Sophos Firewall

Firewall og VPN

Installerer et separat certifikat og kan vælge det til administrationskonsollen, API’et og de tilknyttede portaler.

Sådan forløber det

Appliancen forbinder til Sophos Firewall gennem SFOS XML API på port 4444.
Discovery viser certifikatobjekter, administrationskonsollens certifikat og dets fornyelsesværktøj. Certifikatkæde og privat nøgle uploades i PEM eller PKCS#12 som et nyt objekt; tidligere certifikater bevares.
SOPHOS_APPLY_TARGET=admin-console vælger certifikatet i WebAdminSettings Certificate. Samme indstilling bruges til konsollen, API’et, user-, VPN-, captive- og SPX-portaler. Porte og øvrige portalindstillinger bevares; ingen tjeneste genstartes af pakken. Hvis det fejler: Hvis en tidligere fungerende konsol holder op med at svare efter skiftet, forsøges det tidligere certifikat gendannet, og gendannelsens resultat kontrolleres. En konsol, der stadig serverer det gamle certifikat, rapporteres som ikke skiftet uden blind rollback. Rollback bruger installationens backup og ændrer intet efter en allerede udført gendannelse.
Kontrol finder det nye objekt og sammenligner administrationskonsollens serverede SHA-256-fingeraftryk, når konsollen er valgt. Deploy venter som standard op til 120 sekunder på aktivering og læser indstillingen tilbage.

Forbindelse: Pakken kører på appliancen, som forbinder over HTTPS til SFOS XML API, port 4444. Der installeres ingen agent.
I skal bruge: API-administrator med rettigheder til certifikater og administrationsindstillinger. Slå API-adgang til under Backup & firmware › API, tillad appliancens IP-adresse og HTTPS-adgang fra dens zone. Et afvist login gentages ikke.
Handlinger: Discovery, Installation, Kontrol, Rollback, Fjernelse
Pakker: sophos-firewall-api
Bemærk: Uden SOPHOS_APPLY_TARGET uploades kun certifikatet; vælg det derefter på firewallen. Et skift flytter kun bindingen fra det tidligere certifikat, også når et andet fornyelsesværktøj ejer det. Fjernelse sletter kun denne pakkes egne objekter og bevarer det certifikat, konsollen stadig bruger.
Management-TLS kontrolleres som standard. MANAGEMENT_TLS_PIN_SHA256 accepterer præcis det gemte certifikat før login; MANAGEMENT_TLS_CA_BUNDLE bruger en CA-fil med værtsnavnekontrol. MANAGEMENT_TLS_INSECURE er et eksplicit fravalg med advarsel; ældre SOPHOS_TLS-indstillinger bevares. Under et konsolskift accepteres det præcise nye og tidligere certifikat til genlæsning og gendannelse; gem det nye fingeraftryk før næste kørsel, når pin eller privat CA kræver det.
CERT_NAME må have højst 26 tegn ved installation; det nye objekt får et tidsstempel. Behold backuppen i CERTOPS_BACKUP_DIR eller kontoens .sslbrain/sophos-firewall-backups til rollback og næste installation.