Configurare e verificare un gruppo di connessioni SD-WAN in Sophos Fusion

Un gruppo di connessioni SD-WAN consente a Sophos Fusion (in precedenza Sophos Central) di creare connessioni IPsec route-based tra più firewall gestiti. In questo modo si evita di ripetere gran parte della configurazione nelle topologie hub-and-spoke o full mesh. Sophos Fusion può generare tunnel, interfacce XFRM, route, oggetti di rete e, se si seleziona l’opzione, le relative regole firewall.

L’automazione non sostituisce la pianificazione della rete e la verifica. Uno stato verde del gruppo conferma principalmente che i firewall partecipanti sono attivi. Non dimostra che uno specifico client possa raggiungere la destinazione remota mediante la regola, la route e il trattamento NAT previsti.

Percorso rapido verso un gruppo di connessioni funzionante

Verificare il ruolo Admin o Super Admin, SFOS 20.0 o successivo, la licenza Central Orchestration, la gestione da Sophos Fusion e l’appartenenza di tutti i firewall a un gruppo; in AWS o Azure occorre BYOL anziché PAYG.
Documentare le reti locali, gli indirizzi WAN, le condizioni NAT, la ridondanza e la topologia prevista.
Assicurarsi che i pool di indirizzi XFRM non si sovrappongano ad alcuna rete di produzione.
Creare un gruppo in My Products > Firewall Management > SD-WAN Connection Groups.
Selezionare i firewall, le risorse condivise, i servizi e, facoltativamente, la creazione automatica delle regole firewall.
Risolvere singolarmente ogni conflitto di rete e WAN rilevato da Sophos Fusion.
Monitorare Tasks Queue e lo stato del gruppo finché tutti i firewall partecipanti non sono stati elaborati.
Controllare tunnel, oggetti Central_, indirizzi XFRM, route e regole su ciascun firewall.
Generare traffico bidirezionale reale e verificare Firewall Rule ID, route, NAT e percorso di ritorno.
Aggiungere altre risorse o firewall solo dopo aver verificato il primo ambito.

⚠️ Non eliminare senza pianificazione un gruppo di connessioni attivo né annullare la registrazione di un firewall da Sophos Fusion durante il normale esercizio. Quando si annulla la registrazione, Sophos Fusion elimina il gruppo di connessioni associato e i tunnel generati automaticamente. Una modifica di questo tipo richiede un backup aggiornato, una finestra di manutenzione e un percorso di ripristino documentato.

Cosa crea Sophos Fusion automaticamente

Un gruppo di connessioni SD-WAN utilizza VPN IPsec route-based. In base alla topologia, Sophos Fusion crea le connessioni e gli oggetti di configurazione necessari sui firewall membri. Nella configurazione locale, gli oggetti generati automaticamente hanno nomi con il prefisso Central_. Comprendono connessioni IPsec, interfacce XFRM, oggetti di rete e route.

In una topologia hub-and-spoke, le risorse condivise si trovano dietro il firewall hub. Di norma l’hub risponde come gateway remoto ai tunnel avviati dagli spoke. È una configurazione adatta, ad esempio, a una sede centrale con reti server e più filiali. Normalmente i ruoli derivano dalle risorse condivise: il firewall che fornisce una risorsa è il responder. Esiste un’eccezione per un indirizzo WAN dinamico con override wildcard: in questo caso anche il firewall che fornisce le risorse rimane initiator; i prerequisiti sono descritti nella sezione Risolvere i conflitti di rete e WAN.

In una topologia full mesh, quando entrambi i firewall condividono risorse, Sophos Fusion assegna il responder in ordine alfabetico in base all’hostname. Se gli hostname coincidono, usa l’ordine alfabetico degli ID firewall. Ciò può abilitare percorsi diretti, ma crea più tunnel e dipendenze. Gli hostname devono quindi essere stabili e univoci; i ruoli non sono selezionabili liberamente per ogni tunnel.

L’opzione per creare automaticamente le regole firewall è comoda, ma non sostituisce la verifica di origini, destinazioni e servizi consentiti. Se non viene selezionata, le regole necessarie devono essere presenti localmente o nella policy di gruppo Sophos Fusion responsabile. Se viene selezionata, le regole generate devono comunque essere controllate per ordine, ambito e logging. I principi sono descritti in Pianificare e creare regole firewall su Sophos Firewall.

