Atribuir logs de serviço de Sophos Firewall

No Sophos Firewall existem três níveis importantes para resolução de problemas: logs de eventos em Log Viewer, ferramentas de diagnóstico em WebAdmin e ficheiros de serviço ou log na firewall. O Log Viewer é ideal para dúvidas rápidas como “a ligação foi permitida ou bloqueada?” Os ficheiros em /log são mais importantes quando um serviço não inicia, um túnel VPN está instável, os filtros da web agem inesperadamente ou o suporte precisa de dados detalhados.

Este artigo classifica os serviços e ficheiros de log mais importantes de acordo com problemas típicos de administração. Também é útil quando o nome de um serviço técnico aparece no painel de controlo, na Advanced Shell ou num caso de suporte e não fica imediatamente claro qual função da firewall está por trás dele. Nomes como zebra, warren, awed, garner ou strongswan não são autoexplicativos no dia a dia.

Seleção de ferramentas e pré-requisitos

Antes de procurar nos ficheiros de log, deve estar claro qual ferramenta fornece a resposta mais rapidamente. Muitos casos já podem ser delimitados com Log Viewer ou Packet Capture. A shell só se torna realmente útil quando é necessário verificar o próprio serviço ou quando o suporte precisa de dados de log detalhados.

Qual ferramenta de resolução de problemas é apropriada?

Nem todos os problemas de firewall começam com uma shell. Muitas vezes, outra ferramenta é mais rápida no início:

• Ligação permitida ou bloqueada? Testar regra de firewall com Log Viewer, Teste de política e Packet Capture.
• Os pacotes chegam, mas não está claro se são encaminhados? Utilizar o Packet Capture da Sophos Firewall no WebAdmin.
• A captura deve decorrer durante mais tempo, ser guardada como PCAP ou analisada no Wireshark? Sophos Firewall tcpdump: capturar pacotes por CLI.
• Suspeita-se que uma alteração de configuração seja a causa? Verificar os logs do Audit Trail da Sophos Firewall.
• Uma alteração do Sophos Central está bloqueada? Verificar a Sophos Central Firewall Management Task Queue.
• São necessários relatórios ou histórico no Sophos Central? Ativar e operar Sophos Firewall Central Reporting.
• Os logs devem ser enviados a longo prazo para SIEM, SOC ou servidor de log? Enviar Syslog de Sophos Firewall para SIEM.
• O foco são fluxos de tráfego, picos de largura de banda ou padrões de comunicação? Configurar monitorização sFlow em Sophos Firewall.
• Um serviço não funciona ou o suporte precisa de logs? Este artigo.
• Guardar logs locais para Sophos Support ou Avanet? Guardar logs da Sophos Firewall para suporte e análise.
• Preparar um caso de suporte? Abrir um ticket de suporte Sophos: Preparação e portal.

A ordem é importante. O Log Viewer geralmente mostra mais rapidamente qual regra ou módulo tomou a decisão. Packet Capture demonstra o fluxo de pacotes em WebAdmin. tcpdump é útil quando é necessária uma captura mais longa, um ficheiro PCAP ou um filtro CLI muito preciso. Os logs de serviço e depuração ajudam quando um serviço específico é o problema ou quando é necessário recolher dados para o Sophos Support.

Entrada rápida por sintoma

Se não estiver claro qual log é relevante, será útil começar com o sintoma em vez do nome do serviço.

• Uma única ligação não funciona: primeiro, verificar o Log Viewer com origem, destino, serviço e hora. Em seguida, utilizar Packet Capture, firewall_rule.log e nat_rule.log.
• O túnel VPN está inativo ou instável: verifique o estado da VPN, o IP do peer, a hora e o Log Viewer. Em seguida, verifique strongswan.log, charon.log, sslvpn.log e os dados de diagnóstico IPsec.
• WebAdmin, User Portal ou SSH não são acessíveis: verificar Device Access, Local Service ACL e a zona afetada. Em seguida, utilizar apache.log, tomcat.log, sshd.log e Packet Capture na porta de destino.
• O filtro web, TLS Inspection ou IPS bloqueiam inesperadamente: verificar o módulo no Log Viewer e o ID da política. Em seguida, comparar ips.log, awarrenhttp.log e Packet Capture.
• Uma tarefa do Sophos Central está bloqueada: comparar a Central Task Queue com o estado local. Em seguida, verificar centralmanagement.log, sophos-central.log e fwcm-api-executor.log.
• HA comporta-se de forma diferente consoante o nó: identificar o nó ativo, o nó auxiliar e o caminho de tráfego afetado. Em seguida, iniciar sessão diretamente no nó afetado e verificar os logs de HA.
• Os relatórios locais estão em falta ou o armazenamento está cheio: verificar as definições dos relatórios, o espaço disponível e Central Reporting. Em seguida, utilizar reportdb.log, garner.log e a análise de armazenamento.

