Configurar LAN Bypass y Fail-to-Wire en Sophos Firewall
LAN Bypass, también llamado Fail-to-Wire (FTW), conecta directamente un par de puertos físicos previsto para ello cuando se produce un fallo de alimentación o de hardware. La ruta puede seguir disponible y Sophos Firewall reanuda automáticamente el funcionamiento normal cuando vuelve la alimentación.
El límite es claro: durante el bypass todo el tráfico pasa sin inspección. No se aplican reglas, IPS, Web Protection, Application Control, análisis antimalware ni registros. FTW prioriza la conectividad frente a la protección y no es una opción de rendimiento.
⚠️ Probar LAN Bypass únicamente durante una ventana de mantenimiento planificada. Durante un fallo real o simulado, el firewall no tiene visibilidad del tráfico que atraviesa el par. Las redes críticas requieren una decisión de riesgo documentada, supervisión externa y una vía de retorno probada al funcionamiento protegido.
Requisitos y límites
Sophos documenta la función para modelos XGS Appliance 2xxx y posteriores, por ejemplo XGS 2100, utilizados en modo bridge. Los modelos XGS Appliance más pequeños, los firewalls virtuales y las instancias cloud no disponen de este hardware.
Los puertos forman pares FTW de hardware fijos. No basta con añadir dos interfaces cualesquiera a un bridge. Comprobar el par en el appliance, el Hardware Guide o la documentación del modelo. lanbypass está en off de forma predeterminada.
Antes de activarlo deben estar confirmados el par, la ruta LAN/WAN, un acceso de administración independiente, el backup, el responsable, la regla normal y una ventana que acepte temporalmente tráfico sin inspección.
No es una regla Stateful Firewall Bypass, que funciona por software, ni un clúster HA, donde un segundo nodo mantiene las protecciones.
Interacción con HA y STP
La ayuda de SFOS 22 sobre el modo bridge confirma HA en Bridge Interfaces dentro de un despliegue creado con el asistente. Al mismo tiempo, la referencia de Bridge Interface indica que STP no se puede activar en ningún Bridge Interface mientras HA esté activo. Estas páginas y la documentación de LAN Bypass no ofrecen un procedimiento combinado de HA/FTW ni establecen cómo interactúa un evento HA con el bypass de hardware. No se deben deducir la compatibilidad, el orden de activación ni el cableado a partir de las funciones por separado. Antes de combinarlas, solicitar a Sophos un diseño y un procedimiento de prueba específicos del modelo que distingan, para cada nodo, el failover HA protegido de una ruta FTW sin protección. El ejemplo Port1/Port2 de la KBA no es un esquema HA universal.
Planificar el par y el bridge
El ejemplo documentado utiliza el nombre Fail to Wire, el hardware XGS, la descripción LAN Bypass, Port1, Port2, las zonas LAN y WAN y un bridge enrutado. Su dirección estática es 192.168.1.151/24 (255.255.255.0); el objeto de gateway GW apunta a 192.168.1.1. Estos valores muestran todos los campos, pero no son un esquema universal de cableado o direccionamiento. El par de hardware y el diseño real son los valores decisivos.
Documentar el puerto del switch o proveedor, velocidad, dúplex, VLAN, direccionamiento, gateway, dependencias MAC y zonas. El par solo puede transportar lo que ambos lados puedan intercambiar en las capas 1 y 2 sin un firewall activo.
El bridge puede ser transparente sin IP o enrutado. FTW no crea un gateway, una regla ni NAT. Configurar y probar un Bridge Interface explica los miembros, STP, VLAN y el riesgo para la administración.
Configurar el bridge y el funcionamiento protegido
En Network > Interfaces > Add interface > Add bridge:
- Definir un nombre identificable y el Hardware name, que no se puede modificar después, y añadir el par FTW confirmado con sus zonas.
- Activar Enable routing on this bridge pair solo para un bridge enrutado e introducir la IP, máscara y gateway reales.
- Guardar, confirmar Add Bridge y conectar correctamente el par. Como comprobación inmediata en la UI, el nuevo bridge debe aparecer después en la lista Network Interfaces.
- Crear una regla limitada y con registro para el funcionamiento normal.
- Probar tráfico permitido y denegado, Rule ID, NAT, IPS y ruta de retorno.
Durante un bypass sin alimentación, la regla no puede controlar los paquetes. Una prueba normal no demuestra FTW y una prueba FTW no demuestra que la regla proteja correctamente.
Activar LAN Bypass en Device Console
Después de iniciar una sesión SSH segura, abrir 4. Device Console:
show lanbypass
Antes de cualquier prueba temporal, guardar en el registro del cambio el valor exacto previo del interruptor, on u off, como estado inicial. Utilizar un registro de configuración fiable o una consulta de estado compatible con el modelo y la versión de SFOS; las referencias de SFOS 22/23 sobre set lanbypass no documentan la salida de show lanbypass. Si no se puede establecer el estado inicial con fiabilidad, contactar con Sophos Support antes de modificarlo. El valor predeterminado off no sustituye al estado inicial. Ejecutar solo el comando correspondiente para activar o desactivar la función, no ambos consecutivamente:
set lanbypass on
set lanbypass off
Volver a consultar el estado después de cada cambio. on no demuestra que el cableado o el par de hardware sean correctos.
