Configurar corretamente o Sophos Firewall após o Assistente de Configuração

Após o Assistente de Configuração, um Sophos Firewall está acessível e basicamente operacional; o registro está concluído ou foi adiado deliberadamente no hardware elegível. No entanto, ainda não está seguro para operação. O assistente realiza o início, não a arquitetura produtiva.

O artigo reúne as verificações posteriores à configuração inicial: acesso à internet, registro, licenças, firmware, backup, zonas, Device Access, DNS, DHCP, regras de firewall e NAT, logging e as primeiras medidas de hardening. Baseia-se no SFOS 22 e funciona como checklist prática para novas XGS Appliances, firewalls virtuais e pequenas migrações. Os nomes dos campos seguem a interface Sophos em inglês; algumas páginas e opções variam conforme a plataforma, o modelo e a configuração online ou offline.

Se for uma migração de XG para XGS Appliance, hardware para virtual ou uma restauração para um dispositivo de substituição, deve-se verificar adicionalmente Criar ou restaurar backup do Sophos Firewall e Sophos XG vs. XGS: Diferenças, EOL e Migração.

Para contextualizar: as regras e políticas de firewall controlam o tráfego da Internet e da rede. A inspeção SSL/TLS pode interceptar e descriptografar conexões SSL e TLS sobre TCP. O IPS usa regras que ajudam a prevenir ataques à rede. Com o Web Protection, é possível definir restrições à navegação com base em categorias, grupos de URLs e tipos de arquivos. A disponibilidade de cada função e a forma como ela atua dependem da licença e da configuração. A eficácia da proteção desejada deve ser verificada com testes adequados; uma configuração básica bem-sucedida não garante proteção abrangente.

Caminho rápido após o primeiro login

Quando o firewall acaba de sair do assistente, nem todos os detalhes são imediatamente urgentes. Nos primeiros 30 minutos, o foco é não perder o acesso, garantir o estado e reconhecer os maiores riscos operacionais.

Esta ordem é sensata para a maioria das novas instalações:

1. Proteger o acesso do administrador: Documentar senha, Secure Storage Master Key e um segundo acesso de administrador ou de emergência.
2. Verificar licença e registro: Em Administration > Licensing, verificar se o modelo, número de série, Base License e assinaturas estão corretos.
3. Criar backup: Antes de outras alterações, baixar um backup manual e armazená-lo externamente.
4. Verificar firmware e padrões: Verificar versão do firmware, hotfixes e atualizações de padrões, mas instalar atualizações apenas com janela de manutenção e plano de rollback.
5. Limitar Device Access: Não deixar WebAdmin e SSH amplamente acessíveis a partir de zonas de cliente, convidado, IoT ou WAN.
6. Verificar zonas e interfaces: Verificar WAN, LAN, VLANs, pontes, rede de gerenciamento e futuras zonas de segurança contra o plano de rede.
7. Avaliar regras padrão: Não adotar as primeiras regras de firewall e NAT como design de segurança final.
8. Ativar logging: Em regras importantes, ativar Log firewall traffic para que testes futuros sejam rastreáveis no Log Viewer.
9. Planejar o teste de aceitação: Não liberar tráfego de produção logo após o assistente; executar antes um plano de testes curto.

Somente quando esses pontos estiverem em ordem, deve-se configurar tráfego produtivo, acesso remoto, WAF, SD-WAN, RED ou TLS Inspection. Caso contrário, a solução de problemas se tornará desnecessariamente difícil, pois não ficará claro se um problema vem da configuração básica, de uma função de segurança ou de uma aplicação.

Artigos de configuração adicionais por situação

Após o assistente, o trabalho rapidamente se ramifica em várias áreas. Para novos firewalls, esta ordem é sensata:

• Estruturar configuração inicial logo após o assistente: Este artigo
• Conectar firewall ao Sophos Fusion (anteriormente Sophos Central) ou entender limites do Central: Conectar Sophos Firewall ao Sophos Fusion
• Entender status da licença, Base License e assinaturas: Entender a Base License do Sophos Firewall
• Preparar backup e restauração antes da primeira alteração: Criar ou restaurar backup do Sophos Firewall
• Proteger WebAdmin, SSH, User Portal ou VPN Portal: Configurar corretamente o Device Access no Sophos Firewall
• Planejar corretamente zonas, interfaces, VLANs ou pontes: Configurar zonas e interfaces no Sophos Firewall
• Entender as primeiras regras de firewall e NAT: Entender e configurar corretamente as regras do Sophos Firewall
• Ajustar DNS, DHCP ou resolução de nomes interna: Configurar DNS Request Routes no Sophos Firewall
• Planejar logs, relatórios e armazenamento prolongado: Ativar Central Firewall Reporting
• Priorizar achados de segurança após SFOS 22: Utilizar corretamente o Sophos Firewall Health Check
• Preparar atualização de firmware ou upgrade para SFOS 22: Verificar Sophos Firewall antes do upgrade para SFOS 22

Essa separação é importante porque um assistente bem-sucedido não significa uma arquitetura de segurança completa. Antes do tráfego produtivo, devem ser verificadas conscientemente o acesso de gerenciamento, backup, licença, zonas, regras, logging e funções de proteção.

Preparar antes da configuração

Antes de iniciar o assistente, devem estar claros o acesso, a ligação WAN, a rede de gestão e o contexto de licenciamento. Isto evita improvisações durante a configuração e correções posteriores de pressupostos pouco claros.

Pré-requisitos para a configuração

Antes da configuração, deve estar claro como o firewall será integrado à rede. Muitos problemas posteriores não surgem no assistente em si, mas porque WAN, LAN, DNS, acesso de gerenciamento ou dados de licença são improvisados.

Antes de começar, tenha à mão:

• Modelo do firewall, número de série e localização planejada.
• Dados de acesso WAN ou informações do provedor, como DHCP, IP estático, PPPoE, VLAN ou roteador pré-configurado.
• Rede de destino interna para o primeiro acesso LAN ou de gerenciamento.
• Servidores DNS que funcionem durante a configuração.
• Conta Sophos Fusion com licença completa ou de avaliação e um firewall com Base License; para ligar ao Central um dispositivo já configurado e associado à conta, uma pessoa que possa gerar um OTP, se necessário.
• Senha de administrador planejada e local de armazenamento no gerenciador de senhas.
• Secure Storage Master Key (SSMK) planejado e local de armazenamento protegido no gerenciador de senhas ou no procedimento de recuperação previsto; definir ambos antes de começar.
• Decisão se o firewall será configurado do zero ou restaurado a partir de um backup.

