Statische Route auf Sophos Firewall einrichten und testen

Eine statische Route sagt der Sophos Firewall, über welchen festen Next Hop oder welches Tunnelinterface sie ein bestimmtes Ziel erreicht. Sie passt, wenn der Weg feststeht und keine Auswahl nach Quelle, Dienst, Anwendung oder Leitungsqualität nötig ist.

Kurzantwort

Eine IPv4-Route wird hier angelegt:

Routing > Static routes > IPv4 unicast route > Add

Für ein Zielnetz 10.20.0.0/24, das über den Router 192.0.2.2 an Port4 erreichbar ist, trägt man ein:

• Destination IP / Netmask: 10.20.0.0/24
• Gateway IP: 192.0.2.2
• Interface: Port4
• Administrative distance: 1
• Metric: 10
• Description: Branch_10.20_via_Core

Danach prüft man unter Diagnostics > Tools > Route lookup das Ziel 10.20.0.10. Das erwartete Interface ist Port4.

Damit der Traffic wirklich funktioniert, braucht es zusätzlich eine passende Firewall-Regel und auf der Gegenstelle eine Rückroute. Eine statische Route erlaubt keinen Traffic und führt nicht automatisch NAT aus.

Das Beispiel verstehen

Das Beispiel verwendet folgenden Aufbau:

• Das Clientnetz hinter der Sophos Firewall ist 10.10.0.0/24.
• Als Testclient dient 10.10.0.10 in diesem Netz.
• Port4 der Firewall hat die Transit-IP 192.0.2.1/30.
• Der nächste Router hat auf diesem Netz die IP 192.0.2.2.
• Hinter diesem Router liegt das Zielnetz 10.20.0.0/24.
• Als Testsystem dient 10.20.0.10.

Die Destination ist immer das entfernte Ziel, nicht der nächste Router. Gateway IP ist der direkt erreichbare Next Hop, der das Paket weiterleitet. Interface ist der Port oder das Tunnelinterface, über den dieser Next Hop erreicht wird.

In Gateway IP wird die Adresse direkt eingetragen; dafür braucht es kein Gateway-Objekt unter Routing > Gateways. Für die eigene Umgebung ersetzt man Zielnetz, Gateway und Interface gemeinsam. Wird nur eine Beispieladresse übernommen, kann die Route zwar gespeichert werden, aber ins falsche Netz oder über einen nicht erreichbaren Router zeigen. Die IP des Gateways muss zum Netz des gewählten Interfaces passen.

Die Grundlagen zu Port, Zone und Interface-IP erklärt Sophos Firewall Zonen und Interfaces konfigurieren.

Wann eine statische Route passt

Eine statische Route ist sinnvoll, wenn ein Netz dauerhaft über denselben Next Hop erreichbar ist, beispielsweise:

• ein Filialnetz hinter einem internen Core Router
• ein Servernetz hinter einem Layer-3-Switch
• ein Netz hinter einem RED-Tunnel
• ein entferntes Netz über ein XFRM-Interface eines route-based IPsec-Tunnels

Muss die Firewall zusätzlich nach Quelle, Dienst oder Anwendung entscheiden oder Pfade anhand von Latenz, Jitter und Paketverlust wechseln, ist eine SD-WAN Route meist das passendere Werkzeug. In grösseren, häufig veränderten Netzen reduzieren OSPF oder BGP den manuellen Pflegeaufwand.

IPv4-Route einrichten

Vor der Änderung dokumentiert man Zielnetz, Next Hop, Ausgangsinterface, erwartete Zone, Rückweg und einen erreichbaren Testhost. Anschliessend:

1. Routing > Static routes öffnen.
2. Unter IPv4 unicast route auf Add klicken.
3. Bei Destination IP / Netmask 10.20.0.0/24 eintragen.
4. Bei Gateway IP den nächsten Router 192.0.2.2 eintragen.
5. Als Interface Port4 wählen.
6. Administrative distance auf 1 setzen.
7. Bei Metric 10 eintragen.
8. Eine eindeutige Description wie Branch_10.20_via_Core ergänzen.
9. Mit Save speichern.

Sophos Firewall berücksichtigt bei dieser Route zuerst das gewählte Interface und danach das Gateway. Stimmt eines der beiden Felder nicht, wird der vorgesehene Next Hop nicht erreicht.

Administrative Distance und Metric

Die Administrative Distance bewertet konkurrierende Routingquellen. Ein kleinerer Wert hat Vorrang: Eine Route mit 1 wird gegenüber einer Route mit 5 bevorzugt.

Haben mehrere statische Routen zum gleichen Ziel dieselbe Administrative Distance, entscheidet die Metric. Auch hier wird der kleinere Wert bevorzugt.

