Configurare e testare una WLAN direttamente su Sophos Firewall

Una WLAN gestita direttamente da Sophos Firewall viene creata in Wireless > Wireless networks. Configurare soltanto l’SSID, tuttavia, non basta: la modalità di traffico scelta determina se i client ricevono una rete dedicata, entrano nella LAN dell’AP oppure vengono collegati in bridge a una VLAN. DHCP, regole firewall, NAT e assegnazione a un Access Point devono poi essere coerenti tra loro.

⚠️ Importante: Questa guida si applica soltanto all’hardware WLAN gestito direttamente da Sophos Firewall. Gli Access Point AP6 non possono essere gestiti tramite SFOS. Per più AP6, Sophos Central è la modalità di gestione prevista e consigliata; in alternativa, un singolo AP6 può essere configurato tramite la sua interfaccia locale. Oggi il Wireless gestito dal firewall è quindi rilevante soprattutto per le installazioni APX esistenti, il LocalWiFi integrato nei modelli desktop W e i moduli Wi-Fi supportati in Sophos Firewall o SD-RED.

Questa guida utilizza una WLAN per ospiti con Separate zone. È un esempio facile da comprendere perché consente di separare chiaramente dalla LAN interna la rete dei client, le regole e le destinazioni consentite.

Procedura rapida:

1. Preparare Wireless Protection e la zona dell’AP in Wireless > Wireless settings.
2. Accettare l’Access Point in Wireless > Access points.
3. Creare SSID, sicurezza e rete dei client in Wireless > Wireless networks.
4. Aggiungere DHCP, regola firewall e NAT in Network > DHCP e Rules and policies.
5. Assegnare la Wireless Network all’AP e verificare con un client di test IP, DNS, Rule ID e gli accessi interni non consentiti.

Questa guida è adatta all’Access Point?

SFOS 22 può gestire gli Access Point indoor della serie APX, la WLAN integrata di un firewall XGS compatibile e i moduli di espansione Wi-Fi compatibili in Sophos Firewall o SD-RED. Per gli APX esterni, sono supportati APX 120, APX 320, APX 530 e APX 740. Il modello outdoor APX 320X e la vecchia serie AP non vengono gestiti direttamente da un Sophos Firewall aggiornato.

AP6 non rientra in questa procedura. AP6 viene configurato tramite Sophos Central oppure, per un singolo dispositivo, mediante la sua interfaccia locale. Per la variante Central sono utili i requisiti di Sophos Central Wireless.

La funzione Wireless locale è inclusa nella Sophos Firewall Base License. Serve inoltre un Access Point compatibile. APX, tuttavia, è già End-of-Sale e raggiungerà l’End-of-Life il 31 dicembre 2027. Questa guida serve quindi soprattutto per gestire in sicurezza le installazioni APX esistenti; per una nuova piattaforma WLAN è opportuno considerare l’End-of-Life degli APX e AP6 come modello successivo oppure valutare altri sistemi WLAN attuali.

Scegliere la modalità Client traffic corretta

La scelta in Client traffic è più importante del nome dell’SSID. Determina se i client si trovano nello stesso segmento di rete locale a livello 2, chi assegna gli indirizzi IP e quale traffico attraversa effettivamente il firewall.

Separate zone

Separate zone crea un’interfaccia Wireless dedicata con un proprio indirizzo IP e un tunnel VXLAN tra Access Point e firewall. I client ricevono una sottorete dedicata. Gli accessi di ogni WLAN possono così essere gestiti con regole WiFi-to-WAN o WiFi-to-LAN mirate. L’articolo su zone e interfacce di Sophos Firewall spiega come interagiscono zona, interfaccia e oggetto di rete.

Questa modalità è adatta a ospiti, IoT e altre reti che devono essere separate dalla LAN interna. Anche un Hotspot con Captive Portal, password giornaliera o voucher richiede Separate zone.

VXLAN riduce la MTU utilizzabile. I pacchetti di grandi dimensioni possono quindi causare frammentazione o cali di prestazioni. Non si dovrebbe perciò modificare preventivamente la MTU impostando un valore generico. Occorre prima verificare se falliscono soltanto i trasferimenti di grandi dimensioni o se i pacchetti TCP vengono trasmessi ripetutamente, le cosiddette ritrasmissioni (Retransmits); la procedura controllata è descritta nell’articolo su come verificare MTU e MSS su Sophos Firewall.

