Configurar Cellular WAN en Sophos Firewall y probar el failover 4G/5G

Cellular WAN suele utilizarse como conexión de reserva en Sophos Firewall. En ubicaciones temporales, la red móvil también puede ser la conexión principal si la tarifa, la cobertura, la latencia y el riesgo operativo lo permiten. Para que 4G o 5G tome el relevo de forma fiable durante una interrupción, no basta con configurar correctamente la SIM y el APN: también hay que probar la supervisión del gateway, las reglas SD-WAN, las reglas de firewall y el retorno a la conexión principal.

La secuencia fiable es la siguiente: comprobar el hardware y la tarifa, configurar WWAN1, definir la lógica de failover y, a continuación, probar el failover y el failback con tráfico real de las aplicaciones.

Requisitos y planificación

Antes de iniciar la configuración se necesita:

• un módem 4G/5G o un módulo Sophos compatible con el modelo de firewall y la versión de SFOS
• una SIM activa con una tarifa adecuada, PIN y APN
• el nombre de usuario y la contraseña del proveedor, si son necesarios
• información sobre el volumen de datos, la dirección IP pública o CGNAT
• cobertura suficiente y antenas conectadas correctamente
• una lista de los servicios que deben seguir funcionando a través de la conexión de reserva
• una ventana de prueba durante la cual se pueda interrumpir de forma controlada la conexión principal

Los cables de antena largos o de mala calidad pueden anular las ventajas de una mejor ubicación de la antena.

Para un módem USB antiguo, utilice la matriz oficial de compatibilidad USB de SFOS 22 solo como consulta histórica. La matriz está fechada el 2024-08-19, es orientativa, ya no se actualiza y no constituye la aprobación de una compra nueva. Registre el fabricante, modelo y operador exactos, además del Default ID presentado en la detección inicial y el Modem ID presentado por la función de módem tras el cambio de modo. Likely es solo una indicación histórica. Unlikely, un dispositivo no incluido o una discrepancia de ID significa que no está validado. Not compatible exige rechazar el dispositivo.

No acepte un módem basándose solo en la etiqueta de la matriz. Para aceptarlo en funcionamiento, el firewall debe detectarlo, crear WWAN1, obtener la dirección IP y la puerta de enlace esperadas, transportar tráfico representativo y completar una conmutación por error y una recuperación controladas. Registre estos resultados junto con la identidad y los ID del dispositivo.

Para los módulos propios de Sophos, la asignación actual es más concreta: el Sophos 5G module Gen.2 está documentado para XGS 118/118w, 128/128w y 138/138w; estos dispositivos requieren como mínimo SFOS 20 MR2. El Sophos 5G module Gen.1 figura para XGS 116/116w, 126/126w y 136/136w. Por tanto, hay que comprobar conjuntamente la generación del módulo y del firewall antes de apagar e instalarlo. Los valores máximos indicados por Sophos, hasta 4,5 Gbps de descarga y 660 Mbps de subida, describen el módulo de radio, no un rendimiento extremo a extremo garantizado por el firewall, el operador o una sola aplicación.

Una tarifa móvil limitada no debe asumir sin control todo el tráfico de la ubicación. Una dirección CGNAT u otra dirección no accesible públicamente impide las conexiones entrantes al firewall. Aun así, un túnel IPsec de sitio a sitio puede utilizar la conexión móvil como iniciador. NAT-T está siempre activo en Sophos Firewall, pero el peer remoto, las identidades y la ruta de retorno deben estar configurados de forma adecuada.

Cellular WAN no es compatible con ningún modo HA de Sophos Firewall y debe desactivarse en ambos dispositivos antes de configurar HA. Si se necesitan simultáneamente HA y failover móvil, se requiere un diseño WAN independiente. Para obtener más información, consultar Variantes y funcionamiento de clústeres HA de Sophos Firewall.

Los cambios de hardware y SIM solo deben realizarse con el firewall apagado. El módulo 5G de Sophos no se puede sustituir en caliente.

