Ansluta Sophos Firewall till Sophos Fusion (tidigare Sophos Central)

En Sophos Firewall behöver inte nödvändigtvis anslutas till Sophos Fusion. En enskild brandvägg kan hanteras helt lokalt via WebAdmin. I många miljöer är det ändå värt att ansluta brandväggen till Sophos Fusion eftersom det ger tillgång till ytterligare funktioner för hantering, säkerhetskopior, rapportering och säkerhet.

Denna artikel hjälper till att avgöra när det är lämpligt att använda Sophos Fusion och när lokal hantering räcker.

Plattformens nuvarande namn är Sophos Fusion, tidigare Sophos Central. Brandväggens menyer, knappar och registreringsvarning kan fortfarande använda Sophos Central; följ de synliga UI-etiketterna i arbetsflödet. En centralt hanterad brandvägg kan också integreras som en ZTNA-gateway för åtkomst till interna resurser. Enbart registreringen konfigurerar inte denna gateway och ger inte åtkomst till resurserna; planera ZTNA-driftsättningen och dess åtkomstpolicy separat.

Kort svar

Om man bara driver en enskild Sophos Firewall lokalt och inte vill använda Central-funktioner, är Sophos Fusion inte nödvändigt.

Om man hanterar flera brandväggar, vill analysera loggdata centralt, spara konfigurationssäkerhetskopior i molnet eller använder andra Sophos-produkter som Sophos Endpoint, ger Sophos Fusion betydande fördelar.

Beslutet bör dock inte bara handla om att ansluta eller inte ansluta. Viktigare är vilka Central-funktioner som verkligen ska aktiveras. En brandvägg kan vara registrerad i Sophos Fusion utan att alla funktioner för hantering, rapportering eller säkerhetskopiering används i drift.

Zero Touch: driftsättning med en konfigurationsfil

Utöver hantering av befintliga brandväggar erbjuder Sophos Fusion även Zero Touch: nya brandväggar kan installeras med en Zero Touch-konfigurationsfil. För detta krävs ett Sophos Fusion-konto; gränssnittet kan fortfarande heta Sophos Central. Denna möjlighet är relevant vid planering av installationer på nya platser när driftsättningen ska förberedas via Central. Den är inte samma sak som senare fjärråtkomst till WebAdmin eller distribution av en gruppolicy.

Innan du väljer driftsättningsmetod ska du klargöra avsedd tenant, ansvariga administratörer och deras behörigheter, enhet och serienummer, licensbehov samt internetanslutning. För den efterföljande Central-hanteringen krävs fortfarande en fungerande IPv4-anslutning; licenskraven som beskrivs i denna artikel gäller även fortsättningsvis. Zero Touch är varken en förutsättning för lokal drift eller en metod för att reparera en brandvägg som redan är i produktion.

Håll isär uppgifterna:

• Ny installation med Zero Touch: Konfigurationsfilen används för att driftsätta en ny brandvägg. Denna översikt beskriver funktionen, men ger ingen fullständig anvisning för hur filen skapas eller används. Planera denna metod före installationen; använd inte de efterföljande OTP-stegen som grund för en Zero Touch-procedur.
• Lokal konfiguration, claim och licenser: Konfigurera Sophos Firewall, gör en claim och aktivera licenser beskriver den lokala grundkonfigurationen, kopplingen till tenanten genom en ägarclaim och den separata aktiveringen respektive synkroniseringen av licenser. Dessa uppgifter får inte likställas med registrering för hantering.
• Ansluta en befintlig brandvägg: OTP-metoden som beskrivs längre ned förutsätter en konfigurerad brandvägg som är kopplad till rätt tenant genom en claim. OTP registrerar den för Central Management, men ersätter varken claimen eller aktiveringen av prenumerationer. En partners tilldelning till en kund ersätter inte heller claimen.
• Hantera flera brandväggar gemensamt: Använd Sophos Fusion Firewall Groups säkert förklarar gemensamma policyer och effekterna av Full Sync. Grupphantering är en separat driftuppgift, inte installationsmetoden Zero Touch.

Fördelar med att ansluta till Sophos Fusion

Central översikt

I Sophos Fusion kan man se registrerade brandväggar centralt på ett ställe. Detta är särskilt användbart när flera platser eller enheter inom samma organisation hanteras.

Typiska fördelar:

• Statusöversikt över brandväggarna
• Serienummer och licensinformation
• Firmware- och säkerhetsstatus
• Centrala rapporter
• Snabb växling mellan flera brandväggar

Hantering via Sophos Fusion

Med Manage from Sophos Central kan man få tillgång till brandväggshantering via Sophos Fusion. Detta är ofta säkrare än att publicera WebAdmin Console direkt från internet.

Hanteringsåtkomst ersätter dock inte en väl genomtänkt administratörsstrategi. Administratörskonton, MFA, roller, Device Access och ACL-regler måste fortfarande konfigureras medvetet. Enligt Sophos kräver Central Firewall Management dessutom en aktiv betald prenumeration utöver Base Firewall eller en aktiv Sophos-supportlicens som ger rätt till funktionen, till exempel Enhanced Support. Enbart Base Firewall-licensen räcker inte; inte alla supportavtal ger automatiskt denna rättighet.

En teknisk punkt förbises ofta: Sophos Fusion kan bara hantera brandväggar om de når internet via IPv4. I miljöer med enbart IPv6 eller mycket strikt separerade miljöer måste denna väg kontrolleras före aktivering.

Om ändringar via Central inte når brandväggen som förväntat, bör man dessutom kontrollera Sophos Fusion Firewall Management Task Queue. Där kan man se om gruppolicyer eller API-baserade brandväggsuppgifter fortfarande väntar, har misslyckats eller har hoppats över.

