Scegliere e verificare SFP e SFP+ su Sophos Firewall

Se una porta SFP resta su Unplugged, il link si attiva e disattiva o non raggiunge la velocità prevista, la causa si trova in genere prima della regola firewall: tipo di porta, transceiver, fibra, apparato remoto o negoziazione del link non corrispondono.

La verifica più rapida segue questo ordine:

1. Identificare il modello dell’appliance e la porta hardware: SFP, SFP+, QSFP o Flexi Port.
2. Verificare la velocità supportata e la compatibilità del transceiver per quella specifica porta.
3. Confrontare transceiver, fibra o DAC e modulo dell’apparato remoto.
4. In Network > Interfaces, controllare Link Mode, Auto-Negotiation e FEC.
5. Leggere link e modulo con ethtool.
6. Sostituire singolarmente fibra, modulo e porta remota con componenti sicuramente funzionanti.
7. Esaminare VLAN, LAG, configurazione IP, routing e regole firewall solo quando il link fisico è stabile.

Scegliere una porta e un transceiver compatibili

Distinguere SFP, SFP+ e Dual Rate

SFP indica normalmente 1 GbE, mentre SFP+ indica 10 GbE. Il segno più è quindi importante: un modulo SFP+ 10G non funziona in una porta SFP limitata a 1G. Viceversa, non tutte le porte SFP+ supportano automaticamente moduli SFP da 1 Gbps.

Alcune porte SFP+ o alcuni moduli Flexi Port sono Dual Rate e supportano 1 e 10 GbE. Questa capacità va considerata valida per una porta specifica solo se confermata dal manuale del modello o dalla matrice di compatibilità. Le appliance più grandi possono inoltre disporre di porte QSFP, QSFP+ o breakout; anche in questo caso modalità della porta, modulo e velocità devono corrispondere.

La matrice aggiornata di modelli e transceiver è disponibile in Sophos Firewall Config Studio sotto Backup-restore compatibility. Prima di acquistare o modificare l’hardware, verificare qui appliance, modulo Flexi Port, standard della porta e transceiver. Questa vista è preferibile a un elenco statico nell’articolo perché i modelli e i moduli supportati possono cambiare.

Un transceiver di terze parti non presente nell’elenco può funzionare tecnicamente, ma ciò non significa che sia stato testato o sia supportato da Sophos. Non esiste un comando CLI generico che abiliti un SFP incompatibile. Per gli uplink di produzione è quindi opportuno usare un modulo verificato e avere a disposizione un ricambio sicuramente funzionante.

Confrontare percorso ottico e apparato remoto

Per i collegamenti in fibra, entrambe le estremità devono usare lo stesso standard di trasmissione. Prima di inserire il modulo, verificare:

• singlemode o multimode
• velocità e standard, ad esempio 1G-SX/LX o 10G-SR/LR
• lunghezza d’onda e distanza supportata
• connettore e patch in fibra adatta
• polarità TX/RX corretta nei collegamenti a due fibre
• coppia di lunghezze d’onda corrispondente nei moduli BiDi
• modulo compatibile e parametri della porta coordinati sull’apparato remoto

Come orientamento generale, SX e SR indicano solitamente collegamenti multimode brevi, mentre LX e LR indicano solitamente collegamenti singlemode più lunghi. Restano determinanti le specifiche del transceiver e dell’apparato remoto effettivamente utilizzati.

Un tipico esempio a 10 Gbps per un collegamento breve usa transceiver 10G-SR compatibili a entrambe le estremità e una fibra multimode adatta alla distanza. Un modulo 10G-LR a un’estremità e un modulo 10G-SR all’altra non sono compatibili, nonostante usino la stessa velocità.

Con DAC o AOC devono essere supportati tipo e lunghezza del cavo, standard della porta ed entrambi i dispositivi. Un cavo meccanicamente compatibile non garantisce il link.

