Registrera en Sophos Switch i Sophos Fusion

En Sophos Switch kan hanteras lokalt via webbgränssnitt och CLI eller centralt via Sophos Fusion. Registrering kräver en fungerande IPv4-konfiguration, DNS, Internetåtkomst och tillgång till de obligatoriska måldomänerna. Registrering och licensiering är tekniskt separat: Switchen kan registreras utan giltig prenumeration, men hantering och ändringar via Sophos Fusion kräver en Sophos Switch Support and Services-prenumeration.

Efter att ha slagit på eller startat om switchen har du 15 minuter på dig att registrera den i Sophos Fusion. Förbered därför nätverk, tenant och tilldelning innan tidsfönstret börjar.

Mål och stoppvillkor

I slutet visas switchen under My Products > Switches > Switches med rätt serienummer och den avsedda platsen eller stack referens. Det tekniska målet tillståndet är Synchronized; supportabonnemanget måste också vara giltigt för operativ acceptans. DHCP leasing eller statisk förvaltning adress, DNS upplösning och utgående anslutningar måste fortsätta att fungera.

Börja inte den tekniska registreringen medan någon av följande punkter förblir olöst:

• Serienummer, måltenant eller avsedd plats eller stack är oklara.
• Switchen får inte en lämplig hanteringsadress eller når inte sin standardgateway.
• IPv4 DNS-förfrågningar fungerar inte.
• En brandvägg, proxy eller SSL/TLS inspektion blockerar nödvändiga mål.
• Effekterna av standardmallen på pilotswitchen klargörs inte.

Bekräfta prenumerationen i förväg

Hårdvaruköpet inkluderar det lokala webbgränssnittet och CLI. En Sophos Switch Support and Services-prenumeration för varje switch som används och hanteras via Sophos Fusion låser dessutom upp följande tjänster:

• Ledning via Sophos Fusion, inklusive portar, VLAN, konfiguration och status,
• firmware uppdateringar,
• 24/7 multikanalsupport,
• Avancerad RMA.

Utan en giltig prenumeration fortsätter switchen att fungera och förblir lokalt hanterbar, men förändringar genom Sophos Fusion är inte möjligt. Om för få prenumerationer finns tillgängliga, Sophos Fusion visar Oversubscribed; du måste köpa de abonnemang som saknas. No subscription, Expired subscription, och Suspended är också ogiltiga acceptanstillstånd. Aktivera och hantera licensen under Profile icon > Licensing.

Håll dessa problem separata under diagnosen: en lokalt tillgänglig växel som vidarebefordrar trafiken visar inte att Fusion management är licensierad. Omvänt, en licens inte löser DHCP eller DNS problem eller avblockera destinationer.

Förberedelser

Innan kabling switchen, spela in sin modell, serienummer och plats, samt den avsedda tenanten, platsen eller stapeln, i förändringsrekordet.

• den tidigare hanterings- IP-konfigurationen om switchen inte är fabriksny,
• förvaltning VLAN, DHCP-omfattning eller statisk adress, subnet mask, standardgateway och DNS-server,
• uppströms brandvägg, proxy och SSL/TLS inspektionsregler,
• befintlig lokal konfiguration och nåbar lokal administratörsåtkomst,
• underhållsfönster, aborttid och ansvarig person.

Börja med en pilotswitch. Begränsa tillfälliga regler till de dokumenterade destinationerna istället för att skapa obegränsad tillgång till Internet. Om du behöver ett proxy- eller inspektions undantag, registrera både föregående tillstånd och det nödvändiga slutläget.

Krävda domäner

Switchen måste kunna lösa och nå följande FQDN: er. En statisk IP-post ersätter inte DNS.