Använd Sophos Fusion Firewall Groups säkert förklarar hur flera brandväggar får en gemensam policy och vad Full Sync och Skip full sync faktiskt gör.

För flera platser kan Central även orkestrera route-based VPN-anslutningar, XFRM-gränssnitt, routes och regler. Konfigurera och verifiera en SD-WAN-anslutningsgrupp i Sophos Fusion beskriver planering, konfliktlösning och lokal verifiering.

Begränsningar i Central Firewall Management

Central Firewall Management är en extra administrationsväg, men inte en fullständig ersättning för lokal brandväggsadministration, lokala loggar och testad nödåtkomst. Särskilt med flera administratörer, brandväggsgrupper och HA-kluster bör man känna till de viktigaste begränsningarna så att normalt plattformsbeteende inte felsöks som ett konfigurationsfel.

Vanliga observationer i driften:

• Två administratörer öppnar samma brandvägg via Central samtidigt: Endast en Central Manager-session per brandvägg kan vara aktiv. Om en andra administratör tar över kan den första se en laddnings- eller anslutningsvarning.
• En read-only- eller helpdesk-roll ser inte grupperade brandväggar: Testa roller i Central med riktiga konton innan de används operativt. Vissa vyer eller gruppfunktioner syns inte för alla roller.
• HA-par visas dubbelt eller på flera sidor: Det kan bero på visningen eller sidindelningen. Kontrollera även lokal HA-status på brandväggen inför beslut.
• Brandväggsregler kan inte flyttas på gruppnivå som lokalt: Alla lokala WebAdmin-åtgärder fungerar inte likadant i Central-grupper. Verifiera regelordning och effekt lokalt efter gruppändringar.
• Importerade grupper eller WAF-regler beter sig oväntat i Central: Efter konfigurationsimport, Full Sync eller WAF-regelimport ska man kontrollera Central-vyn, målbrandväggen och Task Queue.

Praktiskt betyder det: efter Central-ändringar kontrolleras Task Queue, lokal WebAdmin-vy, Log Viewer och vid behov Audit Trail. Om Central-gränssnittet bara laddar, ett HA-par visas dubbelt eller en gruppregel inte kan flyttas är det inte automatiskt ett problem med en brandväggsregel.

Konfigurationssäkerhetskopior i Sophos Fusion

Brandväggen kan skicka konfigurationssäkerhetskopior till Sophos Fusion. Detta är användbart om en enhet behöver bytas ut eller återställas och lokala säkerhetskopior inte är tillgängliga.

I Sophos Fusion kan man ställa in schemalagda säkerhetskopior för registrerade brandväggar. Som intervall finns Daily, Weekly och Monthly tillgängliga. Detta gör det möjligt att definiera att utvalda brandväggar skickar en konfigurationssäkerhetskopia till Sophos Fusion dagligen, veckovis eller månadsvis.

Den aktuella Sophos-dokumentationen om säkerhetskopiering anger Global Settings > Products and Services > Firewall > Schedule Backup för schemaläggning. Om sökvägen Firewall Management > Backup som visas i skärmbilden saknas i ditt gränssnitt använder du denna väg.

Sophos Fusion behåller inte obegränsat alla automatiska säkerhetskopior. Som standard sparas de fem senaste säkerhetskopiorna och äldre tas bort. En säkerhetskopia kan dessutom markeras för permanent lagring. I HA-kluster visas Primary och Auxiliary i säkerhetskopieringsschemat, men enligt Sophos skapas bara säkerhetskopian från Primary-enheten.

För driften är två detaljer viktiga: Sophos Fusion försöker skapa en säkerhetskopia upp till fem gånger och genererar vid permanent fel en varning samt ett e-postmeddelande till Central-administratören. Om en brandvägg tas bort från Sophos Fusion-hanteringen raderar Sophos Fusion de tillhörande säkerhetskopieringsfilerna. Molnsäkerhetskopior är därför användbara, men ersätter inte en egen strategi för säkerhetskopiering och återställning.

Man bör dock inte förlita sig på en enda säkerhetskopieringsmetod. För system i produktion är regelbundna lokala eller externa säkerhetskopior fortfarande värdefulla. Säkerhetskopieringslösenordet och Secure Storage Master Key är också viktiga.

Central Firewall Reporting

Med Central Firewall Reporting skickar brandväggen logg- och rapportdata till Sophos Fusion. Detta gör det möjligt att utvärdera rapporter över längre tidsperioder och söka centralt.

I Sophos Fusion finns dashboards, Report Hub, Report Generator, sparade mallar och schemalagda exporter tillgängliga. Man kan skapa rapporter för enskilda brandväggar eller flera brandväggar, filtrera tidsperioder, söka efter specifika händelser och exportera resultat som PDF, CSV eller HTML. För regelbundna utvärderingar kan rapporter dessutom planeras och tillhandahållas automatiskt.

Enligt Sophos kräver sparade mallar, schemalagda exporter och nedladdningar en Central Firewall Reporting Advanced-licens. För rapporter över flera brandväggar måste alla valda brandväggar ha rätt licens.

Typiska rapportmallar är:

• Antivirus
• Bandwidth usage
• Cloud app risks and usage
• Firewall
• IPS
• Log viewer and search
• SD-WAN
• SD-WAN SLA trend
• SD-WAN bandwidth usage
• Security posture assessment
• Synchronize app
• Threat geo activity
• Threats and events blocked
• VPN usage
• Web usage
• Web user risks
• X-Ops
• Zero-day protection

Lagringstiden beror på licensen:

• Aktiv brandväggsprenumeration: Upp till 7 dagar för grundläggande rapporter och korta återblickar
• Xstream Protection / Central Orchestration: Upp till 30 dagar, beroende på paket och behörighet
• Central Firewall Reporting Advanced: Upp till 365 dagar; 100 GB extra lagring per licens

Den exakta aktiveringen och loggvalet beskrivs i den utförliga artikeln Aktivera Central Firewall Reporting.

