SFP und SFP+ für Sophos Firewall auswählen und prüfen

Bleibt ein SFP-Port auf Unplugged, flappt der Link oder erreicht er nicht die erwartete Geschwindigkeit, liegt die Ursache meist vor der Firewall-Regel: Porttyp, Transceiver, Faser, Gegenstelle oder Link-Aushandlung passen nicht zusammen.

Die schnellste Prüfung folgt dieser Reihenfolge:

1. Appliance-Modell und Hardware-Port bestimmen: SFP, SFP+, QSFP oder Flexi Port.
2. Unterstützte Geschwindigkeit und Transceiver-Kompatibilität für genau diesen Port prüfen.
3. Transceiver, Faser beziehungsweise DAC und Modul der Gegenstelle abgleichen.
4. Unter Network > Interfaces Link Mode, Auto-Negotiation und FEC kontrollieren.
5. Link und Modul mit ethtool lesend auswerten.
6. Faser, Modul und Gegenstellenport einzeln gegen bekannte, funktionierende Komponenten tauschen.
7. Erst bei stabilem physischem Link VLAN, LAG, IP-Konfiguration, Routing und Firewall-Regeln untersuchen.

Port und Transceiver passend auswählen

SFP, SFP+ und Dual Rate unterscheiden

SFP steht typischerweise für 1 GbE, SFP+ für 10 GbE. Das Pluszeichen ist deshalb relevant: Ein 10G-SFP+-Modul funktioniert nicht in einem reinen 1G-SFP-Port. Umgekehrt unterstützt nicht jeder SFP+-Port automatisch 1-Gbit/s-SFPs.

Einige SFP+-Ports oder Flexi-Port-Module sind Dual Rate und unterstützen 1 sowie 10 GbE. Das darf aber nur für den konkreten Port angenommen werden, wenn Modellhandbuch oder Kompatibilitätsmatrix es bestätigen. Bei grösseren Appliances kommen zusätzlich QSFP-, QSFP+- oder Breakout-Ports hinzu; auch dort müssen Portmodus, Modul und Geschwindigkeit zusammenpassen.

Die aktuelle Modell- und Transceiver-Matrix ist im Sophos Firewall Config Studio unter Backup-restore compatibility verfügbar. Dort vor Beschaffung oder Umbau Appliance, Flexi-Port-Modul, Portstandard und Transceiver prüfen. Die Ansicht ist auch deshalb besser als eine statische Liste in diesem Artikel, weil unterstützte Modelle und Module aktualisiert werden können.

Ein nicht gelisteter Drittanbieter-Transceiver kann technisch funktionieren, ist damit aber nicht automatisch von Sophos getestet oder supportet. Einen allgemeinen CLI-Befehl, der einen inkompatiblen SFP freischaltet, gibt es nicht. Für produktive Uplinks sollte deshalb ein geprüftes Modul und ein bekannter Ersatz verfügbar sein.

Optischen Pfad und Gegenstelle abgleichen

Bei Glasfaser müssen beide Enden denselben Übertragungsstandard verwenden. Vor dem Einstecken prüfen:

• Singlemode oder Multimode
• Geschwindigkeit und Standard, beispielsweise 1G-SX/LX oder 10G-SR/LR
• Wellenlänge und unterstützte Distanz
• Anschluss und passende Patchfaser
• bei zwei Fasern korrekte TX-/RX-Polarität
• bei BiDi-Modulen das zusammengehörende Wellenlängenpaar
• kompatibles Modul und aufeinander abgestimmte Portparameter an der Gegenstelle

Als grobe Orientierung stehen SX und SR meist für kurze Multimode-Strecken, LX und LR meist für längere Singlemode-Strecken. Massgebend bleiben jedoch immer die Angaben des konkreten Transceivers und der Gegenstelle.

Ein typisches 10-Gbit/s-Beispiel für eine kurze Verbindung besteht aus kompatiblen 10G-SR-Transceivern an beiden Enden und einer zur Distanz passenden Multimode-Faser. Ein 10G-LR-Modul auf der einen und ein 10G-SR-Modul auf der anderen Seite passen trotz gleicher Geschwindigkeit nicht zusammen.

Bei DAC oder AOC müssen Kabeltyp, Länge, Portstandard und beide Geräte unterstützt sein. Ein mechanisch passendes Kabel garantiert noch keinen Link.

