Sophos Firewall SNMP Hardwarebewaking instellen

Met SNMP Hardware Monitoring kunt u de status van een Sophos Firewall beter integreren in een bestaand monitoringsysteem. Naast de klassieke toegankelijkheids- en interfacewaarden zijn er sinds Sophos Firewall v22 aanvullende hardwarestatistieken beschikbaar via MIB. Afhankelijk van het model omvat dit CPU temperatuur, NPU temperatuur, ventilator, voedingsstatus en PoE waarden.

Dit is vooral interessant voor productieve XGS-installaties. Een firewall is mogelijk nog steeds toegankelijk in WebAdmin, maar vertoont nog steeds tekenen van thermische problemen, defecte ventilatoren, een defecte voeding of onverwachte PoE belasting. Dergelijke omstandigheden moeten niet alleen worden opgemerkt de volgende keer dat u handmatig inlogt.

Wanneer SNMP zinvol is in de firewall

SNMP is zinvol als er al een monitoringsysteem in gebruik is en de firewall daar als infrastructuurcomponent moet worden bewaakt.

Typische gebruiksscenario’s:

Bewaak de hardwarestatus van XGS-apparaten.
Houd de temperaturen CPU en NPU in de loop van de tijd in de gaten.
Neem de status van de ventilator en de voeding op in een NOC- of MSP-monitoring.
Controleer de PoE belasting op XGS-modellen met PoE poorten.
Vergelijk interfacewaarden met switch-, router- en providermonitoring.
Correleer alarmen van firewall, schakelaar, UPS en omgevingstemperatuur. SNMP vervangt de logboekevaluatie niet. Voor verkeers- en beveiligingsvragen blijven Logviewer, Centrale Firewallrapportage, Syslog of een SIEM belangrijker. Voor verkeerspatronen op interfaces is sFlow monitoring op Sophos Firewall beter geschikt. SNMP beantwoordt vooral statusvragen: is het apparaat toegankelijk, zijn interfaces actief, zijn hardwarewaarden onopvallend en veranderen waarden in de loop van de tijd?

Vereisten

Voordat u met de installatie begint, moet u deze punten verduidelijken:

Er is een monitoringsysteem met SNMP ondersteuning beschikbaar.
De firewall is bereikbaar via een beheer- of monitoringnetwerk.
SNMP toegang is alleen toegestaan onder Device Access voor het monitoringsysteem.
De SNMP-agent op de firewall is gepland: naam, locatie, contactpersoon en gewenste SNMP-versie zijn bekend.
Het is duidelijk of het monitoringsysteem alleen query’s uitvoert of dat de firewall ook SNMP-traps moet verzenden.
De juiste Sophos Firewall MIB wordt geïmporteerd in het monitoringsysteem.
Het is duidelijk welke firewallmodellen worden gemonitord en welke hardwarewaarden deze modellen bieden.
Alarmregels zijn bedoeld om echte operationele problemen te melden en niet alleen maar lawaai te genereren.

⚠️ SNMP mag niet breed toegankelijk zijn vanuit client-, gast-, IoT- of WAN-zones. Monitoringgegevens kunnen modellen, interfaces, statuswaarden en bedrijfstoestanden zichtbaar maken. Toegang hoort thuis in een betrouwbaar beheer- of monitoringnetwerk.

Scheid SNMP, sFlow en rapportage netjes van elkaar

SNMP, sFlow en rapportage geven verschillende antwoorden.

De tools beantwoorden verschillende vragen:

SNMP: Goed voor toegankelijkheid, hardware en interfacewaarden. Niet ideaal voor individuele firewallregels, URL-blokkeringen of VPN-fouten.
sFlow: Goed voor verkeersstromen op een interface. Niet ideaal voor nauwkeurige pakket- of regelanalyse.
Log Viewer, Syslog en Central Reporting: Goed voor regel-, module-, gebruikers- en gebeurteniscontext. Niet ideaal voor de hardwarestatus en de pollingwaarden van interfaces op de lange termijn.
Packet Capture: Goed voor de vraag wat er daadwerkelijk op een interface te zien is. Niet geschikt voor permanente monitoring.

In de praktijk worden deze instrumenten gecombineerd. SNMP rapporteert bijvoorbeeld hoge temperaturen of interfacefouten. Controleer vervolgens Log Viewer, Packet Capture, switchpoort, omgevingstemperatuur of het betreffende netwerksegment.

Welke hardwarewaarden SFOS 22 opleveren

Sophos heeft aanvullende SNMP hardwarestatistieken beschreven in de SFOS 22 release notes. De beschikbaarheid is afhankelijk van het firewallmodel.

