Configurare LAN Bypass e Fail-to-Wire su Sophos Firewall
LAN Bypass, detto anche Fail-to-Wire (FTW), collega direttamente una coppia di porte fisiche predisposta in caso di assenza di alimentazione o guasto hardware. Il percorso può rimanere disponibile e Sophos Firewall riprende automaticamente il funzionamento quando torna la corrente.
Il limite è netto: durante il bypass tutto il traffico passa senza scansione. Regole, IPS, Web Protection, Application Control, antimalware e log non vengono applicati. FTW privilegia la connettività rispetto alla protezione e non è un’opzione di performance.
⚠️ Testare solo in manutenzione, con rischio documentato, monitoraggio esterno e rientro protetto verificato.
Requisiti e limiti
Sophos documenta la funzione per modelli XGS Appliance 2xxx e successivi, ad esempio XGS 2100, usati in modalità bridge. Modelli più piccoli, firewall virtuali e cloud non dispongono dell’hardware.
Le porte formano coppie FTW fisse. Due interfacce qualsiasi in un bridge non bastano. Verificare la coppia su appliance, Hardware Guide o documentazione. A seconda dell’appliance, è possibile attivare una o entrambe le coppie bypass. lanbypass è off per impostazione predefinita.
Prima di attivarlo servono coppia confermata, percorso LAN/WAN, gestione indipendente, backup, responsabile, regola normale e finestra che accetti traffico temporaneamente non scansionato.
Non è una regola Stateful Firewall Bypass, che è software, né un cluster HA, in cui un secondo nodo mantiene le protezioni.
Interazione con HA e STP
La guida SFOS 22 al bridge mode conferma HA sui Bridge Interface in un deployment creato con il setup assistant. Allo stesso tempo, la guida ai Bridge Interface specifica che STP non può essere attivato su alcun Bridge Interface mentre HA è attivo. Queste pagine e la documentazione di LAN Bypass non forniscono una procedura HA/FTW combinata né spiegano come un evento HA interagisca con il bypass hardware. Non dedurre supporto, ordine di attivazione o cablaggio dalle funzioni separate. Prima di combinarle, richiedere a Sophos un design e una procedura di test specifici per il modello che distinguano, per ogni nodo, il failover HA protetto da un percorso FTW non protetto. L’esempio Port1/Port2 della KBA non è uno schema HA generale.
Pianificare coppia e bridge
L’esempio documentato usa il nome Fail to Wire, l’hardware XGS, la descrizione LAN Bypass, Port1, Port2, le zone LAN e WAN e un bridge routed. L’indirizzo statico è 192.168.1.151/24 (255.255.255.0); l’oggetto gateway GW punta a 192.168.1.1. Questi valori mostrano tutti i campi, ma non sono uno schema universale di cablaggio o indirizzamento. Valgono la coppia hardware e il design reale.
Documentare porta switch/provider, velocità, duplex, VLAN, indirizzi, gateway, MAC e zone. La coppia trasporta solo ciò che i due lati possono scambiare ai Layer 1 e 2 senza firewall attivo.
Il bridge può essere trasparente o routed. FTW non crea gateway, regola o NAT. Configurare un Bridge Interface spiega membri, STP, VLAN e rischio gestionale.
Configurare bridge e funzionamento protetto
In Network > Interfaces > Add interface > Add bridge:
- Definire un nome chiaro e un Hardware name non modificabile, quindi aggiungere la coppia FTW con le zone previste.
- Attivare Enable routing on this bridge pair solo per un bridge routed e inserire IP, netmask e gateway reali.
- Salvare, confermare Add Bridge e cablare la coppia. Come controllo immediato nella UI, il nuovo bridge deve poi comparire nell’elenco Network Interfaces.
- Creare una regola ristretta e loggata per il funzionamento normale.
- Testare traffico consentito e negato, Rule ID, NAT, IPS e ritorno.
Durante un bypass senza corrente la regola non può controllare pacchetti. Il test normale non prova FTW e il test FTW non prova la regola.
Attivare LAN Bypass nella Device Console
Dopo SSH protetto, aprire 4. Device Console:
show lanbypass
Prima di qualsiasi test temporaneo, registrare nel piano di modifica il valore esatto precedente dell’impostazione lanbypass, on oppure off, come baseline. Usare una registrazione affidabile della configurazione o una verifica dello stato supportata per il modello e la versione SFOS; le guide SFOS 22/23 di set lanbypass non documentano l’output di show lanbypass. Se non è possibile stabilire la baseline in modo affidabile, contattare Sophos Support prima della modifica. Il valore predefinito off non sostituisce la baseline. Eseguire solo il comando pertinente per attivare o disattivare la funzione, non entrambi in sequenza:
set lanbypass on
set lanbypass off
Rileggere lo stato dopo ogni modifica. on non prova cablaggio o coppia hardware.
