Sophos Firewall SNMP Configura il monitoraggio dell'hardware

Con SNMP Monitoraggio hardware puoi integrare meglio lo stato di un Sophos Firewall in un sistema di monitoraggio esistente. Oltre all’accessibilità classica e ai valori dell’interfaccia, a partire dalla Sophos Firewall v22 sono disponibili metriche hardware aggiuntive tramite MIB. A seconda del modello, questi includono la temperatura CPU, la temperatura NPU, la ventola, lo stato dell’alimentatore e i valori PoE.

Ciò è particolarmente interessante per le installazioni XGS produttive. Un firewall potrebbe essere ancora accessibile in WebAdmin, ma mostrare ancora segni di problemi termici, ventole difettose, alimentatore guasto o carico PoE imprevisto. Tali condizioni non dovrebbero essere notate solo la prossima volta che accedi manualmente.

Quando SNMP ha senso sul firewall

SNMP ha senso se un sistema di monitoraggio è già in funzione e lì il firewall deve essere monitorato come componente dell’infrastruttura.

Casi d’uso tipici:

• Monitorare lo stato dell’hardware degli apparecchi XGS.
• Osservare le temperature CPU e NPU nel tempo.
• Includere lo stato della ventola e dell’alimentatore in un monitoraggio NOC o MSP.
• Controlla il carico PoE sui modelli XGS con porte PoE.
• Confronta i valori dell’interfaccia con il monitoraggio di switch, router e provider.
• Correlare gli allarmi provenienti da firewall, switch, UPS e temperatura ambiente. SNMP non sostituisce la valutazione del log. Per le domande sul traffico e sulla sicurezza, Visualizzatore log, Central Firewall Reporting, Syslog o SIEM rimangono più importanti. Per i modelli di traffico sulle interfacce, il sFlow monitoraggio su Sophos Firewall è una soluzione migliore. SNMP risponde principalmente alle domande sullo stato: il dispositivo è accessibile, le interfacce sono funzionanti, i valori hardware sono poco appariscenti e i valori cambiano nel tempo?

Requisiti

Prima di procedere con la configurazione, dovresti chiarire questi punti:

• È disponibile un sistema di monitoraggio con supporto SNMP.
• Il firewall può essere raggiunto tramite una rete di gestione o monitoraggio.
• L’accesso SNMP è consentito solo in Device Access per il sistema di monitoraggio.
• L’agente SNMP sul firewall è pianificato: nome, posizione, contatto e versione SNMP desiderata sono definiti.
• È chiaro se il sistema di monitoraggio interroga solo il firewall o se il firewall deve anche inviare trap SNMP.
• Il Sophos Firewall MIB appropriato viene importato nel sistema di monitoraggio.
• È chiaro quali modelli di firewall vengono monitorati e quali valori hardware forniscono questi modelli.
• Le regole di allarme sono progettate per segnalare problemi operativi reali e non solo generare rumore.

⚠️ SNMP non dovrebbe essere ampiamente accessibile dalle zone client, ospiti, IoT o WAN. I dati di monitoraggio possono rendere visibili modelli, interfacce, valori di stato e stati operativi. L’accesso appartiene a una rete di gestione o monitoraggio affidabile.

Separare chiaramente SNMP, sFlow e reporting

SNMP, sFlow e i rapporti forniscono risposte diverse.

Gli strumenti rispondono a diverse domande:

• SNMP: Buono per accessibilità, hardware e valori di interfaccia. Non ideale per singole regole firewall, blocchi URL o errori VPN.
• sFlow: Buono per i flussi di traffico su un’interfaccia. Non è l’ideale per un’analisi precisa di pacchetti o regole.
• Log Viewer, Syslog e Central Reporting: Utile per il contesto di regole, moduli, utenti ed eventi. Non ideale per l’integrità dell’hardware e i valori di polling dell’interfaccia a lungo termine.
• Packet Capture: Buono per la domanda su cosa può effettivamente essere visto su un’interfaccia. Non adatto per il monitoraggio permanente.

