Configurare una VLAN su Sophos Firewall e uno switch UniFi

Le VLAN separano logicamente le reti anche quando utilizzano gli stessi switch e cavi. In questa architettura, Sophos Firewall gestisce il routing, le regole firewall, DHCP e le policy di sicurezza. Lo switch UniFi trasporta le VLAN con tag 802.1Q verso access point, client, server o switch a valle.

L’articolo illustra un esempio IPv4 completo con Sophos Firewall come gateway di terze parti. Oltre ai percorsi dei menu, affronta i punti in cui questi progetti falliscono più spesso: parent interface errata, confusione tra VLAN native e tagged, oggetto di rete mancante, regola NAT non adatta oppure porta AP la cui VLAN nativa entra in conflitto con la VLAN dei client Wi-Fi.

Architettura di destinazione e valori di esempio

L’esempio utilizza sempre i valori seguenti:

Nome VLAN: Clients.
ID VLAN: 100.
Sottorete: 10.100.0.0/24.
Gateway su Sophos Firewall: 10.100.0.1.
Zona su Sophos Firewall: Client o LAN.
Oggetto di rete: NET_Clients_VLAN100.
Intervallo DHCP: da 10.100.0.50 a 10.100.0.200.
Regola firewall: Clients_to_WAN.
Uplink UniFi verso il firewall: consentire la VLAN 100 tagged.
Porta client sullo switch: usare la VLAN 100 come VLAN nativa.

L’ID VLAN 100 e la rete privata 10.100.0.0/24 sono valori di esempio. Nell’ambiente reale servono un ID VLAN non ancora utilizzato e una sottorete senza sovrapposizioni. In questo design, l’indirizzo gateway si trova su Sophos Firewall; i client inviano il traffico alla firewall, dove viene controllato tramite regole, NAT, Web Protection, IPS o altre policy.

Se prima occorre chiarire la pianificazione di base di interfacce e zone, è utile Configurare zone e interfacce su Sophos Firewall. Questa guida presuppone che la nuova VLAN sia stata pianificata consapevolmente come rete client, guest, server o di management.

Configurare la VLAN in un ordine sicuro

Per gli amministratori esperti, questo è il flusso compatto:

Eseguire il backup delle configurazioni Sophos e UniFi e definire una porta di test e un accesso di management alternativo.
Creare l’interfaccia VLAN sulla parent interface Sophos corretta.
Preparare l’oggetto di rete, DHCP o DHCP relay e il percorso DNS.
Creare le regole firewall e verificare quale regola SNAT o MASQ traduce il traffico Internet.
Creare in UniFi una rete virtuale con Third-party Gateway e lo stesso ID VLAN.
Configurare uplink, porta client, porta AP o uplink a valle con le VLAN native e tagged appropriate in UniFi Port Manager.
Eseguire test positivi e negativi con un client reale; verificare in Log Viewer il Firewall Rule ID previsto e, per il traffico WAN, il NAT Rule ID.

⚠️ Prima di modificare la VLAN nativa di un uplink, deve essere disponibile un percorso di management alternativo. Una VLAN nativa errata o una VLAN tagged mancante può rendere switch, access point o firewall irraggiungibili dalla rete di management.

Decisioni preliminari

Prima della configurazione, definire questi punti:

Quale ID VLAN ancora libero verrà utilizzato?
Quale sottorete IP senza sovrapposizioni verrà assegnata alla VLAN?
Sophos Firewall fornirà DHCP o serve DHCP relay?
In quale zona Sophos verrà inserita la VLAN?
Quali porte UniFi trasporteranno la VLAN tagged?
Quali porte la consegneranno untagged ai normali dispositivi finali?
Quale VLAN nativa richiedono uplink e access point per il traffico di management?
La VLAN può accedere solo a Internet o anche a determinati server interni?
Quali servizi locali del firewall possono essere raggiunti da questa zona?
Come si raggiungono switch e firewall se la nuova configurazione della porta non funziona?

⚠️ Una VLAN separa soltanto il Layer 2. Sophos Firewall decide tramite routing e regole firewall se il traffico tra VLAN è consentito. NAT modifica gli indirizzi e non sostituisce la pianificazione delle regole.

Creare la VLAN su Sophos Firewall

Con un gateway di terze parti, Ubiquiti consiglia di preparare prima sottorete, ID VLAN e DHCP sul gateway. Su Sophos Firewall si inizia dall’interfaccia VLAN.

