Registrare uno Sophos Switch in Sophos Fusion

Uno Sophos Switch può essere gestito localmente tramite interfaccia web e CLI oppure centralmente tramite Sophos Fusion. La registrazione richiede una configurazione IPv4 funzionante, DNS, accesso a Internet e l’accesso ai domini target richiesti. La registrazione e le licenze sono tecnicamente separate: lo switch può essere registrato senza un abbonamento valido, ma la gestione e le modifiche tramite Sophos Fusion richiedono un abbonamento Sophos Switch Support and Services.

Dopo l’accensione o il riavvio restano 15 minuti per registrare lo switch in Sophos Fusion. Preparare quindi rete, tenant e assegnazione prima di avviare questa finestra.

Obiettivo e condizioni di arresto

Alla fine, lo switch appare sotto My Products > Switches > Switches con il numero di serie corretto e il sito o il riferimento stack previsto. Lo stato obiettivo tecnico è Synchronized; l’abbonamento di supporto deve essere valido anche per l’accettazione operativa. Il lease DHCP o l’indirizzo di gestione statico, la risoluzione DNS e le connessioni in uscita devono continuare a funzionare.

Non iniziare la registrazione tecnica mentre uno dei punti seguenti rimane irrisolto:

• Numero di serie, tenant di destinazione o sito o stack previsto non sono chiari.
• Lo switch non riceve un indirizzo di gestione adatto o non raggiunge il suo gateway predefinito.
• Le richieste DNS IPv4 non funzionano.
• Un firewall, un proxy o l’ispezione SSL/TLS blocca le destinazioni necessarie.
• Gli effetti del modello predefinito sullo switch pilota non sono chiariti.

Confermare l’abbonamento in anticipo

L’acquisto dell’hardware include l’interfaccia web locale e la CLI. Un abbonamento Sophos Switch Support and Services per ogni switch utilizzato e gestito tramite Sophos Fusion offre inoltre i seguenti servizi:

• Gestione tramite Sophos Fusion, comprese le porte, VLAN, configurazione e stato,
• aggiornamenti firmware,
• Supporto multicanale 24/7,
• Advanced RMA.

Senza un abbonamento valido, il commutatore continua a funzionare e rimane gestibile localmente, ma le modifiche attraverso Sophos Fusion non sono possibili. Se sono disponibili troppi pochi abbonamenti, Sophos Fusion visualizza Oversubscribed; è necessario acquistare gli abbonamenti mancanti. No subscription, Expired subscription, e Suspended sono anche stati di accettazione non validi. Attivare e gestire la licenza tramite Profile icon > Licensing.

Tenere questi problemi separati durante la diagnosi: uno switch accessibile a livello locale che inoltra il traffico non dimostra che la gestione di Fusion è autorizzata. Al contrario, una licenza non risolve problemi DHCP o DNS o sblocca le destinazioni.

Preparazione

Prima di cablare lo switch, registrare il suo modello, il numero di serie e la posizione, così come il tenant, il sito o lo stack previsto, nel registro della modifica. Aggiungere:

• la configurazione IP di gestione precedente se lo switch non è nuovo di fabbrica,
• VLAN di gestione, ambito DHCP o indirizzo statico, maschera subnet, gateway predefinito e server DNS,
• regole di firewall, proxy e ispezione SSL/TLS a monte,
• configurazione locale esistente e accesso di amministratore locale raggiungibile,
• la finestra di manutenzione, l’ora limite per interrompere l’intervento e la persona responsabile.

Iniziare con uno switch pilota. Limitare le regole temporanee di autorizzazione alle destinazioni documentate invece di creare un accesso Internet illimitato. Se è necessaria un’eccezione per il proxy o l’ispezione, registrare sia lo stato precedente che lo stato finale richiesto.

Domini richiesti

Lo switch deve essere in grado di risolvere e raggiungere i seguenti FQDN. Un record IP statico non sostituisce il DNS.

