Configurare e testare Wireless Mesh su Sophos Firewall

Wireless Mesh su Sophos Firewall collega in modalità wireless uno o più Sophos Access Point APX a un AP root cablato. Può coprire una zona senza segnale quando nella posizione remota non è disponibile un cablaggio Ethernet. Il backhaul mesh non è l’SSID WLAN visibile: SFOS crea una rete WPA2-Personal nascosta con una passphrase casuale. I client continuano a utilizzare un Wireless Network configurato separatamente.

⚠️ Importante: Questa guida vale per installazioni APX esistenti gestite direttamente da SFOS. APX può formare una mesh solo con APX. AP6, LocalWiFi integrato, moduli Wi-Fi SD-RED e serie di AP Sophos miste non rientrano in questa procedura. Una mesh non sostituisce inoltre la ridondanza cablata: almeno un AP rimane collegato alla LAN e SFOS non esegue un cambio automatico del root se l’AP root si guasta.

Procedura rapida:

1. Collegare inizialmente entrambi gli APX alla LAN, accettarli in Wireless > Access points e controllare firmware, Country e pianificazione radio.
2. Impostare lo stesso canale fisso su tutti gli AP coinvolti per la banda mesh e disattivare Dyn chan.
3. Configurare Mesh-ID, Frequency band e APX in Wireless > Mesh networks > Add.
4. Assegnare separatamente l’SSID client visibile a entrambi gli APX.
5. Salvare, riavviare gli APX, lasciare cablato solo l’AP root e attendere fino a cinque minuti.
6. Verificare in modo controllato stato AP, connessione client, DHCP, Rule ID, accesso Internet e guasto del percorso root.

Quando è adatta una mesh APX

Una mesh è adatta a un’installazione APX esistente quando un access point remoto non dispone di Ethernet e il collegamento radio verso l’AP root è sufficientemente stabile. Esempi tipici sono una piccola area di magazzino, una sala riunioni o una zona temporanea che verrà cablata in seguito.

Un uplink Ethernet rimane la base tecnica migliore per capacità elevata e continua, latenza stabile e failover prevedibile. Il backhaul mesh condivide il tempo radio con le altre trasmissioni. Occorre quindi misurare le prestazioni reali con i client e le applicazioni previsti, senza dedurre la capacità utile dallo stato del link.

Per le nuove installazioni conta anche il limite di prodotto: APX è End-of-Sale e raggiungerà l’End-of-Life il 31 dicembre 2027. Il ciclo di vita APX e AP6 come successore va quindi incluso nella pianificazione a medio termine. AP6 non è gestito tramite SFOS.

Comprendere backhaul mesh, SSID client e ruoli

Questi componenti hanno funzioni diverse:

• Mesh network: backhaul radio nascosto tra gli APX. Il Mesh-ID identifica il gruppo; SFOS gestisce la passphrase WPA2 casuale.
• AP root: APX con collegamento Ethernet esistente al firewall. Con APX questo ruolo deriva automaticamente dal cablaggio.
• AP mesh: APX senza uplink Ethernet che raggiunge l’AP root via radio.
• Wireless Network: SSID client visibile con Security mode, Client traffic, DHCP e regole. La base completa è descritta in Configurare la WLAN direttamente su Sophos Firewall.

Nelle vecchie serie di AP Sophos, i ruoli root e mesh devono essere assegnati esplicitamente. Questo articolo usa solo APX e quindi non trasferisce quella vecchia schermata dei ruoli nei passaggi dell’esempio.

Repeater o wireless bridge

In modalità repeater, l’AP mesh trasmette l’SSID client assegnato nella posizione remota. Gli endpoint si collegano via Wi-Fi e l’AP trasporta i dati all’AP root attraverso il backhaul mesh.

Con un wireless bridge si collega inoltre un segmento Ethernet alla porta di rete dell’AP mesh. Questo design estende Layer 2 e può creare loop se esiste contemporaneamente un secondo percorso cablato. Va quindi realizzato in una finestra di manutenzione con un percorso di ripristino documentato. STP deve essere coerente con l’intero design di switch e bridge; non va disattivato solo perché blocca un percorso.

Per la maggior parte delle piccole estensioni la modalità repeater è più chiara. Un bridge va usato solo quando il segmento Ethernet remoto è davvero necessario e ne sono compresi broadcast, VLAN e rischio di loop.

