Configurare e verificare le interfacce breakout di Sophos Firewall

Un’interfaccia breakout divide una porta fisica veloce in due o quattro interfacce member indipendenti. Una porta QSFP può così servire diversi uplink switch più piccoli. Questo offre porte aggiuntive, ma non è una modifica puramente logica: SFOS cambia la suddivisione hardware e richiede poi il riavvio del firewall.

⚠️ Il breakout di un uplink produttivo interrompe il collegamento e può influire su WebAdmin, HA, VLAN, routing e tutto il traffico. Prima della modifica servono un backup aggiornato, una finestra di manutenzione, un accesso di gestione indipendente e una mappatura documentata delle porte sul firewall e sul dispositivo remoto.

Procedura rapida

Per prima cosa si confrontano appliance, porta sorgente, modalità breakout supportata, transceiver o cavo breakout e porte del dispositivo remoto. Quindi si apre Network > Interfaces, si seleziona il Breakout mode desiderato sulla porta sorgente compatibile e si salva la modifica.

SFOS mostra inizialmente Breakout: Not activated e richiede un riavvio con Restart the firewall. Solo dopo il riavvio la porta sorgente appare come Breakout source e le nuove interfacce member possono essere configurate singolarmente. Ogni member viene quindi verificato con stato del link, velocità, configurazione VLAN o LAG e traffico di prova reale.

Modelli e combinazioni di porte supportati

Breakout non è supportato su ogni modello XGS né su ogni porta ad alta velocità. L’attuale guida SFOS 22 elenca queste combinazioni:

• XGS 8500: Le porte fisse da 100 Gbps F13 e F14 possono essere divise in 2 x 50 Gbps, 4 x 25, 4 x 10 oppure 4 x 1 Gbps. Il modulo FleXi da 40 Gbps supporta quattro members a 25, 10 o 1 Gbps.
• XGS 7500: Le porte fisse da 40 Gbps F13 e F14 e il modulo FleXi da 40 Gbps supportano quattro members a 25, 10 o 1 Gbps.
• XGS 6500 e XGS 5500: Non sono indicate porte fisse per breakout. Il modulo FleXi da 40 Gbps supporta quattro members a 10 o 1 Gbps.

Per il breakout tramite FleXi Sophos richiede il modulo AMDA0112-0001. Questo elenco non sostituisce una verifica aggiornata di hardware e transceiver. Standard della porta, modulo, cavo e dispositivo remoto devono essere adatti all’appliance specifica. Verificare SFP, SFP+ e QSFP su Sophos Firewall spiega la scelta e la diagnostica read-only del link.

Importante: Un cavo breakout che entra meccanicamente non dimostra che la combinazione sia supportata. Numero di members, velocità disponibili, tipo di transceiver o DAC e porte dello switch devono essere verificati insieme.

Preparare il breakout

Prima del cambio si documenta il percorso dati esistente. Sono inclusi porta sorgente, Link mode corrente, FEC, auto-negotiation, zona, configurazione IP, VLAN, LAG, routing, NAT, regole firewall, ruolo HA e cablaggio. Si aggiorna Object usage per non trascurare le configurazioni dipendenti.

Un esempio semplice usa la porta sorgente F13 di un XGS 8500 e la divide in quattro members da 25 Gbps. F13, modello e velocità sono valori di esempio da sostituire con la combinazione effettivamente supportata. Sul lato switch devono essere disponibili quattro porte compatibili o un design breakout corrispondente.

Se la porta trasporta l’accesso amministrativo corrente o l’unico uplink produttivo, non viene modificata senza un percorso di ripristino separato. In HA, entrambe le appliance devono soddisfare gli stessi requisiti hardware. La configurazione breakout viene sincronizzata dal primary, ma ogni node richiede un proprio riavvio.

Attivare breakout in SFOS

1. Aprire Network > Interfaces.
2. Selezionare la porta sorgente compatibile con breakout. SFOS contrassegna le porte supportate con un’icona breakout.
3. In General settings, selezionare il Breakout mode appropriato, ad esempio quattro interfacce member.
4. Selezionare Save.
5. Confermare lo stato Breakout: Not activated e il messaggio Restart the firewall.
6. Riavviare il firewall in modo controllato nella finestra di manutenzione.
7. Dopo l’avvio, verificare che la porta sorgente mostri Breakout source e che le interfacce member previste siano visibili con un’icona Ethernet.