Ledning och registrering

Före den första registreringen: Om mellanliggande nätverksenheter dekrypterar SSL/TLS-anslutningar måste switchens anslutningar till sophos.jfrog.io och jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com passera samtliga enheter mellan switchen och internet utan SSL/TLS-dekryptering. Dekryptering kan orsaka anslutningsfel på grund av hanteringen av certifikatkedjan. Det räcker inte att tillåta en domän: nåbarhet och undantag från dekryptering är separata inställningar.

Begränsa undantaget till dessa två destinations-FQDN:er och switcharnas dokumenterade källadresser; stäng inte av inspektionen globalt. Kravet innebär inget undantag från dekryptering för fusion.sophos.com, *.apu.sophos.com eller domänerna för säkerhetskopiering. Om ingen dekryptering sker på nätverksvägen behövs ingen ytterligare bypassregel.

Regionspecifika konfigurationsbackups

Lämplig destination för dataregionen måste vara tillgänglig:

tf-cswitch-backup-config-dump-eu-west-1-prod-bucket.s3.eu-west-1.amazonaws.com
tf-cswitch-backup-config-dump-eu-central-1-prod-bucket.s3.eu-central-1.amazonaws.com
tf-cswitch-backup-config-dump-us-east-2-prod-bucket.s3.us-east-2.amazonaws.com
tf-cswitch-backup-config-dump-us-west-2-prod-bucket.s3.us-west-2.amazonaws.com
tf-cswitch-backup-config-dump-ap-south-1-prod-bucket.s3.ap-south-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-northeast-1-prod-bucket.s3.ap-northeast-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-southeast-2-prod-bucket.s3.ap-southeast-2.amazonaws.com
tf-cswitch-backup-config-dump-sa-east-1-prod-bucket.s3.sa-east-1.amazonaws.com
tf-cswitch-backup-config-dump-ca-central-1-prod-bucket.s3.ca-central-1.amazonaws.com

Där säkerhetspolicy tillåter kan du tillåta prefix tf-cswitch-backup-config-dump tillsammans med domänen amazonaws.com genom att använda ett wildcard eller reguljärt uttryck. En generell regel för *.amazonaws.com krävs inte.

Tillverkarens krav specificerar FQDNs men inga icke-standardportar. Öppna inte godtyckliga ytterligare portar. Om filtrering orsakar ett problem, granska DNS, proxy, inspektion och brandväggsloggar istället för att i stort sett koppla av egresspolitiken.

Lokal bootstrap

Alla Sophos Switch-modeller använder hanteringsadressen 172.16.16.239 i sitt ursprungliga tillstånd. För första gången lokal åtkomst:

1. Anslut kraftkabeln, slå på switchen och kontrollera att ström LED är tänd.
2. Vänta på fullstart; det kan ta några minuter.
3. Anslut en dator direkt till en Ethernet-port av switchen.
4. Tillfälligt ge datorn en ledig statisk adress i nätverket 172.16.16.0/24, till exempel:
   • IP-adress: 172.16.16.200
   • Subnetmask: 255.255.255.0
5. Ange 172.16.16.239 i en webbläsare. Sign-in-sidan visas.
6. Logga in med användarnamn admin och det aktuella enhetslösenordet. Fabrikslösenordet är på klistermärket på baksidan.
7. Ändra standardlösenordet på ett kontrollerat sätt eller skapa ett dedikerat administratörskonto. Förvara de nya inloggningsuppgifterna säkert.
8. Växla till Configure > System settings > IP address settings och öppna IPv4 management.

Variant A: DHCP

1. Under Configuration väljer du DHCP alternativet.
2. Spara med Apply.
3. Anslut switchen till det avsedda förvaltningsnätverket.
4. I DHCP-servern bestämmer och dokumenterar den tilldelade IP-adressen på grundval av MAC-adressen eller det nya DHCP-leaset.
5. Kontrollera att DHCP-leaset, subnet, standardgateway och DNS-servern motsvarar det planerade hanteringsnätverket.
6. Öppna det lokala webbgränssnittet via den tilldelade adressen.

