Sophos Firewall Breakout-Interfaces konfigurieren und prüfen

Ein Breakout-Interface teilt einen schnellen physischen Port in zwei oder vier eigenständige Member-Interfaces. So kann beispielsweise ein QSFP-Port mehrere kleinere Switch-Uplinks bedienen. Das schafft zusätzliche Ports, ist aber keine rein logische Änderung: SFOS verändert die Hardwareaufteilung und verlangt danach einen Neustart der Firewall.

⚠️ Ein Breakout am produktiven Uplink unterbricht den Link und kann WebAdmin, HA, VLANs, Routing und den gesamten Datenverkehr betreffen. Vor der Änderung braucht es ein aktuelles Backup, ein Wartungsfenster, einen unabhängigen Managementzugang und eine dokumentierte Portzuordnung auf Firewall und Gegenstelle.

Kurzablauf

Zuerst werden Appliance, Quellport, unterstützter Breakout-Modus, Transceiver oder Breakout-Kabel und die Ports der Gegenstelle abgeglichen. Danach wird unter Network > Interfaces am Breakout-fähigen Quellport der gewünschte Breakout mode gewählt und gespeichert.

SFOS zeigt zunächst Breakout: Not activated und fordert mit Restart the firewall zum Neustart auf. Erst danach ist der Quellport als Breakout source sichtbar und die neuen Member-Interfaces können einzeln konfiguriert werden. Jeder Member wird anschliessend mit Linkstatus, Geschwindigkeit, VLANs oder LAG sowie echtem Testtraffic geprüft.

Unterstützte Modelle und Portkombinationen

Breakout wird nicht auf jedem XGS-Modell und nicht auf jedem Hochgeschwindigkeitsport unterstützt. Die aktuelle SFOS-22-Hilfe nennt diese Kombinationen:

• XGS 8500: Die festen 100-Gbit/s-Ports F13 und F14 lassen sich in 2 x 50 Gbit/s oder 4 x 25, 4 x 10 beziehungsweise 4 x 1 Gbit/s aufteilen. Das 40-Gbit/s-FleXi-Modul unterstützt vier Member mit 25, 10 oder 1 Gbit/s.
• XGS 7500: Die festen 40-Gbit/s-Ports F13 und F14 sowie das 40-Gbit/s-FleXi-Modul unterstützen vier Member mit 25, 10 oder 1 Gbit/s.
• XGS 6500 und XGS 5500: Feste Ports werden für Breakout nicht genannt. Das 40-Gbit/s-FleXi-Modul unterstützt vier Member mit 10 oder 1 Gbit/s.

Für Breakout über FleXi verlangt Sophos das Modul AMDA0112-0001. Diese Liste ersetzt keine aktuelle Hardware- und Transceiverprüfung. Portstandard, Modul, Kabel und Gegenstelle müssen für die konkrete Appliance zusammenpassen. Die Auswahl und lesende Linkdiagnose erklärt SFP, SFP+ und QSFP auf Sophos Firewall prüfen.

Wichtig: Ein mechanisch passendes Breakout-Kabel beweist keine unterstützte Kombination. Anzahl der Member, mögliche Linkgeschwindigkeiten, Transceiver- oder DAC-Typ und Switchport müssen gemeinsam geprüft werden.

Breakout vorbereiten

Vor dem Umschalten wird der bisherige Datenpfad aufgenommen. Dazu gehören Quellport, aktueller Link mode, FEC, Auto-Negotiation, Zone, IP-Konfiguration, VLANs, LAG, Routing, NAT, Firewall-Regeln, HA-Rolle und Verkabelung. Object usage wird aktualisiert, damit abhängige Konfigurationen nicht übersehen werden.

Ein einfaches Beispiel verwendet den Quellport F13 einer XGS 8500 und teilt ihn in vier Member mit je 25 Gbit/s. F13, Modell und Geschwindigkeit sind Beispielwerte und werden durch die tatsächlich unterstützte Kombination ersetzt. Auf der Switchseite müssen vier passende Ports oder ein entsprechend unterstütztes Breakout-Design bereitstehen.

Wenn der Port den aktuellen Adminzugang oder den einzigen produktiven Uplink trägt, wird er nicht ohne separaten Rückweg umgestellt. Bei HA müssen beide Appliances dieselbe Hardwarevoraussetzung erfüllen. Die Breakout-Konfiguration wird vom Primary synchronisiert, benötigt aber auf beiden Nodes einen eigenen Neustart.

Breakout in SFOS aktivieren

1. Network > Interfaces öffnen.
2. Den Breakout-fähigen Quellport auswählen. SFOS kennzeichnet unterstützte Ports mit einem Breakout-Symbol.
3. Unter General settings den passenden Breakout mode wählen, beispielsweise vier Member-Interfaces.
4. Save wählen.
5. Den Status Breakout: Not activated und die Meldung Restart the firewall kontrollieren.
6. Die Firewall im Wartungsfenster kontrolliert neu starten.
7. Nach dem Start prüfen, ob der Quellport Breakout source zeigt und die erwarteten Member-Interfaces mit Ethernet-Symbol vorhanden sind.

