Ansluta till Sophos Firewall via SSH

För många support- och felsökningsuppgifter behöver du tillgång till Sophos Firewall via SSH. Dessa inkluderar till exempel logganalyser, serviceomstarter, speciella diagnoskommandon eller arbete i Advanced Shell.

Men SSH är också en managementaccess med hög risk. Åtkomst bör därför endast tillåtas från pålitliga administratörsnätverk, via en riktad Local Service ACL-undantagsregel eller via tydligt definierad supportåtkomst. För generell härdning av lokala brandväggstjänster är Konfigurera Device Access korrekt också lämpligt.

Krav

För en SSH-anslutning till Sophos Firewall behöver du:

• Administrativ åtkomst till Sophos Firewall.
• Brandväggens IP-adress eller DNS-namn.
• Tillgång till användaren admin.
• Ett ändrat och säkert dokumenterat lösenord för standardadministratören; fabrikslösenordet får inte fortsätta användas i produktion.
• En pålitlig administratörskälla, till exempel hanteringsnätverk, VPN eller fast admin-IP.
• På macOS eller Linux: den förinstallerade Terminal-appen med SSH.
• På Windows: Windows Terminal med OpenSSH eller PuTTY.
• Tillåten SSH-åtkomst under Administration > Device access eller via en Local service ACL exception rule.
• För planerade ändringar i Advanced Shell: backup, underhållsfönster och rensa återställningsväg.

⚠️ SSH bör endast tillåtas från betrodda nätverk. För produktiva miljöer är det bättre att begränsa åtkomsten till ett hanterings-IP eller adminnätverk i stället för att släppa SSH generellt.

Fastställa vad SSH behövs för

Inte varje analys behöver Advanced Shell. Innan du loggar in bör det vara klart vilken konsol som krävs och hur allvarligt ingreppet är.

• Routing, DNS, Ping, enkla systemkommandon: Device Console. Sophos CLI, mindre riskabel än Advanced Shell.
• Läs loggfiler, tail, grep, less: Advanced Shell. Skrivskyddad, ändra eller ta inte bort filer.
• Kontrollera tjänstens status eller felsök: Advanced Shell. Aktivera bara debug specifikt och inaktivera det igen.
• Utför okända kommandon: Kontrollera först eller öppna ett supportärende. Försök inte i produktionssystemet.

Skillnaden är viktig eftersom Device Console och Advanced Shell använder olika syntax. Många fel uppstår helt enkelt för att ett korrekt kommando har skrivits in på fel ställe. En bredare översikt finns i Sophos Firewall Felsökning: Services och loggar.

Tillåta SSH-åtkomst till brandväggen

För att en anslutning ska vara möjlig måste Sophos Firewall tillåta SSH på lämplig zon eller via en Local Service ACL undantagsregel.

1. Logga in på webbadministratören för Sophos Firewall.
2. Öppna Administration.
3. Välj Device access.
4. Kontrollera om SSH är tillåtet för den önskade zonen.

För interna administrationsnätverk kan SSH aktiveras direkt för lämplig zon, till exempel för LAN. Om åtkomsten ska begränsas mer specifikt, är en Local Service ACL-undantagsregel meningsfull.

Device Access styr åtkomst till själva brandväggen. Detta är inte samma sak som en vanlig brandväggsregel som tillåter trafik genom brandväggen. Om SSH i Device Access är aktiverat för brett kan en klient nå brandväggens lokala SSH-tjänst även om en klassisk LAN-to-WAN-regel är korrekt konfigurerad.

Det är också viktigt att skilja SSH från den webbaserade CLI Console: en SSH-klient behöver SSH-åtkomst via TCP 22. Om CLI Console öppnas från WebAdmin-menyn måste däremot HTTPS vara tillåtet för den aktuella zonen.

I fallet med ett ACL-undantag bör värdena sättas så snävt som möjligt:

• Rule position: undantagets position i Local Service ACL
• IP version: IPv4 eller IPv6 som matchar adminkällan och destinationsadressen
• Source zone: zonen från vilken administrationen sker
• Source Network / Host: administratörs-IP eller hanteringsnätverk
• Destination host: brandväggens IP eller det gränssnitt som ska administreras, om åtkomsten även kan begränsas till en konkret destinationsadress
• Services: SSH
• Action: Accept

SSH ska inte vara tillgänglig okontrollerat från Internet. Om extern åtkomst är nödvändig bör detta endast tillåtas via en tydligt definierad käll-IP, VPN eller dedikerad supportåtkomst.