Tenha à mão a sua própria Sophos ID para iniciar sessão. Se ainda não tiver uma Sophos ID pessoal, poderá criá-la durante a configuração. Isso não substitui o convite e as permissões na conta Sophos Fusion prevista, nem a escolha do tenant correto, o claim do firewall ou os requisitos de licenciamento desse claim. A preparação da conta é explicada em Gerenciar a Sophos ID e o acesso à conta.

O firewall precisa de uma conexão de internet funcional para registro, sincronização de licença, atualizações de padrões e conexão com o Central. Se um dispositivo upstream filtrar o tráfego de saída, pelo menos o acesso HTTPS necessário deve funcionar. Em configurações de provedor mais complexas, o acesso WAN deve ser planejado conscientemente antes, em vez de adivinhado durante o assistente.

Conexões e configuração de rede

Dependendo do modelo, os nomes das portas e a atribuição padrão podem variar. Em muitos appliances de hardware, o primeiro acesso LAN é possível através do endereço padrão, enquanto modelos maiores podem ter uma porta de gerenciamento dedicada.

Na configuração de fábrica do hardware descrito, Port B é a porta WAN e obtém o seu endereço por DHCP. É um valor inicial, não um requisito para todas as plataformas ou fornecedores: Com endereçamento estático, PPPoE ou VLAN do fornecedor, adaptar a configuração WAN ao plano de ligação.

Para o primeiro acesso pela LAN com a configuração de fábrica documentada, atribuir primeiro ao PC de administração um endereço IPv4 livre em 172.16.16.0/24, por exemplo 172.16.16.2 com máscara de sub-rede 255.255.255.0. Ligar o PC diretamente ou através da rede de configuração controlada à porta LAN prevista; no exemplo de hardware descrito, trata-se de Port A. Só depois abrir https://172.16.16.16:4444. Os nomes das portas e as atribuições de fábrica devem corresponder ao modelo ou à plataforma; estas instruções LAN não substituem o acesso MGMT separado.

Acessos típicos iniciais:

• Porta LAN com https://172.16.16.16:4444: Configuração inicial através da rede de configuração local
• Porta MGMT com https://10.0.1.1:4444: Acesso de gerenciamento dedicado em modelos com porta MGMT
• Console serial ou acesso local: Cenários de emergência ou reimage

O cliente para a configuração inicial deve estar conectado diretamente ou através de uma rede de configuração controlada. Servidores DHCP antigos, VLANs incorretas ou uma porta de switch produtiva com configuração de porta inesperada podem dificultar desnecessariamente a configuração inicial.

Configurar a porta de gestão dedicada

Opcionalmente, o endereço IP da porta de gestão pode ser alterado logo no Setup Assistant. Em seguida, concluir a configuração e voltar a abrir o WebAdmin através do endereço efetivamente atribuído nesse passo, utilizando HTTPS e a porta configurada para a consola; se a porta predefinida não tiver sido alterada, o endereço será, por exemplo, https://10.0.1.1:4444, desde que este endereço tenha sido mantido. Após uma alteração de endereço, o PC de administração também tem de estar na sub-rede adequada ou dispor de uma rota permitida para a nova rede de gestão. A edição posterior em Network > Interfaces e a distinção relativa a HA descrita abaixo mantêm-se inalteradas.

Nos modelos com uma porta de gestão dedicada, esta rede deve permanecer efetivamente reservada aos administradores. Os utilizadores sem funções administrativas, os clientes normais ou os dispositivos de convidados não devem estar na mesma sub-rede da porta de gestão. Caso contrário, um acesso inicial prático transforma-se muito rapidamente numa superfície de gestão desnecessariamente exposta.

Os appliances 1U e superiores têm pelo menos uma porta de gestão dedicada. Surge como PortMGMT em Network > Interfaces, pertence por predefinição à zona LAN e utiliza inicialmente 10.0.1.1. Para a configuração, atribuir ao computador de administração ligado diretamente um endereço livre na mesma subnet, por exemplo 10.0.1.2/24. Após o setup, alterar PortMGMT para um endereço da VLAN de gestão prevista. Se o acesso for necessário através de VPN, permitir apenas HTTPS e, se necessário, SSH para a zona VPN em Administration > Device access.

Nota HA: Num cluster HA, o SFOS sincroniza a configuração normal da porta de gestão da Primary para a Auxiliary. O IP da interface PortMGMT é, por isso, igual nos dois equipamentos e não pode ser definido de forma diferente por nó. O acesso WebAdmin separado à Auxiliary é configurado através do endereço adicional Peer administration IP na mesma rede de gestão.

Acesso à interface web

Para configurar, acesse a WebAdmin Console através de um navegador web. Dependendo da interface, um destes endereços será usado:

• Porta LAN: https://172.16.16.16:4444
• Porta de gerenciamento: https://10.0.1.1:4444

No primeiro acesso, o firewall usa um certificado assinado localmente. O aviso do navegador é normal neste momento, mas não deve ser ignorado posteriormente. Para o acesso produtivo ao WebAdmin, deve-se planejar um certificado adequado, especialmente se vários administradores, gerenciamento central ou um FQDN de gerenciamento forem usados.

Enquanto o usuário padrão admin com a senha padrão ainda for usado, aplicam-se restrições adicionais. SSH a partir da zona WAN não é rejeitado normalmente; o firewall fecha a conexão silenciosamente. WebAdmin a partir da zona WAN mostra uma mensagem Forbidden. SCP com as credenciais padrão não é utilizável nas zonas LAN e WAN. Esse estado deve ser entendido como fase de instalação, não como modelo operacional.

Apenas se a configuração de fábrica não tiver sido alterada, o nome de utilizador é admin e a palavra-passe é admin. Efetuar este primeiro início de sessão exclusivamente numa rede de administração ou de configuração isolada e controlada e substituir imediatamente a palavra-passe por uma palavra-passe forte e própria. Se o dispositivo já tiver sido configurado ou a palavra-passe tiver sido alterada, utilizar as credenciais efetivamente válidas. As credenciais de fábrica não se destinam à utilização em produção.

Para acessos posteriores através do browser, utilizar HTTPS com o endereço IP interno efetivamente atual ou um nome de host da firewall que possa ser resolvido, juntamente com a porta configurada para a consola, por exemplo https://firewall.example:4444. Substituir o host de exemplo e, se necessário, a porta: 4444 é a predefinição, não necessariamente o valor atualmente configurado. Os endereços IP indicados acima são exemplos de fábrica e não continuam automaticamente válidos após uma alteração. As definições da consola são ajustadas em Administration > Admin settings. Separadamente, Administration > Device access determina a partir de que zonas ou origens os serviços locais são acessíveis; nem as permissões da conta nem o fim de sessão substituem estas restrições de acesso. Não permitir indiscriminadamente o acesso ao WebAdmin a partir da WAN.

