Enregistrer un commutateur Sophos dans Sophos Fusion

Un commutateur Sophos peut être géré localement via l’interface web et CLI ou centralement via Sophos Fusion. L’enregistrement nécessite une configuration IPv4 opérationnelle, un DNS, un accès Internet et un accès aux domaines cibles requis. L’enregistrement et la licence sont techniquement séparés: le commutateur peut être enregistré sans abonnement valide, mais la gestion et les modifications via Sophos Fusion nécessitent un abonnement Sophos Switch Support and Services.

Après avoir allumé ou redémarré, 15 minutes restent pour enregistrer le commutateur dans Sophos Fusion, alors préparez le réseau, le locataire et l’affectation avant de commencer cette fenêtre.

Objectif et conditions d’arrêt

À la fin, le commutateur apparaît sous My Products > Switches > Switches avec le numéro de série correct et la référence de site ou de pile prévue. L’état cible technique est Synchronized; l’abonnement de support doit également être valide pour l’acceptation opérationnelle. Le bail DHCP ou l’adresse de gestion statique, la résolution DNS et les connexions sortantes doivent continuer à fonctionner.

Ne pas commencer l’enregistrement technique alors que l’un des points suivants reste en suspens:

• Le numéro de série, le locataire cible ou le site ou la pile prévu sont peu clairs.
• Le commutateur ne reçoit pas une adresse de gestion appropriée ou n’atteint pas sa passerelle par défaut.
• Les requêtes DNS IPv4 ne fonctionnent pas.
• Un pare-feu, un proxy ou une inspection SSL/TLS bloque les cibles nécessaires.
• Les effets du modèle par défaut sur le commutateur pilote ne sont pas précisés.

Confirmez l’abonnement à l’avance

L’achat de matériel comprend l’interface web locale et le CLI. Un abonnement Sophos Switch Support and Services pour chaque commutateur utilisé et géré via Sophos Fusion débloque en outre les services suivants:

• Gestion via Sophos Fusion, y compris les ports, les VLAN, la configuration et l’état,
• mises à jour du firmware,
• support multicanal 24/7,
• Advanced RMA.

Sans abonnement valide, le commutateur continue à fonctionner et reste localement gérable, mais les modifications par Sophos Fusion ne sont pas possibles. Si trop peu d’abonnements sont disponibles, Sophos Fusion affiche Oversubscribed; vous devez acheter le déficit. No subscription, Expired subscription et Suspended sont également des états d’acceptation invalides. Activer et gérer la licence sous Profile icon > Licensing.

Garder ces problèmes séparés pendant le diagnostic : un commutateur accessible localement qui fait avancer le trafic ne prouve pas que la gestion de Fusion est autorisée. Inversement, une licence ne résout pas les problèmes DHCP ou DNS et ne débloque pas les destinations.

Préparation

Avant de faire le câblage, inscrire son modèle, son numéro de série et son emplacement, ainsi que le locataire, le site ou la pile prévu, dans le dossier de changement.

• la configuration IP de gestion précédente si le commutateur n’est pas neuf en usine,
• gestion VLAN, portée DHCP ou adresse statique, masque sous-net, passerelle par défaut et serveur DNS,
• règles du pare-feu, du proxy et de l’inspection SSL/TLS en amont,
• configuration locale existante et accès accessible à l’administrateur local,
• la fenêtre de maintenance, l’heure limite d’abandon et la personne responsable.

Commencez avec un commutateur pilote. Limitez les règles temporaires d’autorisation aux destinations documentées au lieu de créer un accès illimité à Internet. Si vous avez besoin d’une exception de proxy ou d’inspection, enregistrez à la fois l’état précédent et l’état final requis.

Domaines requis

Le commutateur doit pouvoir résoudre et atteindre les FQDN suivants. Un enregistrement IP statique ne remplace pas le DNS.

Gestion et enregistrement

Avant le premier enregistrement : Si des équipements en amont déchiffrent les connexions SSL/TLS, les connexions du commutateur vers sophos.jfrog.io et jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com doivent traverser tous les équipements entre le commutateur et Internet sans déchiffrement SSL/TLS. Le déchiffrement peut provoquer un échec de connexion lié au traitement de la chaîne de certificats. Autoriser un domaine ne suffit pas : l’accessibilité et l’exclusion du déchiffrement sont deux réglages distincts.

