Cambiar de forma segura la route precedence en Sophos Firewall

La route precedence determina de forma global si Sophos Firewall evalúa primero las Static Routes, las SD-WAN Policy Routes o las rutas VPN. El orden se interpreta de izquierda a derecha: gana el primer tipo de routing que coincida.

Por qué es necesaria la route precedence

Sophos Firewall no mantiene Static, SD-WAN y VPN en una única lista de routing. Son categorías separadas, y varias categorías pueden contener al mismo tiempo un camino válido hacia el mismo destino. La route precedence determina en qué categoría se busca primero una ruta coincidente.

Un ejemplo típico: un cliente de la LAN debe llegar a la red remota 10.20.0.0/16 mediante un túnel IPsec policy-based. Al mismo tiempo, una ruta SD-WAN con destino Any también coincide con ese tráfico.

• Con static sdwan_policyroute vpn, el firewall comprueba primero Static. Si no encuentra allí un camino coincidente, la ruta SD-WAN general coincide a continuación y el tráfico puede dirigirse al gateway WAN en lugar del túnel VPN.
• Con static vpn sdwan_policyroute, el firewall comprueba las rutas VPN inmediatamente después de Static. La ruta a la red remota tiene así prioridad sobre la ruta SD-WAN general.

La red de ejemplo 10.20.0.0/16 se sustituye por la red remota real. Lo importante no es qué orden parece «mejor» en general, sino qué tipo de routing debe ganar para el flujo de paquetes concreto.

La route precedence solo ordena las categorías. No cambia el orden de las Static Routes o SD-WAN Routes individuales dentro de su categoría. Antes de modificarla, se deben responder tres preguntas:

1. ¿Qué tráfico concreto toma actualmente el camino equivocado?
2. ¿Cuáles de las tres categorías contienen una ruta coincidente?
3. ¿Qué categoría debe tener prioridad para ese tráfico?

Si solo coincide una categoría, cambiar la route precedence no resolverá el problema. En ese caso se debe corregir la ruta afectada, la Policy SD-WAN, la configuración VPN, la regla NAT o el retorno.

Mostrar y cambiar directamente la route precedence

Los comandos se ejecutan en Device Console, no en Advanced Shell. Después de iniciar sesión por SSH, se selecciona la opción de menú 4. Si aún no se ha configurado el acceso, consulta Conectar con Sophos Firewall mediante SSH.

El siguiente ejemplo establece Static primero, VPN en segundo lugar y SD-WAN al final:

system route_precedence show
system route_precedence set static vpn sdwan_policyroute
system route_precedence show

El primer comando muestra el orden actual, el segundo lo modifica y el tercero confirma el resultado. Un comando set siempre incluye los tres valores. La posición de los valores determina el orden; no se añaden números.

⚠️ Importante: El cambio se aplica inmediatamente y de forma global. Antes de ejecutar el comando set, se debe guardar el orden inicial completo y comprobar una vía de gestión independiente. Un orden incorrecto puede afectar al tráfico de producción y al acceso mediante WebAdmin y SSH.

El orden predeterminado de Sophos se restaura con:

system route_precedence set static sdwan_policyroute vpn

WebAdmin también muestra el orden actual en Routing > SD-WAN routes, pero solo se puede modificar mediante Device Console.

Qué significan Static, SD-WAN y VPN

Los tres valores representan categorías de routing, no rutas individuales:

• static incluye redes conectadas directamente, Unicast Routes, Dynamic Routes y SSL VPN.
• sdwan_policyroute incluye las Policy Routes configuradas en Routing > SD-WAN routes.
• vpn incluye las rutas IPsec policy-based generadas automáticamente. En SFOS 22.0 también incluye las rutas definidas con ipsec_route.

La versión de SFOS es importante para ipsec_route: En SFOS 21.5 pertenece a la categoría static, mientras que en SFOS 22.0 pertenece a vpn. La guía sobre rutas IPsec en Sophos Firewall explica la clasificación completa.

SSL VPN siempre pertenece a static, no a vpn. IPsec route-based mediante interfaces XFRM se controla a través de la ruta estática, dinámica o SD-WAN configurada. En ese caso son decisivos la interfaz XFRM, la ruta y su Administrative Distance, no solo la posición de vpn.

Static, SD-WAN, VPN

system route_precedence set static sdwan_policyroute vpn

Este es el orden predeterminado y el punto de partida correcto para muchos entornos. Evita que rutas SD-WAN demasiado amplias anulen redes conectadas directamente, LAN, DMZ, VLAN y SSL VPN.