Browser e idioma da WebAdmin Console

São suportados os browsers mais comuns: Chrome, Edge, Firefox e Safari; utilizar uma versão atualizada do browser. O idioma da consola aplica-se aos menus, botões, mensagens de erro, dicas e outros textos no ecrã. Desde o SFOS 20.0 MR1, a firewall deteta automaticamente o idioma preferido do browser. Se não existir um idioma suportado correspondente, é utilizado o inglês. A preferência de idioma é guardada na cache do browser.

Para alterar o idioma, abrir a lista pendente de idiomas na página de início de sessão, selecionar o idioma pretendido e, em seguida, iniciar sessão. A WebAdmin Console passa a utilizar esse idioma. Os caminhos dos menus e as designações da interface neste artigo mantêm-se em inglês para permitir uma orientação inequívoca; uma consola noutro idioma apresenta as designações localizadas correspondentes.

Executar o Assistente de Configuração

O Assistente de Configuração configura o firewall a um nível básico. Nesta fase, o objetivo ainda não é o desenho de segurança final, mas colocar o firewall online, registado e administrável de forma controlada.

Configuração inicial com o assistente de configuração

O Setup Wizard solicita os dados básicos e deixa o firewall pronto para iniciar. A lista seguinte apresenta as decisões necessárias, não uma sequência de telas idêntica em todas as plataformas:

1. Aceitar os Termos de Uso do Usuário Final da Sophos.
2. Iniciar a configuração.
3. Substituir a senha padrão do administrador por uma senha forte e complexa e armazená-la com segurança.
4. Definir o nome do firewall e o fuso horário.
5. Conferir o Deployment Mode e os dados de WAN, LAN e DNS com o plano de rede.
6. Informar o número de série ou os dados de licença existentes.
7. Avaliar cuidadosamente a opção de instalação automática do firmware. No percurso de registo descrito abaixo, Install the latest firmware automatically during setup (recommended) é desmarcada; a atualização do firmware é depois planeada separadamente, com uma janela de manutenção e acesso local.
8. Criar o Secure Storage Master Key e guardá-lo no gerenciador de senhas.
9. Concluir o registro e a sincronização de licenças ou, se a plataforma permitir, adiá-los de forma deliberada.

Se for necessário alterar as definições de rede durante a configuração em modo gateway e o assistente oferecer este passo, abrir Manual configuration, introduzir as definições adequadas à rede e aplicá-las com Apply. Confirmar a caixa de diálogo com OK e avançar com Continue. Não copiar valores de exemplo sem os verificar; esta sequência opcional não é uma ordem de ecrãs universal para todas as plataformas.

O Secure Storage Master Key é importante para dados protegidos e cenários de restauração. Ele não deve ser armazenado em um arquivo de texto local no notebook do administrador, mas em um procedimento de senha ou recuperação controlado. Se for perdido, pode ser tecnicamente redefinido, mas backups ou dados protegidos existentes não podem ser automaticamente descriptografados.

O SFOS 22 aplica no assistente valores padrão recomendados, inclusive para hotfixes e Device Access. Eles são um ponto de partida, não uma aprovação geral: confira as configurações efetivas após o primeiro login. Em Administration > Admin and user settings, verifique principalmente o encerramento de sessões administrativas inativas e a proteção contra tentativas de login por força bruta. Não reduza indiscriminadamente a proteção recomendada; antes de fazer alterações, registre os valores originais e teste o login a partir da rede de administração prevista.

Verifique o tempo limite de inatividade em Sign out administrator session. Em Prevent brute force sign-in attacks, confira o número de tentativas de login malsucedidas a partir do mesmo endereço IP dentro do intervalo configurado e a duração do bloqueio de acesso. Registre os valores efetivos antes de alterá-los; não provoque um bloqueio deliberadamente para testar esses controles.

Para o acesso SSH de administradores, a autenticação por chave pública é uma alternativa à senha; ela não substitui a autenticação do WebAdmin. O guia de acesso SSH e configuração de chaves públicas explica Administration > Device access > Public key authentication for admin, o gerenciamento de chaves e o teste em uma segunda sessão mantendo aberta a sessão de administração existente. Mantenha uma via de acesso de administração alternativa funcional até verificar o novo login SSH.

Escolher Gateway Mode ou Bridge Mode

A escolha do modo no Setup Wizard não é uma definição meramente visual. Com This Firewall (Routed Mode), o Sophos Firewall funciona como gateway de camada 3, encaminha o tráfego e pode substituir o gateway existente. Este é geralmente o desenho mais claro para uma nova instalação, mas exige o planeamento de endereços WAN e LAN, rotas, NAT e regras de firewall.

Com Internet gateway (Bridge Mode), a firewall funciona inline como bridge de camada 2 à frente ou atrás do router existente. O esquema IP atual pode ser mantido enquanto o tráfego passa por IPS, análise de malware e outras funções de proteção. A bridge também encaminha STP, RSTP e multicast routing. Transparente não significa isento de riscos: o caminho pelos switches, a proteção contra loops, os bridge members, as zonas e as regras continuam a fazer parte do plano de rede.

⚠️ Ao selecionar Finish, o assistente aplica a configuração e reinicia a firewall. Executar o assistente depois de um cluster HA já estar configurado desativa o HA. Por isso, a seleção do modo não deve ser repetida no wizard de um cluster HA existente. A Sophos suporta HA em interfaces bridge para uma nova implementação em Bridge Mode através do assistente, mas a cablagem, a mudança de funções e o caminho dos dados têm de ser testados de forma controlada.

Nos modelos com rádio sem fios integrado, configurar a rede sem fios protegida e a rede sem fios de convidados de acordo com o plano de rede no passo correspondente da configuração em modo gateway e avançar com Continue. Estas opções não substituem a verificação da separação pretendida entre a rede de convidados e a LAN.

Nos modelos XGS 88w, 108w, 118w e 128w, o wizard não oferece Bridge wireless network with LAN. Esta limitação também deve ser considerada durante a configuração em modo gateway; por isso, a configuração após a instalação descrita abaixo não se limita a Bridge Mode. Se LocalWifi0 tiver de ser ligado diretamente à LAN por bridge, a configuração é feita após a instalação em Wireless > Access points > LocalWifi0 > Bridge to Ethernet e testada com um cliente sem fios.

Em Gateway Mode, o wizard também pode ativar Enable TAP/Discover Mode para uma ou mais portas de monitorização passiva. Isto não torna passivas as interfaces encaminhadas: apenas a porta TAP observa uma cópia espelhada. Configurar o Discover Mode com TAP e SPAN explica o fluxo completo de SPAN, relatórios e HA.