Percorso del menu:

Network > Interfaces > Add interface > Add VLAN

Procedura:

Assegnare un nome, ad esempio Clients VLAN 100.
Come Interface, selezionare la porta fisica, l’interfaccia RED, il bridge o il LAG su cui arriva tagged la VLAN 100.
Selezionare una zona, ad esempio la zona personalizzata Client o la zona esistente LAN.
Inserire 100 in VLAN ID.
In IPv4 configuration, selezionare Static per questo esempio.
Impostare l’indirizzo IP su 10.100.0.1/24.
Salvare l’interfaccia.

Selezione Add VLAN interface su Sophos Firewall — La VLAN viene creata sulla parent interface su cui lo switch UniFi invia la VLAN tagged al firewall.

Interfaccia VLAN Sophos Firewall con ID VLAN e configurazione IPv4 — ID VLAN, zona e indirizzo IP devono corrispondere al design dello switch e della sottorete.

La parent interface non è un valore di esempio intercambiabile. Deve essere esattamente la porta Sophos, il bridge o il LAG collegato fisicamente all’uplink UniFi. Sophos supporta ID VLAN da 1 a 4094; lo stesso ID non può essere utilizzato più volte sulla stessa interfaccia fisica.

Creare un oggetto di rete per la VLAN

Un oggetto di rete dedicato rende leggibili le regole firewall e NAT e impedisce che la nuova VLAN venga autorizzata per errore tramite un oggetto troppo ampio.

Percorso del menu:

Hosts and services > IP host > Add

Per l’esempio utilizzare i valori seguenti:

Name: NET_Clients_VLAN100.
IP version: IPv4.
Type: Network.
IP address: 10.100.0.0.
Subnet: 255.255.255.0 oppure /24.

Il nome dell’oggetto è liberamente definibile, ma dovrebbe identificare chiaramente rete e scopo. Indirizzo e subnet mask devono corrispondere esattamente all’interfaccia VLAN; l’indirizzo gateway 10.100.0.1 non sostituisce l’oggetto di rete 10.100.0.0/24.

Configurare DHCP e DNS per la VLAN

I client che devono ricevere automaticamente un indirizzo richiedono un server DHCP o DHCP relay.

Percorso del menu:

Network > DHCP

Valori DHCP tipici:

Interface: Clients VLAN 100.
Range start: 10.100.0.50.
Range end: 10.100.0.200.
Gateway: 10.100.0.1.
DNS server: IP del firewall o server DNS interno.
Domain name: dominio di ricerca interno, se necessario.

L’intervallo lascia deliberatamente liberi gli indirizzi inferiori a .50 e superiori a .200 per l’infrastruttura o le assegnazioni fisse. In un ambiente esistente, adattare l’intervallo alle prenotazioni, ai server e al piano di indirizzamento locale.

Se Sophos Firewall viene utilizzato come resolver DNS per questa VLAN, DNS deve essere consentito anche per la zona corrispondente in Administration > Device access. Un server DNS interno richiede invece una regola firewall appropriata e un percorso di ritorno funzionante. Opzioni DHCP di Sophos Firewall (SFOS) spiega le opzioni DHCP speciali.

Preparare regole firewall e NAT

Un lease DHCP riuscito non dimostra che il percorso dati funzioni. Il traffico che attraversa il firewall richiede regole adatte.

Una regola Internet volutamente semplice può iniziare così:

Rule name: Clients_to_WAN.
Source zones: Client o LAN.
Source networks and devices: NET_Clients_VLAN100.
Destination zones: WAN.
Destination networks: Any.
Services: i servizi realmente necessari, ad esempio HTTP, HTTPS, DNS e NTP.
Log firewall traffic: attivato.

Se i client utilizzano il firewall stesso come resolver DNS, il traffico DNS verso quell’indirizzo locale del firewall riguarda Device Access. Se si utilizza un server DNS esterno, il servizio DNS deve invece essere consentito dalla regola firewall e dal percorso NAT applicabili.

Per l’accesso ai server interni, creare regole separate e consentire solo le destinazioni e i servizi necessari. Una VLAN guest o IoT non dovrebbe avere accesso generale alle reti server o di management. Comprendere e configurare correttamente le regole di Sophos Firewall spiega ordine delle regole, zone, funzioni di sicurezza e logging.