Belangrijkste hardwarestatistieken:

CPU temperature: beschikbaar voor alle XGS-modellen volgens Sophos.
NPU temperature: voor XGS-modellen behalve XGS 88/88w, 108/108w, 118/118w en 128/128w.
Fan speed: voor XGS-modellen behalve XGS 88/88w en 108/108w.
Power supply status: voor XGS 2100 en hoger.
PoE afmetingen: voor XGS-modellen met PoE, behalve XGS 116/116w.

Deze classificatie is belangrijk voor de verwachtingen. Als een klein desktopmodel geen ventilatorwaarde of NPU temperatuur levert, is dit niet automatisch een monitoringfout. Eerst moet worden gecontroleerd of het model de betreffende metriek überhaupt ondersteunt.

Veilige SNMP toegang

De eerste veiligheidscontrole vindt niet plaats in het monitoringsysteem, maar op de firewall zelf.

Onder Beheer > Apparaattoegang mag SNMP alleen toegankelijk zijn vanaf het netwerk waarin de monitoringserver zich bevindt. Als het monitoringsysteem één vast IP-adres heeft, is een Lokale ACL-uitzonderingsregel meestal beter dan een vrijgave voor een brede zone.

Handige basisregels:

Sta SNMP van WAN niet toe.
Geef SNMP niet vrij voor volledige client- of serverzones als slechts één monitoringhost aan het pollen is.
Definieer de monitoringserver als zijn eigen hostobject of beheernetwerk.
Controleer de toegang op wijzigingen met Packet Capture of monitoringtest.
Verwijder ongebruikte SNMP regels en oude monitoringbronnen.

Device Access beheert het verkeer naar de firewall zelf. Een normale firewallregel voor LAN tot WAN verkeer vervangt deze instelling niet.

SNMP-agent en managervermeldingen configureren

De basisconfiguratie gebeurt onder Administration > SNMP. De firewall moet eerst als SNMP-agent worden ingeschakeld voordat een monitoringsysteem zinvol query’s kan uitvoeren.

Basisconfiguratie:

Open Administration > SNMP.
Schakel Enable SNMP agent in.
Voer een duidelijke naam in, idealiter passend bij de firewall-hostname.
Voer locatie en contactpersoon in, zodat alarmen later aan een locatie en verantwoordelijke kunnen worden toegewezen.
Sla op met Apply.
Gebruik Download MIB en importeer de MIB in het monitoringsysteem.

Sophos beschrijft twee standaardpoorten voor de agent: query’s bereiken de agent via UDP 161, traps worden naar de manager verzonden via UDP 162. Deze poorten moeten niet alleen in de firewallconfiguratie kloppen, maar ook bereikbaar zijn tussen monitoringsysteem, routing, lokale hostfirewalls en mogelijke managementnetwerksegmenten.

Voor SNMPv3 wordt onder Administration > SNMP > SNMPv3 users and traps een gebruiker aangemaakt. Kies de gebruikersnaam bewust, omdat die volgens Sophos later niet kan worden gewijzigd. Daarna wordt apart beslist:

Accept queries: De firewall beantwoordt SNMP-query’s met deze gebruiker.
Send traps: De firewall mag traps naar de manager verzenden.
Authorized hosts: Volgens Sophos geldt deze lijst alleen voor trapbestemmingen, niet als toegangslist voor SNMP-query’s.
Encryption algorithm: AES, DES of None. In productieomgevingen moet versleuteling actief zijn als het monitoringsysteem dit ondersteunt.
Authentication algorithm: MD5, SHA256 of SHA512. Nieuwe installaties gebruiken waar mogelijk SHA256 of SHA512.
Wachtwoorden: Sophos vereist voor versleuteling en authenticatie telkens minstens 12 tekens.

Voor SNMPv1/v2c wordt onder Administration > SNMP > SNMPv1/v2c een communityvermelding aangemaakt. Daarbij worden naam, community string, IP-versie, manager-IP en de opties Accept Queries en Send traps ingesteld. De community string werkt als een wachtwoord voor SNMP-query’s en hoort daarom niet in platte tekst in screenshots, tickets of monitoringtemplates te staan.

Als traps worden gebruikt, is de SNMP-vermelding alleen niet altijd een volledige alarmconfiguratie. Onder System services > Notification list moeten SNMP-traps en de gewenste alerttypen ook worden ingeschakeld.