DHCP ensam är inte tillräckligt: den tilldelade DNS-resolvern måste kunna svara på de nödvändiga offentliga FQDN: er via IPv4, och standardgatewayen måste dirigera den utgående trafiken.

Variant B: Statisk IPv4-adress

1. Under Configuration väljer du Static alternativet.
2. Slutföra följande fält:
   • Address: reserverad hantering IP av switchen,
   • Subnet mask: mask av ledningsnätverket,
   • Default gateway: routeradress för ledningsnätverket,
   • DNS server 1: primär DNS-resolver,
   • DNS server 2: valfri sekundär DNS-resolver.
3. Spara med Apply.
4. Anslut switchen till det avsedda förvaltningsnätverket.
5. Återställ admin-datorn till dess ursprungliga nätverkskonfiguration.
6. Öppna det lokala webbgränssnittet via den nya statiska adressen.

Innan du väljer Apply, se till att den statiska adressen inte redan används. Om gränssnittet är då oåtkomligt, först kontrollera administratörsdatorn, VLAN, subnet, gateway och dokumenterad adress; inte omedelbart utföra en fabriksåterställning.

Kontrollera nätverket innan 15-minutersfönstret

Slutföra följande punkter innan den planerade omstarten:

1. I DHCP eller IP-adresshantering kontrollerar du att hanteringsadressen är stabil.
2. På DNS-resolvern som används, testa lösningen av alla FQDN som krävs för regionen.
3. Sök efter switchens IP-adress i brandväggs- och proxyloggar och kontrollera att alla nödvändiga domäner kan nås. Om SSL/TLS-dekryptering sker på nätverksvägen, kontrollera även på varje mellanliggande enhet att det snävt avgränsade undantaget för de två registreringsdestinationerna faktiskt tillämpas; en tillåtelseregel räcker inte.
4. Under Profile icon > Licensing kontrollera om support- och servicekvantiteten är tillräcklig för de redan registrerade och de nytillkomna switcharna.
5. Har den avsedda platsen eller stapeln redo i Sophos Fusion. Om du väljer varken, Sophos Fusion tillämpar default template.
6. Har serienumret redo att klistra in. När du lägger till flera switchar, ange exakt ett serienummer per rad.

För 2,5, 5 eller 10 Gbps-portar kontrollerar också att de befintliga kablar och nätverkskomponenterna stöder den avsedda hastigheten. Detta påverkar inte registreringen av serienummer, men det förhindrar en instabil länk från att misstas för ett registreringsfel.

Registrering i Sophos Fusion

Den exakta vägen är My Products > Switches > Switches > Add switches.

1. Öppna Add switches innan tidsfönstret startas.
2. Anslut switchen till ledningsnätverket och därmed till Internet.
3. Slå på switchen. Om det redan är på eller 15-minutersfönstret är oklart, gör exakt en planerad omstart.
4. Från denna start har du 15 minuter på dig att slutföra registreringen.
5. Ange serienumret i Step 3. För en kontrollerad pilot registrerar du bara den förberedda switchen; för en godkänd bulkregistrering, ange ett serienummer per rad.
6. Välj den förberedda platsen från rullgardinsmenyn. Använd pilen bredvid en plats för att välja en av platsens stackar.
7. Kontrollera valet, serienumret och tenanten igen.
8. Klicka på Register.

Om du väljer varken en plats eller en stack, får switchen standardmallen. Detta är inte ett neutralt tillstånd: dess inställningar kan tillämpas på switchen efter registrering.

Kontrollera registrering och synkronisering

Kontrollera resultatet under My Products > Switches > Switches. Serienummer, modell, fysisk placering och plats eller stack måste matcha förändringen. Kontrollera även firmwareversionen, den lokala förvaltningsåtkomsten via den dokumenterade IP-adressen och de två viktiga statusvärden:

• Stödstatusen visar en giltig prenumeration.
• Anslutningen och konfigurationsstatusen når Synchronized.