Non dimenticare NAT e non crearlo due volte

Il traffico Internet proveniente da una VLAN privata richiede normalmente Source NAT, spesso MASQ verso l’indirizzo WAN. Una regola esistente come Default SNAT IPv4 copre spesso già le nuove reti interne, ma deve essere verificata in base ai criteri di corrispondenza e poi in Log Viewer. Aggiungere una seconda regola SNAT senza evidenze può modificare inutilmente un ordine di regole funzionante.

Il traffico tra VLAN interne con reti instradate univoche normalmente non richiede la traduzione degli indirizzi. Routing e regole firewall determinano tale percorso. I design con reti sovrapposte o peer particolari devono essere pianificati separatamente.

Durante il test, leggere insieme il Firewall Rule ID e, per il traffico WAN, il NAT Rule ID. Il Firewall Rule ID mostra la decisione di accesso, mentre il NAT Rule ID identifica la traduzione effettivamente utilizzata. Comprendere NAT su Sophos Firewall spiega l’intero ordine di elaborazione.

Creare la VLAN in UniFi Network

Dopo aver preparato la VLAN su Sophos Firewall, crearla in UniFi come rete virtuale con lo stesso ID VLAN.

Percorso del menu:

Settings > Networks

Procedura:

Aprire New Virtual Network o New Network.
Assegnare un nome, ad esempio Clients.
In Router, selezionare Third-party Gateway.
Inserire l’ID VLAN 100.
Non assegnare a questa rete funzioni UniFi di gateway o DHCP, perché sono gestite da Sophos Firewall.
Applicare le modifiche.

Impostazioni UniFi Network con reti esistenti — UniFi elenca la VLAN come rete virtuale; in questo design gateway, sottorete e DHCP rimangono su Sophos Firewall.

UniFi Network con una nuova VLAN e gateway di terze parti — Con un gateway di terze parti, l’ID VLAN deve corrispondere all’interfaccia Sophos preparata in precedenza.

Configurare le porte dello switch UniFi in Port Manager

Sophos Firewall e lo switch UniFi devono vedere lo stesso ID VLAN sullo stesso collegamento. Nelle versioni attuali di UniFi Network, l’assegnazione delle porte si trova qui:

Devices > [Switch] > Ports > Port Manager

Due campi determinano il percorso della VLAN:

Native VLAN / Network: riceve il traffico untagged su questa porta.
Tagged VLAN Management: definisce quali VLAN tagged possono attraversare la porta.

Allow All consente tutte le VLAN tagged note a UniFi. Block All trasforma la porta in una porta access che trasporta soltanto la VLAN nativa. Custom consente un insieme di VLAN selezionato consapevolmente ed è spesso la scelta più chiara per uplink e porte AP documentati.

Quattro ruoli tipici delle porte

Uplink verso Sophos Firewall: la VLAN nativa deve corrispondere al design esistente di management o uplink untagged. In Tagged VLAN Management, selezionare Custom con la VLAN 100 e tutte le altre VLAN realmente necessarie. Usare Allow All solo quando il collegamento deve trasportare intenzionalmente tutte le VLAN UniFi.
Porta client: selezionare Clients in Native VLAN / Network e impostare Tagged VLAN Management su Block All. Un client normale invia traffico untagged e viene quindi inserito nella VLAN 100.
Porta access point: mantenere la rete di management dell’AP come VLAN nativa. In Tagged VLAN Management, selezionare Custom e consentire la VLAN 100 per l’SSID corrispondente.
Uplink verso un altro switch: la VLAN nativa e tutte le VLAN tagged consentite in Custom devono corrispondere al design a valle. Se manca la VLAN 100, nessuna porta AP o client a valle può utilizzarla.

⚠️ Sulla porta AP, la VLAN client usata dall’SSID non deve essere configurata anche come VLAN nativa. Ubiquiti indica la VLAN 1 come eccezione; in questo esempio la VLAN 100 deve essere trasportata tagged, mentre la rete di management dell’AP resta nativa.

Errori frequenti sono una VLAN tagged mancante sull’uplink verso il firewall, una porta client con Custom invece di Block All, una porta AP senza la VLAN dell’SSID oppure ID VLAN diversi su Sophos e UniFi.

