Ligar ao Sophos Firewall por SSH

Para muitas tarefas de suporte e solução de problemas, você precisa acessar o Sophos Firewall via SSH. Isso inclui, por exemplo, análises de log, reinicializações de serviços, comandos especiais de diagnóstico ou trabalho no Advanced Shell.

Mas SSH também é um acesso de gerenciamento de alto risco. Portanto, o acesso só deve ser permitido a partir de redes administrativas confiáveis, por meio de uma regra de exceção Local Service ACL direcionada ou por meio de acesso de suporte claramente definido. Para proteção geral de serviços de firewall locais, Configurar Device Access corretamente também é adequado.

Requisitos

Para uma conexão SSH ao Sophos Firewall você precisa:

• Acesso administrativo ao Sophos Firewall.
• O endereço IP ou nome DNS do firewall.
• Acesso ao usuário admin.
• Uma palavra-passe do administrador predefinido alterada e documentada de forma segura; a palavra-passe de fábrica não deve continuar a ser utilizada em produção.
• Uma fonte de administração confiável, por exemplo, rede de gerenciamento, VPN ou IP de administração fixo.
• No macOS ou Linux: o aplicativo Terminal pré-instalado com SSH.
• No Windows: Terminal Windows com OpenSSH ou PuTTY.
• Acesso SSH permitido em Administration > Device access ou através de uma Local service ACL exception rule.
• Para alterações planejadas no Advanced Shell: backup, janela de manutenção e caminho de reversão limpo.

⚠️ SSH só deve ser permitido em redes confiáveis. Para ambientes produtivos, é melhor restringir o acesso a um IP de gerenciamento ou rede administrativa em vez de liberar SSH de forma geral.

Definir a finalidade do acesso SSH

Nem toda análise precisa do Advanced Shell. Antes de fazer login, deve ficar claro qual console é necessário e qual a gravidade da intervenção.

• Roteamento, DNS, Ping, comandos simples do sistema: Device Console. Sophos CLI, menos arriscado que o Advanced Shell.
• Ler arquivos de log, tail, grep, less: Advanced Shell. Somente leitura, não modifique ou exclua arquivos.
• Verifique o status do serviço ou depure: Advanced Shell. Apenas ative especificamente a depuração e desative-a novamente.
• Execute comandos desconhecidos: Verifique primeiro ou abra um caso de suporte. Não tente no sistema de produção.

A distinção é importante porque Device Console e Advanced Shell usam sintaxe diferente. Muitos erros ocorrem simplesmente porque um comando correto foi digitado no lugar errado. Uma visão geral mais ampla está disponível em Solução de problemas de Sophos Firewall: Services e registros.

Permitir acesso SSH à firewall

Para que uma conexão seja possível, o Sophos Firewall deve permitir SSH na zona apropriada ou por meio de uma regra de exceção Local Service ACL.

1. Faça login no Web Admin do Sophos Firewall.
2. Abrir Administration.
3. Selecione Device access.
4. Verifique se SSH é permitido para a zona desejada.

Para redes de administração interna, SSH pode ser ativado diretamente para a zona apropriada, por exemplo, para LAN. Se o acesso for restrito mais especificamente, uma regra de exceção de ACL de serviço local faz sentido.

Device Access controla o acesso ao próprio firewall. Isso não é o mesmo que uma regra de firewall normal que permite tráfego através do firewall. Se SSH em Device Access estiver ativado de forma muito ampla, um cliente pode alcançar o serviço SSH local do firewall mesmo que uma regra LAN-to-WAN clássica esteja corretamente configurada.

Também é importante distinguir SSH da CLI Console baseada no WebAdmin: um cliente SSH precisa de acesso SSH via TCP 22. Se a CLI Console for aberta pelo menu do WebAdmin, HTTPS deve estar permitido para a zona correspondente.

