Configurar el monitoreo sFlow en Sophos Firewall

Con el monitoreo sFlow, Sophos Firewall puede enviar muestras de tráfico a un colector externo. Así resulta más fácil detectar picos de volumen, flujos inusuales, destinos inesperados y la distribución de carga entre interfaces que consultando registros en vivo aislados. La función está disponible en Sophos Firewall v22.

La función es especialmente interesante para la resolución de problemas, la planificación de capacidad y el monitoreo de seguridad. Sin embargo, sFlow no reemplaza al Log viewer ni a Packet Capture o un almacenamiento de registros adecuado a través de Central Firewall Reporting o Syslog. sFlow responde a otras preguntas: no “¿qué regla se aplicó exactamente?”, sino “¿qué flujos de tráfico pasan por esta interfaz y cómo se distribuyen?”. Para el estado del hardware, temperatura, ventiladores, fuentes de alimentación y PoE, es más adecuado el Monitoreo de hardware SNMP.

Si en lugar de muestras de interfaz se necesitan registros NetFlow v5 de reglas de firewall con logging activado de forma selectiva, resulta más adecuado Configurar y probar NetFlow en Sophos Firewall. Si, en cambio, un switch debe entregar pasivamente un flujo de paquetes replicado al firewall, Discover Mode con TAP y SPAN es el modelo adecuado y claramente separado.

Cuándo es útil sFlow

sFlow es útil cuando hay un colector externo o un sistema de monitoreo y se desea visualizar patrones de tráfico a lo largo del tiempo.

Casos de uso típicos:

• Detectar picos inesperados de ancho de banda en interfaces WAN, LAN o Core.
• Clasificar mejor el tráfico entre VLANs o ubicaciones.
• Apoyar la planificación de capacidad para el firewall, el enlace ascendente o el conmutador central.
• Encontrar flujos sospechosos como punto de partida para un análisis adicional.
• Comparar datos de monitoreo con registros del firewall, Central Reporting o datos de SIEM.

Si solo se debe verificar una conexión individual, sFlow a menudo no es la herramienta adecuada. Para pruebas de rendimiento específicas, es más adecuado iPerf. Para problemas de conexión concretos, el Log Viewer, Policy Test y Packet Capture suelen ser más rápidos.

Requisitos

Para sFlow se necesita:

• Sophos Firewall con SFOS 22.0 o posterior.
• Acceso administrativo a la Device Console.
• Un colector sFlow accesible, como un NMS, SIEM o herramienta de análisis de flujos.
• Una red segura entre el firewall y el colector.
• Una decisión clara sobre qué interfaces de hardware se deben monitorear.

La configuración no se realiza en una página de WebAdmin. En WebAdmin con SFOS 22, abra el menú del nombre de usuario (por ejemplo, admin) de la esquina superior derecha y seleccione Console; con SFOS 23, haga clic allí en el icono de cuenta Account icon y seleccione Command line. Después, en ambas versiones, seleccione 4. Device Console y ejecute system sflow. Advanced Shell no es la consola adecuada. Solución de problemas de Sophos Firewall: servicios y registros explica la diferencia.

Si utiliza un cliente SSH, vaya a Administration > Device access > Local service ACL, permita SSH desde la zona de origen necesaria y pulse Apply. No abra una zona completa sin necesidad: una Local service ACL exception rule es la opción más restrictiva si solo deben acceder hosts de administración concretos. Compruebe el acceso existente a la consola o por SSH antes de cambiar sFlow, no cuando ya necesite revertirlo.

Flujo mínimo

La configuración en sí es breve. Lo importante es planificar primero la ruta de monitoreo y activar sFlow solo después:

1. Definir el colector, el puerto y la ruta de red.
2. Seleccionar una interfaz de hardware para el primer piloto.
3. Ejecutar primero system sflow show para comprobar si ya existen collectors antiguos o interfaces de monitor configuradas.
4. Configurar la tasa de muestreo y, opcionalmente, el intervalo de sondeo.
5. Usar system sflow show para verificar que el colector y la interfaz estén configurados correctamente.
6. Activar sFlow con system sflow on.
7. En el colector, comprobar que llegan datos desde la IP de agente esperada del firewall.

Las siguientes secciones explican los pasos individuales y los límites operativos.

Límites importantes antes de la activación

sFlow parece inofensivo, pero puede tener impactos en la operación y la seguridad.

sFlow no está cifrado

El tráfico sFlow del firewall al colector no está cifrado. Por lo tanto, el colector debe ser accesible a través de una red de gestión confiable, una red de monitoreo interna o un camino protegido de otra manera.