Die globale Route Precedence zwischen Static, SD-WAN und VPN ist eine andere Ebene als Administrative Distance und Metric. Sie sollte für eine einzelne neue Route nicht vorschnell verändert werden.

Die Beispielwerte 1 und 10 sind einfache Ausgangswerte für eine einzelne Route, keine allgemeine Produktvorgabe. Vor der Übernahme vergleicht man vorhandene Routen zum gleichen Ziel. Für Primary/Backup oder ECMP werden Administrative Distance und Metric bewusst nach der gewünschten Priorität gewählt.

Zwei Routen mit unterschiedlicher Administrative Distance können einen bevorzugten und einen nachrangigen Pfad beschreiben. Administrative Distance und Metric überwachen den Next Hop jedoch nicht selbst. Für einen einfachen Erreichbarkeits-Failover kann man überwachte Gateway-Objekte mit statischen Routen und unterschiedlichen Administrative Distances einsetzen. Für eine Auswahl nach Latenz, Jitter oder Paketverlust verwendet man ein SD-WAN Profile und eine SD-WAN Route.

Für IPv4-ECMP legt man mehrere Routen zum gleichen Ziel mit gleicher Administrative Distance und Metric, aber unterschiedlichen Next Hops an. Damit wird Traffic verteilt; es entsteht kein qualitätsbasierter Primary-/Backup-Pfad.

Blackhole bewusst verwenden

Mit Blackhole verwirft die Firewall Traffic zum angegebenen Ziel ohne Antwort an die Quelle. Das kann für bewusst gesperrte oder zusammengefasste Netze sinnvoll sein, ist aber kein Ersatz für einen normalen Next Hop.

Wer statische Routen über RIP, OSPF oder BGP verteilt, muss Blackhole-Routen dort gezielt filtern. Sonst kann die Firewall auch diese Sperrroute an andere Router weitergeben.

IPv6 und Tunnel-Sonderfälle

Unter IPv6 unicast route werden Zieladresse mit Prefix, Gateway IP, Interface und Metric eingetragen. Sophos dokumentiert für die IPv6-Maske keine Administrative Distance, Blackhole-Option, Beschreibung, Clone- oder Ein-/Ausschaltfunktion. IPv4-Einstellungen sollten deshalb nicht ungeprüft auf IPv6 übertragen werden.

Bei einem route-based IPsec-Tunnel mit Any-to-Any-Subnets kann die Route direkt auf das XFRM-Interface zeigen, ohne dass ein separater Gateway nötig ist. Verwendet der Tunnel konkrete Traffic Selectors, erzeugt SFOS die Route automatisch; dann werden am XFRM-Interface keine eigenen IP-Adressen oder zusätzlichen Routen konfiguriert. Eine XFRM-Route ist zudem nicht der versionsabhängige CLI-Sonderfall ipsec_route; die Abgrenzung erklärt IPsec Route auf Sophos Firewall erstellen.

Für ein Netz hinter der Peer-Schnittstelle eines Site-to-Site-RED-Tunnels zwischen Sophos Firewalls gilt eine weitere Ausnahme: Als Gateway wird die IP der Peer-RED-Schnittstelle eingetragen, aber kein Interface ausgewählt. Dadurch kann die Firewall das erreichbare Interface per ARP ermitteln. Das gilt nicht für die unter SFOS 22 entfernten Legacy-RED-Server/Client-Tunnel zu Sophos UTM.

Firewall-Regel, NAT und Rückweg

Routing bestimmt den Pfad. Die Firewall-Regel entscheidet, ob das Paket passieren darf, und NAT verändert bei Bedarf seine Adressen. Diese drei Aufgaben werden getrennt konfiguriert.

Für das Beispiel benötigt man eine Regel vom Clientnetz 10.10.0.0/24 zum Zielnetz 10.20.0.0/24. Als Destination Zone gilt die Zone von Port4. Die Regel wird auf die wirklich benötigten Dienste begrenzt und für den Test mit Logging versehen.

Bei einem normal gerouteten Standortnetz ist meist kein SNAT erwünscht, weil die Gegenstelle die echte Client-IP sehen soll. Der Router 192.0.2.2 benötigt dann diese Rückroute:

Zielnetz: 10.10.0.0/24
Next Hop: 192.0.2.1

Kann auf der Gegenstelle keine Rückroute eingerichtet werden, kann SNAT technisch helfen. Es verbirgt jedoch die ursprüngliche Client-IP und sollte eine bewusste Designentscheidung bleiben. Die Zusammenhänge erklärt NAT auf Sophos Firewall verstehen.

Route prüfen

Eine gespeicherte Route ist erst abgenommen, wenn ein echter Client die Gegenstelle erreicht und der Rückweg funktioniert.