In pratica, questi strumenti sono combinati. SNMP segnala, ad esempio, temperature elevate o errori di interfaccia. Quindi controlla Log Viewer, Packet Capture, porta dello switch, temperatura ambiente o segmento di rete interessato.

Quali valori hardware fornisce SFOS 22

Sophos ha descritto ulteriori parametri hardware SNMP nelle note di rilascio SFOS 22. La disponibilità dipende dal modello di firewall.

Metriche hardware chiave:

• CPU temperature: disponibile per tutti i modelli XGS secondo Sophos.
• NPU temperature: per i modelli XGS eccetto XGS 88/88w, 108/108w, 118/118w e 128/128w.
• Fan speed: per i modelli XGS eccetto XGS 88/88w e 108/108w.
• Power supply stato: per XGS 2100 e versioni successive.
• misure PoE: per modelli XGS con PoE, eccetto XGS 116/116w.

Questa classificazione è importante per le aspettative. Se un modello desktop piccolo non fornisce un valore della ventola o una temperatura NPU, non si tratta automaticamente di un errore di monitoraggio. Innanzitutto è necessario verificare se il modello supporta la rispettiva metrica.

Accesso SNMP sicuro

Il primo controllo di sicurezza non avviene nel sistema di monitoraggio, ma nel firewall stesso.

Under Administration > Device access SNMP should only be accessible from the network in which the monitoring server is located. Se il sistema di monitoraggio ha un unico indirizzo IP fisso, una regola di eccezione ACL del servizio locale è solitamente migliore di una versione a zona ampia.

Regole di base utili:

• Non consentire SNMP da WAN.
• Non rilasciare SNMP per intere zone client o server se solo un host di monitoraggio sta effettuando il polling.
• Definire il server di monitoraggio come proprio oggetto host o rete di gestione.
• Controlla l’accesso per eventuali modifiche con Packet Capture o test di monitoraggio.
• Rimuovi le regole SNMP inutilizzate e le vecchie fonti di monitoraggio.

Device Access controlla il traffico verso il firewall stesso. Una normale regola firewall per il traffico da LAN a WAN non sostituisce questa impostazione.

Configurare l’agente SNMP e le voci manager

La configurazione di base si effettua in Administration > SNMP. Il firewall deve prima essere attivato come agente SNMP prima che un sistema di monitoraggio possa interrogarlo in modo utile.

Configurazione di base:

1. Aprire Administration > SNMP.
2. Attivare Enable SNMP agent.
3. Inserire un nome chiaro, idealmente coerente con l’hostname del firewall.
4. Inserire posizione e contatto, in modo che gli allarmi possano poi essere assegnati a una sede e a un responsabile.
5. Salvare con Apply.
6. Usare Download MIB e importare il MIB nel sistema di monitoraggio.

Sophos descrive due porte standard per l’agente: le query arrivano all’agente tramite UDP 161, le trap vengono inviate al manager tramite UDP 162. Queste porte devono essere corrette nella configurazione del firewall, ma anche raggiungibili tra sistema di monitoraggio, routing, firewall locali degli host ed eventuali segmenti di rete di gestione.

Per SNMPv3, si crea un utente in Administration > SNMP > SNMPv3 users and traps. Il nome utente deve essere scelto con attenzione perché, secondo Sophos, non può essere modificato in seguito. Poi si decide separatamente:

• Accept queries: Il firewall risponde alle query SNMP con questo utente.
• Send traps: Il firewall può inviare trap al manager.
• Authorized hosts: Secondo Sophos, questa lista vale solo per le destinazioni delle trap, non come lista di accesso per le query SNMP.
• Encryption algorithm: AES, DES o None. In ambienti produttivi, la crittografia dovrebbe essere attiva se il sistema di monitoraggio la supporta.
• Authentication algorithm: MD5, SHA256 o SHA512. Le nuove installazioni dovrebbero usare SHA256 o SHA512 quando possibile.
• Password: Sophos richiede almeno 12 caratteri per crittografia e autenticazione.