Esta abordagem evita uma armadilha comum: pesquisar um log de serviço quando primeiro é necessário confirmar a correspondência de regras, Device Access, NAT ou o encaminhamento.

Log Viewer ou ficheiro de log?

O Log Viewer abre na consola WebAdmin no canto superior direito. É atualizado automaticamente, pode ser filtrado por módulo, hora, valores de campo e texto livre, além de poder exportar registos como CSV.

Os logs de resolução de problemas estão localizados no diretório /log na firewall. Podem ser acedidos através da consola WebAdmin ou por SSH. Para verificações rápidas, Device Management > Advanced Shell no navegador funciona, mas na prática, SSH geralmente é mais confortável, estável e melhor para sessões mais longas com tail, grep ou less. Como preparar SSH com segurança está descrito no guia Conectar Sophos Firewall por SSH.

Antes de longas sessões na shell, deve ficar claro a partir de que rede de gestão é estabelecida a ligação, se a impressão digital SSH foi verificada e se a Advanced Shell é realmente necessária. Para muitas verificações iniciais, Log Viewer ou Packet Capture em WebAdmin são suficientes.

Como regra geral, esta é a sequência:

1. Um fluxo de tráfego individual é afetado: filtrar em Log Viewer por Origem, Destino, Serviço e horário.
2. Log Viewer não mostra decisão: iniciar Packet Capture com filtro estreito.
3. Packet Capture mostra Incoming, mas não uma decisão clara: verifique ID de regra, ID NAT, ID de firewall 0, caminho de retorno e log apropriado.
4. Um serviço específico parece instável: observar o ficheiro apropriado em /log com tail -f.
5. Um erro é esporádico ou requer suporte: preparar janela de tempo, filtro, ficheiro de logs e, se necessário, tcpdump.
6. Logs normais não são suficientes: ative o Debug apenas para o serviço afetado e por um curto período de tempo.

Isto mantém a análise suficientemente limitada. Primeiro recolhe-se a evidência visível, depois passa-se para o fluxo de pacotes e só então para os registos de serviço ou de depuração. Assim reduz-se o risco de ativar demasiado cedo registos de depuração abrangentes ou de avaliar um ficheiro de log incorreto.

Ler ficheiros de log em Advanced Shell

Antes de examinar /log, o caso de teste deve ser documentado com a maior precisão possível: hora local, IP de origem afetado, IP de destino, porta, utilizador, módulo e comportamento esperado. Estes dados fazem a diferença entre uma análise de log útil e uma longa pesquisa em entradas antigas.

1. Ligue-se por SSH ou abra Device Management > Advanced Shell na consola WebAdmin.
2. Mude para o diretório de log.

cd /log

Comandos úteis:

tail -f firewall_rule.log
tail -f nat_rule.log
grep -i error ips.log
less strongswan.log
service -S | grep ips

Os comandos mais importantes do Advanced Shell:

• Ler ao vivo: tail -f /log/<logfilename>.log, por exemplo tail -f /log/ips.log.
• Ler um ficheiro estático: less /log/<logfilename>.log, por exemplo less /log/ips.log.
• Procurar um termo: grep <keyword> /log/<logfilename>.log, por exemplo grep error /log/ips.log.
• Controlar um serviço ou ativar Debug: service <service>:<start/restart/stop/debug> -ds nosync, por exemplo service ips:debug -ds nosync. start, restart e stop alteram o funcionamento e devem ser usados numa janela de manutenção ou por indicação do suporte.

Para suporte ou análise adicional, não se devem copiar apenas linhas de registo individuais. É melhor ter um intervalo de tempo claro, o teste reproduzido, capturas de ecrã relevantes de Log Viewer ou Packet Capture e, se necessário, um ficheiro de logs completo. Os logs locais são sujeitos a rotação; por isso, os dados importantes devem ser guardados enquanto o evento ainda estiver no período abrangido. O procedimento está descrito em Guardar logs da Sophos Firewall para análise externa.