Inget nytt fel HTTP: 000 får visas i switchloggen; brandväggs- och proxyloggar får inte visa blockerade anslutningar till nödvändiga FQDN:er.

Kontrollera efter ändringen separat att registreringen via sophos.jfrog.io lyckas och att den aktuella firmwareversionen kontrolleras via jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com; att den installerade versionen visas bevisar inte den senare kontrollen. Vid aktiv inspektion, bekräfta med regelträffar och loggar att endast de avsedda switchanslutningarna till dessa två destinationer passerar utan dekryptering. Utför ett godkänt HTTPS-test utanför detta käll-/destinationsomfång för att kontrollera att normal inspektion fortfarande tillämpas oförändrad. Dokumentera resultaten i ändringsärendet.

Vid synkronisering kan dessa tillstånd förekomma:

Lokala förändringar återspeglas inte automatiskt i Sophos Fusion. Efter lyckad registrering konfigurerar du inte switchen lokalt och i Fusion parallellt. Synchronized bekräftar molnanslutningen och konfigurationssynkroniseringen; endast ett separat, godkänt funktionellt test bekräftar den avsedda datavägskonfigurationen.

Fel DOWNLOADER error Failed to download the package. HTTP: 000

Posten

DOWNLOADER    error    Failed to download the package. HTTP: 000

I detta arbetsflöde visar posten att switchen inte kunde nå en av registreringsdestinationerna. 000 är inte en vanlig HTTP-status som returneras av en webbserver. Dölj inte felet genom upprepade registreringsförsök.

Kontrollera i denna order:

1. Tidpunkt och käll-IP: Notera den exakta feltidpunkten och switchens aktuella IP-adress för hantering.
2. Adressering: Kontrollera DHCP-leaset eller den statiska adressen, nätmasken och standardgatewayen.
3. DNS: Lös sophos.jfrog.io och jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com genom de exakta DNS-servrarna som tilldelats switchen.
4. Brandvägg och proxy: Filtrera loggar med käll IP och båda FQDN: er. Blockering sophos.jfrog.io förhindrar registrering; blockering av S3-destinationen förhindrar att den aktuella firmwareversionen kontrolleras.
5. SSL/TLS-inspektion: Om dekryptering sker på nätverksvägen, kontrollera att switchanslutningarna till sophos.jfrog.io och jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com passerar varje enhet utan dekryptering. Fel i certifikatkedjan är skälet till detta obligatoriska undantag. Kontrollera regelträffar, certifikatersättning och eventuell proxyautentisering; undanta endast switcharnas dokumenterade källor och dessa två destinationer, utan att stänga av inspektionen globalt.
6. Andra Sophos-mål: Kontrollera även fusion.sophos.com och *.apu.sophos.com för upplösning och tillåten utgående åtkomst.
7. Regionell säkerhetskopieringsdomän: För fullständig Fusion-funktionalitet, kontrollera säkerhetskopieringsdestinationen för dataregionen. Enbart framgångsrik registrering bevisar inte att denna destination är tillgänglig.
8. Först när problemet har åtgärdats startar du en ny registreringscykel.

Ett brett test med ”allow any” är endast acceptabelt om det är strikt tidsbegränsat, begränsat till den enskilda switchens IP-adress och dokumenterat i ändringsärendet. Ersätt regeln omedelbart efter testet med de FQDN-regler som anges ovan. Om HTTP: 000 kvarstår, DNS-svar, brandvägg / proxy beslut, switchlogg, timestamp, modell, serienummer och firmware sparas för upptrappningen.

Tydligt begränsa upprepningar, omstart och återställning

Sophos anger ingen numerisk maxgräns för registreringsförsök. Varje start har dock en strikt gräns:

• Varje start eller omstart öppnar ett registreringsfönster på 15 minuter.
• Om switchen inte registreras efter 15 minuter måste den startas om och registreringsprocessen startas om.
• Klicka på Register utanför fönstret ersätter inte omstarten.
• Ett omregistreringsförsök kräver endast en omstart, inte en fabriksåterställning.

