Zum Inhalt springen
Avanet

VLAN auf Sophos Firewall und UniFi Switch konfigurieren

Sophos Firewall UniFi

VLANs trennen Netzwerke logisch voneinander, obwohl sie über dieselben Switches und Kabel laufen können. In einer typischen kleinen oder mittleren Umgebung übernimmt die Sophos Firewall das Routing, die Firewall Regeln, DHCP und Security Policies. Der UniFi Switch transportiert die VLANs per Tagging zu Access Points, Clients, Servern oder weiteren Switches.

Der Artikel zeigt ein praxisnahes Setup mit Sophos Firewall als Gateway und UniFi als Switching-Plattform. Der Fokus liegt nicht nur auf dem Klickpfad, sondern auch auf den typischen Fehlern: falsches Tagged/Untagged-Verhalten, fehlende Firewall Regeln, vergessener DHCP-Server oder ein VLAN auf dem falschen Parent Interface.

Zielbild

Beispiel:

  • VLAN Name: Clients.
  • VLAN ID: 100.
  • Subnetz: 10.100.0.0/24.
  • Gateway auf Sophos Firewall: 10.100.0.1.
  • Zone auf Sophos Firewall: Client oder LAN.
  • UniFi Uplink zur Firewall: VLAN 100 tagged erlauben.
  • Client-Port am Switch: VLAN 100 untagged beziehungsweise als Native VLAN setzen.

Die Sophos Firewall ist in diesem Design das Default Gateway des VLANs. Clients im VLAN bekommen eine IP-Adresse aus dem neuen Subnetz, senden ihren Traffic an die Firewall und werden dort über Firewall Regeln, NAT, Web Protection, IPS oder andere Policies gesteuert.

Wenn zuerst die grundsätzliche Interface- und Zonenplanung geklärt werden soll, hilft Sophos Firewall Zonen und Interfaces konfigurieren. Für diese Anleitung wird angenommen, dass das VLAN bewusst als eigenes Client-, Gäste-, Server- oder Management-Netz geplant ist.

Vorab klären

Vor der Konfiguration sollte man diese Punkte festlegen:

  • Welche VLAN ID wird verwendet?
  • Welches IP-Subnetz bekommt das VLAN?
  • Soll die Sophos Firewall DHCP für dieses VLAN bereitstellen?
  • In welcher Sophos Zone liegt das VLAN?
  • Welche UniFi Ports transportieren das VLAN tagged?
  • Welche UniFi Ports geben das VLAN untagged an Endgeräte aus?
  • Darf das VLAN nur ins Internet oder auch zu internen Servern?
  • Welche lokalen Firewall-Dienste dürfen aus dieser Zone erreichbar sein?

⚠️ Ein VLAN trennt nur Layer 2. Ob Traffic zwischen VLANs erlaubt ist, entscheidet später die Sophos Firewall über Routing, Firewall Regeln und NAT. Ein VLAN ersetzt keine Regelplanung.

VLAN im UniFi Network anlegen

Je nach UniFi Network Version heissen einzelne Menüpunkte leicht anders. Das Prinzip bleibt gleich: Das VLAN wird als eigenes Netzwerk oder als VLAN-only Netzwerk angelegt, wenn die Sophos Firewall das Gateway und DHCP übernimmt.

Menüpfad:

Settings > Networks

Vorgehen:

  1. New Virtual Network oder New Network öffnen.
  2. Namen vergeben, zum Beispiel Clients.
  3. Als Router beziehungsweise Gateway Third-party Gateway wählen, wenn die Sophos Firewall Routing und DHCP übernimmt.
  4. VLAN ID eintragen, zum Beispiel 100.
  5. Automatische UniFi-Gateway- oder DHCP-Funktionen deaktiviert lassen, wenn die Sophos Firewall zuständig ist.
  6. Speichern.
UniFi Network Settings mit vorhandenen Netzwerken
Im UniFi Network werden die VLANs zuerst als Netzwerke oder VLAN-only Netze angelegt.
UniFi Network mit neuem VLAN und Third-party Gateway
Bei Third-party Gateway bleibt die Sophos Firewall das Gateway des VLANs.

UniFi Switch Ports richtig setzen

Der wichtigste Teil ist die Port-Zuordnung. Die Sophos Firewall und der UniFi Switch müssen dieselbe VLAN ID auf demselben Link sehen.