Diagnostics > Support access är en separat mekanism. Den öppnar inte bara SSH från internet, utan ger Sophos Support tillfällig åtkomst via en supportkanal som brandväggen etablerar. Även denna åtkomst bör tidsbegränsas och stängas av efter supportärendet.

När Support access aktiveras väljer man en varaktighet; därefter genererar brandväggen ett unikt access ID för Sophos Support. Sophos Support kan använda det för åtkomst till WebAdmin och shell utan vanliga administratörsuppgifter. Brandväggen etablerar själv anslutningen till Sophos Support via TCP 22; operativt är det något annat än att tillåta inkommande SSH från WAN.

Lägga till en publik nyckel för admin

För SSH-åtkomst är autentisering med publik nyckel den föredragna metoden. På Sophos Firewall kan den publika nyckeln för användaren admin lagras under Administration > Device access. Lösenordsinloggning kan vara nödvändig i nödsituationer, men bör inte förbli den mest bekväma standardåtkomsten.

⚠️ En SSH-inloggning till Sophos Firewall är endast möjlig med användaren admin. Andra WebAdmin-användare kan inte logga in via SSH.

Viktigt: Endast standardadministratören kan ändra autentiseringen av den offentliga nyckeln för SSH, d.v.s. lägga till eller ta bort nycklar. För operationer betyder detta: Nyckeländringar hör hemma i en dokumenterad adminprocess och ska inte behandlas som en spontan supportgenväg.

Standardadministratören är inte ett vanligt rollkonto som bara kan ersättas. Sophos anger att kontot inte kan döpas om eller tas bort. Standardadministratörens lösenord, MFA- eller återställningsinformation för interaktiva administratörsinloggningar och lagrade publika SSH-nycklar bör därför hanteras tillsammans i den administrativa driftprocessen. En publik nyckel ersätter inte korrekt hantering av kontot.

Namngivna WebAdmin-administratörer hanteras separat och kan inte logga in via SSH med sina egna användarnamn. Hantera lokala administratörer och Device Access-profiler enligt principen om minsta behörighet beskriver livscykeln och behörigheterna för dessa konton.

Den publika nyckeln läggs till i området Public key authentication for admin:

1. Öppna Administration.
2. Välj Device access.
3. Bläddra till området Public key authentication for admin.
4. Aktivera Enable authentication.
5. Lägg till den publika nyckeln under Authorized keys.
6. Spara med Apply.

Den privata nyckeln finns alltid kvar på administratörsklienten och får inte delas. Endast den publika nyckeln lagras på brandväggen.

Om flera administratörer använder SSH ska inte samma privata nyckel delas. Det är bättre att ha separata administratörsklienter, dokumenterade publika nycklar och en genomgång av vilka nycklar som fortfarande behövs. Efter byten av personal eller tjänsteleverantörer bör området Authorized keys kontrolleras.

Nyckeltyper för SSH som stöds

Inte alla moderna SSH-nyckeltyper är lika lämpliga för Sophos Firewall. Innan du rullar ut bör du kontrollera om nyckeltypen stöds.

• RSA: Använd minst 2048 bitar.
• DSA: Minst 2048 bitar, om nödvändigt av kompatibilitetsskäl.
• ECDSA: Stöd; ED25519 accepteras inte för detta ändamål.
• ED25519: För SSH Public Key Authentication, använd inte på Sophos Firewall.

För ny administratörsåtkomst är en korrekt hanterad RSA eller ECDSA-nyckel som stöds vanligtvis mer pragmatisk än en modern nyckeltyp som brandväggen eller ett äldre SSH-verktyg inte accepterar.

Ansluta från macOS eller Linux

En SSH-klient finns vanligtvis redan på macOS och Linux. Anslutningen upprättas i terminalen.