Synkroniserad säkerhet och Security Heartbeat

När Sophos Endpoint och Sophos Firewall drivs tillsammans via Sophos Fusion kan synkroniserad säkerhet användas. Här utbyter brandväggen och Endpoint säkerhetsinformation.

Exempel:

• Brandväggen ser Security Heartbeat från Endpoints.
• Enheter med röd Heartbeat kan automatiskt begränsas.
• Nätverks- och Endpoint-synen blir bättre sammankopplade.
• Vid incidenter syns snabbare vilken användare eller enhet som är drabbad.

Detta är en av de största fördelarna när man använder Sophos Endpoint, MDR eller XDR tillsammans med brandväggen.

Security Heartbeat kan också skicka Windows-domänidentiteten för en hanterad endpoint till brandväggen. Konfigurera Synchronized User ID Authentication beskriver det säkra förloppet för pilot, regel och HA.

Verifiera Security Heartbeat efter registreringen

Att brandväggen syns i Sophos Fusion bevisar ännu inte att Security Heartbeat fungerar för endpoints. Det krävs ett Sophos Fusion-konto, minst en endpoint som hanteras av Sophos Fusion med provlicens eller fullständig licens samt en giltig Network Protection-prenumeration på brandväggen. Vid registreringen aktiverar SFOS automatiskt Security Heartbeat och Synchronized Application Control.

En enda hanterad pilotendpoint är lämplig för en kontrollerad första verifiering:

1. Kontrollera under System > Sophos Central att brandväggen är registrerad och att Security Heartbeat är aktivt.

2. Bekräfta varningen A new firewall has been successfully registered to Sophos Central i Sophos Fusion under My Products > Firewall Management > Firewalls. Varningen bekräftar registreringen, men ännu inte en regels effekt.

3. Kontrollera tenant, aktuell hälsostatus och händelser från samma period för pilotendpointen i Sophos Fusion.

4. Kontrollera under Control Center > User & device insights > Security Heartbeat om räknaren Connected rimligen speglar den förväntade pilotstatusen. Enligt Sophos förblir detaljvyn tom när alla endpoints är gröna; endast röda och gula endpoints listas individuellt.

5. Kontrollera vilken brandväggsregel som faktiskt matchar. Utan ett konfigurerat heartbeat-villkor är statusen bara synlig; åtkomsten påverkas först av inställningarna under Configure Synchronized Security Heartbeat. Kontrollera källans och destinationens minimikrav på Heartbeat separat. Sophos dokumenterar att ett undantag för policykontroller under Web > Exceptions kan göra att webbförfrågningar inte blockeras trots Block clients with no heartbeat. Verifiera därför den faktiska åtkomsten för det avsedda testflödet.

6. Aktivera först efter denna baslinje ett heartbeat-villkor i en snävt avgränsad pilotregel, slå på loggning och testa tillåten trafik med en frisk endpoint.

Motsägelse i Sophos-dokumentationen: Översikten över Security Heartbeat för SFOS 22 och 23 anger generellt i VPN-avsnittet att all trafik från denna endpoint blockeras av brandväggen vid Missing. Den detaljerade Heartbeat-beskrivningen gör däremot påverkan på åtkomsten beroende av reglerna och nämner uttryckligen undantaget för policykontroller under Web > Exceptions: webbförfrågningar blockeras inte trots Block clients with no heartbeat. Dessa påståenden är inte förenliga med varandra som en generell garanti för isolering. För en säker acceptanskontroll kontrollerar man därför den regel som faktiskt matchar, de separata minimikraven för Source heartbeat och Destination heartbeat, de tillämpliga undantagen och det faktiska åtkomstresultatet. Enbart visningen Missing är inget bevis på fullständig isolering.

En röd status bör inte skapas för testet genom att stänga av eller manipulera endpoint-skyddet. Om Central, Control Center och regelns effekt inte stämmer överens, eller om Missing visas, hjälper systematisk felsökning av Missing Heartbeat-varningar med kontroll av zon, sökväg, Rule ID och loggar.

För den bredare vyn Control Center > User & device insights, se Utvärdera User & Device Insights på ett säkert sätt. Artikeln förklarar Heartbeat- och applikationsräknare, Zero-Day-fynd, UTQ, SSL/TLS-fel och brandväggssessioner, inklusive deras olika tidsfönster och skillnaden mellan att dölja ett fel och att ändra en dekrypteringspolicy. Dessa lokala signaler är inte samma sak som Central Reporting och bevisar inte att varje endpoint eller anslutning är skyddad.

Avgränsa Heartbeat-övervakningen och kontrollera kommunikationsvägen

Under System > Sophos Central > Optional configurations > Missing heartbeat zones väljs endast zoner där hanterade Sophos-endpoints förväntas finnas. Saknade heartbeats upptäcks bara i de valda zonerna; skrivare, gäster, IoT-enheter och klienter med en annan EDR får inte Sophos Heartbeat genom registreringen. Zonlistan och heartbeat-villkoren i de matchande brandväggsreglerna måste stämma överens. Sophos dokumenterar ett specialfall: om en heartbeat-policy blockerar en zon men ingen zon har lagts till i detta fält kan widgeten i Control Center ändå visa Missing. En tom lista bevisar därför inte att ingen policy påverkar trafiken.

