Zum Inhalt springen
Avanet

Sophos Firewall Wireless Mesh einrichten und testen

Sophos Firewall

Ein Wireless Mesh auf Sophos Firewall verbindet einen oder mehrere APX Access Points drahtlos mit einem verkabelten Root-AP. Es kann eine Funklücke überbrücken, wenn am entfernten Standort keine Ethernet-Verkabelung vorhanden ist. Der Mesh-Backhaul ist dabei nicht die sichtbare WLAN-SSID: SFOS erzeugt dafür ein verborgenes WPA2-Personal-Netz mit einer zufälligen Passphrase. Die Clients verwenden weiterhin ein separat konfiguriertes Wireless Network.

⚠️ Wichtig: Diese Anleitung gilt für bestehende, direkt von SFOS verwaltete APX-Installationen. APX lässt sich nur mit APX vermeshen. AP6, integriertes LocalWiFi, SD-RED-Wi-Fi-Module und gemischte Sophos-AP-Serien gehören nicht in diesen Ablauf. Ein Mesh ersetzt zudem keine verkabelte Redundanz: Mindestens ein AP bleibt per LAN verbunden, und SFOS führt bei einem Ausfall des Root-AP keinen automatischen Root-Wechsel durch.

Kurzablauf:

  1. Beide APX zunächst per LAN verbinden, unter Wireless > Access points annehmen und Firmware, Country sowie Funkplanung prüfen.
  2. Für das Mesh-Band auf allen beteiligten APs denselben festen Kanal setzen und Dyn chan ausschalten.
  3. Unter Wireless > Mesh networks > Add Mesh-ID, Frequency band und APX-Geräte konfigurieren.
  4. Die sichtbare Client-SSID separat an beide APX zuweisen.
  5. Konfiguration speichern, APX neu starten, nur den Root-AP verkabelt lassen und bis zu fünf Minuten warten.
  6. AP-Status, Clientverbindung, DHCP, Rule ID, Internetzugriff und den Ausfall des Root-Pfads kontrolliert prüfen.

Wann ein APX-Mesh passt

Ein Mesh passt zu einer bestehenden APX-Installation, wenn ein einzelner entfernter Access Point keinen Ethernetanschluss erhält und die Funkverbindung zum Root-AP stabil genug ist. Typische Beispiele sind eine kleine Lagerzone, ein Besprechungsraum oder ein temporärer Bereich, in dem eine spätere Verkabelung geplant ist.

Ein Ethernet-Uplink bleibt technisch die bessere Basis für dauerhaft hohe Kapazität, stabile Latenz und planbares Failover. Der Mesh-Backhaul teilt Funkzeit mit anderen Übertragungen. Deshalb sollte man die reale Leistung mit den vorgesehenen Clients und Anwendungen messen, statt aus dem Link-Status auf die nutzbare Kapazität zu schliessen.

Für neue Installationen ist zudem die Produktgrenze wichtig: APX ist End-of-Sale und erreicht am 31. Dezember 2027 das End-of-Life. Das APX-Lifecycle und AP6 als Nachfolger gehört deshalb in die mittelfristige Planung. AP6 wird nicht über SFOS verwaltet.

Mesh-Backhaul, Client-SSID und Rollen verstehen

Diese Bausteine erfüllen unterschiedliche Aufgaben:

  • Mesh network: verborgener Funk-Backhaul zwischen den APX-Geräten. Die Mesh-ID identifiziert den Verbund; die zufällige WPA2-Passphrase verwaltet SFOS.
  • Root-AP: APX mit bestehender Ethernetverbindung zur Firewall. Bei APX ergibt sich diese Rolle automatisch aus der Verkabelung.
  • Mesh-AP: APX ohne Ethernet-Uplink, der den Root-AP über Funk erreicht.
  • Wireless Network: sichtbare Client-SSID mit Security mode, Client traffic, DHCP und Regeln. Die vollständige Basis steht unter WLAN direkt auf Sophos Firewall einrichten.

Bei älteren Sophos-AP-Serien muss man Root und Mesh ausdrücklich zuweisen. Dieser Artikel verwendet ausschliesslich APX und überträgt diese alte Rollenmaske deshalb nicht auf die Beispielschritte.