Il valore predefinito documentato è off. set lanbypass on|off modifica questo stato; quando l’alimentazione viene ripristinata, il firewall torna automaticamente al funzionamento normale. show lanbypass legge lo stato e l’esempio precedente mostra la configurazione UI corrispondente.
Per un XGS 2300 con SFOS 19.5.3 MR-3 Build 652 è documentato anche il seguente output della guida in Advanced Shell. È riportato solo come riferimento; non eseguire le opzioni di modifica senza istruzioni specifiche per il modello da Sophos Support:
Usage: xgs-ftw [options] [<port>]
<port> Any port within FTW bump pair
Options:
-s, --status Get FTW status for the FTW bump pair (default)
-e, --enable-bypass Enable bypass on the FTW bump pair
-d, --disable-bypass Disable bypass on the FTW bump pair
-a, --arm Arm the FTW bump pair
-u, --unarm Unarm the FTW bump pair
-t, --timer {<seconds>|disable|reset} Arm/disable/reset watchdog timer
-h, --help Show this help message and exit
Questo output di xgs-ftw -h documenta funzioni specifiche del modello per stato, bypass, arming e watchdog; <port> indica una porta della coppia FTW. Le opzioni di modifica agiscono direttamente sul percorso hardware e non sono una procedura generale. Per problemi oltre show lanbypass e lo switch set documentato, registrare modello, build SFOS e stato e coinvolgere Sophos Support.
Testare Fail-to-Wire in modo controllato
Il test causa intenzionalmente un’interruzione e richiede accesso out-of-band, contatti con i responsabili di rete e applicazioni e un criterio di arresto. Eseguirlo solo se i sistemi interessati possono tollerare una breve interruzione del link e traffico temporaneamente non protetto.
- In esercizio normale testare entrambi i sensi e salvare Rule ID, policy e log.
- Confermare
show lanbypass, velocità, duplex e link. - Avviare un monitor end-to-end esterno tra i due lati; un monitor sul firewall stesso non è adatto durante la perdita di alimentazione.
- Interrompere in modo controllato l’alimentazione nella finestra di manutenzione. Possono verificarsi una breve interruzione del link o la necessità di nuove connessioni client; non è garantita la continuità delle sessioni.
- Verificare il passaggio fisico. Scansione e log firewall sono assenti.
- Ripristinare alimentazione e attendere SFOS e interfacce.
- Creare un nuovo flusso e verificare Rule ID, IPS o Web Policy e log.
- Testare traffico volutamente negato per provare il ritorno alla protezione.
Iniziare con un piccolo flusso pilota riconoscibile, non con tutto il carico.
Isolare gli errori comuni
Nessun traffico durante il guasto
Controllare modello, coppia FTW, show lanbypass, cablaggio, velocità, duplex e trunk VLAN. Due membri arbitrari non creano FTW.
Il bridge non funziona normalmente
Controllare membri, zone, modalità IP, gateway, regola, NAT e filtri VLAN. LAN Bypass non ripara il bridge; Packet Capture e Rule ID mostrano il percorso.
La protezione non ritorna
Testare un servizio bloccato e una policy IPS o Web, non solo connettività. Senza log, verificare interfacce, bridge, match e servizi.
Il bypass cambia inaspettatamente
Salvare modello, build, show lanbypass e ora. Non cambiare arming o watchdog tramite xgs-ftw a tentativi; inviare topologia e stato a Sophos Support.
Rollback ed esercizio
Dopo un test temporaneo, anche se interrotto o con un risultato inatteso, ripristinare prima l’alimentazione e attendere che l’appliance sia raggiungibile e il normale percorso protetto sia pronto. Ripristinare poi soltanto l’impostazione lanbypass modificata per il test alla baseline salvata: set lanbypass on se prima era on, oppure set lanbypass off se prima era off. Né impostare sempre off né invertire il valore del test preserva la baseline. Il ripristino automatico del funzionamento al ritorno dell’alimentazione non sostituisce questa operazione. Ripetere i test normali positivo e negativo con Rule ID, policy di sicurezza e log. Verificare la configurazione solo tramite riscontri supportati per modello e versione; se lo stato è incerto o manca la protezione, interrompere il test e coinvolgere Sophos Support.
La dismissione permanente è una decisione distinta: solo se FTW non deve più fare parte del progetto, testare prima il percorso normale e poi eseguire set lanbypass off. Controllare lo stato con un metodo supportato. Questo non rimuove il bridge; migrarlo o rimuoverlo separatamente solo se necessario.
Documentare modello, coppia, destinazioni cavi, stato, ultimo test, risk owner e prossima data. Ricontrollare dopo firmware, sostituzione o ricablaggio.