Configurar Cellular WAN

Preparar el módem y la SIM

Antes de configurar el firewall, hay que aclarar el estado de la SIM, el PIN, el APN y el perfil del proveedor. Las tarifas empresariales, particulares y de IoT pueden utilizar APN diferentes. Hay que conectar todas las antenas y colocarlas de modo que exista una conexión estable, no solo cobertura de red.

Comprobar la interfaz

Network > Cellular WAN
Network > Interfaces

Para instalar por primera vez un módulo 5G de Sophos, seguir este orden:

1. Durante la ventana de mantenimiento acordada, apagar el firewall, insertar la SIM del operador en la ranura del módulo e instalar después el módulo en el firewall. Solo entonces volver a encenderlo; el apagado también interrumpe los demás servicios del firewall.
2. En Network > Cellular WAN, activar Cellular WAN y esperar a que se detecte el módulo. Si falta el menú, comprobar el procedimiento de activación CLI descrito más abajo. Connected confirma la conexión con el módulo, pero aún no el acceso de una aplicación a Internet.
3. En Network > Interfaces, hacer clic en WWAN1. Abrir Show recommended configuration y seleccionar Load recommended configuration. Introducir después el APN confirmado, Username y Password si se requieren, y el PIN de una SIM protegida con PIN; hacer clic en Save.
4. Si está desconectado, seleccionar Connect en Network > Cellular WAN. Comprobar el estado, la dirección IP y el gateway, y probar un flujo de datos real antes de utilizar el módulo para failover. Si faltan la dirección o el gateway esperados, revisar primero la SIM, el APN y los registros del módem.

El firewall crea automáticamente la interfaz WWAN1 en la zona WAN, por lo que las reglas WAN existentes también se aplican a esta interfaz. Además, crea el host dinámico ##WWAN1. Los conceptos básicos se explican en Configurar zonas e interfaces de Sophos Firewall.

En los módulos 5G, solo está disponible Network adapter (DHCP) en IP assignment. Dial-up (PPP) permanece desactivado. Si WWAN1 no aparece, hay que comprobar primero la detección del hardware y los registros antes de cambiar el APN o el enrutamiento.

En General settings se puede cambiar el nombre mostrado, pero no el nombre de hardware. Según el módem, el firewall también muestra Connect mode, Reconnect tries, Modem port, Phone number, Username, Password, SIM card PIN code y APN, además de DHCP connect command y DHCP disconnect command opcionales y una Initialization string. Estos valores proceden del operador o del perfil de módem autorizado; no deben copiarse de ejemplos. Con Always en Reconnect tries, el firewall intenta reconectar sin un límite fijo de intentos.

Para MTU y MSS, Assignment type: Automatic es el valor predeterminado. Manual solo debe utilizarse durante una prueba controlada de fragmentación o TCP cuando se haya demostrado que los valores obtenidos automáticamente del operador no funcionan. Después hay que volver a probar aplicaciones reales, Packet Capture y el failover; una MTU inferior por sí sola no demuestra el éxito.

Interpretar los campos de forma segura

Name admite un máximo de 58 caracteres. Por ejemplo, Mobile-Backup es un nombre mostrado de libre elección; WWAN1 sigue siendo el nombre indicado en Hardware, que no se puede modificar. Los subsistemas utilizan el nombre mostrado. En Gateway settings, Gateway name identifica el gateway y Gateway IP es su dirección, no la dirección propia de la interfaz. Las direcciones proceden de la configuración o asignación del operador, no de ejemplos ajenos.

El APN identifica la Packet Data Network (PDN) o red móvil deseada. Initialization string controla funciones del módem; el orden determina su prioridad. Utilizar únicamente ajustes confirmados del operador/módem y registrar los valores existentes antes de modificarlos. MTU y MSS se expresan en bytes: MTU describe el tamaño máximo del paquete y MSS la carga útil TCP. Si una prueba manual no tiene éxito, restaurar el Assignment type anterior y los valores registrados, hacer clic en Save y volver a probar las aplicaciones.

