Configurare e testare un LAG con LACP su Sophos Firewall

Un Link Aggregation Group (LAG) unisce da due a quattro porte fisiche in un’unica interfaccia logica. Active-Backup offre ridondanza con un link attivo. 802.3ad (LACP) utilizza più link in parallelo e aumenta la larghezza di banda complessiva su più connessioni.

Una singola connessione TCP o UDP normalmente non diventa più veloce con LACP: l’hash mantiene un flusso su una sola porta membro. La capacità aggiuntiva è disponibile soltanto con più connessioni che producono hash differenti.

Preparare la modalità e la migrazione

Active-Backup o 802.3ad

Active-Backup è la modalità di ridondanza più semplice. Una sola porta membro trasmette traffico; in caso di guasto, ne subentra un’altra. Lo switch non richiede un port-channel LACP. Entrambe le porte dello switch devono tuttavia utilizzare le stesse VLAN o la stessa configurazione access, trovarsi nella stessa rete Layer 2 e accettare lo spostamento del MAC durante il failover.

802.3ad (LACP) utilizza tutti i link attivi per la distribuzione del carico e il failover. Si applicano i seguenti requisiti:

LACP è attivato sul firewall e sullo switch.
Tutte le porte membro hanno lo stesso tipo di interfaccia, la stessa velocità e Full-Duplex.
Le porte dello switch appartengono allo stesso peer LACP logico e allo stesso port-channel.
Due switch fisici funzionano soltanto se stack, MLAG/MC-LAG o una tecnologia equivalente li presenta come un unico sistema LACP.
La configurazione VLAN/trunk e la MTU sono coerenti su tutte le porte membro.

Per la sola ridondanza, Active-Backup è in genere più semplice. LACP è indicato quando più connessioni parallele richiedono effettivamente una maggiore larghezza di banda complessiva.

Verificare le porte membro e preparare il rollback

Sophos Firewall consente di utilizzare come membri LAG da due a quattro interfacce fisiche non associate con assegnazione IP statica. Sono escluse le interfacce PPPoE, Cellular WAN e WLAN.

Le porte uplink esistenti non vengono migrate automaticamente quando si crea il LAG. VLAN, Zone Binding, DNS, gateway, SD-WAN, Interface Hosts, Dynamic DNS, NAT e routing possono dipendere dalla vecchia interfaccia. Prima della migrazione:

In Object usage, aggiornare le dipendenze con Refresh e documentarle.
Preparare un backup, una finestra di manutenzione e un piano di rollback concreto.
Testare un accesso amministrativo indipendente.
Pianificare VLAN, trunk dello switch, interfacce NAT, routing e gateway per il nuovo LAG.
Solo successivamente, rimuovere in modo controllato le future porte membro dalle associazioni esistenti.

Pianificare zone e interfacce su Sophos Firewall spiega quale zona assegnare al LAG. L’esempio utilizzato in tutto l’articolo è:

PortF2 + PortF4 → LAG0 → VLAN 10 Client e VLAN 20 Server

Creare il LAG in WebAdmin

Aprire Network > Interfaces.
Selezionare Add interface > Add LAG.
In Name, inserire un nome visualizzato descrittivo di massimo 58 caratteri, ad esempio LAG_Core_Uplink.
Impostare un Hardware name di massimo 10 caratteri, composto da A-Z, a-z, 0-9 e trattino basso, ad esempio lag_core. Non può essere modificato successivamente e non deve contenere nomi riservati come all, gre, eth o WLAN.
In Member interface, aggiungere da due a quattro porte già preparate, nell’esempio PortF2 e PortF4.
In Bonding mode, selezionare Active-Backup o 802.3ad.
Con 802.3ad, definire la Xmit Hash Policy.
Assegnare la Zone appropriata.
Configurare IP assignment per IPv4 e, se necessario, IPv6.
Nelle impostazioni avanzate, verificare Link mode, Auto-negotiation for media type, FEC a seconda del modello, MTU e, se necessario, Override MSS. Show recommended settings o Load recommended configuration consente di applicare i valori supportati dalla porta.
Utilizzare l’indirizzo MAC predefinito della prima porta membro oppure sovrascriverlo soltanto in presenza di un requisito di progettazione preciso.
Selezionare Save.