Descarregar logs de resolução de problemas no WebAdmin

Nem toda a recolha de logs tem de ser criada manualmente com tar a partir da Advanced Shell. Para casos de suporte, o WebAdmin também disponibiliza Diagnostics > Tools > Log file details ou a seleção de logs de resolução de problemas. Aí é possível selecionar e descarregar ficheiros de log por módulo.

Na prática existem dois caminhos:

• Ficheiros de log individuais: abrir Diagnostics > Tools > Troubleshooting logs, selecionar os ficheiros de log afetados e descarregá-los como ficheiro comprimido.
• Consolidated Troubleshooting Report (CTR): usar Diagnostics > Tools > Consolidated troubleshooting report quando o suporte precisa de todos os logs, estado do sistema, processos e dados de recursos num único pacote.

Isto é conveniente se um administrador não quiser abrir uma longa sessão de shell ou se apenas for necessário um pacote de logs claramente delimitado. O CTR é mais adequado quando o Sophos Support precisa de um instantâneo abrangente do sistema. Ao criar um CTR, deve ser indicado um motivo curto e claro, por exemplo o número do ticket, a janela de tempo ou o sintoma. O relatório é descarregado de forma cifrada e, nos logs de subsistemas de serviço, normalmente contém apenas um número limitado de linhas. Ficheiros de log individuais completos são obtidos de forma mais fiável através de Troubleshooting logs ou diretamente de /log.

Importante: um pacote de log transferido não substitui dados de contexto. O suporte ainda precisa de horário com fuso horário, IPs afetados, utilizador, nome do túnel, ID da regra, ID NAT e uma breve descrição do que exatamente foi reproduzido.

Em clusters HA é preciso ter também em atenção: logs e relatórios não são simplesmente sincronizados entre Primary e Auxiliary. Cada nó contém os logs do tráfego e dos serviços que ele próprio processou. Em erros específicos de um nó, deve ser verificado o nó afetado.

Advanced Shell ou Device Console?

No Sophos Firewall existem duas áreas de consola diferentes que são frequentemente confundidas:

• Device Console: CLI da Sophos para comandos de firewall específicos, por exemplo, prioridade de encaminhamento, rotas IPsec ou opções do sistema.
• Advanced Shell: shell semelhante a Linux para sistema de ficheiros, logs, tail, grep, less, service -S, reinícios de serviços e comandos de depuração.

Nem todos os comandos funcionam em ambas as áreas. Se um artigo mencionar explicitamente Device Console, o comando deve ser executado lá. Se for /log, tail -f, grep, service -S ou log de depuração, geralmente se refere a Advanced Shell.

Esta distinção é importante porque muitos erros surgem simplesmente por um comando correto ser introduzido no local errado.

O registo deve estar ativo

Nem todas as informações esperadas aparecem automaticamente.

• Nas regras de firewall, Log firewall traffic deve estar ativo.
• Nas regras de inspeção SSL/TLS, o registo em log deve estar ativado.
• System services > Log settings deve definir quais tipos de registos serão enviados localmente, para Sophos Central ou para Syslog.

Para armazenamento de longo prazo, um servidor Syslog ou Sophos Central Firewall Reporting é útil. Como ligar servidores de registo externos ou um SIEM está descrito em Enviar Syslog de Sophos Firewall para SIEM. Para Sophos Central, Ativar Central Firewall Reporting é o procedimento apropriado.

Ativar a depuração apenas de forma direcionada

O log de depuração é muito útil, mas gera muitos dados e pode consumir espaço de armazenamento. A depuração só deve ser ativada para o serviço relevante. Em seguida, o problema é reproduzido e a depuração é desativada novamente. Os logs de depuração podem conter credenciais e outros conteúdos confidenciais; antes de serem descarregados ou partilhados, devem ser verificados e transmitidos de forma segura.

Exemplo de IPS para a Advanced Shell:

service ips:debug -ds nosync

O comando alterna o estado de depuração do serviço e é executado novamente após a recolha para desativar a depuração. Um off acrescentado não está documentado para este comando da Advanced Shell. A sintaxe exata depende do serviço. Se o serviço afetado não estiver claro, o ficheiro de log normal correspondente deve ser verificado primeiro.

