Configurar gateway Sophos Cloud

Para configurar um gateway Sophos Cloud no ESXi, siga este procedimento:

• Baixe e implante a imagem da VM.

• Valide o seu domínio.

• Adicione as configurações do gateway e adicione instâncias.

• Baixe as imagens e inicialize a VM.

Se você estiver usando um proxy two-arm, consulte Configuração de Rede.

Baixar e implantar imagem

1. Em Sophos Central, vá para Dispositivos > Instaladores.

2. Localize Zero Trust Network Access.

   1. Clique no link de download de uma imagem de gateway.
   2. Aceite o contrato de licença e (se solicitado) os formulários de conformidade de exportação de software.
   3. A imagem do gateway é baixada. Esta é uma imagem OVA genérica do gateway ZTNA para servidores ESXi. Você pode reutilizá-la quantas vezes quiser.

   

3. Implemente a imagem OVA em seu host ESXi. No VMware vSphere, clique com o botão direito do mouse no host e selecione Deploy OVA Template. Isso executa um assistente que o orienta pela implantação.

   Alerta

   Desative a opção para ligar automaticamente (o padrão no ESXi) ou impeça que o gateway ZTNA seja inicializado depois que você terminar. Caso contrário, o gateway será inicializado sem os arquivos ISO e você terá que iniciar novamente.

   

Validar o seu domínio

1. Em Sophos Central, vá para Meus produtos > ZTNA > Configurações.

2. Clique em Domínios.

3. Clique em Adicionar domínio, adicione seu nome de domínio e clique em Adicionar.

   Você verá suas informações de domínio na tabela de domínios. Um registro TXT é gerado para o seu domínio.

4. Vá para o seu servidor DNS e adicione o registro TXT do domínio.

   Aguarde alguns minutos antes de passar para a próxima etapa.

5. Volte para o Sophos Central e vá para Meus produtos > ZTNA > Configurações > Domínios e clique em Validar.

   O status do domínio muda para "Validado".

Adicionar configurações de gateway e adicionar instâncias

1. Clique em Adicionar gateway.

2. Em Modo de gateway, selecione Sophos Cloud.

   

3. Insira um nome de gateway e o FQDN do gateway.

   Nota

   Certifique-se de que o FQDN do gateway seja o mesmo especificado na página Registrar um aplicativo. Consulte Registrar o aplicativo ZTNA.

4. Selecione seu Domínio (validado).

5. Selecione VMWare ESXi como o Tipo de plataforma.

6. Selecione seu Provedor de identidade.

7. Em Pontos de presença, selecione a sua região.

   Selecione a região mais próxima de onde seu datacenter está para reduzir a latência.

8. Selecione o Modo de implantação.

   • One-arm usa a interface externa para o tráfego de entrada e de saída.
   • Two-arm usa as interfaces externa e interna.

9. Insira as configurações da Interface.

   • Se selecionar DHCP, defina uma reserva no servidor DHCP.

     Alerta

     O gateway não pode lidar com alterações em seu endereço IP. Você deve definir uma reserva para garantir que ele sempre mantenha o endereço IP inicial que o DHCP atribui.

   • Se você selecionar IP estático, especifique o endereço IP, a sub-rede e as configurações do servidor DNS.

     Em uma implantação two-arm, você deve especificar Rotas estáticas se tiver aplicativos hospedados em várias redes internas.

10. Carregue os certificados que você criou anteriormente. Consulte Obter um certificado.

11. Clique em Salvar e gerar arquivo.

    Você verá a janela pop-up Gateway adicionado, que mostra o Domínio de alias gerado para o gateway. Mais tarde, você precisará adicionar o domínio de alias do gateway ao seu servidor DNS público como uma entrada CNAME. Consulte Adicionar configurações de DNS.

12. Clique em Copiar.

    Você verá seu gateway na página Gateways. Veja um exemplo.

    

13. Clique no Nome do seu gateway.

    Isso o levará à página Detalhes do Gateway.

