Requisitos do Sophos Wireless no Sophos Fusion

Muitas falhas de registo ocorrem antes mesmo de o perfil Wireless ser configurado: o ponto de acesso recebe potência insuficiente, fica na rede de gestão errada ou não consegue aceder ao Sophos Fusion (anteriormente Sophos Central). Por isso, esta lista de verificação começa por separar o hardware, a porta do switch e a ligação inicial. Os SSID e as VLAN de clientes vêm apenas depois.

Verificação rápida antes da ligação

1. Confirme o modelo AP6 exato na comparação dos modelos AP6 atuais. A antiga série AP serve apenas de contexto para o ciclo de vida e não constitui uma base para uma nova instalação.
2. Dimensione a norma PoE, a potência por porta e o orçamento PoE total com base na tabela de modelos abaixo. Os injetores PoE passivos não são suportados.
3. Configure a VLAN de gestão sem tag na porta do switch e permita as futuras VLANs de clientes com tag no trunk.
4. Disponibilize DHCP IPv4, DNS e um default gateway funcional na rede de gestão sem tag.
5. Permita os destinos atuais do Sophos Fusion, garanta a resolução dos nomes e o acesso aos servidores NTP e retire qualquer proxy HTTPS do caminho de comunicação.
6. No caso de um AP6, ligue o dispositivo, aguarde a conclusão de qualquer atualização inicial e registe-o apenas quando o estado permanecer verde fixo. Para o AP6, a janela de registo dura 24 horas após ser ligado.

O êxito destes testes não prova que a configuração posterior dos SSID ou das VLAN esteja correta. Apenas estabelece o caminho de gestão fiável através do qual o Sophos Fusion consegue contactar inicialmente o dispositivo.

Antes de permitir que uma integração de segurança isole dispositivos automaticamente, valide o procedimento de Active Threat Response para AP6 com um dispositivo piloto controlado.

Modelos AP6 atuais

O Sophos Wireless gerido através do Sophos Fusion suporta estes modelos dedicados numa implementação AP6 atual:

• Série Sophos AP6: AP6 420, AP6 420E, AP6 840, AP6 840E e AP6 420X.

Os AP6 420, AP6 840 e AP6 420X são modelos de banda dupla com dois rádios; os AP6 420E e AP6 840E são modelos de banda tripla com três rádios.

A banda para redes mesh continua indicada como TBD nos cinco modelos AP6, pelo que não deve ser planeada como uma capacidade garantida. O número de clientes é um máximo documentado por rádio, não um objetivo de projeto. O país, o domínio regulamentar, a utilização interior ou exterior, a largura do canal e a configuração do Sophos Fusion determinam os canais realmente disponíveis. Sobretudo no exterior, a tabela não constitui autorização para usar todos os canais indicados.

A antiga série Sophos AP — AP15/AP15c, AP55/AP55c e AP100/AP100c/AP100x — não consta da matriz de suporte atual. Para dispositivos existentes, consulte tanto a matriz atual como o estado interno do ciclo de vida.

O AP6 pode ser gerido localmente ou através do Sophos Fusion. Gerir o AP6 localmente ou com o Sophos Fusion explica esta escolha e os restantes limites de gestão. Para a gestão no Sophos Fusion, o caminho da interface é My Products > Wireless. Este artigo limita-se deliberadamente à verificação prévia da rede e do hardware.

Mantenha o limite de licenciamento preciso

Cada AP6 gerido através do Sophos Fusion requer uma unidade de Sophos AP6 Support and Services. Se faltarem licenças ou a quantidade for insuficiente, o Sophos Fusion apresenta um aviso na área Wireless; sem uma licença válida, não é possível alterar os AP através do Sophos Fusion. A Sophos não exige esta licença para unidades AP6 que não sejam geridas através do Sophos Fusion.

Não é garantido que, quando a licença expira, um AP6 gerido pelo Sophos Fusion mude automaticamente para o modo standalone, continue necessariamente a encaminhar tráfego ou transfira a configuração do Sophos Fusion para a interface local. Não baseie o planeamento em nenhum destes possíveis resultados. O método de gestão deve ser decidido antes da entrada em funcionamento.

Planeje PoE por modelo AP6

No AP6 840E, a carga de 40 W pode parecer contradizer, à primeira vista, a fonte PoE++ de 60 W exigida. Os valores referem-se a aspetos diferentes: 40 W é a carga documentada do AP, enquanto 60 W indica a classe de potência da fonte 802.3bt. Deve, portanto, prever uma porta ou um injetor PoE++ capaz de fornecer 60 W, e não uma fonte limitada a 40 W.

O AP6 negoceia a potência com o Power Sourcing Equipment (PSE) através de LLDP-MED. O PoE passivo não é suportado. Se a potência for insuficiente, o AP desativa todos os rádios e apresenta um aviso na interface. Por conseguinte, a existência de link ou de acesso à gestão não comprova, por si só, que o serviço sem fios esteja operacional. Se alterar a configuração do PSE depois de o AP arrancar, reinicie o AP para que a nova definição de potência entre em vigor.

Além disso, o orçamento PoE total do switch deve cobrir todos os dispositivos ligados. Uma porta com capacidade nominal adequada não resolve o problema se o orçamento global do switch estiver esgotado.

Prepare a porta do switch e a rede de inicialização

O AP comunica sempre com o Sophos Fusion através de uma VLAN sem tag. No switch com fios, a VLAN nativa, ou seja, a VLAN de gestão, deve por isso estar sem tag. As VLAN dos futuros clientes Wi-Fi são, pelo contrário, permitidas com tag no trunk. Se o caminho de gestão estiver disponível apenas com tag, um AP ainda não configurado não consegue estabelecer o primeiro contacto com o Sophos Fusion.

