Registrera en Sophos Switch i Sophos Fusion

En Sophos Switch kan hanteras lokalt via webbgränssnitt och CLI eller centralt via Sophos Fusion (tidigare Sophos Central). Registrering kräver en fungerande IPv4-konfiguration, DNS, Internetåtkomst och tillgång till de obligatoriska måldomänerna. Registrering och licensiering är tekniskt separat: Switchen kan registreras utan giltig prenumeration, men hantering och ändringar via Sophos Fusion kräver en Sophos Switch Support and Services-prenumeration.

Efter att ha slagit på eller startat om switchen har du 15 minuter på dig att registrera den i Sophos Fusion. Förbered därför nätverk, tenant och tilldelning innan tidsfönstret börjar.

Mål och stoppvillkor

I slutet visas switchen under My Products > Switches > Switches med rätt serienummer och avsedd koppling till en site eller stack. Det tekniska måltillståndet är Synchronized; för driftsgodkännande måste även supportprenumerationen vara giltig. DHCP-leaset eller den statiska hanteringsadressen, DNS-upplösningen och utgående anslutningar måste fortsätta fungera.

Börja inte den tekniska registreringen medan någon av följande punkter förblir olöst:

• Serienummer, måltenant eller avsedd plats eller stack är oklara.
• Switchen får inte en lämplig hanteringsadress eller når inte sin standardgateway.
• IPv4 DNS-förfrågningar fungerar inte.
• En brandvägg, proxy eller SSL/TLS inspektion blockerar nödvändiga mål.
• Effekterna av standardmallen på pilotswitchen är inte klarlagda.

Bekräfta prenumerationen i förväg

Hårdvaruköpet inkluderar det lokala webbgränssnittet och CLI. En Sophos Switch Support and Services-prenumeration för varje switch som används och hanteras via Sophos Fusion låser dessutom upp följande tjänster:

• Hantering via Sophos Fusion, inklusive portar, VLAN, konfiguration och status,
• firmwareuppdateringar,
• 24/7 multikanalsupport,
• Advanced RMA.

Utan en giltig prenumeration fortsätter switchen att fungera och förblir lokalt hanterbar, men ändringar via Sophos Fusion är inte möjliga. Om det finns för få prenumerationer visar Sophos Fusion Oversubscribed; du måste köpa de abonnemang som saknas. No subscription, Expired subscription, och Suspended är också ogiltiga acceptanstillstånd. Aktivera och hantera licensen under Profile icon > Licensing.

Skilj på dessa frågor vid diagnosen: en lokalt nåbar switch som vidarebefordrar trafik bevisar inte att Fusion-hanteringen är licensierad. Omvänt löser en licens varken DHCP- eller DNS-problem eller blockerade destinationer.

Förberedelser

Dokumentera före inkopplingen modell, serienummer, fysisk placering samt avsedd tenant och site eller stack i ändringsärendet. Lägg till:

• den tidigare hanterings-IP-konfigurationen om switchen inte är fabriksny,
• hanterings-VLAN, DHCP-scope eller statisk adress, nätmask, standardgateway och DNS-server,
• uppströms brandvägg, proxy och SSL/TLS inspektionsregler,
• befintlig lokal konfiguration och nåbar lokal administratörsåtkomst,
• underhållsfönster, tidpunkt för avbrott och ansvarig person.

Börja med en pilotswitch. Begränsa tillfälliga regler till de dokumenterade destinationerna istället för att skapa obegränsad tillgång till Internet. Om du behöver ett proxy- eller inspektionsundantag, registrera både föregående tillstånd och det nödvändiga slutläget.

Krävda domäner

Switchen måste kunna lösa och nå följande FQDN: er. En statisk IP-post ersätter inte DNS.