⚠️ Debug de WAF e reverseproxy.log: A Sophos corrigiu no SFOS 22.0 MR2 Build 546 o erro NC-177457, no qual uma palavra-passe ficava visível em reverseproxy.log quando o debug de WAF estava ativo. A Sophos não indica o início do intervalo de versões afetadas nem o tipo de palavra-passe. Por isso, logs de debug de WAF, ficheiros de resolução de problemas e ficheiros CTR já criados em builds mais antigos ou desconhecidos devem ser tratados como potencialmente contendo credenciais.

Se for encontrada uma credencial em texto simples: limitar o acesso, documentar o incidente e substituir a credencial afetada. Não eliminar os logs indiscriminadamente antes de esclarecer os requisitos de suporte, análise forense e retenção.

A Sophos distingue aqui dois caminhos de operação. Na Advanced Shell usam-se comandos de serviço como service ips:debug -ds nosync. Na Device Console existem adicionalmente os comandos system diagnostics subsystems <subsystem> debug on e system diagnostics subsystems <subsystem> debug off para subsistemas suportados. Estas variantes não devem ser misturadas: primeiro esclarecer em que consola se está a trabalhar, depois usar o comando correto.

O tópico de registo de depuração e os comandos básicos de CLI são descritos com mais detalhes no artigo Sophos Firewall CLI Resolução de problemas: comandos importantes. Para reiniciar serviços individuais, Reiniciar serviços Sophos Firewall com segurança também é útil.

Erros típicos na busca de registos

Muitas análises de logs demoram não por falta de dados, mas porque se começa demasiado cedo pela ferramenta errada.

• Ativar o Debug diretamente: primeiro verificar o Log Viewer, o log adequado e um teste reproduzível.
• Procurar apenas mensagens de erro: delimitar também origem, destino, utilizador, ID da regra, ID da regra NAT e hora.
• Ignorar Packet Capture: se não estiver claro se os pacotes chegam ou são encaminhados, utilizar Packet Capture numa fase inicial.
• Interpretar Central Reporting como depuração em tempo real: utilizar Central Reporting para histórico e relatórios e os logs locais para análise detalhada.
• Guardar os logs de suporte apenas dias depois: guarde os logs, a hora e os passos de reprodução enquanto o evento ainda pode ser rastreado.
• Deixar o Debug ativo após o teste: desativar novamente o Debug e verificar o espaço de armazenamento.

Um bom caso de resolução de problemas inclui sempre três elementos: um teste rigoroso, a fonte de registo adequada e uma hora documentada. Sem esta base, é possível ver muitas linhas de log, mas não necessariamente a causa.

Ficheiros de log por área funcional

As listas seguintes servem de referência. É melhor selecionar primeiro a área funcional afetada e depois verificar o registo apropriado com uma janela de tempo estreita.

As associações principais seguem a documentação atual do SFOS 22.0. Em instalações mais antigas ou em ficheiros de suporte antigos, também podem aparecer os nomes anteriormente utilizados app-feedback.log, sig_update.log, sessiontbl.log, webproxy.log, fqdndebug.log, ipsec_Test_Connect.log, redis, hotspot.log, awarrenmta_debug.log, smbnetfs.log, snireport.log, confdbstatus.log e crreportdb.log. A Sophos já não os inclui na lista atual de logs do SFOS 22.0; por isso, não se deve pressupor que existam num build atual.

Sistema, gestão e serviços básicos

• Mensagens do sistema: syslog.log; verificar também a hora, os reinícios e os eventos de interface.
• Servidor web do WebAdmin: apache.log, apache_access.log; verificar também Device Access e Local Service ACL.
• Aplicação WebAdmin: tomcat.log; verifique também erros de GUI, carga elevada e estado do serviço.
• SSH: sshd.log; verificar também Device Access, a rede de origem e a autenticação por chave pública.
• Erros de GUI/CLI: error_log.log; verificar também as alterações recentes e as ações efetuadas no navegador ou pelo administrador.
• Alterações de configuração: applog.log, csc.log; verificar também Audit Trail e Config Studio.
• Base de dados de configuração: postgres.log; verificar também armazenamento, backup/restore e caso de suporte.
• Comunicação entre componentes: garner.log; verificar também reporting, Central Reporting e processamento de logs.
• API: apiparser.log; verificar também validation.log, a ACL da API, o token e a Central Task Queue.
• Validação: validation.log, validationError.log; verificar também objetos ou importações com erros.
• Licenciamento: licensing.log; verifique também o estado da licença, o Central Sync e o caso especial de Air-Gap.
• Atualizações do Sistema: u2d.log; verifique também o estado dos padrões, DNS/HTTPS e espaço de armazenamento.

