Scegliere la modalità operativa corretta di Sophos RED

La modalità operativa di una Sophos SD-RED non è un’opzione secondaria. Stabilisce chi fornisce DHCP e gateway nella sede remota, quale traffico attraversa il tunnel RED, se l’accesso a internet viene controllato centralmente e cosa continua a funzionare quando il tunnel si interrompe. Un tunnel Site-to-Site RED tra due Sophos Firewall è un’altra architettura e non utilizza queste quattro modalità operative.

Per le nuove filiali gestite centralmente, Standard/Unified è in genere il punto di partenza più chiaro. Standard/Split riduce il traffico nel tunnel, ma sottrae il traffico internet locale al controllo centrale. Transparent/Split integra la RED in una rete esistente. Manual/Split è uno speciale progetto di cablaggio e routing per mantenere l’autonomia internet locale, non una semplice modalità rapida.

La modalità operativa va scelta prima di configurare DHCP, VLAN, regole firewall e rollout. Una modifica successiva cambia il percorso dei dati e richiede una finestra di manutenzione con test funzionali controllati.

Le quattro modalità RED in sintesi

Questa sintesi aiuta nella prima scelta, ma non sostituisce la verifica del comportamento in caso di guasto, delle VLAN e della sicurezza. In particolare, Split non significa automaticamente fail-open e Transparent non significa automaticamente che i tag VLAN vengano inoltrati.

Standard/Unified: Tutto attraverso la sede centrale

In Standard/Unified, Sophos Firewall fornisce DHCP e gateway predefinito tramite l’interfaccia RED. La SD-RED inoltra tutto il traffico nel tunnel cifrato, compreso il traffico internet della filiale.

Questa modalità offre il massimo controllo centrale. Regole firewall, Web Policy, IPS, Application Control, reporting e accesso internet centrale possono essere applicati in modo coerente nella sede principale. Allo stesso tempo aumentano i requisiti del tunnel e della connessione WAN centrale, perché anche il normale traffico internet della filiale percorre due volte il collegamento tra le sedi.

Se il tunnel RED si interrompe, i client non perdono soltanto l’accesso alle reti interne. Poiché il loro gateway si trova su Sophos Firewall oltre il tunnel, normalmente viene meno anche l’accesso a internet. Standard/Unified è quindi adatto quando la sicurezza centrale è più importante del funzionamento dell’internet locale durante un guasto del tunnel.

Quando è adatto Standard/Unified

• Tutto il traffico della sede deve essere controllato e registrato centralmente.
• DHCP, inoltro DNS, regole e accesso a internet devono convergere su Sophos Firewall.
• La capacità WAN centrale è sufficiente per il traffico internet aggiuntivo della filiale.
• Un guasto del tunnel può mettere intenzionalmente offline la sede oppure è disponibile un secondo uplink RED già testato.
• Le VLAN devono essere trasportate attraverso una SD-RED 60.

Standard/Split: Reti centrali attraverso il tunnel

Con Standard/Split, Sophos Firewall rimane il server DHCP e il gateway predefinito della rete fornita dalla RED. Solo le reti di destinazione inserite in Split networks attraversano il tunnel. Le altre destinazioni, in genere internet, escono dalla sede tramite la connessione WAN locale della RED.

Questo riduce il carico del tunnel e della connessione internet centrale. Il compromesso è un limite di sicurezza chiaro: Sophos maschera il traffico internet locale sulla RED, ma il firewall centrale non può controllarlo con le proprie regole firewall, web o IPS. Dal punto di vista della sede centrale, questo percorso non è un normale traffico internet inoltrato.

In Split networks si usano reti IP. Gli oggetti host FQDN non sono supportati in questo punto. Anche i frame già taggati con VLAN non appartengono al percorso dati di Standard/Split. Solo la rete DHCP fornita direttamente dalla RED ottiene l’accesso internet locale tramite questa modalità.

Standard/Split non è nemmeno un progetto fail-open generale. Se il tunnel si interrompe, la documentazione Sophos indica che i client della rete fornita dal firewall perdono sia le destinazioni centrali sia l’accesso a internet. Se l’accesso internet locale deve funzionare indipendentemente dal tunnel, è necessario progettare e testare una soluzione diversa.