Exempel:

ssh admin@192.0.2.1

192.0.2.1 ersätts av IP-adressen eller DNS-namnet för din egen Sophos Firewall.

När anslutningen upprättas för första gången frågar SSH-klienten om målsystemets fingeravtryck ska accepteras. Detta fingeravtryck bör kontrolleras och sedan bekräftas. Om en varning om en ändrad värdnyckel visas efter en ombild, maskinvarubyte eller IP-ändring, ska det nya fingeravtrycket inte bli blint accepterat. Kontrollera först om samma brandvägg faktiskt har ersatts, installerats om eller flyttats till en ny IP. Först då kan den gamla posten i ~/.ssh/known_hosts rensas upp och det nya fingeravtrycket accepteras.

Beroende på konfigurationen begärs sedan lösenordet för användaren admin eller så utförs inloggningen med den lagrade SSH-nyckeln.

Om en specifik privat nyckel ska användas:

ssh -i ~/.ssh/sophos-admin-key admin@192.0.2.1

För återkommande åtkomst bör nyckelvägen, den tillåtna käll-IP och syftet dokumenteras. known_hosts-posten ska inte kopieras till biljetter eller chatthistorik; För värdnyckelvarningar är ändringshistoriken viktigare än en snabb lösning.

Ansluta med PuTTY

Under Windows kan du antingen använda Windows Terminal med OpenSSH eller använda PuTTY.

Med Windows Terminal fungerar upprättandet av en anslutning på samma sätt som macOS eller Linux:

ssh admin@192.0.2.1

För PuTTY:

1. Öppna PuTTY.
2. Ange IP-adressen eller DNS-namnet för Sophos Firewall under Host Name.
3. Ställ in Port till 22.
4. Ställ in Connection type till SSH.
5. Anslut med Open.
6. Kontrollera och bekräfta SSH-fingeravtrycket.
7. Logga in som användare admin och använd lösenord eller SSH nyckel beroende på konfigurationen.

Efter inloggning visas konsolmenyn för Sophos Firewall.

Om PuTTY används med en privat nyckel måste nyckeln matcha den publika nyckeln som finns lagrad på brandväggen. Efter byte av personal eller tjänsteleverantör bör inte bara lösenordet ändras; gamla offentliga nycklar måste också tas bort från Authorized keys.

Öppna Device Console eller Advanced Shell

Efter lyckad inloggning via SSH visar brandväggen en konsolmeny. Vilket alternativ du väljer beror på vad du vill få gjort.

För många SFOS-kommandon använder du:

4. Device Console

För djupare Linux- eller filsystemuppgifter, använd Advanced Shell via:

5. Device Management
3. Advanced Shell

Advanced Shell erbjuder mycket omfattande åtkomst till systemet. Kommandon ska bara utföras där om det är tydligt vad de gör.

• Device Console: ping, dnslookup, traceroute, show, routing eller systemalternativ.
• Advanced Shell: Läs /log, tail -f, grep, less, service -S, Felsökningsloggar.

För logganalys, tjänstnamn och typiska felmönster är Sophos Firewall Felsökning: Services och loggar en bättre utgångspunkt än att memorera enskilda kommandon.

Avsluta anslutningen

När arbetet är klart bör SSH-sessionen avslutas rent:

exit

Om du befinner dig i en undermeny kan det vara nödvändigt att först växla tillbaka till huvudmenyn och sedan avsluta sessionen.

Sophos Firewall stänger inaktiva SSH-sessioner efter 15 minuter. Det ersätter inte en ren utloggning: öppna sessioner, debug-lägen och tillfälliga åtkomstregler ska ändå stängas eller tas bort medvetet.

Om SSH endast aktiverades tillfälligt för ett supportärende, bör releasen tas bort eller avaktiveras. Detta gäller särskilt för ACL-undantag som kommer från externa käll-IP-adresser eller tjänsteleverantörsåtkomst.

Efter djupa ingrepp bör även följande kontrolleras:

• Är felsökning inaktiverad igen?
• Har en tillfällig undantagsregel för ACL tagits bort eller inaktiverats?
• Fanns det inga tillfälliga filer, supportdumpar eller inspelningar kvar i onödan på brandväggen?
• Dokumenteras loggutdrag, tid, kommando och resultat i biljetten eller ändringen?
• Användes SSH-nyckeln endast för schemalagd administratörs- eller supportåtkomst?