Em problemas de gestão, não se deve verificar apenas o log do WebAdmin. Muitas vezes, Device Access, uma Local Service ACL Exception Rule ou uma rede de origem incorreta determinam se WebAdmin, SSH, User Portal, VPN Portal, DNS ou SNMP são acessíveis. Para esta parte, Proteger o acesso à Sophos Firewall: configurar corretamente Device Access é o melhor ponto de entrada.

Firewall, NAT e Packet Capture

• Correspondência de regras de firewall: firewall_rule.log; verificar também o módulo Firewall no Log Viewer.
• Processamento geral de firewall: fwlog.log; utilizar também Packet Capture.
• Regras NAT: nat_rule.log; verificar também o ID da regra NAT no Log Viewer.
• DNAT com Link Load Balancing: verificar também dgd.log quando a seleção de gateway ou link está envolvida.
• Packet Capture no WebAdmin: pktcapd.log; verificar também Diagnostics > Packet capture.
• Gestão de largura de banda / QoS: bwm.log; verificar também a Traffic Shaping Policy.
• Publicação de host virtual/servidor antigo: vhost.log; verificar também NAT e WAF.
• Proteção de servidor web / WAF: reverseproxy.log; verificar também a regra WAF, Hosted address e a acessibilidade do backend.

Para problemas de DNAT, verificar sempre a regra de firewall e a regra NAT em conjunto. O NAT apenas traduz endereços; não permite o tráfego. Mais informações: Compreender o NAT na Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Sophos Firewall utiliza, entre outras, tabelas IP, tabela ARP, IPset e conntrack para ligações de firewall. Para QoS ou gestão de largura de banda, o IMQ é usado. Estas informações são úteis ao visualizar mensagens de log ou saídas de suporte com termos técnicos do caminho de rede do Linux.

IPS, Application Control e TLS Inspection

• Prevenção contra Invasões: Serviço ips, log ips.log.
• Application Control: Serviço ips / Filtro de Aplicação, log ips.log.
• DPI e TLS Inspection: Mecanismo DPI, log ips.log.
• Antivírus no caminho da rede: Serviço avd, log avd.log.
• Zero-Day Protection / Sandbox: Serviço Sandbox, log sandboxd.log.
• Active Threat Response / X-Ops Threat Feeds: ATR no caminho da rede; primeiro Log Viewer, conforme módulo também ips.log.
• MDR Threat Feeds: estado do feed ATR/MDR, log atr.log.
• Atualizações de assinatura: Atualizador de assinatura, log sig_upgrade.log.
• Migração de assinatura: Migração de assinatura, log sigmigration.log.

Muitas funções de proteção modernas só conseguem analisar detalhes suficientes quando o tráfego HTTPS é desencriptado. Se a TLS Inspection não for aplicada, o filtro web, o Application Control, o IPS e a análise de malware fornecem resultados menos informativos, consoante o tráfego.

Se não estiver claro se o IPS está ativo, qual política é aplicada ou por que uma assinatura está bloqueada, consulte primeiro Configurar e testar com segurança o IPS Sophos Firewall. ips.log, Log Viewer e Packet Capture podem então ser correlacionados de forma mais direcionada.

Se o problema estiver relacionado com o reconhecimento de aplicações, a filtragem de aplicações ou bloqueios inesperados do Application Control, começar por Configurar e testar o Application Control da Sophos Firewall.

Para a Zero-Day Protection, também é importante verificar se Web Protection, TLS Inspection, tipo e tamanho do ficheiro, política e ação são compatíveis. O artigo operacional adequado é Compreender e operar a Zero-Day Protection da Sophos Firewall. Para Threat Feeds, consultar Configurar e operar os Threat Feeds da Sophos Firewall em segurança. Mais informações sobre TLS Inspection: Implementar a inspeção TLS na Sophos Firewall passo a passo.

