Las VLAN separan lógicamente las redes entre sí, aunque puedan funcionar con los mismos conmutadores y cables. En un entorno típico de tamaño pequeño o mediano, Sophos Firewall se encarga del enrutamiento, las reglas de firewall, DHCP y las políticas de seguridad. El Switch UniFi transporta las VLAN mediante etiquetado a puntos de acceso, clientes, servidores u otros conmutadores.
El artículo muestra una configuración práctica con Sophos Firewall como Gateway y UniFi como plataforma de conmutación. La atención se centra no sólo en la ruta de clic, sino también en los errores típicos: comportamiento incorrecto de Tagged/Untagged, falta de reglas de firewall, servidor DHCP olvidado o un VLAN en la interfaz principal incorrecta.
Imagen de destino
Ejemplo:
VLAN Nombre: Clients.
VLAN ID: 100.
Subred: 10.100.0.0/24.
Gateway a Sophos Firewall: 10.100.0.1.
Zona en Sophos Firewall: Client o LAN.
UniFi Enlace ascendente al firewall: Permitir etiquetado VLAN 100.
Puerto de cliente en el conmutador: VLAN 100 sin etiquetar o configurado como Native VLAN.
En este diseño, el Sophos Firewall es el Gateway predeterminado de la VLAN. Los clientes en VLAN obtienen una dirección IP de la nueva subred, envían su tráfico al firewall y son controlados allí mediante reglas de firewall, NAT, protección web, IPS u otras políticas.
Si primero es necesario aclarar la interfaz básica y la planificación de zonas, Sophos Firewall Configurar zonas e interfaces le resultará útil. A los efectos de estas instrucciones, se supone que el VLAN está planificado deliberadamente como su propio cliente, invitado, servidor o red de administración.
Aclarar de antemano
Antes de la configuración debes determinar estos puntos:
¿Qué ID VLAN se utiliza?
¿Qué subred IP obtiene el VLAN?
¿El Sophos Firewall debería proporcionar DHCP para este VLAN?
¿En qué zona de Sophos está el VLAN?
¿Qué puertos UniFi transportan el VLAN etiquetado?
¿Qué puertos UniFi envían el VLAN sin etiquetar a los dispositivos finales?
¿El VLAN sólo puede acceder a Internet o también a servidores internos?
¿A qué servicios de firewall locales se puede acceder desde esta zona?
⚠️ Un VLAN solo separa la Capa 2. El Sophos Firewall luego decide si se permite el tráfico entre VLAN mediante enrutamiento, reglas de firewall y NAT. Un VLAN no reemplaza la planificación regular.
Crear VLAN en UniFi Network
Dependiendo de la versión de UniFi Network, los elementos del menú individuales tienen nombres ligeramente diferentes. El principio sigue siendo el mismo: el VLAN se crea como su propia red o como una red exclusiva para el VLAN si el Sophos Firewall se hace cargo del Gateway y DHCP.
Ruta del menú:
Settings > Networks
Procedimiento:
Abra Nueva red virtual o Nueva red.
Asigne un nombre, por ejemplo Clients.
Seleccione Gateway de terceros como enrutador o Gateway si el Sophos Firewall se hace cargo del enrutamiento y DHCP.
Ingrese el ID de VLAN, por ejemplo 100.
Deje deshabilitadas las funciones automáticas UniFi-Gateway o DHCP cuando el Sophos Firewall esté a cargo.
Guardar.En UniFi Network, las VLAN se crean primero como redes o redes solo para VLAN.Para Gateway de terceros, el Sophos Firewall sigue siendo el Gateway de la VLAN.
UniFi Configure los puertos del conmutador correctamente
La parte más importante es el mapeo de puertos. El conmutador Sophos Firewall y UniFi debe ver el mismo ID VLAN en el mismo enlace.
Diseño de puerto típico:
Enlace ascendente a Sophos Firewall: Permitir etiquetar VLAN 100 para que VLAN se transporte al firewall.
Enlace ascendente a otro conmutador: Permitir etiquetar VLAN 100 si se va a redistribuir el VLAN.
Puerto Access Point: Permitir etiquetar VLAN 100 si un SSID usa este VLAN.
Puerto de cliente: Configure VLAN 100 como nativo/Untagged VLAN para que un dispositivo sin una etiqueta VLAN termine directamente en la red correcta.
Cuando una PC cliente normal está conectada a un puerto de conmutador, normalmente envía sin etiquetar. Luego, el conmutador asigna este puerto al Native VLAN deseado. Si un Access Point u otro conmutador va a transportar varias VLAN, el puerto debe permitir las VLAN etiquetadas.
