Configurar y comprobar una WAN PPPoE en Sophos Firewall

PPPoE debe configurarse en Sophos Firewall cuando un módem u ONT anterior entrega la conexión de forma transparente en modo puente o passthrough. En ese caso, el firewall establece la conexión con el proveedor y recibe la dirección WAN asignada.

Si el dispositivo del proveedor establece la sesión PPPoE, Sophos Firewall suele recibir detrás de él una dirección WAN estática o asignada por DHCP. Si ambos dispositivos realizan NAT, se produce un doble NAT. En esta configuración, una marcación PPPoE adicional en el firewall suele ser innecesaria y puede rechazarse como segunda sesión.

⚠️ Antes de realizar el cambio debe estar claro qué dispositivo establece la sesión PPPoE. Una marcación simultánea desde el dispositivo del proveedor y el firewall solo tiene sentido si el proveedor admite expresamente varias sesiones. Para el cambio se necesita acceso de administrador local o independiente, ya que una configuración incorrecta interrumpe inmediatamente la conexión a Internet.

Recopilar los datos del proveedor antes de empezar

Antes de la ventana de mantenimiento deben estar disponibles los siguientes valores:

• Nombre de usuario y contraseña PPPoE, o requisito exacto de autenticación del proveedor
• Modo puente o passthrough del módem o la ONT
• ID de VLAN opcional del proveedor
• Nombre opcional del concentrador de acceso o del servicio
• Requisito de una dirección IP dinámica, fija o preferida
• Requisitos de DNS y particularidades conocidas sobre MTU o reconexión
• Número de sesiones PPPoE permitidas e información sobre CGNAT

La ayuda de Sophos especifica el nombre de usuario y la contraseña de la cuenta PPPoE. Debe confirmarse cualquier requisito distinto del proveedor antes de la ventana de mantenimiento; no se debe suponer que se admite una contraseña vacía. WebAdmin admite un máximo de 50 caracteres para el nombre de usuario. Si el acceso es más largo, debe aclararse con Sophos Support antes del cambio.

La preparación también debe incluir una copia de seguridad de la configuración actual, una ventana de mantenimiento y un plan de reversión. Si el cambio se realiza de forma remota, el único acceso de administración no debe utilizar precisamente el puerto WAN que se va a reconfigurar.

Configurar la interfaz PPPoE

El siguiente ejemplo utiliza Port2 para una conexión con una ONT en modo puente. El proveedor exige nombre de usuario, contraseña y VLAN 7, pero no una Preferred IP ni un nombre de servicio. La VLAN 7 es solo un ejemplo y no debe aplicarse a una conexión real sin comprobarla.

1. Abrir Network > Interfaces.
2. Abrir el menú del puerto WAN previsto y seleccionar Edit interface.
3. Establecer un nombre claro, como WAN-PPPoE, y la zona WAN.
4. Activar IPv4 y seleccionar PPPoE como IP assignment.
5. En Username, introducir por ejemplo firma@example.net y en Password el valor correspondiente del proveedor. No copiar credenciales reales en capturas ni tickets.
6. Dejar Preferred IP vacío si el proveedor no ha especificado una dirección PPPoE fija.
7. Asignar un Gateway name claro, como gw-pppoe, e introducir la Gateway IP address exigida por el proveedor para una interfaz PPPoE física. En una VLAN PPPoE, este campo muestra en cambio la dirección de gateway configurada.
8. Dejar Access concentrator/service name vacío, salvo que el proveedor exija un nombre exacto.
9. Mantener LCP echo interval en 20 segundos y LCP failure en 3.
10. Activar una reconexión programada solo si lo exige el proveedor o la operación.
11. Si el proveedor exige una VLAN para PPPoE, elegir una de las variantes descritas en la sección siguiente.
12. Guardar y, a continuación, comprobar la interfaz, el gateway, el DNS y el tráfico real de un cliente.

Name puede modificarse posteriormente y admite hasta 58 caracteres; este límite corresponde al nombre de la interfaz, no a Username. Hardware identifica el puerto físico seleccionado y no puede modificarse en este formulario.

La ayuda para la configuración PPPoE física también indica una dirección IPv4 para la interfaz y un cambio opcional de la máscara de subred antes de Preferred IP. Sin embargo, no explica la función de estos campos junto a la dirección PPPoE negociada ni qué valores utilizar. No deducir una dirección o máscara de este ejemplo ni equiparar estos campos con Preferred IP; aclarar los requisitos pendientes con el proveedor o Sophos Support antes del cambio.

En Advanced settings > Interface settings, Use default MAC address conserva la MAC predeterminada. Override default MAC address permite introducir otra dirección MAC; un restablecimiento de fábrica recupera la MAC predeterminada. Es una opción, no un requisito general de PPPoE ni una recomendación de clonar una dirección MAC.