Innan omfattningen eller en pilotregel ändras dokumenteras den ursprungliga zonlistan, Rule ID, heartbeat-alternativen samt pilotendpointens IP, MAC och aktuella status. Gör endast den avsedda, snävt avgränsade ändringen. Jämför därefter samma endpoint i Central och Control Center, generera ett godkänt testflöde med en frisk endpoint och verifiera matchande Rule ID och åtkomstresultat i Log Viewer. Om åtkomsten ändras oväntat återställs den dokumenterade zonlistan och regelalternativen. Upprepa samma flöde och undersök kommunikationsvägen i stället för att försvaga heartbeat-kraven globalt.

Den dokumenterade Heartbeat-kanalen använder krypterad TLS till 52.5.76.173 över TCP 8347. Central tillhandahåller certifikat som gör att brandväggen kan koppla endpoints till rätt organisation; en öppen port upprättar inte ensam detta förtroende. Kontrollera dessa topologibegränsningar innan en saknad status felsöks:

• En VPN som upprättas före heartbeat-anslutningen kan leda trafiken förbi den lokala brandväggen. För Sophos Connect IPsec kontrolleras Remote access VPN > IPsec > Advanced settings > Send Security Heartbeat through tunnel mot den avsedda anslutningspolicyn.
• Bakom en mellanliggande router utan NAT kan en endpoint fortfarande dela sin hälsostatus, men brandväggen kan inte upptäcka en saknad heartbeat. Att en hälsostatus visas bevisar inte att Missing-övervakningen fungerar längs den vägen.
• Bakom en NAT-gateway kan endpoints inte dela sin hälsostatus med brandväggen. Detta är en annan begränsning än vid routning utan NAT.
• I TAP-läge måste endpoints kunna nå minst ett ständigt anslutet gränssnitt i LAN-zonen. Enbart speglad trafik räcker inte: endpoints får LAN-gränssnittens adresser via Central och försöker skicka sin heartbeat till en av dem.

Tolka hälsostatus utan att förutsätta automatisk isolering

Connected (green) är endpointens rapporterade friska status, inte en garanti för att alla hot har uteslutits. Warning (yellow) kan indikera en PUA, inaktiv eller borttagen skadlig kod, eller signaturer som inte har uppdaterats på 24 timmar. At risk (red) kräver utredning, exempelvis vid aktiv skadlig kod som inte kunde tas bort, skadlig nätverkstrafik eller skydd som inte fungerar korrekt. Missing (red) är något annat: brandväggen ser trafik men får ingen motsvarande hälsostatus. Jämför endpoint-händelser innan de två röda etiketterna behandlas som samma incident.

Detaljvyn för röd och gul status visar värdnamn, IP, användare och tid sedan statusen ändrades. En Missing-post kan finnas kvar i Control Center och rapporter efter att endpointen har lämnat nätverket; den ändras när endpointen ansluter igen. Ta inte bort en sådan post bara för att göra dashboarden grön. Den länkade guiden om Missing Heartbeat förklarar insamling av underlag, avvägningar för tidsgränser, det Modern Standby-beteende som stöds och snävt avgränsad rensning. Endpoints skickar sin heartbeat var 15:e sekund. Listor över röda och gula endpoints distribueras var 30:e sekund, och standardtidsgränsen för Missing-detektering är 60 sekunder. Dessa är separata mekanismer. Längre detekterings- eller rapporteringsfördröjningar kan också fördröja verkliga varningar.

Skydd mot lateral förflyttning är ytterligare en separat kontroll: andra endpoints slutar kommunicera med en röd endpoint endast när motsvarande endpoint-policy i Central gäller. Brandväggen delar MAC-adresser och hälsostatus som en Layer-2-proxy inom samma broadcastdomän. Förutsätt inte att detta isolerar endpoints över routade nätverk eller ersätter heartbeat-villkor för trafik som passerar genom brandväggen.

Översikten för SFOS 22 beskriver synkroniserad användaridentitet med domännamn, användarnamn och Active Directory. Översikten för SFOS 23 dokumenterar dessutom User Principal Name (UPN) och kontovalidering mot Active Directory eller Microsoft Entra ID. Tillämpa inte denna SFOS 23-beskrivning på en SFOS 22-installation och förutsätt inte att enbart registreringen konfigurerar identitetsautentisering; kontrollera den faktiska firmwaren och konfigurationen av autentiseringsservern innan identitetsbaserade regler används.

Vad Sophos Fusion inte ersätter

Sophos Fusion är hjälpsamt, men ersätter inte en korrekt brandväggskonfiguration.

Central ersätter inte:

• korrekt zon- och gränssnittsplanering
• restriktiva brandväggsregler
• Device Access-härdning
• MFA för administratörer och portaler
• lokal felsökning med Log Viewer och Packet Capture
• dokumenterade säkerhetskopior och återställningstester
• ett externt Syslog-system om efterlevnad eller lång lagring krävs

Sophos Fusion är alltså ett extra hanterings- och rapporteringslager, men ingen genväg till en säker grundkonfiguration.

Kontrollera innan registrering

Innan anslutning till Sophos Fusion bör man kort klargöra vad som ska uppnås med registreringen. Detta förhindrar senare oklara ansvarsområden, dubbla tenants eller onödigt aktiverade tjänster.