Static, VPN, SD-WAN

system route_precedence set static vpn sdwan_policyroute

Este orden mantiene Static en primer lugar, evalúa después las rutas VPN y utiliza SD-WAN al final. Resulta útil cuando los caminos estáticos y conectados directamente deben conservar la prioridad, pero una ruta VPN policy-based competidora debe comprobarse antes que SD-WAN. Sophos también utiliza este orden en escenarios documentados de failover VPN route-based y MTA con varias conexiones WAN.

SD-WAN, Static, VPN

system route_precedence set sdwan_policyroute static vpn

Esta variante solo debe usarse cuando el Policy Routing tenga que imponerse de forma deliberada a las rutas estáticas. Hay que tener especial cuidado con una ruta SD-WAN cuyo destino sea Any: También puede abarcar redes internas o el acceso de gestión y enviar ese tráfico hacia el gateway WAN. Por tanto, una ruta SD-WAN debe utilizar destinos lo más concretos posible y probarse.

VPN, Static, SD-WAN

system route_precedence set vpn static sdwan_policyroute

Colocar VPN primero es una excepción específica, no una solución general para problemas de IPsec. Sophos exige este orden, por ejemplo, para el acceso remoto L2TP. Sin embargo, vpn antes de static solo prioriza VPN sobre Static cuando la ruta estática competidora conduce a la zona WAN. Para destinos en otras zonas, el firewall continúa utilizando la ruta estática o local.

Cambiar la route precedence de forma segura

Antes de un cambio en producción se deben preparar tanto el comando como el flujo de paquetes afectado:

1. Guardar el orden actual completo con system route_precedence show y utilizarlo para preparar el comando de rollback.
2. Identificar origen, destino, servicio, zona e interfaces implicadas. Comprobar Static Routes, SD-WAN Routes, rutas VPN e interfaces XFRM que cubran destinos competidores.
3. Probar una vía independiente de acceso al firewall, como una consola local, una interfaz de gestión separada o una vía administrativa no afectada.
4. Cambiar únicamente la route precedence. No modificar al mismo tiempo reglas de NAT, firewall, VPN y SD-WAN, para que causa y efecto sigan siendo identificables.

Si interviene SD-WAN, también se debe comprobar si está activado para el tráfico generado por el sistema o los reply packets:

show routing sd-wan-policy-route system-generate-traffic
show routing sd-wan-policy-route reply-packet

Estas opciones no forman parte de la route precedence, pero pueden reforzar su efecto. Comprobar SD-WAN routing para reply packets y system traffic en Sophos Firewall las explica en detalle.

Después del comando set, se confirma primero el orden con system route_precedence show. A continuación, se prueba el caso concreto:

• Probar la aplicación, una conexión TCP o el ping al destino.
• Comprobar Route Lookup, Log Viewer y Packet Capture cuando sea necesario.
• Comprobar NAT y el retorno del sistema remoto.
• Probar WebAdmin y SSH desde las redes de gestión relevantes.

Un estado VPN en verde o una ruta existente no demuestran que el flujo de paquetes funcione. Los controles prácticos se explican en Probar reglas de Sophos Firewall con Log Viewer y Packet Capture y Usar Packet Capture en Sophos Firewall WebAdmin.

Rollback

Para el rollback se restablece exactamente el orden inicial registrado antes del cambio:

system route_precedence set <primer valor> <segundo valor> <tercer valor>

Se deben sustituir los tres placeholders. El estado anterior no puede deducirse solo del primer valor, porque existen seis órdenes posibles. Después se repiten system route_precedence show y las mismas pruebas funcionales y de gestión.

Si el cambio no resuelve el problema

• Solo está afectada una red de destino: Una ruta estática más específica, una ruta SD-WAN más limitada o una configuración VPN corregida suelen ser más precisas que un cambio global.
• El túnel VPN está en verde, pero el tráfico toma el camino equivocado: Con IPsec route-based se comprueban primero la interfaz XFRM y la ruta. Con IPsec policy-based también se revisan los Traffic Selectors y el tratamiento de ipsec_route según la versión. Consulta la guía de troubleshooting de VPN IPsec.
• El camino de ida es correcto, pero el de retorno no: Routing determina el camino, mientras que NAT modifica la dirección de origen o destino. Comprobar la ruta de retorno y la configuración NAT.
• Un firewall migrado muestra un orden inesperado: La salida de system route_precedence show es la referencia, no el valor predeterminado actual. Las rutas SD-WAN migradas también pueden seguir vinculadas a su regla de firewall original y desaparecer al eliminarla.
• WebAdmin o SSH no están disponibles después de un cambio en SD-WAN: A menudo coinciden tres condiciones: SD-WAN precede a Static, una ruta SD-WAN coincidente utiliza Any y System Traffic o Reply Packets están activados para SD-WAN. Restablecer el orden inicial mediante la vía de gestión preparada y limitar la ruta SD-WAN.

Preguntas frecuentes