Per SNMPv1/v2c, si crea una voce community in Administration > SNMP > SNMPv1/v2c. Si configurano nome, community string, versione IP, IP del manager e le opzioni Accept Queries e Send traps. La community string funziona come una password per le query SNMP e quindi non dovrebbe comparire in chiaro in screenshot, ticket o template di monitoraggio.

Se si usano trap, la voce SNMP da sola non è sempre una configurazione di allarme completa. In System services > Notification list devono essere attivate anche le trap SNMP e i tipi di alert desiderati.

Scegli consapevolmente la versione SNMP

Se possibile, dovrebbe essere utilizzato SNMPv3 perché abilita l’autenticazione e, con la configurazione AuthPriv appropriata, la crittografia. SNMPv1 e SNMPv2c funzionano con Community Strings. Questi Community Strings non sono account utente, ma segreti condivisi e devono essere protetti di conseguenza.

For SNMPv1/v2c, Sophos mentions a change in SFOS 22: You can add the Community String and choose whether the configuration applies to IPv4 or IPv6. Durante l’aggiornamento, il firewall adotta i nomi esistenti come Community String e crea nomi di oggetti migrati con il prefisso snmp.

Dopo un aggiornamento dovresti quindi controllare:

• Esistono vecchi SNMPv1/v2c Community Strings?
• Gli oggetti snmp migrati automaticamente hanno un nome chiaro?
• IPv4, IPv6 o entrambi sono davvero necessari?
• È possibile rimuovere le vecchie fonti di monitoraggio?
• È possibile SNMPv3 o v2c è ancora necessario per motivi di compatibilità?

⚠️ Community Strings non devono essere trattate come etichette innocue. Tali stringhe appartengono al concetto di password o segreti, non devono essere copiate nei ticket e non devono essere visibili negli screenshot.

Importa MIB e controlla gli OID

Affinché un sistema di monitoraggio possa riconoscere in modo significativo i valori Sophos, è necessario il file MIB appropriato. Il MIB descrive quali OID sono disponibili per i valori di firewall, interfaccia e hardware.

Procedura pratica:

1. Ottenere il file MIB corrente in Administration > SNMP > Download MIB.
2. Importa MIB nel sistema di monitoraggio.
3. Aggiungi il firewall con SNMPv3 o una configurazione v1/v2c scelta deliberatamente.
4. Rileva modello, versione firmware e OID accessibili.
5. Controllare le metriche hardware rispetto al modello specifico.
6. Effettuare un sondaggio manuale e verificare la plausibilità dei valori.
7. Solo allora attivare le regole di allarme.

Dopo gli aggiornamenti del firmware, la pagina MIB dovrebbe essere controllata nuovamente. Le nuove versioni di SFOS possono aggiungere OID o modificare aree esistenti. If a monitoring system no longer resolves values ​​correctly after an update, you should not first suspect the firewall, but rather check the MIB version, discovery and OID assignment.

Avvisi utili

SNMP il monitoraggio è utile solo se gli allarmi sono impostati in modo sensato. Soglie troppo strette creano rumore, soglie troppo ampie segnalano problemi troppo tardi.

Aree di allarme tipiche:

• Disponibilità: Il firewall non risponde più tramite SNMP o ping.
• CPU temperature: La temperatura sale continuamente al di sopra del range normale.
• NPU temperature: L’andamento della temperatura è sensibilmente o permanentemente superiore ai valori comparativi.
• Fan speed: Il valore della ventola è mancante, pari a zero o notevolmente al di fuori dell’intervallo normale.
• Power supply: L’alimentatore ridondante manca o segnala un errore.
• PoE: Il carico PoE si sta avvicinando al budget disponibile.
• Interfacce: Porta inattiva, contatore di errori o larghezza di banda insolita. Una linea di base è importante per i valori di temperatura. Un piccolo firewall desktop in un armadio tecnologico caldo si comporta in modo diverso rispetto a un apparecchio rack in una stanza climatizzata. Pertanto è opportuno prima osservare il normale funzionamento per alcuni giorni e solo successivamente impostare le soglie produttive.