API XML: separar las acciones de los ajustes del dispositivo

Las referencias de la API de Cellular WAN para SFOS 22 y 23 separan en el ejemplo CellularWAN de CellularWANSettings: CellularWAN enumera los valores Enable/Disable/Query/Set para Action, asigna SerialPort y ATCommand a la consulta y DisconnectOnSystemDown con on/off a la configuración del comportamiento durante el apagado. Por tanto, Query no es necesariamente una consulta de estado sin riesgos: un comando AT puede modificar el módem y debe estar autorizado por el fabricante o soporte para el módem concreto. En cambio, CellularWANSettings contiene la configuración del dispositivo y de la conexión, como la asignación de IP, el modo de conexión, los intentos de reconexión, el puerto del módem, las credenciales del proveedor, el APN, los comandos de inicialización y DHCP, así como el gateway, la MTU y el MSS. Estos parámetros no se configuran mediante un reinicio del módem. Seguir utilizando únicamente los valores dependientes del proveedor y del módem que figuren en el perfil confirmado y modificarlos mediante los procedimientos UI/CLI descritos arriba; el ejemplo de referencia no demuestra valores predeterminados generales ni compatibilidad en funcionamiento en el dispositivo propio.

También en cuanto a la identidad y la asignación, hay que leer la referencia literalmente: el comentario del ejemplo identifica InterfaceName como de solo lectura, pero el elemento se llama Name. Esto no implica cambiar el nombre del elemento ni autoriza a escribir la identidad del hardware. ConnectionStatus describe la conectividad observada del módem mediante Connected/Disconnected; su inclusión no demuestra que escribir en este campo establezca una conexión. Para AssignmentType, relativo a la asignación de MTU/MSS, el ejemplo muestra Automatic/Manual, mientras que la tabla de parámetros indica Manual/Autometic. No corregir de forma silenciosa esta contradicción entre Automatic y Autometic ni deducir de ella un valor de asignación automática ejecutable mediante la API. El ajuste de la UI descrito arriba sigue siendo independiente; antes de automatizar mediante la API, hay que aclarar los valores literales contradictorios y la posibilidad de escritura para la versión concreta de SFOS.

Definir el gateway y el comportamiento de SD-WAN

Network > WAN link manager
Routing > SD-WAN profiles
Routing > SD-WAN routes

El significado general de Active, Backup, ANY/ALL, las reglas de failover y el failback se explica en Configurar y probar el failover WAN en Sophos Firewall. Aquí se añaden las particularidades de la ruta móvil.

Para un failover sencillo de Internet, hacer clic en Edit para el gateway WWAN en WAN link manager y seleccionar Type: Backup. Los gateways nuevos están activos de forma predeterminada y, de lo contrario, participarían en el balanceo de carga. En Activate this gateway, indicar si la conexión de reserva debe asumir el tráfico cuando falle cualquiera (ANY) o solo cuando fallen todos (ALL) los gateways activos. Manually no lo activa de forma automática; hay que cambiar Type a Active en la configuración.

Action on failback determina lo que sucede cuando vuelve la conexión principal. Las sesiones existentes pueden seguir utilizando WWAN hasta que caduquen y solo las conexiones nuevas vuelven a utilizar la conexión principal, o bien todas las conexiones pueden restablecerse a través de la conexión recuperada. La segunda opción puede interrumpir sesiones activas. Sin embargo, para rutas SD-WAN, Serve all connections through restored gateway solo se aplica si se selecciona WAN link load balance como gateway principal. Si el gateway SD-WAN principal es un enlace WAN activo, solo las conexiones nuevas se envían por el gateway recuperado; si es un enlace WAN de reserva, las conexiones se restablecen y siguen enrutándose por ese enlace de reserva.

Las rutas selectivas, las comprobaciones de SLA o el tratamiento distinto de los servicios se configuran mediante perfiles y rutas SD-WAN. El procedimiento se explica en detalle en Configurar una ruta SD-WAN en Sophos Firewall.

