Requisiti di rete e proxy di Sophos Endpoint
Sophos Central Endpoint richiede DNS e HTTPS in uscita verso i servizi Sophos: porta 53 per la risoluzione e 443 per Central, aggiornamenti, Live Protection e altre funzioni legate alla licenza.
Applicare le autorizzazioni sui firewall di rete e Proxy realmente usati. Non serve un’appliance Sophos Firewall e questo articolo non la configura. Conta che l’Endpoint possa usare affidabilmente il percorso previsto.
Domini invece di elenchi IP statici
Sophos opera in più regioni e piattaforme Cloud. Dove possibile, consentire i domini wildcard ufficiali. Un elenco fisso di regioni AWS o IP può cambiare e causare guasti.
Se le wildcard non sono possibili, usare l’elenco regionale Sophos attuale. Considerare anche CA richieste, Management Communication System, SophosLabs Intelix e, secondo licenza, destinazioni XDR o Live Response.
L’attuale elenco principale con wildcard comprende:
*.sophos.com
*.sophosxl.com
*.sophosxl.net
*.sophosupd.com
*.sophosupd.net
*.hitmanpro.com
In base alla catena di attendibilità possono servire anche *.globalsign.com, *.globalsign.net e *.digicert.com. Senza supporto per le wildcard si aggiungono, tra gli altri, az416426.vo.msecnd.net, dc.services.visualstudio.com e le destinazioni regionali MCS e Installer. Questi elenchi esatti sono dinamici; a ogni Change vengono confrontati con i requisiti Sophos correnti e viene documentato l’accesso effettivo.
Ordine delle connessioni
Per la comunicazione con Central, l’agent verifica i percorsi disponibili in un ordine definito:
- Message Relay,
- Proxy configurato in Sophos Central,
- System Proxy,
- WPAD, tranne Linux,
- connessione diretta.
Più percorsi simultanei complicano la diagnosi. Nei network controllati, definire un percorso preferito e autorizzare o impedire consapevolmente ogni fallback.
Central Proxy Configuration
In Global Settings > Products and Services > Endpoint and Server > Proxy Configuration, configurare Host, porta e credenziali opzionali o URL PAC. La password salvata non è più leggibile e nuovi dati possono sovrascriverla.
Un Service Account riceve soltanto i diritti necessari e non viene usato in modo interattivo. Scadenza, rotazione e blocco vengono monitorati. Un Proxy che intercetta TLS non deve modificare la connessione Sophos in modo da compromettere la verifica dei certificati o la comunicazione dell’agent.
Durante l’installazione iniziale Windows, passare un proxy con SophosSetup.exe --proxyaddress=<host:port> o un PAC con --pacurl=<url>. I parametri coprono solo il bootstrap. Dopo la registrazione Central distribuisce la configurazione permanente. Le password nella riga di comando compaiono in processi e log; usare la funzione Secret della piattaforma.
L’agente prova prima Message Relay, poi il proxy configurato in Central, il proxy di sistema, WPAD e infine la connessione diretta. Linux non dispone di WPAD. Testare anche il contesto: script GPO e distribuzione eseguono spesso come SYSTEM, con accesso diverso dall’utente.
MCS deve validare il certificato Sophos originale. Escludere i domini Sophos correnti dalla TLS inspection invece di sostituire il certificato MCS con la CA di inspection. L’intercettazione può avvenire in firewall, proxy, client VPN o altro software.
Se un filtro richiede il target MCS regionale, aprire su un Endpoint gestito C:\ProgramData\Sophos\Management Communications System\Endpoint\Config, usare l’indirizzo nel file e recuperare direttamente il certificato come riferimento. Questo non risolve una prima installazione fallita; per il bootstrap autorizzare domini e porte ufficiali.
Update Cache e Message Relay
Update Cache distribuisce contenuti locali sulla porta 8191. Message Relay trasmette la gestione sulla 8190 e può essere configurato solo su un dispositivo con Cache. Windows 10 può essere Cache, non Relay.
Entrambi richiedono almeno 5 GB liberi. Sophos raccomanda Windows Server 2016 o più recente per Cache e Relay. I Mac usano Cache, ma non Message Relay.
La prima installazione può usare un Cache esistente. I dispositivi senza accesso Central diretto richiedono anche un Relay preparato. Installarli e testarli dalla rete target prima del rollout.
Reti segmentate e mobili
Un notebook deve funzionare in ufficio, Home Office e VPN. Se è consentito solo Relay interno, fuori sede può perdere la connessione. Se è consentito l’accesso diretto, il processo operativo deve accettare questo fallback.
Nelle reti segmentate, testare DNS, 443, 8190 e 8191 tra le fonti e destinazioni corrette. Un Browser riuscito non prova che l’agent funzioni con Service Account, Proxy e catena certificati.
Diagnosi
Per errori di comunicazione controllare in ordine DNS, TCP, autenticazione Proxy, TLS, dominio Sophos e registrazione Central. Registrare ora, rete sorgente e percorso.
Se falliscono solo gli aggiornamenti, verificare porta, spazio e attività Cache. Se funzionano ma non Central, concentrarsi su Relay o Proxy. Se il problema esiste solo fuori ufficio, confrontare PAC, WPAD e fallback.
I blocchi geografici possono colpire destinazioni Cloud Sophos dinamiche. Non serve sempre un’ampia autorizzazione per paese, ma i domini Sophos non vanno bloccati solo in base a una regione di hosting presunta.
WinHttpSendRequest failed 12007 indica mancata risoluzione o un target Sophos irraggiungibile. Confrontare codici HTTP ripetuti 500, 502, 503 o 504 in McsClient.log con Sophos Central Status e l’intervallo esatto. Casi isolati sono spesso transitori; errori frequenti senza incidente Central riportano a proxy, relay, TLS e packet capture.
Articoli correlati
Cache e Relay: Aggiornamenti, Update Cache e Message Relay Sophos Endpoint. Parametri installer: Distribuire automaticamente Sophos Endpoint su Windows.