⚠️ Sicurezza laser: Non guardare mai direttamente dentro un transceiver acceso o un’estremità aperta della fibra. Rimuovere i cappucci protettivi solo al momento del collegamento e pulire i connettori sporchi con strumenti adatti alla fibra ottica.

Configurare la porta in SFOS

Modificare l’interfaccia fisica in Network > Interfaces e aprire Advanced settings > Port settings. A seconda dell’appliance, vengono visualizzate le opzioni seguenti:

• Link mode: velocità e duplex
• Auto-negotiation for media type: negoziazione automatica con l’apparato remoto
• Forward Error Correction (FEC): correzione degli errori per le porte veloci supportate
• Show recommended settings: mostrare i valori consigliati per la modalità della porta selezionata
• Load recommended configuration: applicare questi valori

Velocità, duplex, Auto-Negotiation e FEC devono essere compatibili alle due estremità. Una mancata corrispondenza può causare interruzioni del link, errori, latenza o prestazioni scarse. Per le porte da 25, 50 e 100 Gbps, salvare prima Link Mode, riaprire l’interfaccia e quindi caricare la configurazione consigliata.

Nei moduli Flexi Port di XGS 2100, 2300, 3100 e 3300, tutte le porte SFP+ dello stesso modulo devono essere configurate con la stessa velocità. Questa limitazione non vale in generale per tutte le porte SFP+ fisse o per tutti i modelli XGS.

⚠️ Una modifica dell’uplink può interrompere immediatamente il link e quindi l’accesso a WebAdmin. Per collegamenti WAN, core o HA di produzione sono necessari una finestra di manutenzione, un accesso amministrativo alternativo e i valori precedenti come percorso di rollback.

Dopo il salvataggio, controllare nome hardware e stato in Network > Interfaces. Connected conferma il link fisico, ma non una configurazione corretta di VLAN, LAG, IP o policy. Pianificare correttamente zone e interfacce Sophos Firewall spiega l’interazione tra interfacce, zone e regole.

Leggere link e modulo tramite CLI

Identificare il nome hardware

I comandi seguenti richiedono il nome hardware, non il nome visualizzato assegnato liberamente. È riportato in Network > Interfaces e può essere, ad esempio, PortF1, PortA1 o Port1.

In alternativa, la Device Console mostra le interfacce:

show network interfaces

Per utilizzare ethtool, passare a Device Management > Advanced Shell. Le console e l’accesso SSH sono spiegati in Gestire Sophos Firewall tramite SSH.

Verificare link, velocità e negoziazione

Esempio per PortF1:

ethtool PortF1

Il comando non modifica nulla. Un output abbreviato può apparire così:

Speed: 10000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes

In questo esempio è presente un link fisico a 10 Gbps con Full Duplex. Ciò non conferma ancora che VLAN, configurazione IP, routing e regole firewall siano corretti. I valori più rilevanti sono:

• Link detected: yes per un link fisico rilevato
• la velocità prevista, ad esempio Speed: 10000Mb/s
• Duplex: Full
• le modalità link supportate e attualmente utilizzate
• lo stato di Auto-Negotiation

Questi valori sono indicatori e devono corrispondere all’apparato remoto. Link detected: yes non prova ancora il corretto funzionamento del percorso dati. Viceversa, Speed: Unknown! non dimostra da solo che un transceiver sia guasto, perché driver e tipo di porta possono influire sull’output.

Se un’interfaccia XGS 10G fisica o basata su LAG resta down con Auto-negotiation, Configurare e testare un LAG con LACP descrive il problema NC-94073, ancora presente nell’elenco, e il workaround ufficiale con impostazione manuale a 10 Gbps.

Leggere i dati del transceiver e i valori ottici

Se modulo e driver lo supportano, è possibile leggere l’EEPROM del modulo in questo modo:

ethtool -m PortF1

L’output può mostrare, tra l’altro:

• identificatore e connettore
• tipo di transceiver e lunghezza d’onda
• lunghezza prevista della fibra
• produttore, Part Number e numero di serie
• temperatura e tensione
• potenza ottica trasmessa e ricevuta
• soglie di allarme e warning

Valutare la potenza RX e TX solo rispetto ai limiti indicati dal modulo specifico o dalla relativa scheda tecnica. Limiti generici in dBm sarebbero errati perché standard, distanza e ottica variano.