Los Health Checks pueden utilizar Ping o TCP. Un perfil SD-WAN admite hasta dos Probe Targets; el segundo objetivo sirve como alternativa si el primero no responde. Durante el failover, hay que priorizar las aplicaciones críticas y limitar los servicios no esenciales que consumen muchos datos.

Para un gateway WWAN, Sophos crea automáticamente una regla de failover hacia 8.8.8.8, además de comprobar la IP del gateway asignado. De este modo, la conexión sigue siendo verificable si el proveedor no permite hacer ping a la dirección del gateway. Aun así, hay que comprobar si este objetivo cumple la política de seguridad local.

Si los paquetes de respuesta o el tráfico generado por el firewall utilizan otra ruta, consultar Comprobar el enrutamiento SD-WAN para paquetes de respuesta y tráfico del sistema.

Comprobar la señal y el failover

Controlar Cellular WAN mediante Device Console

system cellular_wan no solo muestra el estado. Cellular WAN está desactivado de forma predeterminada. Las instrucciones de la interfaz describen la activación mediante un interruptor; la referencia CLI, en cambio, exige activación CLI para que aparezca el menú de WebAdmin y funcionen los demás comandos. Esto no establece un paso CLI adicional para todas las instalaciones ya activadas. Comprobar el estado real en la compilación instalada. Si falta el menú durante una configuración inicial planificada, activar la función en Option 4: Device Console y comprobarla después:

system cellular_wan enable
system cellular_wan show

disable vuelve a desactivar la función. Este comando solo se utiliza si WWAN1 no transporta tráfico activo ni constituye una ruta de respaldo necesaria:

system cellular_wan disable

Sophos documenta la siguiente plantilla conjunta para el arranque del módem y el comportamiento durante el apagado:

system cellular_wan set modem-setup-delay <0-15> disconnect-on-systemdown [on|off]

Los marcadores se sustituyen por valores reales. modem-setup-delay es una espera de 0 a 15 segundos y su valor predeterminado es 0. disconnect-on-systemdown tiene como valor predeterminado off. Antes de modificarlo, se registra el estado actual con show. Una espera mayor o la desconexión durante el apagado no es una optimización general de estabilidad, sino una medida para un comportamiento demostrado del módem o del apagado.

Para un diagnóstico más profundo del módem también están disponibles una consulta por el puerto serie y el conmutador QMI:

system cellular_wan query serialport <numero-de-puerto> ATcommand <comando-AT>
system cellular_wan qmi-mode [enable|disable]

query envía un comando AT válido y específico del módem directamente al puerto seleccionado. Un comando incorrecto puede cambiar el registro, el modo de radio o la conexión, por lo que solo se utiliza dentro de un procedimiento documentado por el fabricante o Support. El conmutador CLI qmi-mode solo se aplica a módems Sierra; QMI ya está admitido para módems de otros fabricantes. No debe cambiarse por tanteo. Después de cada modificación se comprueban show, el estado en WebAdmin, los logs del módem y de red, y un flujo de datos real. El rollback restaura los valores registrados previamente.

Comprobar el estado de la señal mediante la CLI

Después de iniciar sesión por SSH, seleccionar Option 4: Device Console. El siguiente comando muestra la configuración y el estado de la SIM, la conexión y la señal:

system cellular_wan show

El comando ya existía; a partir de SFOS 22.0 GA también permite comprobar la intensidad de la señal. Sophos no publica umbrales universales para estos valores. Por tanto, deben compararse durante el funcionamiento normal, después de modificar las antenas y durante un failover activo. Las fluctuaciones fuertes apuntan en primer lugar al enlace de radio, la antena, el proveedor, el módulo o la SIM, pero no descartan problemas de enrutamiento simultáneos.

⚠️ Permitir SSH únicamente desde redes de administración de confianza. Antes de utilizarlo, consultar Conectarse a Sophos Firewall mediante SSH y proteger el acceso según Device Access y Local Service ACL.

