Använd globala VPN-inställningar i Sophos Firewall säkert

Sophos Firewall Device Console innehåller under set vpn globala inställningar för VPN-failover, IPsec-bearbetning och de äldre protokollen L2TP och PPTP. De påverkar inte bara anslutningen som undersöks. Ett ospecifikt test kan påverka andra tunnlar, ta bort befintliga sessioner eller försvaga en skyddsfunktion.

Inget allmänt prestandarecept: sätt inte förebyggande ipsec-max-workqueue-items, anti-replay-fönstret eller use-resolved-ip-address till större värden eller enable. Sophos beskriver dem som avancerade inställningar som ska användas för ett konkret nätverksbehov eller på råd från Sophos Support.

Vid vanliga tunnelproblem används först IPsec VPN-troubleshooting. Där kontrolleras IKE, Child SA, routing, NAT, regler och det verkliga paketflödet. De globala inställningarna i den här artikeln blir relevanta först när symptomet exakt motsvarar deras syfte.

Dokumentera utgångsläget före varje ändring

Kommandona körs under 4. Device Console. Dokumentera SFOS-version och build, tidpunkt, berörda tunnlar, förväntat testflöde och en oberoende administrationsväg innan ett värde sätts. Skapa också en aktuell konfigurationsbackup. CLI-hjälpen för SFOS 22 dokumenterar bara set vpn för dessa värden, inte något läskommando. Ändringshistorik och säkerhetskopior är stödjande underlag men bevisar inte vilket värde som är aktivt nu. Sophos Support måste bekräfta en metod för att läsa det exakta värdet i den installerade builden. Dokumentera utdata och förbered motsvarande återställningskommando med set vpn före ändringen. Om Support inte kan bekräfta en läsmetod eller om det aktuella värdet inte kan fastställas ska proceduren avbrytas och den globala inställningen inte ändras.

SFOS 22-hjälpen anger bara defaults för L2TP-MTU, anti-replay, cookiegränsen och den upplösta peeradressen. Inte heller dessa defaults bevisar att den aktuella appliance-enheten fortfarande har en oförändrad konfiguration.

Återställning använder alltid det utgångsvärde som fastställdes säkert före ändringen. Den dokumenterade syntaxen har ingen universell parameter default. Kommandona för standardvärden längre ned är bara lämpliga när ändringen uttryckligen ska återgå till det dokumenterade standardvärdet i SFOS 22; de får inte skriva över ett avsiktligt anpassat utgångsvärde.

Sessioner vid tunnel- och WAN-övergångar

conn-remove-tunnel-up avgör om befintliga anslutningar tas bort när en IPsec-tunnel kommer upp. Det kan vara viktigt om ett flöde började över en annan väg och ligger kvar på fel väg efter att tunneln etablerats. Borttagningen kan samtidigt avbryta produktionssessioner. SFOS 22-hjälpen dokumenterar inget defaultvärde; återställ därför värdet som fastställdes säkert före ändringen.

set vpn conn-remove-tunnel-up enable
set vpn conn-remove-tunnel-up disable

conn-remove-on-failover styr den globala rensningen vid failover och failback. all påverkar alla anslutningar, medan non-tcp begränsar rensningen till icke-TCP-trafik som UDP eller ICMP. Rätt värde är därför inte bara ett VPN-beslut: VoIP, videokonferenser, DNS och andra UDP-applikationer måste observeras i samma testfönster.

set vpn conn-remove-on-failover all
set vpn conn-remove-on-failover non-tcp

SFOS 22-hjälpen anger inget defaultvärde för någon av inställningarna conn-remove-*. Rollback återställer därför exakt det dokumenterade utgångsvärdet.

I HA ska varje protokoll testas separat. Enligt SFOS 22 HA-hjälpen återställs route-based, policy-based och remote access IPsec-tunnlar vid failover. För trafik i IPsec-tunneln stöder sessionsfailover UDP och ICMP, men inte TCP. conn-remove-* ersätter därför varken HA-designen eller ett test med ett befintligt TCP- och UDP-flöde.