Verificare i limiti prima della configurazione

Una mesh APX ha limiti di prodotto chiari:

• Tutti gli access point coinvolti devono appartenere alla serie APX.
• Si può utilizzare una sola rete mesh per AP.
• Almeno un APX deve rimanere collegato al firewall tramite LAN.
• Tutti gli AP mesh usano lo stesso canale sulla banda mesh.
• Dynamic Channel Selection, ossia Dyn chan, non deve essere attivo su questa banda, perché dopo un riavvio gli AP potrebbero usare canali differenti.
• Con APX non si possono configurare entrambe le radio a 5 GHz quando si usa la mesh.
• Gli AP con VLAN assegnata possono formare una mesh solo se le VLAN non usano la modalità Client traffic Bridge to VLAN.
• Una seconda rete mesh sullo stesso AP non funziona.
• Il guasto dell’AP root non viene rilevato automaticamente e senza interruzioni da un altro AP mesh.

La guida Sophos attuale indica 2.4 GHz per il backhaul mesh e 5 GHz per gli SSID client come possibile punto di partenza. Non è una best practice universale. Distanza, pareti, interferenze, canali disponibili, Country normativo e capacità richiesta determinano il design reale.

Pianificare la topologia di esempio

L’esempio utilizza questi nomi:

• Firewall: fw01
• APX cablato: ap-office-root
• APX wireless: ap-warehouse-mesh
• Mesh-ID: OfficeMesh
• Wireless Network visibile: Company WiFi
• Banda mesh: 2.4 GHz
• Canale mesh: un canale fisso verificato sul posto

OfficeMesh è un esempio di documentazione e va sostituito con un nome breve e univoco dell’installazione. Il Mesh-ID non va confuso con l’SSID visibile. Nell’esempio Company WiFi è già disponibile con Client traffic, DHCP, regole firewall e NAT adeguati.

Prima della modifica si preparano un backup aggiornato della configurazione, un accesso di gestione cablato e un piano di rollback. Entrambi gli APX ricevono PoE e, per la configurazione iniziale, vengono testati entro la portata delle posizioni definitive. L’AP root deve rimanere raggiungibile tramite Ethernet.

Preparare access point e canale radio

Effettuare prima il provisioning di entrambi gli APX via LAN

1. Collegare ap-office-root e ap-warehouse-mesh via Ethernet alla rete di gestione prevista.
2. In Wireless > Wireless settings, verificare che Wireless Protection sia attivo e la zona di gestione sia consentita in Allowed zone.
3. In Wireless > Access points, accettare entrambi gli APX pending con Accept.
4. Impostare il Country corretto per entrambi gli APX. Dopo una modifica di Country, salvare e riavviare gli APX in modo controllato per aggiornare l’elenco dei canali.
5. Verificare che entrambi gli APX siano attivi e abbiano ricevuto la configurazione corrente.

Il cablaggio iniziale non è una comodità facoltativa. Un APX che non ha ricevuto la configurazione mesh non può essere aggiunto successivamente al gruppo solo via radio.

Prima del rollout va pianificata anche la versione firmware APX tramite i Pattern Update di Sophos Firewall. Un aggiornamento firmware e il passaggio alla mesh non devono avvenire contemporaneamente senza controllo.

Impostare un canale fisso comune

1. In Wireless > Access points, aprire il primo APX.
2. In Advanced settings, impostare per la banda mesh scelta un canale fisso verificato localmente.
3. Disattivare Dyn chan per questa banda.
4. Applicare la stessa impostazione al secondo APX.
5. Se possibile, collocare gli AP vicini non appartenenti alla mesh su un altro canale con poche interferenze.

Un canale non viene scelto solo perché funziona bene nell’esempio. La scelta dipende da scansione locale, requisiti Country e occupazione dei canali vicini. Dopo ogni modifica, entrambi gli AP mesh devono mostrare di nuovo lo stesso valore.

Creare Wireless Mesh in SFOS

Creare la rete mesh

1. Aprire Wireless > Mesh networks.
2. Selezionare Add.
3. Inserire OfficeMesh come Mesh-ID.
4. In Frequency band, scegliere la banda comune pianificata, nell’esempio 2.4 GHz.
5. Aggiungere ap-office-root e ap-warehouse-mesh.
6. Salvare.