Após o reinício, em ambos os modos verificam-se primeiro o acesso de administração, o estado das interfaces, o DNS e um fluxo de teste conhecido. Em Gateway Mode verificam-se também o default gateway, o NAT e a Firewall Rule ID. Em Bridge Mode verificam-se ambos os bridge members, STP/RSTP, o router que continua responsável e um caminho real de ida e volta.

Verificação de conexão à internet e DNS

No assistente, é verificado se o firewall alcança a internet. Se a verificação falhar, não deve ser inserido “qualquer DNS”. É melhor uma delimitação clara:

• A interface WAN tem um endereço IP válido?
• O gateway padrão está correto?
• PPPoE, VLAN ou roteamento estático são necessários?
• O firewall consegue resolver DNS?
• O tráfego HTTPS de saída está sendo bloqueado por um dispositivo pré-configurado?
• Data, hora e fuso horário estão corretos?

Para ambientes produtivos, o DNS não deve ser definido aleatoriamente para resolvers públicos se for necessária resolução de nomes interna. Após a configuração inicial, domínios internos devem ser encaminhados corretamente para servidores DNS internos através de DNS request routes no Sophos Firewall.

Registro do Sophos Firewall

O registro conecta o firewall ao contexto de licença e Central da Sophos. Pode ser realizado diretamente no assistente ou mais tarde durante a operação. Para firewalls produtivos, este passo não deve ficar aberto por muito tempo, pois o status da licença, suporte, assinaturas e funções do Central dependem disso.

O claiming associa o número de série à conta Sophos Fusion correta. Não é a mesma operação que o registo posterior de um firewall existente no Central Management através de OTP. O percurso de configuração online abaixo exige uma conta Sophos Fusion com licença completa ou de avaliação e um firewall com Base License.

O procedimento de associação seguinte pressupõe um número de série existente. Se ainda não houver um número de série e o assistente online oferecer a segunda opção correspondente, esta fornece um número de série temporário para um teste de 30 dias. Em seguida, iniciar sessão na conta Sophos Fusion prevista ou criar uma conta, escolher a opção de licença para o teste e confirmar com Claim firewall. O número de série é atribuído ao firewall; avançar com Continue. Este número de série temporário não equivale à avaliação de módulos de proteção individuais de um firewall já identificado descrita abaixo, nem ao adiamento do registro de hardware.

Associar um novo firewall durante a configuração online

1. No assistente, desmarcar Install the latest firmware automatically during setup (recommended) e clicar em Continue. Assim, a atualização continua a ser uma etapa planeada, com janela de manutenção e acesso local, em vez de decorrer durante o registo.
2. Definir o nome do firewall e o fuso horário. Selecionar I have an existing serial number, introduzir o número de série do firewall pretendido e clicar em Continue.
3. Em Claim your firewall with Sophos Central, escolher Claim in Sophos Central. Iniciar sessão na conta Sophos Fusion correta; os rótulos ingleses podem ainda mencionar Sophos Central.
4. Em Claim firewall, introduzir o número de série e clicar em Validate. Verificar a associação do dispositivo antes do claiming.
5. Escolher conscientemente entre Just claim the firewall with Base license e Claim with 30 days Xstream Protection, Web Server Protection and Email Protection evaluation license. A primeira opção associa apenas a licença base; a segunda também inicia a avaliação indicada de 30 dias. Uma avaliação não é um pacote de proteção pago nem substitui uma renovação planeada.
6. Clicar em Claim firewall. Ao regressar ao firewall, terminar em Basic setup is complete com Skip to finish, ou usar Continue para configurar as definições avançadas de forma controlada.
7. Após a conclusão, iniciar sessão localmente e verificar o número de série e o estado das licenças em Administration > Licensing. No Sophos Fusion, abrir My Products > Firewall Management > Firewall licenses, procurar o mesmo firewall e expandir a seta junto ao nome. A conta, o número de série e os detalhes da licença devem corresponder ao dispositivo configurado.

Para um dispositivo já configurado e associado à conta, um administrador num ambiente de parceiro ou cliente pode, em alternativa, gerar um OTP para a ligação ao Central Management. Isso evita partilhar as credenciais de Super Admin, mas não substitui o claiming nem a ativação das licenças. Ligar Sophos Firewall ao Sophos Fusion explica o percurso OTP e de gestão.

Importante: Sophos Fusion Firewall Management requer uma Subscription paga além da Base Firewall License ou uma licença de suporte ativa que dê direito a essa funcionalidade, por exemplo Enhanced Support. A Base Firewall License por si só não é suficiente para este efeito. Além disso, a firewall tem de conseguir aceder à Internet através de IPv4 para Central Management.

Adiar o registo: Apenas firewalls de hardware podem permanecer sem claiming durante um máximo de 30 dias na configuração inicial, por exemplo para uma demonstração ou uma configuração sem acesso à Internet. Esta opção não está disponível para firewalls software, virtuais, Azure ou AWS BYOL.

• Com acesso à Internet: Em Register your firewall, selecionar I do not want to register now. Clicar em Continue, depois em Continue no aviso, e concluir o assistente.
• Sem acesso à Internet: Em Internet Connection, selecionar Continue Offline. Clicar em Continue, depois em Continue no aviso, e concluir o assistente.

Até ao registo, todas as funções locais funcionam exceto Sophos Fusion e Synchronized Security Heartbeat. Após a configuração, em Administration > Licensing deve aparecer Registration has been currently deferred on this device. Efetuar o claiming no Sophos Fusion e concluir o registo dentro de 30 dias. O adiamento não concede direitos a subscrições pagas; verificar separadamente o estado real das licenças.

Ativação de licenças

Após o registro, o firewall verifica suas licenças no servidor de licenças da Sophos. Se o firewall tiver acesso à internet, as informações de licença são sincronizadas regularmente. Além disso, pode-se iniciar manualmente a sincronização na WebAdmin Console.

As novas subscrições começam com o cumprimento da encomenda, não quando a chave de licença é aplicada. Ainda assim, é necessário aplicar a chave para associar a licença a este firewall. Aplicá-la mais tarde não altera a data de início nem a de expiração.

Ativar uma subscrição paga no firewall

Em Administration > Licensing, clicar em Activate subscription, introduzir a chave de licença e escolher Verify key. Comparar os detalhes apresentados com a encomenda e o firewall; confirmar com Confirm apenas se a associação estiver correta. A nova subscrição deve depois aparecer como Subscribed em Module subscription details.

Em seguida, abrir My Products > Firewall Management > Firewall licenses no Sophos Fusion, procurar o mesmo número de série e expandir os detalhes através da seta junto ao nome. Verificar se a subscrição ativada localmente também aparece aí com os módulos e as datas de expiração esperados. Ativar uma chave de licença Sophos Firewall explica o License Schedule, as renovações e os erros de ativação.

