Naar de inhoud
Avanet

SNMP-hardwaremonitoring instellen op Sophos Firewall

Sophos Firewall

Voor SNMP-hardwaremonitoring wordt de agent geactiveerd onder Administration > SNMP, wordt bij voorkeur een SNMPv3-gebruiker ingesteld, wordt de toegang onder Administration > Device access beperkt tot de monitoringhost en wordt de actuele MIB gedownload. Daarna kan het monitoringsysteem de verbinding met snmpget testen en de hardwareboom met snmpwalk opvragen.

Sinds Sophos Firewall v22 levert de MIB, afhankelijk van het XGS-model, ook CPU- en NPU-temperatuur, ventilatorsnelheden, voedingsstatus en PoE-waarden. SNMP beantwoordt daarmee vooral statusvragen. Voor afzonderlijke beveiligingsgebeurtenissen zijn Central Firewall Reporting of Syslog geschikter, voor verkeerspatronen sFlow.

Als het niet om permanente monitoring maar om een acute controle rechtstreeks op de appliance gaat, laat Temperatuur en ventilator van Sophos Firewall via SSH controleren zien hoe men sensors en xgs-healthmond.log uitleest en schijnbare alarmen van ruwe sensoren correct beoordeelt.

⚠️ SNMP mag alleen bereikbaar zijn vanuit een vertrouwd beheer- of monitoringnetwerk. Brede toegang vanuit client-, gast-, IoT- of WAN-zones stelt onnodig informatie over model, interfaces en bedrijfsstatus bloot.

SNMP veilig configureren

Toegang beperken tot de monitoringhost

Als een afzonderlijke monitoringzone toegang nodig heeft, wordt SNMP onder Administration > Device access alleen voor die zone geactiveerd. Als daarentegen precies één server met een vast IP-adres pollt, blijft SNMP voor de zone uitgeschakeld. Een Local service ACL exception rule staat dan gericht de bron, de firewallbestemming en de service SNMP toe. De volledige configuratie staat in Device Access op Sophos Firewall beveiligen.

SNMP is een lokale service van de firewall. Een normale LAN-naar-WAN-regel vervangt Device Access niet. SNMP mag niet rechtstreeks vanuit het WAN worden vrijgegeven; voor externe monitoring is een beheer-VPN de veiligere verbinding.

De agent activeren

  1. Administration > SNMP openen.
  2. Enable SNMP agent activeren.
  3. Naam, locatie en contactpersoon invoeren, bijvoorbeeld xgs-zrh-01, ZRH-DC1 / Rack 3 en noc@example.net.
  4. Opslaan met Apply.
  5. Via Download MIB de MIB downloaden die bij de firewallversie hoort en deze in het monitoringsysteem importeren.

Query’s gaan via UDP 161 naar de agent. Traps gaan via UDP 162 naar de manager. Ook routing en lokale hostfirewalls tussen beide systemen moeten deze richting toestaan.

SNMPv3 instellen

  1. Onder Administration > SNMP > SNMPv3 users and traps op Add klikken.
  2. Een permanente gebruikersnaam zoals monitoring instellen. Deze kan later niet worden gewijzigd.
  3. Accept queries activeren.
  4. Send traps alleen activeren als de firewall ook meldingen naar de manager moet sturen.
  5. Voor nieuwe configuraties waar mogelijk AES en SHA256 of SHA512 kiezen. Beide passphrases moeten minimaal twaalf tekens lang zijn.
  6. Opslaan.

Volgens Sophos geldt Authorized hosts alleen voor trapdoelen. De lijst beperkt SNMPv3-query’s niet. Daarvoor zijn geldige credentials, Accept queries en Device Access bepalend.

SNMPv1 of SNMPv2c alleen gebruiken wanneer nodig

Als het monitoringsysteem SNMPv3 niet goed ondersteunt, wordt onder Administration > SNMP > SNMPv1/v2c een communityconfiguratie aangemaakt. Naam, Community String, IPv4 of IPv6, het manager-IP en Accept queries zijn vereist. Send traps blijft uit als geen traps worden gebruikt.