Kies bewust voor de SNMP versie

Indien mogelijk moet SNMPv3 worden gebruikt omdat dit authenticatie en, met de juiste AuthPriv-configuratie, encryptie mogelijk maakt. SNMPv1 en SNMPv2c werken met Community Strings. Deze Community Strings zijn geen gebruikersaccounts, maar gedeelde geheimen en moeten dienovereenkomstig worden beschermd.

Voor SNMPv1/v2c vermeldt Sophos een wijziging in SFOS 22: Je kunt de Community String toevoegen en kiezen of de configuratie van toepassing is op IPv4 of IPv6. Tijdens de upgrade neemt de firewall bestaande namen over als Community String en worden gemigreerde objectnamen gemaakt met het voorvoegsel snmp.

Controleer daarom na een upgrade:

Zijn er oude SNMPv1/v2c Community Strings?
Hebben de automatisch gemigreerde snmp objecten een duidelijke naam?
Is IPv4, IPv6 of beide echt nodig?
Kunnen oude monitoringbronnen worden verwijderd?
Is SNMPv3 mogelijk of is v2c nog steeds nodig vanwege compatibiliteitsredenen?

⚠️ Community Strings mag niet worden behandeld als onschadelijke labels. Dergelijke strings horen thuis in een wachtwoord- of geheimconcept, mogen niet in tickets worden gekopieerd en mogen niet zichtbaar zijn in screenshots.

Importeer MIB en controleer OID’s

Om ervoor te zorgen dat een monitoringsysteem de Sophos-waarden zinvol kan herkennen, heeft het het juiste MIB-bestand nodig. De MIB beschrijft welke OID’s beschikbaar zijn voor firewall-, interface- en hardwarewaarden.

Praktische werkwijze:

Haal het huidige MIB-bestand op onder Administration > SNMP > Download MIB.
Importeer MIB in het monitoringsysteem.
Voeg een firewall toe met SNMPv3 of een bewust gekozen v1/v2c-configuratie.
Detecteer model, firmwareversie en toegankelijke OID’s.
Controleer de hardwaregegevens ten opzichte van het specifieke model.
Voer een handmatige peiling uit en controleer de plausibiliteit van waarden.
Activeer daarna pas de alarmregels.

Na firmware-upgrades moet de MIB pagina opnieuw worden gecontroleerd. Nieuwe SFOS-versies kunnen OID’s toevoegen of bestaande gebieden wijzigen. Als een monitoringsysteem na een update de waarden niet meer correct omzet, moet u niet eerst de firewall vermoeden, maar eerder de MIB versie, detectie en OID toewijzing controleren.

Nuttige waarschuwingen

SNMP monitoring is alleen nuttig als alarmen verstandig worden ingesteld. Te smalle drempels veroorzaken ruis, te brede drempels melden problemen te laat.

Typische alarmgebieden:

Beschikbaarheid: Firewall reageert niet meer via SNMP of ping.
CPU temperature: De temperatuur stijgt voortdurend boven het normale bereik.
NPU temperature: De temperatuurtrend is merkbaar of permanent hoger dan de vergelijkende waarden.
Fan speed: Fanwaarde ontbreekt, nul of aanzienlijk buiten het normale bereik.
Power supply: Redundante voeding ontbreekt of rapporteert een fout.
PoE: PoE belasting nadert het beschikbare budget.
Interfaces: Poort uitgeschakeld, foutenteller of ongebruikelijke bandbreedte. Een basislijn is belangrijk voor temperatuurwaarden. Een kleine desktopfirewall in een warme technologiekast gedraagt zich anders dan een rackapparaat in een ruimte met klimaatbeheersing. Daarom moet u eerst een paar dagen de normale werking observeren en pas daarna productiedrempels instellen.

Een tweetraps alarm is vaak handig voor productieve locaties:

Waarschuwing: De waarde is abnormaal, maar de service is actief. Bekijk de geschiedenis, locatie, lading en recente wijzigingen.
Kritisch: De waarde duidt op een acuut risico, bijvoorbeeld stroomstoring, permanent zeer hoge temperatuur, verloren toegankelijkheid of snel toenemende interfacefouten.

Dit betekent dat monitoring handelingsbekwaam blijft. Niet elke temperatuurstijging hoeft onmiddellijk te worden geëscaleerd, maar een terugkerende trend mag niet verdwijnen in het normale dashboardgeluid.

Alarmrunbook en verantwoording instellen

Een SNMP alarm heeft alleen zin als duidelijk is wie reageert en welke procedure geldt. Hardwarewaarden zijn vaak leidende indicatoren: een stijgende temperatuur, een ontbrekende ventilatorwaarde of een stroomstoringsalarm betekent niet automatisch dat het toestel direct vervangen moet worden. Maar het betekent wel dat de aandoening geclassificeerd en gedocumenteerd moet worden.