No caso de uma exceção ACL, os valores devem ser definidos da forma mais restrita possível:

• Rule position: a posição da exceção na Local Service ACL
• IP version: IPv4 ou IPv6 de acordo com a origem administrativa e o endereço de destino
• Source zone: a zona a partir da qual a administração ocorre
• Source Network / Host: o IP do administrador ou rede de gerenciamento
• Destination host: o IP do firewall ou a interface a ser administrada, se o acesso também puder ser limitado a um endereço de destino específico
• Services: SSH
• Action: Accept

SSH não deve ser acessível de forma descontrolada pela Internet. Se o acesso externo for necessário, isso só deverá ser permitido através de um IP de origem claramente definido, VPN ou acesso de suporte dedicado.

Diagnostics > Support access é um mecanismo separado. Ele não expõe simplesmente SSH a partir da internet, mas permite ao Sophos Support acesso temporário por meio de um canal de suporte estabelecido pelo firewall. Esse acesso também deve ser limitado no tempo e desativado após o caso de suporte.

Ao ativar Support access, escolhe-se uma duração; depois, a firewall gera um access ID único para o Sophos Support. O Sophos Support pode usá-lo para aceder ao WebAdmin e à shell sem credenciais administrativas normais. A firewall estabelece a ligação ao Sophos Support por TCP 22; operacionalmente, isto é diferente de permitir SSH de entrada a partir da WAN.

Registar uma chave pública para admin

Para acesso SSH, a autenticação de chave pública é o método preferido. No Sophos Firewall, a chave pública do usuário admin pode ser armazenada em Administration > Device access. O login com senha pode ser necessário para emergências, mas não deve continuar sendo o acesso padrão mais conveniente.

⚠️ O login SSH no Sophos Firewall só é possível com o usuário admin. Outros usuários WebAdmin não podem fazer login via SSH.

Importante: Somente o administrador padrão pode alterar a autenticação de chave pública para SSH, ou seja, adicionar ou remover chaves. Para operações, isso significa: As principais alterações pertencem a um processo administrativo documentado e não devem ser tratadas como um atalho de suporte espontâneo.

O administrador predefinido não é uma conta de função normal que possa ser simplesmente substituída. A Sophos indica que esta conta não pode ser renomeada nem eliminada. Por isso, a palavra-passe do administrador predefinido, as informações de MFA ou recuperação para inícios de sessão administrativos interativos e as chaves públicas SSH guardadas devem ser geridas em conjunto no processo operacional administrativo. Uma chave pública não substitui a gestão adequada desta conta.

Os administradores nominais do WebAdmin são geridos separadamente e não podem iniciar sessão por SSH com o próprio nome de utilizador. Gerir administradores locais e perfis de Device Access segundo o princípio do menor privilégio explica o ciclo de vida e as permissões destas contas.

A chave pública é adicionada na área Public key authentication for admin:

1. Abrir Administration.
2. Selecione Device access.
3. Ir até à área Public key authentication for admin.
4. Ativar Enable authentication.
5. Adicione a chave pública em Authorized keys.
6. Guardar com Apply.

A chave privada sempre permanece no cliente administrador e não pode ser compartilhada. Apenas a chave pública é armazenada no firewall.

Se vários administradores usarem SSH, a mesma chave privada não deverá ser compartilhada. É melhor ter clientes administradores separados, chaves públicas documentadas e uma revisão de quais chaves ainda são necessárias. Após mudanças de pessoal ou prestadores de serviços, a área Authorized keys deverá ser verificada.

Tipos de chave SSH suportados

Nem todo tipo de chave SSH moderno é igualmente adequado para Sophos Firewall. Antes de implementar, você deve verificar se o tipo de chave é compatível.

• RSA: Use pelo menos 2.048 bits.
• DSA: Pelo menos 2.048 bits, se necessário por motivos de compatibilidade.
• ECDSA: Suportado; ED25519 não é aceite para esta finalidade.
• ED25519: Para SSH Public Key Authentication não use em Sophos Firewall.

Para novo acesso de administrador, uma chave RSA gerenciada adequadamente ou uma chave ECDSA compatível geralmente é mais pragmática do que um tipo de chave moderno que o firewall ou uma ferramenta SSH mais antiga não aceita.

Ligar a partir de macOS ou Linux

Um cliente SSH geralmente já está presente no macOS e no Linux. A conexão é estabelecida no terminal.