1. Unter Diagnostics > Tools > Route lookup 10.20.0.10 eingeben. Die Ausgabe muss Port4 zeigen.

2. In der Device Console die konfigurierten IPv4- beziehungsweise IPv6-Routen und bei Konkurrenz mit SD-WAN oder VPN die Route Precedence prüfen:

   show static-route
   show static-route6
   system route_precedence show
   

3. Vom Client 10.10.0.10 eine echte Verbindung zu 10.20.0.10 starten, beispielsweise Ping oder TCP 443 – passend zur Firewall-Regel.

4. Im Log viewer Quelle, Ziel, Dienst, Firewall Rule ID und eine mögliche NAT Rule ID kontrollieren.

5. Unter Diagnostics > Packet capture mit host 10.20.0.10 prüfen, ob Requests über Port4 austreten und Antworten zurückkommen.

Zeigt Route Lookup den richtigen Pfad, aber es fliesst kein Traffic, liegt die Ursache meist bei Firewall-Regel, NAT, Rückroute oder Zielsystem. Der vollständige Paketfluss-Test steht unter Sophos Firewall Regel testen mit Log Viewer und Packet Capture.

Bei tieferen Routingproblemen helfen in der Device Console die letzten Einträge aus Unicast- und Kernel-Log:

show logs staticd.log lines 50
show logs zebra.log lines 50

staticd.log betrifft statische Unicast-Routen; zebra.log zeigt die Installation statischer IPv4-Unicast-Routen im Kernel. Weitere Logdateien ordnet Sophos Firewall Service- und Logdateien den zuständigen Diensten zu.

Nach einem Interface- oder Tunnelneustart kann eine reine Gateway-Route zunächst in der Routingtabelle fehlen. Sie erscheint, sobald passender Traffic Ziel und Gateway matcht und die Firewall das Interface auswählt. Ein fehlender Eintrag direkt nach dem Neustart beweist daher noch keinen Defekt.

Fehler eingrenzen und zurückrollen

Route Lookup zeigt das falsche Interface

• Zieladresse und Prefix prüfen; ein Tippfehler kann ein anderes Netz matchen.
• Gateway muss über das gewählte Interface direkt erreichbar sein.
• Konkurrierende statische Routen sowie Administrative Distance und Metric vergleichen.
• Bei SD-WAN oder VPN die aktuelle Reihenfolge mit system route_precedence show prüfen. Die globale Änderung erklärt Route Precedence sicher ändern.

Request geht hinaus, aber keine Antwort kommt

• Rückroute auf dem nächsten Router und auf dem Zielsystem prüfen.
• Firewall-Regel für die initiierende Richtung und vorhandene NAT-Regeln prüfen. Eine Regel in Gegenrichtung ist nur nötig, wenn die Gegenstelle selbst neue Verbindungen initiiert.
• Mit Packet Capture feststellen, ob die Antwort an Port4 zurückkommt.
• Lokale Firewall und Standardgateway des Zielsystems prüfen.

Sicherer Rollback

Eine neue IPv4-Route wird zunächst deaktiviert statt gelöscht. Danach prüft man Route Lookup, eine neue Clientverbindung und den bisherigen Pfad erneut. Erst wenn der Ausgangszustand bestätigt ist, entfernt man bei Bedarf die Route sowie Regeln oder NAT-Objekte, die ausschliesslich für diese Änderung erstellt wurden.

Für IPv6 dokumentiert Sophos keine Ein-/Ausschaltfunktion. Deshalb werden die bisherigen Werte vorab festgehalten und die neue Route bei einem Rollback bearbeitet oder entfernt. In einem HA-Cluster wird der Test nach einem Failover auf dem neuen Primary wiederholt; Logs werden nicht zwischen den Geräten synchronisiert.

Häufige Fragen

Muss ich Gateway und Interface immer gemeinsam angeben?

Bei einer normalen Ethernet-Route in der Regel ja. Route-based IPsec kann nur das XFRM-Interface verwenden; beim beschriebenen RED-Sonderfall wird nur die Peer-RED-IP als Gateway eingetragen.

Warum funktioniert die Verbindung trotz korrektem Route Lookup nicht?

Route Lookup bestätigt nur den gewählten Pfad. Häufig fehlen die Firewall-Regel, der Rückweg, eine passende NAT-Entscheidung oder die Freigabe auf dem Zielsystem.

Überwacht eine statische Route den Gateway automatisch?

Administrative Distance und Metric überwachen den Gateway nicht. Ein einfacher Erreichbarkeits-Failover ist mit überwachten Gateway-Objekten und priorisierten statischen Routen möglich; für Qualitätskriterien wie Latenz, Jitter oder Paketverlust verwendet man SD-WAN.