Hantering och registrering

Före den första registreringen: Om mellanliggande nätverksenheter dekrypterar SSL/TLS-anslutningar måste switchens anslutningar till sophos.jfrog.io och jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com passera samtliga enheter mellan switchen och internet utan SSL/TLS-dekryptering. Dekryptering kan orsaka anslutningsfel på grund av hanteringen av certifikatkedjan. Det räcker inte att tillåta en domän: nåbarhet och undantag från dekryptering är separata inställningar.

Begränsa undantaget till dessa två destinations-FQDN:er och switcharnas dokumenterade källadresser; stäng inte av inspektionen globalt. Kravet innebär inget undantag från dekryptering för fusion.sophos.com, *.apu.sophos.com eller domänerna för säkerhetskopiering. Om ingen dekryptering sker på nätverksvägen behövs ingen ytterligare bypassregel.

Regionspecifika konfigurationsbackups

Lämplig destination för dataregionen måste vara tillgänglig:

tf-cswitch-backup-config-dump-eu-west-1-prod-bucket.s3.eu-west-1.amazonaws.com
tf-cswitch-backup-config-dump-eu-central-1-prod-bucket.s3.eu-central-1.amazonaws.com
tf-cswitch-backup-config-dump-us-east-2-prod-bucket.s3.us-east-2.amazonaws.com
tf-cswitch-backup-config-dump-us-west-2-prod-bucket.s3.us-west-2.amazonaws.com
tf-cswitch-backup-config-dump-ap-south-1-prod-bucket.s3.ap-south-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-northeast-1-prod-bucket.s3.ap-northeast-1.amazonaws.com
tf-cswitch-backup-config-dump-ap-southeast-2-prod-bucket.s3.ap-southeast-2.amazonaws.com
tf-cswitch-backup-config-dump-sa-east-1-prod-bucket.s3.sa-east-1.amazonaws.com
tf-cswitch-backup-config-dump-ca-central-1-prod-bucket.s3.ca-central-1.amazonaws.com

Där säkerhetspolicy tillåter kan du tillåta prefix tf-cswitch-backup-config-dump tillsammans med domänen amazonaws.com genom att använda ett wildcard eller reguljärt uttryck. En generell regel för *.amazonaws.com krävs inte.

Tillverkarens krav specificerar FQDNs men inga icke-standardportar. Öppna inte godtyckliga ytterligare portar. Om filtrering orsakar ett problem, granska DNS, proxy, inspektion och brandväggsloggar i stället för att okontrollerat utöka reglerna för utgående trafik.

Lokal bootstrap

Alla Sophos Switch-modeller använder hanteringsadressen 172.16.16.239 i sitt ursprungliga tillstånd. För den första lokala åtkomsten:

1. Anslut strömkabeln, slå på switchen och kontrollera att Power-lysdioden lyser.
2. Vänta tills starten är helt klar; det kan ta några minuter.
3. Anslut en dator direkt till en Ethernet-port på switchen.
4. Ge tillfälligt datorn en ledig statisk adress i nätverket 172.16.16.0/24, till exempel:
   • IP-adress: 172.16.16.200
   • Subnetmask: 255.255.255.0
5. Ange 172.16.16.239 i en webbläsare. Sign-in-sidan visas.
6. Logga in med användarnamn admin och det aktuella enhetslösenordet. Fabrikslösenordet är på klistermärket på baksidan.
7. Ändra standardlösenordet på ett kontrollerat sätt eller skapa ett dedikerat administratörskonto. Förvara de nya inloggningsuppgifterna säkert.
8. Växla till Configure > System settings > IP address settings och öppna IPv4 management.

Variant A: DHCP

1. Under Configuration väljer du DHCP alternativet.
2. Spara med Apply.
3. Anslut switchen till det avsedda förvaltningsnätverket.
4. Identifiera och dokumentera den tilldelade IP-adressen i DHCP-servern med hjälp av MAC-adressen eller det nya DHCP-leaset.
5. Kontrollera att DHCP-leaset, subnet, standardgateway och DNS-servern motsvarar det planerade hanteringsnätverket.
6. Öppna det lokala webbgränssnittet via den tilldelade adressen.

