Sophos Firewall LAN Bypass und Fail-to-Wire einrichten

LAN Bypass, auch Fail-to-Wire (FTW) genannt, verbindet bei einem Stromausfall oder Hardwarefehler ein dafür vorgesehenes physisches Portpaar direkt miteinander. Der Datenpfad kann dadurch trotz ausgefallener Firewall bestehen bleiben. Sobald die Stromversorgung zurückkehrt, nimmt die Sophos Firewall ihre normale Funktion automatisch wieder auf.

Diese Verfügbarkeit hat eine klare Sicherheitsgrenze: Im Bypass fliesst der gesamte Traffic ohne Scanning durch. Firewall-Regeln, IPS, Web Protection, Application Control, Malware-Prüfung und Logging können dann nicht durchgesetzt werden. LAN Bypass ist deshalb eine bewusste Wahl zwischen Konnektivität und Schutz, kein allgemeiner Performance- oder Troubleshooting-Schalter.

⚠️ LAN Bypass nur in einem geplanten Wartungsfenster testen. Während eines echten oder simulierten Ausfalls besitzt die Firewall keine Sicht auf den durchgeleiteten Traffic. Kritische Netze brauchen deshalb eine dokumentierte Risikoentscheidung, externe Überwachung und einen getesteten Rückweg in den geschützten Betrieb.

Voraussetzungen und Grenzen

Sophos dokumentiert LAN Bypass für Sophos XGS-Modelle der 2xxx-Reihe und höher, beispielsweise XGS 2100. Die Appliance muss im vorgesehenen Datenpfad als Bridge arbeiten. Kleinere XGS-Modelle, virtuelle Firewalls und Cloud-Instanzen besitzen diese Hardwarefunktion nicht.

Die Bypass-Ports sind hardwareseitig zu festen FTW-Portpaaren zusammengefasst. Es genügt nicht, zwei beliebige Interfaces in eine Bridge aufzunehmen. Das konkrete Paar wird am Appliance-Label, im Hardware Guide oder in der Modelldokumentation geprüft. Je nach Appliance kann ein oder können beide Bypass-Paare aktiviert werden.

lanbypass steht standardmässig auf off. Vor der Aktivierung braucht es:

ein bestätigtes FTW-Portpaar des konkreten Modells;
einen geplanten Bridge-Pfad mit LAN- und WAN-Seite;
unabhängigen Managementzugang, der nicht vom zu testenden Portpaar abhängt;
Backup, Wartungsfenster und verantwortliche Person;
eine passende Firewall-Regel für den normalen geschützten Betrieb;
einen kontrollierten Test, bei dem ungescannter Traffic vorübergehend akzeptiert ist.

LAN Bypass ist nicht dasselbe wie eine Stateful-Firewall-Bypass-Regel. Diese ist eine Softwareausnahme bei laufender Firewall. Fail-to-Wire ist dagegen ein physischer Hardwarepfad bei Strom- oder Geräteausfall. Ebenso ersetzt die Funktion kein HA-Cluster: HA übernimmt die Verarbeitung auf einem zweiten Node, LAN Bypass leitet Traffic ohne Schutz weiter.

Portpaar und Bridge planen

Sophos zeigt in der offiziellen KBA als Beispiel Port1 und Port2, Zonen LAN und WAN, eine geroutete Bridge mit statischer IP sowie Gateway. Diese Werte sind kein universelles Verkabelungsschema. Entscheidend ist das hardwareseitige FTW-Paar der eigenen Appliance und das bestehende Netzwerkdesign.

Vor dem Umbau werden die beiden Links einzeln dokumentiert: Switch- beziehungsweise Providerport, Speed, Duplex, VLANs, IP-Adressierung, Gateway, MAC-Abhängigkeiten und erwartete Zonen. Ein Bypass-Paar transportiert im Fehlerfall nur das, was beide angeschlossenen Seiten auf Layer 1 und Layer 2 tatsächlich austauschen können.