Typisches Portdesign:

  • Uplink zur Sophos Firewall: VLAN 100 tagged erlauben, damit das VLAN zur Firewall transportiert wird.
  • Uplink zu weiterem Switch: VLAN 100 tagged erlauben, wenn das VLAN weiterverteilt werden soll.
  • Access Point Port: VLAN 100 tagged erlauben, wenn eine SSID dieses VLAN nutzt.
  • Client-Port: VLAN 100 als Native/Untagged VLAN setzen, damit ein Endgerät ohne VLAN-Tag direkt im richtigen Netz landet.

Wenn ein normaler Client-PC an einem Switch-Port hängt, sendet er normalerweise untagged. Der Switch ordnet diesen Port dann dem gewünschten Native VLAN zu. Wenn ein Access Point oder weiterer Switch mehrere VLANs transportieren soll, muss der Port die VLANs tagged erlauben.

Typische Fehler:

  • VLAN auf dem UniFi Switch angelegt, aber am Uplink zur Firewall nicht erlaubt.
  • Client-Port tagged statt untagged konfiguriert.
  • Access Point SSID nutzt VLAN 100, aber der AP-Port transportiert VLAN 100 nicht.
  • Native VLAN und Tagged VLAN werden verwechselt.
  • VLAN ID ist auf UniFi und Sophos unterschiedlich.

Änderungen ohne Managementverlust planen

Bei VLAN-Änderungen an Uplinks, Switch-Portprofilen oder Management-Netzen sollte man besonders vorsichtig arbeiten. Ein falsches Native VLAN oder ein fehlendes Tagged VLAN auf dem Uplink kann dazu führen, dass Switch, Access Point oder Firewall aus dem Managementnetz verschwinden.

Vor produktiven Änderungen sollte man deshalb kurz festlegen:

  • UniFi-Managementnetz: Das Management-VLAN darf beim Portprofilwechsel nicht verloren gehen.
  • Uplink zur Sophos Firewall: Änderungen an diesem Port betreffen oft mehrere VLANs gleichzeitig.
  • Lokaler Zugriff: Bei Remote-Änderungen braucht es einen Rückfallweg auf Switch und Firewall.
  • Testport: Neue VLAN-Profile lassen sich auf einem reservierten Port prüfen, ohne produktive Geräte umzuhängen.
  • Backup: Mit gesicherter Sophos- und UniFi-Konfiguration kommt man schneller auf den letzten funktionierenden Stand zurück.

Wir empfehlen, neue VLANs zuerst auf einem einzelnen Testport zu validieren. Erst wenn DHCP, Gateway, DNS, Firewall-Regel und Log Viewer passen, sollte das Portprofil auf weitere Access Points, Switch-Uplinks oder Clientports ausgerollt werden.

VLAN auf der Sophos Firewall erstellen

Auf der Sophos Firewall wird das VLAN als virtuelles Interface angelegt.

Menüpfad:

Network > Interfaces > Add interface > Add VLAN

Vorgehen:

  1. Namen vergeben, zum Beispiel Clients VLAN 100.
  2. Als Interface den physischen Port, die Bridge oder das LAG wählen, an dem das VLAN tagged ankommt.
  3. Zone auswählen, zum Beispiel Client, LAN, Guest oder Server.
  4. VLAN ID eintragen, zum Beispiel 100.
  5. Unter IPv4 configuration meistens Static wählen.
  6. Gateway-Adresse des VLANs setzen, zum Beispiel 10.100.0.1/24.
  7. Speichern.
Sophos Firewall Add VLAN Interface Auswahl
Das VLAN wird auf dem Parent Interface erstellt, auf dem der UniFi Switch das VLAN tagged zur Firewall sendet.
Sophos Firewall VLAN Interface mit VLAN ID und IPv4 Konfiguration
VLAN ID, Zone und IP-Adresse müssen zum Switch- und Subnetzdesign passen.

Sophos erlaubt VLAN IDs von 1 bis 4094. Dieselbe VLAN ID kann auf demselben physischen Interface nicht mehrfach verwendet werden. Auf einem anderen Parent Interface kann dieselbe VLAN ID technisch wieder vorkommen, in der Praxis sollte man das aber nur tun, wenn das Netzwerkdesign eindeutig dokumentiert ist.