Skilj på inställningar med olika omfattning

• IPsec-profil: Use strict profile och Pass data in compressed format under System > Profiles > IPsec profiles gäller bara anslutningar som använder profilen. Profilhjälpen kopplar strict profile till handshakeproblem orsakade av fragmentering och anger att komprimering sker före kryptering. De är inte globala inställningar.
• SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings gäller alla remote access SSL VPN-policies och .ovpn-filen. SSL VPN-hjälpen anger defaults för Disconnect dead peer after: 180 sekunder för TCP och 100 för UDP; med UDP tillåts 60-110. Disconnect idle peer after anges i minuter utan dokumenterat default. Värdena gäller inte IPsec eller L2TP.
• L2TP i webbadministrationen: Remote access VPN > L2TP > L2TP global settings gäller alla L2TP-policies och styr aktivering, leaseintervall, RADIUS-leasing, DNS, WINS och medlemmar. Det dokumenterade intervallet måste vara privat, tillhöra ett /24 eller mindre subnet och innehålla högst 254 adresser. Sophos anger att adressintervallen för L2TP och PPTP inte får överlappa konfigurationer för remote access IPsec eller SSL VPN; den här sidan anger inte att L2TP- och PPTP-intervallen inte får överlappa varandra. CLI-autentiseringen och MTU-inställningen längre ned är fortfarande L2TP-specifika.
• Brandväggsövergripande värden: tcp-est-idle-timeout, udp-timeout, udp-timeout-stream och fragmented-traffic i set advanced-firewall är inte VPN-inställningar. CLI-hjälpen anger 2700-432000 sekunder för etablerad TCP, 30-3600 för båda UDP-timeouterna och allow som default för fragmenterad trafik. Ändra dem inte för en enskild tunnel.

IPsec-prestanda och skyddsfunktioner

Gruppen ipsec-performance innehåller fyra mycket olika funktioner. Namnet kan uppmuntra till tuningexperiment, trots att bara en funktion direkt anger storleken på en arbetskö.

Ändra workqueue endast vid en bevisad flaskhals

ipsec-max-workqueue-items accepterar värden från 1024 till 10240. Kön innehåller arbete för IPsec-bearbetning. Ett större värde garanterar inte högre throughput och löser inte Packet Loss, MTU-problem, svaga single-stream-resultat eller en mättad WAN-länk.

set vpn ipsec-performance ipsec-max-workqueue-items <1024-10240>

En ändring är bara meningsfull när ett reproducerbart belastningstest, systemutnyttjande och Sophos-diagnostik pekar på exakt denna flaskhals. Kontrollera först separat MTU och MSS, latency, Packet Loss, krypteringsprofil, IPsec Acceleration och parallella testströmmar. Återställ det dokumenterade utgångsvärdet utan förbättring.

Sophos dokumenterar inget defaultvärde för ipsec-max-workqueue-items. Rollback görs med set vpn ipsec-performance ipsec-max-workqueue-items <dokumenterat-utgangsvarde>.

Anti-replay-fönstret är en säkerhetsfunktion

IPsec registrerar inom replayfönstret vilka paket som redan har setts under dekrypteringen. Upprepade paket kan därmed upptäckas och kasseras. SFOS 22 accepterar 0, 32, 64, 128, 256, 512, 1024, 2048 och 4096; dokumenterat default är 1024.

set vpn ipsec-performance anti-replay window-size <varde>

Ett större fönster kan vara relevant när paket omordnas kraftigt över parallella vägar. Det är ingen allmän throughputinställning. Värdet 0 tar bort anti-replay-skyddet och rekommenderas inte som lösning. Ett sådant test hör hemma i ett isolerat servicefönster med uttrycklig anvisning från Sophos Support och omedelbart tillgänglig rollback.

set vpn ipsec-performance anti-replay window-size 1024 återställer dokumenterat default. Om utgångsvärdet var anpassat ska exakt det värdet återställas.