14. Nos detalhes do gateway, você pode ver que a imagem ISO está pronta para download. Você precisará dela para inicializar o gateway. O ISO é exclusivo para cada gateway. Você não pode reutilizá-lo.

    Antes de baixar a imagem, sugerimos que você crie um cluster de gateway. Se você não quiser um cluster, vá para a seção Baixar imagens e inicializar a VM.

    

15. Nos detalhes do gateway, clique em Adicionar/Editar instâncias.

    

16. Em Adicionar/Editar instâncias, clique em Adicionar outra instância. O clustering é ativado automaticamente.

    

17. Insira os detalhes da nova instância da seguinte forma:

    1. Digite um IP virtual de cluster. Usado para gerenciamento de cluster e balanceamento de carga. O endereço IP deve ser um endereço que você não usou antes nessa configuração e deve estar no mesmo intervalo de IP que as instâncias do gateway.

       Dica

       Em uma implantação two-arm, o endereço IP da interface externa é usado apenas para balanceamento de carga. Se você usar um balanceador externo de carga, deixe esse campo em branco.

    2. Digite o Nome da VM e IP de interface para a nova instância.

       Em uma implantação two-arm, insira um IP de interface interna e externa.

    3. Repita o processo para adicionar outra instância.

       Nota

       Você deve ter pelo menos três instâncias para um cluster. Você pode ter até nove instâncias, e sempre deve ter um número ímpar de instâncias.

       Nota

       Para manter seu cluster ativo, certifique-se de que pelo menos metade dos gateways nele estejam ativos.

    

Em seguida, baixe os arquivos ISO e inicialize o gateway.

Baixar imagens e inicializar a VM

1. Vá para Instâncias do Gateway e role para baixo.

   Você verá suas instâncias em Status.

2. Baixe cada arquivo ISO e monte-o em seu host. Em seguida, conecte-o ao gateway, da seguinte forma:

   1. Vá para VMware vSphere.
   2. Clique com o botão direito do mouse na VM do gateway e selecione Edit Settings.
   3. Na guia Hardware, em CD/DVD drive, certifique-se de que o arquivo ISO aparece e selecione Connect.
   4. Em Status, selecione Connect at Power on.
   5. Clique em Salvar.

   Se um dispositivo serial estiver listado no hardware virtual, você poderá removê-lo com segurança.

   Quando o gateway inicializar com o arquivo iso, ele entrará em contato com o Sophos Central para se registrar.

   

3. Volte para o Sophos Central. Na página Gateways, o status do gateway muda para Aguardando Aprovação.

   Quando solicitado, para aprovar o registro do gateway clique em Aprovar.

   Pode levar até dez minutos para a aprovação entrar em vigor. O status do gateway muda para Ativo e Conectado. Você verá uma opção para criar uma senha, se desejar.

   Nota

   Se você tiver um cluster de instâncias de gateway, é necessário aprovar o registro de gateway apenas para a primeira instância de gateway. As instâncias subsequentes são gerenciadas sem aprovação explícita.

   Nota

   O arquivo ISO deve permanecer anexado ao gateway. Não é possível desmontá-lo após a inicialização do gateway.

   Nota

   Se o gateway não puder se conectar ao Sophos Central, vá para o VMware vSphere e execute o diagnóstico na VM.

   Quando uma nova versão de máquina virtual está disponível, uma marca de seleção verde é exibida na coluna de versão. Clique no número da versão para iniciar ou programar uma atualização. Veja as atualizações do Gateway em Gateways.

Você acabou a configuração do gateway Sophos Cloud.

Para configurar um gateway Sophos Cloud no Microsoft Hyper-V, faça o seguinte:

• Baixe e implante a imagem da VM.

• Valide o seu domínio.

• Adicione configurações de gateway para gerar um arquivo ISO ("imagem de semeadura").

• Baixe o arquivo ISO e inicialize o gateway.

Baixar e implantar imagem

1. Em Sophos Central, vá para Dispositivos > Instaladores.

2. Em Zero Trust Network Access, clique em Download da imagem Gateway VM para Hyper-V.

   Um arquivo ZIP contendo a imagem da VM é baixado.

