Realizar una prueba de velocidad de Internet en Sophos Firewall mediante SSH

Una descarga directa desde Advanced Shell responde a una pregunta bien delimitada: ¿qué velocidad de descarga alcanza el propio Sophos Firewall a través de su ruta WAN actual? Esto permite distinguir una conexión a Internet lenta de problemas en la red cliente, el Wi-Fi, el VPN o una política de seguridad.

La prueba no es un test completo de extremo a extremo. El tráfico propio del firewall no recorre el mismo camino que un cliente situado detrás del firewall. Para una medición controlada entre dos endpoints resulta más adecuado iPerf detrás de Sophos Firewall; los valores de las hojas de datos y el efecto de las funciones de seguridad activadas se explican en Rendimiento de Sophos Firewall.

Antes de la prueba de velocidad

La prueba requiere acceso SSH, DNS operativo y un momento no crítico. Para una comprobación rápida está disponible un archivo de 100 MB; en conexiones rápidas, el archivo de 1 GB suele proporcionar un promedio más estable. Ambas descargas pueden saturar temporalmente la conexión y no deben iniciarse durante copias de seguridad, picos de VoIP, pruebas de failover u otros trabajos de mantenimiento.

SSH se habilita en Administration > Device access mediante Local service ACL o, de forma más precisa, mediante una Local service ACL exception rule. El acceso debe permitirse únicamente desde una red de administración de confianza y volver a limitarse al mínimo necesario al terminar. El inicio de sesión se describe en Conectar Sophos Firewall mediante SSH. Sophos Firewall cierra las sesiones SSH inactivas después de 15 minutos.

⚠️ No iniciar la prueba si no están claros la ruta WAN activa o el impacto operativo. Si aparecen una carga de CPU inesperadamente alta, interrupciones o un gateway incorrecto, cancelar la descarga con Ctrl+C. La ruta de salida /dev/null utilizada a continuación no guarda ningún archivo de prueba en el firewall.

Comprobar la ruta WAN con varias conexiones

La descarga es tráfico generado por el sistema. Por tanto, una ruta SD-WAN para clientes no determina automáticamente su camino. En 4 Device Console, este comando de solo lectura muestra si las rutas SD-WAN adecuadas pueden aplicarse también al tráfico generado por el sistema:

show routing sd-wan-policy-route system-generate-traffic

Si la opción está activada, una ruta SD-WAN coincidente puede influir en el camino de la descarga. Si está desactivada, el firewall utiliza sus decisiones normales de routing y WAN. El comando todavía no demuestra qué gateway utiliza una descarga concreta. Además, deben revisarse los gateways activos en Network > WAN link manager y el estado y las rutas aplicables en Routing > SD-WAN routes.

Un ping con interface o sourceip también es solo un indicio para esa prueba ICMP; la descarga HTTPS posterior puede seguir otra ruta. SD-WAN Routing, Reply Packet y System Traffic explica estos detalles. No conviene modificar una opción de routing solo para la prueba de velocidad.

Realizar la prueba de velocidad mediante SSH

1. Comprobar la shell y la herramienta de descarga

Después de iniciar sesión por SSH como admin, abrir 5 Device Management > 3 Advanced Shell en el menú principal de la CLI. Sophos documenta el acceso a esta shell, pero no garantiza curl como interfaz de SFOS. Comprobar primero, sin realizar una descarga, que la herramienta esté disponible en el firmware instalado:

curl --version

Si la salida muestra una versión y los protocolos admitidos, continuar. Si la shell devuelve curl: not found o un error de opción, no intentar instalar paquetes ni modificar el sistema de archivos del firewall. Utilizar una prueba desde un cliente o el procedimiento iPerf enlazado y recurrir a Sophos Support si es necesario.

La propia solicitud de curl comprueba DNS y HTTPS. Con --fail, un error HTTP genera un estado de salida distinto de cero; el indicador de progreso por sí solo no representa entonces una medición válida.

2. Medir la descarga sin guardar un archivo

Advanced Shell es una shell Linux con acceso profundo al sistema. El siguiente comando descarga los datos, pero los descarta mediante /dev/null. Así, la escritura de un archivo grande no influye en el resultado y no es necesario limpiar el almacenamiento.