De Community String werkt als een wachtwoord, maar wordt bij v1/v2c onversleuteld verzonden. Deze hoort niet thuis in screenshots of tickets en mag alleen in een streng afgebakend beheernetwerk worden gebruikt.

Na een upgrade naar SFOS 22 moeten bestaande v1/v2c-vermeldingen worden gecontroleerd: de firewall neemt de eerdere naam over als Community String en genereert voor gemigreerde objecten een naam met het voorvoegsel snmp. Daarbij kunnen overbodige IPv4-/IPv6-varianten en niet meer gebruikte monitoringbronnen worden verwijderd.

Traps gericht activeren

Voor traps is alleen de SNMP-gebruiker of communityconfiguratie niet voldoende. Onder System services > Notification list moeten SNMP traps en de daadwerkelijk benodigde waarschuwingstypen worden geactiveerd.

De ontvangst moet worden gecontroleerd wanneer een geselecteerde gebeurtenis daadwerkelijk optreedt. SNMPv3-informs worden bevestigd; als de firewall geen bevestiging ontvangt, probeert deze volgens Sophos niet opnieuw te verzenden. Traps en informs vervangen daarom de bewaking van polling niet.

Hardwaremetingen en modelbeperkingen

SFOS 22 stelt de nieuwe hardwarewaarden beschikbaar voor XGS-appliances:

  • CPU temperature: alle XGS-modellen.
  • NPU temperature: alle XGS-modellen behalve 88/88w, 108/108w, 118/118w en 128/128w.
  • Fan speed: alle XGS-modellen behalve 88/88w en 108/108w.
  • Power supply status: XGS 2100 en hogere modellen.
  • PoE measurements: XGS-modellen met PoE behalve XGS 116/116w.

Sophos documenteert deze sensoren voor XGS-hardware. Bij virtuele, cloud- of software-appliances mogen geen fysieke hostsensoren uit de SFOS-MIB worden verwacht. Ook bij XGS betekent een ontbrekende meting niet automatisch een fout; controleer eerst de modelbeperking.

OID’s en eenheden uit de SFOS 22-MIB

De hardwareboom begint bij .1.3.6.1.4.1.2604.5.1.9. De belangrijkste gebieden zijn:

  • NPU-temperatuur: .1.3.6.1.4.1.2604.5.1.9.1.0
  • CPU-temperatuur: .1.3.6.1.4.1.2604.5.1.9.2.0
  • Ventilatorsnelheid: .1.3.6.1.4.1.2604.5.1.9.3.1.2
  • Voedingsstatus: .1.3.6.1.4.1.2604.5.1.9.4.1.2
  • PoE-tabel: .1.3.6.1.4.1.2604.5.1.9.5

Temperaturen worden geleverd in tienden van een graad Celsius: 420 komt overeen met 42,0 °C. Ventilatorwaarden zijn in RPM. PoE-vermogen wordt weergegeven in milliwatt, spanning in millivolt en stroom in milliampère. Bij de voeding betekent up(1) bedrijfsklaar en down(2) uitgevallen.

Voor hardwarewaarden die numeriek kunnen worden verwerkt, moet minimaal SFOS 22.0 GA Build 411 worden uitgevoerd. Deze build verhelpt onder andere NC-169564, waarbij sensorwaarden als strings in plaats van integers werden geleverd, evenals andere MIB- en OID-problemen.

Na een firmware-upgrade moet de actuele MIB opnieuw worden gedownload, in het monitoringsysteem worden geïmporteerd en moet de discovery worden gecontroleerd. Monitoringtemplates mogen niet uitsluitend afhankelijk zijn van weergavenamen.