   

3. Extraia a imagem Hyper-V base do arquivo ZIP que você baixou.

   Isso lhe dá o arquivo .vhdx necessário para configurar o gateway. Você não pode usar esse arquivo para implantar mais de uma VM, mas pode fazer cópias e usá-las para VMs adicionais.

4. No Gerenciador do Hyper-V, na lista Máquinas virtuais, em Ações, clique em Novo.

   

5. Insira um nome para o VM.

   

6. Selecione a geração. Geração 1 suporta sistemas operacionais de 32 e 64 bits.

   

7. Em Atribuir memória, digite pelo menos 4096 MB de memória de inicialização.

   

8. Em Configurar rede, selecione um adaptador de rede.

   

9. Em Conectar disco rígido virtual, selecione Usar um disco rígido virtual existente e navegue até o arquivo .vhdx que você extraiu do download da imagem da VM.

   

10. Clique em Terminar.

    

11. Vá para Configurações da nova VM.

    1. Em Hardware > Processadores, defina Número de processadores virtuais como "2".

    2. Se o gateway estiver em uma implantação two-arm, vá para Adaptador de rede e adicione outro adaptador à VM.

    

    Nota

    Se você estiver usando VLANs, certifique-se de marcar suas interfaces de rede com os IDs de VLAN apropriados.

12. Clique em Aplicar e Salvar.

Validar o seu domínio

1. Em Sophos Central, vá para Meus produtos > ZTNA > Configurações.

2. Clique em Domínios.

3. Clique em Adicionar domínio, adicione seu nome de domínio e clique em Adicionar.

   Você verá suas informações de domínio na tabela de domínios. Um registro TXT é gerado para o seu domínio.

4. Vá para o seu servidor DNS e adicione o registro TXT do domínio.

   Aguarde alguns minutos antes de passar para a próxima etapa.

5. Volte para o Sophos Central e vá para Meus produtos > ZTNA > Configurações > Domínios e clique em Validar.

   O status do domínio muda para "Validado".

Adicionar configurações de gateway e adicionar instâncias

1. Clique em Adicionar gateway.

2. Em Modo de gateway, selecione Sophos Cloud.

   

3. Insira um nome de gateway e o FQDN do gateway.

   Nota

   Certifique-se de que o FQDN do gateway seja o mesmo especificado na página Registrar um aplicativo. Consulte Registrar o aplicativo ZTNA.

4. Selecione seu Domínio (validado).

5. Selecione VMWare ESXi como o Tipo de plataforma.

6. Selecione seu Provedor de identidade.

7. Em Pontos de presença, selecione a sua região.

   Selecione a região mais próxima de onde seu datacenter está para reduzir a latência.

8. Selecione o Modo de implantação.

   • One-arm usa a interface externa para o tráfego de entrada e de saída.
   • Two-arm usa as interfaces externa e interna.

9. Insira as configurações da Interface.

   • Se selecionar DHCP, defina uma reserva no servidor DHCP.

     Alerta

     O gateway não pode lidar com alterações em seu endereço IP. Você deve definir uma reserva para garantir que ele sempre mantenha o endereço IP inicial que o DHCP atribui.

   • Se você selecionar IP estático, especifique o endereço IP, a sub-rede e as configurações do servidor DNS.

     Em uma implantação two-arm, você deve especificar Rotas estáticas se tiver aplicativos hospedados em várias redes internas.

10. Carregue os certificados que você criou anteriormente.

11. Clique em Salvar e gerar arquivo.

    Você verá a janela pop-up Gateway adicionado, que mostra o Domínio de alias gerado para o gateway. Mais tarde, você precisará adicionar o domínio de alias do gateway ao seu servidor DNS público como uma entrada CNAME. Consulte Adicionar configurações de DNS.

12. Clique em Copiar.

    Você verá seu gateway na página Gateways. Veja um exemplo.

    

13. Clique no Nome do seu gateway.

    Isso o levará à página Detalhes do Gateway.

14. Nos detalhes do gateway, você pode ver que a imagem ISO está pronta para download. Você precisará dela para inicializar o gateway. O ISO é exclusivo para cada gateway. Você não pode reutilizá-lo.

