Scegliere e verificare SFP e SFP+ su Sophos Firewall

Se una porta SFP resta su Unplugged, il link si attiva e disattiva o non raggiunge la velocità prevista, la causa si trova in genere prima della regola firewall: tipo di porta, transceiver, fibra, apparato remoto o negoziazione del link non corrispondono.

La verifica più rapida segue questo ordine:

1. Identificare il modello dell’appliance e la porta hardware: SFP, SFP+, QSFP o Flexi Port.
2. Verificare la velocità supportata e la compatibilità del transceiver per quella specifica porta.
3. Confrontare transceiver, fibra o DAC e modulo dell’apparato remoto.
4. In Network > Interfaces, controllare Link Mode, Auto-Negotiation e FEC.
5. Leggere link e modulo con ethtool.
6. Sostituire singolarmente fibra, modulo e porta remota con componenti sicuramente funzionanti.
7. Esaminare VLAN, LAG, configurazione IP, routing e regole firewall solo quando il link fisico è stabile.

Scegliere una porta e un transceiver compatibili

Distinguere SFP, SFP+ e Dual Rate

SFP indica normalmente 1 GbE, mentre SFP+ indica 10 GbE. Il segno più è quindi importante: un modulo SFP+ 10G non funziona in una porta SFP limitata a 1G. Viceversa, non tutte le porte SFP+ supportano automaticamente moduli SFP da 1 Gbps.

Alcune porte SFP+ o alcuni moduli Flexi Port sono Dual Rate e supportano 1 e 10 GbE. Questa capacità va considerata valida per una porta specifica solo se confermata dal manuale del modello o dalla matrice di compatibilità. Le appliance più grandi possono inoltre disporre di porte QSFP, QSFP+ o breakout; anche in questo caso modalità della porta, modulo e velocità devono corrispondere.

Configurare le interfacce breakout su Sophos Firewall spiega come dividere una porta QSFP o FleXi supportata in due o quattro members, riavviare l’appliance e verificare il risultato.

La matrice aggiornata di modelli e transceiver è disponibile in Sophos Firewall Config Studio sotto Backup-restore compatibility. Prima di acquistare o modificare l’hardware, verificare qui appliance, modulo Flexi Port, standard della porta e transceiver. Questa vista è preferibile a un elenco statico nell’articolo perché i modelli e i moduli supportati possono cambiare.

Un transceiver di terze parti non presente nell’elenco può funzionare tecnicamente, ma ciò non significa che sia stato testato o sia supportato da Sophos. Non esiste un comando CLI generico che abiliti un SFP incompatibile. Per gli uplink di produzione è quindi opportuno usare un modulo verificato e avere a disposizione un ricambio sicuramente funzionante.

Confrontare percorso ottico e apparato remoto

Per i collegamenti in fibra, entrambe le estremità devono usare lo stesso standard di trasmissione. Prima di inserire il modulo, verificare:

• singlemode o multimode
• velocità e standard, ad esempio 1G-SX/LX o 10G-SR/LR
• lunghezza d’onda e distanza supportata
• connettore e patch in fibra adatta
• polarità TX/RX corretta nei collegamenti a due fibre
• coppia di lunghezze d’onda corrispondente nei moduli BiDi
• modulo compatibile e parametri della porta coordinati sull’apparato remoto

Come orientamento generale, SX e SR indicano solitamente collegamenti multimode brevi, mentre LX e LR indicano solitamente collegamenti singlemode più lunghi. Restano determinanti le specifiche del transceiver e dell’apparato remoto effettivamente utilizzati.

Un tipico esempio a 10 Gbps per un collegamento breve usa transceiver 10G-SR compatibili a entrambe le estremità e una fibra multimode adatta alla distanza. Un modulo 10G-LR a un’estremità e un modulo 10G-SR all’altra non sono compatibili, nonostante usino la stessa velocità.

Con DAC o AOC devono essere supportati tipo e lunghezza del cavo, standard della porta ed entrambi i dispositivi. Un cavo meccanicamente compatibile non garantisce il link.

⚠️ Sicurezza laser: Non guardare mai direttamente dentro un transceiver acceso o un’estremità aperta della fibra. Rimuovere i cappucci protettivi solo al momento del collegamento e pulire i connettori sporchi con strumenti adatti alla fibra ottica.