L’interfaccia logica, ad esempio lag0, appare quindi in Network > Interfaces. Le VLAN vengono poi create utilizzando il LAG come Parent. Configurare e testare una VLAN su Sophos Firewall descrive la procedura per VLAN ID, Zone, gateway, DHCP e collaudo.

⚠️ L’attuale Sophos Known Issues List riporta ancora NC-94073 senza una versione corretta: sull’hardware XGS con interfacce 10G, il link può non funzionare con Auto-negotiation, sia come interfaccia fisica sia in un LAG. In questo caso, impostare manualmente la porta o il LAG interessato su 10000 Mbps – Full-Duplex e verificare nuovamente il link. Questo workaround è documentato ufficialmente, ma non è stato eseguito in un laboratorio XGS 10G per questo articolo.

Scegliere correttamente la Xmit Hash Policy

Con 802.3ad, la Xmit Hash Policy determina su quale porta membro Sophos Firewall invia il traffico in uscita. Il traffico in entrata verso il firewall viene distribuito dallo switch con la propria hash policy. Gli algoritmi non devono quindi essere identici: ciascun lato decide in modo indipendente per la propria direzione di trasmissione.

Layer2: utilizza gli indirizzi MAC sorgente e destinazione. Con poche coppie di MAC, una porta membro può essere molto più utilizzata delle altre.
Layer2+3: considera anche gli indirizzi IP sorgente e destinazione ed è spesso un buon punto di partenza per traffico di rete misto.
Layer3+4: utilizza inoltre informazioni del livello di trasporto. Ciò può distribuire meglio più connessioni tra gli stessi host. Nel traffico frammentato, tuttavia, le informazioni sulle porte potrebbero non essere disponibili; i frammenti possono essere distribuiti con un hash diverso e causare Packet Reordering.

Nessuna policy distribuisce un singolo flusso su tutti i link. La scelta appropriata va quindi verificata con traffico reale e i contatori delle porte membro in entrambe le direzioni, non cercando un nome di hash identico sullo switch.

Configurare il lato switch

Con Active-Backup, le porte non vengono raggruppate in un port-channel statico o LACP. Entrambe ricevono la stessa configurazione VLAN/trunk e conducono alla stessa rete Layer 2. Occorre inoltre verificare se Spanning Tree, Port Security o le impostazioni MAC Move ritardano o bloccano inutilmente il passaggio.

Con 802.3ad, le porte dello switch devono:

trovarsi nello stesso port-channel LACP,
utilizzare attivamente LACP,
corrispondere al firewall per velocità, duplex, VLAN e MTU,
appartenere a un unico sistema LACP logico quando si utilizzano due switch.

Non è sufficiente creare il LAG soltanto sul firewall. Se lo switch continua a gestire le porte separatamente o utilizza bonding statico anziché LACP, possono verificarsi perdita di pacchetti, comportamento asimmetrico o un LAG attivo solo in parte.

Collaudare il LAG e il failover

Prima del primo test di guasto, documentare lo stato iniziale, lo stato delle porte membro, lo stato LACP e i contatori delle interfacce sul firewall e sullo switch. Quindi:

Funzionamento normale: testare gateway, destinazioni interne e servizi necessari in entrambe le direzioni.
Scollegare ogni porta membro singolarmente: misurare raggiungibilità, perdita di pacchetti, sessioni esistenti e tempo di commutazione. Un failover non è automaticamente del tutto privo di interruzioni.
Ricollegare la porta membro: verificare sul firewall e sullo switch che venga nuovamente attivata e che i contatori degli errori rimangano stabili.
Testare LACP con più flussi: generare più connessioni con combinazioni sorgente/destinazione differenti in entrambe le direzioni e confrontare i contatori delle porte membro.
Verificare le VLAN: nell’esempio, testare separatamente VLAN 10 e VLAN 20 per gateway, destinazioni consentite, destinazioni bloccate, DHCP e DNS.

