Öppna Sophos-supportärende: förberedelse och portal

Ett supportärende hos Sophos blir snabbare användbart om den viktigaste informationen är ordentligt förberedd redan när ärendet öppnas. För Sophos Firewall gäller det framför allt serienummer, modell, firmwareversion, licensstatus, tidpunkt för felet, berörd funktion, loggar, skärmbilder och redan kontrollerade steg.

Den här guiden beskriver när ett Sophos Support Case är meningsfullt, vilka uppgifter som bör förberedas och hur ärendet öppnas spårbart i Sophos Support Portal. För att förstå de olika Sophos-åtkomsterna passar även Sophos-portaler: SophosID, Central, support och firewall-åtkomster.

När ett Sophos-supportärende är meningsfullt

Ett Sophos-supportärende är meningsfullt när ett problem inte längre kan klaras upp lokalt enbart med konfiguration, loggar eller kända driftprocesser.

Typiska fall:

• hårdvarufel, RMA eller misstänkt defekt appliance
• licens- eller kontoproblem med konkret serienummer
• firmware-, hotfix- eller uppgraderingsproblem
• återkommande servicekrasch eller oklart systemtillstånd
• VPN-, WAF-, HA-, RED- eller routingproblem efter egen avgränsning
• fel som efter loggar och reproduktion ser ut som ett produktproblem
• supportförfrågan där Sophos behöver åtkomst till interna analysdata

Innan ett ärende öppnas bör de uppenbara lokala kontrollerna göras. För Sophos Firewall betyder det inte att allt redan måste vara löst. Men ju mer exakt utgångsläge, tidsfönster och berörd funktion beskrivs, desto färre följdfrågor uppstår.

Vad Sophos Support inte ersätter

Enhanced Support är inte en kostnadsfri konfigurationstjänst. Ett Sophos-supportärende bör öppnas när en funktion i brandväggen inte längre fungerar korrekt eller när ett konkret produkt-, licens-, hårdvaru- eller programvarufel misstänks.

Ett Sophos-supportärende är inte meningsfullt när det bara saknas kunskap för en önskad konfiguration. Typiska exempel är:

• planera en ny VPN-topologi
• strukturera firewall-regler rent
• konfigurera NAT eller WAF för en ny tjänst
• granska HA-design
• bedöma routingkoncept eller VLAN-arkitektur
• bygga om befintlig konfiguration enligt best practices

I sådana fall är Avanet Support rätt kontakt. Brandväggen kan då kontrolleras, planeras eller konfigureras enligt önskemål inom Avanets supportvillkor. Sophos Support hjälper däremot främst med tekniska produktfall där en funktion inte fungerar trots korrekt konfiguration, eller där en appliance, licens eller cloud-tilldelning har ett problem.

Enhanced Support, Incident Levels och måltider

Enhanced Support förbättrar supportanspråket och svarsmålen, men ersätter inte en tydlig problembeskrivning. Måltiderna är svarsmål, inte garanterade lösningstider. Ett komplext VPN-, HA- eller routingproblem kan trots snabbt första svar ta längre tid om loggar, reproduktion eller fjärråtkomst saknas.

Följande värden är vägledande för Enhanced Support:

• P1: totalt produktionsavbrott eller större säkerhetsincident utan praktisk workaround. 30 minuter
• P2: stark produktionspåverkan, flera användare eller kritiska tjänster berörda. 2 timmar
• P3: tekniskt problem med begränsad påverkan eller befintlig workaround. 4 timmar
• P4: låg påverkan, allmän teknisk fråga eller ej tidskritiskt problem. 24 timmar

Sophos använder dessutom Severity-nivåer i supportprocessen. Beroende på region, supportanspråk och typ av ärende kan dessa beteckningar och målvärden visas annorlunda i portalen:

• Critical: allvarligt produktionsavbrott, ingen workaround, omedelbar hantering krävs. 4 timmar, med 24/7-hantering där det är tillgängligt
• High: betydande påverkan på produktionssystem. 8 arbetstimmar
• Medium: begränsad funktion, workaround möjlig eller begränsad påverkan. 24 arbetstimmar
• Low: låg påverkan, allmän fråga eller planeringsämne. 24 arbetstimmar

Severity bör väljas ärligt efter faktisk påverkan. En för hög klassificering utan motsvarande impact hjälper sällan, eftersom Sophos i ärendet frågar efter påverkan, reproducerbarhet och berörda tjänster. Om ärendet är affärskritiskt bör beskrivningen tydligt visa det: berörda platser, antal användare, saknad workaround, tidpunkt, redundansstatus och redan kontrollerade åtgärder.