⚠️ Lasersicherheit: Nie direkt in einen eingeschalteten Transceiver oder ein offenes Faserende schauen. Schutzkappen erst beim Anschliessen entfernen und verschmutzte Stecker mit geeignetem Glasfaserwerkzeug reinigen.

Port in SFOS konfigurieren

Das physische Interface unter Network > Interfaces bearbeiten und Advanced settings > Port settings öffnen. Je nach Appliance erscheinen:

• Link mode: Geschwindigkeit und Duplex
• Auto-negotiation for media type: automatische Aushandlung mit der Gegenstelle
• Forward Error Correction (FEC): Fehlerkorrektur für unterstützte schnelle Ports
• Show recommended settings: empfohlene Werte für den gewählten Portmodus anzeigen
• Load recommended configuration: diese Werte übernehmen

Geschwindigkeit, Duplex, Auto-Negotiation und FEC müssen auf beiden Seiten kompatibel sein. Ein Mismatch kann Link-Abbrüche, Fehler, Latenz oder schlechte Performance verursachen. Bei 25-, 50- und 100-Gbit/s-Ports zuerst den Link Mode speichern, das Interface erneut öffnen und danach die empfohlene Konfiguration laden.

Bei Flexi-Port-Modulen in XGS 2100, 2300, 3100 und 3300 müssen alle SFP+-Ports desselben Moduls mit derselben Geschwindigkeit konfiguriert sein. Diese Einschränkung gilt nicht pauschal für jeden festen SFP+-Port oder jedes XGS-Modell.

⚠️ Eine Änderung am Uplink kann den Link und damit den WebAdmin-Zugang sofort unterbrechen. Für produktive WAN-, Core- oder HA-Verbindungen gehören ein Wartungsfenster, ein alternativer Adminzugang und die bisherigen Werte in den Rückweg.

Nach dem Speichern unter Network > Interfaces den Hardware-Namen und Status prüfen. Connected bestätigt den physischen Link, aber noch keine korrekte VLAN-, LAG-, IP- oder Policy-Konfiguration. Das Zusammenspiel von Interface, Zone und Regeln erklärt Sophos Firewall Zonen und Interfaces richtig planen.

Link und Modul über die CLI lesen

Hardware-Namen ermitteln

Für die folgenden Befehle wird der Hardware-Name benötigt, nicht der frei vergebene Anzeigename. Er steht unter Network > Interfaces und kann beispielsweise PortF1, PortA1 oder Port1 lauten.

Alternativ zeigt die Device Console die Interfaces:

show network interfaces

Für ethtool über Device Management > Advanced Shell wechseln. Die Konsolen und der SSH-Zugang sind unter Sophos Firewall per SSH verwalten erklärt.

Link, Speed und Aushandlung prüfen

Beispiel für PortF1:

ethtool PortF1

Der Befehl verändert nichts. Eine gekürzte Ausgabe kann beispielsweise so aussehen:

Speed: 10000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes

In diesem Beispiel besteht ein physischer 10-Gbit/s-Link mit Full Duplex. Ob VLAN, IP-Konfiguration, Routing und Firewall-Regeln stimmen, ist damit noch nicht geprüft. Besonders relevant sind:

• Link detected: yes für einen erkannten physischen Link
• die erwartete Geschwindigkeit, beispielsweise Speed: 10000Mb/s
• Duplex: Full
• unterstützte und aktuell verwendete Link-Modi
• der Zustand von Auto-Negotiation

Diese Werte sind Indizien und müssen zur Gegenstelle passen. Link detected: yes beweist noch keinen funktionierenden Datenpfad. Umgekehrt beweist Speed: Unknown! nicht allein einen defekten Transceiver, weil Treiber und Porttyp die Ausgabe beeinflussen können.

Bleibt ein physisches oder LAG-basiertes XGS-10G-Interface mit Auto-negotiation down, beschreibt LAG mit LACP einrichten und testen den weiterhin gelisteten Fehler NC-94073 und den offiziellen manuellen 10-Gbit/s-Workaround.

Transceiver-Daten und optische Werte auslesen

Das EEPROM des Moduls lässt sich, soweit Modul und Treiber es unterstützen, so lesen:

ethtool -m PortF1

Die Ausgabe kann unter anderem zeigen:

• Identifier und Anschluss
• Transceiver-Typ und Wellenlänge
• vorgesehene Faserlänge
• Hersteller, Part Number und Seriennummer
• Temperatur und Spannung
• optische Sende- und Empfangsleistung
• Alarm- und Warning-Grenzen

RX- und TX-Leistung nur gegen die vom konkreten Modul ausgegebenen Grenzwerte oder dessen Datenblatt bewerten. Pauschale dBm-Grenzen wären falsch, weil Standard, Distanz und Optik variieren.