Vanliga problem

Anslutning nekas

Om anslutningen avvisas är SSH vanligtvis inte tillåten på brandväggen för den valda zonen eller källan. I detta fall bör Administration > Device access kontrolleras. Kontrollera dessutom om en ACL-undantagsregel tillåter källan eller om en bredare enhetsåtkomstversion avsiktligt togs bort.

Tidsgräns för anslutningen

En timeout indikerar ofta att brandväggen inte kan nås via den valda IP-adressen, en rutt saknas eller en uppströmsbrandvägg blockerar åtkomst.

Om en brandvägg som ännu inte är färdigkonfigurerad fortfarande använder det fabriksinställda standardlösenordet avvisar SFOS avsiktligt SSH-anslutningar från WAN-zonen utan felmeddelande. Det är en skyddsfunktion. Ändra först lösenordet via en tillåten lokal administrationsväg; bredda inte Device Access eller ACL som en genväg.

Ingen nätverksåtkomst till brandväggen

Om varken WebAdmin eller SSH kan nås bör man inte snabbt öppna ytterligare WAN- eller zonåtkomst. Den renare reservvägen är lokal konsolåtkomst på enheten, till exempel med en konsolkabel eller, på modeller som stöder det, via micro USB. Detta är särskilt viktigt när Device Access, routing eller gränssnittszoner har ställts in fel.

Inloggningen misslyckas

Om inloggningen misslyckas ska användaren admin, lösenordet eller SSH-nyckeln och de tillåtna källnätverken kontrolleras. Typiska meddelanden som Permission denied (publickey,password) indikerar ett felaktigt lösenord, en felaktig privat nyckel eller en saknad offentlig nyckelkonfiguration.

Om inloggningen av den offentliga nyckeln misslyckas, kontrollera dessutom nyckeltyp, nyckellängd, felaktig privat nyckel, PuTTY nyckelformat och posten under Authorized keys. En korrekt tillåten SSH-tjänst hjälper inte om nyckeln inte matchar den lagrade publika nyckeln.

Om standardadministratörens lösenord verkligen har gått förlorat beskriver Återställ adminlösenordet på Sophos Firewall den seriella återställningsvägen utan fullständig Factory Reset. Denna väg gäller fysiska appliances med konsolanslutning; för virtuella brandväggar och cloud-brandväggar måste plattformskonsolen och den återställningsväg som stöds kontrolleras.

Värdnyckelvarning visas

En värdnyckelvarning kan vara ofarlig om en brandvägg har installerats om eller ersatts. Varningen kan också indikera ett felaktigt målsystem eller en sammanblandning av IP-adresser. Kontrollera därför först brandvägg, IP-adress, DNS och ändringshistorik. Först då bör den gamla known_hosts-posten tas bort.

Fel konsol öppnad

Om ett kommando inte känns igen är fel konsol ofta öppen. Kommandon som system ... hör ofta hemma i Device Console. Filsystem och loggkommandon som tail, grep, less eller service -S hör hemma i Advanced Shell.

Operationell checklista

• Tillåt endast SSH från betrodda administratörskällor.
• Ändra det fabriksinställda standardlösenordet innan SSH används i produktion.
• Om möjligt, använd Local Service ACL undantagsregel istället för frigöring av breda zoner.
• Föredrar Public Key Authentication för admin.
• Dokumentera standardadministratörens lösenord, MFA- eller återställningsinformation och SSH-nycklar separat.
• Använd nyckeltyp och dokumentnyckellängd som stöds.
• Dela inte privata nycklar.
• Kontrollera SSH fingeravtryck vid första inloggning.
• Hantera medvetet värdnyckelvarningar efter reimage eller maskinvarubyte.
• Blanda inte ihop Device Console och Advanced Shell.
• Gör endast ändringar i Advanced Shell med ett tydligt syfte.
• Ta bort tillfälliga SSH-utgåvor efter supportärenden.
• Radera gamla offentliga nycklar efter att ha bytt personal eller tjänsteleverantör.

Vanliga frågor