Sophos XGS und NTP

@em-pie hat es ja schon gelöst.

OFF TOPIC
Hallo schmendrich,
es ist ja dein erster Post hier, daher hast du ggf. Lust deine Erfahrung zu teilen.
Bei mir ist es genau anders herum,
- die Sophos Lizenzkosten sind um über 100% (seit ca. 2020) gestiegen,
- in Supportfällen soll man sich an einen Sophos DL für 120-150€ die Stunde wenden.
- Nach Eskalation geht der Sophos Support über deren Forum (wie im OpenSource Bereich) https://support.sophos.com/support/s
- und dann nach weiter Indien, und kostet richtig (viel) Zeit und Geduld.

Ein Argument für OPNsense sind die gratis "Workshops" auf YouTube, wo genau solche Fragen beantwortet werden.

Fragen
Seit wann bist du bei Sophos und weg von OPNsense?
Was hast du bei OPNsense vermisst?
Hast du Zenarmor auf der OPNsense genutzt?
https://www.zenarmor.com/docs/opnsense

Moin,

wie schaut deine FW-Regel aus? Die Quelle muss any innerhalb aller internen Netze sein, Service NTP und Ziel ist die XGS selbst. Das wird dann geNATet mit maskierter IP-Adresse zu zum Beispiel ptbtime1.ptb.de

Moin,


Begeistert von der XGS? Echt jetzt? IMHO ist das Ding ein großer Mist. Aber gut.


Warum auch?


Den Punkt verstehe ich nicht. Was willst Du wie per NAT erreichen?


Arbeitest Du auf der FW mit den VLANs oder mit Zonen? Oder beides gemischt?


Warum das Gateway? Warum nicht den internen NTP-Server?


Um das genauer beurteilen zu können, müssten wir mal die Regeln der FW sehen. So wie das aussieht, scheint Dir ein Weg zu fehlen. Du brauchst eine Regel, die die Anfrage erlaubt und eine, die die Antwort durchlässt. Wie genau, lässt sich erst sagen, wenn wir das gesamte Regelwerk kennen.

Liebe Grüße

Erik

@erikro

Der Workaround mit NAT ist so zu verstehen, dass vielleicht im internen Netzwerk kein NTP-Server existiert. Vor allem aber scheint es so, dass die VLANs alle über die Firewall laufen, so dass auch ein vorhandener NTP-Server in jeder Regel abgebildet werden müsste.

Diese NAT-Regel ist also eine Weiterleitung des NTP-Services. Alle Geräte in allen VLANs haben als NTP-Server die Firewall eingetragen. Nun kommt die NTP-Anfrage an die XGS und diese NATet diese zu einem externen Zeitserver.

Thema XGS sei ein großer Mist. Welche Hardware-Firewall-Appliance ist deiner Meinung nach besser? Cisco? Fortinet? ZyXEL?

Vielleicht ist es ein Werbender (1. Beitrag, Anmeldung heute).
In meinem Umfeld steht Sophos jedenfalls eher hinten an, Alternativen, z.B. Richtung pfsense/opnsense, schaut man sich an. Ich hab noch Zeit zum Wechseln, aber bin gespannt.

IMHO lässt sich pfSense nicht mit der XGS vergleichen!

Wenn du die EndpointProtection von Sophos nutzt und die XGS korrekt konfiguriert ist, unterhalten sich die Sophos und der EndPoint. Stellt einer von beiden ein Problem mit dem Endgerät fest, macht die XGS und/ oder die Endpoint Protection zu und der Client führt ein sehr einsames Leben.

Und der Vergleich mit den Supportkosten hingt auch. Auch mal nach Dienstleistern, die die Professionellen Support geben. Bei der OpenSense bist du meines Wissens nach auf die Community angewiesen, mit entsprechender Reaktionszeit.

Wo ich ein Stückweit bei dir bin: wenn ich kostenpflichtige Subscriptions kaufe, hätte ich auch gerne Support. Wobei die Dienstleister „nur“ den 2nd Level abdecken. Wenn es tiefer geht, ziehen die Sophos auch hinzu…


Achja: bei Forti, Cisco, … wird es sicherlich nicht viel anders sein…


Die XGS hat aber, zugegebener Maßen im Hinblick auf das UI Luft nach oben, leider, …

Vermutlich ist das so. Das Sophos mittlerweile (auch) keinen NTP mehr bietet...nunja, Lets Encrypt raus, Waf Beschränkt, NTP weg...man fasst sich nur an den Kopf.

Richtig, wenn wir zu viele Module mischen fällt der Vergleich komplett flach. Wenn... dann...
Ich nutze die Sophos EndpointProtection noch immer nicht. Ich stell gern meine Lösung hier im Forum konstruktiv "an die Wand", vielleicht gibt es was besseres.
Endpoint Protection Alternative Bitdefender GravityZone 2023
Antivirus Endpointprotection für Unternehmen (2020)

BACK2TOPIC
Konkret bei meinem Fall, alles seit Jahren unverändert, haben sich die Lizenzkosten mehr als verdoppelt (ich kaufe immer die 36 Monatspakete). Da hinkt also kein Vergleich.
Es gibt auch Partner: https://opnsense.org/partners/
Eine Abhängigkeit besteht also immer, die Frage ist eben in welchem Umfang, und wo muss man wieder Insourcing machen.
Ja, ich kenne diese Dramen, auch 2024. Ich hatte sicherlich auch schon mehr als 3 Sophos-Partner an meiner FW (zweite Meinung), auch da nicht einfach den Richtigen zu finden. Also heißt es selber mit anpacken.

450 Seiten in 2,5 Tagen auswendig lernen und wurde man als "Sophos Certified Endgineer" auf Kunden losgelassen, weiß aber nicht wie es heute ist.

Und da kann ich dir aus eigener Erfahrung sagen, ab dann wird's bunt.
Indien is calling you, "log-collector-calls" welche dann weitergereicht werden, es folgen try&error bis Mitternacht und darüber hinaus, Thesen müssen widerlegt werden,...

Man hat also neben den verdoppelten Lizenzkosten, den 120-150€/h Analyse(n) durch den Sophos-Partner, dann auch selbst unzählige Stunden investieren müssen.

Aber ich bin Optimist: Wenn du denkst es geht nicht schlimmer, sei dir sicher, das geht immer!