Viktiga förhandsfrågor:

• I vilken Sophos Fusion-tenant ska brandväggen registreras?
• Vem i tenanten har nödvändiga rättigheter för Firewall Management, Reporting, Backup och licensfrågor?
• Är brandväggen redan registrerad i ett annat Central-konto?
• Har brandväggen en aktiv betald prenumeration utöver Base Firewall eller en aktiv Sophos-supportlicens som omfattar Central Firewall Management, till exempel Enhanced Support? Kontrollera den faktiska licensen, inte bara att ett supportavtal finns.
• Har brandväggen en fungerande IPv4-anslutning till internet?
• Ska Central bara användas för licensöversikt och inventering eller även för hantering, rapportering och säkerhetskopior?
• Används brandväggsgrupper, och har rollerna Admin, Helpdesk och Read-only testats praktiskt?
• Får brandväggsloggar skickas till Sophos Fusion ur dataskydds- eller efterlevnadssynpunkt?
• Finns en aktuell lokal säkerhetskopia och en dokumenterad Secure Storage Master Key?
• Är det klart vem som efter registreringen kontrollerar varningar, rapporter och misslyckade uppgifter?

Om brandväggen redan ligger i fel konto bör man först kontrollera Överföra Sophos Firewall till annat Sophos Fusion-konto. För att förstå de olika kontona och portalerna hjälper Sophos Portaler: SophosID, Central, Support och Firewall-åtkomst.

När man inte behöver ansluta brandväggen

En anslutning till Sophos Fusion är inte nödvändig om:

• endast en enskild brandvägg hanteras lokalt
• inga Central-rapporter behövs
• ingen Sophos Endpoint-integration planeras
• molnhantering inte önskas av organisatoriska skäl
• loggar redan skickas till ett eget SIEM eller en Syslog-server

I sådana fall kan man driva brandväggen lokalt. Viktigt är då att organisera säkerhetskopior, firmwareuppdateringar, övervakning och loggning på annat sätt.

När Sophos Fusion rekommenderas

Sophos Fusion rekommenderas särskilt om:

• flera brandväggar hanteras
• administratörer arbetar från olika platser
• brandväggar inte ska vara direkt åtkomliga via WebAdmin från internet
• konfigurationssäkerhetskopior ska lagras centralt
• brandväggsrapportering behövs
• Sophos Endpoint, MDR, XDR eller andra Sophos Fusion-produkter används
• Security Heartbeat och synkroniserad säkerhet ska användas

Aktivera anslutning

Anslutningen ställs in på brandväggen under System > Sophos Central.

Följande arbetsflöden använder engelska UI-etiketter som dokumenterats för SFOS 22 och SFOS 23; det lokala gränssnittet kan fortfarande visa Sophos Central. En lokal brandväggsadministratör behöver åtkomst till denna meny. Central Firewall Management kräver fortfarande en aktiv betald prenumeration utöver Base Firewall eller en aktiv Sophos-supportlicens som ger rätt till funktionen, till exempel Enhanced Support. Enbart Base Firewall räcker inte, och hanteringsvägen via internet fungerar endast över IPv4.

Innan en OTP genereras: Brandväggen måste redan vara konfigurerad och kopplad genom en claim till den avsedda Sophos Fusion-tenanten. Om konfigurationen eller claimen inte är klar, följ först Konfigurera Sophos Firewall, gör en claim och aktivera licenser och kontrollera tilldelningen av enheten och licenserna. Den efterföljande OTP-registreringen ansluter den befintliga brandväggen till Central Management; den gör ingen ägarclaim och aktiverar inga prenumerationer. En partners tilldelning av brandväggen till en kund ersätter inte heller claimen.

Det finns två typiska registreringsmetoder:

• OTP från Sophos Fusion: användbart när en partner, ett projektteam eller en brandväggsadministratör inte ska arbeta på brandväggen med Super Admin-uppgifter för Central-tenanten. I Sophos Fusion läggs den befintliga brandväggen till under My Products > Firewall Management > Firewalls > Add Firewall med serienummer och en OTP genereras.
• Sophos Fusion-uppgifter: användbart när registreringen görs direkt på brandväggen med ett lämpligt administratörskonto i Sophos Fusion. Sophos kallar detta Central Super Admin.

Vid HA-par bör man arbeta särskilt noggrant. Vid OTP-registrering anges båda serienumren i Sophos Fusion; vid nya HA-par används OTP på Primary-enheten.

Generera en OTP i rätt tenant

För en brandvägg som redan är konfigurerad och kopplad genom en claim genereras OTP i Central innan de lokala registreringsstegen påbörjas:

1. Logga in i den avsedda tenanten. En partner tilldelar först brandväggen till rätt kund i Partner Dashboard och öppnar kundens Central Admin-konsol. Kundtilldelningen ersätter inte claimen.
2. Öppna My Products > Firewall Management > Firewalls > Add Firewall och välj Join a firewall that is configured or deployed.
3. Ange det avsedda serienumret i Enter Device Serial Number och klicka på Next. För HA anges båda serienumren separerade med komma; kontrollera dem mot det planerade paret.
4. Låt Register using OTP vara valt och välj Copy OTP and Finish. OTP är giltig i 14 dagar. Dela den endast med den behöriga brandväggsadministratören via den godkända kanalen för delning av hemligheter; inkludera inte OTP, lösenord eller skärmbilder med omaskerade inloggningsuppgifter i ett supportärende.
5. Välj Register > Use OTP på brandväggen, klistra in koden i Enter OTP och klicka på Register. För ett nytt HA-par anges OTP endast på den primära enheten. Aktivera därefter de avsedda Central-tjänsterna och få tjänsterna godkända enligt beskrivningen nedan.

Om OTP har gått ut eller registreringen misslyckas kontrolleras först avsedd tenant, claim, serienummer och IPv4-anslutning. Hämta vid behov en ny OTP från rätt tenant; avregistrera inte upprepade gånger och ändra inte ägarskap för att kringgå felet. Registreringen godtas först när serienumren och tjänstestatusen stämmer överens i båda vyerna.