Pianificare le modifiche senza perdere l’accesso di management

Prestare particolare attenzione quando si modificano uplink o reti di management. Prima del cambiamento in produzione, includere queste protezioni nel processo:

Rete di management UniFi: la VLAN di management deve rimanere disponibile quando cambia la configurazione della porta.
Uplink verso Sophos Firewall: le modifiche a questa porta spesso interessano più VLAN contemporaneamente.
Accesso alternativo: le modifiche remote richiedono un percorso di ripristino verso switch e firewall.
Porta di test: le nuove assegnazioni possono essere validate su una porta riservata senza spostare i dispositivi di produzione.
Backup: le configurazioni Sophos e UniFi devono essere salvate nell’ultimo stato funzionante.

Consigliamo di validare la nuova VLAN prima con un singolo client di test. Estendere l’assegnazione delle porte ad altri access point, uplink di switch o porte client solo dopo che DHCP, gateway, DNS, Firewall Rule ID, NAT Rule ID e i blocchi previsti corrispondono al design.

Verificare Device Access

Device Access controlla i servizi locali del firewall stesso, non il traffico inoltrato. Questo è importante per le nuove VLAN:

Se i client utilizzano il firewall come resolver DNS, consentire DNS per la zona corrispondente.
Se il monitoraggio deve verificare il firewall, consentire Ping/Ping6 solo dove necessario.
Client normali, guest e dispositivi IoT non dovrebbero accedere a WebAdmin o SSH.
L’accesso di management appartiene a una rete amministrativa dedicata o a Local Service ACL Exception Rules restrittive.

Proteggere l’accesso a Sophos Firewall con Device Access spiega i passaggi dettagliati di hardening.

Testare e validare

Dopo la configurazione non testare soltanto l’accesso a Internet. Utilizzare un piano di test riproducibile:

Collegare il client di test alla porta UniFi prevista o all’SSID previsto.
Verificare che l’indirizzo sia compreso tra 10.100.0.50 e 10.100.0.200.
Controllare il default gateway 10.100.0.1 e il server DNS previsto.
Generare una connessione Internet consentita.
Testare una connessione interna consentita, se prevista dal design.
Testare l’accesso a una rete interna volutamente vietata; deve fallire e non deve corrispondere a una regola allow inattesa.
Nel Log Viewer Sophos, verificare la regola Clients_to_WAN, il Firewall Rule ID, il NAT Rule ID e l’Out interface per il traffico WAN.
Controllare l’Usage Counter della regola.
Per un SSID Wi-Fi, confermare inoltre che il management dell’AP resti raggiungibile mentre il client entra nella VLAN 100.

Se corrisponde un’altra regola, manca il NAT Rule ID o le interfacce non coincidono con il design, il test non è riuscito. Testare una regola Sophos Firewall con Log Viewer e Packet Capture mostra i passaggi diagnostici successivi.

Errori frequenti

La VLAN non è consentita tagged sull’uplink UniFi verso il firewall: i client non ricevono un indirizzo o non raggiungono il firewall.
La VLAN utilizza la parent interface Sophos errata: il firewall non vede il traffico sull’interfaccia VLAN prevista.
La porta client non è una porta access pulita: i client normali finiscono nella VLAN nativa errata o non ricevono alcun indirizzo.
La VLAN dell’SSID è anche la VLAN nativa sulla porta AP: i client Wi-Fi non riescono a connettersi correttamente.
Manca DHCP o il relay: il client non riceve un indirizzo oppure ripiega su APIPA.
L’oggetto di rete è errato: la regola non copre l’intera VLAN oppure corrisponde a un’altra rete.
Manca Device Access per DNS: il client raggiunge gli indirizzi IP, ma non risolve i nomi tramite il firewall.
La regola firewall manca o è nell’ordine errato: il client riceve un indirizzo, ma il traffico desiderato viene bloccato.
La regola NAT non corrisponde: le destinazioni interne funzionano, ma il traffico Internet lascia il firewall senza una traduzione adatta.
La regola allow è troppo ampia: l’accesso interno annulla di fatto la separazione VLAN prevista.
La VLAN nativa sull’uplink è errata: lo switch o l’access point scompare dalla rete di management.

