Sophos Firewall Cellular WAN einrichten und 4G/5G-Failover testen

Cellular WAN dient auf einer Sophos Firewall meist als Reserveleitung. An temporären Standorten kann Mobilfunk auch die Hauptleitung sein, sofern Tarif, Empfang, Latenz und Betriebsrisiko dazu passen. Damit 4G oder 5G bei einem Ausfall wirklich übernimmt, müssen nicht nur SIM und APN stimmen: Auch Gateway-Überwachung, SD-WAN-Regeln, Firewall-Regeln und der Rückweg zur Hauptleitung gehören in den Test.

Die zuverlässige Reihenfolge lautet: Hardware und Tarif prüfen, WWAN1 einrichten, Failover-Logik festlegen und anschliessend mit echtem Anwendungsverkehr Failover und Failback testen.

Voraussetzungen und Planung

Vor der Einrichtung braucht es:

• ein mit Firewallmodell und SFOS-Version kompatibles 4G/5G-Modem oder Sophos-Modul
• eine aktive SIM mit passendem Tarif, PIN und APN
• bei Bedarf Benutzername und Passwort des Providers
• Informationen zu Datenvolumen, öffentlicher IP-Adresse oder CGNAT
• ausreichend Empfang und korrekt angeschlossene Antennen
• eine Liste der Dienste, die über die Reserveleitung weiterlaufen müssen
• ein Testfenster, in dem die Hauptleitung kontrolliert ausfallen darf

Die Sophos-USB-Kompatibilitätsliste ist nur ein Anhaltspunkt, wird nicht mehr aktualisiert und neuere Dongles werden nicht laufend getestet. Vor dem Kauf sollte deshalb die aktuelle Modell- und Modulkompatibilität geprüft werden. Lange oder schlechte Antennenkabel können zudem den Vorteil einer besseren Antennenposition wieder aufheben.

Ein begrenzter Mobilfunktarif sollte nicht unkontrolliert den gesamten Standorttraffic übernehmen. Eine CGNAT- oder andere nicht öffentlich erreichbare Adresse verhindert eingehende Verbindungen zur Firewall. Ein Standort-IPsec-Tunnel kann den Mobilfunkpfad dennoch als Initiator nutzen; NAT-T ist bei Sophos Firewall immer aktiv, Gegenstelle, Identitäten und Rückroute müssen aber passend konfiguriert sein.

Cellular WAN wird in keinem Sophos-Firewall-HA-Modus unterstützt und muss vor der HA-Einrichtung auf beiden Geräten ausgeschaltet werden. Wenn HA und Mobilfunk-Failover gleichzeitig gefordert sind, braucht es ein separates WAN-Design. Mehr dazu steht unter Sophos Firewall HA Cluster Varianten und Betrieb.

Hardware- und SIM-Änderungen nur bei ausgeschalteter Firewall durchführen. Das Sophos-5G-Modul ist nicht hot-swappable.

Cellular WAN einrichten

Modem und SIM vorbereiten

SIM-Status, PIN, APN und Providerprofil sollten vor der Firewall-Konfiguration geklärt sein. Bei Business-, Consumer- und IoT-Tarifen können unterschiedliche APNs gelten. Antennen vollständig anschliessen und so positionieren, dass nicht nur Netzempfang, sondern eine stabile Verbindung vorhanden ist.

Interface prüfen

Network > Cellular WAN
Network > Interfaces

Cellular WAN einschalten und prüfen, ob Modemstatus, IP-Adresse und Gateway angezeigt werden. Bei einem 5G-Modul zuerst Show recommended configuration und Load recommended configuration verwenden, danach APN, optionale Zugangsdaten und SIM-PIN speichern.

Die Firewall erzeugt das Interface WWAN1 automatisch in der WAN-Zone; bestehende WAN-Regeln gelten daher auch für dieses Interface. Zusätzlich entsteht der dynamische Host ##WWAN1. Die Grundlagen dazu erklärt Sophos Firewall Zonen und Interfaces konfigurieren.

