Sophos Firewall

Un Sophos Firewall (SFOS) via son API XML : le lien de chaque interface liée à une zone, et quelles connexions IPsec sont activées.

C’est volontairement tout. L’API XML est une API de configuration : à part l’état de connectivité en lecture seule de chaque interface, elle n’expose aucun état en direct. <Get><IPSecConnection> renvoie si un administrateur a activé une connexion, pas si le tunnel est monté ; la haute disponibilité, les licences et abonnements et la version du firmware n’y sont pas du tout. DumbMonit publie l’activation comme telle et ne la présente jamais comme un état de tunnel.

Chaque minute, DumbMonit envoie deux requêtes à https://<firewall>:4444/webconsole/APIController (champ de formulaire reqxml, jamais dans l’URL, où le mot de passe finirait dans les logs) : <Get><Interface> et <Get><IPSecConnection>. Chacune porte le nom d’utilisateur et le mot de passe d’un compte dont le profil d’accès à l’appareil est en lecture seule partout : le pare-feu impose ce profil à l’API aussi.

Validé contre la documentation du fournisseur seulement — pas encore testé sur un système réel

Cette intégration a été construite à partir de la documentation de l’API XML de Sophos (les entités Interface et IPSecConnection, les messages de connexion et d’état), pas contre un pare-feu en fonctionnement. Le libellé exact de l’état d’interface (Connected, 1000 Mbps… ou Disconnected) vient de cette documentation et de retours de la communauté. Dites-nous ce qui casse.

Ports réseau à ouvrir

Du serveur DumbMonit (ou de son agent relais) vers l’équipement :

Port	Protocole	Usage
4444	TCP	API d’administration (HTTPS, par défaut)

Ce qu’il surveille

Toutes les métriques sont préfixées dumbmonit_sophos_.

Métrique	Labels	Signification
api_version_info	api_version	Valeur 1 : la version d’API que le pare-feu annonce (2000.2), qui suit la release SFOS.
interface_link_up	interface, zone	1 quand l’état indique Connected, 0 quand Disconnected ; absent quand l’état est autre chose.
interface_enabled	interface, zone	0 quand l’interface est éteinte.
interface_down	interface, zone	1 quand l’interface est allumée, liée à une zone, et n’a pas de lien. Les ports libres (zone None) sont laissés tranquilles.
interfaces, interfaces_down		Compteurs.
ipsec_connection_activated	connection	1 quand la connexion est activée dans la configuration. Pas l’état du tunnel.
ipsec_connections		Compteur.

La règle intégrée qui s’applique :

• Interface Sophos sans lien : une interface allumée et liée à une zone n’a eu aucun lien depuis cinq minutes (Avis).

Pour les compteurs de trafic, ajoutez aussi le pare-feu comme appareil SNMP : SFOS répond à la MIB standard des interfaces.

La page de la surveillance

Le panneau Firewall dit si chaque interface d’une zone a son lien, puis liste ces interfaces et les connexions IPsec avec leur activation configurée, étiquetée comme telle.

Autoriser DumbMonit à lire l’API XML du Sophos Firewall

1. Profiles → Device access : ajoutez un profil nommé DumbMonit read-only et réglez chaque droit sur Read-only.

2. Authentication → Users : ajoutez un utilisateur nommé dumbmonit, de type Administrator, avec ce profil et un long mot de passe aléatoire.

   dumbmonit

3. Backup & firmware → API (Administration → API access à partir de SFOS 22) : activez la configuration de l’API et ajoutez l’adresse du serveur DumbMonit aux adresses IP autorisées.

4. Dans DumbMonit, saisissez l’adresse du pare-feu (sophos.lan) avec ce nom d’utilisateur et son mot de passe.

Droits requis

• Device access profile: Read-only on every permission — Le pare-feu l’applique aussi à l’API

Warning

L’API écoute sur le port d’administration (4444 par défaut) avec un certificat auto-signé : cochez « Accept an unverifiable certificate » sauf si vous avez installé le vôtre.

Documentation de l’éditeur : https://docs.sophos.com/nsg/sophos-firewall/21.0/API/index.html

Notes

L’API XML est une API de configuration : elle donne le lien de chaque interface et si chaque connexion IPsec est activée, pas si le tunnel est monté. La haute disponibilité, les licences et la version du firmware n’y figurent pas. L’adresse depuis laquelle DumbMonit se connecte doit aussi pouvoir joindre le service d’administration HTTPS du pare-feu, en plus des adresses IP autorisées de l’API.

Identifiants

Identifiant	Champs
Nom d’utilisateur et mot de passe	L’utilisateur dumbmonit avec le profil d’accès à l’appareil en lecture seule.

Adresse : le nom d’hôte ou l’IP du pare-feu, host:port, ou une URL. Options :

• Port (4444) : le port d’administration.
• Accepter un certificat non vérifiable : le propre certificat du pare-feu est autosigné.
• Délai par requête (15 s).

Dépannage

« Sophos Firewall refused the request (534 …) » : l’adresse DumbMonit n’est pas parmi les adresses IP autorisées de la configuration de l’API.

« Sophos Firewall refused the login » : mauvais nom d’utilisateur ou mot de passe, ou un mot de passe avec des caractères que le pare-feu rejette dans les appels d’API ; un mot de passe long de lettres et de chiffres évite la question.

« Sophos Firewall did not answer in XML » : mauvais port, ou l’API est désactivée.