⚠️ sFlow no debe enviarse sin protección a través de redes inseguras. Los datos de flujo pueden hacer visibles direcciones IP internas, relaciones de comunicación y sistemas de destino.

FastPath se desactiva en la interfaz monitoreada

Cuando sFlow está activo en una interfaz, Fast Path se desactiva en esa interfaz. Esto es especialmente importante en interfaces WAN, LAN o Core muy cargadas.

Antes de la activación, se debe verificar:

• ¿Qué tan cargada está la interfaz?
• ¿Pasa tráfico de alto rendimiento por ella?
• ¿Hay una ventana de mantenimiento para la primera prueba?
• ¿Se puede comparar el rendimiento antes y después de la activación?

Para una comprensión básica del rendimiento del firewall, el artículo Entender correctamente los datos de rendimiento de Sophos Firewall es adecuado.

HA-Cluster: sFlow solo funciona en el Primary

En un HA-Cluster, el agente sFlow funciona en el Primary. Esto debe tenerse en cuenta en las evaluaciones y pruebas de failover. Después de un cambio de rol, se debe verificar si el colector sigue recibiendo datos y si la IP del agente permanece como se esperaba.

Para la planificación de la operación y monitoreo en HA, es adecuado Configurar alta disponibilidad en Sophos Firewall.

Planificación de interfaz y colector

sFlow se configura en interfaces de hardware. También pueden ser visibles en las muestras las interfaces dependientes como alias y VLANs de la interfaz de hardware seleccionada. Por lo tanto, la selección de la interfaz siempre debe coincidir con la ruta de tráfico real, no solo con el nombre de la VLAN o la evaluación deseada en el colector.

En SFOS 22, el agente utiliza la dirección IP de una interfaz de hardware. En SFOS 23, esta es la selección automática cuando no se configura una IP de agente con agent-ip. Sin embargo, la ayuda de SFOS 22 no especifica qué dirección elige cuando hay varias interfaces adecuadas. No deduzca una IP de agente concreta solo a partir del enrutamiento o del nombre de la interfaz. Tras la activación, identifique y documente la IP que recibe realmente el colector; cualquier lista de permitidos del colector debe reflejar esa observación.

Esto es práctico, pero puede llevar a interpretaciones erróneas:

• Si se monitorea Port1, también pueden ser visibles en el muestreo las interfaces VLAN o alias asociadas.
• Si solo interesa una VLAN específica, se debe filtrar correctamente en el colector.
• Si existen varios puertos Core o WAN, no se deben activar todas las interfaces de inmediato.
• En diseños LAG, Bridge o VLAN, debe estar claro de antemano dónde realmente fluye el tráfico relevante.

La base adecuada para esto es una planificación comprensible de interfaces y zonas. El artículo Configurar zonas e interfaces en Sophos Firewall ayuda a clasificar interfaces físicas, VLANs, Bridges, LAGs y RED.

Planificación de piloto, privacidad y retorno

Antes de la primera activación, sFlow debe tratarse como un cambio de monitoreo productivo. La función genera datos adicionales, cambia FastPath en la interfaz monitoreada y envía información de flujo a otro sistema. Por lo tanto, no basta con solo ingresar la IP del colector y la tasa de muestreo.

Antes del piloto, estos puntos deben estar claros:

• ¿Qué problema específico debe resolver sFlow: planificación de capacidad, picos de ancho de banda, monitoreo de seguridad o resolución de problemas?
• ¿Quién opera el colector y quién puede ver los datos de flujo?
• ¿Cuánto tiempo se almacenarán los datos de flujo?
• ¿A través de qué ruta de red llegan los paquetes sFlow al colector?
• ¿Qué interfaz se probará primero?
• ¿Qué valores de medición se consideran como línea base antes de la activación?
• ¿Cuándo se desactivará sFlow o se moverá a otra interfaz?

Los datos de flujo pueden hacer visibles direcciones IP internas, relaciones de comunicación, sistemas de destino, puertos y volúmenes de tráfico. Estos datos son menos detallados que una captura de paquetes completa, pero aún así son relevantes para la operación y la seguridad. Si el colector está conectado a un SIEM o una plataforma de monitoreo central, la responsabilidad debe estar tan claramente definida como al enviar Syslog de Sophos Firewall a SIEM.