Un allarme a due fasi è spesso utile per le sedi produttive:

• Attenzione: Il valore è anomalo ma il servizio è in esecuzione. Controlla la cronologia, la posizione, il carico e le modifiche recenti.
• Critico: Il valore indica un rischio acuto, ad esempio un’interruzione dell’alimentazione, una temperatura costantemente molto elevata, una perdita di accessibilità o errori di interfaccia in rapido aumento.

Ciò significa che il monitoraggio resta capace di agire. Non tutti gli aumenti di temperatura devono essere intensificati immediatamente, ma una tendenza ricorrente non dovrebbe scomparire nel normale rumore del cruscotto.

Imposta il runbook e la responsabilità degli allarmi

Un allarme SNMP è utile solo se è chiaro chi reagisce e quale procedura si applica. I valori dell’hardware sono spesso indicatori anticipatori: l’aumento della temperatura, la mancanza di un valore della ventola o un allarme di alimentazione non significano automaticamente che l’apparecchio debba essere sostituito immediatamente. Ma significa che la condizione dovrebbe essere classificata e documentata.

Dovrebbe esistere una breve voce nel runbook per i firewall produttivi:

Primi controlli tipici:

• Firewall non accessibile tramite SNMP: controlla la rete di gestione, Device Access, il routing, il server di monitoraggio e l’accessibilità dell’appliance.
• La temperatura aumenta costantemente: Confronta temperatura ambiente, ventilazione, posizione nel rack, polvere, carico e cronologia.
• Valore della ventola mancante o anomalo: Controllare il limite del modello, il valore del sensore, il rumore, l’andamento della temperatura e la pertinenza del supporto.
• L’alimentatore segnala un errore: Controllare l’alimentatore, l’UPS, i cavi, l’alimentatore ridondante e il rischio HA.
• PoE il carico è elevato: controlla i dispositivi collegati, PoE il budget e le riserve pianificate.
• Gli errori di interfaccia aumentano: Controllare cavo, porta dello switch, duplex/velocità, modulo SFP e passaggio del provider.

L’ordine è importante: prima verificare la visibilità e la plausibilità, poi valutare il rischio, quindi preparare il processo di sostegno o di scambio. In caso di possibili difetti hardware, è necessario documentare anche il numero di serie, il modello, la versione del firmware, l’ora, i parametri interessati, la cronologia e lo screenshot o l’estratto di monitoraggio. Alla fine, le domande su garanzia e RMA non dipendono solo dall’allarme, ma anche dal dispositivo specifico, dallo stato del supporto e dal modello di errore.

Per gli argomenti SSD, SNMP non è il percorso principale. Se l’attenzione è rivolta all’integrità del disco o al carico di scrittura, Sophos Firewall Controlla l’integrità dell’SSD tramite SMART è la soluzione migliore.

HA cluster e firewall multipli

Negli ambienti HA, dovresti definire chiaramente come verranno monitorati entrambi i dispositivi. Non sempre è sufficiente osservare solo l’indirizzo del cluster. Per quanto riguarda i valori hardware, entrambi gli apparecchi sono spesso rilevanti perché anche una ventola, un alimentatore o una porta dell’apparecchio passivo possono guastarsi.

Domande importanti:

• Primari e ausiliari vengono riconosciuti separatamente?
• Entrambi i dispositivi hanno i propri indirizzi di gestione IP per il monitoraggio?
• Il numero di serie, il nome host o il modello sono chiaramente visualizzati nel monitoraggio?
• Gli allarmi rimangono comprensibili dopo un failover?
• Viene segnalata anche un’interruzione dell’alimentazione elettrica dell’apparecchio passivo? Per il funzionamento HA stesso, è adatto Sophos Firewall Configura disponibilità elevata. SNMP non dovrebbe essere pianificato in modo isolato, ma insieme ad aggiornamenti firmware, test di failover, concetti di backup e documentazione operativa.

Convalida dopo l’installazione

Dopo aver configurato SNMP, non dovresti solo controllare se il monitoraggio è verde. Ciò che è importante è se i dati giusti provengono dalla fonte giusta.