Iniciar uma avaliação a partir do firewall

Em Administration > Licensing, clicar em Sign in to Sophos Central na área Activate evaluations in Sophos Central. Em Activate Evaluations, selecionar apenas as funções a testar e confirmar com Evaluate selected. Ao regressar ao firewall, os módulos selecionados devem aparecer como Evaluating em Module subscription details. Documentar a expiração e a decisão sobre a licença seguinte antes de as regras de produção dependerem destes módulos.

Aplicar uma subscrição no Sophos Fusion e sincronizar localmente

Em alternativa, aplicar a chave centralmente:

1. No Sophos Fusion, abrir My Products > Firewall Management > Firewall licenses, procurar o firewall pelo número de série e expandir os detalhes com a seta.
2. Clicar em Apply subscriptions, introduzir o Subscription Key e escolher Preview subscription.
3. Verificar os detalhes da subscrição e a associação do dispositivo antes de confirmar com Apply subscription. As novas subscrições devem aparecer nos detalhes do firewall no portal.
4. No firewall, abrir Administration > Licensing e clicar em Synchronize. Em Module subscription details devem aparecer as mesmas subscrições, com estados e datas de expiração correspondentes.

Assim são verificadas ambas as direções: a ativação local na vista Central e a aplicação central na vista local das licenças. Se houver diferenças, verificar primeiro o número de série, a conta, WAN, DNS e a hora do sistema, em vez de experimentar a chave noutros dispositivos. Uma licença adequada não configura uma política de proteção; o seu efeito é testado separadamente.

Em Administration > Licensing, deve-se verificar:

• O modelo correto está registrado com o número de série correto?
• A Base License está ativa?
• Suporte, Xstream Protection, Standard Protection ou assinaturas individuais estão visíveis corretamente?
• As datas de validade são plausíveis?
• Uma nova chave de licença foi realmente aplicada ou apenas registrada no portal?
• Após Synchronize, o firewall mostra o mesmo status que o Sophos Fusion?

Sem a licença adequada, muitas funções de proteção não funcionam ou funcionam de forma limitada. Isso afeta, dependendo da função, por exemplo, IPS, Web Protection, Zero-Day Protection, DNS Protection, Central Orchestration, Active Threat Response ou serviços de suporte. As bases sobre suporte e módulos estão em Entender a Base License do Sophos Firewall e Quais pacotes Sophos Firewall existem?.

Conexão à plataforma Sophos Fusion

Para a operação local de um único Sophos Firewall, o Sophos Fusion não é estritamente necessário. O firewall pode ser totalmente operado através do WebAdmin. No entanto, o Sophos Fusion traz vantagens se essas funções forem conscientemente utilizadas:

• visão centralizada de um ou mais firewalls,
• Central Firewall Management sem publicação direta do WebAdmin na internet,
• Central Backups,
• Central Firewall Reporting,
• dependendo da licença, armazenamento de logs mais longo e funções de relatório adicionais,
• Security Heartbeat e Synchronized Application Control em ambientes Sophos Endpoint,
• integração em outros processos do Sophos Fusion.

É importante ter a expectativa correta: o Sophos Fusion não substitui a documentação operacional local e nem um processo administrativo limpo. Quem ativa o Central Management deve definir conscientemente funções, MFA, acesso, armazenamento de backup e retenção de relatórios.

Mais sobre isso está no artigo Conectar Sophos Firewall ao Sophos Fusion: Vantagens e Limites.

Conclusão da configuração

Se o assistente de gateway disponibilizar a seleção de opções de proteção da rede, escolher de forma consciente as opções adequadas à rede planeada e à licença, e prosseguir com Continue. Esta seleção também não substitui a verificação posterior dos perfis de proteção e dos seus efeitos.

No passo correspondente do assistente, definir um destinatário de email para notificações e backups e avançar com Continue. Antes de Finish, comparar o resumo da configuração com as definições previstas. Só depois concluir: O firewall aplica as alterações e reinicia. O aviso sobre HA e as verificações seguintes continuam a ser aplicáveis.

Após a conclusão da configuração, a firewall reinicia ou redireciona para o ecrã de início de sessão. No percurso de registo descrito acima, Install the latest firmware automatically during setup (recommended) foi desmarcada: a conclusão deste percurso não significa, por isso, que tenha sido instalado o firmware mais recente. Verificar a versão do firmware efetivamente ativa após o início de sessão e planear separadamente qualquer atualização necessária, com uma cópia de segurança, uma janela de manutenção e uma forma de regressar ao estado anterior. Se tiver sido selecionada uma atualização automática noutro percurso de configuração e a ligação for interrompida durante a mesma, isso, por si só, ainda não comprova uma avaria de hardware nem uma atualização bem-sucedida. Assim que o acesso local voltar a ser possível, verificar a versão do firmware e o estado básico de funcionamento antes de permitir o tráfego de produção.

Para esse percurso de atualização automática durante a configuração, o cenário de recuperação documentado em caso de perda de ligação é um reinício com o firmware com que a firewall foi fornecida. Isto pode explicar o reaparecimento da versão original. Não é um resultado garantido para qualquer interrupção ou plataforma, nem uma promessa universal de reversão para as atualizações normais de firmware. Verificar a versão ativa e o estado básico de funcionamento através do acesso local e manter o tráfego de produção suspenso até concluir estas verificações.

Logo após o primeiro login, verificar:

• Data, hora e fuso horário.
• Versão do firmware e atualizações de padrões.
• Status da licença em Administration > Licensing.
• Status da WAN e acesso à internet.
• Senha do administrador e Secure Storage Master Key no gerenciador de senhas.
• Configuração de backup.
• Acessibilidade da WebAdmin Console apenas a partir das redes desejadas.
• Regras padrão, NAT e DNS.
• Primeiros logs no Log viewer.

Orientação geral no WebAdmin

Após cada início de sessão, abre-se o Control center, com uma visão geral do estado do sistema e das funções de segurança. O campo de pesquisa no topo do menu à esquerda permite pesquisar entradas de menu, separadores e títulos de secções. Os resultados também mostram os respetivos caminhos; assim, é possível encontrar a página de definições adequada sem abrir cada menu individualmente.

Cabeçalho do SFOS 22: navegação e fim de sessão

Estas indicações referem-se ao cabeçalho documentado para o SFOS 22. How-to guides abre a biblioteca de vídeos de configuração, Log viewer abre o Log Viewer numa janela separada e Help abre a ajuda contextual da página atual.

No canto superior direito, clicar no nome do utilizador com sessão iniciada, por exemplo admin. O menu disponibiliza Support para aceder à página de suporte e abrir um pedido de suporte, About product para aceder à página de licenças e Console para abrir a consola CLI. Nos dispositivos HA, também apresenta o tipo de HA, o estado atual, os nomes dos nós e os números de série de Primary e Auxiliary.