Nicht jedes Modul stellt Digital Diagnostic Monitoring bereit. Eine leere Ausgabe oder Operation not supported bedeutet deshalb nur, dass EEPROM- beziehungsweise Diagnosedaten über diesen Treiber nicht verfügbar sind. Das beweist keinen Defekt. Umgekehrt beweisen lesbare Moduldaten noch keinen stabilen Link.

Die Ausgabe kann Hersteller- und Seriennummern enthalten. Vor einem öffentlichen Screenshot oder Ticket nicht benötigte Gerätedaten schwärzen.

Link-Flaps im Kernelpuffer suchen

Bei kurzen Unterbrüchen hilft eine lesende Suche in der Advanced Shell:

dmesg | grep PortF1

Wiederholte Link-up-/Link-down-Meldungen passen zu Faser-, Modul-, Gegenstellen- oder Aushandlungsproblemen. dmesg enthält nur den aktuellen Kernelpuffer und ersetzt kein langfristiges Monitoring.

Zustandsverändernde oder unterbrechende Varianten wie ethtool -s, ethtool -r oder EEPROM-Änderungen gehören nicht in eine normale Diagnose. Sie können den Link, den Adminzugang oder den Modulzustand verändern.

Fehlenden oder instabilen Link eingrenzen

Die Ergebnisse lassen sich so weiterverfolgen:

• Interface bleibt Unplugged: Porttyp, unterstützte Geschwindigkeit, Modulkompatibilität, Sitz des Transceivers, Faser, TX/RX-Polarität und Gegenstellenport prüfen.
• Moduldaten sind lesbar, aber der Link bleibt down: Gleichen Standard und dieselbe Geschwindigkeit an beiden Enden sicherstellen; Auto-Negotiation und FEC vergleichen. Danach Faser und Module einzeln gegen bekannte, funktionierende Komponenten tauschen.
• Link kommt nur sporadisch hoch: Stecker reinigen, Biegeradius und Temperatur prüfen, RX-/TX-Werte mit Modulgrenzen vergleichen und dmesg auf Flaps kontrollieren.
• Link ist up, aber langsam oder fehlerhaft: Ausgehandelten Speed und Duplex, Switch-Counter, optische Werte und FEC prüfen. Performance erst mit einem zweiten Testgerät bewerten, bevor die Firewall als Ursache gilt.
• Link ist stabil, aber kein Traffic fliesst: Jetzt VLAN-Tagging, LAG, Zone, IP-Adresse, Gateway, Routing und Firewall-Regeln prüfen. Für VLANs hilft Sophos Firewall VLAN einrichten und testen.

Immer nur eine Komponente auf einmal tauschen und das Ergebnis dokumentieren. So bleibt erkennbar, ob Modul, Faser, Firewall-Port oder Gegenstelle die Ursache war.

Wenn ein kompatibles Modul und eine bekannte, funktionierende Faser auch an einem korrekt konfigurierten Port keinen stabilen Link ergeben, Ausgaben, Zeitstempel, SFOS-Version, Appliance-Modell und verwendete Part Numbers sichern. Der weitere Support- und RMA-Ablauf steht unter Technischen Defekt einer Sophos Appliance prüfen.

Swisscom XGS-PON-GBIC an XGS Rev. 2

Die aktuelle Sophos Known Issues List führt unter NC-168210 für SFOS 21.5 GA Build 171 einen konkreten Schweizer Spezialfall: Das Swisscom-Modul ALL-BM410-XGSPON-GBIC wird in den 1-Gbit/s-SFP-Ports von XGS-Rev.-2-Appliances nicht unterstützt.

Sophos nennt einen 10-Gbit/s-SFP+-Port als Ausweichmöglichkeit, weist aber gleichzeitig darauf hin, dass das Modul dort nicht intern getestet wurde. Der Betrieb ist daher nicht garantiert. Für einen produktiven Anschluss gehören bestätigte Portkompatibilität, ein Wartungsfenster und eine alternative Provideranbindung in den Plan.

Der Fall zeigt den wichtigen Unterschied: Ein Modul kann möglicherweise einen Link aufbauen und trotzdem nicht als getestete, supportete Kombination gelten.