    Antes de baixar a imagem, sugerimos que você crie um cluster de gateway. Se você não quiser um cluster, vá para a seção Baixar o arquivo ISO e inicializar o gateway.

    

15. Nos detalhes do gateway, clique em Adicionar/Editar instâncias.

    

16. Em Adicionar/Editar instâncias, clique em Adicionar outra instância. O clustering é ativado automaticamente.

    

17. Insira os detalhes da nova instância da seguinte forma:

    1. Digite um IP virtual de cluster. Usado para gerenciamento de cluster e balanceamento de carga. Ele deve estar no mesmo intervalo de IP das instâncias do gateway.

       Em uma implantação two-arm, o VIP do cluster externo é apenas para balanceamento de carga. Se você usar um balanceador externo de carga, deixe isso em branco.

    2. Digite o Nome da VM e IP de interface para a nova instância.

       Em uma implantação two-arm, insira um IP de interface interna e externa.

    3. Repita o processo para adicionar outra instância.

       Nota

       Você deve ter pelo menos três instâncias para um cluster. Você pode ter até nove instâncias, e sempre deve ter um número ímpar de instâncias.

       Nota

       Para manter seu cluster ativo, certifique-se de que pelo menos metade dos gateways nele estejam ativos.

    

Em seguida, baixe os arquivos ISO e inicialize o gateway.

Baixar o arquivo ISO e inicializar o gateway

Baixe o arquivo ISO para cada instância, anexe-o à VM do gateway e inicialize o gateway da seguinte forma:

1. Nos detalhes do gateway, vá para cada instância e clique em Download da imagem.

   

2. No Gerenciador do Hyper-V, vá para Configurações da VM. Em Unidade de DVD, faça o seguinte:

   1. Em Controlador, selecione Controlador IDE 1.
   2. Em Mídia, selecione Arquivo de imagem e insira o caminho para o ISO de semeadura.
   3. Clique em Aplicar e Salvar.

   Nota

   O arquivo ISO deve permanecer anexado ao gateway. Não é possível desmontá-lo após a inicialização do gateway.

   

3. Ligue as instâncias do gateway. Aguarde alguns minutos.

4. No Sophos Central, vá para Meus produtos > ZTNA > Gateways e clique no novo gateway para abrir sua página de detalhes.

   O status do gateway muda para Aguardando aprovação do gateway. Clique em Aprovar.

   

   Nota

   Se você tiver um cluster de instâncias de gateway, é necessário aprovar o registro de gateway apenas para a primeira instância de gateway. As instâncias subsequentes são gerenciadas sem aprovação explícita.

5. O status do gateway muda para Ativo.

Você acabou a configuração do gateway Sophos Cloud.

Quando uma nova versão de máquina virtual está disponível, uma marca de seleção verde é exibida na coluna de versão. Clique no número da versão para iniciar ou programar uma atualização. Veja as atualizações do Gateway em Gateways.

Para configurar um gateway Sophos Cloud ZTNA na Amazon Web Services (AWS), faça o seguinte:

Validar o seu domínio

1. Em Sophos Central, vá para Meus produtos > ZTNA > Configurações.

2. Clique em Domínios.

3. Clique em Adicionar domínio, adicione seu nome de domínio e clique em Adicionar.

   Você verá suas informações de domínio na tabela de domínios. Um registro TXT é gerado para o seu domínio.

4. Vá para o seu servidor DNS e adicione o registro TXT do domínio.

   Aguarde alguns minutos antes de passar para a próxima etapa.

5. Volte para o Sophos Central e vá para Meus produtos > ZTNA > Configurações > Domínios e clique em Validar.

   O status do domínio muda para "Validado".

Adicionar configurações de gateway e adicionar instâncias

1. Clique em Adicionar gateway.

2. Em Modo de gateway, selecione Sophos Cloud.

   

3. Insira um nome de gateway e o FQDN do gateway.

1. Selecione seu Domínio (validado).

2. Selecione AWS como o Tipo de plataforma.

3. Selecione seu Provedor de identidade.

4. Em Pontos de presença, selecione a sua região.

   Selecione a região mais próxima de onde seu datacenter está para reduzir a latência.

