Sophos Wireless: configurare un SSID AP6 con VLAN

Per utilizzare un SSID AP6 in produzione non basta assegnargli un nome Wi-Fi: lo switch deve trasportare la VLAN client fino all’access point; il gateway, il DHCP, il DNS e le regole devono funzionare all’interno di tale VLAN; inoltre, Sophos Fusion deve assegnare l’SSID all’AP corretto. La connessione di gestione dell’AP6 rimane un percorso separato.

Procedura in breve: accedere a fusion.sophos.com, predisporre la VLAN client nella rete, consentirla come VLAN con tag sull’uplink dell’AP, creare una rete in My Products > Wireless > SSIDs > Create AP6 > SSID, quindi, in Advanced settings > Client connection, selezionare la modalità VLAN e specificare l’ID VLAN; inizialmente, utilizzare Add access points later. Assegnare poi un solo AP pilota, attivare l’SSID e verificare l’intero percorso del client.

Separare la rete di gestione, la VLAN client e il gateway

Un AP6 utilizza la propria rete di gestione per l’indirizzo IP, il DNS, la sincronizzazione dell’ora e la connessione a Sophos Fusion. La VLAN client trasporta invece i dati dei dispositivi che si connettono all’SSID. Lo stato verde di un AP in Sophos Fusion non conferma pertanto che un client WLAN riceva un indirizzo IP, riesca a risolvere i nomi DNS o possa accedere a Internet.

Per questo esempio utilizziamo:

• SSID: Office-Clients
• VLAN client: 110
• Rete client: 10.110.0.0/24
• Gateway: 10.110.0.1
• Intervallo DHCP: 10.110.0.50–10.110.0.199
• Rete di gestione dell’AP: già configurata e invariata

110 e 10.110.0.0/24 sono valori di esempio personalizzabili. Devono essere sostituiti con una VLAN libera e una rete adatta al proprio ambiente. L’ID VLAN deve coincidere sull’uplink dell’AP, su tutti gli switch coinvolti e sul gateway. I requisiti di Sophos Wireless illustrano il percorso di gestione, PoE, DHCP, DNS e le destinazioni di Sophos Fusion.

Predisporre la VLAN client al di fuori di Sophos Fusion

Sophos Fusion configura l’SSID e fa sì che l’AP contrassegni il traffico client con l’ID VLAN selezionato. Sophos Fusion, tuttavia, non crea la VLAN su uno switch, né configura un gateway, un intervallo DHCP o una regola firewall. Questi elementi devono essere già presenti nella LAN.

1. Configurare il gateway: per la VLAN 110, configurare l’indirizzo 10.110.0.1/24 sul router o sul firewall.
2. Predisporre il DHCP: distribuire un intervallo come 10.110.0.50–10.110.0.199, il gateway 10.110.0.1 e server DNS appropriati.
3. Definire le regole: consentire esclusivamente le destinazioni effettivamente necessarie. Una VLAN client non costituisce ancora un confine di sicurezza se routing e regole rimangono privi di restrizioni.
4. Predisporre il percorso sugli switch: consentire la VLAN 110 su ogni trunk fino all’AP. Sulla porta dell’AP, mantenere invariata la configurazione esistente della rete di gestione e aggiungere la VLAN 110 con tag.
5. Eseguire un test prima di configurare il Wi-Fi: se possibile, verificare dapprima VLAN, DHCP, DNS e regole mediante una porta di test cablata nella VLAN 110. In questo modo, eventuali errori successivi potranno essere circoscritti all’SSID, all’assegnazione all’AP pilota o all’uplink dell’AP.

Se il gateway è fornito da un Sophos Firewall, la guida Configurare e collaudare una VLAN su Sophos Firewall descrive l’interfaccia VLAN, il DHCP, le regole e la verifica del percorso dati. Con un gateway diverso, le attività restano le stesse: cambia soltanto l’interfaccia di configurazione.

Creare l’SSID AP6 in Sophos Fusion

Aprire My Products > Wireless > SSIDs, fare clic su Create AP6 e selezionare SSID.

1. In Settings, inserire ad esempio Office-Clients nel campo SSID. Gli SSID distinguono tra maiuscole e minuscole, possono contenere da 1 a 32 caratteri stampabili e, per garantire un’ampia compatibilità con i client, dovrebbero essere composti da caratteri ASCII stampabili.
2. Selezionare una modalità di cifratura personale adatta ai client in uso. In Shared secret, inserire da 8 a 63 caratteri ASCII stampabili. Generare una chiave robusta, utilizzata esclusivamente per questo SSID, e non copiare alcun valore di esempio. Per la banda a 6 GHz, Sophos Fusion richiede WPA2/WPA3 o WPA3; AP6 supporta esclusivamente AES. L’autenticazione Enterprise e l’assegnazione dinamica delle VLAN richiedono un flusso RADIUS dedicato.
3. In Frequency band, attivare soltanto le bande necessarie. La disponibilità di una banda non garantisce che sia supportata da tutti i client.
4. In Assign network, selezionare inizialmente Add access points later. In questo modo è possibile salvare la configurazione senza aggiornare subito tutti gli AP assegnati.
5. Aprire Advanced settings e, in Client connection, selezionare la modalità VLAN. Inserire 110 come ID VLAN.
6. Salvare inizialmente la configurazione in modo controllato. Attivare Enable SSID soltanto quando gateway, DHCP, regole e trunk dello switch sono pronti.

