Configurez VLAN sur les commutateurs Sophos Firewall et UniFi

Les VLAN séparent logiquement les réseaux les uns des autres, même s’ils peuvent fonctionner sur les mêmes commutateurs et câbles. Dans un environnement typique de petite ou moyenne taille, le Sophos Firewall prend en charge le routage, les règles de pare-feu, le DHCP et les politiques de sécurité. Le UniFi Switch transporte les VLAN via le marquage vers des points d’accès, des clients, des serveurs ou d’autres commutateurs.

L’article présente une configuration pratique avec Sophos Firewall comme Gateway et UniFi comme plate-forme de commutation. L’accent n’est pas seulement mis sur le chemin de clic, mais aussi sur les erreurs typiques : comportement incorrect de Tagged/Untagged, règles de pare-feu manquantes, serveur DHCP oublié ou VLAN sur la mauvaise interface parent.

Image cible

Exemple :

• VLAN Nom : Clients.
• ID VLAN : 100.
• Sous-réseau : 10.100.0.0/24.
• Gateway à Sophos Firewall : 10.100.0.1.
• Zone sur Sophos Firewall : Client ou LAN.
• Liaison montante UniFi vers le pare-feu : autoriser le balisage VLAN 100.
• Port client sur le commutateur : VLAN 100 non étiqueté ou défini comme Native VLAN.

Dans cette conception, le Sophos Firewall est le Gateway par défaut du VLAN. Les clients du VLAN obtiennent une adresse IP du nouveau sous-réseau, envoient leur trafic au pare-feu et y sont contrôlés via des règles de pare-feu, NAT, une protection Web, IPS ou d’autres politiques.

Si l’interface de base et la planification des zones doivent d’abord être clarifiées, Sophos Firewall Configurer les zones et les interfaces vous aidera. Pour les besoins de ces instructions, il est supposé que le VLAN est délibérément conçu comme son propre réseau client, invité, serveur ou de gestion.

Clarifier à l’avance

Avant la configuration, vous devez déterminer ces points :

• Quel ID VLAN est utilisé ?
• Quel sous-réseau IP le VLAN obtient-il ?
• Le Sophos Firewall doit-il fournir DHCP pour ce VLAN ?
• Dans quelle zone Sophos se trouve le VLAN ?
• Quels ports UniFi transportent le VLAN balisé ?
• Quels ports UniFi transmettent le VLAN non étiqueté aux périphériques finaux ?
• Le VLAN peut-il accéder uniquement à Internet ou également aux serveurs internes ?
• Quels services de pare-feu locaux peuvent être accessibles depuis cette zone ?

⚠️ Un VLAN ne sépare que la couche 2. Le Sophos Firewall décide plus tard si le trafic entre les VLAN est autorisé via le routage, les règles de pare-feu et NAT. Un VLAN ne remplace pas la planification régulière.

Créer VLAN dans UniFi Network

Selon la version du UniFi Network, les éléments de menu individuels portent des noms légèrement différents. Le principe reste le même : le VLAN est créé comme son propre réseau ou comme réseau uniquement VLAN si le Sophos Firewall prend le relais du Gateway et du DHCP.

Chemin du menu :

Settings > Networks

Procédure :

1. Ouvrez Nouveau réseau virtuel ou Nouveau réseau.
2. Attribuez un nom, par exemple Clients.
3. Sélectionnez Gateway tiers comme routeur ou Gateway si le Sophos Firewall prend en charge le routage et DHCP.
4. Saisissez l’ID VLAN, par exemple 100.
5. Laissez les fonctions automatiques UniFi-Gateway ou DHCP désactivées lorsque le Sophos Firewall est en charge.
6. Enregistrez.

   

   

UniFi Définir correctement les ports du commutateur

La partie la plus importante est la cartographie des ports. Les commutateurs Sophos Firewall et UniFi doivent voir le même ID VLAN sur le même lien.

Conception de port typique :

• Liaison montante vers Sophos Firewall : Autoriser VLAN 100 balisé afin que le VLAN soit transporté vers le pare-feu.
• Liaison montante vers un autre commutateur : Autoriser VLAN 100 balisé si le VLAN doit être redistribué.
• Port Access Point : Autoriser VLAN 100 balisé si un SSID utilise ce VLAN.
• Port client : Définissez VLAN 100 comme natif/Untagged VLAN afin qu’un appareil sans balise VLAN se retrouve directement dans le bon réseau.

Lorsqu’un PC client normal est connecté à un port de commutateur, il envoie normalement sans étiquette. Le commutateur mappe ensuite ce port au Native VLAN souhaité. Si un Access Point ou un autre commutateur doit transporter plusieurs VLAN, le port doit autoriser les VLAN balisés.

