Kontrollera reserverade portar på Sophos Firewall

Sophos Firewall reserverar vissa portar för interna systemtjänster. Dessa portar förblir reserverade även när den tillhörande tjänsten inte används. Om den önskade porten finns i listan nedan måste du välja en annan port för den lokala brandväggsfunktionen.

Detta är särskilt viktigt när en egen port planeras för WebAdmin, User Portal, VPN Portal, SSL VPN, WAF, en proxy eller en annan tjänst på brandväggen. Reservationen är bara den första kontrollen: en port som inte är reserverad kan redan användas eller öppna en oväntad åtkomstväg genom portdelning.

⚠️ En port som inte är reserverad är inte ett säkerhetsgodkännande. Åtkomlighet, WAN-IP-adress, protokoll, Administration > Device access, portdelning och framförliggande NAT måste planeras och testas separat. Vidarebefordrad trafik kräver dessutom lämpliga brandväggsregler; de reglerna styr inte åtkomst till lokala systemtjänster.

Reserverade portar i SFOS 22

Listan motsvarar läget i Sophos Firewall 22.0 som kontrollerades den 4 september 2026. Intervallen omfattar båda gränsvärdena.

Sophos publicerar reservationerna som portnummer utan protokollspecifika undantag. Försök därför inte kringgå dem genom att byta från TCP till UDP. Att inaktivera eller starta om en tjänst frigör inte heller numret.

Reserverad, unik eller delad port?

Vid kontroll av kollisioner räknas kombinationen av protokoll och port: TCP 8443 och UDP 8443 är olika kombinationer. En produktreservation gäller däremot själva portnumret.

• Reserverad: ingen lokal brandväggsfunktion kan använda ett nummer i listan.
• Unik: Web admin console och User portal kräver unika portar, som standard TCP 4444 och TCP 4443.
• Begränsad delning: om VPN Portal och SSL VPN använder samma port och protokoll fungerar inte Login Security och VPN Portal nås från SSL VPN-zoner. WAF måste skilja sig i WAN-IP-adress, port eller protokoll.

Se portdelning mellan WebAdmin, portaler, WAF och SSL VPN för alla villkor. Listan ersätter inte denna konfliktkontroll.

Ändra och verifiera en egen port

1. Dokumentera nuläge och beroenden

Notera före ändringen port, protokoll, WAN-IP och tillåtna zoner under Administration > Device access. Inventera även framförliggande NAT-/listenerregler, URL:er, övervakning och utdelade VPN-profiler så att exakt nuläge kan återställas.

Huvudfälten är Administration > Admin and user settings > Admin console HTTPS port, User portal HTTPS port och VPN portal HTTPS port. För SSL VPN: Remote access VPN > SSL VPN > SSL VPN global settings > Protocol och Port. TCP 10443 är bara ett anpassningsbart exempel; kontrollera det trots frånvaro i listan mot listeners, delningsvillkor och framförliggande enheter.

2. Kontrollera åtkomst och portdelning före lagring

För direkt åtkomst till lokala hanteringstjänster styr Administration > Device access vilka zoner som är tillåtna. En vanlig brandväggsregel ger inte denna åtkomst och löser inte en lokal kollision. Använd en Local service ACL exception rule för en viss värd eller ett nät i stället för bred zonåtkomst.

⚠️ Separat väg via webbproxyn: SFOS behandlar HTTP- och HTTPS-förfrågningar från brandväggens webbproxy som interna, inte som förfrågningar från klientzonen. Att neka tjänsten för den zonen under Administration > Device access isolerar därför inte denna proxyväg. Användare med proxyåtkomst kan nå lokala HTTPS-tjänster som WebAdmin eller portalerna via denna väg. Det gäller nåbarhet, inte att kringgå inloggningen eller åtkomsten till en SSL VPN-tunnel. Portalöversikten förklarar detta Device Access-undantag.

För SSL VPN ska även Override hostname, WAN-vidarebefordran och klientkonfigurationer kontrolleras. Globala inställningar ingår i den importerade .ovpn-filen, så berörda klienter behöver en uppdaterad konfiguration.

3. Testa positivt, negativt och funktionellt

Anslut efter lagring från en tillåten zon med fullständig URL eller ny VPN-profil och verifiera inloggning, tunnel och funktion. Upprepa från en förbjuden zon och kontrollera att ingen annan tjänst blev nåbar. Uppdatera därefter NAT, övervakning och bokmärken och testa igen. Att gränssnittet godtar ett värde bevisar bara att inställningen kunde sparas, inte att tjänsten är nåbar eller att inloggning eller VPN-anslutning fungerar.

De positiva och negativa testerna för direkt åtkomst behövs fortfarande. Om klienterna kan använda brandväggens webbproxy ska även den fullständiga nya HTTPS-URL:en till den WebAdmin- eller portaltjänst som faktiskt ändrats testas via just den proxyn: från den verkliga klientzonen och mot den avsedda åtkomsten. Dokumentera om tjänsten är nåbar via proxyn och om resultatet motsvarar den planerade tillåtelsen eller nekandet. En nekad direktanslutning bevisar inte att denna separata väg är isolerad; en nåbar inloggningssida bevisar ännu inte en lyckad inloggning.

4. Återställ föregående läge vid fel

Ange noterad port och ursprungligt protokoll i samma fält. Återställ NAT-/listenerregler, profiler, URL:er och övervakning och upprepa båda testerna. Rollbacken ska återskapa hela föregående tillstånd, inte bara använda en annan nåbar port.

Utgående anslutningar till Sophos är ett annat ämne: Tillåt utgående Sophos-tjänster och portar.

Typiska fel

Den önskade porten går inte att spara

Kontrollera numret, inklusive de tre intervallen, och sedan lokala tjänster och portdelning. En ledig socket eller brandväggsregel häver inte en produktreservation.

Porten är inte reserverad men kan inte nås externt

Kontrollera Administration > Device access, lokala ACL-undantag, WAN-IP, protokoll, NAT, operatörsfilter och aktiv tjänst. För SSL VPN måste Override hostname ange en adress som klienterna når.

Gamla profiler slutar fungera efter en portändring

VPN-profiler, URL:er, övervakning och vidarebefordringar kan ha kvar den gamla porten. Uppdatera dem eller återställ samtliga till det noterade värdet.

FAQ