Förutsättningar

För ett tekniskt supportärende behövs vanligtvis:

• SophosID för Support Portal
• giltig licens eller aktivt supportanspråk
• berört serienummer eller kontotilldelning
• vid partnerfall: kundtilldelning och relevant licens eller serienummer
• produkt och modell, till exempel Sophos Firewall XGS eller virtuell firewall
• firmwareversion och build
• kort felbeskrivning med påverkan
• tidsfönster för problemet med tidszon
• tillgängliga loggar, skärmbilder eller felmeddelanden

Sophos kontrollerar licens- och serienummertilldelning i supportärenden. Utan passande licens eller serienummer kan ett case gå till Customer Care för validering. Det fördröjer den tekniska hanteringen. Om en partner öppnar ärendet för en kund måste även kundtilldelning och berörd licens eller serienummer anges tydligt. Om Avanet ska hantera supportärenden för en kunds räkning måste kunden ge Avanet motsvarande partneråtkomst.

Firewallens serienummer finns direkt i SFOS-dashboarden. Förloppet beskrivs i Hitta serienumret för Sophos Firewall.

Om förfrågan gäller ett hårdvarufel bör även artikeln Vad gör man vid ett tekniskt fel på Sophos-hårdvara? kontrolleras.

Bedöma supportvägar

Sophos erbjuder flera vägar till support. Alla vägar passar inte lika bra för samma syfte.

• Sophos Support Portal: spårbara tekniska Support Cases, bilagor, RMA, längre analys
• Telefon: brådskande uppföljning med befintligt ärendenummer eller kontakt vid åtkomstproblem
• Digital Chat: snabb orientering, portalfrågor eller allmänna supportfrågor
• Sophos Community: icke-konfidentiella frågor, kända felbilder, utbyte med andra administratörer
• Sophos TechVids och Docs: how-to-ämnen, konfiguration och kända förlopp

För tekniska firewall-fall är Support Portal oftast bästa ingången, eftersom ärendenummer, historik och bilagor förblir spårbara där. Telefon eller chat är särskilt användbara när ett befintligt ärende behöver prioriteras brådskande eller ett portalproblem måste klaras upp.

Aktuella kontaktvägar och telefonnummer finns på den officiella Sophos Support-kontaktsidan. Den allmänna supportöversikten finns fortsatt under Sophos Support.

Förbereda konto och partneråtkomst

För Support Portal behövs SophosID. Kontot bör passa till företaget, licensen eller Sophos Central-tenanten så att de berörda produkterna syns. Om brandväggen sköts via en partner bör det före själva supportärendet vara klart om partnern får hantera cases.

Om Avanet ska följa ett case för en kunds räkning eller kommunicera med Sophos måste åtkomst till kundtilldelningen i Sophos Support Portal tillåtas. Sophos beskriver detta steg under Allow a Sophos Partner to manage your account.

Praktiskt betyder det:

1. Kontrollera SophosID.
2. Ha berörd licens eller serienummer redo.
3. Om Avanet ska hjälpa till, förbered partneråtkomst i Sophos-portalen.
4. Om Sophos behöver fjärråtkomst, förbered Support Access på brandväggen.

Förbereda före ärendet

Ett Support Case bör formuleras så att supporten kan bedöma problemet utan gissningar.

Tekniska nyckeldata

För Sophos Firewall bör dessa uppgifter finnas:

• serienummer
• modell eller plattform
• firmwareversion och build
• licensstatus eller supportplan, om relevant
• HA-status, om brandväggen ingår i ett kluster
• berörd funktion, till exempel IPsec, SSL VPN, WAF, RED, Web Protection eller Reporting
• exakt tid för felet med tidszon
• berörda användare, nät, platser eller tjänster
• senaste ändringar före problemet

Vid HA-kluster bör båda noderna dokumenteras tydligt. För bedömning av roller, serienummer och HA-drift passar Sophos Firewall HA-klustervarianter och drift.

Reproduktion och påverkan

Beskrivningen bör inte bara säga att något inte fungerar. Bättre är en kort, kontrollerbar framställning:

• Vad förväntades?
• Vad händer i stället?
• Sedan när uppstår problemet?
• Är problemet permanent eller sporadiskt?
• Hur kan det reproduceras?
• Vilka användare eller tjänster berörs?
• Finns det en workaround?
• Hur kritisk är påverkan på driften?

Om ett ärende bara består av en skärmbild och en mening måste supporten nästan oundvikligen ställa följdfrågor. Det kostar tid, särskilt vid VPN-, routing- eller HA-problem.