DHCP ensam är inte tillräckligt: den tilldelade DNS-resolvern måste kunna svara på de nödvändiga offentliga FQDN: er via IPv4, och standardgatewayen måste dirigera den utgående trafiken.

Variant B: Statisk IPv4-adress

1. Under Configuration väljer du Static alternativet.
2. Fyll i följande fält fullständigt:
   • Address: switchens reserverade hanterings-IP,
   • Subnet mask: hanteringsnätets nätmask,
   • Default gateway: hanteringsnätets routeradress,
   • DNS server 1: primär DNS-resolver,
   • DNS server 2: valfri sekundär DNS-resolver.
3. Spara med Apply.
4. Anslut switchen till det avsedda förvaltningsnätverket.
5. Återställ admin-datorn till dess ursprungliga nätverkskonfiguration.
6. Öppna det lokala webbgränssnittet via den nya statiska adressen.

Innan du väljer Apply, se till att den statiska adressen inte redan används. Om gränssnittet därefter inte kan nås, kontrollera först administratörsdatorn, VLAN, subnät, gateway och den dokumenterade adressen; utför inte genast en fabriksåterställning.

Kontrollera nätverket innan 15-minutersfönstret

Slutför följande kontroller före den planerade omstarten:

1. I DHCP eller IP-adresshantering kontrollerar du att hanteringsadressen är stabil.
2. På DNS-resolvern som används, testa namnupplösningen för alla FQDN som krävs för regionen.
3. Sök efter switchens IP-adress i brandväggs- och proxyloggar och kontrollera att alla nödvändiga domäner kan nås. Om SSL/TLS-dekryptering sker på nätverksvägen, kontrollera även på varje mellanliggande enhet att det snävt avgränsade undantaget för de två registreringsdestinationerna faktiskt tillämpas; en tillåtelseregel räcker inte.
4. Under Profile icon > Licensing kontrollera om support- och servicekvantiteten är tillräcklig för de redan registrerade och de nytillkomna switcharna.
5. Ha avsedd site eller stack förberedd i Sophos Fusion. Om inget väljs tillämpar Sophos Fusion default template.
6. Ha serienumret redo att klistra in. När du lägger till flera switchar, ange exakt ett serienummer per rad.

För 2,5, 5 eller 10 Gbps-portar kontrollera också att befintliga kablar och nätverkskomponenter stöder den avsedda hastigheten. Detta påverkar inte registreringen av serienummer, men det förhindrar en instabil länk från att misstas för ett registreringsfel.

Registrering i Sophos Fusion

Den exakta vägen är My Products > Switches > Switches > Add switches.

1. Öppna Add switches innan tidsfönstret startas.
2. Anslut switchen till hanteringsnätverket och därmed till Internet.
3. Slå på switchen. Om det redan är på eller 15-minutersfönstret är oklart, gör exakt en planerad omstart.
4. Från denna start har du 15 minuter på dig att slutföra registreringen.
5. Ange serienumret i Step 3. För en kontrollerad pilot registrerar du bara den förberedda switchen; för en godkänd bulkregistrering, ange ett serienummer per rad.
6. Välj den förberedda platsen från rullgardinsmenyn. Använd pilen bredvid en plats för att välja en av platsens stackar.
7. Kontrollera valet, serienumret och tenanten igen.
8. Klicka på Register.

Om du väljer varken en plats eller en stack, får switchen standardmallen. Detta är inte ett neutralt tillstånd: dess inställningar kan tillämpas på switchen efter registrering.

Kontrollera registrering och synkronisering

Kontrollera resultatet under My Products > Switches > Switches. Serienummer, modell, fysisk placering och plats eller stack måste matcha förändringen. Kontrollera även firmwareversionen, den lokala förvaltningsåtkomsten via den dokumenterade IP-adressen och de två viktiga statusvärden:

• Stödstatusen visar en giltig prenumeration.
• Anslutningen och konfigurationsstatusen når Synchronized.