DHCP für das VLAN einrichten

Wenn Clients im VLAN automatisch IP-Adressen erhalten sollen, braucht es einen DHCP-Server oder DHCP-Relay.

Auf der Sophos Firewall liegt DHCP unter:

Network > DHCP

Typische DHCP-Werte:

  • Interface: Clients VLAN 100.
  • Range start: 10.100.0.50.
  • Range end: 10.100.0.200.
  • Gateway: 10.100.0.1.
  • DNS server: Firewall-IP oder interner DNS-Server.
  • Domain name: interne Suchdomain, falls benötigt.

Wenn die Sophos Firewall als DNS-Resolver für dieses VLAN verwendet werden soll, muss DNS zusätzlich unter Administration > Device access für die passende Zone erlaubt sein. DHCP-Optionen für spezielle Geräte sind im Artikel Sophos Firewall DHCP Options (SFOS) beschrieben.

Firewall Regeln erstellen

Nach VLAN und DHCP fehlt meistens noch die passende Firewall Regel. Ohne Regel kann der Client zwar eine IP-Adresse bekommen, aber nicht automatisch ins Internet oder in andere Netze kommunizieren.

Typische erste Internet-Regel:

  • Rule name: Clients_to_WAN.
  • Source zones: Client oder LAN.
  • Source networks and devices: Netzwerkobjekt des VLANs, zum Beispiel net_Clients_10.100.0.0_24.
  • Destination zones: WAN.
  • Destination networks: Any.
  • Services: HTTP, HTTPS, DNS, NTP oder bewusst definierte Dienste.
  • Log firewall traffic: aktiviert.

Für Zugriffe auf interne Server sollte man separate Regeln erstellen und nur die benötigten Ziele und Dienste erlauben. Ein Gäste- oder IoT-VLAN sollte in der Regel nicht pauschal in Richtung Server- oder Management-Netz dürfen.

Die Details zu Regelreihenfolge, Source Zone, Destination Zone, Security Features und Logging stehen in Sophos Firewall-Regeln verstehen und richtig konfigurieren.

Device Access prüfen

Device Access steuert lokale Dienste der Firewall selbst, nicht den Traffic durch die Firewall. Das ist bei neuen VLANs wichtig.

Beispiele:

  • Clients sollen die Firewall als DNS-Server nutzen: DNS für die Zone erlauben.
  • Monitoring soll die Firewall pingen: Ping/Ping6 gezielt erlauben.
  • Normale Clients, Gäste oder IoT-Geräte sollen nicht auf WebAdmin oder SSH zugreifen.
  • Management-Zugriff sollte aus einem eigenen Admin-Netz oder über Local Service ACL Exception Rules erfolgen.

Für die genaue Härtung hilft Sophos Firewall Zugriff absichern: Device Access richtig konfigurieren.

Test und Validierung

Nach der Konfiguration sollte man nicht nur prüfen, ob ein Client Internet hat. Besser ist ein kurzer, reproduzierbarer Testplan:

  1. Client an den vorgesehenen UniFi Port anschliessen.
  2. Prüfen, ob der Client eine IP-Adresse aus dem richtigen VLAN erhält.
  3. Default Gateway und DNS-Server prüfen.
  4. Firewall-IP im VLAN anpingen, falls Ping erlaubt ist.
  5. Internetzugriff testen.
  6. Zugriff auf interne Netze testen, der erlaubt sein soll.
  7. Zugriff auf interne Netze testen, der blockiert sein soll.
  8. Im Sophos Log viewer prüfen, welche Firewall Regel matched.
  9. Usage Counter der Regel kontrollieren.

Wenn eine Regel nicht wie erwartet greift, hilft Sophos Firewall Regel testen mit Log Viewer und Packet Capture.

Typische Fehler

  • VLAN ist am UniFi Uplink zur Firewall nicht tagged erlaubt: Clients erhalten keine IP-Adresse oder erreichen die Firewall nicht.
  • VLAN liegt auf der Sophos am falschen Parent Interface: Die Sophos Firewall sieht den Traffic nicht.
  • Client-Port ist tagged statt untagged: Normale Clients landen nicht im VLAN.
  • DHCP fehlt: Der Client bekommt keine IP-Adresse oder eine APIPA-Adresse.
  • DNS Device Access fehlt: Der Client kann IPs erreichen, aber keine Namen auflösen.
  • Firewall Regel fehlt: Der Client bekommt eine IP-Adresse, aber Traffic wird blockiert.
  • Zu breite Allow-Regel: VLAN-Trennung wird praktisch wieder aufgehoben.
  • Falsche Zone gewählt: Regel, Device Access oder Web Policy greifen anders als erwartet.
  • Native VLAN am Trunk unklar: Ungetaggter Traffic landet im falschen Netz.