Erreurs typiques :

• VLAN créé sur le commutateur UniFi, mais non autorisé sur la liaison montante vers le pare-feu.
• Port client configuré avec balise au lieu de non balisé.
• Le SSID Access Point utilise VLAN 100, mais le port AP ne transporte pas VLAN 100.
• Native VLAN et Tagged VLAN sont confondus.
• L’ID VLAN est différent sur UniFi et Sophos.

Modifications de plan sans perte de gestion

Des précautions particulières doivent être prises lors des modifications VLAN apportées aux liaisons montantes, aux profils de ports de commutation ou aux réseaux de gestion. Un Native VLAN incorrect ou un Tagged VLAN manquant sur la liaison montante peut entraîner la disparition du commutateur, du Access Point ou du pare-feu du réseau de gestion.

Avant d’effectuer des changements productifs, vous devez donc déterminer brièvement :

• Réseau de gestion UniFi : La gestion VLAN ne doit pas être perdue lors du changement de profil de port.
• Liaison montante vers Sophos Firewall : Les modifications apportées à ce port affectent souvent plusieurs VLAN en même temps.
• Accès local : Pour les modifications à distance, un chemin de secours vers le commutateur et le pare-feu est requis.
• Port de test : Les nouveaux profils VLAN peuvent être testés sur un port réservé sans déplacer les appareils de production.
• Sauvegarde : Avec une configuration sécurisée Sophos et UniFi, vous pouvez revenir plus rapidement à la dernière version fonctionnelle.

Nous vous recommandons de valider d’abord les nouveaux VLAN sur un seul port de test. Ce n’est que lorsque DHCP, Gateway, DNS, la règle de pare-feu et Log Viewer correspondent que le profil de port doit être déployé vers des points d’accès supplémentaires, des liaisons montantes de commutation ou des ports clients.

Créez VLAN sur le Sophos Firewall

Le VLAN est créé comme interface virtuelle sur le Sophos Firewall.

Chemin du menu :

Network > Interfaces > Add interface > Add VLAN

Procédure :

1. Attribuez un nom, par exemple Clients VLAN 100.
2. Sélectionnez le port physique, le pont ou le LAG sur lequel le VLAN arrive, marqué comme Interface.
3. Sélectionnez la zone, par exemple Client, LAN, Guest ou Server.
4. Saisissez l’ID VLAN, par exemple 100.
5. Sous Configuration IPv4, sélectionnez généralement Static.
6. Définissez l’adresse Gateway du VLAN, par exemple 10.100.0.1/24.
7. Enregistrez.

   

   

   Sophos autorise les ID VLAN de 1 à 4094. Le même ID VLAN ne peut pas être utilisé plusieurs fois sur la même interface physique. Techniquement, le même ID VLAN peut réapparaître sur une interface parent différente, mais en pratique, cela ne doit être fait que si la conception du réseau est clairement documentée.

Configurer DHCP pour le VLAN

Si les clients du VLAN doivent recevoir automatiquement les adresses IP, un serveur DHCP ou un relais DHCP est requis.

Sur le Sophos Firewall, DHCP se trouve sous :

Network > DHCP

Valeurs DHCP typiques :

• Interface : Clients VLAN 100.
• Début de gamme : 10.100.0.50.
• Fin de gamme : 10.100.0.200.
• Gateway : 10.100.0.1.
• Serveur DNS : Firewall-IP ou serveur DNS interne.
• Nom de domaine : domaine de recherche interne, si nécessaire.

Si le Sophos Firewall doit être utilisé comme résolveur DNS pour ce VLAN, le DNS doit également être autorisé sous Administration > Accès au périphérique pour la zone appropriée. Les options DHCP pour des périphériques spécifiques sont décrites dans l’article Options DHCP Sophos Firewall (SFOS).

Créer des règles de pare-feu

Après VLAN et DHCP, la règle de pare-feu appropriée est généralement manquante. Sans règle, le client peut obtenir une adresse IP, mais ne peut pas communiquer automatiquement avec Internet ou d’autres réseaux.

Première règle typique d’Internet :

• Rule name : Clients_to_WAN.
• Source zones : Client ou LAN.
• Source networks and devices : Objet réseau du VLAN, par exemple net_Clients_10.100.0.0_24.
• Destination zones : WAN.
• Destination networks : Any.
• Services : HTTP, HTTPS, DNS, NTP ou services délibérément définis.
• Log firewall traffic : activé.

Vous devez créer des règles distinctes pour l’accès aux serveurs internes et autoriser uniquement les destinations et services requis. Un invité ou un IoT VLAN ne doit généralement pas être autorisé à accéder au serveur ou au réseau de gestion.

Les détails sur l’ordre des règles, Source Zone, la zone de destination, les fonctionnalités de sécurité et la journalisation sont disponibles dans Comprendre et configurer correctement les règles Sophos Firewall.

Vérifiez Device Access

Device Access contrôle les services locaux du pare-feu lui-même, et non le trafic via le pare-feu. Ceci est important pour les nouveaux VLAN.