Er moet een korte runbookvermelding bestaan voor productieve firewalls:

Typische eerste controles:

Firewall niet toegankelijk via SNMP: Controleer het beheernetwerk, Device Access, routing, monitoring van de toegankelijkheid van de server en het apparaat.
De temperatuur neemt voortdurend toe: Vergelijk omgevingstemperatuur, ventilatie, rackpositie, stof, belasting en geschiedenis.
Ventilatorwaarde ontbreekt of is abnormaal: Controleer modellimiet, sensorwaarde, geluid, temperatuurtrend en ondersteuningsrelevantie.
Voeding meldt fout: Controleer voeding, UPS, kabels, redundante voeding en HA risico.
PoE belasting is hoog: Controleer aangesloten apparaten, PoE budget en geplande reserves.
Interfacefouten nemen toe: Controleer kabel, switchpoort, duplex/snelheid, SFP-module en provideroverdracht.

De volgorde is belangrijk: controleer eerst de zichtbaarheid en plausibiliteit, beoordeel vervolgens het risico en bereid vervolgens het ondersteunings- of uitwisselingsproces voor. In het geval van mogelijke hardwaredefecten moeten ook het serienummer, het model, de firmwareversie, het tijdstip, de betreffende statistiek, de geschiedenis en het screenshot of monitoringuittreksel worden gedocumenteerd. Uiteindelijk zijn garantie- en RMA-vragen niet alleen afhankelijk van het alarm, maar ook van het specifieke apparaat, de ondersteuningsstatus en het foutpatroon.

Voor SSD-onderwerpen is SNMP niet de hoofdroute. Als de focus ligt op de schijfgezondheid of schrijfbelasting, is Sophos Firewall Controleer SSD-gezondheid via SMART een betere oplossing.

HA clusters en meerdere firewalls

In HA-omgevingen moet u duidelijk definiëren hoe beide apparaten worden gemonitord. Het is niet altijd voldoende om alleen het clusteradres te observeren. Voor hardwarewaarden zijn beide apparaten vaak relevant omdat ook een ventilator, voeding of poort op het passieve apparaat uit kan vallen.

Belangrijke vragen:

Worden primair en secundair apart erkend?
Hebben beide apparaten hun eigen beheerIP-adressen voor monitoring?
Worden het serienummer, de hostnaam of het model duidelijk weergegeven tijdens de monitoring?
Blijven alarmen begrijpelijk na een failover?
Wordt er ook een stroomstoring op het passieve toestel gemeld? Voor HA werking zelf is Sophos Firewall Hoge beschikbaarheid instellen geschikt. SNMP mag daar niet afzonderlijk worden gepland, maar samen met firmware-updates, failover-tests, back-upconcepten en operationele documentatie.

Validatie na installatie

Na het instellen van SNMP moet je niet alleen controleren of de monitoring groen is. Belangrijk is of de juiste data uit de juiste bron komen.

Controlelijst:

Toegang tot SNMP is alleen mogelijk vanaf het monitoringnetwerk.
De SNMP-agent is actief en antwoordt op UDP 161.
Als traps worden gebruikt, komen testmeldingen via UDP 162 bij de manager aan.
De firewall wordt gedetecteerd met de juiste hostnaam, model en firmwareversie.
De Sophos MIB wordt geïmporteerd en hardwarewaarden worden duidelijk benoemd.
Niet-ondersteunde statistieken worden gedocumenteerd als een modellimiet en niet als een fout.
Temperatuur, ventilator, voeding en PoE waarden zijn plausibel.
Een testalarm wordt geactiveerd en bereikt de juiste ontvanger.
Voor HA clusters worden beide apparaten of de gewenste clusterlogica gecontroleerd.
Na een firmware-upgrade wordt Discovery opnieuw getest.

Bij prestatie- en doorvoerproblemen mag u SNMP-waarden niet te veel interpreteren. De classificatie van Sophos-prestatiegegevens wordt beschreven in het artikel Sophos Firewall-prestatiegegevens begrijpen.

Problemen oplossen

Firewall reageert niet op SNMP

Controleer eerst of het monitoringsysteem uit de verwachte zone komt en of SNMP is toegestaan onder Beheer > Apparaattoegang. Controleer vervolgens IP adres, routing, lokale ACL-regels, SNMP versie, Community String of SNMPv3 inloggegevens. Als het onduidelijk is of pakketten de firewall bereiken, helpt Packet Capture op de betreffende interface. Een normale firewallregel lost dit probleem niet op als het verkeer naar de firewall zelf gaat.