Para una prueba rápida, descargar el archivo de 100 MB:

curl --location --fail --output /dev/null \
  --write-out '\nHTTP %{http_code} | %{size_download} bytes | %{speed_download} bytes/s\n' \
  https://www.avanet.io/100MB.bin

En conexiones rápidas, sustituir únicamente la URL del mismo comando por https://www.avanet.io/1GB.bin. --location sigue redirecciones, --fail considera los errores HTTP como fallos y --output /dev/null evita crear un archivo local. En el momento de la publicación, los endpoints devuelven 104857600 bytes para 100 MB y 1048576000 bytes para 1 GB.

El archivo se entrega a través de Avanet y Cloudflare. El destino de prueba, el estado de la caché, el peering, el routing y la carga de CPU pueden influir en el resultado. Por tanto, el valor es una medición comparativa práctica, no una garantía del rendimiento del proveedor o del firewall.

3. Comprobar el estado y los bytes transferidos

Evaluar solo una ejecución que termine sin errores de curl, muestre HTTP 200 y un valor de size_download que coincida con el indicado arriba. Un valor menor indica una interrupción; HTTP 000 suele señalar un problema de DNS, conexión o TLS. Otros códigos HTTP significan que el endpoint de prueba no se puede utilizar en ese momento. No se crea ningún archivo de prueba. Para terminar, salir de Advanced Shell con exit y eliminar cualquier excepción ACL de SSH creada únicamente para esta prueba.

Interpretar correctamente el resultado

speed_download indica la velocidad media de descarga en bytes por segundo. Para convertirla a Mbit/s, multiplicar el valor por ocho y dividirlo entre un millón. El indicador de progreso normal también muestra Average Speed; en la captura existente aparece 107M.

La M de esta indicación de progreso se basa en 1024 y corresponde a MiB/s. Las conexiones a Internet, en cambio, se expresan en Mbit/s decimales. Para el ejemplo:

107 x 1048576 x 8 / 1000000 = 897.6 Mbit/s

Por tanto, 107M corresponden aproximadamente a 898 Mbit/s, no a 856 Mbit/s. El overhead, el comportamiento de TCP, el destino, el routing y la carga actual impiden normalmente una coincidencia exacta con la velocidad contratada.

Una sola ejecución no constituye un diagnóstico fiable. Las mediciones deben repetirse, si es posible, con el mismo destino, la misma ruta WAN y condiciones comparables. Para soporte o documentación interna conviene registrar:

• Momento: por ejemplo, 2026-06-21 10:15
• Firewall y firmware: por ejemplo, XGS 2100, SFOS 22.0 MR1
• Archivo de prueba: 100MB.bin o 1GB.bin
• Tasa medida: por ejemplo, 107M, aproximadamente 898 Mbit/s
• Enlace WAN activo: por ejemplo, WAN1 Fiber
• Anomalías: copia de seguridad paralela, failover, CPU alta o Packet Capture activo

Qué significa el resultado

La descarga del firewall permite delimitar el problema, pero no es una prueba definitiva. La comparación con un test de cliente muestra dónde continuar:

• Firewall rápido, cliente lento: comprobar cliente, Wi-Fi, puerto del switch, DNS, regla de firewall, NAT, IPS, Web Protection, Application Control e inspección TLS. Ayudan Log Viewer, Policy Test y Packet Capture y, si es necesario, un Packet Capture específico.
• Firewall y cliente lentos: comparar estado WAN, link speed, dúplex, errores y drops de interfaz, gateway activo, avería del proveedor, carga de CPU y un segundo destino de prueba.
• Solo algunas aplicaciones son lentas: comparar DNS, Web Protection, Application Control, proxy, inspección TLS y servidor de destino.
• Solo el VPN es lento: comprobar protocolo VPN, routing, MTU y MSS.
• Solo el upload es lento: este procedimiento con curl mide únicamente la descarga. Para upload o ambas direcciones resulta más adecuado un test iPerf controlado.
• Los valores fluctúan durante periodos largos: repetir mediciones comparables y, si es necesario, observar el tráfico de las interfaces con sFlow Monitoring.

Si la causa sigue sin estar clara, comprobar primero el flujo del cliente afectado y la regla que realmente se aplica. Para análisis más profundos, Sophos Firewall Troubleshooting: servicios y logs indica qué archivo de log pertenece a cada servicio.

FAQ