Die Member sind danach normale physische Interfaces mit eigener Konfiguration. Unter Advanced settings zeigt Link mode, welche maximale Geschwindigkeit der konkrete Member unterstützt. Portgeschwindigkeit, Duplex, Auto-Negotiation und FEC werden mit der Gegenstelle abgeglichen; bei schnellen Links helfen Show recommended settings und Load recommended configuration.

Danach erhält jeder verwendete Member seine vorgesehene Rolle. Er kann beispielsweise als einzelnes Interface, als Parent für ein VLAN oder als Member eines LAG dienen. Zone, Adressierung, Regeln und Routing werden nicht allein durch den Breakout erzeugt. Das Zusammenspiel erklärt Zonen und Interfaces auf Sophos Firewall.

Breakout und HA

In einem HA-Cluster wird die Änderung auf dem Primary vorgenommen. Sophos beschreibt drei wichtige Zustände:

• Wird Breakout auf dem Primary konfiguriert, wird zuerst der Primary und danach der Auxiliary neu gestartet.
• Besitzt der Primary bereits Breakout-Interfaces, wird die Konfiguration zum Auxiliary synchronisiert; der Auxiliary muss danach neu gestartet werden, damit sie wirksam wird.
• Besitzt der Primary keine Breakout-Konfiguration, werden vorhandene Breakout-Interfaces des Auxiliary bei der Synchronisierung entfernt.

Ein Neustart beider Nodes gleichzeitig ist kein Abnahmetest. Rollen, Dedicated HA link, überwachte Ports und produktive Uplinks werden vorher dokumentiert. Nach jedem Neustart werden HA-Status, Interfacezuordnung und Datenpfad geprüft, bevor der zweite Node folgt. Die vollständige Clusterplanung steht unter HA auf Sophos Firewall konfigurieren und testen.

Konfiguration ändern oder entfernen

Der Breakout-Modus wird am Quellport unter Network > Interfaces geändert. Auch eine andere Aufteilung verändert die Memberstruktur und gehört deshalb in ein Wartungsfenster. Wird eine Auswahl geändert und noch vor der Aktivierung wieder auf den vorherigen Stand zurückgestellt, verlangt Sophos keinen Neustart.

Zum Entfernen wird am Quellport Breakout mode > No breakout gewählt. Vorher müssen produktive Abhängigkeiten der Member auf einen Ersatzpfad verschoben und getestet werden. Anschliessend wird gespeichert, die Neustartmeldung beachtet und nach dem Reboot geprüft, ob der Quellport wieder als normales Interface verfügbar ist.

No breakout ist keine neutrale Anzeigeoption. Sie entfernt die Breakout-Konfiguration und darf nicht zum blossen Prüfen ausgewählt und gespeichert werden.

FleXi-Modul, Migration und Restore

Wird ein aufgeteilter FleXi-Port ausgebaut, löscht SFOS die zugehörigen Member-Interfaces und zeigt den Quellport als Not Available. Nach erneutem Einbau muss der Port wieder aufgeteilt und die Firewall neu gestartet werden. Vor einem Modulwechsel werden deshalb Member, Zonen, VLANs, LAGs und andere Abhängigkeiten vollständig dokumentiert.

Bei Upgrade, Downgrade oder Rollback bleibt die Breakout-Konfiguration grundsätzlich erhalten, das Ziel muss den Modus jedoch unterstützen. Auf einer Version ohne passende frühere Konfiguration können Quell- und Member-Interfaces im WebAdmin sichtbar sein, aber nicht funktionieren. Dann wird der Breakout erneut aktiviert oder kontrolliert entfernt und die Firewall neu gestartet.

Ein Factory Reset löscht die Breakout-Konfiguration. Bei Backup und Restore zeigt der Assistant nur den Breakout Root Port, nicht die einzelnen Member. Root-Ports lassen sich nur auf ein Ziel mit unterstützter Portanzahl und Kombination abbilden. Die Migrationsgrenzen und Pseudo-Ports erklärt Sophos Firewall Backup und Restore.

Abnahme nach dem Neustart

Ein sichtbarer Member beweist nur, dass SFOS die Hardwareaufteilung erstellt hat. Die technische Abnahme erfolgt schrittweise:

1. Quellport zeigt Breakout source; Anzahl und Namen der Member stimmen mit dem Plan überein.
2. Jeder verwendete Member zeigt den erwarteten Linkstatus, Speed und Full Duplex.
3. Switchport, Transceiver oder Breakout-Kabel sowie FEC und Aushandlung passen.
4. VLANs oder LAG-Member sind am richtigen Breakout-Interface gebunden.
5. Gateway, Routing, Device Access und Firewall-Regeln werden mit einem echten Datenfluss geprüft.
6. In HA werden Primary und Auxiliary nach getrennten Neustarts und einem kontrollierten Failovertest validiert.

Bleibt ein Member Unplugged, wird zuerst der physische Pfad geprüft: unterstützter Modus, Portgeschwindigkeit, Kabelaufteilung, Transceiver, Gegenstelle, FEC und Auto-Negotiation. Erst bei stabilem Link folgen VLAN, LAG, Routing und Firewall-Regeln.

Häufige Fragen