Quando è adatto Standard/Split

• La filiale necessita solo di poche reti chiaramente definite nella sede centrale.
• Il breakout internet locale è intenzionale e può restare fuori dalle policy Sophos centrali.
• Sophos Firewall può amministrare la rete remota tramite DHCP.
• Non è necessario trasportare tag VLAN nel tunnel RED.
• Il percorso in caso di guasto è stato testato e non viene confuso con Manual/Split.

Transparent/Split: RED nella rete esistente

Transparent/Split è adatto alle sedi remote in cui router, DHCP, DNS e gateway predefinito esistono già e devono rimanere invariati. La RED opera in modo trasparente nella rete Layer 2 esistente. Solo le reti o i domini split configurati vengono indirizzati nel tunnel verso la sede centrale.

Questa modalità evita di cambiare il gateway dei client. La risoluzione dei problemi diventa però più impegnativa: DHCP, DNS e il normale percorso internet restano nella rete locale, mentre alcune destinazioni vengono deviate attraverso la RED. I test devono quindi dimostrare separatamente quale percorso rimane locale e quale entra realmente nel tunnel.

Transparent/Split non trasporta frame taggati con VLAN. In questa modalità non è disponibile nemmeno un uplink di failover 3G/4G. Per un modulo wireless, il server DHCP remoto deve fornire l’opzione DHCP 234 documentata da Sophos, così che l’indirizzo della RED venga trasmesso all’access point.

Quando è adatto Transparent/Split

• Il router esistente deve continuare a fornire DHCP, DNS e gateway predefinito.
• Solo reti o domini centrali selezionati devono essere raggiungibili tramite la RED.
• La RED può essere integrata correttamente inline nella rete esistente.
• La sede non necessita di tag VLAN attraverso questo percorso RED.
• Il traffico locale e quello nel tunnel possono essere verificati separatamente con Packet Capture e test verso destinazioni reali.

Manual/Split: Gateway locale con rotte statiche

Per una SD-RED, Manual/Split descrive soprattutto un progetto di rete costruito deliberatamente in modo manuale. I lati WAN e LAN della RED vengono integrati nell’infrastruttura esistente in modo che il router continui a essere il gateway predefinito. Il router riceve rotte statiche verso la RED per le reti centrali.

Il vantaggio è l’autonomia locale: il normale accesso a internet può continuare anche se il tunnel RED o la RED stessa si interrompe. Lo svantaggio è una maggiore complessità di pianificazione. Percorsi di ritorno, rotte statiche, comportamento ARP e cablaggio fisico devono essere esatti. Un next hop errato può instradare il traffico centrale fuori dal tunnel o in un vicolo cieco durante un guasto.

Sophos descrive a questo scopo una distribuzione fisica manuale e una configurazione RED basata sullo schema Standard/Unified, mentre il gateway esistente e le rotte statiche determinano lo split. Il termine non va quindi trattato come un interruttore indipendente e autoesplicativo.

Manual/Split va usato solo in un progetto documentato con:

• un gateway locale alternativo
• rotte statiche per ogni rete di destinazione centrale
• un percorso di ritorno verificato dalla sede centrale
• un accesso di gestione indipendente
• test con tunnel attivo, tunnel disconnesso e RED spenta

Un secondo uplink e un secondo firewall non sono modalità operative

La configurazione RED può contenere anche un secondo endpoint firewall e, a seconda del modello e della modalità, un secondo uplink. Queste opzioni completano il percorso scelto, ma non lo sostituiscono.

Un secondo endpoint firewall può essere usato per failover o bilanciamento del carico. Un secondo uplink può proteggere la creazione del tunnel. Se entrambi gli uplink usano indirizzamento statico, Sophos consiglia server DNS diversi, perché altrimenti la rotta verso il primo gateway può interferire con la risoluzione dei nomi per il secondo uplink.

I test devono rimanere separati:

1. La modalità RED scelta deve prima funzionare correttamente tramite l’uplink primario.
2. Successivamente si prova un failover controllato dell’uplink.
3. Poi si verificano nuovamente stato RED, DHCP, destinazioni centrali e percorso internet.
4. Negli ambienti HA si aggiunge un test separato di failover del firewall; il tunnel RED necessita di tempo per ristabilirsi dopo il cambio di ruolo.

Lo stato verde del tunnel da solo non dimostra né il corretto percorso internet né il funzionamento delle policy di sicurezza.