Pianificare la topologia e i valori di esempio

Il seguente gruppo di connessioni di esempio collega tre firewall:

FW-HQ condivide la rete server 10.10.0.0/16.
Dietro FW-BE si trova la rete della filiale 10.20.0.0/16, che deve accedere alla risorsa condivisa.
Dietro FW-ZH si trova la rete della filiale 10.30.0.0/16, che deve anch’essa accedervi.
Inizialmente sono richiesti solo HTTPS e RDP verso sistemi selezionati nella rete server.
L’esempio utilizza hub-and-spoke con FW-HQ come hub.

Questi nomi e reti sono esclusivamente valori di documentazione. Devono essere sostituiti con i nomi reali dei firewall, le risorse locali e i servizi. La pianificazione non deve considerare solo le sovrapposizioni dirette tra le tre sedi. Anche le reti remote cloud, partner, client VPN, RED e di gestione devono essere confrontate con le risorse e i pool XFRM pianificati.

Comprendere i pool di indirizzi XFRM

Sophos Fusion utilizza reti /30 per le interfacce XFRM. Se non viene configurato un pool personalizzato, Sophos Fusion utilizza per impostazione predefinita 10.252.0.0/15 e 10.254.0.0/16. Se uno di questi intervalli è già presente nell’ambiente, occorre scegliere un pool personalizzato libero prima di creare il primo gruppo. È possibile aggiungere più pool; quando uno è esaurito, Sophos Fusion usa il successivo.

L’impostazione si trova in:

My Products > Firewall Management > SD-WAN Connection Groups > Add IP Pool

Una modifica del pool riguarda solo i nuovi gruppi di connessioni. I gruppi esistenti mantengono gli indirizzi XFRM assegnati. La modifica del pool non è quindi una procedura retroattiva di riparazione per un gruppo in produzione.

Requisiti prima della creazione

La procedura di Orchestration qui descritta richiede su tutti i firewall partecipanti SFOS 20.0 o successivo, la gestione da Sophos Fusion e una licenza Central Orchestration valida. Il precedente requisito minimo SFOS 18.5 MR1 non costituisce un’approvazione di quella versione per questa procedura. Per Sophos Firewall in AWS o Azure è supportato BYOL (Bring Your Own License); PAYG (Pay As You Go) non è supportato per SD-WAN Orchestration. Prima di aggiungere un firewall cloud, verificare quindi il modello di deployment e di licenza, non solo la versione SFOS.

Sophos Fusion richiede il ruolo Admin o Super Admin per creare il gruppo firewall necessario e accedere alla relativa policy. Ogni gruppo di connessioni richiede almeno due firewall già appartenenti a un gruppo firewall Sophos Fusion. Un firewall registrato ma non assegnato a un gruppo non può essere aggiunto.

Prima della creazione si verificano inoltre:

indirizzo IP pubblico o FQDN raggiungibile per ciascun percorso WAN
NAT a monte e conseguente ruolo di iniziatore o responder
risorse locali univoche e senza sovrapposizioni
reti XFRM libere
link WAN attivi e gateway di backup previsti
servizi consentiti tra le sedi
configurazioni locali IPsec, routing, NAT e SD-WAN esistenti
accesso di gestione indipendente e backup aggiornato della configurazione

Configurare una VPN IPsec site-to-site su Sophos Firewall spiega la struttura di una singola connessione route-based. In un gruppo di connessioni Sophos Fusion esegue molti di questi passaggi, ma i requisiti sottostanti relativi a routing, regole e percorso di ritorno rimangono invariati.

Creare il gruppo di connessioni in Sophos Fusion

Selezionare firewall e risorse

Il processo inizia da:

My Products > Firewall Management > SD-WAN Connection Groups > Create Connection Group

Assegnare al gruppo un nome univoco, ad esempio HQ-Branches, e facoltativamente una descrizione. Selezionare quindi almeno due firewall. Per ciascuno, definire come Shared resources l’indirizzo IP o l’intervallo di rete disponibile alle altre sedi. Nell’esempio solo FW-HQ condivide la rete server, determinando i ruoli hub-and-spoke.

