Sophos Firewall

Sophos Firewall (SFOS) через его XML API: линк каждого интерфейса, привязанного к зоне, и какие IPsec-соединения активированы.

Это намеренно всё. XML API — это API конфигурации: помимо состояния связи каждого интерфейса, доступного только для чтения, он не раскрывает никакого живого состояния. <Get><IPSecConnection> возвращает, активировал ли администратор соединение, а не поднят ли туннель; высокая доступность, лицензии, подписки и версия прошивки туда вообще не входят. DumbMonit публикует активацию именно как активацию и никогда не представляет её как состояние туннеля.

Каждую минуту DumbMonit отправляет два запроса на https://<firewall>:4444/webconsole/APIController (поле формы reqxml, никогда в URL, где пароль оказался бы в журналах): <Get><Interface> и <Get><IPSecConnection>. Каждый несёт имя пользователя и пароль учётной записи, чей профиль доступа к устройству — только для чтения везде: файрвол применяет этот профиль и к API.

Проверено только по документации производителя — пока не испытано на реальной системе

Эта интеграция построена на документации XML API Sophos (сущности Interface и IPSecConnection, сообщения входа и статуса), а не на работающем файрволе. Точная формулировка статуса интерфейса (Connected, 1000 Mbps… или Disconnected) взята из этой документации и сообщений сообщества. Сообщите нам, если что-то не работает.

Что отслеживается

Все метрики с префиксом dumbmonit_sophos_.

Метрика	Метки	Значение
api_version_info	api_version	Значение 1: версия API, которую объявляет файрвол (2000.2), следующая за релизом SFOS.
interface_link_up	interface, zone	1, когда статус — Connected, 0 — когда Disconnected; отсутствует, когда статус иной.
interface_enabled	interface, zone	0, когда интерфейс выключен.
interface_down	interface, zone	1, когда интерфейс включён, привязан к зоне, и у него нет линка. Свободные порты (зона None) не учитываются.
interfaces, interfaces_down		Счётчики.
ipsec_connection_activated	connection	1, когда соединение активировано в конфигурации. Не состояние туннеля.
ipsec_connections		Счётчик.

Применяемое встроенное правило:

• Интерфейс Sophos без линка: включённый и привязанный к зоне интерфейс не имеет линка уже пять минут (Advisory).

Для счётчиков трафика добавьте файрвол также как устройство SNMP: SFOS отвечает по стандартному MIB интерфейсов.

Страница монитора

Панель Firewall сообщает, есть ли линк у каждого интерфейса в зоне, затем перечисляет эти интерфейсы и IPsec-соединения с их настроенной активацией, обозначенной как таковая.

Разрешить DumbMonit читать XML API Sophos Firewall

1. В Profiles > Device access добавьте профиль с именем DumbMonit read-only и задайте для каждого права значение Read-only.

2. В Authentication > Users добавьте пользователя с именем dumbmonit, типа Administrator, с этим профилем и длинным случайным паролем.

3. В Backup & firmware > API (Administration > API access начиная с SFOS 22) включите конфигурацию API и добавьте адрес сервера DumbMonit в разрешённые IP-адреса.

4. В DumbMonit введите адрес файрвола, например «sophos.lan», с именем пользователя и паролем dumbmonit. API слушает на порту администрирования, по умолчанию 4444, с самоподписанным сертификатом: отметьте Accept an unverifiable certificate, если вы не установили собственный.

Warning

XML API — это API конфигурации: он сообщает линк каждого интерфейса и активировано ли каждое IPsec-соединение, а не поднят ли туннель. Высокая доступность, лицензии и версия прошивки в него не входят.

Учётные данные

Учётные данные	Поля
Имя пользователя и пароль	Пользователь dumbmonit с профилем доступа к устройству только для чтения.

Адрес: имя хоста или IP файрвола, host:port, или URL. Опции:

• Порт (4444): порт администрирования.
• Принимать непроверяемый сертификат: собственный сертификат файрвола самоподписан.
• Таймаут на запрос (15 с).

Диагностика

«Sophos Firewall отклонил запрос (534 …)»: адрес DumbMonit не входит в разрешённые IP-адреса конфигурации API.

«Sophos Firewall отклонил вход»: неверное имя пользователя или пароль, либо пароль с символами, которые файрвол отклоняет в вызовах API; длинный пароль из букв и цифр снимает этот вопрос.

«Sophos Firewall не ответил в формате XML»: неверный порт, либо API отключён.