Bridge to AP LAN

Bridge to AP LAN colloca i client WLAN nella stessa rete dell’Access Point. Un server DHCP già presente in questa LAN distribuisce gli indirizzi ai client. È una soluzione pratica, ma non crea un confine di rete dedicato per ospiti o dispositivi non sicuri.

Il percorso dei dati è determinante: la comunicazione nella stessa sottorete può avvenire direttamente tra client, AP e switch, escludendo completamente Sophos Firewall. Una regola firewall su SFOS può controllare soltanto il traffico effettivamente instradato attraverso il firewall.

Con LocalWiFi integrato, a seconda della generazione XGS possono essere necessarie anche un’interfaccia bridge oppure Bridge to Ethernet. Questa variante dovrebbe quindi essere scelta soltanto quando WLAN e LAN cablata devono appartenere consapevolmente allo stesso ambito di sicurezza.

Bridge to VLAN

Bridge to VLAN separa la rete di gestione dell’Access Point dalla VLAN dei client. La porta dello switch verso l’AP deve trasportare entrambe le reti come trunk. Nel profilo WLAN, Bridge to VLAN ID indica la VLAN dei client; con l’autenticazione Enterprise, l’ID della VLAN client può essere definito in modo statico oppure tramite RADIUS con un fallback statico.

Inizialmente l’AP dovrebbe rimanere collegato al firewall per almeno un minuto tramite la LAN predefinita senza tag, in modo da ricevere la configurazione. Successivamente si attiva VLAN tagging in Wireless > Access points > AP > Advanced settings e si inserisce la AP VLAN ID per la rete di gestione. Solo a questo punto si configura la porta dello switch come trunk. La VLAN di gestione dell’AP e la VLAN dei client possono utilizzare ID differenti. Sophos consiglia di non combinare Separate zone e WLAN basate su VLAN sullo stesso AP. Il tagging VLAN sul lato AP non è disponibile per LocalWiFi0 integrato.

Bridge to VLAN evita il percorso VXLAN ed è spesso più indicato per ambienti WLAN di maggiori dimensioni già segmentati correttamente. Anche in questo caso, il traffico all’interno della VLAN dei client non viene controllato automaticamente da SFOS.

Preparare la rete di esempio

L’esempio utilizza questi valori:

• Nome in SFOS: Guest WiFi
• Hardware name non modificabile: GuestWiFi
• SSID visibile: Company Guest
• Security mode: WPA2 Personal
• Client traffic: Separate zone
• Zona: WiFi
• Rete dei client: 10.30.40.0/24
• Interfaccia e gateway: 10.30.40.1
• Intervallo DHCP: da 10.30.40.100 a 10.30.40.220
• Regola firewall: WiFi_Guest_to_WAN

10.30.40.0/24 è un esempio tratto dallo spazio di indirizzamento privato. Prima di adottarlo, occorre scegliere una sottorete libera che non si sovrapponga a LAN, VPN, RED, VLAN o a una sede remota. Nell’esempio, il primo indirizzo utilizzabile 10.30.40.1 appartiene all’interfaccia Wireless del firewall e viene distribuito come gateway.

Per i dispositivi APX esistenti, WPA2 Personal con AES costituisce una base compatibile e sicura. Una passphrase lunga e univoca deve essere conservata nel password manager e non in ticket o screenshot. In SFOS 22 Sophos documenta le modalità WPA3 soltanto per la WLAN integrata dei modelli XGS 88w, 108w, 118w e 128w; WPA3 non dovrebbe quindi essere previsto per APX.

Configurare una WLAN gestita da SFOS

1. Consentire la connessione dell’Access Point

Con un APX esterno, la rete di gestione e la rete dei client WLAN sono due elementi distinti. L’AP riceve il proprio indirizzo di gestione tramite DHCP dalla rete a cui è collegato. I successivi client WLAN ricevono invece indirizzi dalla rete 10.30.40.0/24 pianificata in precedenza.