Repeater oder Wireless Bridge

Im Repeater-Betrieb sendet der Mesh-AP die zugewiesene Client-SSID am entfernten Standort aus. Die Endgeräte verbinden sich per WLAN; der AP transportiert ihre Daten über den Mesh-Backhaul zum Root-AP.

Bei einer Wireless Bridge wird zusätzlich ein Ethernetsegment an den Netzwerkport des Mesh-AP angeschlossen. Dieses Design erweitert Layer 2 und kann Schleifen erzeugen, wenn gleichzeitig ein zweiter Kabelpfad existiert. Es gehört deshalb in ein Wartungsfenster mit dokumentiertem Rückweg. STP muss zum gesamten Switch- und Bridge-Design passen; es wird nicht nur auf Verdacht deaktiviert, wenn ein Pfad blockiert wird.

Für die meisten kleinen Erweiterungen ist der Repeater-Betrieb übersichtlicher. Eine Bridge sollte man nur einsetzen, wenn das entfernte Ethernetsegment wirklich benötigt und sein Broadcast-, VLAN- und Schleifenverhalten verstanden ist.

Grenzen vor der Konfiguration prüfen

Ein APX-Mesh hat klare Produktgrenzen:

  • Alle beteiligten Access Points müssen zur APX-Serie gehören.
  • Pro AP kann nur ein Mesh-Netz verwendet werden.
  • Mindestens ein APX muss per LAN mit der Firewall verbunden bleiben.
  • Alle Mesh-APs verwenden auf dem Mesh-Band denselben Kanal.
  • Dynamic Channel Selection beziehungsweise Dyn chan darf auf diesem Band nicht aktiv sein, weil APs nach einem Neustart sonst auf unterschiedlichen Kanälen landen können.
  • Bei APX darf nicht auf beiden Radios gleichzeitig 5 GHz konfiguriert sein, wenn Mesh verwendet wird.
  • APs mit zugewiesenem VLAN können nur dann vermesht werden, wenn die VLANs nicht den Client-Traffic-Modus Bridge to VLAN verwenden.
  • Ein zweites Mesh-Netz auf demselben AP funktioniert nicht.
  • Der Ausfall des Root-AP wird nicht automatisch und unterbrechungsfrei von einem anderen Mesh-AP übernommen.

Die aktuelle Sophos-Hilfe nennt 2.4 GHz für den Mesh-Backhaul und 5 GHz für Client-SSIDs als möglichen Ausgangspunkt. Das ist keine universelle Best Practice. Entfernung, Wände, Störpegel, verfügbare Kanäle, regulatorisches Country und benötigte Kapazität entscheiden über das reale Design.

Beispieltopologie planen

Das Beispiel verwendet diese Namen:

  • Firewall: fw01
  • verkabelter APX: ap-office-root
  • drahtloser APX: ap-warehouse-mesh
  • Mesh-ID: OfficeMesh
  • sichtbares Wireless Network: Company WiFi
  • Mesh-Band: 2.4 GHz
  • Mesh-Kanal: ein fester, am Standort geprüfter Kanal

OfficeMesh ist ein Dokumentationsbeispiel und wird durch einen kurzen, eindeutigen Namen der eigenen Installation ersetzt. Die Mesh-ID darf nicht mit der sichtbaren SSID verwechselt werden. Company WiFi steht im Beispiel bereits mit passendem Client traffic, DHCP, Firewall-Regeln und NAT zur Verfügung.

Vor der Änderung werden ein aktuelles Konfigurationsbackup, ein kabelgebundener Managementzugang und ein Rückbauplan vorbereitet. Beide APX erhalten PoE und werden für die Erstkonfiguration in Reichweite ihrer endgültigen Positionen getestet. Der Root-AP muss dort per Ethernet erreichbar bleiben.