Configurare la porta in SFOS

Modificare l’interfaccia fisica in Network > Interfaces e aprire Advanced settings > Port settings. A seconda dell’appliance, vengono visualizzate le opzioni seguenti:

• Link mode: velocità e duplex
• Auto-negotiation for media type: negoziazione automatica con l’apparato remoto
• Forward Error Correction (FEC): correzione degli errori per le porte veloci supportate
• Show recommended settings: mostrare i valori consigliati per la modalità della porta selezionata
• Load recommended configuration: applicare questi valori

Velocità, duplex, Auto-Negotiation e FEC devono essere compatibili alle due estremità. Una mancata corrispondenza può causare interruzioni del link, errori, latenza o prestazioni scarse. Per le porte da 25, 50 e 100 Gbps, salvare prima Link Mode, riaprire l’interfaccia e quindi caricare la configurazione consigliata.

Nei moduli Flexi Port di XGS 2100, 2300, 3100 e 3300, tutte le porte SFP+ dello stesso modulo devono essere configurate con la stessa velocità. Questa limitazione non vale in generale per tutte le porte SFP+ fisse o per tutti i modelli XGS.

⚠️ Una modifica dell’uplink può interrompere immediatamente il link e quindi l’accesso a WebAdmin. Per collegamenti WAN, core o HA di produzione sono necessari una finestra di manutenzione, un accesso amministrativo alternativo e i valori precedenti come percorso di rollback.

Dopo il salvataggio, controllare nome hardware e stato in Network > Interfaces. Connected conferma il link fisico, ma non una configurazione corretta di VLAN, LAG, IP o policy. Pianificare correttamente zone e interfacce Sophos Firewall spiega l’interazione tra interfacce, zone e regole.

Leggere link e modulo tramite CLI

Identificare il nome hardware

I comandi seguenti richiedono il nome hardware, non il nome visualizzato assegnato liberamente. È riportato in Network > Interfaces e può essere, ad esempio, PortF1, PortA1 o Port1.

In alternativa, la Device Console mostra le interfacce:

show network interfaces

Per utilizzare ethtool, passare a Device Management > Advanced Shell. Le console e l’accesso SSH sono spiegati in Gestire Sophos Firewall tramite SSH.

Verificare link, velocità e negoziazione

Esempio per PortF1:

ethtool PortF1

Il comando non modifica nulla. Un output abbreviato può apparire così:

Speed: 10000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes

In questo esempio è presente un link fisico a 10 Gbps con Full Duplex. Ciò non conferma ancora che VLAN, configurazione IP, routing e regole firewall siano corretti. I valori più rilevanti sono:

• Link detected: yes per un link fisico rilevato
• la velocità prevista, ad esempio Speed: 10000Mb/s
• Duplex: Full
• le modalità link supportate e attualmente utilizzate
• lo stato di Auto-Negotiation

Questi valori sono indicatori e devono corrispondere all’apparato remoto. Link detected: yes non prova ancora il corretto funzionamento del percorso dati. Viceversa, Speed: Unknown! non dimostra da solo che un transceiver sia guasto, perché driver e tipo di porta possono influire sull’output.

Se un’interfaccia XGS 10G fisica o basata su LAG resta down con Auto-negotiation, Configurare e testare un LAG con LACP descrive il problema NC-94073, ancora presente nell’elenco, e il workaround ufficiale con impostazione manuale a 10 Gbps.

Leggere i dati del transceiver e i valori ottici

Se modulo e driver lo supportano, è possibile leggere l’EEPROM del modulo in questo modo:

ethtool -m PortF1

L’output può mostrare, tra l’altro:

• identificatore e connettore
• tipo di transceiver e lunghezza d’onda
• lunghezza prevista della fibra
• produttore, Part Number e numero di serie
• temperatura e tensione
• potenza ottica trasmessa e ricevuta
• soglie di allarme e warning

Valutare la potenza RX e TX solo rispetto ai limiti indicati dal modulo specifico o dalla relativa scheda tecnica. Limiti generici in dBm sarebbero errati perché standard, distanza e ottica variano.

Non tutti i moduli forniscono Digital Diagnostic Monitoring. Un output vuoto o Operation not supported significa quindi soltanto che i dati EEPROM o diagnostici non sono disponibili tramite questo driver. Non dimostra un guasto. Viceversa, dati del modulo leggibili non dimostrano la stabilità del link.

L’output può contenere produttore e numero di serie. Prima di pubblicare uno screenshot o allegarlo a un ticket, oscurare i dati del dispositivo non necessari.

Cercare oscillazioni del link nel buffer del kernel

Per brevi interruzioni è utile una ricerca in sola lettura nell’Advanced Shell:

dmesg | grep PortF1

Messaggi ripetuti di link-up e link-down sono compatibili con problemi di fibra, modulo, apparato remoto o negoziazione. dmesg contiene solo il buffer attuale del kernel e non sostituisce il monitoraggio a lungo termine.