5. Selecione o Modo de implantação.

   • One-arm usa a interface externa para o tráfego de entrada e de saída.
   • Two-arm usa as interfaces externa e interna.

6. Insira as configurações da Interface.

   • Se selecionar DHCP, defina uma reserva no servidor DHCP.

     Alerta

     O gateway não pode lidar com alterações em seu endereço IP. Você deve definir uma reserva para garantir que ele sempre mantenha o endereço IP inicial que o DHCP atribui.

   • Se você selecionar IP estático, especifique o endereço IP, a sub-rede e as configurações do servidor DNS.

     Em uma implantação two-arm, você deve especificar Rotas estáticas se tiver aplicativos hospedados em várias redes internas.

7. Carregue os certificados que você criou anteriormente.

8. Clique em Salvar e gerar arquivo.

   Você verá a janela pop-up Gateway adicionado, que mostra o Domínio de alias gerado para o gateway. Mais tarde, você precisará adicionar o domínio de alias do gateway ao seu servidor DNS público como uma entrada CNAME. Consulte Adicionar configurações de DNS.

9. Clique em Copiar.

   Você verá seu gateway na página Gateways. Veja um exemplo.

   

10. Clique no link Launch stack ao lado do gateway.

    

Criar uma pilha no AWS

No AWS, em CloudFormation, você vê o modelo Quick create stack. Nós já o configuramos parcialmente. Siga as etapas abaixo para concluir.

1. Na página Quick create stack, faça o seguinte:

   1. Selecione uma região AWS (canto superior direito da tela).
   2. Em Stack name, digite um nome personalizado.

   

2. Em Basic configuration, selecione duas ou três zonas de disponibilidade para garantir a disponibilidade do gateway.

   

3. Em VPC network configuration, faça o seguinte:

   1. Defina o número de zonas de disponibilidade. Isso deve corresponder ao número de zonas selecionadas na etapa anterior.
   2. Certifique-se de que as sub-redes não entrem em conflito com os recursos existentes.
   3. Em MaxNumberOfNodes, defina o número máximo de nós. Por padrão, são três.
   4. Em NodeInstanceType, selecione o tipo de instância EC2 a ser usado.
   5. Em NumberOfNodes, defina o número de nós desejados. O padrão é um para cada zona de disponibilidade.

   O dimensionamento automático não está disponível no momento para ZTNA.

   

4. Clique em Create slack e aguarde até que o processo seja concluído. Isso pode levar até uma hora. Quando terminar, sua nova pilha estará na lista de pilhas do AWS, e os detalhes serão parecidos com estes.

   

5. No Sophos Central, vá para o novo gateway. Clique em Aprovar.

   Pode levar até dez minutos para a aprovação entrar em vigor. O status do gateway muda para Conectado.

   

   Nota

   Se você tiver um cluster de instâncias de gateway, é necessário aprovar o registro de gateway apenas para a primeira instância de gateway. As instâncias subsequentes são gerenciadas sem aprovação explícita.

Configurar o seu novo VPC

Configure o VPC da seguinte maneira:

1. No AWS, vá para Virtual Private Cloud > Your VPCs.

   

2. Vá para o seu novo VPC e procure o ID do VPC. Você pode usar esse ID para pesquisar os outros componentes que criou.

   

3. Vá para suas instâncias do EC2 e pesquise instâncias com o ID do novo VPC. Isso localiza as instâncias que compõem o cluster do ZTNA gateway. Renomeie-as.

   

   Nota

   Para manter seu cluster ativo, certifique-se de que pelo menos metade dos gateways nele estejam ativos.

Criar uma conexão por emparelhamento

O gateway está sempre em um novo VPC, portanto, você deve usar o emparelhamento para conectá-lo ao VPC onde os seus aplicativos estão.