Eine Bridge kann transparent ohne IP oder bewusst geroutet mit IP arbeiten. Für LAN Bypass folgt die Bridge dem gewählten Design; die Hardwarefunktion allein erstellt weder Gateway, Firewall-Regel noch NAT. Bridge-Interface einrichten und testen erklärt IP-Modus, Member, STP, VLAN-Filter, Regeln und Managementrisiko im Detail.

Bridge und geschützten Betrieb einrichten

Unter Network > Interfaces > Add interface > Add bridge wird der normale Firewallpfad vorbereitet:

Einen verständlichen Namen und unveränderlichen Hardware-Namen festlegen.
Das bestätigte FTW-Portpaar als Bridge-Member aufnehmen.
Die beiden Seiten den vorgesehenen Zonen, beispielsweise LAN und WAN, zuordnen.
Enable routing on this bridge pair nur aktivieren, wenn die Bridge bewusst eine IP-Adresse und Routing übernehmen soll.
Bei einer gerouteten Bridge IP, Netzmaske und Gateway gemäss realem Design eintragen.
Bridge speichern, den angezeigten Add-Bridge-Schritt bestätigen und erst danach korrekt verkabeln.
Eine enge, geloggte Firewall-Regel für den normalen Traffic zwischen den beteiligten Zonen erstellen.
Erlaubten und bewusst nicht erlaubten Traffic testen und Rule ID, NAT, IPS sowie Rückweg kontrollieren.

Die Regel ist für den eingeschalteten Normalbetrieb entscheidend. Während eines stromlosen Hardware-Bypasses kann sie keine Pakete auswerten. Ein erfolgreicher Test im Normalbetrieb beweist deshalb noch nicht den Bypass und ein erfolgreicher Bypass beweist nicht die Schutzregel.

LAN Bypass in der Device Console aktivieren

Nach einem abgesicherten SSH-Login wird 4. Device Console geöffnet. Zuerst den aktuellen Zustand lesen:

show lanbypass

Danach lässt sich die Hardwarefunktion aktivieren oder wieder deaktivieren:

set lanbypass on
set lanbypass off

Nach jedem set wird show lanbypass erneut ausgeführt. on bestätigt die Konfiguration, aber noch nicht die richtige Verkabelung oder ein funktionierendes Fail-to-Wire-Portpaar.

Die offizielle Sophos-KBA nennt in der Advanced Shell zusätzlich xgs-ftw -h. Der Befehl zeigt modellabhängige Funktionen für Status, Bypass, Armierung und Watchdog-Timer. Diese Optionen greifen direkt in den Hardwarepfad ein und werden nicht als allgemeines Adminrezept übernommen. Für Fehler ausserhalb von show lanbypass und dem dokumentierten set-Schalter werden Modell, SFOS-Build und Status gesichert und Sophos Support einbezogen.

Fail-to-Wire kontrolliert testen

Ein realistischer Test ist absichtlich disruptiv. Er wird nur durchgeführt, wenn die betroffenen Systeme einen kurzen Linkunterbruch und vorübergehend ungeschützten Traffic verkraften. Vorher stehen Out-of-Band-Zugang, Kontakt zu Netzwerk- und Applikationsverantwortlichen sowie ein Abbruchkriterium fest.

Im Normalbetrieb einen erlaubten Testflow in beide Richtungen erzeugen und Rule ID, Security Policy sowie Logs sichern.
Mit show lanbypass den aktivierten Zustand bestätigen und auf beiden Ports Speed, Duplex und Link prüfen.
Einen externen End-to-End-Monitor zwischen den beiden Seiten starten. Ein Monitor auf der Firewall selbst ist während des Stromausfalls ungeeignet.
Die Stromversorgung im Wartungsfenster kontrolliert unterbrechen. Ein kurzer Linkwechsel oder neue Clientverbindungen sind möglich; unterbrechungsfreie Sessions werden nicht versprochen.
Bestätigen, ob der geplante End-to-End-Traffic über das physische Paar weiterfliesst. Währenddessen fehlen erwartungsgemäss Firewall-Scanning und Firewall-Logs.
Stromversorgung wiederherstellen und warten, bis SFOS, Bridge-Member und Interfaces vollständig bereit sind.
Einen neuen Testflow erzeugen und bestätigen, dass wieder die erwartete Firewall Rule ID, IPS- beziehungsweise Web-Policy und Logs erscheinen.
Nicht erlaubten Traffic negativ testen. Erst dieser Schritt belegt, dass der Datenpfad wieder durch die Firewall und nicht weiterhin ungeschützt läuft.