Errores típicos:
VLAN creado en el conmutador UniFi, pero no permitido en el enlace ascendente al firewall.
Puerto de cliente configurado etiquetado en lugar de sin etiquetar.
Access Point SSID usa VLAN 100, pero el puerto AP no lleva VLAN 100.
Native VLAN y Tagged VLAN están confundidos.
El ID de VLAN es diferente en UniFi y Sophos.
Cambios de plan sin pérdida de gestión.
Se debe tener especial cuidado al realizar cambios VLAN en enlaces ascendentes, perfiles de puertos de conmutador o redes de administración. Un Native VLAN incorrecto o un Tagged VLAN faltante en el enlace ascendente pueden hacer que el conmutador, Access Point o el firewall desaparezcan de la red de administración.
Por lo tanto, antes de realizar cambios productivos, conviene determinar brevemente:
Red de gestión UniFi: La gestión VLAN no se debe perder al cambiar el perfil del puerto.
Enlace ascendente a Sophos Firewall: Los cambios en este puerto a menudo afectan a varias VLAN al mismo tiempo.
Acceso local: Para cambios remotos, se requiere una ruta alternativa al conmutador y al firewall.
Puerto de prueba: Los nuevos perfiles VLAN se pueden probar en un puerto reservado sin reubicar los dispositivos productivos.
Copia de seguridad: Con una configuración segura de Sophos y UniFi, puede volver a la última versión funcional más rápidamente.
Recomendamos validar primero las nuevas VLAN en un único puerto de prueba. Solo cuando DHCP, Gateway, DNS, regla de firewall y Log Viewer coincidan se debe implementar el perfil de puerto en puntos de acceso adicionales, enlaces ascendentes de conmutador o puertos de cliente.
Crear VLAN en el Sophos Firewall
El VLAN se crea como una interfaz virtual en el Sophos Firewall.
Ruta del menú:
Network > Interfaces > Add interface > Add VLAN
Procedimiento:
Asigne un nombre, por ejemplo Clients VLAN 100.
Seleccione el puerto físico, puente o LAG donde llega el VLAN etiquetado como Interfaz.
Seleccione la zona, por ejemplo Client, LAN, Guest o Server.
Ingrese el ID de VLAN, por ejemplo 100.
En Configuración IPv4 normalmente seleccione Static.
Configure la dirección Gateway de la VLAN, por ejemplo 10.100.0.1/24.
Guardar.El VLAN se crea en la interfaz principal en la que el conmutador UniFi envía el VLAN etiquetado al firewall.El ID de VLAN, la zona y la dirección IP deben coincidir con el diseño del conmutador y de la subred.Sophos permite ID de VLAN desde 1 a 4094. El mismo ID VLAN no se puede utilizar varias veces en la misma interfaz física. Técnicamente, el mismo VLAN ID puede aparecer nuevamente en una interfaz principal diferente, pero en la práctica esto solo debe hacerse si el diseño de la red está claramente documentado.
Configurar DHCP para el VLAN
Si los clientes en VLAN deben recibir automáticamente direcciones IP, se requiere un servidor DHCP o una retransmisión DHCP.
En el Sophos Firewall, DHCP se encuentra en:
Network > DHCP
Valores típicos de DHCP:
Interfaz: Clients VLAN 100.
Inicio de rango: 10.100.0.50.
Fin de gama: 10.100.0.200.
Gateway: 10.100.0.1.
Servidor DNS: Firewall-IP o servidor DNS interno.
Nombre de dominio: dominio de búsqueda interna, si se requiere.
Si el Sophos Firewall se va a utilizar como solucionador de DNS para este VLAN, también se debe permitir el DNS en Administración > Acceso al dispositivo para la zona adecuada. Las opciones de DHCP para dispositivos específicos se describen en el artículo Sophos Firewall Opciones de DHCP (SFOS).
Crear reglas de firewall
Después de VLAN y DHCP, normalmente falta la regla de firewall adecuada. Sin una regla, el cliente puede obtener una dirección IP, pero no puede comunicarse automáticamente con Internet u otras redes.
Primera regla típica de Internet:
Rule name: Clients_to_WAN.
Source zones: Client o LAN.
Source networks and devices: Objeto de red de la VLAN, por ejemplo net_Clients_10.100.0.0_24.
Destination zones: WAN.
Destination networks: Any.
Services: HTTP, HTTPS, DNS, NTP o servicios definidos deliberadamente.
Log firewall traffic: activado.
Debe crear reglas independientes para el acceso a los servidores internos y permitir solo los destinos y servicios necesarios. Por lo general, no se debe permitir que un invitado o IoT VLAN acceda al servidor o a la red de administración.