MIB is geïmporteerd, maar waarden ontbreken

Controleer eerst of de ontbrekende metriek beschikbaar is voor het gebruikte model. Kleine XGS-modellen bieden niet alle hardwarewaarden. Vergelijk vervolgens MIB versie, OID toewijzing en firmwareversie.

Na de upgrade krijgen SNMP objecten een andere naam

Voor SNMPv1/v2c kan SFOS 22 gemigreerde objecten maken met het voorvoegsel snmp. Na een upgrade moet u daarom Community Strings, objectnamen en monitoringdetectie controleren. Als monitoring werkt met namen in plaats van stabiele OID’s, moeten sjablonen mogelijk worden aangepast.

Monitoring rapporteert te veel temperatuuralarmen

Dan zijn de drempels waarschijnlijk te smal gesteld of ontbreekt er een basislijn. Registreer eerst de normale waarden over meerdere dagen. Stel vervolgens drempelwaarden in op basis van model, locatie en omgevingstemperatuur. Individuele korte pieken moeten anders worden beoordeeld dan een permanent stijgend temperatuurverloop.

HA cluster toont slechts één apparaat

Vervolgens moet worden gecontroleerd of de monitoring alleen het clusteradres opvraagt of dat beide apparaten afzonderlijk bereikbaar zijn. Het passieve apparaat is ook relevant voor de hardwarestatus. Voor productieve clusters moet u documenteren welk IP-adres welk apparaat en welke rol vertegenwoordigt.

Operationele checklist

Sta alleen SNMP toe van beheer- of monitoringnetwerken.
Geef de voorkeur aan SNMPv3 als het monitoringsysteem dit goed ondersteunt.
Behandel SNMPv1/v2c Community Strings als geheimen.
Importeer Sophos MIB en controleer op firmware-upgrades.
Documentmodellimieten voor hardwarewaarden.
Stel temperatuur en PoE drempels in op basis van echte basislijnen.
Geef HA apparaten een duidelijke naam en evalueer ze afzonderlijk.
Documenteer het alarmrunbook met initiële controle, escalatie en verantwoordelijkheid.
Als u vermoedt dat er sprake is van hardware, maak dan een back-up van het model, het serienummer, de firmwareversie en de geschiedenis.
Test alarmen regelmatig en verduidelijk de verantwoordelijkheid.
Combineer SNMP gegevens met logs, sFlow, Packet Capture en Central Reporting.

Veelgestelde vragen

Welke Sophos Firewall hardwarewaarden kunnen worden gemonitord via SNMP?

Sinds SFOS 22 zijn, afhankelijk van het XGS-model, aanvullende hardwarewaarden beschikbaar via de MIB: CPU temperatuur, NPU temperatuur, ventilatorsnelheid, voedingsstatus en PoE metingen. Niet elk model levert elke maatstaf.

Moet je SNMPv3 gebruiken voor Sophos Firewall?

Als het monitoringsysteem SNMPv3 goed ondersteunt, is SNMPv3 de betere keuze. SNMPv1 en SNMPv2c gebruiken Community Strings en mogen alleen worden gebruikt in beperkte beheernetwerken.

Werkt Authorized hosts in SNMPv3 als toegangslijst voor query's?

Nee. Volgens Sophos wordt de lijst Authorized hosts in SNMPv3 alleen gebruikt voor trapbestemmingen. Voor query’s zijn gebruikers, authenticatie, versleuteling en Device Access bepalend.

Waarom ontbreken SNMP hardwarewaarden op kleine XGS-modellen?

Beschikbaarheid is afhankelijk van het model. Zo bieden volgens Sophos niet alle desktopmodellen NPU temperatuur, ventilatorwaarden of PoE metingen. Ontbrekende waarden zijn dus niet automatisch een fout in de SNMP-configuratie.

Is SNMP hetzelfde als sFlow op Sophos Firewall?

Nee. SNMP vraagt status, hardware en interfacewaarden op. sFlow verzendt verzamelde verkeersgegevens naar een verzamelprogramma. SNMP is geschikt voor hardwarestatus, sFlow is meer geschikt voor stroomanalyse.

Moet SNMP toegestaan zijn in Device Access?

Ja, de toegang tot SNMP is een lokale firewallservice en wordt beheerd via Device Access of Local Service ACL. De dienst mag alleen toegankelijk zijn voor het monitoringsysteem of een speciaal monitoringnetwerk.