Troubleshooting

Wenn das VLAN nicht funktioniert, sollte man von Layer 1 nach Layer 7 prüfen:

  1. Kabel und Link: Zeigt der UniFi Port Link und die erwartete Geschwindigkeit?
  2. UniFi Portprofil: Ist VLAN 100 am Uplink tagged erlaubt?
  3. Client-Port: Ist VLAN 100 für normale Clients untagged/native gesetzt?
  4. Sophos Interface: Ist das VLAN unter Network > Interfaces sichtbar, verbunden und in der richtigen Zone?
  5. DHCP: Gibt es einen DHCP-Server oder Relay für das VLAN?
  6. Gateway: Ist die Sophos VLAN-IP das Default Gateway?
  7. Device Access: Ist DNS oder Ping für die Zone erlaubt, falls benötigt?
  8. Firewall Regeln: Stimmen Source Zone, Source Network, Destination Zone und Services?
  9. Log Viewer: Wird der Traffic erlaubt, verworfen oder von einer anderen Regel getroffen?
  10. Packet Capture: Kommen Pakete auf dem richtigen Interface und mit der erwarteten VLAN-Konfiguration an?

Bei schwer nachvollziehbaren Fällen ist Packet Capture oft entscheidend. Wenn am Sophos Parent Interface gar keine Pakete ankommen, liegt das Problem meistens auf UniFi-Seite, am Kabel, Portprofil, Tagged/Untagged-Design oder am falschen Uplink.

Checkliste

  • VLAN ID ist auf UniFi und Sophos identisch.
  • UniFi Uplink zur Sophos Firewall erlaubt das VLAN tagged.
  • Endgeräte-Port ist bei normalen Clients untagged/native im richtigen VLAN.
  • Sophos VLAN liegt auf dem richtigen Parent Interface.
  • Sophos VLAN hat die geplante Zone und Gateway-IP.
  • DHCP oder DHCP Relay ist eingerichtet.
  • DNS ist passend gesetzt und bei Nutzung der Firewall über Device Access erlaubt.
  • Firewall Regel für Internetzugriff ist vorhanden und geloggt.
  • Interne Zugriffe sind nur dort erlaubt, wo sie wirklich gebraucht werden.
  • Log Viewer und Packet Capture wurden für einen Testclient geprüft.

Häufige Fragen

Braucht jedes VLAN eine eigene Sophos Zone?

Nein. Mehrere VLANs können in derselben Zone liegen, wenn sie dieselbe Vertrauensstufe, dieselben Firewall Regeln und denselben Device Access bekommen. Wenn ein VLAN aber andere Rechte oder ein anderes Risiko hat, ist eine eigene Zone oft übersichtlicher.

Muss DHCP auf der Sophos Firewall laufen?

Nicht zwingend. DHCP kann auch auf einem internen Server laufen oder per Relay weitergeleitet werden. Wichtig ist nur, dass Clients im VLAN eine passende IP-Adresse, Gateway und DNS-Konfiguration erhalten.

Warum funktioniert Internet, aber kein Zugriff auf interne Server?

Meistens fehlt eine passende Firewall Regel zwischen der VLAN-Zone und der Server-Zone, oder die Regel liegt unter einer allgemeineren Block- oder Allow-Regel. Im Log Viewer sieht man, welche Regel tatsächlich matched.

Warum bekommt der Client keine IP-Adresse?

Häufige Ursachen sind ein falsches UniFi Portprofil, ein nicht getaggter Uplink zur Sophos Firewall, ein VLAN auf dem falschen Parent Interface oder ein fehlender DHCP-Server.

Soll ein Gäste-VLAN DNS über die Sophos Firewall nutzen?

Das kann sinnvoll sein, wenn die Firewall DNS für das Gäste-VLAN bereitstellen oder filtern soll. Dann muss DNS für die entsprechende Zone unter Device Access erlaubt sein. Alternativ kann man externe DNS-Server per DHCP verteilen.