VLAN e modalità delle porte LAN su SD-RED 60

La SD-RED 60 può trasportare VLAN nel tunnel, ma solo in Standard/Unified. Inoltre, per ogni porta LAN viene definito come la RED tratta i frame taggati e non taggati.

• Tagged: Vengono inoltrate con tag solo le VLAN configurate. Le VLAN non configurate e i frame non taggati vengono scartati. È possibile inserire fino a 64 VLAN ID per porta.
• Untagged, drop tagged: I frame non taggati vengono assegnati alla VLAN configurata; i frame già taggati vengono scartati. Corrisponde a una porta access controllata.
• Disabled: La porta LAN scarta il traffico.
• Untagged: Questa modalità ibrida richiede un test reale con le versioni SFOS e firmware RED utilizzate. Le attuali pagine della guida Sophos non descrivono in modo coerente il trattamento dei frame già taggati. Non va quindi pianificata come sostituto di un trunk senza Packet Capture.

Sophos Firewall necessita di un’interfaccia VLAN corrispondente sull’interfaccia RED per ogni VLAN utilizzata. VLAN ID, rete IP, DHCP, modalità della porta RED e configurazione dello switch devono corrispondere esattamente. La procedura completa è descritta in Configurare e testare una VLAN su Sophos Firewall.

Pianificare separatamente il comportamento wireless

Un modulo wireless opzionale della SD-RED 20 o 60 può usare tre percorsi dati diversi:

• Separate zone: Il traffico wireless raggiunge il firewall tramite VXLAN indipendentemente dalla modalità RED.
• Bridge to AP LAN: La rete wireless viene collegata alla LAN locale dell’access point.
• Bridge to VLAN: La rete wireless viene assegnata a una VLAN; il comportamento esatto dipende dalla modalità RED e dalla configurazione VLAN.

Nelle modalità Standard, DHCP deve essere configurato correttamente sull’interfaccia RED. In Transparent/Split, DHCP proviene dalla rete remota e l’opzione 234 deve essere corretta. Impostazioni wireless, modalità della porta LAN e modalità RED vanno quindi collaudate come un unico progetto, non come tre menu indipendenti.

Configurare e testare la modalità in sicurezza

La RED viene creata o modificata in Network > Interfaces > Add interface > Add RED. Prima di cambiare modalità occorre documentare la configurazione attuale, gli intervalli DHCP, le rotte statiche, le reti split, le regole firewall e un percorso di gestione indipendente.

La procedura pratica con provisioning, LED, regole, prestazioni e risoluzione dei problemi è descritta in Configurare e risolvere i problemi di Sophos SD-RED. La modalità richiede inoltre il collaudo del percorso reale:

1. Un client riceve l’indirizzo IP atteso, i server DNS e il gateway corretto.
2. Una rete di destinazione definita nella sede centrale è raggiungibile.
3. Log Viewer o Packet Capture mostra la Firewall Rule ID attesa e il percorso RED.
4. Un test internet mostra l’uscita pubblica attesa, centrale o locale.
5. Un’applicazione consentita e una bloccata confermano dove si applica realmente la policy di sicurezza.
6. VLAN e reti wireless vengono testate singolarmente, non solo con un ping generico.
7. Un guasto pianificato del tunnel o dell’uplink conferma il comportamento documentato.

Se il tunnel è verde ma il percorso rimane poco chiaro, può aiutare Usare correttamente Packet Capture su Sophos Firewall. Nelle sedi produttive non si devono modificare contemporaneamente modalità, DHCP, VLAN e regole firewall. Altrimenti diventa quasi impossibile attribuire un errore a un singolo livello.

Errori di interpretazione comuni

Split non significa automaticamente internet durante un guasto del tunnel

Standard/Split usa il breakout internet locale, ma i client dipendono comunque dalla rete RED fornita dal firewall. Sophos documenta anche in questo caso la perdita dell’accesso a internet quando il tunnel si interrompe. Manual/Split è il progetto separato per un gateway locale esistente.

Transparent non significa passthrough Layer 2 arbitrario

Transparent/Split integra la RED in una rete esistente, ma non trasporta frame taggati con VLAN attraverso questo percorso. Anche DHCP, DNS e le opzioni wireless devono essere pianificati consapevolmente.

Un tunnel verde non dimostra che la modalità sia corretta

Lo stato del tunnel conferma la connessione al firewall. Solo i test di DHCP, routing, internet, regole e guasti mostrano se la modalità scelta corrisponde al progetto previsto.