Diagnosticare Wireless Controller di Sophos Firewall dalla CLI
Wireless Controller di SFOS dispone in 4. Device Console di parametri aggiuntivi per diagnostica e funzionamento. Includono debug locale dell’AP, log del controller, Remote Packet Capture, delay RADIUS Accounting, accettazione automatica degli AP, statistiche BSS e larghezza del canale. Non sostituiscono la normale configurazione Wireless Network in WebAdmin.
I comandi non hanno tutti lo stesso effetto. Alcuni aumentano solo i log, altri modificano onboarding, comportamento online o parametri radio degli AP. Non si esegue mai l’intero blocco. Prima si riproduce l’errore su un AP e un client di test, poi si modifica esattamente un valore.
⚠️ Regola di manutenzione e privacy: Le capture Wi-Fi possono contenere traffico utente, IP, DNS, autenticazione e sessioni. Attivare il debug solo brevemente, proteggere i file e salvare ogni valore iniziale.
Salvare la baseline
La guida SFOS mostra varie opzioni come un albero abbreviato. Prima di inserire un comando, verificare il build installato con ?. Le letture utili sono:
system wireless-controller ?
system wireless-controller ap_localdebuglevel get
system wireless-controller global show
system wireless-controller remote_pktcap show <AP_serial_number>
Registrare anche build, modello e seriale AP, firmware, SSID, banda, canale, larghezza, client, ora e sintomo. In HA, identificare il nodo che mantiene lo stato del controller e dove viene eseguito il comando. Uno stato CLI corretto non dimostra che il percorso radio o dati funzioni.
Parametri e limiti operativi sicuri
| Area | Valore documentato da Sophos | Limite operativo |
|---|---|---|
ap_localdebuglevel | 0 a 15, con get e set | Log locali AP. Aumentare solo per il test e ripristinare il valore. |
global log_level | 0 a 7 | Livello log controller. Un numero maggiore non significa automaticamente più log; vengono scritti messaggi con livello uguale o superiore. |
global ap_debuglevel | Numero, senza intervallo pubblicato qui | Almeno 4 per Remote Packet Capture. Non indovinare un massimo. |
global radius_accounting_start_delay | 0 a 60 secondi | Solo quando Accounting Start precede in modo dimostrabile l’indirizzo DHCP. |
global ap_autoaccept | 0 disattivato, 1 attivato | L’accettazione automatica modifica il controllo di onboarding e non è una scorciatoia di troubleshooting. |
global stay_online | 0 disattivato, 1 attivato | Sophos non ne spiega qui l’effetto esatto. Non modificare senza indicazione del Support. |
global store_bss_stats | 0 disattivato, 1 attivato | Memorizza statistiche BSS. Chiarire prima storage, privacy e finalità. |
global tunnel_id_offset | 0 a 65535 | Effetto operativo non spiegato qui. Non modificare senza design confermato o Support. |
I rami documentati includono:
system wireless-controller ap_localdebuglevel set <0-15>
system wireless-controller global log_level <0-7>
system wireless-controller global ap_debuglevel <number>
system wireless-controller global radius_accounting_start_delay <0-60>
Non inserire le parentesi quadre della sintassi Sophos. Sostituire i placeholder con valori concreti. Dopo ogni modifica, rileggere lo stato get o show e usare lo stesso client.
Remote Packet Capture su un AP
remote_pktcap cattura pacchetti su un AP mentre Packet Capture è in esecuzione sul firewall. Sophos richiede un ap_debuglevel globale almeno pari a 4. Salvare il valore attuale prima di iniziare.
system wireless-controller global ap_debuglevel 4
system wireless-controller remote_pktcap enable <AP_serial_number>
In Diagnostics > Packet capture usare un filtro stretto per client, destinazione, porta o protocollo. Generare un solo flusso breve e riproducibile, poi fermare subito la capture AP:
system wireless-controller remote_pktcap disable <AP_serial_number>
Ripristinare l’ap_debuglevel globale e confermare con remote_pktcap show. Una capture senza seriale esatto o filtro può raccogliere traffico estraneo e non è uno stato permanente appropriato.
Distinguere delay RADIUS e larghezza canale
radius_accounting_start_delay ritarda Accounting Start 802.1X da 0 a 60 secondi. Il client può così ricevere l’IP DHCP prima che il messaggio fornisca l’indirizzo a SFOS per Wi-Fi SSO. La prova completa è in Controllare RADIUS SSO e Accounting. Non modificare senza un problema di sequenza visibile.
Per la larghezza canale Sophos pubblica:
system wireless-controller set_channel_width <WiFi_interface> band <WiFi_band> channel_width <number>
Sono documentati 20 e 40 MHz per 2,4 GHz e 20, 40, 80 MHz per 5 GHz. La pagina ufficiale scrive 2.5GHz in un punto, mentre WebAdmin e la tecnologia radio usano 2,4 GHz. Verificare il token accettato con ? sul build installato invece di copiare l’errore.
Un canale più largo non è automaticamente più veloce. Contano utilizzo, reti vicine, segnale, ritrasmissioni, capacità client e densità. Configurare Wireless Network su Sophos Firewall spiega la misurazione.
Verifica e rollback
Dopo una modifica, verificare stato AP, associazione client, DHCP, DNS, autenticazione, Rule ID prevista, perdita, latenza e applicazione reale. Le modifiche di canale richiedono il controllo di tutti gli SSID interessati e una nuova scansione. Per RADIUS verificare Accounting Start, Framed-IP-Address e mapping utente.
Se il sintomo non cambia, ripristinare il valore precedente esatto. Debug e capture vanno disattivati indipendentemente dal risultato. Se l’effetto di stay_online o tunnel_id_offset non è documentato chiaramente, fermarsi prima dell’inserimento e chiarire con Sophos Support.
FAQ
Perché Remote Packet Capture non mostra pacchetti?
ap_debuglevel globale deve essere almeno 4, va scelto il seriale AP corretto e Packet Capture deve essere attivo contemporaneamente sul firewall. Poi verificare filtro e flusso.