Limiter l’exclusion à ces deux FQDN de destination et aux adresses sources documentées des commutateurs ; ne pas désactiver globalement l’inspection. Cette exigence n’implique aucune exclusion du déchiffrement pour fusion.sophos.com, *.apu.sophos.com ou les domaines de sauvegarde. Sans déchiffrement en amont, aucune règle de contournement supplémentaire n’est nécessaire.

Sauvegardes de configuration spécifiques à la région

La destination appropriée pour la région de données doit être accessible:

tf-cswitch-backup-config-dump-eu-west-1-prod-bucket.s3.eu-west-1.amazonaws.com
tf-cswitch-backup-config-dump-eu-central-1-prod-bucket.s3.eu-central-1.amazonaws.com
tf-cswitch-backup-config-dump-us-east-2-prod-bucket.s3.us-east-2.amazonaws.com
tf-cswitch-backup-config-dump-us-west-2-prod-bucket.s3.us-west-2.amazonaws.com
tf-cswitch-backup-config-dump-ap-south-1-prod-bucket.s3.ap-south-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-northeast-1-prod-bucket.s3.ap-northeast-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-southeast-2-prod-bucket.s3.ap-southeast-2.amazonaws.com
tf-cswitch-backup-config-dump-sa-east-1-prod-bucket.s3.sa-east-1.amazonaws.com
tf-cswitch-backup-config-dump-ca-central-1-prod-bucket.s3.ca-central-1.amazonaws.com

Lorsque la politique de sécurité le permet, vous pouvez autoriser le préfixe tf-cswitch-backup-config-dump ainsi que le domaine amazonaws.com en utilisant une expression joker ou une expression régulière. Une règle générale pour *.amazonaws.com n’est pas requise.

Les exigences du fabricant spécifient les FQDN mais pas de ports non standard. N’ouvrez pas les ports supplémentaires arbitraires. Si le filtrage cause un problème, examinez les registres DNS, proxy, inspection et pare-feu au lieu de relâcher la politique de trafic sortant.

Bootstrap local

Tous les modèles de Switch Sophos utilisent l’adresse de gestion 172.16.16.239 dans leur état initial. Pour un premier accès local :

1. Connectez le câble d’alimentation, allumez le commutateur et vérifiez que la LED d’alimentation est allumée.
2. Attendez le démarrage complet; cela peut prendre quelques minutes.
3. Connectez un ordinateur directement à un port Ethernet du commutateur.
4. Donner temporairement à l’ordinateur une adresse statique libre dans le réseau 172.16.16.0/24, par exemple:
   • Adresse IP: 172.16.16.200
   • Masque de sous-réseau: 255.255.255.0
5. Entrez 172.16.16.239 dans un navigateur. La page d’ouverture de session apparaît.
6. Connectez-vous avec le nom d’utilisateur admin et le mot de passe actuel de l’appareil. Le mot de passe de l’usine est sur l’autocollant au dos.
7. Changez le mot de passe par défaut de manière contrôlée ou créez un compte administrateur dédié. Conservez les nouveaux identifiants en toute sécurité.
8. Passez à Configure > System settings > IP address settings et ouvrez IPv4 management.

Variante A: DHCP

1. Sous Configuration, sélectionnez l’option DHCP.
2. Enregistrer avec Apply.
3. Connectez le commutateur au réseau de gestion prévu.
4. Dans le serveur DHCP, déterminer et documenter l’adresse IP attribuée en fonction de l’adresse MAC ou du nouveau bail.
5. Vérifiez que le bail, le sous-réseau, la passerelle par défaut et le serveur DNS correspondent au réseau de gestion prévu.
6. Réouvrir l’interface web locale via l’adresse assignée.

Le DHCP seul ne suffit pas : le résolveur DNS assigné doit pouvoir répondre aux FQDN publics requis via IPv4, et la passerelle par défaut doit acheminer le trafic sortant.

