Sophos Firewall: SSL-Zertifikat austauschen

Die Sophos Firewall (SFOS) hält hochgeladene Zertifikate getrennt von den Diensten, die sie verwenden. Web-Admin-Konsole und User Portal, SSL-VPN, Web-Server-Protection-Regeln (WAF) und weitere Funktionen wählen jeweils ihr eigenes Zertifikat. Standardmäßig nutzen sie das eingebaute ApplianceCertificate, dem Browser nicht vertrauen.

VoraussetzungenCopy Anchor Link

• Notieren Sie den aktuellen Zertifikatsnamen und jeden Dienst, der es nutzt: Admin-Konsole und Portale, SSL-VPN, WAF-Regeln, IPsec-Verbindungen, dazu den HA-Status.
• Sichern Sie die Konfiguration (Backup & firmware > Backup & restore).
• Bereiten Sie das Zertifikat mit privatem Schlüssel vor. SFOS akzeptiert PEM-, DER-, CER-, PKCS#7- und PKCS#12-Dateien (.pfx/.p12) mit RSA- oder ECC-Schlüsseln. Eine Passphrase darf höchstens 30 Zeichen lang sein - exportieren Sie die PFX-Datei sonst mit einer kürzeren neu.
• Achten Sie darauf, dass die Uhr der Firewall per NTP synchronisiert ist. Laut Sophos kann eine manuell gestellte Uhr Zertifikatsimporte scheitern lassen.
• Ist SSL-VPN betroffen, planen Sie die Nutzer ein: Nach einer Änderung des SSL-Serverzertifikats muss jeder Nutzer im VPN-Client auf Update policy klicken.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Öffnen Sie Certificates, wechseln Sie zum Reiter Certificates und klicken Sie auf Add. Wählen Sie Upload certificate und vergeben Sie einen Namen, der Zweck und Jahr zeigt, etwa vpn-2026.
2. Wählen Sie das Certificate file format - PKCS12 für eine .pfx/.p12-Datei, die Zertifikat und Schlüssel enthält; bei PEM laden Sie zusätzlich den privaten Schlüssel hoch -, geben Sie die Passphrase ein und speichern Sie.
3. Wurde das Zertifikat von einer Zwischen-CA ausgestellt, laden Sie Zwischen- und Stamm-CA-Zertifikat im Reiter Certificate authorities hoch. Für SSL-VPN schreibt Sophos ausdrücklich vor, dass Zwischen- und Stamm-CA des Serverzertifikats auf der Firewall liegen.
4. Wählen Sie das neue Zertifikat in jedem Dienst aus, der es nutzen soll:
   • Admin-Konsole und Portale: Administration > Admin and user settings > Admin console and end-user interaction > Certificate. Dieses Zertifikat gilt für Web-Admin-Konsole, User Portal, Captive Portal und die SPX-Portale - eine Einstellung für alle. Im selben Abschnitt legt die Hostname-Option fest, welchen Namen die Firewall in Links zu diesen Portalen verwendet; er sollte vom Zertifikat abgedeckt sein.
   • SSL-VPN: Remote access VPN > SSL VPN > SSL VPN global settings > SSL server certificate.
   • Web Server Protection (WAF): Rules and policies > Firewall rules, jede Web-Server-Protection-Regel bearbeiten, die per HTTPS veröffentlicht, und das neue Zertifikat im Feld HTTPS certificate auswählen.
   • IPsec: Verbindungen mit Zertifikatsauthentifizierung verweisen in ihren Verbindungseinstellungen darauf.
5. Speichern Sie jede Änderung. Ein Neustart ist nicht nötig, aber die Änderung des Admin-Konsolen-Zertifikats kann Ihre aktuelle Sitzung beenden - melden Sie sich mit dem neuen Zertifikat erneut an.

Wenn der Import scheitertCopy Anchor Link

• Falsche Passphrase, oder sie ist länger als 30 Zeichen. PFX mit kürzerer Passphrase neu exportieren:

  Copy Text

  openssl pkcs12 -in old.pfx -nodes -out temp.pem
  openssl pkcs12 -export -in temp.pem -out sophos.pfx

  Löschen Sie temp.pem danach - die Datei enthält den unverschlüsselten Schlüssel.

• Zertifikat und privater Schlüssel gehören nicht zusammen.

• Das gewählte Dateiformat passt nicht zur Datei.

• Die Uhr der Firewall geht falsch; synchronisieren Sie sie per NTP.

Neues Zertifikat prüfenCopy Anchor Link

Verbinden Sie sich mit jedem Dienst über den Namen im SAN:

openssl s_client -connect fw.example.com:4444 -servername fw.example.com -showcerts </dev/null
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null

Verwenden Sie die auf Ihrer Firewall konfigurierten Ports (Standard der Admin-Konsole ist 4444). Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und ob das Zwischenzertifikat mitgesendet wird. Testen Sie Admin-Konsole, User Portal, eine SSL-VPN-Verbindung nach Update policy und jeden veröffentlichten Webserver. Prüfen Sie im HA-Paar den HA-Status und testen Sie nach einem Failover.

RollbackCopy Anchor Link

Wählen Sie in jedem geänderten Dienst wieder das vorherige Zertifikat und speichern Sie. SSL-VPN-Nutzer müssen erneut auf Update policy klicken. Behalten Sie das alte Zertifikat und seine CA-Kette auf der Firewall, bis jeder Dienst geprüft ist - ein Rollback hilft nur, solange das alte Zertifikat noch gültig ist.

Lädt die Admin-Konsole nach der Änderung nicht mehr, bietet die Gerätekonsole (SSH oder seriell) eine Option, das Web-Admin-Zertifikat auf den Standard zurückzusetzen; siehe Reset Web admin certificate in der Sophos-Kommandozeilenhilfe. Im Zweifel spielen Sie die Konfigurationssicherung zurück.

Häufige ProblemeCopy Anchor Link

• Das Zertifikat wurde hochgeladen, aber kein Dienst darauf umgestellt.
• Zwischen- oder Stamm-CA fehlt.
• Die Admin-Konsole wurde getestet, SSL-VPN oder eine WAF-Regel nutzt aber noch das alte Zertifikat.
• SSL-VPN-Nutzer haben nach dem Wechsel des Serverzertifikats nicht auf Update policy geklickt.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für Sophos Firewall lädt ein benanntes Zertifikat, die Kette und den privaten Schlüssel über die Sophos-API hoch. Die Zuweisung zu einzelnen Funktionen bleibt eine Entscheidung der Administration.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Sophos Firewall: Zertifikat hinzufügen
• Sophos Firewall: externes Zertifikat und CA-Kette hinzufügen
• Sophos Firewall: Admin- und Benutzereinstellungen
• Sophos Firewall: Web-Admin-Zertifikat zurücksetzen (CLI)
• Sophos Firewall: globale SSL-VPN-Einstellungen