Anforderungen für Sophos Wireless in Sophos Fusion

Viele Registrierungsfehler entstehen vor dem Wireless-Profil: Der Access Point erhält zu wenig Leistung, landet im falschen Management-Netz oder erreicht Sophos Fusion (ehemals Sophos Central) nicht. Diese Checkliste trennt deshalb zuerst Hardware, Switchport und Bootstrap-Verbindung. SSIDs und Client-VLANs kommen erst danach.

Schnellprüfung vor dem Anschliessen

1. Das exakte AP6-Modell mit der Übersicht der aktuellen AP6-Modelle prüfen. Die alte AP-Serie ist Lifecycle-Kontext, keine Basis für eine neue Installation.
2. PoE-Standard, Leistung pro Port und gesamtes PoE-Budget anhand der untenstehenden Modelltabelle dimensionieren. Passive-PoE-Injektoren sind nicht unterstützt.
3. Den Switchport so vorbereiten, dass das Management-VLAN untagged ist. Spätere Client-VLANs müssen als tagged VLANs auf dem Trunk vorhanden sein.
4. Im untagged Management-Netz DHCP für IPv4, DNS und einen funktionierenden Default Gateway bereitstellen.
5. Die aktuellen Sophos-Fusion-Ziele freigeben, NTP-Auflösung und -Erreichbarkeit sicherstellen und einen HTTPS-Proxy aus dem Kommunikationspfad nehmen.
6. Bei einem AP6 das Gerät starten, eine allfällige Erstaktualisierung abwarten und erst bei dauerhaft grünem Status registrieren. Beim AP6 beträgt das Registrierungsfenster 24 Stunden nach dem Einschalten.

Damit ist nicht bewiesen, dass ein späteres SSID- oder VLAN-Design korrekt ist. Die Prüfung schafft nur den verlässlichen Managementpfad, über den Sophos Fusion das Gerät zuerst erreichen kann.

Bevor eine Security-Integration Geräte automatisch isolieren darf, den AP6-Ablauf für Active Threat Response mit einem kontrollierten Pilotgerät prüfen.

Aktuelle AP6-Modelle

Sophos Wireless, verwaltet über Sophos Fusion, unterstützt für eine aktuelle AP6-Planung diese dedizierten Modelle:

• Sophos AP6 Serie: AP6 420, AP6 420E, AP6 840, AP6 840E und AP6 420X.

AP6 420, AP6 840 und AP6 420X sind Dualband-Modelle mit zwei Funkmodulen; AP6 420E und AP6 840E sind Triband-Modelle mit drei Funkmodulen.

Das Band für Mesh-Netze ist bei allen fünf AP6-Modellen noch als TBD ausgewiesen und darf daher nicht als zugesicherte Eigenschaft eingeplant werden. Die Clientzahl ist ein dokumentiertes Maximum pro Radio, kein Planungsziel. Land, regulatorische Domain, Innen-/Aussenbetrieb, Kanalbreite und Sophos Fusion-Konfiguration bestimmen, welche Kanäle tatsächlich wählbar sind. Besonders im Aussenbetrieb darf die Tabelle deshalb nicht als Freigabe jedes aufgeführten Kanals verstanden werden.

Die frühere Sophos AP Serie mit AP15/AP15c, AP55/AP55c und AP100/AP100c/AP100x ist in der aktuellen Supportmatrix nicht aufgeführt. Für Bestandsgeräte muss deshalb neben der aktuellen Matrix auch der interne Lifecycle-Status geprüft werden.

AP6 kann lokal oder über Sophos Fusion verwaltet werden. Die Entscheidung und die weiteren Managementgrenzen erklärt AP6 lokal oder mit Sophos Fusion verwalten. Für die zentrale Verwaltung lautet der UI-Pfad My Products > Wireless. Dieser Artikel bleibt bewusst bei der Netzwerk- und Hardware-Vorabprüfung.

Lizenzgrenze knapp und belastbar

Für jeden über Sophos Fusion verwalteten AP6 ist Sophos AP6 Support and Services in passender Anzahl nötig. Bei fehlender oder zu kleiner Lizenzmenge zeigt Sophos Fusion im Wireless-Bereich eine Warnung; ohne gültige Lizenz können APs über Sophos Fusion nicht geändert werden. Für AP6, die nicht über Sophos Fusion verwaltet werden, verlangt Sophos diese Lizenz nicht.