Gör därför högst ett nytt försök efter att du bevisligen har åtgärdat orsaken. Om även detta försök misslyckas ska du inte fortsätta i en omstarts- eller återställningsloop. Granska loggarna och nätverkssökvägen på nytt och eskalera ärendet vid behov.

Återstarta inte heller med Pending, Syncing eller en löpande firmwareaktivitet, dessa stater är inte en begäran om att öppna 15-minutersfönstret.

Återvänd

Gå tillbaka beroende på vilken status som nåtts.

Innan framgångsrik registrering

1. Sluta ytterligare försök och koppla bort switchen från produktionsupplänken om det behövs utan att avbryta strömförsörjningen under en igenkännlig skriv- eller uppdateringsprocess.
2. Returnera admin-datorn till dess ursprungliga DHCP eller statisk konfiguration.
3. Om endast hanteringsadresseringen ändrades, logga in lokalt via den senaste dokumenterade adressen och återställa den tidigare DHCP- eller statiska konfigurationen.
4. Ta bort tillfälliga alltför breda undantag för brandvägg, proxy eller inspektion; återställa befintliga regler till deras dokumenterade baslinjestatus.
5. Dokumentera felmönster, loggar och demontering som utförs. Gränsen från föregående avsnitt gäller omstart och återställning.

Efter framgångsrik registrering

Försök inte att ”ångra” en lyckad registrering med en oplanerad återställning. Fusion kan redan ha överfört standardmallen eller konfigurationen för den valda platsen eller stacken. Därför:

1. Skicka inte ytterligare Fusion-ändringar och tvinga inte manuell synkronisering.
2. Dokumentera switchen, serienumret, tenanten, platsen eller stacken, status och tillämpad mall.
3. Om effekten på datavägen är möjlig, ta pilotswitchen från produktionsvägen på ett kontrollerat sätt eller anslut den åter till den förberedda pilotporten.
4. Ta inte bort domäner så länge switchen fortfarande hanteras av Fusion, men ersätt en tillfällig regel som är för bred med den exakta tillåtna listan.
5. Om en deregistrering, en tenantändring eller en fabriksåterställning verkar nödvändig, stanna här och använda en separat testad process.

Använd den lokala administrationsrutten för diagnos och stabilisering efter behov. Förändringar som görs lokalt synkroniseras inte i Sophos Fusion.

Slutdokumentation

Sätt denna information i förändringen:

• serienummer, modell, hantering IP och DHCP leasing eller statiska parametrar,
• DNS-servrar som används och lyckas lösa de mål som krävs,
• tillåtna domäner, inklusive dataregionen,
• registreringstid inom 15-minutersfönstret,
• Tenant och vald plats eller stack,
• Skärmdump eller export av den slutliga statusöversikten,
• firmware version och varning Firmware too old,
• Resultatet av det lokala åtkomsttestet,
• borttagna tillfälliga regler eller kvarvarande exakt tillåtelselista,
• Om ett misslyckande inträffar: HTTP: 000 log, brandvägg / proxy beslut och antal kontrollerade omstarter.

För ett undantag från dekryptering, dokumentera även käll-/destinationsomfång, regelträffar, ansvarig, granskningsdatum och resultaten av registreringstestet, firmwarekontrollen och testet utanför undantagets omfång. Ompröva behovet vid granskning av nätverks- eller firmwareändringar. Återgången som beskrivs ovan gäller fortfarande: ta bort breda tillfälliga undantag; dra inte tillbaka ett snävt undantag som fortfarande behövs utan en ny kontroll.

Detta gör att ett senare problem kan tilldelas lokal adressering, DNS, domänfiltrering, registrering, licensiering eller nedströms synkronisering.