Inget nytt fel HTTP: 000 får visas i switchloggen; brandväggs- och proxyloggar får inte visa blockerade anslutningar till nödvändiga FQDN:er.

Kontrollera efter ändringen separat att registreringen via sophos.jfrog.io lyckas och att den aktuella firmwareversionen kontrolleras via jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com; att den installerade versionen visas bevisar inte den senare kontrollen. Vid aktiv inspektion, bekräfta med regelträffar och loggar att endast de avsedda switchanslutningarna till dessa två destinationer passerar utan dekryptering. Utför ett godkänt HTTPS-test utanför detta käll-/destinationsomfång för att kontrollera att normal inspektion fortfarande tillämpas oförändrad. Dokumentera resultaten i ändringsärendet.

Vid synkronisering kan dessa tillstånd förekomma:

Lokala förändringar återspeglas inte automatiskt i Sophos Fusion. Efter lyckad registrering konfigurerar du inte switchen lokalt och i Fusion parallellt. Synchronized bekräftar molnanslutningen och konfigurationssynkroniseringen; endast ett separat, godkänt funktionellt test bekräftar den avsedda datavägskonfigurationen.

Fel DOWNLOADER error Failed to download the package. HTTP: 000

Posten

DOWNLOADER    error    Failed to download the package. HTTP: 000

I detta arbetsflöde visar posten att switchen inte kunde nå en av registreringsdestinationerna. 000 är inte en vanlig HTTP-status som returneras av en webbserver. Dölj inte felet genom upprepade registreringsförsök.

Kontrollera i denna ordning:

1. Tidpunkt och käll-IP: Notera den exakta feltidpunkten och switchens aktuella IP-adress för hantering.
2. Adressering: Kontrollera DHCP-leaset eller den statiska adressen, nätmasken och standardgatewayen.
3. DNS: Lös sophos.jfrog.io och jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com genom de exakta DNS-servrarna som tilldelats switchen.
4. Brandvägg och proxy: Filtrera loggar med käll IP och båda FQDN: er. Blockering sophos.jfrog.io förhindrar registrering; blockering av S3-destinationen förhindrar att den aktuella firmwareversionen kontrolleras.
5. SSL/TLS-inspektion: Om dekryptering sker på nätverksvägen, kontrollera att switchanslutningarna till sophos.jfrog.io och jfrog-prod-use1-shared-virginia-main.s3.amazonaws.com passerar varje enhet utan dekryptering. Fel i certifikatkedjan är skälet till detta obligatoriska undantag. Kontrollera regelträffar, certifikatersättning och eventuell proxyautentisering; undanta endast switcharnas dokumenterade källor och dessa två destinationer, utan att stänga av inspektionen globalt.
6. Andra Sophos-mål: Kontrollera även fusion.sophos.com och *.apu.sophos.com för upplösning och tillåten utgående åtkomst.
7. Regionell säkerhetskopieringsdomän: För fullständig Fusion-funktionalitet, kontrollera säkerhetskopieringsdestinationen för dataregionen. Enbart framgångsrik registrering bevisar inte att denna destination är tillgänglig.
8. Först när problemet har åtgärdats startar du en ny registreringscykel.

Ett brett test med ”allow any” är endast acceptabelt om det är strikt tidsbegränsat, begränsat till den enskilda switchens IP-adress och dokumenterat i ändringsärendet. Ersätt regeln omedelbart efter testet med de FQDN-regler som anges ovan. Om HTTP: 000 kvarstår, spara DNS-svar, brandväggs-/proxybeslut, switchlogg, tidsstämpel, modell, serienummer och firmwareversion inför eskaleringen.

Tydligt begränsa upprepningar, omstart och återställning

Sophos anger ingen numerisk maxgräns för registreringsförsök. Varje start har dock en strikt gräns:

• Varje start eller omstart öppnar ett registreringsfönster på 15 minuter.
• Om switchen inte registreras efter 15 minuter måste den startas om och registreringsprocessen startas om.
• Ett klick på Register utanför tidsfönstret ersätter inte omstarten.
• Ett omregistreringsförsök kräver endast en omstart, inte en fabriksåterställning.