Verbinding en hardwarewaarden testen

De volgende Bash-opdrachten worden uitgevoerd op een Linux- of macOS-monitoringhost met Net-SNMP, niet op Sophos Firewall. Start onder macOS eerst bash, omdat read -p in de standaard-shell zsh een andere betekenis heeft. De voorbeelden zijn gecontroleerd aan de hand van de gedocumenteerde Net-SNMP-syntaxis en de officiële SFOS 22-MIB, maar zijn niet op een firewall van een klant uitgevoerd.

SHA-256 en SHA-512 vereisen doorgaans Net-SNMP 5.8 of nieuwer. Met snmpwalk -h kan worden gecontroleerd welke algoritmen de geïnstalleerde client accepteert. Oudere macOS-versies ondersteunen soms alleen MD5 en SHA.

⚠️ Net-SNMP geeft Community String en passphrases door als procesargumenten. Invoer via read houdt ze uit de shellgeschiedenis, maar voorkomt niet dat ze kort in de proceslijst zichtbaar zijn. Voer zulke tests alleen uit op een vertrouwde monitoringhost.

SNMPv3 met AuthPriv testen

Pas IP-adres en gebruiker aan, voer de passphrases in en vraag eerst de onschadelijke standaard-OID sysUpTime.0 op:

FIREWALL_IP="192.0.2.1"
SNMP_USER="monitoring"

read -r -s -p "SNMPv3-authenticatiewachtwoord: " SNMP_AUTH
printf '\n'
read -r -s -p "SNMPv3-versleutelingswachtwoord: " SNMP_PRIV
printf '\n'

snmpget -v3 -l authPriv -u "$SNMP_USER" \
  -a SHA-256 -A "$SNMP_AUTH" \
  -x AES -X "$SNMP_PRIV" \
  -t 3 -r 1 \
  "$FIREWALL_IP" .1.3.6.1.2.1.1.3.0

snmpwalk -v3 -l authPriv -u "$SNMP_USER" \
  -a SHA-256 -A "$SNMP_AUTH" \
  -x AES -X "$SNMP_PRIV" \
  -t 3 -r 1 \
  "$FIREWALL_IP" .1.3.6.1.4.1.2604.5.1.9

unset SNMP_AUTH SNMP_PRIV

Een geslaagde eerste query levert sysUpTime.0 als Timeticks. De daaropvolgende walk toont alleen de sensoren die het betreffende model ondersteunt.

SNMPv2c als compatibiliteitstest

Voor een bewust ingestelde v2c-manager:

FIREWALL_IP="192.0.2.1"

read -r -s -p "SNMP-community: " SNMP_COMMUNITY
printf '\n'

snmpget -v2c -c "$SNMP_COMMUNITY" -t 3 -r 1 \
  "$FIREWALL_IP" .1.3.6.1.2.1.1.3.0

snmpwalk -v2c -c "$SNMP_COMMUNITY" -t 3 -r 1 \
  "$FIREWALL_IP" .1.3.6.1.4.1.2604.5.1.9

unset SNMP_COMMUNITY

Een geslaagde uptimetest bewijst de bereikbaarheid en passende credentials, maar nog niet de aannemelijkheid van alle sensorwaarden. Controleer daarna hostnaam, model, firmware, MIB-versie en waarden aan de hand van WebAdmin, appliance en normale werking. Bouw voor temperatuur- en PoE-waarschuwingen eerst gedurende meerdere dagen een baseline op.

Alarmen en HA

Zinvolle alarmen melden niet alleen een afzonderlijke meetwaarde, maar een operationele afwijking:

  • De SNMP-bereikbaarheid of een verwachte interface valt weg.
  • De CPU- of NPU-temperatuur ligt langdurig boven de eigen baseline.
  • Een aanwezige ventilator meldt 0 RPM of geen waarde.
  • Een redundante voeding schakelt over naar down(2).
  • Het PoE-verbruik nadert het budget.
  • Interfacefouten of drops nemen opvallend toe.

Vaste universele temperatuurgrenzen zouden misleidend zijn. Model, rack, omgevingstemperatuur en belasting bepalen het normale bereik. Een alarmrunbook moet eerst meetwaarde, verloop en modelbeperking controleren en vervolgens koeling, stroomvoorziening, bekabeling, switchpoort of PoE-apparaten beoordelen.