El valor predeterminado documentado es off. set lanbypass on|off cambia ese estado; cuando se restablece la alimentación, el firewall vuelve automáticamente al funcionamiento normal. show lanbypass consulta el estado y el ejemplo anterior muestra la configuración correspondiente en la UI.
Para un XGS 2300 con SFOS 19.5.3 MR-3 Build 652 también está documentada la siguiente ayuda de Advanced Shell. Se incluye solo como referencia; no ejecutar las opciones que modifican el estado sin instrucciones específicas del modelo de Sophos Support:
Usage: xgs-ftw [options] [<port>]
<port> Any port within FTW bump pair
Options:
-s, --status Get FTW status for the FTW bump pair (default)
-e, --enable-bypass Enable bypass on the FTW bump pair
-d, --disable-bypass Disable bypass on the FTW bump pair
-a, --arm Arm the FTW bump pair
-u, --unarm Unarm the FTW bump pair
-t, --timer {<seconds>|disable|reset} Arm/disable/reset watchdog timer
-h, --help Show this help message and exit
Esta salida de xgs-ftw -h documenta funciones específicas del modelo para estado, bypass, armado y watchdog; <port> es un puerto del par FTW. Las opciones que modifican el estado afectan directamente a la ruta de hardware y no son una receta general. Para problemas que excedan show lanbypass y el interruptor set documentado, registrar el modelo, el build de SFOS y el estado e involucrar a Sophos Support.
Probar Fail-to-Wire de forma controlada
La prueba es disruptiva y solo debe realizarse si los sistemas afectados toleran una breve interrupción del enlace y tráfico temporalmente sin protección. Antes de empezar deben estar definidos el acceso fuera de banda, los contactos de los responsables de red y aplicaciones y un criterio de cancelación.
- Durante el funcionamiento normal, probar ambos sentidos y guardar Rule ID, policy y registros.
- Confirmar
show lanbypass, velocidad, dúplex y enlace en ambos puertos. - Iniciar una supervisión end-to-end externa.
- Interrumpir la alimentación de forma controlada durante la ventana de mantenimiento. Puede producirse un breve cambio de enlace o ser necesario establecer nuevas conexiones de cliente; no se garantiza la continuidad de las sesiones.
- Confirmar el paso por el par físico. La inspección y los registros del firewall deben estar ausentes.
- Restablecer la alimentación y esperar a que SFOS y las interfaces estén operativos.
- Crear un flujo nuevo y verificar Rule ID, IPS o Web Policy y los registros.
- Probar tráfico denegado de forma intencionada para demostrar el retorno a la protección.
Empezar con un flujo piloto pequeño y reconocible, no con toda la carga de producción.
Aislar errores habituales
No pasa tráfico durante el fallo
Comprobar el modelo, el par FTW, show lanbypass, el cableado, velocidad, dúplex y trunks VLAN. Dos miembros arbitrarios no crean FTW.
El bridge falla durante el funcionamiento normal
Comprobar miembros, zonas, modo IP, gateway, regla, NAT y filtros VLAN. LAN Bypass no corrige la configuración del bridge; Packet Capture y Rule ID muestran la ruta.
La protección no regresa
Probar un servicio bloqueado y una policy IPS o Web, no solo conectividad. Si no hay registros, comprobar interfaces, bridge, coincidencia de regla y servicios.
El bypass cambia de forma inesperada
Guardar modelo, build, show lanbypass y hora. No cambiar el armado ni el watchdog mediante xgs-ftw por ensayo y error; entregar la topología y el estado a Sophos Support.
Reversión y operación
Después de una prueba temporal, incluso si se cancela o da un resultado inesperado, restablecer primero la alimentación y esperar a que el appliance sea accesible y la ruta normal protegida esté lista. Restaurar únicamente el interruptor lanbypass modificado para la prueba al estado inicial guardado: set lanbypass on si antes era on, o set lanbypass off si antes era off. Ni aplicar off incondicionalmente ni invertir el valor de la prueba conserva el estado inicial. La recuperación automática al volver la alimentación no sustituye esta restauración. Repetir las pruebas normales positiva y negativa con Rule ID, política de seguridad y registros. Verificar la configuración solo mediante evidencia compatible con el modelo y la versión; si el estado no está claro o falta protección, detener la prueba y recurrir a Sophos Support.
La retirada permanente es una decisión distinta: solo si se decide que FTW ya no forme parte del diseño, probar primero la ruta normal y ejecutar después set lanbypass off. Comprobar el estado mediante evidencia compatible. Esto no elimina el bridge; migrarlo o retirarlo por separado solo si es necesario.
Documentar modelo, par, destinos de los cables, estado, última prueba, responsable del riesgo y próxima fecha. Volver a comprobar después de actualizar firmware, sustituir el hardware o cambiar el cableado.