Una Preferred IP es solo una solicitud al proveedor. Aunque se introduzca una dirección, el servidor PPPoE puede asignar una IP diferente. Para garantizar una dirección fija, el proveedor debe ofrecer el servicio correspondiente.

Un Access concentrator/service name restringe el establecimiento de la conexión: el firewall solo inicia sesiones con un Access Concentrator que pueda proporcionar el servicio especificado. Un valor inventado o mal escrito puede impedir la conexión. Por eso, el campo se deja vacío mientras el proveedor no indique expresamente un valor.

Implementar correctamente la VLAN del proveedor

Una VLAN del proveedor puede configurarse de dos maneras. Ambos métodos son válidos, pero no deben combinarse para la misma conexión.

Variante 1: ajuste VDSL en el puerto PPPoE físico

PPPoE se configura directamente en el puerto WAN físico. En DSL settings, se activa VDSL y se introduce el ID de VLAN del proveedor. De este modo, SFOS crea automáticamente la VLAN para la conexión PPPoE; en esta variante no es necesaria una VLAN adicional creada manualmente.

La denominación VDSL no significa que el firewall sustituya a un módem DSL o una ONT. El dispositivo anterior sigue siendo responsable de la línea física y de la sincronización.

En el ejemplo, la VLAN 7 se configura en el puerto PPPoE. Después no debe crearse en la misma conexión una VLAN 7 manual adicional con una segunda configuración PPPoE.

Variante 2: PPPoE en una VLAN WAN manual

En Network > Interfaces > Add interface > Add VLAN, primero se crea una VLAN en el puerto físico del proveedor. Esta VLAN recibe la zona WAN, el ID de VLAN del proveedor y PPPoE como asignación IPv4. Las credenciales se introducen en esta interfaz VLAN.

Esta configuración resulta útil cuando la interfaz VLAN debe ser visible expresamente y tener un nombre independiente en el diseño de interfaces. Configurar VLAN en Sophos Firewall explica los fundamentos de la interfaz principal y del etiquetado VLAN.

Si ya hay una VLAN configurada en una interfaz física, no está permitido cambiar su asignación IPv4 de Static a PPPoE o DHCP. Primero debe revisarse el diseño existente. Los cambios también pueden afectar a configuraciones dependientes de DNS, gateway, SD-WAN, hosts de interfaz, VLAN y Dynamic DNS. Off conserva la configuración; eliminar una interfaz virtual puede borrar además reglas y objetos dependientes.

Entender LCP y la reconexión

Los ecos LCP comprueban si el par PPP sigue respondiendo. Con los valores predeterminados, el firewall envía una comprobación cada 20 segundos y considera que la sesión ya no está disponible tras 3 respuestas fallidas.

Tras el número de solicitudes de eco sin respuesta configurado en LCP failure, el firewall desconecta realmente la conexión PPPoE; no se limita a marcar la sesión como inaccesible.

Estos valores son un punto de partida adecuado. Un intervalo más corto detecta antes los fallos, pero puede provocar reconexiones innecesarias en una línea inestable. Por ello, LCP solo debe modificarse por un requisito del proveedor o por un patrón de error documentado. Desmarcar la opción no desactiva LCP, sino que restablece los valores predeterminados.

Schedule time for reconnect desconecta la sesión PPPoE a una hora determinada y vuelve a establecerla. Puede ser útil si el proveedor realiza una desconexión forzada periódica, pero no es una función general de reparación. Las conexiones activas se interrumpen y, con una asignación dinámica, la dirección IP pública puede cambiar. Por tanto, una reconexión necesaria debe programarse fuera del horario de producción.

Una dirección PPPoE estática o preferida también puede tener un periodo de validez limitado, al igual que una dirección dinámica. Al caducar, la conexión PPPoE se desconecta y se restablece. Entonces puede asignarse una dirección dinámica en lugar de Preferred IP. Tras esta reconexión, comprobar de nuevo la dirección realmente asignada y los servicios entrantes que dependen de ella.

Comprobar la conexión completa

Una dirección WAN asignada no demuestra por sí sola que los clientes puedan utilizar Internet. Después de guardar, deben comprobarse los niveles implicados en el siguiente orden.

Interfaz y gateway

En Network > Interfaces, la interfaz PPPoE debe mostrar Connected y una dirección asignada. Connecting indica que aún está obteniendo una dirección; Disconnected, que esta se ha liberado. El gateway WAN físico correspondiente aparece automáticamente en Network > WAN link manager.

Un nuevo gateway WAN está Active de forma predeterminada. Por ello, si hay varias conexiones a Internet, puede participar inmediatamente en el balanceo de carga. Si la nueva conexión PPPoE solo debe utilizarse como reserva, el gateway debe configurarse directamente como Backup y probarse después de forma controlada. El procedimiento completo se describe en Configurar y probar la conmutación por error de WAN.