Web, Proxy, WAF e filtro web

• Proxy HTTPS: Serviço awarrenhttp, log awarrenhttp.log.
• Acesso proxy HTTPS: Log de acesso awarrenhttp, log awarrenhttp_access.log.
• Categorização/Reputação Web: Serviço nSXLd, log nSXLd.log.
• Proxy HTTP/FTP herdado: Serviço skein, log skein.log.
• Proxy FTP: Serviço ftpproxy, log ftpproxy.log.
• Firewall de aplicação Web: Proxy reverso, log reverseproxy.log.

Se o tráfego web parecer bloqueado em Log Viewer, a causa pode estar em vários módulos: política web, inspeção SSL/TLS, controlo de aplicação, IPS ou WAF. Portanto, selecione sempre o módulo específico no Log Viewer e verifique também o ficheiro de registo apropriado.

A Sophos bloqueia sites na categoria highly objectionable criminal activity por predefinição e oculta o nome de domínio em registos e relatórios. Se uma entrada nesta área parecer deliberadamente anonimizada, isso pode ser intencional.

Para categorias da web, grupos de URL, políticas da web e alertas instantâneos, consulte Usar categorias da web e alertas instantâneos em Sophos Firewall.

VPN

• IPsec de SFOS v17+: Serviços strongswan, charon; registos strongswan.log, charon.log.
• Específico da ligação IPsec: uma ligação IPsec específica, log /log/ipsec_conn/ipsec_<connectionname>.log.
• IPsec versões anteriores: Serviço IPsec, log ipsec.log.
• Monitorização IPsec: Monitor IPsec, log ipsec_monitor.log.
• XFRM / VPN baseado em rota: Serviço xfrmi, log xfrmi.log.
• SSL VPN: SSL VPN / OpenVPN, registo sslvpn.log.
• Estado da SSL VPN: estado do OpenVPN, log openvpn-status*.log.
• VPN Portal: registo vpnportal.log.
• L2TP: Serviço l2tpd, registo l2tpd.log.
• PPTP: PPTP VPN, registo pptpvpn.log.
• Certificados VPN: Serviços de certificados VPN, log vpncertificate.log.
• Clientless SSL VPN: Acesso sem cliente, log clientless_access.log.

Sophos Firewall usa strongSwan para IPsec VPN e OpenVPN para SSL VPN. Nas questões IPsec, tempo, IP de peer, proposta, sub-redes locais/remotas, NAT-T, encaminhamento e regras de firewall são cruciais.

Para problemas de IPsec, o artigo Resolução de problemas de IPsec em Sophos Firewall é o melhor guia passo a passo. Se for VPN baseado em rotas e rotas manuais IPsec, ajuda Criar rota IPsec em Sophos Firewall.

Autenticação, User Portal e SSO

• Autenticação do utilizador: Servidor de acesso / AAA, log access_server.log.
• NTLM / NASM: Serviço nasm, registo nasm.log.
• SSO do Chromebook: Back-end do SSO do Chromebook, registo chromebook-sso-backend.log.
• SSO OAuth Captive Portal: log oauth_sso_captive.log.
• SSO OAuth WebAdmin: log oauth_sso_webadmin.log.
• SSO OAuth VPN: log oauth_sso_vpn.log.
• STAS: STAS / Contexto Servidor de Acesso, conforme contexto de serviço e access_server.log.

Nas regras baseadas em utilizadores, verificar sempre primeiro se o utilizador é conhecido. Se Match known users estiver ativo e a autenticação não funcionar, a regra não corresponde.

Se o Captive Portal for utilizado com o SSO do Microsoft Entra ID, Configurar o SSO do Microsoft Entra ID para o Captive Portal da Sophos Firewall ajuda a verificar oauth_sso_captive.log, Device Access, grupos e a correspondência das regras seguintes.

DNS, DHCP e rede

• DNS Serviço: Serviço dnsd, log dnsd.log.
• DNS Grabber: Serviço dnsgrabber, log dnsgrabber.log.
• DNS Entidade/outros componentes DNS: Serviços entity, eacd; registos entity.log, eacd.log.
• DHCP IPv4: Serviço dhcpd, log dhcpd.log.
• DHCP IPv6: log dhcpd6.log.
• Serviço de rede: Serviço networkd, log networkd.log.
• Hosts FQDN: Serviço fqdnd, log fqdnd.log.
• Deteção de gateway inativo: Serviço dgd, log dgd.log.
• DNS Dinâmico: Cliente DNS Dinâmico, log ddc.log.
• Cliente NTP: log ntpclient.log.
• Anúncio do router IPv6: Serviço radvd, log radvd.log.