Variante B: Adresse IPv4 statique

1. Sous Configuration, sélectionnez l’option Static.
2. Remplissez les champs suivants :
   • Address: IP réservé de gestion du commutateur,
   • Subnet mask: masque du réseau de gestion,
   • Default gateway: adresse du routeur du réseau de gestion,
   • DNS server 1: résolveur primaire DNS,
   • DNS server 2: option de résolveur DNS secondaire.
3. Enregistrer avec Apply.
4. Connectez le commutateur au réseau de gestion prévu.
5. Réinitialisez l’ordinateur administrateur à sa configuration réseau originale.
6. Réouvrir l’interface web locale via la nouvelle adresse statique.

Avant de sélectionner Apply, assurez-vous que l’adresse statique n’est pas déjà utilisée. Si l’interface est alors inaccessible, vérifiez d’abord l’ordinateur administrateur, VLAN, sous-réseau, passerelle et adresse documentée; n’effectuez pas immédiatement une réinitialisation en usine.

Vérifiez le réseau avant la fenêtre de 15 minutes

Remplissez les points suivants avant le redémarrage prévu:

1. Dans la gestion des adresses DHCP ou IP, vérifiez que l’adresse de gestion est stable.
2. Sur le résolveur DNS utilisé, vérifier la résolution de tous les FQDN requis pour la région.
3. Rechercher l’adresse IP du commutateur dans les journaux du pare-feu et du proxy et vérifier l’accessibilité de tous les domaines requis. En présence de déchiffrement SSL/TLS en amont, vérifier également sur chaque équipement intermédiaire que l’exclusion limitée aux deux destinations d’enregistrement s’applique effectivement ; une règle d’autorisation seule ne suffit pas.
4. Dans le cadre de Profile icon > Licensing, vérifier si la quantité de support et de services est suffisante pour les commutateurs déjà enregistrés et les nouveaux commutateurs ajoutés.
5. Faites en sorte que le site ou la pile prévu soit prêt dans Sophos Fusion. Si vous ne sélectionnez aucun des deux, Sophos Fusion applique le default template.
6. Préparez le numéro de série pour le coller. Lorsque vous ajoutez plusieurs commutateurs, entrez exactement un numéro de série par ligne.

Pour les ports de 2,5, 5, ou 10 Gbps, vérifiez également que les câbles et composants réseau existants supportent la vitesse prévue. Cela n’affecte pas l’enregistrement de numéro de série, mais empêche qu’un lien instable soit confondu avec une défaillance d’enregistrement.

Enregistrement dans Sophos Fusion

Le chemin exact est My Products > Switches > Switches > Add switches.

1. Ouvrir Add switches avant le début de la fenêtre de temps.
2. Connectez le commutateur au réseau de gestion et donc à Internet.
3. Allumez le commutateur. Si le commutateur est déjà allumé ou si la fenêtre de 15 minutes n’est pas claire, faites exactement un redémarrage prévu.
4. À compter de ce démarrage, vous disposez de 15 minutes pour terminer l’enregistrement.
5. Inscrivez le numéro de série dans Step 3. Pour un pilote contrôlé, inscrivez seulement le commutateur préparé; pour un enregistrement en vrac approuvé, inscrivez un numéro de série par ligne.
6. Sélectionnez le site préparé dans le menu déroulant. Utilisez la flèche à côté d’un site pour sélectionner une des piles de ce site.
7. Vérifiez la sélection, le numéro de série et le locataire à nouveau.
8. Cliquez sur Register.

Si vous ne sélectionnez ni site ni pile, le commutateur reçoit le modèle par défaut. Ce n’est pas un état neutre : ses paramètres peuvent être appliqués au commutateur après l’enregistrement.

Vérifier l’enregistrement et la synchronisation

Vérifiez le résultat sous My Products > Switches > Switches. Numéro de série, modèle, emplacement et site ou pile doivent correspondre au changement. Vérifiez également la version du firmware, l’accès de la gestion locale via l’adresse IP documentée et les deux valeurs d’état cruciales:

• Le statut de support affiche un abonnement valide.
• Le statut de connexion et de configuration atteint Synchronized.

