Mi aventura con Sophos Firewall Home Edition: ¡Seguridad de nivel Enterprise sin gastar un centavo!

Pasando un poco el resfríado, me encontraba regresando a la ciudad después de unos días de vacaciones en familia cuando decidí ver qué se necesitaba para montar un demo environment para probar el Firewall de Sophos Home Edition (descuiden, cuando configuro no manejo!). Un amigo en las altas esferas de Sophos me recomendó probarlo, ¡así que me embarqué en este viaje que me llevó a muchas sorpresas en el camino! (y todas buenas) 🤩

---

¡Lo primero, el costo!

¿Cuánto cuesta? NADA, CERO, GRATIS! 🙌 Es para uso personal en el hogar y solo necesitas poner el hardware (o una máquina virtual) para correr el sistema operativo.  En mi caso, siempre corro todo en mi lab, y para mi primera sorpresa, Proxmox está totalmente soportado. ¡Punto para Sophos! 🏆

Me registré siguiendo este enlace y me llegó un correo con el Serial Key para registrar mi nuevo firewall durante el proceso de configuración inicial. También está el URL donde puedes descargar el ISO o los discos (qcow2) para tu entorno de Proxmox. Siguiendo los requisitos mínimos (4 vCPU, 6 GB de RAM y 2 interfaces), procedí a descargar los discos y montárselos a mi VM de Proxmox. El proceso fue bastante rápido: en cuestión de segundos ya tenía la VM lista para proceder con la configuración inicial y el registro. ¡Otro punto a favor de Sophos, fue extremadamente fácil! ⚡

---

Registro inicial

Para el registro, dejo estos pantallazos que pude extraer:

1. Acceder a la misma LAN y en la misma subred de la interfaz para la configuración inicial usando la URL https://172.16.16.16:4444.
2. En mi entorno fue sencillo asignarle la VLAN a otra VM y ponerle una IP secundaria para acceder al proceso de setup.
3. Como verán en la primera imagen, te recibe una pantalla de bienvenida (el idioma depende del idioma de tu navegador). Acepté los términos y condiciones y procedí a Iniciar configuración.
4. Decidí proseguir en inglés, así que cambié el idioma del navegador.

En la siguiente página, la de Basic Configuration, se te piden unas credenciales para la cuenta de administrador y la opción de instalar los últimos firmwares de manera automática.

En la siguiente pantalla conocí la Master Key de Sophos, que protege los backups y configs de los Firewalls. Se crea con una contraseña robusta (12 caracteres alfanuméricos + símbolos) y sin ella no puedes recuperar los backups (¡ojo con esto!).

Luego, hay que configurar el acceso a internet del firewall para que proceda con otras tareas que requieren conexión externa. Aquí tuve que identificar la WAN (PORT B) y la LAN (PORT A). Repetí esos pasos un par de veces, pero fue más tema mío con la asignación de interfaces en la VM.

---

Configuraciones adicionales

En el siguiente paso, configuré la zona horaria (¡Kudos a Sophos por tener America/Panamá! 🌎) y el nombre del appliance.

Recuerda el email de registro: ahí encontrarás el Serial para registrar tu appliance (HW/VM) ante Sophos.Toma un par de minutos, pero después te muestra tus entitlements. En mi caso, ¡fecha de expiración 30 de diciembre del 2999! 😮

¿Qué incluye este registro?

• Stateful FW
• VPN
• Wireless Management
• IPS
• X-OPS
• SD-RED (muy cool para probar micro-branch)
• Web Protection
• App Control
• Malware Protection
• Zero-Day Protection
• SD-WAN
• Email Protection
• Web Server Protection
• ¡Y todo gratis! 💸

El soporte es la comunidad. ¡Pero de eso se trata, hacer crecer la comunidad de ciberseguridad! Y Sophos con este offering apoya esa iniciativa.

---

Configuración inicial del Firewall

Una vez registrado, empieza la configuración inicial del firewall.

1. Configurar la interfaz LAN: en mi caso, desactivé el DHCP, porque ya tengo un servidor DHCP corriendo en la red.

1. Opciones de protección: el sistema te ofrece preconfigurar ajustes de seguridad para los usuarios que estarán protegidos por el firewall, activando varias funciones de inmediato.

1. Servidor de correo: configuré mi Mail Server (usando mi cuenta de Microsoft 365, con servidor externo y autenticación) para recibir notificaciones y backups.

El firewall aplica los cambios y se reinicia. Toma unos minutos, pero luego ya pude acceder desde la interfaz LAN por el puerto 4444. El acceso WAN está desactivado por defecto (buen movimiento de Sophos, no queremos equipos expuestos por accidente). Para activarlo, tienes que usar ACLs o Sophos Central.

---

Primera regla de Firewall

Después de entrar al recién configurado Sophos Firewall, creé mi primera política para permitir tráfico desde LAN hacia Internet. Estoy acostumbrado a otro fabricante, pero no fue complicado adaptarme a configurar Firewall Rules, NAT Rules (Source NAT en mi caso de uso) y Deep Inspection (TLS Inspection). La interfaz es muy intuitiva (¡kudos, Sophos! 👏).

También registré mi firewall en Sophos Central (¡gratis!) para poder administrarlo en la nube y acceder de forma segura desde cualquier lugar con conexión a internet.

---

Deep Inspection

Uno de los aspectos más importantes que quería probar era el Deep Inspection (TLS Inspection). Para ello, debes descargar el certificado CA del firewall e instalarlo en tu navegador o en el almacén de certificados raíz de tu equipo. Con esto, el MITM (Man-in-the-Middle) que hace Sophos permite inspeccionar tráfico cifrado sin problema.

---

Conclusiones finales

En resumen, he tenido muy gratas sorpresas con esta versión de Sophos para usuarios domésticos, que incluye funcionalidades de nivel Enterprise en un entorno hogareño. La consola es muy intuitiva, no tiene costo (fuera del hardware o entorno de virtualización) y hay una amplia comunidad donde puedes buscar ayuda o guías.

¿Próximos pasos?

• High Availability: voy a probar un setup de Alta Disponibilidad.
• SD-WAN: funcionalidades que también vienen incluidas.

¡Dense una vuelta por este firewall casero y cuéntenme cómo les va!
Nos vemos en la próxima entrega del blog 💻🔥

---

¡Espero que mi experiencia te sirva de inspiración para armar tu propio Sophos Firewall Home Edition! Si tienes preguntas o comentarios, ¡déjalos abajo y conversemos! 🤝✨