Varianti che modificano lo stato o interrompono il servizio, come ethtool -s, ethtool -r o le modifiche dell’EEPROM, non rientrano nella normale diagnostica. Possono modificare il link, l’accesso amministrativo o lo stato del modulo.

Isolare un link assente o instabile

Proseguire l’analisi dei risultati nel modo seguente:

• L’interfaccia resta su Unplugged: Controllare tipo di porta, velocità supportata, compatibilità del modulo, corretto inserimento del transceiver, fibra, polarità TX/RX e porta remota.
• I dati del modulo sono leggibili, ma il link resta down: Verificare che entrambe le estremità usino lo stesso standard e la stessa velocità; confrontare Auto-Negotiation e FEC. Sostituire quindi singolarmente fibra e moduli con componenti sicuramente funzionanti.
• Il link si attiva solo sporadicamente: Pulire i connettori, verificare raggio di curvatura e temperatura, confrontare i valori RX/TX con i limiti del modulo e cercare oscillazioni in dmesg.
• Il link è up, ma lento o soggetto a errori: Controllare velocità e duplex negoziati, contatori dello switch, valori ottici e FEC. Valutare le prestazioni con un secondo dispositivo prima di considerare il firewall come causa.
• Il link è stabile, ma non passa traffico: Controllare ora VLAN tagging, LAG, zona, indirizzo IP, gateway, routing e regole firewall. Per le VLAN, consultare Configurare e testare una VLAN su Sophos Firewall.

Sostituire sempre un solo componente alla volta e documentare il risultato. In questo modo resta chiaro se la causa era il modulo, la fibra, la porta del firewall o l’apparato remoto.

Se un modulo compatibile e una fibra sicuramente funzionante non producono comunque un link stabile su una porta configurata correttamente, raccogliere output, timestamp, versione SFOS, modello dell’appliance e Part Number utilizzati. Verificare un difetto hardware su un’appliance Sophos descrive il successivo processo di supporto e RMA.

Cisco Nexus 9000 con XGS 5500-8500

Sophos riporta in NC-164102 una combinazione hardware specifica: sulle porte da 10 Gbps integrate degli XGS 5500, 6500, 7500 e 8500, il collegamento a uno switch della serie Cisco Nexus 9000 può interrompersi o presentare ripetuti link flap. Sophos non indica una versione SFOS interessata né una causa o correzione confermata.

Si tratta delle porte SFP+ fisse da 1/10 Gbps in modalità 10G: da F1 a F8 sull’XGS 5500 e da F1 a F12 sugli XGS 6500, 7500 e 8500. Sophos non include le porte QSFP28 F13 e F14 degli XGS 7500 e 8500 in NC-164102.

Se l’ambiente corrisponde esattamente a questa combinazione, escludere prima le cause comuni con le verifiche descritte sopra. Per proseguire l’analisi, documentare il modello dell’appliance, la build SFOS, la porta hardware interessata, il modello Nexus, la versione NX-OS, la porta dello switch, nonché il produttore e il Part Number dei transceiver o del DAC. Raccogliere anche gli output di ethtool, ethtool -m e dmesg, insieme agli eventi di link e ai contatori di errore della porta dello switch con i relativi timestamp. Nel caso di supporto, fare riferimento a NC-164102.

Come possibile soluzione alternativa, Sophos indica un modulo Flexi Port 10 Gbps a 4 porte al posto delle porte 10G integrate. Non si tratta di una correzione garantita. Prima della modifica, verificare in Config Studio la compatibilità di appliance, modulo e transceiver e preparare una finestra di manutenzione, un accesso amministrativo alternativo, la configurazione attuale delle porte e un percorso di rollback.

GBIC Swisscom XGS-PON su XGS Rev. 2

L’elenco Sophos Known Issues attuale riporta in NC-168210 un caso specifico per la Svizzera in SFOS 21.5 GA Build 171: il modulo Swisscom ALL-BM410-XGSPON-GBIC non è supportato nelle porte SFP da 1 Gbps delle appliance XGS Rev. 2.

Sophos indica una porta SFP+ da 10 Gbps come possibile alternativa, ma precisa anche che il modulo non è stato testato internamente in quella porta. Il funzionamento non è quindi garantito. Per un collegamento di produzione, il piano deve includere la compatibilità confermata della porta, una finestra di manutenzione e una connessione alternativa con il provider.

Questo caso mostra una differenza importante: un modulo può eventualmente stabilire un link e tuttavia non rappresentare una combinazione testata e supportata.