Sophos Firewall¶

Sophos Firewall (SFOS) через его XML API: линк каждого интерфейса, привязанного к зоне, и какие IPsec-соединения активированы.

Это намеренно всё. XML API — это API конфигурации: помимо состояния связи каждого интерфейса, доступного только для чтения, он не раскрывает никакого живого состояния. <Get><IPSecConnection> возвращает, активировал ли администратор соединение, а не поднят ли туннель; высокая доступность, лицензии, подписки и версия прошивки туда вообще не входят. DumbMonit публикует активацию именно как активацию и никогда не представляет её как состояние туннеля.

Каждую минуту DumbMonit отправляет два запроса на https://<firewall>:4444/webconsole/APIController (поле формы reqxml, никогда в URL, где пароль оказался бы в журналах): <Get><Interface> и <Get><IPSecConnection>. Каждый несёт имя пользователя и пароль учётной записи, чей профиль доступа к устройству — только для чтения везде: файрвол применяет этот профиль и к API.

Проверено только по документации производителя — пока не испытано на реальной системе

Эта интеграция построена на документации XML API Sophos (сущности Interface и IPSecConnection, сообщения входа и статуса), а не на работающем файрволе. Точная формулировка статуса интерфейса (Connected, 1000 Mbps… или Disconnected) взята из этой документации и сообщений сообщества. Сообщите нам, если что-то не работает.

Что отслеживается¶

Все метрики с префиксом dumbmonit_sophos_.

Метрика	Метки	Значение
`api_version_info`	`api_version`	Значение 1: версия API, которую объявляет файрвол (`2000.2`), следующая за релизом SFOS.
`interface_link_up`	`interface`, `zone`	1, когда статус — Connected, 0 — когда Disconnected; отсутствует, когда статус иной.
`interface_enabled`	`interface`, `zone`	0, когда интерфейс выключен.
`interface_down`	`interface`, `zone`	1, когда интерфейс включён, привязан к зоне, и у него нет линка. Свободные порты (зона None) не учитываются.
`interfaces`, `interfaces_down`		Счётчики.
`ipsec_connection_activated`	`connection`	1, когда соединение активировано в конфигурации. Не состояние туннеля.
`ipsec_connections`		Счётчик.

Применяемое встроенное правило:

Интерфейс Sophos без линка: включённый и привязанный к зоне интерфейс не имеет линка уже пять минут (Advisory).

Для счётчиков трафика добавьте файрвол также как устройство SNMP: SFOS отвечает по стандартному MIB интерфейсов.

Страница монитора¶

Панель Firewall сообщает, есть ли линк у каждого интерфейса в зоне, затем перечисляет эти интерфейсы и IPsec-соединения с их настроенной активацией, обозначенной как таковая.

Разрешить DumbMonit читать XML API Sophos Firewall¶

В Profiles > Device access добавьте профиль с именем DumbMonit read-only и задайте для каждого права значение Read-only.
В Authentication > Users добавьте пользователя с именем dumbmonit, типа Administrator, с этим профилем и длинным случайным паролем.
В Backup & firmware > API (Administration > API access начиная с SFOS 22) включите конфигурацию API и добавьте адрес сервера DumbMonit в разрешённые IP-адреса.
В DumbMonit введите адрес файрвола, например «sophos.lan», с именем пользователя и паролем dumbmonit. API слушает на порту администрирования, по умолчанию 4444, с самоподписанным сертификатом: отметьте Accept an unverifiable certificate, если вы не установили собственный.

Warning

XML API — это API конфигурации: он сообщает линк каждого интерфейса и активировано ли каждое IPsec-соединение, а не поднят ли туннель. Высокая доступность, лицензии и версия прошивки в него не входят.

Учётные данные¶

Учётные данные	Поля
Имя пользователя и пароль	Пользователь `dumbmonit` с профилем доступа к устройству только для чтения.

Адрес: имя хоста или IP файрвола, host:port, или URL. Опции:

Порт (4444): порт администрирования.
Принимать непроверяемый сертификат: собственный сертификат файрвола самоподписан.
Таймаут на запрос (15 с).

Диагностика¶

«Sophos Firewall отклонил запрос (534 …)»: адрес DumbMonit не входит в разрешённые IP-адреса конфигурации API.

«Sophos Firewall отклонил вход»: неверное имя пользователя или пароль, либо пароль с символами, которые файрвол отклоняет в вызовах API; длинный пароль из букв и цифр снимает этот вопрос.

«Sophos Firewall не ответил в формате XML»: неверный порт, либо API отключён.