Es ist nicht zugesichert, dass ein über Sophos Fusion verwalteter AP6 beim Lizenzablauf automatisch auf Standalone umschaltet, den Datenverkehr garantiert fortsetzt oder seine Konfiguration aus Sophos Fusion lokal übernimmt. Für diese Folgen darf daher nicht geplant werden. Die Managementwahl gehört vor der Inbetriebnahme geklärt.

PoE pro AP6-Modell planen

Beim AP6 840E wirken 40 W AP-Last und die verlangte PoE++-Quelle mit 60 W nur auf den ersten Blick widersprüchlich: 40 W ist die dokumentierte Last des AP; 60 W bezeichnet die Leistungsklasse der 802.3bt-Stromquelle. Für die Beschaffung ist deshalb ein 60-W-fähiger PoE++-Port oder -Injektor einzuplanen, nicht eine auf 40 W begrenzte Quelle.

AP6 handelt die Leistung per LLDP-MED mit dem Power Sourcing Equipment (PSE) aus. Passive PoE ist nicht unterstützt. Bei zu wenig Leistung deaktiviert der AP alle Radios und zeigt in der Oberfläche eine Warnung; Link oder Management-Erreichbarkeit allein beweisen somit keine betriebsbereite Funkversorgung. Wird die PSE-Konfiguration nach dem AP-Start geändert, muss der AP neu gestartet werden, damit die neue Leistungseinstellung wirksam wird.

Zusätzlich muss das Switch-Budget die Summe aller angeschlossenen Geräte tragen. Ein nominell geeigneter Einzelport hilft nicht, wenn das Gesamtbudget des Switches ausgeschöpft ist.

Switchport und Bootstrap-Netz vorbereiten

Der AP kommuniziert für die Anbindung an Sophos Fusion immer über ein untagged VLAN. Am kabelgebundenen Switch muss daher das native beziehungsweise Management-VLAN untagged sein. VLANs für spätere WLAN-Clients werden dagegen tagged auf dem Trunk zugelassen. Wird der Managementpfad bereits nur tagged angeboten, kann der noch nicht konfigurierte AP Sophos Fusion nicht zuerst erreichen.

Im Management-Netz braucht der AP DHCP und DNS für IPv4. Nach erfolgreichem DHCP versucht er, Sophos Fusion über seinen Default Gateway zu erreichen. Die Default-Adresse eines AP6 lautet 192.168.2.2. Diese Adresse ist ein Diagnosehinweis, kein Ersatz für einen produktiven DHCP-, DNS- und Gateway-Pfad.

Sophos Fusion-Ziele, NTP und Proxy

Wenn Firewall oder Proxy Wildcards unterstützen, gilt aktuell folgende Allowlist:

• central.sophos.com
• fusion.sophos.com
• *.sophos.pool.ntp.org
• sophos.jfrog.io
• jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com
• wifix-*.cloudstation.*.sophos.com

Ohne Wildcards muss zuerst in Sophos Fusion über den Kontonamen und Support settings die Region aus der Zeile This account is located in bestimmt werden. Der zugehörige Wert für <MCS_URL> lautet:

Danach genau diese Ziele freigeben und den Platzhalter durch den Tabellenwert ersetzen:

• central.sophos.com
• fusion.sophos.com
• 0.sophos.pool.ntp.org
• jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com
• sophos.jfrog.io
• wifix-proxy.cloudstation.<MCS_URL>
• wifix-push-ws.cloudstation.<MCS_URL>

Diese Ziele decken Sophos Fusion-Kommunikation, Zeitsynchronisation, Firmware-/Artefaktbezug und das Protokollieren von Wireless-Ereignissen ab. Es reicht nicht, nur central.sophos.com zu erlauben: fusion.sophos.com muss in beiden Varianten erreichbar sein. DNS muss jeden Namen auflösen können; NTP muss erreichbar sein, damit der AP seine Uhr aktualisiert. Die Freigabe anschliessend über DNS-Tests und die Verbindungs-/Blockierungsprotokolle der Firewall validieren, ausdrücklich auch für fusion.sophos.com. Kann die Firewall weder Wildcards noch regionsbezogene FQDN-Ziele sicher abbilden, muss der Freigabemechanismus vor der Inbetriebnahme mit dem zuständigen Netzwerkteam geklärt werden. Bei einem Regionswechsel die Zuordnung und Regeln erneut prüfen.