Für 5G-Module ist bei IP assignment nur Network adapter (DHCP) verfügbar. Dial-up (PPP) bleibt deaktiviert. Erscheint WWAN1 nicht, zuerst Hardwareerkennung und Logs prüfen, bevor APN oder Routing geändert werden.

Gateway und SD-WAN festlegen

Network > WAN link manager
Routing > SD-WAN profiles
Routing > SD-WAN routes

Die allgemeine Bedeutung von Active, Backup, ANY/ALL, Failover-Regeln und Failback erklärt Sophos Firewall WAN-Failover einrichten und testen. Hier kommen zusätzlich die Besonderheiten des Mobilfunkpfads hinzu.

Für einfaches Internet-Failover im WAN link manager beim WWAN-Gateway auf Edit klicken und Type: Backup wählen. Neue Gateways sind standardmässig aktiv und würden sonst am Load Balancing teilnehmen. Unter Activate this gateway festlegen, ob der Backup-Link beim Ausfall eines beliebigen (ANY) oder erst aller (ALL) aktiven Gateways übernimmt.

Unter Action on failback wird bestimmt, was nach Rückkehr der Hauptleitung geschieht: Entweder laufen bestehende Sessions bis zum Timeout über WWAN weiter und nur neue Verbindungen nutzen wieder die Hauptleitung, oder alle Verbindungen werden über die wiederhergestellte Leitung neu aufgebaut. Die zweite Variante kann aktive Sessions unterbrechen.

Selektive Routen, SLA-Prüfungen oder unterschiedliche Behandlung von Diensten werden über SD-WAN-Profile und -Routen konfiguriert. Die Einrichtung ist unter Sophos Firewall SD-WAN Route konfigurieren ausführlich beschrieben.

Health Checks können Ping oder TCP verwenden. Ein SD-WAN-Profil unterstützt bis zu zwei Probe Targets; das zweite Ziel dient als Ausweichziel, wenn das erste nicht antwortet. Kritische Anwendungen sollten im Failover priorisiert und datenintensive, nicht notwendige Dienste begrenzt werden.

Für ein WWAN-Gateway erzeugt Sophos zusätzlich zur Prüfung der geleasten Gateway-IP automatisch eine Failover-Regel zu 8.8.8.8. So bleibt die Verbindung prüfbar, wenn der Provider Ping an die Gateway-Adresse nicht zulässt. Ob dieses Ziel zur eigenen Security-Policy passt, sollte trotzdem kontrolliert werden.

Wenn Antwortpakete oder von der Firewall erzeugter Traffic einen anderen Pfad nehmen, hilft SD-WAN Routing für Reply Packets und System Traffic prüfen.

Signal und Failover prüfen

Signalstatus über die CLI

Nach der SSH-Anmeldung unter Option 4: Device Console zeigt folgender Befehl Konfiguration, SIM-, Verbindungs- und Signalstatus:

system cellular_wan show

Der Befehl existierte bereits zuvor; ab SFOS 22.0 GA enthält die Ausgabe zusätzlich den Signalstatus. Sophos veröffentlicht dafür keine allgemeingültigen Grenzwerte. Werte deshalb im Normalbetrieb, nach Antennenänderungen und während eines aktiven Failovers vergleichen. Stark schwankende Werte weisen zuerst auf Funkpfad, Antenne, Provider, Modul oder SIM hin, schliessen parallele Routingfehler aber nicht aus.

⚠️ SSH nur aus vertrauenswürdigen Admin-Netzen erlauben. Vor der Nutzung Sophos Firewall per SSH verbinden und die Zugriffshärtung über Device Access und Local Service ACL prüfen.

Failover und Failback testen

Vor dem Test ein aktuelles Konfigurationsbackup sicherstellen, Primär- und Backup-Pfad dokumentieren, betroffene Personen informieren und Log Viewer sowie Monitoring öffnen. Bei SD-WAN zusätzlich unter System services > Log settings die lokalen SD-WAN-Logs aktivieren.