Lista di controllo:

1. L’accesso SNMP è possibile solo dalla rete di monitoraggio.
2. L’agente SNMP è attivo e risponde su UDP 161.
3. Se si usano trap, i messaggi di test arrivano al manager tramite UDP 162.
4. Il firewall viene rilevato con nome host, modello e versione firmware corretti.
5. Il Sophos MIB viene importato e i valori hardware sono chiaramente denominati.
6. Le metriche non supportate sono documentate come limite del modello, non come errore.
7. I valori di temperatura, ventola, alimentazione e PoE sono plausibili.
8. Viene attivato un allarme di prova che raggiunge il destinatario corretto.
9. Per i cluster HA vengono controllati entrambi i dispositivi o la logica del cluster desiderata.
10. Dopo un aggiornamento del firmware, Discovery viene nuovamente testato.

Per problemi di prestazioni e velocità effettiva, non dovresti sovrainterpretare i valori SNMP. La classificazione dei dati sulle prestazioni di Sophos è descritta nell’articolo Comprensione dei dati sulle prestazioni Sophos Firewall.

Risoluzione dei problemi

Il firewall non risponde a SNMP

Innanzitutto controlla se il sistema di monitoraggio proviene dalla zona prevista e se SNMP è consentito in Amministrazione > Accesso al dispositivo. Quindi controlla l’indirizzo IP, il routing, le regole ACL locali, la versione SNMP, le credenziali Community String o SNMPv3. Se non è chiaro se i pacchetti raggiungono il firewall, Packet Capture sull’interfaccia interessata aiuta. Una normale regola del firewall non risolverà questo problema se il traffico va al firewall stesso.

MIB è importato ma mancano dei valori

Innanzitutto controlla se la metrica mancante è disponibile per il modello utilizzato. I modelli XGS piccoli non forniscono tutti i valori hardware. Confronta quindi la versione MIB, l’assegnazione OID e la versione del firmware.

Dopo l’aggiornamento, gli oggetti SNMP avranno nomi diversi

Per SNMPv1/v2c, SFOS può creare 22 oggetti migrati con il prefisso snmp. Dopo un aggiornamento dovresti quindi controllare Community Strings, i nomi degli oggetti e il rilevamento del monitoraggio. Se il monitoraggio funziona con nomi anziché con OID stabili, potrebbe essere necessario modificare i modelli.

Il monitoraggio segnala troppi allarmi di temperatura

Allora probabilmente le soglie sono fissate troppo strette o prive di un valore di riferimento. Per prima cosa registrare i valori normali per diversi giorni. Quindi imposta le soglie in base al modello, alla posizione e alla temperatura ambiente. I singoli picchi brevi dovrebbero essere valutati in modo diverso rispetto a una tendenza della temperatura in aumento permanente.

Il cluster HA mostra un solo dispositivo

Successivamente è necessario verificare se il monitoraggio interroga solo l’indirizzo del cluster o se entrambi gli apparecchi possono essere raggiunti separatamente. L’appliance passiva è rilevante anche per lo stato dell’hardware. Per i cluster produttivi, dovresti documentare quale indirizzo IP rappresenta quale dispositivo e quale ruolo.

Lista di controllo operativa

• Consenti solo SNMP dalle reti di gestione o di monitoraggio.
• Preferisci SNMPv3 se il sistema di monitoraggio lo supporta correttamente.
• Tratta SNMPv1/v2c Community Strings come segreti.
• Importa Sophos MIB e controlla gli aggiornamenti del firmware.
• Documentare i limiti del modello per i valori hardware.
• Imposta la temperatura e le soglie PoE in base a linee di base reali.
• Nomina chiaramente i dispositivi HA e valutali separatamente.
• Documentare il runbook degli allarmi con controllo iniziale, escalation e responsabilità.
• Se si sospetta l’hardware, eseguire il backup del modello, del numero di serie, della versione del firmware e della cronologia.
• Testare regolarmente gli allarmi e chiarire le responsabilità.
• Combina SNMP dati con log, sFlow, Packet Capture e Central Reporting.

Domande frequenti