Os problemas de DNS e DHCP geralmente parecem problemas de firewall. Portanto, o endereço IP, gateway, servidor DNS e se os clientes devem utilizar a firewall como servidor DNS ou DHCP devem ser verificados primeiro.

Se os domínios internos não forem resolvidos corretamente, Definir DNS Request Routes para Sophos Firewall é geralmente relevante. Para opções especiais de DHCP, existe um artigo próprio Definir opções de DHCP em Sophos Firewall.

WAN celular

• Modem WWAN/USB: verifique a ligação e remoção de dispositivos USB em modemd.log.
• Configuração de rede do modem: verificar as interfaces relacionadas com o modem e a configuração IP em networkd.log.
• USB, modem e PPP: verificar as mensagens de Syslog sobre USB, modem e Point-to-Point Protocol em syslog.log.

Em problemas de Cellular WAN, também se deve verificar se o modem é reconhecido, se o PIN/SIM/APN estão corretos e se a firewall cria um gateway adequado.

Encaminhamento

• Encaminhamento Estático: Serviço zebra, log zebra.log.
• Encaminhamento Baseado em Aplicação: Serviço appcached, log appcached.log.
• Encaminhamento Multicast: log mrouting.log.
• BGP: Serviço bgpd, log bgpd.log.
• OSPF: Serviço ospfd, log ospfd.log.
• RIP: Serviço ripd, registo ripd.log.
• PIM-SM: Serviço pimd, registo pimd.log.

Em questões de encaminhamento, verificar também Routing > SD-WAN routes, os gateways e o Packet Capture. O Policy tester não substitui um teste de encaminhamento real.

Mais informações: Definir prioridade de encaminhamento para Sophos Firewall.

GUI, CLI e acesso ao sistema

Para WebAdmin, SSH, API e serviços de gestão local, a lista básica encontra-se acima em Sistema, gestão e serviços básicos. Se WebAdmin ou SSH não estiverem acessíveis, não se devem verificar apenas apache.log, tomcat.log ou sshd.log. O acesso local é controlado por Administration > Device access e pela Local Service ACL.

Maiores informações: Estabelecer ligação SSH com Sophos Firewall.

Sophos Central, Heartbeat e Gestão Central

• Sophos Central Gestão: Gestão Central, registos centralmanagement.log, sophos-central.log.
• CSC: Serviços csc, cschelper, csd; registos csc.log, cschelper.log, csd.log.
• Security Heartbeat: Serviços heartbeatd, hbtrust; registos heartbeatd.log, hbtrust.log.
• Synchronized Application Control: verifique os dados enviados para a SophosLabs em sac-feedback.log.
• Heartbeat para Central: Serviços fwcm-eventd, fwcm-heartbeatd, fwcm-updaterd; verificar os respetivos logs de serviço.
• Executor API Central: Serviço fwcm-api-executor, log fwcm-api-executor.log.
• Active Threat Response: contexto ATR; verificar de acordo com a versão e o módulo.

Em questões relacionadas com a Central, verificar primeiro se a firewall está registada, se os serviços da Central estão ativos e se as ligações DNS/HTTPS de saída estão a funcionar. Se uma alteração efetuada na Central não chegar localmente, comparar a fila de tarefas do Sophos Central Firewall Management com os logs locais. Um estado verde na Central não prova, por si só, que uma política específica tenha sido processada localmente.

Alta disponibilidade

• Status e configuração HA: HA Log da Aplicação, log applog.log.
• HA Serviço de Par: Serviço ha_pair, log ha_pair.log.
• Túnel HA: Serviço ha_tunnel, log ha_tunnel.log.
• Conntrack Sync: Serviço ctsyncd, log ctsyncd.log.
• Msync: Serviço msync, log msync.log.

Os logs de HA encontram-se no dispositivo onde foram gerados. Para obter os logs brutos do dispositivo auxiliar, é necessário estabelecer ligação diretamente a esse dispositivo, por exemplo através da respetiva porta de gestão por SSH. Para relatórios consolidados, o Sophos Central Firewall Reporting é mais prático.