Probar el failover y el failback

Antes de la prueba, hay que asegurarse de que existe una copia de seguridad actual de la configuración, documentar las rutas principal y de reserva, informar a las personas afectadas y abrir Log Viewer y la supervisión. Si se utiliza SD-WAN, también hay que activar los registros locales de SD-WAN en System services > Log settings.

1. En el estado inicial, comprobar el gateway principal, el gateway WWAN, la ruta SD-WAN utilizada y los contadores de datos.
2. Generar tráfico de prueba relevante, por ejemplo DNS, HTTPS, RDP, VPN y una aplicación empresarial importante.
3. Desactivar de forma controlada la conexión principal o forzar el fallo de su Health Check.
4. En WAN link manager o en Routing > SD-WAN routes, comprobar si WWAN1 asume el tráfico.
5. En Log Viewer, comprobar el módulo SD-WAN y las reglas de firewall coincidentes.
6. En Network > Cellular WAN, comprobar Status, IP address, Gateway IP, Bytes uploaded, Bytes downloaded y Time duration.
7. Volver a probar DNS, HTTPS, RDP, VPN y las aplicaciones empresariales seleccionadas a través de WWAN1.
8. Restaurar la conexión principal y comprobar la ruta de retorno. En WAN link manager debe aplicarse el comportamiento de failback configurado; con SD-WAN, el retorno también depende de la estrategia y del SLA.
9. Para finalizar, volver a comprobar el gateway, las conexiones y las aplicaciones a través de la ruta principal.

Un ping correcto solo demuestra la accesibilidad, no el funcionamiento de los servicios necesarios. Policy Tester tampoco tiene en cuenta las rutas SD-WAN y, por tanto, no demuestra la ruta utilizada. Para las reglas de firewall, los registros y Packet Capture sigue siendo útil Probar una regla de firewall con Log Viewer, Policy Test y Packet Capture.

Delimitar problemas

• Falta el módem o WWAN1: Compare primero el fabricante/modelo físico y los Default/Modem ID detectados con la identidad registrada. Después, compruebe la alimentación, el puerto y la conexión USB, y el firmware. modemd.log registra la conexión o desconexión de dispositivos USB WWAN, syslog.log registra los eventos de USB, módem y PPP, y networkd.log registra la configuración de red relacionada con el módem. Eleve el caso a Sophos, al fabricante del módem o al operador con la identidad, los ID y los extractos de registro pertinentes; sustituya un dispositivo que no coincida, figure como Not compatible o no supere la aceptación en funcionamiento.
• La SIM no se conecta: Comprobar el PIN, el APN, el perfil del proveedor, el bloqueo de la SIM y la cobertura. Confirmar el APN con el proveedor en lugar de adivinarlo.
• El gateway está activo, pero no hay tráfico: Comprobar el gateway y la ruta SD-WAN utilizados, la regla de firewall, NAT, DNS y la ruta de retorno. dgd.log contiene eventos de gateways WAN y failover de enlaces; los Health Checks de SD-WAN y los cambios de ruta aparecen en el módulo SD-WAN de Log Viewer.
• Las aplicaciones son inestables: Las conexiones móviles suelen tener mayor latencia, pérdida de paquetes y fluctuaciones. Probar aplicaciones reales y, si es necesario, medir el rendimiento con iPerf entre dos endpoints. En caso de problemas de VPN o fragmentación, consultar también Comprobar MTU y MSS.
• La VPN solo funciona a través de la conexión principal: Con CGNAT no es posible establecer directamente conexiones entrantes. Comprobar si el extremo móvil inicia el túnel, si el peer remoto acepta direcciones dinámicas o identidades adecuadas y si la ruta de retorno es correcta.

La función de cada archivo de registro se explica en Identificar correctamente los registros de servicios de Sophos Firewall.