O AP necessita de DHCP e DNS para IPv4 na rede de gestão. Depois de obter uma concessão DHCP, tenta contactar o Sophos Fusion através do default gateway. O endereço predefinido de um AP6 é 192.168.2.2. Este endereço é uma pista de diagnóstico, não uma alternativa ao caminho de produção com DHCP, DNS e gateway.

Destinos do Sophos Fusion, NTP e proxy

Se a firewall ou o proxy suportar wildcards, utilize a seguinte lista de permissões atual:

• central.sophos.com
• fusion.sophos.com
• *.sophos.pool.ntp.org
• sophos.jfrog.io
• jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com
• wifix-*.cloudstation.*.sophos.com

Se não puder utilizar wildcards, determine a região no Sophos Fusion: abra o nome da conta e Support settings e consulte This account is located in. O valor <MCS_URL> correspondente é:

Permita depois exatamente estes destinos, substituindo o marcador pelo valor da tabela:

• central.sophos.com
• fusion.sophos.com
• 0.sophos.pool.ntp.org
• jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com
• sophos.jfrog.io
• wifix-proxy.cloudstation.<MCS_URL>
• wifix-push-ws.cloudstation.<MCS_URL>

Em conjunto, estes destinos asseguram a comunicação com o Sophos Fusion, a sincronização da hora, o fornecimento de firmware ou artefactos e o registo de eventos wireless. Permitir apenas central.sophos.com não basta: fusion.sophos.com tem de estar acessível em ambas as variantes. O DNS deve resolver cada nome e o NTP deve estar acessível. Valide as regras com testes DNS e os registos de ligações e bloqueios da firewall, incluindo explicitamente fusion.sophos.com. Se esta não gerir com segurança wildcards nem FQDN regionais, acorde o mecanismo com a equipa de rede antes da entrada em funcionamento. Reveja a associação e as regras se a região da conta mudar.

Não pode existir nenhum proxy HTTPS no caminho de comunicação. 22/TCP não é uma permissão geral para o onboarding: a Sophos só exige SSH de saída nesta porta para Remote Support. Abra-a apenas para esse caso de suporte específico e depois de o aprovar de acordo com as suas próprias políticas de segurança.

Reconheça inicialização e registro bem-sucedidos

Depois de ligado, o AP obtém um endereço e estabelece a ligação de rede. No AP6, o estado verde fixo confirma que existe conectividade de rede e que o dispositivo está pronto para ser gerido. O primeiro contacto com o Sophos Fusion pode iniciar uma atualização de firmware com uma duração máxima de 15 minutos. Enquanto os LED piscarem rapidamente, não desligue a alimentação nem reinicie ou reponha o dispositivo.

Registe o AP6 nas 24 horas seguintes à ligação. Se a janela tiver expirado, a Sophos exige que desligue e volte a ligar a alimentação, ou que reinicie o dispositivo através da interface web local, antes de uma nova tentativa de registo. A reposição das definições de fábrica não é a primeira medida a tomar.

Antes do registo, anote o número de série e compare-o com o dispositivo ou a caixa. O assistente de onboarding de pontos de acesso Sophos descreve o procedimento de registo seguinte.

Resolução de problemas por sintoma

AP6 no endereço predefinido 192.168.2.2

Verifique primeiro a VLAN de gestão sem tag, o âmbito DHCP e a porta física do switch. Em seguida, confirme que a concessão, o servidor DNS e o default gateway são fornecidos na rede correta. Nesta fase, as VLAN de clientes e o registo no Sophos Fusion ainda não são a causa.

AP acessível, mas rádios desligados ou aviso de alimentação

Compare o padrão PoE e a potência disponível na porta e no orçamento total com a tabela de modelos. Substitua qualquer alimentação PoE passiva. Depois de alterar o PSE, reinicie o AP e confirme que o aviso desapareceu e que os rádios voltaram a ficar ativos.

Se houver suspeita de potência insuficiente e a interface não estiver disponível, ligue um cabo de consola ao AP6 e execute o comando só de leitura poestat na consola local do AP6. Uma alimentação suficiente mostra uma classe PoE adequada e a potência disponível, por exemplo PoE state = IEEE802.3bt Type 3: Power Class Level 1~6 51W available. Com potência insuficiente, a saída termina em WARNING: Insufficient power. O modelo, a classe negociada e a potência podem variar; o importante é que o aviso não apareça e que a classe cumpra a tabela do modelo.

O AP inicia, mas não é registado no Sophos Fusion

Teste a resolução DNS e o acesso a todos os destinos da lista de permissões, exclua a presença de um proxy HTTPS e confirme a região correta do Sophos Fusion. Se o AP permanecer verde fixo mas o contacto com o Sophos Fusion continuar a falhar, investigue o caminho de Internet em vez da alimentação. No caso de um AP6, se tiverem passado mais de 24 horas, execute primeiro o reinício documentado e volte a efetuar o registo.

LED pisca rapidamente

No AP6, isto indica uma atualização de firmware. Aguarde até 15 minutos sem interromper a alimentação. Se o estado não passar depois para verde fixo, registe a hora, o modelo, a porta do switch, a concessão DHCP e os destinos permitidos para encaminhar o caso ao suporte. Abra 22/TCP apenas quando tiver sido efetivamente acordada uma intervenção de Remote Support.