Det alternativa arbetsflödet med inloggningsuppgifter kräver en Central Super Admin. Ett administratörskonto som tillhör ett Central Enterprise sub-estate kan inte användas för denna registrering. Håll tenantkontot och den lokala brandväggsadministratörsrollen åtskilda; OTP gör att den lokala administratören kan registrera brandväggen utan att få tenantens Super Admin-lösenord.

Typiskt förfarande på brandväggen:

1. Logga in på brandväggen.
2. Öppna System > Sophos Central.
3. Välj Register.
4. Välj Use OTP eller Use email address.
5. Ange OTP eller Sophos Fusion-uppgifter.
6. Slutför registreringen.
7. Aktivera Sophos Central services.
8. Välj önskade tjänster.

Beroende på behov kan dessa alternativ aktiveras:

• Use Sophos Central reporting / Send reports and logs to Sophos Central: skickar logg- och rapportdata till Sophos Fusion.
• Use Sophos Central management / Manage from Sophos Central: tillåter hanteringsåtkomst via Sophos Fusion.
• Send configuration backup to Sophos Central: sparar konfigurationssäkerhetskopior i Sophos Fusion. I praktiken hänger detta alternativ ihop med konfigurationen av Central Management och måste godkännas i Sophos Fusion.

Endast funktioner som verkligen används bör aktiveras. I miljöer med dataskydds- eller efterlevnadskrav bör man först klargöra vilka loggdata som får skickas till Sophos Fusion.

Efter aktivering av tjänsterna måste ett konto med rollen Super admin i den berörda Sophos Fusion-tenanten acceptera tjänsterna i Sophos Fusion:

1. Logga in på Sophos Fusion.
2. Öppna My Products > Firewall Management > Firewalls.
3. Hitta brandväggen med Approval Pending.
4. Välj accept-services.
5. Kontrollera på brandväggen om statusen ändras från Waiting for approval from Sophos Central till Managed eller ansluten.

Statusändringen kan ta några minuter. Om visningen inte ändras direkt, registrera inte flera gånger. Kontrollera först Central-status, internetanslutning, DNS och tid.

Om ett egressfilter finns framför brandväggen måste även relevanta utgående Sophos-tjänster och portar för Central, rapportering och säkerhetskopiering vara nåbara.

Anslut ett HA-par till Central Management

Skilj mellan två utgångslägen innan något ändras. Dokumentera båda serienumren, firmwareversionerna, rollerna primary/auxiliary, lokal HA-status och Central-tjänsternas status. Ha aktuella konfigurationssäkerhetskopior, deras lösenord, Secure Storage Master Key och fungerande lokal administration tillgängliga. Att skapa ett HA-par är en separat underhållsändring, inte en genväg vid felsökning av registrering; Planera och driva Sophos Firewall HA-varianter beskriver konfigurationsägarskap, synkronisering och återställningsplanen.

• Två fristående brandväggar hanteras redan centralt: förbered HA lokalt med den avsedda primary-konfigurationen. Båda enheterna måste köra samma firmwareversion. Sophos dokumenterar både Active-Active och Active-Passive; efter att paret har skapats bör Central visa ett HA-par, inte två oberoende hanteringsmål. Följ arbetsflödet för HA-förberedelser innan synkroniseringen tillåts ersätta auxiliary-konfigurationen.
• Ett HA-par finns men hanteras inte centralt: arbeta på primary-enheten. Den HA-specifika dokumentationen kallar registreringsvyn Central synchronization och åtgärden Register both HA devices. Aktivera Central Management efter registreringen och välj Approval Pending > accept-services bredvid den primära brandväggen i Central med den behöriga Super Admin-användaren. För OTP-metoden används båda serienumren och inmatning endast på primary enligt beskrivningen ovan, i stället för att registrera varje nod separat.

Vänta några minuter och bekräfta därefter att Central visar ett par med en HA-ikon och de avsedda serienumren. Verifiera rollerna primary/auxiliary och synkroniseringen lokalt, liksom hanteringsåtkomst och ett godkänt testflöde i produktionsmiljön. Konfigurationsändringar i Central gäller båda brandväggarna; ett enda visat objekt bevisar inte att bara primary påverkas.

Om vyn fortfarande visar separata eller dubbla objekt jämförs lokal HA-status, båda serienumren, tenant, tjänstegodkännande och Task Queue innan registreringen ändras. Vid en återställning som endast gäller hanteringen återställs de dokumenterade Central-tjänstetillstånden, och lokal åtkomst samt HA-hälsa verifieras. Lös inte upp HA-paret, kör inte installationsguiden igen och tvinga inte fram avregistrering via CLI för att rätta till visningen. Att återställa själva HA-bildningen kräver den separat godkända HA-återställningsplanen; olösta registreringsproblem eller oklar nodomfattning lämnas till Sophos Support tillsammans med det insamlade underlaget.

Avgränsa en blockerad registrering på ett säkert sätt

Vid Approval Pending eller Waiting for approval from Sophos Central ska registreringen inte upprepas och brandväggen inte avregistreras för tidigt. Kontrollera först rätt tenant och serienummer, godkännandet av en Super admin i den berörda tenanten under My Products > Firewall Management > Firewalls, IPv4-internetåtkomst, DNS, tid och nödvändiga utgående tjänster. För HA måste båda serienumren finnas i Central och OTP anges på primary-noden. Om statusen förblir låst efter korrigering sparas skärmbilder av båda statusvyerna, tidpunkt, serienummer och HA-roller för Sophos Support.