Non tutti i moduli forniscono Digital Diagnostic Monitoring. Un output vuoto o Operation not supported significa quindi soltanto che i dati EEPROM o diagnostici non sono disponibili tramite questo driver. Non dimostra un guasto. Viceversa, dati del modulo leggibili non dimostrano la stabilità del link.

L’output può contenere produttore e numero di serie. Prima di pubblicare uno screenshot o allegarlo a un ticket, oscurare i dati del dispositivo non necessari.

Cercare oscillazioni del link nel buffer del kernel

Per brevi interruzioni è utile una ricerca in sola lettura nell’Advanced Shell:

dmesg | grep PortF1

Messaggi ripetuti di link-up e link-down sono compatibili con problemi di fibra, modulo, apparato remoto o negoziazione. dmesg contiene solo il buffer attuale del kernel e non sostituisce il monitoraggio a lungo termine.

Varianti che modificano lo stato o interrompono il servizio, come ethtool -s, ethtool -r o le modifiche dell’EEPROM, non rientrano nella normale diagnostica. Possono modificare il link, l’accesso amministrativo o lo stato del modulo.

Isolare un link assente o instabile

Proseguire l’analisi dei risultati nel modo seguente:

• L’interfaccia resta su Unplugged: Controllare tipo di porta, velocità supportata, compatibilità del modulo, corretto inserimento del transceiver, fibra, polarità TX/RX e porta remota.
• I dati del modulo sono leggibili, ma il link resta down: Verificare che entrambe le estremità usino lo stesso standard e la stessa velocità; confrontare Auto-Negotiation e FEC. Sostituire quindi singolarmente fibra e moduli con componenti sicuramente funzionanti.
• Il link si attiva solo sporadicamente: Pulire i connettori, verificare raggio di curvatura e temperatura, confrontare i valori RX/TX con i limiti del modulo e cercare oscillazioni in dmesg.
• Il link è up, ma lento o soggetto a errori: Controllare velocità e duplex negoziati, contatori dello switch, valori ottici e FEC. Valutare le prestazioni con un secondo dispositivo prima di considerare il firewall come causa.
• Il link è stabile, ma non passa traffico: Controllare ora VLAN tagging, LAG, zona, indirizzo IP, gateway, routing e regole firewall. Per le VLAN, consultare Configurare e testare una VLAN su Sophos Firewall.

Sostituire sempre un solo componente alla volta e documentare il risultato. In questo modo resta chiaro se la causa era il modulo, la fibra, la porta del firewall o l’apparato remoto.

Se un modulo compatibile e una fibra sicuramente funzionante non producono comunque un link stabile su una porta configurata correttamente, raccogliere output, timestamp, versione SFOS, modello dell’appliance e Part Number utilizzati. Verificare un difetto hardware su un’appliance Sophos descrive il successivo processo di supporto e RMA.

GBIC Swisscom XGS-PON su XGS Rev. 2

L’elenco Sophos Known Issues attuale riporta in NC-168210 un caso specifico per la Svizzera in SFOS 21.5 GA Build 171: il modulo Swisscom ALL-BM410-XGSPON-GBIC non è supportato nelle porte SFP da 1 Gbps delle appliance XGS Rev. 2.

Sophos indica una porta SFP+ da 10 Gbps come possibile alternativa, ma precisa anche che il modulo non è stato testato internamente in quella porta. Il funzionamento non è quindi garantito. Per un collegamento di produzione, il piano deve includere la compatibilità confermata della porta, una finestra di manutenzione e una connessione alternativa con il provider.

Questo caso mostra una differenza importante: un modulo può eventualmente stabilire un link e tuttavia non rappresentare una combinazione testata e supportata.