IKEv2-cookiegränsen skyddar halvöppna SA:er

Enligt Sophos är cookievalidering alltid aktiv och endast tillgänglig för IKEv2. cookie_threshold slår inte på eller av den. När antalet samtidiga halvöppna IKE SA:er överskrider gränsen begär respondern en cookie från initiatorn. Etableringstillståndet skyddas därmed mot DoS-belastning. Dokumenterat default är 30.

set vpn ipsec-performance cookie_threshold <nummer>

Ett lägre eller högre värde väljs endast utifrån verklig IKE-belastning och supportdiagnostik. Det åtgärdar inte saknade Child SA:er, avvikande proposals eller autentiseringsfel. Vid validering observeras nya IKEv2-anslutningar, strongswan.log, CPU-belastning och legitima samtidiga inloggningar.

set vpn ipsec-performance cookie_threshold 30 återställer dokumenterat default. En anpassad gräns återställs med samma syntax.

Använd den upplösta peeradressen endast för det dokumenterade Charon-fallet

use-resolved-ip-address är avsett för många site-to-site IPsec-tunnlar med FQDN-peers och långsam DNS-upplösning. Enligt Sophos kan just den kombinationen blockera en charon-thread. Med enable använder brandväggen den redan upplösta adressen i stället för att initiera tunneln med en ny upplösning av remote FQDN.

set vpn ipsec-performance use-resolved-ip-address enable
set vpn ipsec-performance use-resolved-ip-address disable

FQDN måste redan ha lösts korrekt. Dokumenterat default är Off; set vpn ipsec-performance use-resolved-ip-address disable återställer det. Om enable var det dokumenterade utgångsvärdet ska det i stället användas som anpassad rollback. Inställningen ersätter inte fungerande DNS eller nåbara resolvers. Korrelera upplösningstid, upplöst peeradress, antal tunnlar och charon.log före aktivering. Kontrollera efter ett DNS- eller providerbyte att brandväggen använder den nya peeradressen inom förväntad tid.

Strikt IPsec-policykontroll enligt SFOS 23-hjälpen

CLI-hjälpen för SFOS 23 dokumenterar ipsec-strict-policy-check som ett separat alternativ under set vpn, inte som en del av ipsec-performance. Security Associations (SA:er) är säkerhetsassociationerna för skyddad IPsec-trafik. Med enable validerar Sophos Firewall subnätsparet mot tillhörande SA; inkommande IPsec-trafik som inte motsvarar förväntad SA kan kasseras. Detta är inte Use strict profile under System > Profiles > IPsec profiles, som gäller profilbundna handshakeproblem orsakade av fragmentering.

Överväg disable endast för det dokumenterade kompatibilitetsfallet: en tredjepartspeer använder delade SA:er för flera subnätspar i site-to-site IPsec-tunnlar. Det stänger av den strikta associationskontrollen. Godtyckliga tunnel-, routing- eller autentiseringsfel är inget skäl till detta; fastställ först att just detta fall med delade SA:er gäller.

Innan värdet sätts: kräv en oberoende administrationsväg, en aktuell backup och en metod för att läsa det aktiva värdet som Sophos Support har bekräftat för den installerade builden. Dokumentera utdata, aktuellt värde och exakt återställning till det utgångsvärdet i förväg. Utan en tillförlitlig läsmetod eller ett säkert fastställt aktuellt värde ska inställningen lämnas oförändrad.

Den dokumenterade syntaxen för 4. Device Console är:

set vpn ipsec-strict-policy-check [enable | disable]

Hakparenteserna anger alternativ: ersätt dem endast med det motiverade målvärdet, enable eller disable. SFOS 23-hjälpen anger varken ett standardvärde eller en getter/ett läskommando för detta alternativ. Här anges därför inget default-, reset- eller påhittat läskommando. Att alternativet saknas i den jämförda SFOS 22-hjälpen bevisar varken att det infördes med SFOS 23 eller att stöd saknas i SFOS 22.

Ändra endast detta globala värde i ett kontrollerat servicefönster. Testa före och efter ändringen de berörda subnätsparen och tidigare opåverkade tunnlar, med befintliga och nya flöden i båda riktningarna. Kontrollerade negativa trafiktester måste också bekräfta att otillåten trafik fortfarande blockeras; undersök SA-associationer och avvisningsorsaker med IPsec- och paketfångstkontrollerna i test- och återställningsavsnittet nedan. Läs tillbaka målvärdet med metoden som Support har bekräftat. Om förbättring uteblir eller regressioner uppstår ska exakt det dokumenterade utgångsvärdet återställas med samma syntax och läsas tillbaka; kontrollera sedan tunnlar och användartrafik igen. De fyra SFOS 22-standardkommandona nedan återställer inte denna inställning.