Le risorse devono essere scelte con il minor ambito possibile. Invece di condividere l’intera rete della sede centrale, spesso è sufficiente una rete server o applicativa. Anche per i servizi non conviene selezionare preventivamente Any quando sono necessarie solo poche applicazioni.

Sophos Fusion può creare facoltativamente le regole firewall. Le opzioni includono anche gli utenti autenticati e Security Heartbeat. Prima di salvare, documentare se le regole vengono generate automaticamente o gestite separatamente. In questo modo sarà chiaro in seguito se una regola mancante è un errore o una scelta progettuale.

Risolvere i conflitti di rete e WAN

Sophos Fusion verifica la presenza di conflitti nelle risorse e nelle connessioni WAN selezionate. Un conflitto non significa automaticamente che una rete sia errata. Indica che Sophos Fusion non può generare una connessione univoca senza un’ulteriore decisione.

In base al risultato, le decisioni disponibili includono ad esempio:

disattivare per questa connessione una subnet sovrapposta
associare alla subnet un indirizzo NAT univoco
definire un oggetto di rete aggiuntivo
selezionare il link WAN appropriato
selezionare un gateway di backup
sostituire l’indirizzo rilevato da Sophos Fusion

Sul firewall che fornisce la risorsa, la procedura guidata permette solo di attivare o disattivare la rete, non di assegnare NAT. Per continuare a fornire una rete sovrapposta, occorre prima risolvere il conflitto di indirizzi su quel firewall o nel progetto di rete. La semplice attivazione non elimina la sovrapposizione. Sul firewall che accede alla risorsa, si può utilizzare l’opzione NAT per risolvere il conflitto. Prima di salvare, verificare quindi per ogni rete sovrapposta quale firewall la fornisce, quale vi accede e se la misura scelta elimina effettivamente il conflitto. Se invece si esclude una rete, questa non sarà disponibile tramite il gruppo di connessioni.

Ogni decisione modifica il percorso dati risultante. Gli indirizzi NAT, le sostituzioni WAN e le reti disattivate vengono quindi registrati in un piano di indirizzamento e routing, anziché configurati solo finché lo stato diventa verde.

Il carattere jolly * nel campo Public IP or FQDN for selected WAN link è consentito solo se il firewall remote gateway opera come responder ed esegue almeno SFOS 20.0. Con un firewall che fornisce risorse e ha un indirizzo WAN dinamico con override wildcard, questo firewall rimane Initiator e utilizza il profilo IPsec Central_DefaultBranchOffice. Il peer deve operare come Responder ed eseguire SFOS 20.0 o successivo. La sola condivisione delle risorse non rende quindi responder il firewall dinamico in questo caso.

Prima di impostare *, documentare per ogni percorso WAN il firewall locale dinamico, il suo ruolo di initiator e il peer responder raggiungibile con la relativa versione SFOS. Dopo il deployment, controllare nelle connessioni IPsec generate che ruoli, profilo e associazione WAN corrispondano al piano e verificare il percorso delle risorse con traffico applicativo reale. Non usare la wildcard per nascondere una situazione WAN o NAT irrisolta. Initiator, raggiungibilità pubblica e identità del peer devono rimanere univoci; non riscrivere indiscriminatamente in locale i profili generati centralmente.

Salvare il gruppo e monitorare i task

Dopo il salvataggio, Sophos Fusion crea i task necessari per tutti i firewall partecipanti. Durante il processo si mantiene aperta la sessione amministrativa esistente su almeno un firewall. In Sophos Fusion si controllano stato e dettagli del gruppo di connessioni, oltre a:

My Products > Firewall Management > Tasks Queue

Gli stati Pending, Failed o Partial Success non devono essere semplicemente ignorati. Si documentano firewall, entità, errore e ora, confrontandoli poi con la configurazione locale. Controllare Sophos Fusion Firewall Tasks Queue spiega in dettaglio Retry, Skip, Force Sync e la verifica locale.

Dopo il completamento dei task, verificare anche lo stato dei tunnel: GOOD significa che il tunnel VPN è stabilito; DOWN che non è stabilito o che ha perso la connessione. UNKNOWN significa invece che non arrivano informazioni Heartbeat da circa cinque minuti e Sophos Fusion non può quindi determinare lo stato del tunnel. Non è né un’interruzione del tunnel dimostrata né una verifica riuscita. Per l’approvazione, i tunnel previsti devono indicare GOOD e superare i controlli locali seguenti.

