Choisir et vérifier SFP et SFP+ sur Sophos Firewall

Si un port SFP reste sur Unplugged, si le lien devient instable ou s’il n’atteint pas la vitesse attendue, la cause se situe généralement avant la règle de pare-feu : le type de port, le transceiver, la fibre, l’équipement distant ou la négociation du lien ne correspondent pas.

Le contrôle le plus rapide suit cet ordre :

Identifier le modèle de l’appliance et le port matériel : SFP, SFP+, QSFP ou Flexi Port.
Vérifier la vitesse prise en charge et la compatibilité du transceiver pour ce port précis.
Comparer le transceiver, la fibre ou le DAC et le module de l’équipement distant.
Sous Network > Interfaces, vérifier Link Mode, Auto-Negotiation et FEC.
Lire le lien et le module avec ethtool.
Remplacer séparément la fibre, le module et le port distant par des composants dont le bon fonctionnement est connu.
Examiner le VLAN, le LAG, la configuration IP, le routage et les règles de pare-feu uniquement lorsque le lien physique est stable.

Choisir un port et un transceiver compatibles

Distinguer SFP, SFP+ et Dual Rate

SFP correspond généralement à 1 GbE et SFP+ à 10 GbE. Le signe plus est donc important : un module SFP+ 10G ne fonctionne pas dans un port SFP limité à 1G. À l’inverse, tous les ports SFP+ ne prennent pas automatiquement en charge les modules SFP 1 Gbit/s.

Certains ports SFP+ ou modules Flexi Port sont Dual Rate et prennent en charge 1 et 10 GbE. Cette capacité ne doit être supposée pour un port précis que si le manuel du modèle ou la matrice de compatibilité la confirme. Les appliances de plus grande taille peuvent également comporter des ports QSFP, QSFP+ ou breakout ; le mode du port, le module et la vitesse doivent également y correspondre.

La matrice actuelle des modèles et transceivers est disponible dans Sophos Firewall Config Studio, sous Backup-restore compatibility. Avant un achat ou une modification matérielle, y vérifier l’appliance, le module Flexi Port, le standard du port et le transceiver. Cette vue est préférable à une liste statique dans cet article, car les modèles et modules pris en charge peuvent évoluer.

Un transceiver tiers qui ne figure pas dans la liste peut fonctionner techniquement, mais cela ne signifie pas qu’il a été testé ou qu’il est pris en charge par Sophos. Il n’existe pas de commande CLI générale permettant d’activer un SFP incompatible. Pour les uplinks en production, utiliser un module vérifié et disposer d’un remplacement dont le bon fonctionnement est connu.

Comparer le chemin optique et l’équipement distant

Sur une liaison fibre, les deux extrémités doivent utiliser le même standard de transmission. Avant d’insérer le module, vérifier :

singlemode ou multimode
vitesse et standard, par exemple 1G-SX/LX ou 10G-SR/LR
longueur d’onde et distance prise en charge
connecteur et jarretière fibre adaptés
polarité TX/RX correcte sur une liaison à deux fibres
paire de longueurs d’onde correspondante pour les modules BiDi
module compatible et paramètres de port coordonnés sur l’équipement distant

À titre indicatif, SX et SR désignent généralement des liaisons multimode courtes, tandis que LX et LR désignent généralement des liaisons singlemode plus longues. Les spécifications du transceiver et de l’équipement distant concernés restent déterminantes.

Un exemple courant de liaison courte à 10 Gbit/s utilise des transceivers 10G-SR compatibles aux deux extrémités et une fibre multimode adaptée à la distance. Un module 10G-LR à une extrémité et un module 10G-SR à l’autre ne sont pas compatibles malgré une vitesse identique.

Pour un DAC ou un AOC, le type et la longueur du câble, le standard du port et les deux appareils doivent être pris en charge. Un câble qui s’insère mécaniquement ne garantit pas l’établissement d’un lien.

⚠️ Sécurité laser : Ne jamais regarder directement dans un transceiver sous tension ou une extrémité de fibre ouverte. Retirer les capuchons de protection uniquement lors du raccordement et nettoyer les connecteurs contaminés avec des outils adaptés à la fibre optique.