Gör därför högst ett nytt försök efter att du bevisligen har åtgärdat orsaken. Om även detta försök misslyckas ska du inte fortsätta i en omstarts- eller återställningsloop. Granska loggarna och nätverkssökvägen på nytt och eskalera ärendet vid behov.

Starta inte heller om vid Pending, Syncing eller pågående firmwareaktivitet. Dessa tillstånd är ingen uppmaning att öppna 15-minutersfönstret igen.

Återgång

Gå tillbaka beroende på vilken status som nåtts.

Innan framgångsrik registrering

1. Stoppa ytterligare försök och koppla bort switchen från produktionsupplänken om det behövs utan att avbryta strömförsörjningen under en igenkännlig skriv- eller uppdateringsprocess.
2. Återställ administratörsdatorns ursprungliga DHCP- eller statiska konfiguration.
3. Om endast hanteringsadresseringen ändrades, logga in lokalt via den senaste dokumenterade adressen och återställ den tidigare DHCP- eller statiska konfigurationen.
4. Ta bort tillfälliga alltför breda undantag för brandvägg, proxy eller inspektion; återställ befintliga regler till deras dokumenterade utgångsläge.
5. Dokumentera felbilden, loggarna och den genomförda återgången. Gränsen från föregående avsnitt gäller omstart och återställning.

Efter framgångsrik registrering

Försök inte att ”ångra” en lyckad registrering med en oplanerad återställning. Fusion kan redan ha överfört standardmallen eller konfigurationen för den valda platsen eller stacken. Därför:

1. Skicka inte ytterligare Fusion-ändringar och tvinga inte manuell synkronisering.
2. Dokumentera switchen, serienumret, tenanten, platsen eller stacken, status och tillämpad mall.
3. Om effekten på datavägen är möjlig, ta pilotswitchen från produktionsvägen på ett kontrollerat sätt eller anslut den åter till den förberedda pilotporten.
4. Ta inte bort domäner så länge switchen fortfarande hanteras av Fusion, men ersätt en tillfällig regel som är för bred med den exakta tillåtna listan.
5. Om en deregistrering, en tenantändring eller en fabriksåterställning verkar nödvändig, stoppa här och använd ett separat granskat förfarande.

Använd den lokala administrationsrutten för diagnos och stabilisering efter behov. Förändringar som görs lokalt synkroniseras inte i Sophos Fusion.

Slutdokumentation

Dokumentera följande i ändringsärendet:

• serienummer, modell, hanterings-IP och DHCP-lease eller statiska parametrar,
• använda DNS-servrar och lyckad namnupplösning för nödvändiga mål,
• tillåtna domäner, inklusive dataregionen,
• registreringstid inom 15-minutersfönstret,
• Tenant och vald plats eller stack,
• Skärmdump eller export av den slutliga statusöversikten,
• firmwareversion och varning Firmware too old,
• Resultatet av det lokala åtkomsttestet,
• borttagna tillfälliga regler eller kvarvarande exakt tillåtelselista,
• Om ett misslyckande inträffar: HTTP: 000 log, brandvägg / proxy beslut och antal kontrollerade omstarter.

För ett undantag från dekryptering, dokumentera även käll-/destinationsomfång, regelträffar, ansvarig, granskningsdatum och resultaten av registreringstestet, firmwarekontrollen och testet utanför undantagets omfång. Ompröva behovet vid granskning av nätverks- eller firmwareändringar. Återgången som beskrivs ovan gäller fortfarande: ta bort breda tillfälliga undantag; dra inte tillbaka ett snävt undantag som fortfarande behövs utan en ny kontroll.

Detta gör att ett senare problem kan tilldelas lokal adressering, DNS, domänfiltrering, registrering, licensiering eller nedströms synkronisering.