Loggar och bilagor

Vid firewall-problem är loggar ofta viktigare än långa antaganden. Om problemet är reproducerbart bör feltidsfönstret dokumenteras så exakt som möjligt och därefter bör lämpliga loggar säkras.

Beroende på problemet är detta hjälpsamt:

• skärmbild av felmeddelandet
• Log Viewer-skärmbild med filter
• relevanta serviceloggar
• Packet Capture eller tcpdump om paketflödet är oklart
• firmware- eller licensskärmbild
• kort nätplan eller berörda IP-adresser om routing är involverat
• beskrivning av redan kontrollerade regler, NAT-objekt eller VPN-parametrar

För fullständiga loggarkiv är Säkra Sophos Firewall-loggar för support och analys rätt förlopp. Vilken loggfil som hör till vilken modul sammanfattas i Tilldela Sophos Firewall-serviceloggar korrekt.

Alla bilagor besvarar inte samma fråga:

• Vilken regel eller modul fattade beslutet?: Log Viewer-export, Rule ID, NAT ID, berörd tidsperiod
• Vilken tjänst rapporterar fel?: relevanta serviceloggar eller fullständigt /log-arkiv
• Kommer trafiken fram och går vidare?: Packet Capture i WebAdmin
• Behöver supporten en PCAP-fil?: avgränsad tcpdump-inspelning, separat från loggarkivet
• Utlöste en ändring problemet?: audit trail, ändringstidpunkt, berörda objekt

Ett brett loggarkiv utan feltidpunkt är ofta mindre hjälpsamt än ett mindre datapaket med exakt tid, tydlig reproduktion och passande inspelning. Vid paketflödesproblem bör PCAP-filen hanteras separat från loggarkivet, så att det i ärendet är tydligt vilken fil som innehåller serviceloggar och vilken fil som innehåller nätverkspaket.

⚠️ Loggar, skärmbilder och Packet Captures kan innehålla interna IP-adresser, publika IP-adresser, användarnamn, hostnamn, certifikatdetaljer eller annan konfidentiell information. Före uppladdning måste det vara klart vem som får datan och om den först måste rensas.

Consolidated Troubleshooting Report

Vid enhets- eller systemproblem kan Sophos kräva en Consolidated Troubleshooting Report. I brandväggen finns den under Diagnostics > Tools. Rapporten samlar diagnostikinformation och relevanta loggdata i ett komprimerat arkiv.

En sådan rapport är särskilt hjälpsam vid:

• servicekrascher
• oklara systemtillstånd
• återkommande fel efter uppdateringar
• problem som Sophos inte kan bedöma enbart utifrån en skärmbild
• supportfall där flera moduler kan vara berörda

Rapporten ersätter dock inte en bra felbeskrivning. Tid, tidszon, berörd funktion och reproduktionssteg måste ändå stå i ärendet.

Support Access och Remote Assistance ID

Vid firewall-fall kan Sophos fråga efter en Remote Assistance ID eller aktiverad Support Access. Därmed kan Sophos få tidsbegränsad åtkomst till brandväggen om det behövs för analysen.

Support Access bör bara aktiveras när den behövs för det konkreta fallet. Efter att supportärendet avslutats bör åtkomsten inaktiveras igen eller åtminstone kontrolleras. För det praktiska förloppet passar Frige Sophos Firewall Support Access för Avanet. Den officiella Sophos-dokumentationen beskriver det allmänna förloppet under Support access.

I ärendet bör man ange:

• om Support Access redan är aktivt
• Remote Assistance ID, om det finns
• hur länge åtkomsten har frigetts
• om MFA eller ACL-regler påverkar åtkomsten
• om det finns ett underhållsfönster för tester

Öppna ärende i Sophos Support Portal

Sophos Support Portal nås här:

➜ Sophos Support Portal

Logga in med SophosID. Beroende på portalversion kan gränssnittet se lite annorlunda ut, men grundidén är densamma: skapa ett nytt Technical Support Case, välj produkt, beskriv problemet och ladda upp bilagor.

Förloppet är normalt:

1. Logga in i Support Portal.
2. Öppna Support Cases.
3. Skapa ett nytt Technical Support Case.
4. Välj account, kontakt, Severity, ämne och produktkategori.
5. Beskriv problem och påverkan.
6. Svara på produktspecifika följdfrågor.
7. Ange serienummer eller licensnummer.
8. Bifoga loggar, skärmbilder, CTR eller PCAP-filer.
9. Skicka case och dokumentera ärendenumret internt.