Configurer le port dans SFOS

Modifier l’interface physique sous Network > Interfaces et ouvrir Advanced settings > Port settings. Selon l’appliance, les options suivantes apparaissent :

Link mode : vitesse et duplex
Auto-negotiation for media type : négociation automatique avec l’équipement distant
Forward Error Correction (FEC) : correction d’erreurs pour les ports rapides pris en charge
Show recommended settings : afficher les valeurs recommandées pour le mode de port sélectionné
Load recommended configuration : appliquer ces valeurs

La vitesse, le duplex, Auto-Negotiation et FEC doivent être compatibles aux deux extrémités. Une divergence peut provoquer des coupures de lien, des erreurs, de la latence ou de mauvaises performances. Pour les ports à 25, 50 et 100 Gbit/s, enregistrer d’abord Link Mode, rouvrir l’interface, puis charger la configuration recommandée.

Sur les modules Flexi Port des XGS 2100, 2300, 3100 et 3300, tous les ports SFP+ du même module doivent être configurés avec la même vitesse. Cette restriction ne s’applique pas de manière générale à tous les ports SFP+ fixes ni à tous les modèles XGS.

⚠️ Une modification de l’uplink peut interrompre immédiatement le lien et donc l’accès à WebAdmin. Pour les liaisons WAN, core ou HA en production, prévoir une fenêtre de maintenance, un accès d’administration alternatif et les valeurs précédentes comme procédure de retour.

Après l’enregistrement, vérifier le nom matériel et l’état sous Network > Interfaces. Connected confirme le lien physique, mais pas la validité de la configuration VLAN, LAG, IP ou des stratégies. Planifier correctement les zones et interfaces Sophos Firewall explique l’interaction entre interfaces, zones et règles.

Lire le lien et le module par la CLI

Identifier le nom matériel

Les commandes suivantes nécessitent le nom matériel, et non le nom d’affichage attribué librement. Il figure sous Network > Interfaces et peut être, par exemple, PortF1, PortA1 ou Port1.

La Device Console peut également afficher les interfaces :

show network interfaces

Pour utiliser ethtool, passer sous Device Management > Advanced Shell. Les consoles et l’accès SSH sont expliqués dans Administrer Sophos Firewall par SSH.

Vérifier le lien, la vitesse et la négociation

Exemple pour PortF1 :

ethtool PortF1

La commande ne modifie rien. Une sortie abrégée peut se présenter ainsi :

Speed: 10000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes

Dans cet exemple, un lien physique à 10 Gbit/s en Full Duplex est établi. Cela ne confirme pas encore la validité du VLAN, de la configuration IP, du routage et des règles de pare-feu. Les valeurs particulièrement importantes sont :

Link detected: yes pour un lien physique détecté
la vitesse attendue, par exemple Speed: 10000Mb/s
Duplex: Full
les modes de lien pris en charge et actuellement utilisés
l’état d’Auto-Negotiation

Ces valeurs sont des indicateurs et doivent correspondre à l’équipement distant. Link detected: yes ne prouve pas encore que le chemin de données fonctionne. À l’inverse, Speed: Unknown! ne prouve pas à lui seul qu’un transceiver est défectueux, car le driver et le type de port peuvent influencer la sortie.

Si une interface XGS 10G physique ou basée sur un LAG reste down avec Auto-negotiation, Configurer et tester un LAG avec LACP décrit le problème NC-94073, toujours répertorié, ainsi que le workaround officiel avec réglage manuel à 10 Gbit/s.

Lire les données du transceiver et les valeurs optiques

Si le module et le driver le prennent en charge, l’EEPROM du module peut être lu ainsi :

ethtool -m PortF1

La sortie peut notamment afficher :

identifiant et connecteur
type de transceiver et longueur d’onde
longueur de fibre prévue
fabricant, Part Number et numéro de série
température et tension
puissance optique d’émission et de réception
seuils d’alarme et de warning

Évaluer la puissance RX et TX uniquement par rapport aux limites indiquées par le module concerné ou par sa fiche technique. Des limites générales en dBm seraient incorrectes, car le standard, la distance et l’optique varient.