Gestione e registrazione

Prima della registrazione iniziale: Se gli apparati a monte decrittano le connessioni SSL/TLS, le connessioni dello switch verso sophos.jfrog.io e jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com devono attraversare tutti gli apparati tra lo switch e Internet senza decrittazione SSL/TLS. La decrittazione può causare errori di connessione dovuti alla gestione della catena di certificati. Consentire un dominio non basta: la raggiungibilità e l’esclusione dalla decrittazione sono impostazioni distinte.

Limitare l’esclusione a questi due FQDN di destinazione e agli indirizzi sorgente documentati degli switch; non disattivare globalmente l’ispezione. Questo requisito non implica alcuna esclusione dalla decrittazione per fusion.sophos.com, *.apu.sophos.com o i domini di backup. In assenza di decrittazione a monte, non è necessaria un’ulteriore regola di bypass.

Backup di configurazione specifici per regione

La destinazione appropriata per la regione dei dati deve essere raggiungibile:

tf-cswitch-backup-config-dump-eu-west-1-prod-bucket.s3.eu-west-1.amazonaws.com
tf-cswitch-backup-config-dump-eu-central-1-prod-bucket.s3.eu-central-1.amazonaws.com
tf-cswitch-backup-config-dump-us-east-2-prod-bucket.s3.us-east-2.amazonaws.com
tf-cswitch-backup-config-dump-us-west-2-prod-bucket.s3.us-west-2.amazonaws.com
tf-cswitch-backup-config-dump-ap-south-1-prod-bucket.s3.ap-south-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-northeast-1-prod-bucket.s3.ap-northeast-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-southeast-2-prod-bucket.s3.ap-southeast-2.amazonaws.com
tf-cswitch-backup-config-dump-sa-east-1-prod-bucket.s3.sa-east-1.amazonaws.com
tf-cswitch-backup-config-dump-ca-central-1-prod-bucket.s3.ca-central-1.amazonaws.com

Se la politica di sicurezza permette, è possibile consentire il prefisso tf-cswitch-backup-config-dump insieme al dominio amazonaws.com utilizzando un carattere jolly o un’espressione regolare. Non è necessario consentire indiscriminatamente *.amazonaws.com.

I requisiti del produttore specificano FQDN ma non porte non standard. Non aprire porte aggiuntive arbitrarie. Se il filtraggio causa un problema, rivedere i registri DNS, proxy, ispezioni e firewall invece di rilassare in modo ampio la politica di egresso.

Bootstrap locale

Tutti i modelli Sophos Switch utilizzano l’indirizzo di gestione 172.16.16.239 nel loro stato iniziale.

1. Collegare il cavo di alimentazione, accendere lo switch e verificare che il LED di alimentazione sia acceso.
2. Attendere il completamento dell’avvio; può richiedere alcuni minuti.
3. Collegare un computer direttamente a una porta Ethernet dello switch.
4. Temporaneamente dare al computer un indirizzo statico libero nella rete 172.16.16.0/24, ad esempio:
   • Indirizzo IP: 172.16.16.200
   • Maschera subnet: 255.255.255.0
5. Inserisci 172.16.16.239 in un browser. Viene visualizzata la pagina di accesso.
6. Accedi con il nome utente admin e la password del dispositivo corrente. La password di fabbrica è sull’adesivo sul retro.
7. Modificare la password predefinita in modo controllato o creare un account amministratore dedicato. Conservare le nuove credenziali in modo sicuro.
8. Passare a Configure > System settings > IP address settings e aprire IPv4 management.

Variante A: DHCP

1. In Configuration, selezionare l’opzione DHCP.
2. Salvare con Apply.
3. Collegare lo switch alla rete di gestione prevista.
4. Nel server DHCP, determinare e documentare l’indirizzo IP assegnato sulla base dell’indirizzo MAC o del nuovo lease.
5. Controllare che il lease, subnet, gateway predefinito e server DNS corrispondano alla rete di gestione pianificata.
6. Riaprire l’interfaccia web locale tramite l’indirizzo assegnato.