No se permite etiquetar VLAN en el enlace ascendente UniFi al firewall: Los clientes no reciben una dirección IP o no llegan al firewall.
VLAN está en la interfaz principal incorrecta en Sophos: Sophos Firewall no ve el tráfico.
El puerto del cliente está etiquetado en lugar de sin etiquetar: Los clientes normales no terminan en el VLAN.
Falta DHCP: El cliente no obtiene una dirección IP o una dirección APIPA.
Falta DNS Device Access: El cliente puede acceder a las IP pero no puede resolver nombres.
Falta la regla de firewall: El cliente obtiene una dirección IP, pero el tráfico está bloqueado.
Permitir regla demasiado amplia: VLAN la separación prácticamente se elimina nuevamente.
Zona incorrecta seleccionada: La regla Device Access o la política web tienen efecto de manera diferente a lo esperado.
Native VLAN en Trunk no está claro: El tráfico sin etiquetar termina en la red incorrecta.
Solución de problemas
Si el VLAN no funciona, debes verificar desde la Capa 1 a la Capa 7:
Cable y enlace: ¿El puerto UniFi muestra el enlace y la velocidad esperada?
Perfil de puerto UniFi: ¿Se permite la etiqueta VLAN 100 en el enlace ascendente?
Puerto del cliente: ¿VLAN 100 está configurado sin etiquetar/nativo para clientes normales?
Interfaz de Sophos: ¿Está el VLAN visible, conectado y en la zona correcta en Red > Interfaces?
DHCP: ¿Existe un servidor DHCP o un relé para el VLAN?
Gateway: ¿Sophos VLAN-IP es el Gateway predeterminado?
Device Access: ¿Se permite DNS o Ping para la zona si es necesario?
Reglas de firewall: ¿Son correctos Source Zone, Source Network, Zona de destino y Services?
Log Viewer: ¿El tráfico está permitido, eliminado o afectado por otra regla?
Packet Capture: ¿Los paquetes llegan a la interfaz correcta y con la configuración VLAN esperada?
En casos difíciles de entender, Packet Capture suele ser crucial. Si no llegan paquetes a la interfaz principal de Sophos, el problema suele estar en el lado UniFi, el cable, el perfil del puerto, el diseño Tagged/Untagged o el enlace ascendente incorrecto.
Lista de verificación
El ID de VLAN es el mismo en UniFi y Sophos.
UniFi El enlace ascendente al Sophos Firewall permite etiquetar el VLAN.
El puerto del dispositivo final no está etiquetado/es nativo en el VLAN correcto para clientes normales.
Sophos VLAN está en la interfaz principal correcta.
Sophos VLAN tiene la zona programada y Gateway-IP.
DHCP o DHCP Relay está configurado.
El DNS está configurado correctamente y permitido cuando se utiliza el firewall a través de Device Access.
La regla de firewall para el acceso a Internet está presente y registrada.
Sólo se permite el acceso interno donde realmente sea necesario.
Se probaron Log Viewer y Packet Capture para un cliente de prueba.
Preguntas frecuentes
¿Cada VLAN necesita su propia zona de Sophos?
No. Pueden haber varias VLAN en la misma zona si se les asigna el mismo nivel de confianza, reglas de firewall y Device Access. Sin embargo, si un VLAN tiene derechos diferentes o un riesgo diferente, una zona separada suele ser más clara.
¿Es necesario ejecutar DHCP en el Sophos Firewall?
No necesariamente. DHCP también puede ejecutarse en un servidor interno o retransmitirse. Lo único importante es que los clientes en VLAN reciban una dirección IP, Gateway y una configuración DNS adecuadas.
¿Por qué funciona Internet pero no hay acceso a los servidores internos?
La mayoría de las veces no existe una regla de firewall adecuada entre la zona VLAN y la zona del servidor, o la regla está bajo una regla de bloqueo o permiso más general. En Log Viewer puede ver qué regla coincide realmente.
¿Por qué el cliente no obtiene una dirección IP?
Las causas comunes son un perfil de puerto UniFi incorrecto, un enlace ascendente sin etiquetar al Sophos Firewall, un VLAN en la interfaz principal incorrecta o un servidor DHCP faltante.
¿Debería un invitado VLAN usar DNS sobre Sophos Firewall?
Esto puede resultar útil si desea que el firewall proporcione o filtre DNS para el invitado VLAN. Luego se debe permitir DNS para la zona correspondiente en Device Access. Alternativamente, puede distribuir servidores DNS externos a través de DHCP.