1. Aprire Wireless > Wireless settings.
2. Attivare Enable wireless protection.
3. In Allowed zone, scegliere la zona attraverso la quale l’AP raggiunge il firewall, ad esempio LAN.
4. Verificare che l’AP riceva tramite DHCP un indirizzo, un gateway e i DNS.
5. Verificare che la porta 2712 tra AP e firewall non venga bloccata da uno switch, un’ACL o un dispositivo intermedio.
6. Aprire Wireless > Access points e accettare un AP pending con Accept.
7. Impostare il Country corretto sull’AP attivo. Da questa impostazione dipendono i canali consentiti dalla legge. Quando si modifica il Country di un APX, salvare l’impostazione e riavviare quindi l’Access Point in modo controllato, affinché venga applicato il nuovo elenco dei canali.

La selezione in Allowed zone riguarda il percorso di gestione dell’Access Point, non la futura zona dei client WLAN. Se l’AP è ancora registrato su un’altra Sophos Firewall o in Sophos Central, deve prima essere eliminato da quella piattaforma. Se ciò non è possibile, deve essere ripristinato alle impostazioni di fabbrica.

2. Creare una Wireless Network

In Wireless > Wireless networks > Add si inseriscono i valori dell’esempio:

1. Name: Guest WiFi
2. Hardware name: GuestWiFi
3. SSID: Company Guest
4. Security mode: WPA2 Personal
5. Passphrase: una passphrase lunga e univoca
6. Client traffic: Separate zone
7. Zone: WiFi
8. IP address: 10.30.40.1
9. Netmask: /24

Il Hardware name può contenere al massimo dieci caratteri tra lettere, numeri e caratteri di sottolineatura e non può essere modificato in seguito. Name e SSID possono invece essere adattati alla convenzione di denominazione locale.

In Advanced settings, per l’esempio della rete ospiti sono appropriate queste scelte:

• Encryption: AES
• Frequency band: soltanto le bande supportate dal modello e dai moduli radio utilizzati
• Client isolation: attivare se non sono desiderate connessioni dirette tra gli ospiti
• Hide SSID: lasciare disattivato
• Fast transition: non è supportato da APX
• Time-based access: utilizzare soltanto con una finestra di manutenzione pianificata

Client isolation blocca soltanto la comunicazione diretta tra i client dello stesso SSID sulla stessa radio. Non sostituisce la separazione tramite zone, VLAN e regole firewall tra più AP o moduli radio. Nascondere l’SSID non è neppure una misura di sicurezza: impedisce soltanto la visualizzazione del nome della rete.

Per la WLAN integrata, il Dual-Band simultaneo dipende dall’hardware. XGS 87w e 107w trasmettono soltanto su 2.4 GHz oppure 5 GHz. XGS 116w, 126w e 136w richiedono un secondo modulo radio per utilizzare entrambe le bande. XGS 88w, 108w, 118w e 128w possono utilizzare contemporaneamente entrambe le bande senza un modulo aggiuntivo.

Quando si attiva una pianificazione Wireless, SFOS riavvia hostapd. Tutti i client WLAN dell’Access Point interessato vengono quindi disconnessi brevemente, non soltanto i client di questo SSID. I dispositivi dovrebbero riconnettersi automaticamente.

3. Aggiungere DHCP per la rete dei client

Per Separate zone non viene predisposto automaticamente un server DHCP completo per i client. In Network > DHCP > Server > Add si crea quindi, ad esempio, questa configurazione:

• Name: dhcp-wifi-guest
• Interface: Guest WiFi
• Dynamic IP lease: da 10.30.40.100 a 10.30.40.220
• Subnet mask: /24
• Gateway: Use interface IP as gateway
• DNS server: adatto alla propria architettura DNS
• Conflict detection: attivato

L’intervallo si trova volutamente al di sopra dell’indirizzo dell’interfaccia e lascia spazio per gli indirizzi riservati. In una WLAN per ospiti con un ricambio elevato può essere utile una durata del lease più breve rispetto a una rete aziendale stabile. Lease estremamente brevi generano invece rinnovi inutilmente frequenti.

La scelta dei server DNS distribuiti è una decisione di sicurezza e operativa. I server DNS AD interni non dovrebbero essere resi accessibili agli ospiti soltanto per comodità. L’articolo su come configurare Sophos Firewall come server DHCP descrive la pianificazione completa e il controllo dei lease.

4. Verificare regola firewall, NAT e servizi locali

In Rules and policies > Firewall rules > Add firewall rule > New firewall rule si crea una regola per l’accesso a Internet desiderato. L’articolo sulle regole di Sophos Firewall spiega l’intera maschera, l’ordine delle regole e le Security Features.