Rensa Synchronized Security-konfigurationen endast som en supportgodkänd åtgärd. Device Console-dokumentationen för SFOS 22 och 23 beskriver system synchronized-security central_registration deregister för att ta bort Synchronized Security-konfigurationen från Sophos Fusion eller Sophos Central när den blockerar registrering eller avregistrering. Det avsedda fallet här är en befintlig brandvägg vars registrering fortfarande blockeras av Synchronized Security efter kontrollerna ovan, med orsaken bekräftad av Sophos Support. Detta är varken fullständig avregistrering av enheten via Deregister i nästa avsnitt eller rensning av den interna databasen med SQL. Kommandot ändrar tillståndet; det är inte ett skrivskyddat diagnostiktest eller en generell lösning för Approval Pending.

Före varje körning dokumenteras avsedd och aktuell tenant, enhet och serienummer, exakt SFOS-version inklusive build, registreringsstatus, aktiva Central-tjänster, Security Heartbeat, Synchronized Application Control samt berörda regler och deras nuvarande effekt i supportärendet. För HA inkluderas båda serienumren, rollerna primary/auxiliary, synkroniseringsstatus och den uttryckligen bekräftade omfattningen av berörda noder. Testa och behåll behörig lokal WebAdmin- och konsolåtkomst oberoende av Central-hanteringsvägen. Ha en aktuell lokal säkerhetskopia, dess lösenord och Secure Storage Master Key tillgängliga.

Kör inte utan godkännande för den specifika builden. Sophos Support måste först bekräfta att konfigurationsrensningen är lämplig i detta fall, den förväntade påverkan på registrering, tjänster, Heartbeat-beroende trafik och HA samt återställningsförfarandet, inklusive eventuell registrering och godkännande av tjänster. Den dokumenterade syntaxen garanterar varken oförändrade tjänster eller att det tidigare tillståndet kan återställas reversibelt; en säkerhetskopia ensam bevisar inte heller denna återställningsväg. Om påverkan, nodomfattning eller återställning är oklar ska körningen skjutas upp och ärendet fortsätta hos supporten. Ersätt inte åtgärden med SQL-ändringar eller framtvingad fullständig avregistrering.

Efter en uttryckligen godkänd åtgärd kontrolleras enligt supportplanen registreringen i rätt tenant och båda statusvyerna, avsedda tjänster och oberoende lokal åtkomst. Kontrollera också Security Heartbeat med den hanterade pilotendpointen, applikationsidentifiering där det är relevant, berörda reglers effekt, produktionstrafik, loggar samt vid HA roller och synkronisering. En åter synlig brandvägg är inte i sig ett bevis på att åtgärden lyckats. Vid avvikelser sparas tillståndet och den godkända återställningsplanen följs med Sophos Support i stället för att köra kommandot igen.

Ändra Central-tjänster eller avregistrera

Att stänga av Security Heartbeat, Synchronized Application Control eller Sophos Central management avregistrerar inte brandväggen från Central. Tjänsterna är dock inte oberoende: att stänga av Security Heartbeat stänger även av Synchronized Application Control, och endpoints och brandväggen slutar utbyta information om hälsostatus. En Heartbeat-paus påverkar därför mer än en tjänst.

Före ändringen dokumenteras tidigare på/av-status för både Security Heartbeat och Synchronized Application Control, samt status för den berörda tjänsten, under System > Sophos Central. Stäng därefter av den avsedda tjänsten, spara och kontrollera både de berörda tjänsternas status och att brandväggen fortfarande är registrerad.

För att återställa ändringen återställs den berörda tjänsten och båda dokumenterade tillstånden, och en Super admin i den berörda tenanten accepterar ett eventuellt nytt tjänstegodkännande i Central. Kontrollera Security Heartbeat och Synchronized Application Control uttryckligen var för sig, i stället för att anta att enbart aktivering av Heartbeat återställer båda korrekt. Om Heartbeat tidigare var aktivt används en hanterad pilotendpoint för att kontrollera aktuell hälsostatus och motsvarande Connected-räknare i Control Center enligt beskrivningen ovan. Om Synchronized Application Control tidigare var aktivt kontrolleras även applikationsidentifieringen under Applications > Synchronized Application Control med pilotendpointen; Använd Application Control på ett riktat sätt beskriver det relevanta verifieringsförloppet.

Fullständig avregistrering är ett separat, planerat steg i livscykeln:

1. Skapa en aktuell lokal konfigurationssäkerhetskopia och ha lösenordet och Secure Storage Master Key tillgängliga. Dokumentera tenant, serienummer, aktiva tjänster, brandväggsgrupper, väntande uppgifter, rapportering och Central-säkerhetskopior. Vid HA noteras båda noderna och deras roller.
2. Testa lokal WebAdmin-åtkomst med ett behörigt konto. Slutför väntande Central-uppgifter eller dokumentera deras status och välj ett underhållsfönster. Använd inte Central-backuper som enda återställningsväg, eftersom de tas bort när brandväggen tas bort från Central Management.
3. Öppna System > Sophos Central på brandväggen och välj Deregister. Använd inte odokumenterade Device Console- eller Advanced Shell-kommandon som genväg.
4. Kontrollera lokalt att brandväggen inte längre visas som Central-hanterad. Kontrollera enhetsobjektets status under My Products > Firewall Management > Firewalls; ett kvarvarande objekt är inte samma sak som en fungerande registrering. Kontrollera därefter lokal åtkomst, produktionstrafik, loggning och, vid HA, klusterstatus.

För att återställa ändringen registreras brandväggen igen via det normala OTP- eller superadminflödet, en Super admin i den berörda tenanten accepterar de nödvändiga tjänsterna i Central och de tjänstespecifika testerna upprepas. Om Deregister saknas, avregistreringen förblir låst eller HA-omfattningen är oklar ska den inte tvingas via CLI. Lämna de sparade tillstånden till Sophos Support.

Kontrollera efter anslutning

Efter registreringen bör man inte bara kontrollera om brandväggen är synlig i Sophos Fusion. Avgörande är om de aktiverade tjänsterna verkligen fungerar och om ansvarsområdena är tydliga.