I members diventano normali interfacce fisiche con configurazione separata. In Advanced settings, Link mode mostra la velocità massima supportata dal member specifico. Velocità, duplex, auto-negotiation e FEC vengono confrontati con il dispositivo remoto; per i link veloci, Show recommended settings e Load recommended configuration aiutano ad applicare valori compatibili.

Ogni member utilizzato riceve poi il ruolo previsto. Può funzionare come interfaccia singola, parent di una VLAN o member di un LAG. Il solo breakout non crea zona, indirizzamento, regole o routing. Zone e interfacce su Sophos Firewall spiega l’interazione tra questi elementi.

Breakout e HA

In un cluster HA la modifica viene eseguita sul primary. Sophos descrive tre stati importanti:

• Quando si configura breakout sul primary, si riavvia prima il primary e poi l’auxiliary.
• Se il primary dispone già di interfacce breakout, la configurazione viene sincronizzata sull’auxiliary; l’auxiliary deve poi essere riavviato perché la configurazione diventi effettiva.
• Se il primary non dispone di una configurazione breakout, le interfacce breakout presenti sull’auxiliary vengono eliminate durante la sincronizzazione.

Riavviare entrambi i nodes contemporaneamente non è un test di accettazione. Prima si documentano ruoli, dedicated HA link, porte monitorate e uplink produttivi. Dopo ogni riavvio si verificano stato HA, assegnazione delle interfacce e percorso dati prima di procedere con il secondo node. Configurare e testare HA su Sophos Firewall contiene il flusso completo del cluster.

Modificare o rimuovere la configurazione

La modalità breakout viene modificata sulla porta sorgente in Network > Interfaces. Anche una suddivisione diversa cambia la struttura dei members e va quindi eseguita in una finestra di manutenzione. Se una selezione viene modificata e poi ripristinata prima dell’attivazione, Sophos non richiede il riavvio.

Per rimuoverla si seleziona Breakout mode > No breakout sulla porta sorgente. Prima si spostano le dipendenze produttive dei members su un percorso sostitutivo testato. Quindi si salva, si segue il messaggio di riavvio e, dopo il reboot, si verifica che la porta sorgente sia nuovamente disponibile come interfaccia normale.

No breakout non è un’opzione di visualizzazione neutra. Rimuove la configurazione breakout e non deve essere selezionata e salvata solo per ispezionare l’impostazione.

Modulo FleXi, migrazione e ripristino

Se viene rimosso un modulo FleXi con una porta divisa, SFOS elimina le interfacce member associate e mostra la porta sorgente come Not Available. Dopo aver reinstallato il modulo occorre dividere nuovamente la porta e riavviare il firewall. Prima di sostituire un modulo si documentano quindi completamente members, zone, VLAN, LAG e tutte le altre dipendenze.

La configurazione breakout viene generalmente mantenuta durante upgrade, downgrade o rollback, ma la destinazione deve supportare la modalità. Su una versione in cui breakout non era stato configurato in precedenza, le interfacce source e member possono essere visibili in WebAdmin ma non funzionare. In tal caso si attiva nuovamente breakout oppure lo si rimuove in modo controllato e si riavvia il firewall.

Un factory reset elimina la configurazione breakout. Durante backup e restore, l’assistente mostra solo il Breakout Root Port, non i singoli members. I root ports possono essere mappati solo su una destinazione con numero e combinazione di porte supportati. Backup e restore di Sophos Firewall spiega i limiti di migrazione e le pseudo ports.

Verificare dopo il riavvio

Un member visibile dimostra solo che SFOS ha creato la suddivisione hardware. La verifica tecnica avviene per fasi:

1. La porta sorgente mostra Breakout source; numero e nomi dei members corrispondono al piano.
2. Ogni member utilizzato mostra stato del link, velocità e Full Duplex previsti.
3. Porta switch, transceiver o cavo breakout, FEC e negoziazione corrispondono.
4. VLAN o members LAG sono associati all’interfaccia breakout corretta.
5. Gateway, routing, Device Access e regole firewall vengono testati con traffico reale.
6. In HA, primary e auxiliary vengono validati dopo riavvii separati e un test di failover controllato.

Se un member rimane Unplugged, si controlla prima il percorso fisico: modalità supportata, velocità della porta, suddivisione del cavo, transceiver, dispositivo remoto, FEC e auto-negotiation. Solo con link stabile si analizzano VLAN, LAG, routing e regole firewall.

Domande frequenti