Aucune nouvelle erreur HTTP: 000 ne peut apparaître dans le journal des commutateurs; les journaux pare-feu et les journaux proxy ne peuvent pas afficher les connexions bloquées aux FQDN requis.

Après la modification, vérifier séparément la réussite de l’enregistrement via sophos.jfrog.io et la vérification du firmware actuel via jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com ; l’affichage de la version installée ne prouve pas que la seconde vérification a abouti. Si l’inspection est active, confirmer à l’aide des règles appliquées et des journaux que seules les connexions prévues des commutateurs vers ces deux destinations passent sans déchiffrement. Effectuer un test HTTPS autorisé hors de ce périmètre source/destination pour vérifier que l’inspection normale reste inchangée. Consigner les résultats dans le dossier de changement.

Pendant la synchronisation, ces états peuvent apparaître :

Les modifications locales ne sont pas automatiquement reflétées dans Sophos Fusion. Après un enregistrement réussi, ne pas configurer le commutateur localement et dans Fusion en parallèle. Synchronized confirme la connexion au cloud et la synchronisation de configuration ; seul un test fonctionnel séparé et approuvé confirme la configuration de la voie de données prévue.

Erreur DOWNLOADER error Failed to download the package. HTTP: 000

L’entrée

DOWNLOADER    error    Failed to download the package. HTTP: 000

Dans ce workflow, l’entrée indique que le commutateur n’a pas pu atteindre l’une des destinations d’enregistrement. 000 n’est pas un statut HTTP renvoyé régulièrement par un serveur web. Ne cachez pas l’erreur avec des tentatives d’enregistrement répétées.

Vérifiez dans cet ordre:

1. Horaires et IP source: Enregistrez le temps d’erreur exact et l’IP de gestion courante du commutateur.
2. Adresse : Vérifiez le bail DHCP ou l’adresse statique, le masque de sous-réseau et la passerelle par défaut.
3. DNS: Résoudre sophos.jfrog.io et jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com par l’intermédiaire des serveurs DNS exacts assignés au commutateur.
4. Firewall et proxy: Filtrer les journaux par IP source et les deux FQDN. Bloquer sophos.jfrog.io empêche l’enregistrement; bloquer la destination S3 empêche la vérification de la version actuelle du firmware.
5. Inspection SSL/TLS : En présence de déchiffrement en amont, vérifier que les connexions du commutateur vers sophos.jfrog.io et jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com traversent chaque équipement sans déchiffrement. Les erreurs de chaîne de certificats justifient cette exclusion obligatoire. Vérifier les règles appliquées, la substitution de certificats et toute authentification du proxy ; exclure uniquement les sources documentées des commutateurs et ces deux destinations, sans désactiver globalement l’inspection.
6. Autres cibles Sophos: Vérifiez également fusion.sophos.com et *.apu.sophos.com pour la résolution et l’accès à l’extérieur autorisé.
7. Domaine de sauvegarde régional: Pour une fonctionnalité complète de Fusion, vérifiez la destination de sauvegarde de la région de données. L’enregistrement réussi ne prouve pas que cette destination est accessible.
8. C’est seulement après avoir corrigé le problème que vous commencez un nouveau cycle d’enregistrement.

Un test « Allow any » n’est acceptable que s’il est strictement limité dans le temps, restreint à l’adresse IP du seul commutateur et consigné dans le dossier de changement. Après le test, remplacez immédiatement cette règle par les autorisations FQDN indiquées ci-dessus. Si HTTP: 000 reste, les réponses DNS, la décision par pare-feu/proxy, le journal de commutation, l’horodatage, le modèle, le numéro de série et le firmware sont enregistrés pour l’escalade.

Limiter clairement les répétitions, redémarrer et réinitialiser

Sophos spécifie pas de maximum numérique pour les tentatives d’enregistrement. Cependant, chaque démarrage a une limite stricte:

• Chaque démarrage ou redémarrage ouvre une fenêtre d’enregistrement de 15 minutes.
• Si le commutateur n’est pas enregistré après 15 minutes, il doit être redémarré et le processus d’enregistrement redémarré.
• En cliquant sur Register à l’extérieur de la fenêtre, le redémarrage ne se remplace pas.
• Une tentative de réenregistrement ne nécessite qu’un redémarrage, et non une remise à zéro d’usine.