Alarmen moeten minimaal onderscheid maken tussen Waarschuwing en Kritiek; voor elk niveau horen verantwoordelijkheid, eerste controlestap en escalatiepad in het runbook.

Bij een bevestigd vermoeden van een hardwaredefect worden model, serienummer, firmware, tijdstip en verloop gedocumenteerd. Het proces voor garantie en vervanging staat in Sophos-hardwaredefect: RMA en vervanging voorbereiden. Voor opslagmedia is SSD-status via SMART controleren geschikter dan SNMP.

In een HA-cluster zijn beide appliances relevant. Een query op alleen het clusteradres toont niet noodzakelijk de ventilator, voeding of poort van de passieve appliance. Als de netwerkarchitectuur en het platform afzonderlijke beheertoegang toestaan, moeten Primary en Auxiliary afzonderlijk worden herkend. De werkelijke SNMP-bereikbaarheid en toewijzing moeten na de HA-configuratie en na een failover worden gecontroleerd. De HA-basisprincipes staan in High Availability instellen op Sophos Firewall.

SNMP-waarden mogen niet als enig bewijs van prestaties worden gebruikt. De interpretatie van doorvoer en belasting staat in Prestatiegegevens van Sophos Firewall correct interpreteren.

Problemen oplossen

Timeout of geen antwoord

Controleer eerst monitoring-IP, routing, Device Access, Local Service ACL, Accept queries, SNMP-versie en credentials. In WebAdmin kan onder Diagnostics > Packet capture het filter host 192.0.2.50 and port 161 worden gebruikt; de bediening staat in Packet Capture in WebAdmin.

Controleer anders in optie 4 Device Console of de query de firewall bereikt:

tcpdump 'host 192.0.2.50 and port 161'

Beëindig de test met Ctrl+C. Als geen pakket aankomt, ligt de oorzaak vóór de SNMP-agent. Als het verzoek aankomt maar geen antwoord terugkomt, zijn Device Access, manager-IP, credentials en agentconfiguratie de volgende controlepunten.

Authenticatie of algoritme mislukt

Gebruikersnaam, Security Level authPriv, authenticatie- en versleutelingsalgoritme moeten exact overeenkomen met de firewallconfiguratie. Als de client SHA-256 of SHA-512 niet accepteert, controleer dan met snmpwalk -h de ondersteunde methoden en werk Net-SNMP bij. Val niet stilzwijgend terug op MD5 of onversleuteld SNMP.

Blijf bij een queryfout niet zoeken bij Authorized hosts: deze lijst geldt bij SNMPv3 alleen voor trapdoelen.

Hardwarewaarden ontbreken of lijken onjuist

Controleer modelbeperking, firmware en MIB-versie. In SFOS 22.0 GA Build 365 kunnen hardwarewaarden door NC-169564 als strings in plaats van integers verschijnen; Build 411 verhelpt de fout. Vernieuw na de update de MIB en monitoringdiscovery.

De laatste meldingen kunnen in de Device Console worden bekeken:

show logs snmpd.log lines 100
show logs xgs-healthmond.log lines 100

snmpd.log hoort bij de SNMP-agent. xgs-healthmond.log helpt bij CPU-temperatuur en ventilatorstatus. Meer toewijzingen staan in Servicelogs van Sophos Firewall.

Traps komen niet aan

Controleer Send traps, Authorized hosts, UDP 162 en de geselecteerde gebeurtenissen onder System services > Notification list. In de Device Console toont een gerichte capture of de firewall gegevens naar de manager stuurt:

tcpdump 'host 192.0.2.50 and port 162'

Als pakketten de firewall verlaten maar niet aankomen, controleer dan routing, tussenliggende firewalls en de trapontvanger. Controleer bij SNMPv3-informs bovendien de bevestiging van de manager.