DNS

En Network > DNS, puede utilizarse Obtain DNS from PPPoE o configurarse de forma consciente un DNS estático. Test name lookup permite comprobar directamente la resolución.

Con varias conexiones PPPoE, no debe presuponerse un orden no documentado de los servidores DNS recibidos. Para un diseño Multi-WAN predecible, conviene elegir deliberadamente los servidores DNS y realizar pruebas por separado.

Regla de firewall, NAT y prueba del cliente

El tráfico de LAN a WAN necesita una regla de firewall adecuada y, por lo general, masquerading o SNAT. Entender NAT en Sophos Firewall explica cómo se relacionan estos componentes.

A continuación, se comprueban desde un cliente al menos las siguientes funciones:

1. Accesibilidad de una dirección IP externa.
2. Resolución de un nombre DNS.
3. Acceso a una página HTTPS.
4. Una aplicación importante para la operación.
5. Una entrada de registro con la regla de firewall y la interfaz WAN esperadas.

Un ping correcto no es suficiente. El DNS, HTTPS, NAT o una aplicación pueden seguir fallando aunque funcionen los paquetes ICMP pequeños.

Si Log Viewer no muestra claramente dónde termina la ruta, aplique en Diagnostics > Packet capture un filtro preciso por IP y protocolo del cliente. Para paquetes reenviados, In interface, Out interface, Rule ID, NAT ID, Status y Gateway ID deben coincidir con la ruta prevista. La vista solo demuestra lo capturado; el búfer está limitado a 2048 KB y se detiene al llenarse salvo que se active su sobrescritura.

Revertir un cambio fallido

Si no se establece la sesión, restaure mediante el acceso independiente el estado anterior documentado. Para una VLAN PPPoE añadida, póngala primero en Off para conservar su configuración durante el análisis. Restaure después el dispositivo del proveedor y la ruta WAN estática o DHCP anterior con gateway y DNS. Si se modificó el puerto físico, reponga sus valores registrados. No elimine precipitadamente la VLAN: borrar una interfaz virtual puede retirar reglas y otras configuraciones dependientes. Continúe solo cuando la ruta anterior supere de nuevo todas las comprobaciones.

El menú interactivo de la consola 1. Network Configuration > Interface Configuration no sustituye la configuración de PPPoE: no permite configurar PPPoE, DHCP ni VLAN. El procedimiento de recuperación de IPv4 documentado allí se aplica a valores estáticos en modo gateway. Para elegir el procedimiento de recuperación adecuado y comprobar el acceso de administración, el routing y las dependencias, se aplican las limitaciones indicadas en Cambiar zonas e interfaces de forma segura.

Acotar sistemáticamente los errores de PPPoE

Primero se comprueban la línea y la configuración, y después la MTU u otros valores especiales:

1. Comprobar el estado del enlace, la sincronización del módem o la ONT, el cableado y el modo puente/passthrough.
2. Comparar la VLAN del proveedor con los datos del contrato y asegurarse de que no esté configurada a la vez mediante la opción VDSL y una VLAN manual.
3. Comparar exactamente el nombre de usuario, la contraseña y el uso de mayúsculas y minúsculas con los datos confirmados del proveedor. Cualquier requisito de autenticación diferente debe aclararse antes de establecer la conexión; la contraseña no es opcional de forma general.
4. Vaciar Preferred IP y el nombre del concentrador de acceso o del servicio si el proveedor no ha indicado expresamente estos valores.
5. Guardar y comprobar si la interfaz recibe una dirección IP y un gateway.
6. Probar primero el DNS con Test name lookup y después desde un cliente.
7. Comprobar la regla de firewall, NAT y Log Viewer.

Si hay errores de enlace o un rendimiento inesperadamente bajo, comprobar también Advanced settings > Port settings del puerto físico. Link mode establece la velocidad y el dúplex; las opciones disponibles dependen del modelo del appliance. Auto-negotiation for media type activa o desactiva la negociación automática de velocidad y dúplex. Unos ajustes incompatibles con un router o switch pueden provocar errores, colisiones, desconexiones, mayor latencia o transferencias lentas. Comparar ambos extremos en vez de fijar la velocidad o el dúplex de forma generalizada.