• Rule name: WiFi_Guest_to_WAN
• Action: Accept
• Log firewall traffic: attivato
• Source zones: WiFi
• Source networks and devices: oggetto di rete per 10.30.40.0/24
• Destination zones: WAN
• Destination networks: Any
• Services: soltanto i servizi necessari per la WLAN degli ospiti
• Security features: policy Web, Application e IPS adatte alla licenza e allo scopo d’uso

Un oggetto di rete descrittivo come net_WiFi_Guest rende la regola più restrittiva e comprensibile rispetto a Source networks: Any. La scelta dei Services dipende dall’utilizzo di DNS e NTP localmente sul firewall oppure direttamente all’esterno. Un’autorizzazione generica Any è comoda, ma rende più difficile il controllo successivo.

Una regola NAT deve inoltre tradurre il traffico in uscita sull’indirizzo WAN. La regola Default-SNAT esistente con MASQ copre spesso anche le nuove reti interne. È però necessario verificarlo nel set di regole specifico, invece di creare per precauzione una seconda regola NAT. L’articolo Comprendere il NAT su Sophos Firewall ne spiega il funzionamento.

Una regola WiFi-to-WAN non impedisce automaticamente gli accessi consentiti da regole WiFi-to-LAN o Any già esistenti e troppo ampie. Occorre quindi controllare l’intero ordine delle regole alla ricerca di autorizzazioni verso reti interne. Se i client della stessa rete Separate-Zone devono comunicare tra loro attraverso più AP, è necessaria anche una regola WiFi-to-WiFi. In una WLAN per ospiti, questa comunicazione dovrebbe essere consentita soltanto in modo intenzionale.

Gli accessi al firewall stesso non vengono gestiti dalla normale regola firewall. Per impostazione predefinita, SFOS consente HTTPS e SSH dalla zona WiFi. Per una WLAN per ospiti si devono quindi rimuovere in Administration > Device access le spunte WiFi per HTTPS, SSH e tutti gli altri servizi locali non necessari. DNS rimane consentito soltanto se i client utilizzano effettivamente il firewall come resolver. L’articolo su Device Access e Local Service ACL ne spiega i principi.

5. Assegnare la WLAN a un Access Point

Una Wireless Network salvata non viene ancora trasmessa da alcun Access Point:

1. Aprire Wireless > Access points.
2. Aprire l’Access Point attivo tramite il suo nome oppure Edit.
3. Verificare il Country corretto.
4. In Wireless networks, fare clic su Add new item.
5. Selezionare Guest WiFi, confermare con Apply e fare clic su Save.

Con più Access Point, un gruppo in Wireless > Access point groups è più chiaro. In questo modo gli SSID vengono assegnati in modo coerente e non gestiti diversamente per ogni AP. A un AP possono essere assegnate fino a otto Wireless Network.

Testare la WLAN in modo controllato

Il collaudo non dovrebbe terminare quando «l’SSID è visibile». Con un client di test si verifica che vengano effettivamente utilizzate la rete e le regole pianificate:

1. In Wireless > Access points, l’AP deve essere attivo. In Network > Interfaces, l’interfaccia Wireless rimane su Unplugged finché nessun AP è collegato a questa Wireless Network.
2. Collegarsi a Company Guest e controllare AP, SSID, frequenza e segnale in Wireless > Wireless client list.
3. In Network > DHCP > IPv4 lease, verificare che il client abbia ricevuto un indirizzo compreso tra 10.30.40.100 e 10.30.40.220.
4. Controllare sul client indirizzo IP, gateway e DNS. In Windows sono utili:

ipconfig /all
nslookup example.com

5. Verificare una connessione Internet consentita e, intenzionalmente, una destinazione interna non consentita.
6. Nel Log Viewer, filtrare per l’indirizzo IP del client e controllare la Firewall Rule ID e la NAT Rule ID previste.

Il successo non consiste soltanto nell’accesso a Internet. Il client deve utilizzare il gateway e i server DNS previsti, rimanere separato dalle destinazioni interne non consentite e passare esattamente attraverso le regole firewall e NAT attese. La procedura generale è descritta nell’articolo su come testare correttamente le regole firewall.