Reconectar o reiniciar el módem en SFOS 23

En Network > Cellular WAN, Connect establece la conexión del módem. Reset, en cambio, reinicia el módem y lo reconecta al firewall. Se conservan los ajustes existentes de la interfaz WWAN y las configuraciones dependientes; no es un restablecimiento de fábrica. Este procedimiento está documentado para SFOS 23, no como función de SFOS 22.

Reset solo está disponible para los modelos 5G de Quectel y Sierra Wireless, no para otros modelos de módem ni dongles USB. Comprobar el modelo exacto antes de elegir el método de recuperación; el nombre del fabricante o la compatibilidad con 5G por sí solos no bastan.

⚠️ Reiniciar el módem interrumpe temporalmente la conexión móvil, aunque se conserve la configuración. Asegurar primero una vía de acceso administrativo independiente. Si WWAN transporta tráfico activo o es una reserva necesaria, acordar una ventana de mantenimiento. Apagar el firewall para la alternativa de hardware descrita abajo también interrumpe sus demás servicios.

1. Registrar el modelo, el estado actual del módem, la dirección IP, el gateway y los registros pertinentes del módem y de red. Documentar los ajustes de WWAN1 y las dependencias, como el gateway, las rutas SD-WAN y las reglas de firewall y NAT, para compararlos después.
2. Modelo 5G compatible en SFOS 23: En Network > Cellular WAN, hacer clic en Reset y comprobar después que el módem vuelva a detectarse y reconectarse.
3. Modelo sin compatibilidad con Reset: Utilizar únicamente un procedimiento de reinicio AT específico del módem, documentado por el fabricante o soporte. Sigue siendo válida la precaución sobre query serialport indicada arriba; no adivinar comandos AT. Como alternativa, apagar el firewall y, solo cuando esté apagado, desconectar y volver a conectar el módem. Encender después el firewall y comprobar la detección y reconexión. Nunca desconectar el módem mientras el firewall esté en funcionamiento: puede causar problemas de conexión Cellular WAN.
4. En Network > Cellular WAN, comprobar el estado, la dirección IP y el gateway; en Network > Interfaces, comparar los ajustes conservados de WWAN1 con el estado registrado. Comprobar también las configuraciones dependientes y tráfico representativo de las aplicaciones. Cuando sea seguro para la operación, realizar la prueba controlada de failover y failback descrita arriba.

Para interpretar las respuestas de la API XML, la referencia de Cellular WAN de SFOS 23 añade el estado 203 con Message.WWANResetSuccessfully para un reinicio indicado como correcto y 511 con Message.WWANResetFailed para un reinicio indicado como fallido; ambas correspondencias faltan en la referencia de SFOS 22. Son valores de estado de la API XML, no códigos de estado HTTP. Los identificadores son claves de mensaje literales de la referencia, no el texto verificado de un mensaje en ejecución. No permiten deducir una solicitud Reset ni un valor adicional de Action: el ejemplo sin cambios incluye Enable/Disable/Query/Set. Incluso si se indica éxito, realizar las comprobaciones del paso 4: el estado, la dirección IP, el gateway y el tráfico real de las aplicaciones deben ser correctos. Si se indica un fallo, guardar la respuesta real y los registros pertinentes y escalar después de las comprobaciones descritas, en lugar de intentar reinicios sin límite.

Si sigue sin haber conexión, enviar a Sophos, al fabricante del módem o al operador extractos actuales de modemd.log, syslog.log y networkd.log, junto con el modelo, el estado y los pasos ya realizados, en lugar de reiniciar repetidamente por tanteo.

Operación

• Probar el failover y el failback al menos cada trimestre y después de cambios importantes de firmware o enrutamiento.
• Supervisar el gateway, el estado de SD-WAN, el volumen de datos y los costes.
• Documentar la SIM, el PIN, el APN, la tarifa, la posición de la antena y la comparación de la señal.
• Limitar el tráfico no crítico durante el failover.
• Asignar responsables de las alertas, las incidencias del proveedor, el bloqueo de la SIM y el retorno al funcionamiento normal.
• Documentar el hardware de sustitución y el proceso de soporte.

FAQ