1. Vá para VPC > Peering connections. Clique em Create peering connection e faça o seguinte:

   1. Em VPC ID (requester), selecione o ID do ZTNA gateway.
   2. Em VPC ID (Accepter), selecione o VPC onde estão os seus recursos.
   3. Clique em Create peering connection.

   

2. Vá para Subnets e adicione sua sub-rede de recursos e as sub-redes privadas do gateway às tabelas de rotas. Isso permite que o ZTNA use a conexão de emparelhamento para se conectar aos recursos.

   

Você acabou a configuração do gateway Sophos Cloud.

Quando uma nova versão de máquina virtual está disponível, uma marca de seleção verde é exibida na coluna de versão. Clique no número da versão para iniciar ou programar uma atualização. Veja as atualizações do Gateway em Gateways.

Firewalls gerenciados centralmente podem usar um gateway de ZTNA para oferecer acesso seguro a recursos internos. Para saber como gerenciar seu firewall através do Sophos Central, consulte Sophos Firewall: Sophos Central.

Para configurar um gateway Sophos Cloud que controla o acesso aos recursos da sua rede, faça o seguinte:

1. No Sophos Central, vá para Meus produtos > ZTNA > Gateways.

2. Clique em Adicionar gateway.

3. Em Modo de gateway, selecione Sophos Cloud.

4. Insira um nome de gateway e o FQDN do gateway.

   Nota

   Certifique-se de que o FQDN do gateway seja o mesmo especificado na página Registrar um aplicativo. Consulte Registrar o aplicativo ZTNA.

5. Selecione seu Domínio (validado).

6. Selecione Firewall como o Tipo de plataforma.

7. Em Firewall, selecione seu firewall SFOS na lista suspensa.

   

   A lista suspensa inclui somente firewalls gerenciados pelo Sophos Central e que estão na versão de firmware 19.5 MR3 e posterior.

   Você pode selecionar um firewall ativo a partir de um par de alta disponibilidade, o que garante o failover de tráfego e serviços e minimiza o tempo de inatividade do ZTNA.

8. Selecione seu Provedor de identidade.

9. Em Pontos de presença, selecione a sua região.

   Selecione a região mais próxima de onde seu datacenter está para reduzir a latência.

10. Carregue os certificados que você criou anteriormente. Consulte Obter um certificado.

11. Clique em Salvar.

    Você verá seu gateway na página Gateways.

    Nota

    O gateway deve estar ativo em aproximadamente 5 minutos.

12. Clique no Nome do seu gateway.

    Isso o levará à página Detalhes do Gateway. Você pode visualizar e editar os detalhes do seu gateway ou deletar o gateway.

Adicionar o portal de administração da Web do seu firewall como um recurso

Você pode adicionar seu portal de administração da Web de firewall como um recurso. Quando fizer isso, você verá o Web Admin Portal na lista suspensa Tipo de recurso para os dois métodos de acesso: Agente e Sem agente.

Acesso sem agente

Você pode definir um FQDN externo, como http://firewall.xyz.com, e definir o tipo de recurso como Web Admin Portal. Quando você adiciona o recurso, um domínio de alias é gerado. Você deve adicioná-lo como um registro CNAME no seu servidor DNS público. Todo o tráfego para o seu portal de administração da web é redirecionado para o domínio de alias de propriedade da Sophos.

Acesso baseado em agente

Você pode adicionar qualquer coisa como um FQDN externo para o recurso, e o agente ZTNA o interceptará. Um túnel foi criado quando você adicionou um registro A para o gateway de firewall, e todo o tráfego para o seu portal de administração da Web passa pelo túnel.

Migrar recursos

Para migrar recursos existentes atrás de uma plataforma de gateway para um gateway de firewall, faça o seguinte:

1. Configure um gateway ZTNA.
2. Adicione um novo URI de redirecionamento para o gateway de firewall.
3. Edite seus recursos existentes. Para isso, vá para Recursos e acesso e clique no nome do recurso para abrir os Detalhes do recurso. Para Gateway, selecione o gateway de firewall.
4. Se o método de acesso for Sem agente, copie o domínio de alias do firewall e adicione-o ao servidor DNS público.