Individuare gli errori tipici

L’SSID non viene visualizzato

Verificare innanzitutto che Wireless Protection sia attiva, che la zona di gestione dell’AP sia presente in Allowed zone e che l’Access Point risulti active, e non pending o inactive, in Wireless > Access points. Controllare quindi Country, Wireless Network assegnata, Frequency band ed eventuale pianificazione.

Una rete salvata senza assegnazione a un AP non viene trasmessa. Con una WLAN integrata, anche i limiti del modello relativi alle bande radio oppure una vecchia modalità di cifratura non supportata possono impedire l’associazione del profilo a LocalWiFi0.

L’interfaccia Separate zone rimane Unplugged

Lo stato Unplugged è normale finché non è connesso alcun Access Point o la Wireless Network non è assegnata a un AP. Se lo stato rimane nonostante un APX attivo e l’assegnazione corretta, occorre controllare il percorso di gestione dell’Access Point.

Su SFOS 21.5 MR1 Build 261, il problema può verificarsi quando l’indirizzo IP del firewall utilizzato dalla rete di gestione dell’APX è configurato come alias anziché direttamente sull’interfaccia parent (NC-175920). SFOS non riesce quindi a creare il tunnel VXLAN per Separate zone. La soluzione consiste nello spostare l’APX in una rete di gestione il cui indirizzo IP del firewall sia configurato direttamente sull’interfaccia parent. Non si deve eliminare l’indirizzo alias senza aver prima confermato la causa.

La modifica interrompe le reti Wi-Fi trasmesse dall’AP. Prima occorre quindi verificare DHCP, gateway, Allowed zone e la porta 2712 nella rete di destinazione, quindi eseguire la modifica durante una finestra di manutenzione. In seguito si controllano stato dell’AP, assegnazione della rete Wi-Fi, stato dell’interfaccia e connessione di un client di test. Sophos non indica una versione corretta; sulle altre versioni SFOS il solo stato Unplugged non dimostra quindi questo problema.

Il client non riceve un indirizzo IP

Con Separate zone, il server DHCP deve risiedere sull’interfaccia Wireless creata e l’intervallo deve corrispondere alla rete dell’interfaccia. Con Bridge to AP LAN risponde invece il server DHCP della LAN dell’AP. Con Bridge to VLAN si controllano insieme il trunk dello switch, l’ID VLAN e il server DHCP raggiungibile nella VLAN dei client.

Il DHCP di gestione dell’AP e il DHCP dei client non devono essere confusi: l’AP può essere online anche se non esiste ancora un server DHCP funzionante per i client WLAN.

Il client ha un indirizzo IP ma non accede a Internet

In questo caso, DHCP e connessione radio hanno già superato una parte della verifica, ma resta da controllare la policy. Si verificano quindi gateway e DNS, la regola WiFi-to-WAN, l’ordine delle regole, il logging e la regola MASQ/SNAT appropriata. Il Log Viewer mostra se corrisponde la Firewall Rule ID prevista oppure se la regola implicita #0 scarta il traffico.

Se il client raggiunge Internet ma anche i sistemi interni, il risultato non è corretto per una WLAN per ospiti. Probabilmente stanno intervenendo regole WiFi-to-LAN, Any oppure regole di rete troppo ampie.

La connessione dell’AP o la comunicazione dei client non è chiara

Il traffico firewall compare in modo affidabile nel Log Viewer soltanto quando sono attivi sia Log firewall traffic nella regola sia il tipo di log firewall in System services > Log settings > Local reporting. Gli eventi Wireless non sono disponibili in questa posizione come normale tipo di log Wireless locale; in System services > Log settings possono essere inviati a Sophos Central o a un server Syslog.

Per una diagnosi più approfondita, Sophos documenta awed.log per la comunicazione tra firewall e APX, wc_remote.log per i client Wireless e hostapd.log per LocalWiFi. L’articolo su come verificare servizi e log di Sophos Firewall tramite CLI spiega come leggere questi log senza riavviare in modo incontrollato un servizio.

I trasferimenti di grandi dimensioni sono lenti o si interrompono

Se il problema riguarda soltanto i pacchetti di maggiori dimensioni o i trasferimenti più lunghi, l’incapsulamento VXLAN di Separate zone può essere una causa. Non esiste un valore MTU valido in generale. Si documentano prima Rule ID, percorso dei dati, Retransmits e un test applicativo riproducibile. Solo dopo aver dimostrato un problema MTU/MSS si modifica la configurazione in modo controllato e si ripete lo stesso test.