Antes de cualquier cambio, guardar mediante system sflow show los colectores, las interfaces supervisadas con sus tasas de muestreo exactas, el intervalo de sondeo, el estado de activación/desactivación y la identidad del agente. Además, documentar como referencia la recepción real en el colector y la atribución al firewall. Para la prueba piloto, elegir únicamente una interfaz que se haya comprobado que aún no está supervisada; los monitores existentes deben permanecer sin cambios.

Para la primera prueba, es recomendable un piloto limitado:

1. Documentar el estado inicial: carga de la interfaz, carga de la CPU, servicios afectados, datos de monitoreo existentes.
2. Seleccionar una interfaz individual que no esté al máximo de su capacidad.
3. Establecer una tasa de muestreo conservadora.
4. Verificar la recepción del colector y la cantidad de datos.
5. Observar el rendimiento, la latencia y el caudal después de la activación.
6. Probar el retorno: system sflow off o eliminar la interfaz de monitoreo.

El retorno debe estar claro antes de la activación. Si empeora el rendimiento de una interfaz de producción, no cambie a la vez la tasa de muestreo, el colector, el enrutamiento y las reglas del firewall. Primero desactive sFlow o retire la interfaz afectada del monitoreo y vuelva a medir.

La desactivación global o la eliminación de una interfaz solo constituye una vía de reversión en la primera prueba piloto con un monitor recién creado, o una medida de emergencia expresamente autorizada. Si ya existe supervisión, esto puede interrumpirla y no restaura ni un monitor existente ni su tasa de muestreo guardada. Después de una medida de emergencia, restaurar el estado de activación guardado y verificar la restauración completa como se indica a continuación.

Para un primer piloto con los valores del ejemplo sin cambiar la identidad del agente, la reversión es la siguiente. Este bloque no restablece una identidad configurada con agent-ip; sigue vigente la limitación del paso opcional de SFOS 23:

system sflow off
system sflow monitor delete interface-name Port1
system sflow collector delete ip-address 192.0.2.10 port 6343
system sflow polling-interval 60
system sflow show

De este modo solo se eliminan las entradas creadas en el ejemplo y se restablece el intervalo de sondeo al valor predeterminado documentado de 60 segundos. Si sFlow ya estaba configurado, este bloque no es una reversión general. Elimine únicamente sus propias adiciones, restaure el intervalo de sondeo y el estado de activación anotados previamente con system sflow show y ejecute de nuevo el comando para verificar el estado final. Si habilitó SSH solo para este piloto, restaure también la Local service ACL o la regla de excepción previamente documentada sin eliminar otros accesos de administración.

Si existe una configuración previa, conservar los colectores, los monitores y la identidad del agente heredados. Cada tasa de muestreo modificada debe restablecerse al valor exacto guardado mediante el procedimiento confirmado previamente para la compilación instalada. Eliminar únicamente las entradas nuevas creadas por uno mismo y restaurar el intervalo de sondeo y el estado de activación/desactivación guardados. Comparar el estado final completo con la referencia mediante system sflow show; comprobar en el colector la atribución real y la recepción de acuerdo con el estado de activación guardado, así como el tráfico y el rendimiento afectados. La desactivación global o la eliminación de monitores por sí solas no constituyen una reversión completa.

Añadir colector sFlow

Primero se define el colector. Si no se planifica otro puerto, sFlow usa normalmente 6343. Sophos permite valores de puerto de 1 a 65535; el default documentado es 6343. En entornos productivos, el puerto debe coincidir igualmente con el colector utilizado y con las reglas de firewall en el camino.

Ejemplo:

system sflow collector add ip-address 192.0.2.10 port 6343

Sophos admite hasta cinco colectores. Cada colector se añade por separado.

El estado actual se puede verificar después:

system sflow show

Si se desea eliminar un colector:

system sflow collector delete ip-address 192.0.2.10 port 6343

Opcional: definir la identidad del agente en SFOS 23

Este paso solo se aplica a SFOS 23; el flujo existente de SFOS 22 no cambia. Con agent-ip se puede especificar una IP unicast válida como identidad sFlow del firewall en el colector. Solo se permite una IP de agente configurada por firewall. No es la dirección de destino del colector. Sin una identidad configurada, SFOS 23 utiliza automáticamente una IP de interfaz de hardware.