Exemplo:

ssh admin@192.0.2.1

192.0.2.1 é substituído pelo endereço IP ou nome DNS do seu próprio Sophos Firewall.

Quando a conexão é estabelecida pela primeira vez, o cliente SSH pergunta se a impressão digital do sistema de destino deve ser aceita. Esta impressão digital deve ser verificada e depois confirmada. Se um aviso sobre uma chave de host alterada aparecer após uma nova imagem, substituição de hardware ou alteração de IP, a nova impressão digital não deve ser aceita cegamente. Primeiro verifique se o mesmo firewall foi realmente substituído, reinstalado ou movido para um novo IP. Só então a entrada antiga em ~/.ssh/known_hosts poderá ser limpa e a nova impressão digital aceita.

Dependendo da configuração, então é solicitada a senha do usuário admin ou o login é realizado através da chave SSH armazenada.

Se uma chave privada específica deve ser usada:

ssh -i ~/.ssh/sophos-admin-key admin@192.0.2.1

Para acesso recorrente, o caminho da chave, o IP de origem permitido e a finalidade devem ser documentados. The known_hosts entry should not be copied into tickets or chat histories; Para avisos de chave do host, o histórico de alterações é mais importante do que uma solução alternativa rápida.

Ligar com PuTTY

No Windows você pode usar o Windows Terminal com OpenSSH ou usar PuTTY.

Com o Windows Terminal, estabelecer uma conexão funciona de forma semelhante ao macOS ou Linux:

ssh admin@192.0.2.1

Para PuTTY:

1. Abra PuTTY.
2. Introduzir o endereço IP ou nome DNS do Sophos Firewall em Host Name.
3. Definir Port como 22.
4. Definir Connection type como SSH.
5. Ligar com Open.
6. Verifique e confirme a impressão digital SSH.
7. Iniciar sessão como utilizador admin e usar a palavra-passe ou a chave SSH, consoante a configuração.

Após o login, o menu do console Sophos Firewall aparece.

Se o PuTTY for utilizado com uma chave privada, esta tem de corresponder à chave pública guardada na firewall. Após uma mudança de pessoal ou de prestador de serviços, não basta alterar a palavra-passe; as chaves públicas antigas também devem ser removidas de Authorized keys.

Abrir Device Console ou Advanced Shell

Após o login bem-sucedido via SSH, o firewall exibe um menu do console. A opção que você escolher depende do que você deseja fazer.

Para muitos comandos SFOS você usa:

4. Device Console

Para tarefas mais profundas do Linux ou do sistema de arquivos, use o Advanced Shell por meio de:

5. Device Management
3. Advanced Shell

O Advanced Shell oferece acesso muito amplo ao sistema. Os comandos só devem ser executados lá se estiver claro o que eles fazem.

• Device Console: ping, dnslookup, traceroute, show, roteamento ou opções de sistema.
• Advanced Shell: Leia /log, tail -f, grep, less, service -S, registros de depuração.

Para análise de logs, nomes de serviços e padrões de erros típicos, Solução de problemas Sophos Firewall: Services e logs é um ponto de partida melhor do que memorizar comandos individuais.

Terminar a ligação

Quando o trabalho for concluído, a sessão SSH deverá sair corretamente:

exit

Se você estiver em um submenu, pode ser necessário primeiro voltar ao menu principal e depois encerrar a sessão.

Sophos Firewall encerra sessões SSH inativas após 15 minutos. Isso não substitui um logout limpo: sessões abertas, modos de depuração e regras de acesso temporárias ainda devem ser fechados ou removidos de forma consciente.

Se SSH tiver sido ativado apenas temporariamente para um caso de suporte, a versão deverá ser removida ou desativada. Isso é especialmente verdadeiro para exceções de ACL provenientes de endereços IP de origem externa ou de acesso de provedor de serviços.

Após intervenções profundas, também deve ser verificado o seguinte:

• A depuração está desativada novamente?
• Uma regra de exceção temporária de ACL foi removida ou desativada?
• Não foram deixados arquivos temporários, dumps de suporte ou gravações desnecessariamente no firewall?
• As extrações de log, horário, comando e resultado estão documentados no ticket ou alteração?
• A chave SSH foi usada apenas para acesso agendado de administração ou suporte?