L2TP-kompatibilitet, MTU och PPTP

set vpn innehåller även autentiseringsprotokoll för L2TP och PPTP samt global L2TP-MTU. Det gör inte PPTP lämpligt för nya miljöer. PPTP är föråldrat och ska inte införas på nytt. Även L2TP Remote Access förblir en kontrollerad kompatibilitetslösning, inte den föredragna standarden för nya hanterade klienter.

För L2TP och PPTP finns ANY, CHAP, MS_CHAPv2 och PAP:

set vpn l2tp authentication <ANY|CHAP|MS_CHAPv2|PAP>
set vpn pptp authentication <ANY|CHAP|MS_CHAPv2|PAP>

Välj inte värdet enbart efter det namn som låter starkast. Klient, autentiseringsserver och VPN-metod under Authentication > Services måste stödja samma protokoll. Särskilt med Active Directory kan den stödda kombinationen skilja sig från en RADIUS-väg. ANY är ingen säkerhetsförbättring utan breddar accepterade metoder och kräver därför ett medvetet riskbeslut.

Sophos dokumenterar inget defaultvärde för dessa två CLI-värden. Rollback använder dokumenterad starttoken med samma syntax, exempelvis set vpn l2tp authentication MS_CHAPv2 om detta var utgångsvärdet.

L2TP-MTU kan ställas från 576 till 1460; dokumenterat default är 1410:

set vpn l2tp mtu <576-1460>

L2TP-MTU ändrar inte ett route-based eller policy-based site-to-site IPsec-interface. Justera det stegvis endast vid ett reproducerbart L2TP-fragmenteringsproblem. Stora och små överföringar, DNS, autentisering och återanslutning måste därefter fortsätta fungera.

set vpn l2tp mtu 1410 återställer dokumenterat default. Om utgångsvärdet för MTU avsiktligt var anpassat ska det dokumenterade värdet återställas i stället.

Testa och återställ kontrollerat

Återgång till uttryckligen dokumenterade defaults:

set vpn ipsec-performance anti-replay window-size 1024
set vpn ipsec-performance cookie_threshold 30
set vpn ipsec-performance use-resolved-ip-address disable
set vpn l2tp mtu 1410

Sophos anger inga defaults för conn-remove-*, ipsec-max-workqueue-items eller de två autentiseringsprotokollen. En anpassad konfiguration återställs alltid med värdet som noterades före testet och samma set vpn-syntax.

Ändra exakt ett globalt värde per servicefönster. Använd samma tunnlar, testflöde och WAN- eller HA-övergång före och efter ändringen. För IPsec dokumenteras tunnelstatus, Child SA, bytecounters, strongswan.log, charon.log, CPU och Packet Loss. Vid sessionsrensning inkluderas VoIP, DNS och andra UDP-flöden.

En lyckad ping är inget fullständigt acceptanstest. Kontrollera ett befintligt flöde, en ny anslutning, båda riktningarna och ett kontrollerat negativt test. Current activities > IPsec connections visar IPsec och Current activities > Remote users SSL VPN-användare. Loggreferensen kopplar IPsec till strongswan.log, ipsec_monitor.log och charon.log, SSL VPN till sslvpn.log och L2TP till l2tpd.log. Diagnostics > Packet capture visar ingående och utgående interface, regel-ID, status och avvisningsorsak; använd ett snävt filter för de anonymiserade teständpunkterna så att orelaterade data inte samlas in. Kontrollera målvärdet efter ändringen med den läsmetod som Support har bekräftat. Att kommandot accepteras och trafiken observeras bevisar inte i sig vilket globalt värde som är aktivt.

Om förväntad förbättring uteblir eller nya avbrott uppstår sätts exakt det värde som noterades före testet. Kontrollera sedan tunnel och trafik igen. Utan känt utgångsläge, oberoende administrationsväg och välgrundat symptom utförs ingen set vpn-ändring.

FAQ