Configurar LAN Bypass y Fail-to-Wire en Sophos Firewall
LAN Bypass, también llamado Fail-to-Wire (FTW), conecta directamente un par de puertos físicos previsto para ello cuando se produce un fallo de alimentación o de hardware. La ruta puede seguir disponible y Sophos Firewall reanuda automáticamente el funcionamiento normal cuando vuelve la alimentación.
El límite es claro: durante el bypass todo el tráfico pasa sin inspección. No se aplican reglas, IPS, Web Protection, Application Control, análisis antimalware ni registros. FTW prioriza la conectividad frente a la protección y no es una opción de rendimiento.
⚠️ Probar únicamente durante una ventana de mantenimiento planificada, con el riesgo documentado, supervisión externa y el retorno al funcionamiento protegido verificado.
Requisitos y límites
Sophos documenta la función para modelos XGS Appliance 2xxx y posteriores, por ejemplo XGS 2100, utilizados en modo bridge. Los modelos XGS Appliance más pequeños, los firewalls virtuales y las instancias cloud no disponen de este hardware.
Los puertos forman pares FTW de hardware fijos. No basta con añadir dos interfaces cualesquiera a un bridge. Comprobar el par en el appliance, el Hardware Guide o la documentación del modelo. lanbypass está en off de forma predeterminada.
Antes de activarlo deben estar confirmados el par, la ruta LAN/WAN, un acceso de administración independiente, el backup, el responsable, la regla normal y una ventana que acepte temporalmente tráfico sin inspección.
No es una regla Stateful Firewall Bypass, que funciona por software, ni un clúster HA, donde un segundo nodo mantiene las protecciones.
Interacción con HA y STP
La ayuda de SFOS 22 sobre el modo bridge confirma HA en Bridge Interfaces dentro de un despliegue creado con el asistente. Al mismo tiempo, la referencia de Bridge Interface indica que STP no se puede activar en ningún Bridge Interface mientras HA esté activo. Estas páginas y la documentación de LAN Bypass no ofrecen un procedimiento combinado de HA/FTW ni establecen cómo interactúa un evento HA con el bypass de hardware. No se deben deducir la compatibilidad, el orden de activación ni el cableado a partir de las funciones por separado. Antes de combinarlas, solicitar a Sophos un diseño y un procedimiento de prueba específicos del modelo que distingan, para cada nodo, el failover HA protegido de una ruta FTW sin protección. El ejemplo Port1/Port2 de la KBA no es un esquema HA universal.
Planificar el par y el bridge
El ejemplo documentado utiliza el nombre Fail to Wire, el hardware XGS, la descripción LAN Bypass, Port1, Port2, las zonas LAN y WAN y un bridge enrutado. Su dirección estática es 192.168.1.151/24 (255.255.255.0); el objeto de gateway GW apunta a 192.168.1.1. Estos valores muestran todos los campos, pero no son un esquema universal de cableado o direccionamiento. El par de hardware y el diseño real son los valores decisivos.
Documentar el puerto del switch o proveedor, velocidad, dúplex, VLAN, direccionamiento, gateway, dependencias MAC y zonas. El par solo puede transportar lo que ambos lados puedan intercambiar en las capas 1 y 2 sin un firewall activo.
El bridge puede ser transparente sin IP o enrutado. FTW no crea un gateway, una regla ni NAT. Configurar y probar un Bridge Interface explica los miembros, STP, VLAN y el riesgo para la administración.
Configurar el bridge y el funcionamiento protegido
En Network > Interfaces > Add interface > Add bridge:
- Definir el nombre y el Hardware name y añadir el par FTW con sus zonas.
- Activar Enable routing on this bridge pair solo para un bridge enrutado e introducir la IP, máscara y gateway reales.
- Guardar, confirmar Add Bridge y conectar correctamente el par. Como comprobación inmediata en la UI, el nuevo bridge debe aparecer después en la lista Network Interfaces.
- Crear una regla limitada y con registro para el funcionamiento normal.
- Probar tráfico permitido y denegado, Rule ID, NAT, IPS y ruta de retorno.