Tous les modules ne proposent pas Digital Diagnostic Monitoring. Une sortie vide ou Operation not supported signifie donc uniquement que les données EEPROM ou de diagnostic ne sont pas disponibles par ce driver. Cela ne prouve pas un défaut. À l’inverse, des données de module lisibles ne prouvent pas que le lien est stable.

La sortie peut contenir le fabricant et le numéro de série. Avant de publier une capture d’écran ou de la joindre à un ticket, masquer les données d’appareil qui ne sont pas nécessaires.

Rechercher les fluctuations du lien dans le tampon du noyau

Pour de brèves interruptions, une recherche en lecture seule dans l’Advanced Shell est utile :

dmesg | grep PortF1

Des messages link-up et link-down répétés correspondent à des problèmes possibles de fibre, de module, d’équipement distant ou de négociation. dmesg contient uniquement le tampon actuel du noyau et ne remplace pas une surveillance à long terme.

Les variantes qui modifient l’état ou interrompent le service, telles que ethtool -s, ethtool -r ou les modifications de l’EEPROM, ne font pas partie d’un diagnostic normal. Elles peuvent modifier le lien, l’accès d’administration ou l’état du module.

Isoler un lien absent ou instable

Poursuivre l’analyse des résultats comme suit :

L’interface reste sur Unplugged : Vérifier le type de port, la vitesse prise en charge, la compatibilité du module, l’insertion du transceiver, la fibre, la polarité TX/RX et le port distant.
Les données du module sont lisibles, mais le lien reste down : S’assurer que les deux extrémités utilisent le même standard et la même vitesse ; comparer Auto-Negotiation et FEC. Remplacer ensuite séparément la fibre et les modules par des composants dont le bon fonctionnement est connu.
Le lien ne s’établit que sporadiquement : Nettoyer les connecteurs, vérifier le rayon de courbure et la température, comparer les valeurs RX/TX aux limites du module et rechercher des fluctuations dans dmesg.
Le lien est up, mais lent ou défaillant : Vérifier la vitesse et le duplex négociés, les compteurs du switch, les valeurs optiques et FEC. Évaluer les performances avec un second appareil avant de considérer le pare-feu comme la cause.
Le lien est stable, mais aucun trafic ne circule : Vérifier maintenant le VLAN tagging, le LAG, la zone, l’adresse IP, la passerelle, le routage et les règles de pare-feu. Pour les VLAN, consulter Configurer et tester un VLAN sur Sophos Firewall.

Ne remplacer qu’un composant à la fois et documenter le résultat. Cela permet de déterminer si la cause provenait du module, de la fibre, du port du pare-feu ou de l’équipement distant.

Si un module compatible et une fibre dont le bon fonctionnement est connu ne produisent toujours pas de lien stable sur un port correctement configuré, collecter les sorties, les horodatages, la version SFOS, le modèle de l’appliance et les Part Numbers utilisés. Vérifier un défaut matériel sur une appliance Sophos explique la suite du processus de support et de RMA.

GBIC Swisscom XGS-PON sur XGS Rev. 2

La liste Sophos Known Issues actuelle répertorie sous NC-168210 un cas suisse précis pour SFOS 21.5 GA Build 171 : le module Swisscom ALL-BM410-XGSPON-GBIC n’est pas pris en charge dans les ports SFP à 1 Gbit/s des appliances XGS Rev. 2.

Sophos indique un port SFP+ à 10 Gbit/s comme alternative possible, tout en précisant que le module n’y a pas été testé en interne. Son fonctionnement n’est donc pas garanti. Pour une connexion en production, inclure dans le plan la compatibilité confirmée du port, une fenêtre de maintenance et une connexion alternative à l’opérateur.

Ce cas illustre une distinction importante : un module peut éventuellement établir un lien sans constituer pour autant une combinaison testée et prise en charge.