1. Im Ausgangszustand Hauptgateway, WWAN-Gateway, verwendete SD-WAN-Route und Datenzähler prüfen.
2. Relevanten Testtraffic erzeugen, etwa DNS, HTTPS, RDP, VPN und eine wichtige Business-Anwendung.
3. Hauptleitung kontrolliert deaktivieren oder ihren Health Check gezielt fehlschlagen lassen.
4. Im WAN link manager oder unter Routing > SD-WAN routes prüfen, ob WWAN1 übernimmt.
5. Im Log Viewer das Modul SD-WAN sowie die getroffenen Firewall-Regeln kontrollieren.
6. Unter Network > Cellular WAN Status, IP address, Gateway IP, Bytes uploaded, Bytes downloaded und Time duration prüfen.
7. DNS, HTTPS, RDP, VPN und die ausgewählten Business-Anwendungen nochmals über WWAN1 testen.
8. Hauptleitung wiederherstellen und den Rückweg kontrollieren. Im WAN link manager muss das konfigurierte Failback-Verhalten eintreten; bei SD-WAN hängt die Rückkehr zusätzlich von Strategie und SLA ab.
9. Gateway, Verbindungen und Anwendungen abschliessend wieder über den Primärpfad prüfen.

Ein erfolgreicher Ping beweist nur Erreichbarkeit, nicht die Funktion der benötigten Dienste. Der Policy Tester berücksichtigt zudem keine SD-WAN-Routen und ist deshalb kein Pfadnachweis. Für Firewall-Regeln, Logs und Packet Capture hilft dennoch Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Fehler eingrenzen

• Modem oder WWAN1 fehlt: Hardware, Stromversorgung, USB-Port, Firmware und Kompatibilität prüfen. modemd.log zeigt das Einsetzen oder Entfernen von WWAN-USB-Geräten, syslog.log USB-, Modem- und PPP-Ereignisse und networkd.log die modembezogene Netzkonfiguration.
• SIM verbindet nicht: PIN, APN, Providerprofil, SIM-Sperre und Empfang prüfen. Den APN beim Provider bestätigen, statt ihn zu erraten.
• Gateway ist aktiv, aber Traffic fehlt: Verwendetes Gateway und SD-WAN-Route, Firewall-Regel, NAT, DNS und Rückweg kontrollieren. dgd.log enthält Ereignisse zu WAN-Gateways und Link-Failover; SD-WAN-Health-Checks und Routenwechsel stehen im Log-Viewer-Modul SD-WAN.
• Anwendungen sind instabil: Mobilfunk bringt oft mehr Latenz, Paketverlust und Schwankungen. Reale Anwendungen testen und Durchsatz bei Bedarf mit iPerf zwischen zwei Endpunkten messen. Bei VPN- oder Fragmentierungsproblemen zusätzlich MTU und MSS prüfen.
• VPN funktioniert nur über die Hauptleitung: Bei CGNAT sind eingehende Verbindungen nicht direkt möglich. Prüfen, ob die Mobilfunkseite den Tunnel initiiert, die Gegenstelle dynamische Adressen beziehungsweise passende Identitäten akzeptiert und die Rückroute stimmt.

Die Logdateien und ihre Aufgaben sind unter Sophos Firewall Service Logs richtig zuordnen eingeordnet.

Betrieb

• Failover und Failback mindestens quartalsweise sowie nach relevanten Firmware- oder Routingänderungen testen.
• Gateway, SD-WAN-Status, Datenvolumen und Kosten überwachen.
• SIM, PIN, APN, Tarif, Antennenposition und Signalvergleich dokumentieren.
• Nicht kritischen Traffic während des Failovers begrenzen.
• Verantwortliche für Alarmierung, Providerstörung, SIM-Sperre und Rückkehr zum Normalbetrieb festlegen.
• Ersatzhardware und Supportweg dokumentieren.

FAQ