Problemas comuns

Conexão recusada

Se a conexão for rejeitada, SSH geralmente não será permitido no firewall da zona ou origem selecionada. Neste caso, Administration > Device access deve ser verificado. Além disso, verifique se uma regra de exceção de ACL permite a origem ou se uma liberação mais ampla de acesso ao dispositivo foi removida deliberadamente.

A conexão expira

Um tempo limite geralmente indica que o firewall não pode ser acessado por meio do endereço IP selecionado, que falta uma rota ou que um firewall upstream está bloqueando o acesso.

Se uma firewall ainda não totalmente configurada continuar a usar a palavra-passe predefinida de fábrica, o SFOS descarta intencionalmente as ligações SSH provenientes da zona WAN sem apresentar uma mensagem de erro. Trata-se de uma medida de proteção. A palavra-passe deve primeiro ser alterada por uma via de administração local autorizada; o Device Access ou a ACL não devem ser alargados como alternativa.

Sem acesso de rede ao firewall

Se nem WebAdmin nem SSH estiverem acessíveis, não é recomendável abrir rapidamente acessos adicionais pela WAN ou por outras zonas. O caminho de contingência mais limpo é o acesso local ao console no appliance, por exemplo com um cabo de console ou, em modelos compatíveis, por micro USB. Isso é especialmente importante quando Device Access, roteamento ou zonas de interface foram configurados incorretamente.

Falha no login

Caso o login falhe, deverá ser verificado o usuário admin, a senha ou a chave SSH e as redes de origem permitidas. Mensagens típicas como Permission denied (publickey,password) indicam uma senha incorreta, uma chave privada incorreta ou uma configuração de chave pública ausente.

Se o login da chave pública falhar, verifique adicionalmente o tipo de chave, o comprimento da chave, a chave privada incorreta, o formato da chave PuTTY e a entrada em Authorized keys. Um serviço SSH permitido corretamente não ajuda se a chave não corresponder à chave pública armazenada.

Se a palavra-passe do admin predefinido tiver sido realmente perdida, Repor a palavra-passe de admin do Sophos Firewall descreve a recuperação pela consola série sem um Factory Reset completo. Este caminho aplica-se a appliances físicos com ligação de consola; para firewalls virtuais e cloud, é necessário verificar a consola da plataforma e o caminho de recuperação suportado.

O aviso da chave do host é exibido

Um aviso de chave de host pode ser inofensivo se um firewall tiver sido reinstalado ou substituído. O aviso também pode indicar um sistema de destino incorreto ou uma confusão de endereços IP. Portanto, primeiro verifique o firewall, endereço IP, DNS e histórico de alterações. Só então a entrada known_hosts antiga deve ser removida.

Console errado aberto

Se um comando não for reconhecido, o console errado geralmente será aberto. Comandos como system ... geralmente pertencem ao Device Console. Sistema de arquivos e comandos de log como tail, grep, less ou service -S pertencem ao Advanced Shell.

Lista de verificação operacional

• Permitir SSH apenas de fontes administrativas confiáveis.
• Alterar a palavra-passe predefinida de fábrica antes de utilizar SSH em produção.
• Se possível, use a regra de exceção Local Service ACL em vez da liberação de zona ampla.
• Prefira Public Key Authentication a admin.
• Documentar separadamente a senha do administrador padrão, informações de MFA ou recovery e chaves SSH.
• Use o tipo de chave compatível e o comprimento da chave do documento.
• Não compartilhe chaves privadas.
• Verifique a impressão digital SSH no primeiro login.
• Lide conscientemente com avisos de chave do host após recriação de imagem ou substituição de hardware.
• Não confunda Device Console e Advanced Shell.
• Faça alterações no Advanced Shell apenas com um propósito claro.
• Remova versões temporárias do SSH após casos de suporte.
• Exclua chaves públicas antigas após mudar de pessoal ou de prestador de serviço.

Perguntas frequentes