Correio e anti-spam

• Antivírus: Serviço AV, log avd.log.
• Atualizações de antivírus: Up2Date AV, log up2date_av.log.
• Anti-Spam: Serviço sasi, registo sasi.log.
• Sandbox: Serviço sandboxd, log sandboxd.log.
• SMTP MTA: Serviço smtpd, log smtpd_main.log.
• Erros de SMTP: smtpd Erro/Pânico/Rejeição, registos smtpd_error.log, smtpd_panic.log, smtpd_reject.log.
• Proxy SMTP/S legado: Serviços awarrensmtp, awarrenmta; logs awarrensmtp.log, awarrenmta.log.
• Proxy POP/IMAP: Serviço warren, log warren.log.

Em problemas de correio, verificar sempre se o modo MTA, a regra de firewall, o DNS, os certificados e as restrições do fornecedor são compatíveis entre si. O procedimento para o fluxo de mensagens, spool, quarentena e retransmissão é descrito em Configurar a proteção de correio no modo MTA na Sophos Firewall.

Sophos Firewall usa Avira e Sophos Antivirus. O serviço anti-spam só é iniciado se houver uma política de spam de entrada ou saída. Esta dependência é importante se sasi.log permanecer vazio ou o serviço anti-spam não estiver em execução.

Wireless, RED, Hotspot e outros serviços

• Controlador wireless: Serviço awed, log awed.log.
• Clientes wireless: comunicação entre o cliente e o AP/APX em wc_remote.log.
• Autenticação Wi-Fi: Serviço wifiauth, log wifiauth.log.
• Hotspot: Serviços hostapd, hotspotd; logs hostapd.log, hotspotd.log.
• RED: RED Serviço, log red.log.
• SNMP: Serviço snmpd, registo snmpd.log.
• Serviço Syslog: registo syslog.log.
• Licenciamento: Serviço de Licenciamento, log licensing.log.
• Atualizações do Sistema: Serviço u2d, log u2d.log.
• VMware Tools: Serviço vmtool, log vmtool.log.

Em questões de licenciamento, Air-Gap ou padrões, licensing.log e u2d.log são os primeiros pontos de referência técnica. Para o procedimento operacional com ficheiro de licença, janela de 180 dias e atualizações manuais de padrões, consulte Operar o licenciamento Air-Gap e as atualizações de padrões na Sophos Firewall.

Base de dados e relatórios

• Base de dados de configuração: Config DB, log postgres.log.
• Postgres: Serviço postgres, log postgres.log.
• Base de dados de assinaturas: Serviço sigdb, log sigdb.log.
• Base de dados de relatórios: BD de relatórios, log reportdb.log.
• Base de dados de migração: migração de relatórios, log reportmigration.log.
• Garner: Serviço garner, registo garner.log.
• iView: Serviço iview, registo iview.log.

Se os relatórios estiverem em falta ou lentos, ou se existirem problemas de espaço de armazenamento, os logs dos relatórios e da base de dados são relevantes. Além disso, verificar se os relatórios são armazenados localmente ou enviados para o Sophos Central.

Fluxo de análise

1. Anote o problema com precisão: hora com fuso horário, cliente, destino, porta, utilizador, ação.
2. Decida se é tráfego, estado do serviço, alteração de configuração ou sincronização com Central.
3. Filtrar o Log Viewer por IP de origem, IP de destino, módulo e hora.
4. Verificar a visibilidade do ID da regra de firewall, do ID da regra NAT, do utilizador, do gateway e dos IDs de política.
5. Utilizar Packet Capture se o fluxo de pacotes, o caminho de retorno ou a visualização NAT não forem claros.
6. Verificar o log adequado com tail -f, less ou grep.
7. Reproduza o problema e documente o momento exato do teste.
8. Se necessário, ative o Debug apenas para o serviço afetado e apenas brevemente.
9. Desative o Debug novamente e verifique o espaço de armazenamento.
10. Guardar os logs enquanto a reprodução do erro ainda for recente.

Para casos de suporte, todas as mensagens de erro, etapas de reprodução e etapas de resolução de problemas já realizadas também devem ser documentadas. Essas informações aceleram significativamente os casos de suporte. O procedimento adequado está descrito em Abrir um ticket de suporte Sophos: preparação e portal.

Perguntas frequentes