Con APX non occorre assegnare manualmente un ruolo. Finché entrambi gli APX sono cablati, ricevono prima la configurazione. Dopo la successiva disconnessione di ap-warehouse-mesh, ap-office-root rimane l’AP root grazie al collegamento Ethernet.

Assegnare l’SSID client visibile

La rete mesh non è visibile agli endpoint. In Wireless > Access points, o tramite un Access Point Group adeguato, occorre quindi assegnare anche Company WiFi a entrambi gli APX.

L’SSID client mantiene il proprio Security mode e Client traffic. Con Separate zone devono essere corretti soprattutto Wireless interface, DHCP, regola firewall, NAT e Device Access. Una mesh funzionante non corregge una regola WLAN mancante o un percorso DHCP errato.

Spostare l’AP mesh nella posizione prevista

1. Verificare che configurazione e SSID client visibile siano arrivati su entrambi gli APX.
2. Riavviare entrambi gli APX in modo controllato.
3. Rimuovere il cavo Ethernet solo da ap-warehouse-mesh.
4. Lasciare cablato ap-office-root.
5. Posizionare l’AP mesh nel punto previsto e accenderlo.
6. Attendere fino a cinque minuti prima di considerare fallita la connessione.

Nel normale funzionamento mesh rimane collegato alla LAN un solo APX. Se per errore anche il secondo APX viene collegato alla stessa rete Layer 2, controllare il design per eventuali loop e l’effetto di STP.

Validare Wireless Mesh in modo controllato

La validazione combina stato del controller, percorso radio e traffico reale:

1. In Wireless > Access points, entrambi gli APX devono essere attivi. ap-office-root rimane cablato; ap-warehouse-mesh è raggiungibile senza Ethernet.
2. Controllare assegnazione mesh e canale identico su entrambi gli APX.
3. Collegare a Company WiFi un client di prova vicino a ap-warehouse-mesh.
4. In Wireless > Wireless client list, verificare che il client sia associato all’AP mesh previsto.
5. Confrontare indirizzo IP, gateway e DNS del client con il Wireless Network pianificato.
6. Provare una destinazione consentita e una deliberatamente bloccata.
7. In Log Viewer, filtrare per IP client e controllare Firewall Rule ID e NAT Rule ID previste.
8. Eseguire un test realistico di throughput e latenza e confrontarlo con un client sull’AP root.

Lo stato verde dell’AP non conferma ancora l’intero percorso dati. Il test ha successo quando il client usa AP, indirizzo e regole previsti e le prestazioni sono sufficienti per l’applicazione. La procedura generale è descritta in Testare correttamente le regole firewall.

Testare consapevolmente il limite di guasto

L’AP root è una dipendenza nota. In una finestra di manutenzione si può scollegare brevemente il suo uplink e documentare per quanto tempo si interrompe l’accesso dei client. SFOS non garantisce un cambio automatico del root. Per stabilire un nuovo ruolo può essere necessario riavviare e cablare un AP mesh.

Questo test non giustifica lo spegnimento non pianificato di un AP root produttivo. Per aree critiche occorre usare un uplink AP cablato o pianificare un’altra architettura WLAN.

Individuare gli errori in base al sintomo

L’AP mesh non appare o rimane offline

Dopo la configurazione attendere fino a cinque minuti. Se l’AP rimane offline, verificare prima che fosse attivo durante il provisioning iniziale via LAN e abbia ricevuto la configurazione mesh. Controllare poi serie APX, assegnazione mesh, banda, canale comune, Dyn chan, Country e alimentazione.

L’AP root deve rimanere cablato. Se entrambi gli AP sono wireless o è stato scollegato da Ethernet l’AP sbagliato, manca il percorso verso il firewall. Dopo la correzione, riavviare gli APX in modo controllato e attendere di nuovo.

L’SSID client non è visibile

Il Mesh-ID non viene intenzionalmente trasmesso come SSID client. In Wireless > Access points occorre assegnare all’AP mesh anche un Wireless Network visibile. Se è configurato solo OfficeMesh, gli endpoint non hanno una rete visibile.