DHCP da solo non è sufficiente: il risolutore DNS assegnato deve essere in grado di rispondere alle FQDN pubbliche richieste tramite IPv4, e il gateway predefinito deve indirizzare il traffico in uscita.

Variante B: indirizzo IPv4 statico

1. In Configuration, selezionare l’opzione Static.
2. Completa i seguenti campi:
   • Address: indirizzo IP di gestione riservato allo switch,
   • Subnet mask: maschera della rete di gestione,
   • Default gateway: indirizzo router della rete di gestione,
   • DNS server 1: resolver DNS primario,
   • DNS server 2: resolver DNS secondario facoltativo.
3. Salvare con Apply.
4. Collegare lo switch alla rete di gestione prevista.
5. Reimpostare il computer di amministrazione nella configurazione di rete originale.
6. Riaprire l’interfaccia web locale tramite il nuovo indirizzo statico.

Prima di selezionare Apply, assicurarsi che l’indirizzo statico non sia già in uso. Se l’interfaccia è quindi inaccessibile, prima controllare il computer amministratore, VLAN, subnet, gateway e indirizzo documentato; non eseguire immediatamente un reset di fabbrica.

Controllare la rete prima della finestra di 15 minuti

Completa i seguenti punti prima del riavvio previsto:

1. Nella gestione degli indirizzi DHCP o IP, verificare che l’indirizzo di gestione sia stabile.
2. Sul risolutore DNS utilizzato, testare la risoluzione di tutti i FQDN richiesti per la regione.
3. Cercare l’IP dello switch nei log del firewall e del proxy e verificare la raggiungibilità di tutti i domini richiesti. In presenza di decrittazione SSL/TLS a monte, verificare anche su ciascun apparato intermedio che si applichi effettivamente l’esclusione limitata alle due destinazioni di registrazione; una semplice regola di autorizzazione non basta.
4. In Profile icon > Licensing verificare che il numero di abbonamenti Support and Services sia sufficiente per gli switch già registrati e quelli da aggiungere.
5. Preparare in Sophos Fusion il sito o lo stack previsto. Se non viene selezionato nulla, Sophos Fusion applica il default template.
6. Tenere pronto il numero di serie da incollare. Quando si aggiungono più switch, inserire esattamente un numero di serie per linea.

Per le porte 2.5, 5 o 10 Gbps, verificare anche che i cavi e i componenti di rete esistenti supportino la velocità prevista. Questo non influisce sulla registrazione di numero seriale, ma impedisce che un collegamento instabile venga scambiato per un difetto di registrazione.

Registrazione in Sophos Fusion

Il percorso esatto è My Products > Switches > Switches > Add switches.

1. Aprire Add switches prima dell’avvio della finestra del tempo.
2. Collegare lo switch alla rete di gestione e quindi a Internet.
3. Accendi lo switch, se è già acceso o la finestra di 15 minuti non è chiara, fai esattamente un riavvio pianificato.
4. Da questo avvio hai 15 minuti per completare la registrazione.
5. Inserire il numero di serie in Step 3. Per un pilota controllato, registrate solo lo switch preparato; per una registrazione collettiva approvata, immettete un numero di serie per linea.
6. Selezionare il sito preparato dal menu a discesa. Utilizzare la freccia accanto a un sito per selezionare uno degli stack di quel sito.
7. Controllare la selezione, il numero di serie e il tenant di nuovo.
8. Fare clic su Register.

Se non si seleziona un sito o uno stack, lo switch riceve il modello predefinito, non è uno stato neutro: le impostazioni possono essere applicate allo switch dopo la registrazione.

Controllare la registrazione e la sincronizzazione

Controllare il risultato in My Products > Switches > Switches. Il numero di serie, il modello, la posizione e il sito o lo stack devono corrispondere alla modifica. Verificare anche la versione del firmware, l’accesso alla gestione locale tramite l’indirizzo IP documentato e i due valori di stato cruciali:

• Lo stato di supporto mostra un abbonamento valido.
• Lo stato di connessione e configurazione raggiunge Synchronized.