Der Test sollte auch bei hoher Verfügbarkeitsanforderung nicht mit produktiver Volllast beginnen. Ein kleiner, eindeutig erkennbarer Pilotflow begrenzt das Risiko und erleichtert die Unterscheidung zwischen physischem Bypass, Bridge-Regel und externem Routing.

Typische Fehler eingrenzen

Bei Stromausfall fliesst kein Traffic

Zuerst Modellunterstützung, richtiges FTW-Portpaar, show lanbypass, Verkabelung und Linkparameter prüfen. Zwei beliebige Bridge-Member erzeugen keinen Hardware-Bypass. Auf beiden Seiten müssen Speed, Duplex und gegebenenfalls VLAN-Trunks auch ohne aktive Firewall zusammenpassen.

Im Normalbetrieb funktioniert die Bridge nicht

Bridge-Member, Zonen, IP-Modus, Gateway, Firewall-Regel, NAT und VLAN-Filter prüfen. LAN Bypass repariert keine normale Bridge-Konfiguration. Packet Capture und Rule ID zeigen, ob der eingeschaltete Traffic die erwartete Regel erreicht.

Nach der Rückkehr fehlt die Schutzwirkung

Nicht nur Konnektivität, sondern einen bewusst blockierten Dienst sowie IPS- oder Web-Policy testen. Bleiben Logs aus, Interfaces, Bridge, Regelmatch und Dienststatus prüfen. Das erneute Erscheinen von Rule ID und Security-Events ist der wichtige Unterschied zum stromlosen Bypass.

Der Bypass schaltet unerwartet um

Modell, SFOS-Build, show lanbypass und Ereigniszeit sichern. Eigene Änderungen an Armierung oder Watchdog über xgs-ftw werden nicht auf Verdacht vorgenommen. Solche Fälle gehören mit Topologie, Verkabelung und Statusausgabe zu Sophos Support.

Rückbau und Betrieb

Wenn Fail-to-Wire nicht mehr Teil des Designs ist, wird zuerst der Normalpfad getestet und anschliessend set lanbypass off gesetzt. Danach bestätigt show lanbypass den Zustand. Die Bridge wird nicht automatisch entfernt; sie bleibt ein normaler Netzwerkpfad und wird nur nach einem separaten Migrationsplan zurückgebaut.

Im Betrieb gehören Modell, FTW-Portpaar, Kabelziel, show lanbypass-Status, letzter Test, Risiko-Owner und nächster Testtermin in die Dokumentation. Nach Firmwarewechsel, Hardwaretausch oder Neuverkabelung muss die Zuordnung erneut geprüft werden.

FAQ

Schützt die Sophos Firewall den Traffic während LAN Bypass?

Nein. Fail-to-Wire hält bei Strom- oder Hardwareausfall den physischen Datenpfad offen, aber der Traffic fliesst ohne Firewall-Regeln, Scanning und Logging. Nach Wiederherstellung der Stromversorgung muss ein neuer Positiv- und Negativtest belegen, dass die Verarbeitung wieder durch SFOS läuft.

Ist LAN Bypass eine Alternative zu Sophos Firewall HA?

Nein. Ein HA-Cluster lässt einen zweiten Node den Traffic weiterhin mit Policies und Security Services verarbeiten. LAN Bypass verbindet ein Hardware-Portpaar direkt und erhält nur die Konnektivität, nicht die Schutzwirkung.

Kann jedes XGS-Modell LAN Bypass verwenden?

Nein. Sophos dokumentiert die Funktion für XGS-Modelle der 2xxx-Reihe und höher. Zusätzlich muss das konkrete, hardwareseitig definierte FTW-Portpaar verwendet werden; zwei beliebige Interfaces genügen nicht.