⚠️ Antes de cambiar nada, guarde la configuración inicial con system sflow show, incluida cualquier IP de agente existente. Una identidad distinta puede cambiar la atribución y los filtros de identidad del colector. No sustituya a ciegas una identidad existente; confirme primero el procedimiento para la versión instalada. La descripción de SFOS 23 se contradice sobre la eliminación: el resumen de sintaxis exige una dirección IP, pero la descripción detallada y el ejemplo la omiten. Por ello, aquí no se proporciona un comando de eliminación ni una reversión completa para una identidad recién configurada. Si necesita volver de forma fiable a la identidad automática, omita este paso opcional hasta que se aclare de forma autorizada la sintaxis de eliminación para la versión instalada. system sflow off detiene la exportación, pero no demuestra que se haya restaurado la identidad anterior.

Solo tras esta comprobación previa y sin una identidad configurada existente, puede adaptar este ejemplo en la Device Console:

system sflow show
system sflow agent-ip add 192.0.2.20
system sflow show

192.0.2.20 es un valor de documentación: sustitúyalo por una IP unicast válida destinada a identificar inequívocamente su firewall en el colector. 192.0.2.10 sigue siendo el destino separado del colector en el ejemplo. La identidad del agente no garantiza la dirección de origen UDP, el enrutamiento, la asignación de interfaz ni el comportamiento de las ACL de transporte; compruebe la ruta de red por separado.

Compruebe la configuración después del cambio y, tras la activación, compare la IP de agente que el colector realmente decodifica de los datos sFlow con el valor previsto. Ajuste los filtros de identidad solo basándose en esa observación. Si difiere, revise primero la configuración y la decodificación del colector, en vez de adivinar nuevos cambios de identidad. Compruebe también la recepción y la atribución después de un failover HA; no se garantiza una identidad estable tras un cambio de rol.

Configurar interfaz y tasa de muestreo

Luego se determina qué interfaz se monitoreará y con qué tasa de muestreo se seleccionarán los paquetes. En SFOS 22, el agente sFlow utiliza una IP de interfaz de hardware; en SFOS 23, esto solo se aplica sin una agent-ip configurada. En el colector puede aparecer por tanto una IP de interfaz de hardware, aunque el análisis real afecte a una VLAN o alias debajo de ese puerto.

Ejemplo:

Antes del siguiente ejemplo de monitor add, revisar la configuración guardada: Port1 debe ser una interfaz de hardware que no se haya supervisado hasta ahora. Si, en su lugar, es necesario cambiar la tasa de muestreo de un monitor existente, confirmar primero de forma concluyente, para la compilación instalada, tanto el procedimiento de modificación admitido como la restauración de la tasa exacta guardada. Detenerse si no se han confirmado tanto el procedimiento de cambio como el de restauración. No suponer que add actualiza de forma segura un monitor existente ni deducir un comando de restablecimiento a partir de la sintaxis Add/Delete.

system sflow monitor add interface-name Port1 sampling-rate 1000

La tasa de muestreo decide con qué frecuencia se seleccionan los paquetes como muestra. Un número más bajo genera más muestras y, por lo tanto, más detalles, pero también más carga y más datos en el colector. Un número más alto reduce la cantidad de datos, pero puede hacer menos visibles los flujos cortos o pequeños.

Los valores límite relevantes son:

Para comenzar, es recomendable un valor conservador, por ejemplo, 1000 o más. Luego se debe verificar en el colector si la cantidad de datos, el nivel de detalle y el rendimiento se ajustan al objetivo.

El siguiente comando de eliminación está previsto únicamente para eliminar el monitor recién creado en esta prueba piloto. No eliminar un monitor heredado como vía de reversión habitual; su tasa modificada se restaura mediante el procedimiento confirmado previamente.

Una interfaz de monitoreo se puede eliminar nuevamente:

system sflow monitor delete interface-name Port1

Configurar intervalo de sondeo

Además del muestreo de paquetes, sFlow también puede consultar estadísticas y contadores de interfaz en un intervalo. Sophos permite un intervalo de sondeo entre 30 y 300 segundos; el default es 60 segundos. Con 0 se desactiva el sondeo.

Ejemplo:

system sflow polling-interval 80

Desactivar sondeo:

system sflow polling-interval 0

Para la mayoría de los entornos, es recomendable un intervalo medio. Intervalos demasiado cortos generan más datos y no son automáticamente más útiles.