Risoluzione dei problemi

Se la VLAN non funziona, verificare dal Layer 1 al Layer 7:

Cavo e link: la porta UniFi mostra un link alla velocità prevista?
Rete virtuale: la VLAN 100 esiste in UniFi con Third-party Gateway?
Uplink del firewall: la VLAN 100 è consentita in Tagged VLAN Management?
Porta client o AP: VLAN nativa, Block All o Custom e VLAN tagged consentite sono corretti?
Interfaccia Sophos: la VLAN è visibile e connessa in Network > Interfaces, sulla parent interface corretta?
DHCP: esiste un server DHCP o un relay per la VLAN e l’intervallo corrisponde alla sottorete?
Gateway e DNS: il client usa 10.100.0.1 e il server DNS previsto?
Device Access: DNS o Ping sono consentiti per la zona se questi servizi locali sono necessari?
Regola firewall: source zone, NET_Clients_VLAN100, destination zone e servizi corrispondono?
NAT: il test WAN mostra il NAT Rule ID previsto e un indirizzo sorgente tradotto?
Log Viewer: il traffico viene consentito, scartato o associato a un’altra regola?
Packet Capture: i pacchetti arrivano sull’interfaccia corretta e lasciano il firewall attraverso il percorso pianificato?

Se non arrivano pacchetti sulla parent interface Sophos, il problema si trova normalmente prima del firewall: cavo, porta UniFi, assegnazione native/tagged oppure uplink errato. Se i pacchetti arrivano ma non compare un Firewall Rule ID adatto, verificare prima il matching delle regole. Se regola e NAT sono corretti ma mancano le risposte, proseguire con routing, DNS e percorso di ritorno.

Lista di controllo

L’ID VLAN è identico su UniFi e Sophos.
La VLAN Sophos utilizza la parent interface, la zona e l’indirizzo gateway corretti.
L’oggetto di rete NET_Clients_VLAN100 rappresenta esattamente 10.100.0.0/24.
DHCP o DHCP relay è configurato con gateway e server DNS corretti.
La rete virtuale UniFi utilizza Third-party Gateway.
L’uplink del firewall consente la VLAN 100 tagged.
La porta client utilizza Clients come VLAN nativa e Block All per le VLAN tagged.
La porta AP usa la rete di management come VLAN nativa e la VLAN 100 in Custom.
Le regole firewall consentono solo destinazioni e servizi previsti e registrano i log.
Il traffico Internet corrisponde alla regola SNAT o MASQ prevista; i percorsi VLAN interni non vengono tradotti inutilmente.
Device Access consente soltanto i servizi locali necessari.
Test positivo, test negativo, Firewall Rule ID, NAT Rule ID e Packet Capture sono stati verificati.
Backup, porta di test e percorso di management alternativo restano disponibili fino al termine della validazione.

Domande frequenti

Ogni VLAN richiede una propria zona Sophos?

No. Più VLAN possono condividere la stessa zona se hanno lo stesso livello di fiducia, le stesse regole firewall e gli stessi requisiti di Device Access. Una zona separata è spesso più chiara se una VLAN ha autorizzazioni o un profilo di rischio diversi.

DHCP deve essere eseguito su Sophos Firewall?

No. DHCP può essere eseguito su un server interno o inoltrato tramite relay. L’importante è che i client ricevano un indirizzo IP, un gateway e una configurazione DNS adeguati e che il percorso DHCP funzioni attraverso la VLAN.

Perché Internet funziona ma i server interni no?

Di solito manca una regola firewall adatta tra le zone VLAN e server, la regola corrisponde a un altro oggetto di rete oppure il server interno non dispone di un percorso di ritorno. Per reti interne univoche, non aggiungere NAT a caso; verificare regola, rotta e percorso di ritorno.

Perché il client non riceve un indirizzo IP?

Le cause frequenti sono una VLAN tagged mancante sull’uplink, una VLAN nativa errata sulla porta client, la VLAN sulla parent interface Sophos sbagliata oppure un server DHCP o relay mancante.

Perché un client Wi-Fi non riesce a connettersi all’SSID?

La porta AP deve consentire tagged la VLAN client dell’SSID. In questo esempio non deve essere anche la VLAN nativa; la rete di management dell’AP resta nativa. Verificare quindi l’assegnazione dell’SSID, DHCP e il percorso verso Sophos Firewall.

Una VLAN guest dovrebbe usare DNS tramite Sophos Firewall?

Può essere utile se il firewall deve fornire o filtrare DNS per la VLAN guest. In tal caso, DNS deve essere consentito per la zona corrispondente in Device Access. In alternativa, un server DNS interno o esterno può essere distribuito tramite DHCP, autorizzando consapevolmente il relativo percorso firewall e NAT.