Sophos Firewall
Kopiera länk till sidan “Sophos Firewall”
Installerar ett separat certifikat och kan välja det för administrationskonsolen, API:t och tillhörande portaler.
Så går det till
- Appliancen ansluter till Sophos Firewall genom SFOS XML API på port 4444.
- Discovery visar certifikatobjekt, administrationskonsolens certifikat och dess förnyelseverktyg. Certifikatkedja och privat nyckel laddas upp i PEM eller PKCS#12 som ett nytt objekt; tidigare certifikat behålls.
- SOPHOS_APPLY_TARGET=admin-console väljer certifikatet i WebAdminSettings Certificate. Samma inställning används för konsolen, API:t, user-, VPN-, captive- och SPX-portaler. Portar och övriga portalinställningar behålls; paketet startar inte om någon tjänst. Om det misslyckas: Om en tidigare fungerande konsol slutar svara efter bytet försöker paketet återställa föregående certifikat och kontrollerar återställningens resultat. En konsol som fortfarande serverar det gamla certifikatet rapporteras som inte bytt utan blind rollback. Rollback använder installationens backup och ändrar inget efter en redan utförd återställning.
- Kontroll hittar det nya objektet och jämför administrationskonsolens serverade SHA-256-fingeravtryck när konsolen är vald. Deploy väntar som standard upp till 120 sekunder på aktivering och läser tillbaka inställningen.
Tekniska detaljer
- Anslutning
- Paketet körs på appliancen, som ansluter över HTTPS till SFOS XML API, port 4444. Ingen agent installeras.
- Ni behöver
- API-administratör med rättigheter till certifikat och administrationsinställningar. Aktivera API-åtkomst under Backup & firmware › API, tillåt appliancens IP-adress och HTTPS-åtkomst från dess zon. En nekad inloggning upprepas inte.
- Åtgärder
- Discovery, Installation, Kontroll, Rollback, Borttagning
- Paket
-
sophos-firewall-api - Observera
-
- Utan SOPHOS_APPLY_TARGET laddas bara certifikatet upp; välj det sedan på brandväggen. Ett byte flyttar endast bindningen från det tidigare certifikatet, även när ett annat förnyelseverktyg äger det. Borttagning raderar bara paketets egna objekt och behåller certifikatet som konsolen fortfarande använder.
- Management-TLS kontrolleras som standard. MANAGEMENT_TLS_PIN_SHA256 godtar exakt det sparade certifikatet före inloggning; MANAGEMENT_TLS_CA_BUNDLE använder en CA-fil med värdnamnskontroll. MANAGEMENT_TLS_INSECURE är ett uttryckligt undantag med varning; äldre SOPHOS_TLS-inställningar behålls. Under ett konsolbyte godtas det exakta nya och tidigare certifikatet för återläsning och återställning; spara det nya fingeravtrycket före nästa körning när pin eller privat CA kräver det.
- CERT_NAME får ha högst 26 tecken vid installation; det nya objektet får en tidsstämpel. Behåll backupen i CERTOPS_BACKUP_DIR eller kontots .sslbrain/sophos-firewall-backups för rollback och nästa installation.