Verificare localmente la configurazione generata

Dopo un task Sophos Fusion completato correttamente, aprire separatamente ogni firewall partecipante e verificare:

Le connessioni Sophos Fusion previste sono attive in Site-to-site VPN > IPsec.
Le interfacce XFRM hanno indirizzi /30 univoci dal pool pianificato in Network > Interfaces.
Le route generate puntano all’interfaccia XFRM prevista in Routing.
Gli oggetti di rete, host e servizio con Central_ corrispondono alle risorse condivise.
Le regole firewall create automaticamente o separatamente consentono solo origini, destinazioni e servizi pianificati.
Il NAT viene applicato solo dove è stato scelto deliberatamente per risolvere un conflitto.
In presenza di più percorsi WAN, lo stato di gateway e SD-WAN corrisponde alla selezione primaria e di backup pianificata.

Se un gruppo contiene sia Shared resources sia Participating networks, il firewall crea due route SD-WAN simili: una per le risorse condivise e una per le reti partecipanti. È il comportamento di deployment previsto, non un duplicato da eliminare localmente senza verifica.

Sophos Fusion gestisce gli oggetti generati. Le modifiche locali manuali agli oggetti Central_ possono essere sovrascritte da una successiva modifica del gruppo o causare incoerenze. Le modifiche devono quindi essere apportate nel progetto del gruppo di connessioni o nella policy Sophos Fusion responsabile.

Verificare con traffico reale

Per la prima verifica si esegue almeno un test reale per ogni percorso delle risorse condivise. Nell’esempio, un client da 10.20.0.0/16 si connette in HTTPS a un server esplicitamente consentito in 10.10.0.0/16; successivamente si esegue un test da 10.30.0.0/16.

Su entrambi i lati si controllano:

SA IKE e Child attive
Firewall Rule ID corretta
interfacce di ingresso e uscita in Packet Capture
indirizzi di origine e destinazione previsti dopo un’eventuale traduzione NAT deliberata
percorso di andata e ritorno
risultato dell’applicazione, non solo un ping

Un tunnel o uno stato di gruppo verde è solo un risultato intermedio. Testare una regola Sophos Firewall spiega la verifica completa con Log Viewer, Policy Test e Packet Capture.

Aggiungere profili SD-WAN e resilienza

Le versioni minime seguenti riguardano singole funzioni dei profili e non sostituiscono il requisito SFOS 20.0 o successivo per la procedura di Orchestration qui descritta.

Sophos Fusion supporta i profili SD-WAN per i gruppi di connessioni da SFOS 19.0. La strategia di routing è disponibile da SFOS 19.5. Sophos Fusion crea automaticamente il gateway del tunnel VPN; come backup si seleziona un gateway già presente sul firewall. Il profilo può usare First available gateway o Load balancing; il bilanciamento offre round-robin e diversi tipi di persistenza della sessione. Non sostituisce una route corretta né una connessione VPN funzionante.

L’indirizzo XFRM deve trovarsi in una subnet /30. In caso contrario Sophos Fusion mostra Migrate e, durante la migrazione, assegna tutti gli indirizzi tunnel da 10.252.0.0/15 e 10.254.0.0/16. La migrazione e ogni modifica del profilo cambiano il percorso dati: salvare prima backup e accesso out-of-band, modificare un solo sito o percorso in una finestra di manutenzione, verificare task Sophos Fusion e configurazione locale, quindi ampliare il rollout.

Prima di attivare un profilo, testare separatamente ogni percorso WAN e tunnel. Verificare poi con traffico reale che le nuove connessioni utilizzino il percorso previsto e passino all’alternativa come pianificato durante un’interruzione programmata. Gli health check usano Ping o TCP e fino a due probe target dietro il gateway. Se un target è un IP pubblico, il firewall di destinazione richiede una regola dalla zona VPN alla zona WAN. Se nessun gateway soddisfa lo SLA personalizzato, il firewall usa la strategia First available gateway. Verificare questo comportamento con un test di failover pianificato.