Meningsfull efterkontroll:

1. Kontrollera i Sophos Fusion om modell, serienummer och licensstatus visas korrekt.
2. Kontrollera på brandväggen under System > Sophos Central om de önskade tjänsterna är aktiva och anslutna.
3. Om Manage from Sophos Central används, öppna My Products > Firewall Management > Firewalls i Central och klicka på brandväggens namn för att öppna dess WebAdmin-konsol. Vänta några sekunder och verifiera åtkomsten med den avsedda administratörsrollen; håll den fungerande lokala administrationsvägen tillgänglig under testet.
4. Om rapportering är aktiv, kontrollera i Log Viewer och i Sophos Fusion om aktuella händelser kommer fram.
5. Om molnsäkerhetskopior är aktiva, konfigurera schemalagd säkerhetskopiering och dokumentera den senaste lyckade säkerhetskopieringstidpunkten.
6. Kontrollera varningar, roller och ansvarsområden i Sophos Fusion.
7. Om ändringar distribueras via Central, kontrollera Central Firewall Management Task Queue.

Särskilt vid flera brandväggar bör registreringen finnas med i den interna dokumentationen: tenant, serienummer, plats, aktiv Central-tjänst, rapporteringslagring, säkerhetskopieringsintervall och ansvarig person.

Verifiera Central-tjänster separat

Efter registreringen räcker det inte att bara kontrollera den globala Central-statusen. De enskilda tjänsterna har olika felbilder och behöver därför egna acceptanstester.

• Registrering och inventering: brandväggen visas i rätt tenant, och serienummer, modell, licens och plats stämmer.
• Manage from Sophos Central: åtkomst via Central fungerar med avsedd administratörsroll, utan att WebAdmin i onödan är öppet från WAN.
• Central Reporting: en medvetet utlöst händelse visas i Report Hub med rätt brandvägg, tid, regel-ID eller loggtyp.
• Central-säkerhetskopior: en schemalagd eller manuell säkerhetskopia slutförs korrekt, och intervall, lösenord och Secure Storage Master Key är dokumenterade.
• Backup-lagring: de fem senaste Central-backuperna och en eventuell permanent sparad backup är kända. Vid HA är det tydligt att Primary skapar backupen.
• Backup-varningar: misslyckade Central-backuper genererar varningar och e-postmeddelanden som kontrolleras av en ansvarig person.
• Central Tasks: efter en Central-ändring kontrolleras Task Queue tills uppgiften har slutförts eller eskalerats korrekt.
• Security Heartbeat: Sophos Fusion visar den förväntade pilotstatusen och motsvarande räknare i Control Center är rimlig. Regelbaserade begränsningar testas stegvis först efter denna baslinje.
• Varningar och ansvar: det är tydligt vem som regelbundet kontrollerar misslyckade uppgifter, backup-problem, luckor i rapporteringen och licensvarningar.

Denna separering förhindrar ett typiskt driftfel: en brandvägg kan vara synlig i Sophos Fusion medan rapportering, säkerhetskopior eller Central-uppgifter ändå inte fungerar korrekt.

Vanliga fel

Brandväggen är registrerad i fel Central-konto

Detta händer ofta vid leverantörsbyten, testkonton eller flera historiska SophosID-konton. I detta fall bör man inte bara försöka registrera brandväggen en andra gång. Klargör först var brandväggen ligger, vem som har åtkomst till tenanten och om en kontoöverföring är nödvändig.

Central Management förväxlas med lokal WebAdmin

Manage from Sophos Central är en extra åtkomstväg. Den lokala WebAdmin Console, lokala administratörsanvändare, MFA, Device Access och SSH förblir självständiga säkerhetskontroller. Särskilt viktigt är att WebAdmin inte lämnas åtkomlig från WAN enbart för att Central Management ännu inte har testats.

Central-vyn valideras inte lokalt

För gruppolicyer, HA-kluster, WAF-regler och firmwareuppgifter ska Central inte behandlas som den enda sanningen. Central kan visa att en ändring är planerad, tillämpad eller synlig. Avgörande är om den berörda brandväggen har bearbetat ändringen och om den faktiska trafiken eller tjänsten fungerar efteråt.

Praktiskt innebär det: kontrollera Task Queue, lokal WebAdmin-vy, Log Viewer och vid behov Audit Trail efter Central-ändringar. Om Central-gränssnittet bara laddar, ett HA-par verkar visas dubbelt eller en gruppregel inte kan flyttas är det inte automatiskt ett problem med en brandväggsregel.

Rapportering är aktiverad, men inga användbara data kommer fram

Då bör man först kontrollera om Send reports and logs to Sophos Central är aktivt, om de relevanta loggtyperna är påslagna och om brandväggen kan nå Central. Kontrollera därefter detaljpunkterna för loggval, lagring och rapporter i artikeln Aktivera Central Firewall Reporting.

Molnsäkerhetskopiering förstås som den enda säkerhetskopieringen

Central-säkerhetskopior är praktiska, men de ersätter inte en fullständig återställningsplanering. För kritiska platser bör det dessutom vara klart var lokala säkerhetskopior finns, vem som känner till säkerhetskopieringslösenordet, om Secure Storage Master Key är dokumenterad och hur en återställning eller ominstallation skulle gå till.

Ingen kontrollerar Central Tasks och Alerts

Central hjälper bara om meddelanden och misslyckade uppgifter också hanteras. Särskilt vid gruppolicyer, firmwareuppgifter, rapportering och säkerhetskopior bör det vara klart vem som kontrollerar varningar och hur fel eskaleras internt.

Vanliga frågor