Activar sFlow

Cuando el colector, la interfaz y el sondeo están planificados, se activa sFlow. De forma predeterminada, sFlow está desactivado:

system sflow on

Verificar el estado:

system sflow show

La siguiente desactivación global también detiene la supervisión sFlow existente. Como vía de reversión, está prevista únicamente para la primera prueba piloto o como medida de emergencia expresamente autorizada, no para restaurar una configuración existente. Después, restaurar y verificar el estado de activación guardado y el resto de la referencia.

Desactivar sFlow:

system sflow off

Después de la activación, no solo se debe verificar el firewall, sino también el colector. Allí deben llegar datos desde la IP del agente del firewall y resolverse de manera significativa.

Validación después de la activación

Después de encenderlo, se deben verificar estos puntos:

1. system sflow show muestra correctamente el colector, la interfaz, la tasa de muestreo y el estado.
2. El colector recibe datos sFlow de la IP del firewall esperada.
3. La hora en el firewall y el colector coincide.
4. Los nombres de las interfaces y la dirección del flujo son comprensibles en el colector.
5. La carga en el firewall y el colector permanece sin problemas.
6. La cantidad de datos se ajusta al almacenamiento y procesamiento planificados.
7. El retorno definido se ha probado una vez o al menos se ha documentado como un comando concreto.
8. En clústeres HA, después de un failover, se verifica si los datos siguen llegando.

Si se analizan simultáneamente reglas del firewall, NAT, VPN o Inspección TLS, sFlow no debe considerarse de forma aislada. Para decisiones de conexión concretas, el Log Viewer y Packet Capture siguen siendo cruciales. Para evaluaciones a largo plazo, se debe verificar si también se necesita Syslog o Central Reporting.

Solución de problemas

No hay tráfico en el colector

Compruebe primero system sflow show y después la IP del colector, el puerto y la ruta de red. En el colector, revise si se descartan paquetes sFlow entrantes o si un filtro espera una IP de agente incorrecta. Si el firewall tiene varias direcciones IP de interfaces de hardware, no dé por sentada la IP del agente.

Solo una parte del tráfico es visible

sFlow trabaja con muestreo. Es normal que no todos los paquetes individuales sean visibles. Si faltan flujos importantes, se puede ajustar la tasa de muestreo o elegir otra interfaz. En VLANs y alias, se debe verificar si se está monitoreando la interfaz de hardware correcta.

También durante la resolución de problemas se aplica lo siguiente a un monitor existente: cambiar la tasa de muestreo únicamente si se han confirmado previamente los procedimientos de modificación y restauración admitidos por la compilación para el valor inicial exacto guardado; de lo contrario, detenerse.

El rendimiento cambia después de la activación

Si se está monitoreando una interfaz muy utilizada, la desactivación de FastPath puede ser relevante. En este caso, se debe desactivar sFlow de prueba y comparar el rendimiento. En interfaces Core o WAN productivas, una prueba planificada es mejor que una activación espontánea.

Una desactivación de este tipo cuando ya existe supervisión requiere una autorización expresa como medida de emergencia; no constituye una reversión completa. Después de la medición, restaurar el estado de activación guardado y comprobar la configuración, la recepción en el colector y la atribución, así como el tráfico y el rendimiento afectados, comparándolos con la referencia.

Los datos de HA parecen incompletos

En entornos HA, el agente sFlow funciona en el Primary. Después de un failover, se debe verificar qué firewall es actualmente el Primary, qué IP se utiliza como IP del agente y si el colector sigue asignando correctamente los datos.

Lista de verificación operativa

• Colocar el colector en una red segura.
• Documentar propietario, propósito, acceso y almacenamiento de los datos de flujo.
• Verificar el puerto UDP y el enrutamiento hacia el colector.
• Comenzar con una o pocas interfaces.
• Capturar línea base antes y después para carga de interfaz, CPU, latencia y rendimiento.
• Elegir una tasa de muestreo conservadora y luego ajustarla.
• Considerar el impacto de FastPath en interfaces críticas.
• Planificar la vía de reversión tomando como referencia la configuración guardada: conservar los monitores heredados y restaurar las tasas de muestreo modificadas a sus valores exactos mediante el procedimiento confirmado previamente para la compilación. system sflow off o la eliminación del monitor nuevo solo sirven como limpieza de la primera prueba piloto o como medida de emergencia expresamente autorizada; después, restaurar y verificar el estado de activación guardado y la referencia completa.
• Probar failover en HA si se utiliza sFlow en el clúster.
• Comparar datos de flujo con Log Viewer, Packet Capture y Reporting.
• Verificar regularmente si los datos aún se están evaluando o solo se están recopilando sin uso.

FAQ