La logica di routing locale, i valori SLA e la verifica del failover sono descritti in Configurare una route SD-WAN su Sophos Firewall. Sophos Fusion semplifica la distribuzione, ma non modifica il significato di gateway, route precedence, NAT o comportamento delle sessioni.

Risolvere i problemi in base al sintomo

Non è possibile selezionare un firewall

Controllare la registrazione in Sophos Fusion, la licenza valida o l’autorizzazione Orchestration e l’appartenenza a un gruppo firewall Sophos Fusion. Verificare poi se un task di gruppo o sincronizzazione aperto sta bloccando la modifica.

Un task è fallito o è riuscito solo parzialmente

Non ricreare immediatamente il gruppo. Salvare prima i dettagli del task e la configurazione locale parziale. Le cause più comuni includono conflitti tra oggetti o reti, firewall non raggiungibili, limitazioni di licenza o una policy di gruppo non applicata completamente. Ripetere l’operazione solo dopo aver corretto la causa.

Lo stato del tunnel è UNKNOWN

Verificare prima connessione Sophos Fusion, Heartbeat, stato di sincronizzazione dei firewall interessati e Task Queue. In parallelo, tramite l’accesso di gestione indipendente, controllare lo stato locale del tunnel in Site-to-site VPN > IPsec ed eseguire il test applicativo documentato. Se il tunnel locale e il traffico funzionano, manca inizialmente la conferma dello stato centrale; non eliminare o ricreare il gruppo solo per UNKNOWN. Se anche la connessione locale è compromessa, verificare raggiungibilità WAN, SA IKE/Child e percorso dei dati. Dopo aver ripristinato l’invio Heartbeat, controllare nuovamente che Sophos Fusion indichi GOOD. Se UNKNOWN persiste nonostante una connessione funzionante, conservare stato, orari e dettagli dei task per l’ulteriore analisi.

Il tunnel è attivo ma manca il traffico applicativo

Confrontare risorse condivise, selezione dei servizi e regola firewall con il flusso reale. Controllare quindi route, interfaccia XFRM, NAT, route precedence e percorso di ritorno. Un ping è significativo solo se ICMP è consentito e il destinatario è previsto per rispondere.

Funziona un solo percorso WAN o di backup

Controllare indirizzo pubblico o FQDN, NAT a monte, ruolo del gateway, link WAN e gateway di backup. Per un profilo SD-WAN, proseguire con l’obiettivo SLA e lo stato del gateway. Un indirizzo jolly o un tunnel verde non devono nascondere una raggiungibilità end-to-end mancante.

Una modifica del pool non appare nel gruppo

Questo comportamento è previsto per i gruppi di connessioni esistenti. I nuovi pool IP vengono utilizzati solo dai gruppi creati successivamente. Non eliminare e ricreare un gruppo di produzione solo per cambiare l’indirizzamento; pianificare prima impatto, downtime e rollback.

Sophos Fusion è verde ma l’applicazione rimane indisponibile

Lo stato del gruppo non viene interpretato come monitoraggio applicativo. Controllare contemporaneamente log, Rule IDs, Packet Capture, routing e NAT su entrambi i firewall. In HA o con elaborazione distribuita, utilizzare il nodo che ha gestito il traffico di test.

Apportare modifiche e rollback in sicurezza

Prima di una modifica importante del gruppo, documentare la configurazione del gruppo di connessioni, i firewall membri, le risorse condivise, l’assegnazione WAN, il pool XFRM, le regole generate automaticamente e un flusso di test funzionante. Conservare anche un backup aggiornato del firewall.

Quando un aggiornamento ricrea gli oggetti

Di norma un ampliamento aggiunge la configurazione necessaria; tunnel, route e regole firewall esistenti restano invariati finché i rispettivi criteri di generazione non sono coinvolti. Una filiale aggiuntiva non implica quindi automaticamente la ricostruzione di tutte le connessioni esistenti. Se però si modificano le condizioni di regole firewall, regole NAT o route SD-WAN gestite centralmente, Sophos Fusion rimuove gli oggetti interessati e li ricrea. Sono comprese modifiche a:

reti locali o reti sorgente consentite;
Shared resources o reti di destinazione;
servizi e porte;
condizioni relative a utenti o Security Heartbeat;
NAT per risolvere subnet sovrapposte;
gateway di backup o associazione delle route SD-WAN ai gateway.