Durante un bypass sin alimentación, la regla no puede controlar los paquetes. Una prueba normal no demuestra FTW y una prueba FTW no demuestra que la regla proteja correctamente.
Activar LAN Bypass en Device Console
Después de iniciar una sesión SSH segura, abrir 4. Device Console:
show lanbypass
set lanbypass on
set lanbypass off
Volver a consultar el estado después de cada cambio. on no demuestra que el cableado o el par de hardware sean correctos.
El valor predeterminado documentado es off. set lanbypass on|off cambia ese estado; cuando se restablece la alimentación, el firewall vuelve automáticamente al funcionamiento normal. show lanbypass consulta el estado y el ejemplo anterior muestra la configuración correspondiente en la UI.
Para un XGS 2300 con SFOS 19.5.3 MR-3 Build 652 también está documentada la siguiente ayuda de Advanced Shell. Se incluye solo como referencia; no ejecutar las opciones que modifican el estado sin instrucciones específicas del modelo de Sophos Support:
Usage: xgs-ftw [options] [<port>]
<port> Any port within FTW bump pair
Options:
-s, --status Get FTW status for the FTW bump pair (default)
-e, --enable-bypass Enable bypass on the FTW bump pair
-d, --disable-bypass Disable bypass on the FTW bump pair
-a, --arm Arm the FTW bump pair
-u, --unarm Unarm the FTW bump pair
-t, --timer {<seconds>|disable|reset} Arm/disable/reset watchdog timer
-h, --help Show this help message and exit
Esta salida de xgs-ftw -h documenta funciones específicas del modelo para estado, bypass, armado y watchdog; <port> es un puerto del par FTW. Las opciones que modifican el estado afectan directamente a la ruta de hardware y no son una receta general. Para problemas que excedan show lanbypass y el interruptor set documentado, registrar el modelo, el build de SFOS y el estado e involucrar a Sophos Support.
Probar Fail-to-Wire de forma controlada
La prueba es disruptiva y requiere acceso fuera de banda, contactos y criterios de cancelación.
- Durante el funcionamiento normal, probar ambos sentidos y guardar Rule ID, policy y registros.
- Confirmar
show lanbypass, velocidad, dúplex y enlace en ambos puertos. - Iniciar una supervisión end-to-end externa.
- Interrumpir la alimentación durante la ventana; puede producirse un breve cambio de enlace.
- Confirmar el paso por el par físico. La inspección y los registros del firewall deben estar ausentes.
- Restablecer la alimentación y esperar a que SFOS y las interfaces estén operativos.
- Crear un flujo nuevo y verificar Rule ID, IPS o Web Policy y los registros.
- Probar tráfico denegado de forma intencionada para demostrar el retorno a la protección.
Empezar con un flujo piloto pequeño y reconocible, no con toda la carga de producción.
Aislar errores habituales
No pasa tráfico durante el fallo
Comprobar el modelo, el par FTW, show lanbypass, el cableado, velocidad, dúplex y trunks VLAN. Dos miembros arbitrarios no crean FTW.
El bridge falla durante el funcionamiento normal
Comprobar miembros, zonas, modo IP, gateway, regla, NAT y filtros VLAN. LAN Bypass no corrige la configuración del bridge; Packet Capture y Rule ID muestran la ruta.
La protección no regresa
Probar un servicio bloqueado y una policy IPS o Web, no solo conectividad. Si no hay registros, comprobar interfaces, bridge, coincidencia de regla y servicios.
El bypass cambia de forma inesperada
Guardar modelo, build, show lanbypass y hora. No cambiar el armado ni el watchdog mediante xgs-ftw por ensayo y error; entregar la topología y el estado a Sophos Support.
Reversión y operación
Probar la ruta normal, ejecutar set lanbypass off y confirmar con show lanbypass. El bridge permanece configurado y debe retirarse por separado si ya no se necesita.
Documentar modelo, par, destinos de los cables, estado, última prueba, responsable del riesgo y próxima fecha. Volver a comprobar después de actualizar firmware, sustituir el hardware o cambiar el cableado.