktivera IPS och Web Protection där de passar tekniskt.
4. Lägg till Application Control för riskabla eller oönskade applikationer.
5. Inför bara TLS Inspection som planerat, med testgrupp, CA distribution och undantag.
6. Aktivera endast Threat Feeds, NDR eller Active Threat Response när övervakningen och den falska positiva processen har klarlagts.

För det bredare härdande sammanhanget passar Sophos Firewall Best Practices: Network, Rules and Security. För Zero-Day Protection finns Sophos Firewall förstå och använda Zero-Day Protection, för TLS Inspection finns det Sophos Firewall introducera TLS Inspection.

Förbered loggning och felsökning

Loggbrandväggstrafik bör aktiveras i viktiga brandväggsregler, annars saknas ofta den exakta informationen du behöver för felsökning senare. Många människor är inte medvetna om detta: Om en brandväggsregel inte loggar, verkar lämplig trafik inte meningsfull i Log Viewer. Du kan då se andra systemhändelser, men inte det specifika regelbeslutet som du faktiskt letar efter.

Under System services > Log settings kan du definiera vilka loggtyper som skickas lokalt, till syslog-servrar eller till Sophos Fusion. Brandväggen har lokala loggfiler och en intern rapportdatabas, men dessa är inte tänkta som ett långtidsarkiv på veckor, månader eller år. Om loggar ska lagras permanent eller genomsökas centralt krävs antingen en extern syslog-server eller Sophos Fusion brandväggsrapportering.

Följande gäller i grova drag för Sophos Fusion: Med en aktiv brandväggsprenumeration är centrala brandväggsrapporter tillgängliga under en begränsad tidsperiod. Längre utvärderingar är möjliga med Xstream Protection eller Central Orchestration. Med Central Firewall Reporting Advanced får du ytterligare lagringsutrymme och betydligt längre lagring. Detaljerna beskrivs i Aktivera central brandväggsrapportering.

För inledande analyser räcker det vanligtvis med Loggvisare, Policytestare och Packet capture. För djupare analys kan du även säkerhetskopiera CLI-loggar, aktivera felsökningsloggar eller använda tcpdump. Felsökningsloggar bör endast aktiveras specifikt och under en begränsad tidsperiod eftersom de genererar betydligt mer data. Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture visar hur man testar regler. För Packet Capture, tjänstnamn och loggfiler finns artiklarna Packet Capture Använd verktyg i WebAdmin och Sophos Firewall Felsökning: tjänster och loggar. Om du vill samla in loggar för support eller extern analys, hjälper Sophos Firewall Spara loggar för extern analys.

Acceptanstest före produktiv trafik

Innan du går live bör du inte bara kontrollera om “Internet fungerar”. Ett litet, dokumenterat acceptanstest förhindrar många senare supportärenden.

Testa om möjligt reglerna offline i ett testnät först. Ett annat stegvis alternativ är att tillfälligt använda en annan gatewayadress i det verkliga nätet och endast peka utvalda testklienter mot brandväggen. Ändra gatewayadress eller kabeldragning i det planerade underhållsfönstret först när trafik fungerar i båda riktningarna. Om testet misslyckas pekas testklienterna tillbaka mot den befintliga gatewayen; produktionen förblir oförändrad.

Användbara tester:

• Administratörsinloggning från hanteringsnätverk: WebAdmin är tillgänglig, men inte öppen från oönskade zoner.
• Administratörsinloggning från klient, gäst eller WAN-zon: Åtkomst blockeras om inget medvetet hanteringsnätverk tillhandahålls där.
• Andra Admin eller Break Glass Access: Åtkomst är fortfarande möjlig om MFA, SSO eller ett användarkonto misslyckas.
• Klient från LAN till Internet: Brandväggsregel, NAT, DNS och säkerhetspolicy fungerar som förväntat.
• Internt DNS namn: DNS begäran rutter eller interna resolvers fungerar.
• Blockerad testtrafik: Log Viewer visar lämplig regel eller förväntat fall.
• Nedladdning och lagring av säkerhetskopiering: Säkerhetskopiering skapas inte bara utan kan också upptäckas.
• Central eller Syslog-destination: Loggar och rapporter kommer utanför brandväggen, om det är schemalagt.

Testet bör kortfattat dokumenteras: datum, firmwareversion, plats, käll-IP testad, mål, förväntat resultat och utestående problem. Detta verkar ospektakulärt, men sparar tid när en VPN, en NAT regel eller ett DNS problem behöver undersökas dagar senare.

Checklista efter första installationen

Kontrollera omedelbart

• Administratörslösenord och Secure Storage Master Key lagras säkert.
• Brandvägg registrerad och licensstatus kontrollerad.
• Firmware-status och mönsteruppdateringar kontrollerade.
• Manuell säkerhetskopia skapad och lagrad externt.
• WebAdmin och SSH kan endast nås från önskade nätverk.
• WebAdmin och SSH från oönskade zoner testades aktivt negativt.
• Andra administratörsåtkomst och krossglaskoncept testades.
• WAN, DNS och tidszon kontrollerade.
• Standardbrandväggsregeln har utvärderats medvetet.

Kolla under de första dagarna

• Zoner, VLANs, broar och LAGs är snyggt planerade.
• DNS begär rutter och DHCP kontrollerade områden.
• Brandväggsregler och NAT regler dokumenterade.
• Inloggning på viktiga regler aktiverad.
• Central säkerhetskopiering eller lokal säkerhetskopiering konfigureras.
• Central Reporting, syslog eller annan loggdestination bestämd.
• De första reglerna validerade med Log Viewer, Policy Test och Packet Capture.

Kontrollera innan produktiv drift eller sätts i drift

• Hanteringens åtkomst hårdnade.
• MFA och administratörsroller kontrollerade.
• IPS, Web Protection, Application Control och andra skyddsfunktioner aktiverade medvetet.
• TLS Inspection endast planerad med test- och undantagsprocess.
• Fjärråtkomst, IPsec, WAF, RED eller SD-WAN testade separat om de används.
• Återställning och supportsökväg dokumenteras.

Typiska misstag

• Guidens konfiguration används direkt produktivt: Regler som är för breda, felaktiga zoner eller öppna hanteringstjänster kvarstår. Efter guiden ska du fylla i din egen operativa checklista.
• Secure Storage Master Key inte dokumenterad: Återställning eller migrering blir onödigt svårt. SSMK bör lagras i lösenordshanteraren omedelbart.
• WebAdmin tillgänglig från WAN eller klientnätverk: Bots, brute force och onödiga attackytor blir mer sannolika. Device Access och Local Service ACL Exception Rules bör ställas in noggrant.
• MFA aktiverad utan reserv: Administratörer kan låsa sig ute i händelse av token-, tids- eller gruppproblem. Testa den andra administratören, bryt glasåtkomst och tokenprocess i förväg.
• Glömde inloggningsregler: Senare felsökning kommer att vara blind. Log firewall traffic bör vara aktiv för viktiga regler.
• DNS löses endast med offentlig resolver: Interna namn fungerar inte tillförlitligt. Planera interna DNS servrar och DNS begäran rutter.
• NAT förväntas utan en lämplig brandväggsregel: Servrar eller tjänster kan inte nås trots NAT. Kontrollera alltid NAT och brandväggsregeln tillsammans.
• Firmware-uppdatering installerad utan backup: Det finns ingen väg tillbaka om problem uppstår. Före uppdateringar, kontrollera säkerhetskopiering, Release-anteckningar och underhållsfönster.

FAQ