Im Kommunikationspfad darf kein HTTPS-Proxy liegen. 22/TCP ist keine allgemeine Onboarding-Freigabe: Sophos verlangt ausgehendes SSH auf diesem Port nur für Remote Support. Der Port sollte deshalb nur für diesen konkreten Supportfall und nach eigener Sicherheitsfreigabe geöffnet werden.

Start und Registrierung sicher erkennen

Nach dem Einschalten bezieht der AP seine Adresse und baut die Netzverbindung auf. Dauerhaft grün ist beim AP6 das Erfolgskriterium für hergestellte Netzwerkkonnektivität und Managementbereitschaft. Beim ersten Kontakt mit Sophos Fusion kann ein Firmwareupdate bis zu 15 Minuten dauern. Während schnell blinkender LEDs darf man Strom nicht trennen und das Gerät weder neu starten noch zurücksetzen.

Der AP6 muss innerhalb von 24 Stunden nach dem Einschalten in Sophos Fusion registriert werden. Ist das Fenster abgelaufen, verlangt Sophos einen Hard Reboot oder einen Neustart über die lokale Weboberfläche, bevor man die Registrierung erneut versucht. Ein Werksreset ist dafür nicht die erste Massnahme.

Vor der Registrierung die Seriennummer notieren und mit dem Gerät oder Karton abgleichen. Der Onboarding-Wizard für Sophos Access Points führt durch den anschliessenden Registrierungsablauf.

Fehler nach Symptom eingrenzen

AP6 unter der Default-Adresse 192.168.2.2

Zuerst untagged Management-VLAN, DHCP-Scope und den physischen Switchport prüfen. Danach kontrollieren, ob Lease, DNS-Server und Default Gateway im richtigen Netz bereitgestellt werden. Client-VLANs oder Sophos Fusion-Registrierung sind an dieser Stelle noch nicht die Ursache.

AP erreichbar, aber Radios aus oder Leistungswarnung sichtbar

PoE-Standard und verfügbares Port- und Gesamtbudget gegen die Modelltabelle prüfen. Passive PoE ersetzen. Nach einer Änderung am PSE den AP neu starten und anschliessend kontrollieren, ob die Warnung verschwunden und die Radios wieder aktiv sind.

Wird eine Unterversorgung vermutet und ist die Oberfläche nicht erreichbar, kann man den AP6 mit einem Konsolenkabel verbinden und in der lokalen AP6-Konsole den nur lesenden Befehl poestat ausführen. Eine ausreichende Versorgung zeigt beispielsweise eine passende PoE-Klasse und verfügbare Leistung wie PoE state = IEEE802.3bt Type 3: Power Class Level 1~6 51W available. Bei Unterversorgung endet die Ausgabe mit WARNING: Insufficient power. Modell, ausgehandelte Klasse und Wattwert können abweichen; entscheidend ist, dass kein Unterversorgungswarnhinweis erscheint und die Klasse mindestens zur Modelltabelle passt.

AP startet, wird aber nicht in Sophos Fusion registriert

DNS-Auflösung und Zugriff auf jedes Allowlist-Ziel prüfen, den HTTPS-Proxy ausschliessen und die korrekte Sophos Fusion-Region kontrollieren. Leuchtet der AP dauerhaft grün, der Sophos Fusion-Kontakt scheitert aber weiter, ist der Internetpfad gezielter zu prüfen als die Stromversorgung. Bei einem AP6 nach mehr als 24 Stunden zuerst den dokumentierten Neustart ausführen und erneut registrieren.

LED blinkt schnell

Das ist bei AP6 ein Firmwareupdate. Bis zu 15 Minuten warten und die Stromversorgung nicht unterbrechen. Bleibt der Zustand darüber hinaus bestehen oder erscheint danach keine dauerhaft grüne Bereitschaft, Zeitpunkt, Modell, Switchport, DHCP-Lease und erlaubte Ziele für die Support-Eskalation dokumentieren. 22/TCP erst öffnen, wenn Remote Support tatsächlich vereinbart ist.