Após concluir o trabalho, selecionar Logout através do nome de utilizador no canto superior direito, para não deixar uma sessão iniciada. Reboot device reinicia a firewall e Shutdown device desliga-a: ambas as ações interrompem o funcionamento e destinam-se exclusivamente a manutenção planeada, não substituindo o fim de sessão. As designações diferentes do cabeçalho expressamente documentado para o SFOS 23 são apresentadas na secção seguinte; não comprovam uma remoção generalizada dos caminhos de menu anteriores.

Cabeçalho do SFOS 23: orientação após iniciar sessão

Estas indicações aplicam-se expressamente ao cabeçalho WebAdmin documentado para o SFOS 23; o procedimento de configuração do SFOS 22 acima continua a ser a base.

• O logótipo Sophos regressa ao Control center. O cabeçalho mostra o modelo e o número de série. O Account icon permite verificar a função do utilizador, o nome do dispositivo, o número de série e a versão e build do firmware antes de intervir.
• No menu da conta, Command line abre a consola CLI e Licenses abre a vista de licenças. Para terminar sessão, escolher Account icon > Sign out. Restart reinicia o dispositivo; Shutdown desliga-o. Ambas as ações interrompem o funcionamento e não substituem o fim de sessão: não as selecionar para explorar a interface, mas executá-las apenas como manutenção planeada.
• O menu do ponto de interrogação disponibiliza Help, Videos e Support. O ícone de feedback abre uma janela para enviar comentários.
• Com HA configurado, o HA icon separado abre o estado do cluster e os nomes e números de série dos dispositivos Primary e Auxiliary. Não é o ícone HA do Sophos Fusion. Para configuração e operação, consultar Clusters HA e variantes.
• Logs and policy test reúne o acesso aos logs e o separador Policy test. A utilização dos logs continua descrita no guia do Log Viewer; testar corretamente as regras de firewall explica o acesso ao teste consoante a versão.

Não generalizar as designações: A secção anterior sobre terminar sessão na documentação do SFOS 23 ainda indica Logout, enquanto a secção do cabeçalho usa Sign out. A página Manage, inalterada, também indica admin > Console em vez de Account icon > Command line. Estes textos não são coerentes entre si; as novas designações aqui aplicam-se apenas ao cabeçalho do SFOS 23 expressamente documentado. Não demonstram que os caminhos anteriores do SFOS 22 foram removidos em todo o lado.

Preparar o firewall para produção após o Assistente de Configuração

Depois do assistente começa o trabalho real: o firewall deve ser reforçado, integrado na arquitetura de rede, documentado e preparado para troubleshooting. Estes passos influenciam mais a operação futura do que o próprio assistente.

Por que o Assistente de Configuração não é suficiente

O assistente cria uma configuração básica, mas não uma arquitetura de segurança completa. Interfaces, zonas, Device Access, DNS, DHCP, regras de firewall, NAT, logs, backups e perfis de proteção devem ser conscientemente verificados.

Um Sophos Firewall não é um roteador de consumidor, onde se está pronto após o assistente. Planejado corretamente, ele pode proteger muito bem uma rede, mas apenas se a arquitetura estiver correta: as zonas devem corresponder à lógica de segurança, os acessos de gerenciamento devem ser restritos, as regras devem ser criadas conscientemente e documentadas, e funções de proteção como filtro web, IPS, Application Control ou TLS Inspection devem ser ativadas e testadas de forma direcionada. Um firewall configurado incorretamente pode criar uma falsa sensação de segurança.

Primeiro, vale a pena dar uma olhada no Control Center. Lá, você vê o estado do sistema, tráfego, informações de usuários e dispositivos, regras de firewall ativas, relatórios e avisos como nova firmware ou achados de Health-Check. Avisos e dicas nesta área não devem ser simplesmente ignorados, mas usados como uma lista de verificação prática para o trabalho posterior.

Verificar firmware, licença e backup

Em Backup & firmware, verifica-se se o firmware ativo está atualizado. Atualizações de firmware são relevantes para a segurança, pois corrigem erros, melhoram a estabilidade e aplicam correções de segurança. As atualizações não devem ser adiadas indefinidamente, mas também não devem ser instaladas sem preparação.

O Sophos Firewall trabalha com dois slots de firmware. Assim, em caso de problemas, pode-se inicializar novamente com um firmware anterior. No entanto, antes de qualquer grande alteração, deve-se criar um backup manual. Para firewalls produtivos, planeja-se uma janela de manutenção, verifica-se as notas de lançamento, o status de HA, o espaço livre, as dependências de VPN e a acessibilidade externa.

Em Backup & firmware, deve-se também configurar um backup regular. Para backups criptografados, é necessário uma senha de backup. Para a restauração de dados sensíveis, o Secure Storage Master Key também é relevante. Esta chave deve estar em um gerenciador de senhas. Se for perdida, pode ser redefinida através do console, mas backups protegidos existentes não podem ser restaurados normalmente.

Em seguida, verifica-se em Administration > Licensing se o registro, a Base License e as assinaturas contratadas são exibidas corretamente. Para o tema de atualização, os artigos Atualização de Firmware do Sophos Firewall: Preparação e Melhores Práticas e Atualização do Firmware no Sophos Firewall são úteis. Backups são explicados em mais detalhes no artigo Criar ou restaurar backup do Sophos Firewall.

Planejar corretamente zonas e interfaces

O assistente pode agrupar várias portas LAN em uma ponte em appliances de hardware. Isso é prático para um início rápido, mas nem sempre é a melhor arquitetura final. Em Network > Interfaces, deve-se verificar quais portas, VLANs, pontes ou LAGs são realmente necessárias.

Cada interface está associada a uma zona específica. Essa associação determina posteriormente como as regras de firewall, Device Access e perfis de proteção são aplicados. Zonas produtivas típicas são, por exemplo, LAN, Server, DMZ, Guest, VoIP, Management ou VPN. Nem toda VLAN precisa necessariamente de uma zona própria, mas cada zona deve ter um significado claro de segurança.

Mais sobre isso está no artigo Planejar e configurar zonas e interfaces no Sophos Firewall.

Proteger o Device Access

Um erro comum após a configuração inicial é permitir muito acesso de gerenciamento. Acessos a serviços locais do firewall, como WebAdmin, SSH, User Portal, VPN Portal, DNS ou Ping, não são controlados por regras de firewall normais. Para isso, é responsável Administration > Device access.

⚠️ WebAdmin, SSH, User Portal e VPN Portal nunca devem estar acessíveis apenas porque a base de regras da firewall parece limpa. Estes serviços dependem de Device Access e Local Service ACLs. Após cada alteração, deve testar-se ativamente a partir de que zonas e redes de origem o acesso é realmente possível.