LAN inoltra il traffico client senza tag nella stessa LAN. VLAN lo contrassegna per una VLAN client selezionata in modo statico. Con l’autenticazione Enterprise, RADIUS VLAN assignment può fornire informazioni VLAN specifiche per ciascun utente, ma presenta requisiti e limitazioni propri. In Sophos Fusion, Bridge mode e NAT mode sono modalità operative di una rete guest attivata e non indicano un normale SSID VLAN destinato alla produzione.

Assegnare inizialmente l’SSID a un AP pilota

Modificare l’SSID salvato, aprire Assign network e assegnarlo inizialmente a un solo AP6 registrato nella sede di test. Attivare quindi Enable SSID e salvare la configurazione. L’uplink dell’AP deve trasportare la VLAN 110 con tag; se il percorso attraversa più switch, la VLAN deve essere consentita lungo l’intero tragitto.

⚠️ Prevedere una breve interruzione: al salvataggio, Sophos Fusion aggiorna tutti gli AP ai quali è assegnato l’SSID. I client WLAN connessi potrebbero subire una breve disconnessione. Per un nuovo SSID su AP già in produzione, Sophos consiglia pertanto di selezionare inizialmente Add access points later.

Verificare quindi in My Products > Wireless > SSIDs che l’SSID sia attivo e assegnato a un solo access point. In My Products > Wireless > Access Points, l’AP pilota deve risultare online e aver acquisito la nuova configurazione. La procedura guidata per l’onboarding degli AP descrive la registrazione e l’assegnazione alla sede; la guida Gestire AP6 localmente o con Sophos Fusion illustra lo stato e la coda delle attività.

Collaudare l’intero percorso dati

Eseguire il test con un client che non si sia mai connesso a questo SSID:

1. Connettersi a Office-Clients e verificare che la cifratura e la banda vengano negoziate come previsto.
2. Verificare che il client riceva un indirizzo compreso nell’intervallo 10.110.0.50–10.110.0.199, il gateway 10.110.0.1 e i server DNS previsti.
3. Verificare la raggiungibilità del gateway e di un servizio interno consentito. Una destinazione interna bloccata deve effettivamente rimanere inaccessibile in base alla regola prevista.
4. Risolvere un nome DNS e aprire una destinazione esterna consentita. La sola connessione riuscita all’SSID non dimostra che il percorso dati funzioni correttamente.
5. Sul gateway o sul firewall, verificare che il client di test compaia nella VLAN 110 e utilizzi la regola prevista.
6. Ripetere il test dopo una nuova connessione e con almeno un secondo tipo di client. Soltanto in seguito assegnare altri AP, procedendo a piccoli gruppi.

Documentare il tipo di SSID, la cifratura, le bande, l’ID VLAN, l’AP pilota, la porta dello switch, il gateway, l’intervallo DHCP e i criteri di riuscita osservati. Questi dati definiscono anche una procedura di ripristino sicura.

Circoscrivere gli errori in base ai sintomi

L’SSID non è visibile: verificare Enable SSID, l’assegnazione dell’AP, lo stato della configurazione dell’AP pilota e le bande attivate. Controllare inoltre che il dispositivo supporti la banda e la cifratura selezionate.

Il client si connette, ma non riceve un indirizzo IP: verificare innanzitutto che la VLAN 110 sia consentita con tag sulla porta dell’AP e su ogni uplink. Controllare quindi l’ambito DHCP, il relay o la raggiungibilità del server DHCP locale e l’interfaccia del gateway. L’indirizzo di gestione dell’AP non sostituisce l’indirizzo del client.

Il client riceve un indirizzo, ma il DNS o Internet non funziona: controllare il gateway, i valori DNS, la route, la regola firewall e, se necessario, il NAT in uscita lungo il percorso del client. Lo stato visualizzato in Sophos Fusion non indica quale regola sia stata applicata sul gateway.

Funzionano soltanto alcuni AP: confrontare l’assegnazione dell’SSID e lo stato della configurazione di ciascun AP, quindi controllare il profilo della porta dello switch e le VLAN consentite lungo il percorso interessato. Non modificare contemporaneamente l’SSID, la VLAN, i parametri radio e le regole firewall.

La modifica interferisce con i client in produzione: innanzitutto, non assegnare altri AP. La disattivazione di Enable SSID interessa tutti gli AP ai quali è assegnato questo SSID. Per un ripristino limitato a un AP, rimuovere invece in Assign network soltanto l’assegnazione all’AP pilota e applicare nuovamente le ultime impostazioni documentate. Verificare quindi lo stato dell’AP e degli SSID di produzione noti. Assegnare nuovamente il nuovo SSID soltanto dopo aver corretto e ripetuto il test cablato della VLAN; per il ripristino non è necessario eliminarlo.