Para un diagnóstico más profundo en 5. Device Management > 3. Advanced Shell, observar primero los eventos de la interfaz:

tail -f /log/networkd.log

networkd.log muestra eventos de las interfaces físicas y virtuales. El gateway WAN y los posibles eventos de conmutación por error se registran en dgd.log:

tail -f /log/dgd.log

La salida en curso se detiene en cada caso con Ctrl+C. Los mensajes adicionales del sistema pueden mostrarse en 4. Device Console con un comando de solo lectura:

system diagnostics show syslog

La asignación oficial vincula networkd.log con interfaces físicas y virtuales, y dgd.log con eventos WAN, de gateway y failover. system diagnostics show syslog muestra mensajes adicionales, pero no proporciona automáticamente una causa PPPoE completa. Registre el mensaje exacto, hora, interfaz, versión y un nuevo intento. Si no basta, capture la prueba reproducible con un filtro preciso; Registros de servicio de Sophos Firewall explica los demás archivos.

Patrones habituales:

• No se encuentra ningún par PPPoE: comprobar el enlace, el modo puente/passthrough, la VLAN del proveedor y el nombre de servicio opcional.
• Autenticación rechazada: comprobar las credenciales, la longitud de caracteres, la cuenta del proveedor y el número de sesiones permitido.
• La sesión se establece y vuelve a interrumpirse: revisar la línea, los eventos del proveedor, LCP y la reconexión programada.
• Hay una dirección WAN, pero no acceso a Internet: comprobar el gateway, el DNS, la regla de firewall, NAT y el routing.
• Solo fallan los paquetes grandes o el tráfico VPN: investigar MTU/MSS únicamente después de una prueba reproducible.

No modificar MTU y MSS de forma generalizada

MTU significa Maximum Transmission Unit y describe el tamaño máximo de paquete de red que puede transmitirse, en bytes. MSS significa Maximum Segment Size y describe la cantidad de datos TCP por paquete, en bytes. En Advanced settings > Interface settings, Override MSS establece esta cantidad de datos TCP; MSS no es el tamaño del paquete de red completo.

PPPoE añade sobrecarga. Sin embargo, esto no significa que todas las conexiones deban configurarse manualmente con una MTU de 1492 o una MSS de 1452. Los valores predeterminados funcionan en muchos entornos, y las VLAN, VPN o tecnologías del proveedor adicionales modifican la ruta real.

Un ajuste solo resulta útil si, por ejemplo, funcionan los paquetes pequeños, se bloquean las transferencias HTTPS grandes o las capturas de paquetes muestran repetidamente problemas de fragmentación. Comprobar MTU y MSS en Sophos Firewall explica la medición y el cálculo.

Multi-WAN, Dynamic DNS y HA

Una conexión PPPoE establecida se comporta en WAN Link Manager como cualquier otro gateway WAN físico. Sin embargo, durante una reconexión o conmutación por error pueden cambiar la dirección pública y todas las conexiones asociadas. Esto afecta especialmente a IPsec, DNAT, las listas de permitidos externas y Remote Access. Con direcciones dinámicas, Dynamic DNS en Sophos Firewall resulta útil, pero no sustituye una prueba de los servicios entrantes.

Si el proveedor solo asigna una dirección CGNAT privada o compartida, normalmente no se puede acceder directamente al firewall desde Internet. Dynamic DNS solo actualiza el nombre y no elimina CGNAT. Los servicios entrantes necesitan una dirección pública o reenviada por el proveedor.

PPPoE está permitido en HA Active-Passive, pero Sophos indica que no se produce session failover. El nuevo Primary debe restablecer la conexión. El enlace HA dedicado y ambos puertos de administración requieren direcciones estáticas. Active-Active exige direcciones estáticas en todas las interfaces y no admite una WAN PPPoE. El diseño físico debe permitir que ambos appliances alcancen el acceso tras un cambio de rol. Variantes de HA de Sophos Firewall explica los demás límites.

IPv6 es una decisión independiente del proveedor. Si la conexión ofrece Prefix Delegation, IPv6 Prefix Delegation en Sophos Firewall muestra la configuración separada.

Descartar errores específicos de la versión

SFOS 22.0 MR1 Build 490 corrige problemas PPPoE concretos: NC-174437 para Policy Test por PPPoE, NC-173201 para sincronización de licencias en HA Active-Passive con PPPoE y NC-167806 para pérdida de paquetes y carga lenta con una cola TX de longitud 3. Sophos Known Issues también marca NC-181526 como resuelto en MR2 Build 546: en XGS Appliance excepto XGS 88/88w, 108/108w, 118/118w y 128/128w, los túneles IPsec mediante una IP de alias de una WAN PPPoE podían establecerse en GA y MR1 sin pasar tráfico con la aceleración IPsec activa.

Si alguno de estos síntomas aparece en una versión anterior de SFOS 22, primero debe planificarse una actualización controlada a una Maintenance Release compatible actual. Comprobación de actualización a SFOS 22 describe la preparación. Las soluciones provisionales antiguas, como desactivar de forma generalizada la aceleración de IPsec, no deben formar parte de una nueva configuración estándar.

FAQ