Para sistemas produtivos, HTTPS e SSH não devem ser amplamente permitidos a partir de zonas inseguras. Se o acesso externo for necessário, deve-se trabalhar com uma Local service ACL exception rule e limitar o acesso a endereços IP fixos ou redes de gerenciamento definidas. Alternativamente, o Sophos Fusion Firewall Management é muitas vezes a solução mais limpa.

Mais sobre isso está no artigo Configurar corretamente o Device Access no Sophos Firewall.

Definir contas de administrador, MFA e fallback

Após o primeiro login, não se deve trabalhar permanentemente com um acesso de administrador compartilhado. Para o dia a dia, administradores próprios, funções claras e um acesso de emergência documentado são melhores. Assim, pode-se rastrear posteriormente quem fez uma alteração, e uma única senha comprometida não se torna automaticamente acesso total ao firewall.

Para novos firewalls, esta ordem é sensata:

1. Testar pelo menos um segundo acesso administrativo antes de ativar amplamente o MFA.
2. Tratar o usuário padrão local admin como uma conta de emergência e não usá-lo como usuário diário.
3. Planejar a ativação do MFA para WebAdmin, VPN Portal e Remote Access.
4. Documentar funções e responsabilidades, especialmente se o Sophos Fusion Firewall Management for utilizado.
5. Definir redefinição de token, armazenamento de senha e acesso fora do horário comercial.

O MFA reduz o risco de credenciais roubadas, mas não substitui a restrição de acesso. Portanto, MFA para WebAdmin, VPN Portal e Remote Access do Sophos Firewall e Device Access devem ser usados juntos. Se várias pessoas trabalharem através do Sophos Fusion, as Funções Administrativas do Sophos Fusion também devem ser verificadas.

Verificar DNS, DHCP e resolução de nomes interna

Em Network > DNS, define-se como o firewall obtém servidores DNS: por DHCP, através de informações PPPoE do provedor ou estaticamente. Para domínios internos, deve-se usar DNS request routes para que consultas para zonas internas sejam direcionadas ao servidor DNS interno correto.

Em novas instalações, o DNS deve ser testado com nomes internos e externos reais. Um teste apenas com google.com não é suficiente se posteriormente forem usados Active Directory, servidores de arquivos, impressoras, sistemas de gerenciamento ou aplicações internas. O importante é, sobretudo, se os clientes recebem os servidores DNS corretos e se o firewall não encaminha acidentalmente domínios internos para resolvers públicos.

Teste prático de DNS:

• A firewall resolve nomes externos: A resolução DNS funciona para os nomes testados. Verificar depois, separadamente, o registo, a sincronização de licenças, as atualizações e a ligação ao Central.
• O cliente resolve nomes externos: A resolução DNS funciona para os nomes testados. Verificar também a atribuição DHCP, o servidor DNS utilizado e a regra de firewall.
• O cliente resolve nomes internos: A resolução de nomes internos funciona para os nomes testados. Verificar se é utilizado o servidor DNS interno previsto ou a DNS request route.
• O cliente VPN ou VLAN resolve nomes internos: A resolução de nomes também funciona a partir da rede testada. Ainda assim, verificar o servidor DNS, o domínio de pesquisa e a regra de zona face à configuração planeada.

O DHCP é configurado por interface em Network > DHCP. Configurar o Sophos Firewall como servidor DHCP mostra como planear e testar corretamente o intervalo, gateway, DNS, duração do lease e mapeamentos estáticos.

Se o DHCP for encaminhado através de túneis VPN, o firewall também pode atuar como um DHCP Relay. Para opções especiais de DHCP, há Configurar Opções DHCP no Sophos Firewall.

Verificar as primeiras regras de firewall e NAT

A regra padrão de saída criada pelo assistente não deve ser adotada cegamente. Em Rules and policies > Firewall rules, deve-se verificar quais zonas de origem são permitidas, quais destinos devem ser acessíveis e quais recursos de segurança estão ativos. As regras são processadas de cima para baixo; a primeira regra correspondente vence.

Para começar, deve existir pelo menos uma regra de cliente-para-internet conscientemente nomeada. Esta regra não deve simplesmente permitir Any para Any, mas mostrar claramente zona de origem, rede de origem, destinos, serviços, logging e recursos de segurança. Se a regra for expandida posteriormente, deve permanecer rastreável se ela é destinada a clientes normais, servidores, convidados, IoT ou dispositivos de gerenciamento.

Uma primeira verificação de regra pode ser assim:

1. Conectar um cliente de teste na zona prevista.
2. Verificar endereço IP, gateway e DNS no cliente.
3. Gerar uma chamada HTTPS externa.
4. No Log viewer, procurar por IP de origem, destino, serviço e ID da regra.
5. Verificar se a regra de firewall e a regra de NAT esperadas foram atingidas.
6. Realizar um teste intencionalmente não permitido, por exemplo, a partir de uma zona de convidado ou de gerenciamento.
7. Documentar qual regra permanece produtiva e qual regra de assistente ou de teste é removida.

Para NAT, vale: NAT não permite tráfego por si só. Sempre é necessária uma regra de firewall correspondente. Para clientes normais na internet, geralmente é relevante uma regra de Source-NAT com MASQ. Para servidores publicados, é necessário DNAT mais uma regra de firewall correspondente, logging e um teste externo de fora da própria LAN. Para novas configurações, regras de NAT independentes são geralmente mais claras do que Linked NAT Rules. As bases estão em Entender e configurar corretamente as regras do Sophos Firewall e Entender NAT no Sophos Firewall: SNAT, DNAT, MASQ, PAT. Se um servidor interno deve ser publicado, o artigo Publicar servidor por DNAT no Sophos Firewall é adequado.

Ativar conscientemente funções de proteção

Uma regra de firewall não é automaticamente uma regra de proteção completa. Dependendo da licença e do objetivo, IPS, Web Protection, Application Control, Malware-Scanning, TLS Inspection, Zero-Day Protection ou Threat Feeds devem ser conscientemente ativados, testados e documentados.

Ordem prática:

1. Criar zonas e regras limpas.
2. Ativar logging para regras importantes.
3. Ativar IPS e Web Protection onde for adequado.
4. Adicionar Application Control para aplicações arriscadas ou indesejadas.
5. Introduzir TLS Inspection apenas de forma planejada, com grupo de teste, distribuição de CA e exceções.
6. Ativar Threat Feeds, NDR ou Active Threat Response apenas quando o monitoramento e o processo de falsos positivos estiverem claros.