Nessun nuovo errore HTTP: 000 può apparire nel registro degli switch; i log del firewall e del proxy non devono mostrare connessioni bloccate ai FQDN richiesti.

Dopo la modifica, verificare separatamente la registrazione riuscita tramite sophos.jfrog.io e il controllo del firmware attuale tramite jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com; la sola visualizzazione della versione installata non dimostra il secondo controllo. Se l’ispezione è attiva, confermare tramite le regole applicate e i log che soltanto le connessioni previste degli switch verso queste due destinazioni passino senza decrittazione. Eseguire un test HTTPS autorizzato al di fuori di questo ambito sorgente/destinazione per verificare che l’ispezione normale resti invariata. Registrare i risultati nel record della modifica.

Durante la sincronizzazione, questi stati possono apparire:

Le modifiche locali non vengono riportate automaticamente in Sophos Fusion. Dopo il completamento dell’onboarding, non configurare lo switch contemporaneamente in locale e in Fusion. Synchronized conferma la connessione al cloud e la sincronizzazione della configurazione; solo un test funzionale separato e approvato conferma la configurazione prevista del percorso dati.

Errore DOWNLOADER error Failed to download the package. HTTP: 000

La voce

DOWNLOADER    error    Failed to download the package. HTTP: 000

in questo flusso di lavoro indica che lo switch non è riuscito a raggiungere una delle destinazioni di registrazione. 000 non è un normale stato HTTP restituito da un server web. Non mascherare l’errore con ripetuti tentativi di registrazione.

Controlla in questo ordine:

1. Tempo e origine IP: Registrare il tempo esatto di errore e l’IP di gestione corrente dello switch.
2. Indirizzo: Controllare il lease DHCP o indirizzo statico, maschera subnet e gateway predefinito.
3. DNS: Risolvere sophos.jfrog.io e jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com attraverso i server DNS esatti assegnati allo switch.
4. Firewall e proxy: Filtra i log per IP sorgente e per entrambi i FQDN. Bloccare sophos.jfrog.io impedisce la registrazione; bloccando la destinazione S3 impedisce che la versione firmware corrente venga controllata.
5. Ispezione SSL/TLS: In presenza di decrittazione a monte, verificare che le connessioni dello switch verso sophos.jfrog.io e jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com attraversino ogni apparato senza decrittazione. Gli errori della catena di certificati sono il motivo di questa esclusione obbligatoria. Controllare le regole applicate, la sostituzione dei certificati e l’eventuale autenticazione del proxy; escludere soltanto le sorgenti documentate degli switch e queste due destinazioni, senza disattivare globalmente l’ispezione.
6. Altre destinazioni Sophos: Verificare anche fusion.sophos.com e *.apu.sophos.com per la risoluzione e l’accesso a uscita consentito.
7. Dominio di backup regionale: Per la funzionalità completa di Fusion, controlla la destinazione di backup per la regione dei dati. La sola registrazione riuscita non ne dimostra la raggiungibilità.
8. Solo dopo aver corretto il problema, avviare un nuovo ciclo di registrazione.

Un test esteso con regola “allow any” è accettabile solo se è strettamente limitato nel tempo, circoscritto all’IP del singolo switch e registrato nella modifica. Dopo il test, sostituiscilo immediatamente con le regole per gli FQDN indicate sopra. Se HTTP: 000 persiste, conserva per l’escalation le risposte DNS, la decisione del firewall o proxy, il log dello switch, il timestamp, il modello, il numero di serie e la versione del firmware.

Limitare chiaramente le ripetizioni, riavviare e resettare

Sophos non specifica alcun limite numerico massimo per i tentativi di registrazione. Ogni avvio ha tuttavia un limite rigoroso:

• Ogni avvio o riavvio apre una finestra di registrazione di 15 minuti.
• Se lo switch non è registrato dopo 15 minuti, è necessario riavviarlo e avviare nuovamente il processo di registrazione.
• Fare clic su Register fuori dalla finestra non sostituisce il riavvio.
• Un tentativo di ri-registrazione richiede solo un riavvio, non un reset di fabbrica.