Ad esempio, se nel progetto esistente HQ-Branches si sostituisce l’autorizzazione HTTPS con un altro servizio, possono essere ricreate le regole di accesso e le route interessate; non è una semplice modifica della descrizione. Prima di salvare, confrontare quindi reti sorgente, destinazioni, servizi e percorsi coinvolti con il flusso di test precedente. Pianificare le modifiche che ricreano oggetti in una finestra di manutenzione, prevedendo possibili interruzioni; un tunnel invariato da solo non garantisce un accesso ancora corretto.

Salvare una sola modifica di Orchestration per ciclo. Mentre Sophos Fusion crea, aggiorna o elimina il gruppo, non effettuare sui firewall modifiche parallele a interfacce, WAN, LAN o reti. Dopo il completamento dei task, ricontrollare sui firewall interessati le nuove regole Central_, le associazioni NAT e le route, individuare la Firewall Rule ID attualmente utilizzata e ripetere sia il test applicativo precedente sia quello modificato. Se cambia l’associazione dei gateway, verificare anche il percorso di backup. Correzioni o eliminazioni locali di oggetti Central_ non sono una procedura di ripristino: apportare la modifica desiderata nel gruppo di connessioni.

Annullare un ampliamento o rimuovere il gruppo

Se un ampliamento non riesce, non eliminare d’impulso l’intero gruppo. Annullare nell’assistente solo la nuova risorsa, il nuovo firewall o la modifica del profilo. Attendere il completamento dei task Sophos Fusion e verificare che tunnel, route, regole e flusso di test documentato corrispondano di nuovo alla baseline. Solo questo risultato conferma il rollback; il salvataggio della modifica non basta.

Se il gruppo di connessioni deve essere rimosso completamente, eseguire l’operazione in una finestra di manutenzione. Devono prima essere disponibili percorsi alternativi tra le sedi o tunnel gestiti manualmente. Dopo l’eliminazione, verificare su ogni firewall che gli oggetti Central_ associati siano stati rimossi e che non restino regole, route o dipendenze NAT orfane.

Checklist per la messa in produzione

Tutti i firewall utilizzano SFOS 20.0 o successivo, sono gestiti da Sophos Fusion, dispongono di licenza e sono assegnati a un gruppo firewall; i firewall AWS/Azure utilizzano BYOL.
Risorse, servizi, percorsi WAN e reti XFRM sono documentati e privi di sovrapposizioni.
Ogni conflitto rilevato è stato risolto deliberatamente.
Tutti i task Sophos Fusion sono terminati con un risultato documentato.
I tunnel previsti indicano GOOD; un eventuale UNKNOWN è stato chiarito e non è stato considerato un test del tunnel riuscito.
Tunnel, interfacce XFRM, route, regole e oggetti Central_ sono stati verificati localmente.
Un test applicativo bidirezionale reale funziona per ogni percorso tra le sedi.
I percorsi primario e di backup sono stati testati in una finestra di manutenzione.
Backup, accesso di gestione e percorso di ripristino sono documentati.

Domande frequenti

Un gruppo di connessioni sostituisce la conoscenza locale di IPsec e routing?

No. Sophos Fusion automatizza la creazione ripetitiva, ma il percorso dati rimane IPsec route-based con interfacce XFRM, route, regole firewall ed eventualmente NAT. Questi livelli devono comunque essere compresi per la risoluzione dei problemi e la verifica.

Cosa dimostra uno stato verde in Sophos Fusion?

Verde significa che tutti i firewall del gruppo sono attivi. Arancione significa che almeno uno è inattivo, rosso che lo sono tutti. Questa panoramica dei tunnel non dimostra che ogni risorsa sia raggiungibile mediante ogni regola e applicazione. Restano necessari controlli locali e connessioni di prova reali.

Cosa accade quando si annulla la registrazione di un firewall?

Sophos Fusion elimina il gruppo di connessioni associato e i tunnel creati. Non si deve quindi annullare e ripetere la registrazione di un firewall come normale procedura di troubleshooting. Questa modifica va eseguita in una finestra di manutenzione con un backup e un percorso sostitutivo preparato.