Para o contexto mais amplo de hardening, o artigo Melhores Práticas do Sophos Firewall: Rede, Regras e Segurança é adequado. Para Zero-Day Protection, há Entender e operar a Zero-Day Protection do Sophos Firewall, para TLS Inspection Introduzir TLS Inspection no Sophos Firewall.

Preparar logging e troubleshooting

Em regras de firewall importantes, deve-se ativar Log firewall traffic, caso contrário, muitas vezes faltam exatamente as informações necessárias para a solução de problemas. Isso não é óbvio para muitos: se uma regra de firewall não faz logging, o tráfego correspondente também não aparece de forma significativa no Log Viewer. Pode-se ver talvez outros eventos do sistema, mas não a decisão de regra concreta que se procura.

Em System services > Log settings, pode-se definir quais tipos de log são enviados localmente, para servidores Syslog ou para o Sophos Fusion. O firewall possui arquivos de log locais e um banco de dados de relatórios interno, mas estes não são destinados a um arquivo de longo prazo para semanas, meses ou anos. Se os logs devem ser armazenados permanentemente ou pesquisados centralmente, é necessário um servidor Syslog externo ou o Central Firewall Reporting.

Para o Sophos Fusion, em linhas gerais: com uma assinatura de firewall ativa, os Central Firewall Reports estão disponíveis por um período limitado. Com Xstream Protection ou Central Orchestration, são possíveis análises mais longas. Com o Central Firewall Reporting Advanced, obtém-se armazenamento adicional e uma retenção significativamente mais longa. Os detalhes estão em Ativar Central Firewall Reporting.

Para análises iniciais, geralmente são suficientes Log viewer, Policy tester e Packet capture. Para análises mais profundas, pode-se adicionalmente salvar logs de CLI, ativar logs de depuração ou usar tcpdump. Logs de depuração devem ser ativados apenas de forma direcionada e por tempo limitado, pois geram significativamente mais dados. Como testar regras é mostrado em Testar regra de firewall com Log Viewer, Policy Test e Packet Capture. Para Packet Capture, nomes de serviços e arquivos de log, há os artigos Usar a ferramenta Packet Capture no WebAdmin e Solução de problemas no Sophos Firewall: Serviços e Logs. Se os logs devem ser coletados para suporte ou análise externa, ajuda Salvar logs do Sophos Firewall para análise externa.

Teste de aceitação antes do tráfego produtivo

Antes do go-live, não se deve apenas verificar se “a internet funciona”. Um pequeno teste de aceitação documentado evita muitos casos de suporte posteriores.

Sempre que possível, teste primeiro as regras offline em uma rede de laboratório. Outra abordagem gradual é usar temporariamente outro endereço de gateway na rede real e direcionar ao firewall apenas clientes de teste selecionados. Altere o endereço do gateway ou o cabeamento na janela de manutenção planejada somente depois de validar o tráfego de ida e volta. Se o teste falhar, aponte os clientes novamente para o gateway anterior; a produção permanece inalterada.

Testes sensatos:

• Login de administrador a partir da rede de gerenciamento: WebAdmin é acessível, mas não está aberto a partir de zonas indesejadas
• Segundo administrador ou acesso de emergência: O acesso permanece possível se MFA, SSO ou uma conta de usuário falhar
• Cliente da LAN para a internet: Regra de firewall, NAT, DNS e política de segurança funcionam como esperado
• Nome DNS interno: DNS request routes ou resolvers internos funcionam
• Tráfego de teste bloqueado: Log Viewer mostra a regra correspondente ou o drop esperado
• Download e armazenamento de backup: O backup não é apenas criado, mas também encontrado
• Destino Central ou Syslog: Logs e relatórios chegam fora do firewall, se planejado

O teste deve ser brevemente documentado: data, versão do firmware, localização, IP de origem testado, destino, resultado esperado e pontos pendentes. Isso pode parecer pouco espetacular, mas economiza tempo quando, dias depois, um VPN, uma regra de NAT ou um problema de DNS precisa ser investigado.

Lista de verificação após a configuração inicial

Verificar imediatamente

• Senha do administrador e Secure Storage Master Key armazenados com segurança.
• Firewall registrado e status da licença verificado.
• Versão do firmware e atualizações de padrões verificadas.
• Backup manual criado e armazenado externamente.
• WebAdmin e SSH acessíveis apenas a partir das redes desejadas.
• WebAdmin e SSH testados negativamente de forma ativa a partir de zonas indesejadas.
• Segundo acesso de administrador e conceito de emergência testados.
• WAN, DNS e fuso horário verificados.
• Regra de firewall padrão conscientemente avaliada.

Verificar nos primeiros dias

• Zonas, VLANs, pontes e LAGs planejados corretamente.
• DNS request routes e intervalos de DHCP verificados.
• Regras de firewall e NAT documentadas.
• Logging ativado em regras importantes.
• Backup Central ou processo de backup local configurado.
• Central Reporting, Syslog ou outro destino de log decidido.
• Primeiras regras validadas com Log Viewer, Policy Test e Packet Capture.

Verificar antes da operação produtiva ou go-live

• Acesso de gerenciamento protegido.
• MFA e funções de administrador verificadas.
• IPS, Web Protection, Application Control e outras funções de proteção conscientemente ativadas.
• TLS Inspection planejado apenas com processo de teste e exceção.
• Acesso remoto, IPsec, WAF, RED ou SD-WAN testados separadamente, se usados.
• Caminho de rollback e suporte documentado.

Erros típicos

• Configuração do wizard usada diretamente em produção: Regras demasiado amplas, zonas erradas ou serviços de gestão abertos permanecem. Após o wizard, executar uma checklist operacional própria.
• Secure Storage Master Key não documentado: Restore ou migração tornam-se desnecessariamente difíceis. Guardar imediatamente o SSMK no gestor de palavras-passe.
• WebAdmin acessível a partir da WAN ou redes cliente: Bots, brute force e superfície de ataque desnecessária tornam-se mais prováveis. Device Access e Local Service ACL Exception Rules devem ser restritos.
• MFA ativado sem fallback: Admins podem bloquear-se com problemas de token, hora ou grupos. Testar previamente segundo admin, acesso break-glass e processo de token.
• Logging esquecido nas regras: O troubleshooting posterior fica às cegas. Log firewall traffic deve estar ativo nas regras importantes.
• DNS resolvido apenas por resolver público: Nomes internos não funcionam de forma fiável. Planear servidores DNS internos e DNS request routes.
• NAT esperado sem regra firewall correspondente: Servidores ou serviços não ficam acessíveis apesar do NAT. Verificar sempre NAT e regra firewall em conjunto.
• Firmware update instalado sem backup: Falta caminho de retorno se surgirem problemas. Verificar backup, release notes e janela de manutenção antes dos updates.

FAQ