Esegui quindi al massimo un nuovo tentativo dopo aver dimostrato di aver corretto la causa. Se anche questo tentativo fallisce, non continuare in un ciclo di riavvii o reset. Rivaluta i log e il percorso di rete ed esegui l’escalation del caso, se necessario.

Inoltre, non riavviare con Pending, Syncing o un’attività firmware in esecuzione, questi stati non sono una richiesta di riaprire la finestra di 15 minuti.

Rollback

Procedere in base allo stato raggiunto.

Prima della registrazione riuscita

1. Interrompere ulteriori tentativi e scollegare lo switch dall’uplink di produzione se necessario senza interrompere l’alimentazione durante un processo di scrittura o aggiornamento riconoscibile.
2. Riportare il computer di amministrazione alla sua configurazione originale DHCP o statica.
3. Se è stato modificato solo l’indirizzo di gestione, accedere localmente tramite l’ultimo indirizzo documentato e ripristinare la precedente configurazione DHCP o statica.
4. Rimuovere le eccezioni temporanee troppo ampie per firewall, proxy o ispezione; ripristinare le regole esistenti al loro stato di base documentato.
5. Documentare il modello di errore, i registri e lo smantellamento effettuato. Il limite dalla sezione precedente si applica per riavviare e ripristinare.

Dopo la registrazione riuscita

Non cercare di annullare una registrazione riuscita con un reset non pianificato. Fusion potrebbe già aver trasferito il modello predefinito o il sito selezionato o la configurazione stack.

1. Non inviare ulteriori modifiche da Fusion e non forzare la sincronizzazione manuale.
2. Documentare lo switch, il numero di serie, il tenant, il sito o lo stack, lo stato e il modello applicato.
3. Se l’effetto sul percorso dei dati è possibile, rimuovere lo switch pilota dal percorso di produzione in modo controllato o collegarlo alla connessione pilota fornita in anticipo.
4. Non rimuovere i domini finché lo switch è ancora gestito da Fusion, ma sostituire una regola temporanea che è troppo ampia con la lista di permessi esatta.
5. Se una deregistrazione, un cambiamento tenant o un reset di fabbrica sembra necessario, fermarsi qui e utilizzare un processo testato separatamente.

Utilizzare il percorso di amministrazione locale per la diagnosi e la stabilizzazione secondo le necessità. Le modifiche effettuate localmente non sono sincronizzate in Sophos Fusion.

Documentazione finale

Registrare queste informazioni nella documentazione della modifica:

• numero di serie, modello, IP di gestione e lease DHCP o parametri statici,
• Server DNS utilizzati e risoluzione di successo degli obiettivi richiesti,
• domini consentiti, compresa la regione dei dati,
• tempo di registrazione entro la finestra di 15 minuti,
• Tenant e sito o stack selezionato,
• Schermata o esportazione della panoramica dello stato finale,
• versione firmware e qualsiasi avviso Firmware too old,
• il risultato del test di accesso locale,
• regole temporanee rimosse oppure allowlist esatta ancora necessaria,
• Se si verifica un guasto: log HTTP: 000, decisione del firewall/proxy e numero di riavvii controllati.

Per un’esclusione dalla decrittazione, documentare anche l’ambito sorgente/destinazione, le regole applicate, il responsabile, la data di revisione e i risultati dei test di registrazione, firmware e fuori ambito. Rivalutarne la necessità durante la revisione delle modifiche alla rete o al firmware. Il rollback descritto sopra rimane valido: rimuovere le esclusioni temporanee troppo ampie; non revocare un’esclusione circoscritta ancora necessaria senza una nuova verifica.

Questo consente di assegnare un problema successivo all’indirizzo locale, DNS, filtraggio di dominio, registrazione, licenza o sincronizzazione a valle.