Per Layer3+4, su un client di test esterno al firewall è possibile utilizzare, ad esempio, iPerf3 con quattro flussi paralleli anziché una singola connessione, poiché le loro porte sono differenti:

iperf3 -c 10.20.20.50 -P 4 -t 30
iperf3 -c 10.20.20.50 -P 4 -t 30 -R

Sostituire 10.20.20.50 con l’indirizzo del server di test iPerf3. Con Layer2 o Layer2+3 sono necessarie più coppie di host sorgente/destinazione oppure indirizzi MAC o IP differenti. Il test genera deliberatamente carico e va eseguito in una finestra appropriata. -R verifica la direzione opposta. Testare le prestazioni di Sophos Firewall con iPerf3 descrive la configurazione completa degli endpoint.

Sophos Firewall LAG0 con interfacce VLAN e una porta membro fisica connessa e una disconnessa — La panoramica mostra LAG0 come Connected mentre una porta membro è Unplugged. La raggiungibilità e il failover effettivo devono essere verificati anche con traffico di test.

Errori tipici

La porta membro non appare: la porta è ancora associata, non è configurata staticamente o appartiene a un tipo di interfaccia escluso.
LACP non si attiva: confrontare port-channel dello switch, modalità LACP, assegnazione delle porte membro, velocità/duplex, VLAN e MTU.
Due switch, ma nessun peer LACP comune: manca uno stack o MLAG/MC-LAG. Limitare LACP a un peer logico oppure pianificare Active-Backup in modo appropriato.
Il link XGS 10G rimane down con Auto-negotiation: secondo NC-94073, impostare manualmente 10000 Mbps – Full-Duplex.
Il carico rimane quasi interamente su una porta membro: con pochi flussi può essere corretto. Testare più connessioni adatte e confrontare i contatori di entrambe le direzioni di trasmissione; la hash policy dello switch non deve avere lo stesso nome.
La VLAN o Internet smette di funzionare dopo la migrazione: verificare VLAN Parent, Zone, oggetti di rete, interfacce NAT inbound/outbound, routing e gateway. Le normali regole firewall corrispondono a zone e reti, non a una porta membro fisica.
Il failover perde pacchetti o sessioni: misurare il tempo di commutazione e verificare sullo switch le impostazioni per MAC Move, Spanning Tree e Port Security.
L’Hardware name è errato: il nome tecnico non può essere modificato successivamente; se occorre cambiarlo, il LAG deve essere ricreato.

Checklist operativa

Active-Backup o 802.3ad scelto in base all’obiettivo di ridondanza e larghezza di banda
da due a quattro porte membro fisiche non associate e statiche preparate
Object Usage, backup, percorso di ripristino e accesso amministrativo indipendente verificati
porte dello switch configurate in modo appropriato per Active-Backup o LACP
Link mode, Auto-negotiation, FEC, MTU e MSS controllati
Xmit Hash Policy interpretata soltanto per la direzione di trasmissione del firewall
guasto e ripristino di ogni porta membro testati
LACP verificato con più flussi in entrambe le direzioni e con i contatori delle porte membro
VLAN Parent, Zone, NAT, routing e gateway convalidati dopo la migrazione

FAQ

Quante interfacce può raggruppare un LAG su Sophos Firewall?

Un LAG è composto da due a quattro interfacce fisiche non associate.

Quali tipi di interfaccia non possono essere utilizzati come membri LAG?

Sono escluse le interfacce PPPoE, Cellular WAN e WLAN. Le porte membro devono essere interfacce fisiche non associate con assegnazione IP statica.

Qual è la differenza tra Active-Backup e 802.3ad?

Con Active-Backup, un link alla volta trasmette il traffico e un altro subentra in caso di guasto. Con 802.3ad, più link lavorano in parallelo; LACP deve quindi essere configurato anche sullo switch.

Lo switch deve essere configurato specificamente per un LAG?

Con 802.3ad, le porte devono trovarsi in un port-channel LACP. Con Active-Backup non vengono raggruppate, ma richiedono la stessa configurazione VLAN/access e la stessa rete Layer 2.

Una singola connessione diventa più veloce con LACP?

Normalmente no. Un flusso rimane su una porta membro. La maggiore larghezza di banda complessiva deriva da più connessioni parallele distribuite su porte membro differenti tramite hash.