Controllare inoltre Frequency band, pianificazione, Security mode e assegnazione AP dell’SSID client. Una seconda rete mesh sullo stesso AP non è una soluzione, perché è supportata una sola mesh per AP.

Il client si collega ma non riceve un indirizzo IP

Il percorso radio funziona già almeno in parte. Controllare poi Client traffic, Wireless interface, server DHCP o DHCP relay ed eventuali percorsi VLAN. Con Bridge to VLAN va considerato anche il limite del prodotto mesh: gli AP con VLAN assegnate possono formare una mesh solo se le VLAN non usano questa modalità Client traffic.

Il riavvio del servizio wireless non è un passaggio standard. Occorre prima stabilire a quale AP è collegato il client e se le richieste DHCP raggiungono il percorso previsto.

Il client ha un indirizzo IP ma non accede a Internet

In Log Viewer cercare prima Firewall Rule ID e NAT Rule ID previste. Se mancano entrambe, il problema riguarda più probabilmente zona, oggetto di rete, ordine delle regole o percorso dati che la mesh stessa. Se le regole corrispondono, controllare poi DNS, gateway e percorso WAN.

Una regola Any ampia non è una diagnosi mesh. Eseguire lo stesso test client una volta sull’AP root e una sull’AP mesh. Se funziona solo sul root, approfondire il backhaul; se fallisce su entrambi, l’errore appartiene probabilmente alla configurazione WLAN o firewall comune.

La connessione è instabile o lenta

Controllare lo stesso canale su tutti gli AP mesh, Dyn chan disattivato, qualità del segnale, interferenze, distanza e pareti. Gli AP estranei alla mesh non dovrebbero occupare inutilmente lo stesso canale. Deve inoltre rimanere capacità radio sufficiente per backhaul e client.

Confrontare le prestazioni con la stessa applicazione, lo stesso client e condizioni il più possibile simili sull’AP root e sull’AP mesh. In questo modo si separa il percorso mesh da un problema generale WAN, DNS o client.

Lo stato di controller o client rimane poco chiaro

I log dei servizi di Sophos Firewall aiutano nella diagnosi locale del nodo. In Advanced Shell sono utili questi controlli in sola lettura:

tail -n 200 /log/awed.log
tail -n 200 /log/wc_remote.log

awed.log mostra la comunicazione tra controller e APX; wc_remote.log aiuta con i client wireless. Una singola voce di log non dimostra il percorso del traffico. Occorre correlare timestamp, stato AP, elenco client, log firewall e un test riproducibile. I LED e codici di lampeggio dei Sophos Access Point aiutano inoltre a classificare gli stati di avvio, aggiornamento e mesh sul dispositivo.

Ripristinare la configurazione in sicurezza

Il rollback avviene in modo controllato finché funziona l’accesso di gestione cablato:

1. Documentare quale APX è root e quale è l’AP mesh.
2. Ricollegare l’AP mesh via LAN alla rete di gestione e attendere che sia attivo.
3. Se necessario, spostare l’SSID client visibile su un AP cablato rimanente.
4. Rimuovere la rete mesh dagli APX oppure eliminarla in Wireless > Mesh networks.
5. Ripristinare le precedenti impostazioni di canale e Dyn chan solo consapevolmente.
6. Riavviare entrambi gli APX in modo controllato.
7. Ricontrollare IP client, DNS, regole e accesso Internet.

Un reset di fabbrica è utile solo se l’APX non accetta più una configurazione gestita nonostante cablaggio, alimentazione e percorso controller corretti. Non sostituisce un rollback documentato.

Checklist operativa

• Tutti i dispositivi coinvolti sono APX compatibili e sono stati prima sottoposti a provisioning via LAN.
• A ogni AP è assegnata esattamente una rete mesh.
• Un APX rimane permanentemente cablato come root.
• Banda mesh e canale fisso coincidono su tutti gli APX coinvolti.
• Dyn chan è disattivato sulla banda mesh.
• L’SSID client visibile è assegnato separatamente.
• Sono stati verificati DHCP, Firewall Rule ID, NAT Rule ID e una destinazione bloccata.
• Prestazioni e stabilità sono state confrontate su AP root e AP mesh.
• Guasto del root, assenza di takeover automatico e rollback sono documentati.
• End-of-Life APX e successivo cambio di piattaforma WLAN sono pianificati.

FAQ