Exemples :

• Les clients doivent utiliser le pare-feu comme serveur DNS : autorisez DNS pour la zone.
• La surveillance doit envoyer une requête ping au pare-feu : autoriser spécifiquement Ping/Ping6.
• Les clients, invités ou appareils IoT normaux ne doivent pas accéder à WebAdmin ou SSH.
• L’accès à la gestion doit s’effectuer à partir d’un réseau d’administrateur dédié ou via les règles d’exception Local Service ACL.

Sophos Firewall Sécurisation de l’accès : configurez correctement Device Access permet un durcissement précis.

Tests et validation

Après la configuration, vous ne devez pas seulement vérifier si un client dispose d’Internet. Un plan de test court et reproductible est préférable :

1. Connectez le client au port UniFi désigné.
2. Vérifiez si le client obtient une adresse IP à partir du bon VLAN.
3. Vérifiez le Gateway et le serveur DNS par défaut.
4. Pingez le pare-feu-IP dans VLAN si le ping est autorisé.
5. Testez l’accès à Internet.
6. Testez l’accès aux réseaux internes qui doivent être autorisés.
7. Testez l’accès aux réseaux internes qui doivent être bloqués.
8. Dans Sophos Log viewer, vérifiez quelle règle de pare-feu correspond.
9. Contrôlez le compteur d’utilisation de la règle.

Si une règle ne fonctionne pas comme prévu, Règle de test Sophos Firewall avec Log Viewer et Packet Capture vous aide.

Erreurs typiques

• VLAN ne peut pas être marqué sur la liaison montante UniFi vers le pare-feu : Les clients ne reçoivent pas d’adresse IP ou n’atteignent pas le pare-feu.
• VLAN se trouve sur la mauvaise interface parent sur Sophos : Le Sophos Firewall ne voit pas le trafic.
• Le port client est balisé au lieu de non balisé : Les clients normaux ne se retrouvent pas dans le VLAN.
• DHCP manquant : Le client n’obtient pas d’adresse IP ni d’adresse APIPA.
• DNS Device Access manquant : Le client peut atteindre les adresses IP mais ne peut pas résoudre les noms.
• Règle de pare-feu manquante : Le client obtient une adresse IP, mais le trafic est bloqué.
• Règle d’autorisation trop large : La séparation VLAN est à nouveau pratiquement supprimée.
• Mauvaise zone sélectionnée : La règle, Device Access ou la stratégie Web prennent effet différemment que prévu.
• Native VLAN sur Trunk n’est pas clair : Le trafic non balisé aboutit sur le mauvais réseau.

Dépannage

Si le VLAN ne fonctionne pas, vous devez vérifier de la couche 1 à la couche 7 :

1. Câble et liaison : Le port UniFi affiche-t-il la liaison et la vitesse attendue ?
2. Profil de port UniFi : Le balisage VLAN 100 est-il autorisé sur la liaison montante ?
3. Port client : VLAN 100 est-il défini sans balise/natif pour les clients normaux ?
4. Interface Sophos : Le VLAN est-il visible, connecté et dans la zone appropriée sous Réseau > Interfaces ?
5. DHCP : Existe-t-il un serveur ou un relais DHCP pour le VLAN ?
6. Gateway : Le Sophos VLAN-IP est-il le Gateway par défaut ?
7. Device Access : Le DNS ou le Ping sont-ils autorisés pour la zone si nécessaire ?
8. Règles de pare-feu : Source Zone, Source Network, zone de destination et Services sont-ils corrects ?
9. Log Viewer : Le trafic est-il autorisé, abandonné ou soumis à une autre règle ?
10. Packet Capture : Les paquets arrivent-ils sur la bonne interface et avec la configuration VLAN attendue ?

Dans les cas difficiles à comprendre, Packet Capture est souvent crucial. Si aucun paquet n’arrive à l’interface parent Sophos, le problème vient généralement du côté UniFi, du câble, du profil de port, de la conception Tagged/Untagged ou d’une mauvaise liaison montante.

Liste de contrôle

• L’ID VLAN est le même sur UniFi et Sophos.
• La liaison montante UniFi vers le Sophos Firewall permet de baliser le VLAN.
• Le port du périphérique final n’est pas balisé/natif dans le bon VLAN pour les clients normaux.
• Sophos VLAN se trouve sur la bonne interface parent.
• Sophos VLAN a la zone planifiée et Gateway-IP.
• DHCP ou le relais DHCP est configuré.
• Le DNS est configuré de manière appropriée et autorisé lors de l’utilisation du pare-feu via Device Access.
• La règle de pare-feu pour l’accès à Internet est présente et enregistrée.
• L’accès interne n’est autorisé que là où il est réellement nécessaire.
• Log Viewer et Packet Capture ont été testés pour un client test.

Questions fréquemment posées