Sophos Firewall - konfiguracja dostępu wsparcia dla Avanet

W tym artykule pokazujemy krok po kroku, jak utworzyć na Sophos Firewall dostęp wsparcia dla Avanet. Tworzysz nowego użytkownika, zezwalasz na dostęp przez HTTPS i SSH wyłącznie z adresu IP lub hosta DNS Avanet, a w razie potrzeby dodajesz publiczny klucz SSH.

Dodawanie użytkownika „avanet”

1. Otwórz menu „Authentication”

Kliknij w lewej nawigacji Authentication, a następnie Users.

2. Utwórz nowego użytkownika

• Kliknij Add.
• W polu Username wpisz na przykład avanet.
• W polu Full name wpisz Avanet.
• Ustaw Profile na Administrator, aby Avanet miał pełne uprawnienia administracyjne.
• W polu Password ustaw bezpieczne hasło.
• W polu Email wpisz adres, na przykład service@avanet.com.

3. Zapisz

Kliknij Save lub Add, aby utworzyć nowego użytkownika.

Tworzenie hosta FQDN dla support.avanet.com

1. Przejdź do menu „Hosts and services”

• Kliknij po lewej stronie Hosts and services.
• Wybierz FQDN hosts.

2. Dodaj host FQDN

• Kliknij Add.
• W polu Name wpisz jednoznaczną nazwę, na przykład support.avanet.com.
• W polu FQDN wpisz support.avanet.com.
• Dodaj Description, na przykład „Dostęp wsparcia Avanet”.
• Kliknij Save.

W ten sposób powstaje obiekt DNS wskazujący na adres lub adresy IP hosta support.avanet.com.

Konfiguracja reguły Local Service ACL Exception

1. Administration → Device access

Kliknij w lewej nawigacji Administration, a następnie Device access.

2. Dodaj regułę ACL Exception

• Przewiń do Local service ACL exception rule i kliknij Add.
• W polu Rule name wpisz nazwę, na przykład Avanet Support.
• Rule position: upewnij się, że reguła znajduje się we właściwym miejscu kolejności, na przykład na dole, aby nie nadpisywać innych reguł.

3. Skonfiguruj regułę

• IP version: wybierz IPv4 albo IPv6, jeśli jest potrzebne.
• Source zone: wybierz odpowiednią strefę, na przykład Any lub konkretną strefę.
• Source Network / Host: wybierz utworzony wcześniej obiekt FQDN support.avanet.com.
• Destination host: wybierz Any albo konkretny adres firewalla, zależnie od konfiguracji.
• Services: zaznacz HTTPS i SSH, aby Avanet mógł uzyskać dostęp do panelu administracyjnego oraz SSH.
• Action: ustaw Accept, aby zezwolić na dostęp.

4. Zapisz

Kliknij Save, aby utworzyć nową regułę wyjątku.

W ten sposób zezwalasz Avanet na dostęp administracyjny do firewalla wyłącznie przez host DNS support.avanet.com.

Dodawanie publicznego klucza SSH (opcjonalnie)

Jeśli Avanet potrzebuje dostępu przez SSH z uwierzytelnianiem kluczem, możesz dodać publiczny klucz SSH dla Default-Admin albo dla nowego użytkownika „avanet”, jeśli ta opcja jest dostępna:

1. Administration → Device access

• Kliknij Administration, a następnie Device access.

2. Public Key Authentication

• Przewiń do Public key authentication for admin albo odpowiedniej opcji dla użytkownika „avanet”.
• Kliknij symbol + lub Add, aby dodać publiczny klucz.
• Wklej dostarczony publiczny klucz SSH, na przykład ssh-rsa AAAAB3NzaC1yc2EAAA…, do odpowiedniego pola.

ssh-rsa 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

3. Zapisz

Kliknij Save.

Następnie Avanet może uwierzytelniać się przez SSH za pomocą klucza, o ile ustawienia firewalla zezwalają na dostęp SSH.

FAQ

Co się stanie, jeśli zmieni się adres IP za support.avanet.com?

Firewall korzysta z wpisu FQDN i rozwiązuje go przez DNS. Jeśli adres IP się zmieni, firewall po krótkiej aktualizacji DNS automatycznie użyje nowego adresu. Upewnij się, że wpis DNS jest poprawnie skonfigurowany.

Czy muszę otwierać inne porty oprócz HTTPS (443) i SSH (22)?

Dla dostępu wsparcia zazwyczaj nie. Jeśli Avanet potrzebuje dodatkowych usług, trzeba ewentualnie otworzyć kolejne porty lub dodać odpowiednie wyjątki ACL. Wyjątkiem jest sytuacja, gdy Sophos Firewall znajduje się za routerem NAT.