Par conséquent, ne faites pas plus d’une tentative de répétition après que vous avez manifestement corrigé la cause. Si cette tentative échoue également, ne continuez pas dans une boucle de redémarrage ou de remise à zéro. Réévaluer les journaux et le chemin réseau et transmettre le dossier au support si nécessaire.

De plus, ne redémarrez pas avec Pending, Syncing ou une activité de firmware en cours d’exécution, ces états ne sont pas une demande de réouverture de la fenêtre de 15 minutes.

Retour

Retournez en fonction de l’état atteint.

Avant l’enregistrement réussi

1. Arrêtez les tentatives supplémentaires et déconnectez le commutateur de la liaison ascendante de production si nécessaire sans interrompre l’alimentation électrique pendant un processus d’écriture ou de mise à jour reconnaissable.
2. Retourner l’ordinateur d’administration à sa configuration DHCP ou statique originale.
3. Si seule la configuration de l’adresse de gestion a été modifiée, se connecter localement via la dernière adresse documentée et restaurer la configuration DHCP ou statique précédente.
4. Supprimer les exceptions temporaires trop larges pour le pare-feu, le proxy ou l’inspection; réinitialiser les règles existantes à leur état de référence documenté.
5. Documenter le motif d’erreur, les journaux et le démontage effectués. La limite de la section précédente s’applique au redémarrage et à la remise à zéro.

Après l’enregistrement réussi

N’essayez pas d’« annuler » un enregistrement réussi au moyen d’une réinitialisation non planifiée. Fusion peut déjà avoir transféré le modèle par défaut ou la configuration du site ou de la pile sélectionnée. Par conséquent :

1. Ne pas envoyer d’autres modifications de fusion et ne pas forcer la synchronisation manuelle.
2. Documenter le commutateur, le numéro de série, le locataire, le site ou la pile, l’état et le modèle appliqué.
3. Si le trafic de production risque d’être affecté, retirer le commutateur pilote du chemin de production de manière contrôlée ou le reconnecter au port pilote prévu à l’avance.
4. Ne supprimez pas les domaines tant que le commutateur reste géré par Fusion, mais remplacez toute règle temporaire trop large par la liste d’autorisation exacte.
5. Si une radiation, un changement de locataire ou une remise à zéro d’usine semble nécessaire, arrêtez-vous ici et utilisez un processus testé séparément.

Utilisez la voie d’administration locale pour le diagnostic et la stabilisation au besoin. Les changements effectués localement ne sont pas synchronisés dans Sophos Fusion.

Documentation finale

Mettez cette information dans le changement :

• numéro de série, modèle, IP de gestion et bail DHCP ou paramètres statiques,
• Serveurs DNS utilisés et résolution réussie des objectifs requis,
• domaines autorisés, y compris la région de données,
• temps d’inscription dans la fenêtre de 15 minutes,
• locataire et site ou pile sélectionné,
• Capture d’écran ou exportation de l’aperçu final de l’état,
• version du firmware et tout avertissement Firmware too old,
• le résultat du test d’accès local,
• supprimé les règles temporaires ou la liste d’autorisations exacte restante,
• Si une défaillance survient : HTTP: 000 log, décision de pare-feu/proxy et nombre de redémarrages contrôlés.

Pour une exclusion du déchiffrement, documenter aussi le périmètre source/destination, les règles appliquées, le responsable, la date de révision et les résultats des tests d’enregistrement, de firmware et hors périmètre. Réévaluer sa nécessité lors de la révision des changements réseau ou firmware. Le retour arrière décrit plus haut reste applicable : supprimer les exclusions temporaires trop larges ; ne pas retirer une exclusion ciblée encore nécessaire sans nouvelle vérification.

Cela permet d’attribuer un problème ultérieur à l’adressage local, au DNS, au filtrage de domaine, à l’enregistrement, à la licence ou à la synchronisation en aval.