I formuläret bör problemet beskrivas kort men fullständigt. Ett meningsfullt ämne är viktigt. Ett ämne som IPsec VPN fails after SFOS 22.0 MR1 upgrade on XGS 2100 är betydligt bättre än VPN problem.

Om ett fält inte kan besvaras är Not Applicable ofta bättre än ett tomt fält. Tomma obligatoriska fält leder annars snabbt till frågor eller fördröjer tilldelningen.

Vad beskrivningen ska innehålla

En bra beskrivning är tillräckligt kort för att läsa och tillräckligt konkret för att arbeta med.

Praktisk mall:

Product:
Serial number:
License number:
Model:
Firmware version:
Support plan:
Impact:
Start time and time zone:
Affected users/sites/services:
Recent changes:
Expected behavior:
Actual behavior:
Steps to reproduce:
Checks already performed:
Remote Assistance ID:
Attachments:

Vid firewall-regel-, NAT- eller VPN-problem bör dessutom anges:

• source- och destination-nät
• berörd service eller port
• förväntad firewall-regel
• NAT-regel, om involverad
• VPN-tunnel eller Remote Access-profil
• Log Viewer-resultat
• Packet Capture eller tcpdump-PCAP om paketflödet är relevant
• Support Access ID om Sophos behöver fjärråtkomst

För regelanalyser kan Testa firewall-regel med Log Viewer, Policy Test och Packet Capture hjälpa innan Support Case öppnas.

RMA och hårdvarufel

Vid hårdvarufel behöver Sophos ytterligare information för RMA-hanteringen. Det handlar inte bara om felbeskrivning och serienummer, utan också modell, revision, firmware, licens, HA-status och leveransinformation.

Förbered:

• defekt produkt och modell
• serienummer för den berörda enheten
• firmwareversion
• licensnummer eller licenstilldelning
• felbild och redan kontrollerade punkter
• Dead on arrival, om enheten är berörd direkt efter leverans
• HA-kluster: ja eller nej
• leveransadress och kontaktperson
• telefonnummer och e-postadress
• särskilda leveransinstruktioner

Vid firewalls bör det dessutom kontrolleras om en aktuell backup finns och hur ersättningsfirewallen ska återställas. För backup och restore passar Backup och restore på Sophos Firewall.

För RMA-fall bör man följa det aktuella Sophos Support Portal och återkopplingen i ärendet. Community-inlägg eller äldre processbeskrivningar kan verka hjälpsamma, men är inte avgörande om Sophos i det konkreta caset begär andra uppgifter.

Följa upp och eskalera

Efter öppnandet bör en bekräftelse med ärendenummer komma via e-post. Detta ärendenummer hör hemma i all senare kommunikation.

Om ett kritiskt fall inte går framåt snabbt nog bör man inte öppna ett andra ticket. Dubbletter skapar mer koordination och kan snarare bromsa hanteringen.

Bättre är:

1. ha befintligt ärendenummer redo
2. beskriva impact och brådska konkret
3. komplettera med saknade loggar eller svar
4. följa upp via telefon eller Digital Chat med ärendenummer
5. eskalera i befintligt case om ett målvärde inte uppnåddes
6. dokumentera internt vem som gav vilken återkoppling

En eskalering bör vara motiverad. Rimliga skäl är till exempel:

• målsvarstid har överskridits.
• produktionsavbrottet pågår fortfarande.
• ingen reaktion trots kompletterad information.
• fel tilldelning eller olämplig produktkategori.
• case blockerar en planerad återställnings- eller underhållsprocess.

Eskaleringen bör alltid beskriva aktuell affärspåverkan. En mening som We need an update är svagare än ett konkret påstående som The main site-to-site VPN between headquarters and production is still down, 80 users cannot access ERP, no workaround is available.

Vid allvarliga säkerhets- eller avbrottsfall bör det dessutom kontrolleras om andra support- eller incident response-processer gäller. Ett normalt tekniskt ticket är inte automatiskt en fullständig incident response-process.

Checklista

• SophosID fungerar.
• Licens och supportanspråk är klarlagda.
• Serienummer, modell och firmwareversion är dokumenterade.
• Feltidpunkt med tidszon är känd.
• Påverkan på användare, tjänster eller plats är beskriven.
• Senaste ändringar har noterats.
• Reproduktion eller felbild är spårbar.
• Relevanta loggar och skärmbilder är förberedda.
• Packet Capture eller tcpdump-PCAP är bara förberett vid paketflödesproblem.
• Konfidentiella data i bilagor har kontrollerats.
• Vid RMA: leveransinformation och HA-status är förberedda.
• Ärendenummer dokumenteras internt.

FAQ