Access Points und Funkkanal vorbereiten

Beide APX zunächst per LAN provisionieren

  1. ap-office-root und ap-warehouse-mesh per Ethernet mit dem vorgesehenen Managementnetz verbinden.
  2. Unter Wireless > Wireless settings prüfen, ob Wireless Protection aktiv und die Managementzone unter Allowed zone erlaubt ist.
  3. Unter Wireless > Access points beide pending APX mit Accept annehmen.
  4. Für beide APX das korrekte Country setzen. Nach einer Country-Änderung speichern und die APX kontrolliert neu starten, damit die Kanalliste aktualisiert wird.
  5. Prüfen, ob beide APX aktiv sind und ihre aktuelle Konfiguration erhalten haben.

Die Erstverkabelung ist kein optionaler Komfort. Ein APX ohne erhaltene Mesh-Konfiguration kann später nicht allein über Funk in den Verbund aufgenommen werden.

Vor dem Rollout sollte ausserdem der APX-Firmwarestand über die Pattern-Updates der Sophos Firewall geplant werden. Ein Firmwareupdate und die Mesh-Umschaltung sollten nicht unkontrolliert gleichzeitig stattfinden.

Einen gemeinsamen festen Kanal setzen

  1. Unter Wireless > Access points den ersten APX öffnen.
  2. Unter Advanced settings für das gewählte Mesh-Band einen festen, lokal geprüften Kanal setzen.
  3. Dyn chan für dieses Band deaktivieren.
  4. Dieselbe Einstellung auf den zweiten APX übertragen.
  5. Nahe APs, die nicht zum Mesh gehören, nach Möglichkeit auf einen anderen störungsarmen Kanal legen.

Ein Kanal wird nicht allein deshalb gewählt, weil er im Beispiel gut funktioniert. Ein lokaler Scan, die Country-Vorgaben und die Nachbarbelegung bestimmen die Auswahl. Nach jeder Kanaländerung müssen beide Mesh-APs erneut denselben Wert zeigen.

Wireless Mesh unter SFOS anlegen

Mesh-Netz erstellen

  1. Wireless > Mesh networks öffnen.
  2. Add wählen.
  3. Als Mesh-ID OfficeMesh eintragen.
  4. Unter Frequency band das geplante gemeinsame Band wählen, im Beispiel 2.4 GHz.
  5. ap-office-root und ap-warehouse-mesh hinzufügen.
  6. Speichern.

Bei APX muss in diesem Ablauf keine Rolle manuell festgelegt werden. Solange beide APX noch verkabelt sind, erhalten sie zuerst die Konfiguration. Nach dem späteren Trennen von ap-warehouse-mesh bleibt ap-office-root wegen seiner Ethernetverbindung der Root-AP.

Sichtbare Client-SSID zuweisen

Das Mesh-Netz ist für Endgeräte nicht sichtbar. Deshalb wird unter Wireless > Access points oder über eine passende Access Point Group zusätzlich Company WiFi beiden APX zugewiesen.

Die Client-SSID behält ihren eigenen Security mode und Client traffic. Für Separate zone müssen insbesondere Wireless-Interface, DHCP, Firewall-Regel, NAT und Device Access stimmen. Ein erfolgreiches Mesh korrigiert keine fehlende WLAN-Regel und keinen falschen DHCP-Pfad.

Mesh-AP an den Zielort verschieben

  1. Prüfen, ob Konfiguration und sichtbare Client-SSID auf beiden APX angekommen sind.
  2. Beide APX kontrolliert neu starten.
  3. Das Ethernetkabel nur von ap-warehouse-mesh entfernen.
  4. ap-office-root verkabelt lassen.
  5. Den Mesh-AP am vorgesehenen Standort platzieren und einschalten.
  6. Bis zu fünf Minuten warten, bevor die Verbindung als fehlgeschlagen bewertet wird.

Nur ein APX bleibt im normalen Mesh-Betrieb per LAN verbunden. Wird der zweite APX versehentlich ebenfalls an dasselbe Layer-2-Netz angeschlossen, muss das Design auf Schleifen und die STP-Wirkung geprüft werden.

Wireless Mesh kontrolliert abnehmen

Die Abnahme verbindet Controllerstatus, Funkpfad und echten Nutztraffic:

  1. Unter Wireless > Access points müssen beide APX aktiv sein. ap-office-root bleibt verkabelt; ap-warehouse-mesh ist ohne Ethernet erreichbar.
  2. Die Mesh-Zuweisung und der identische Kanal werden auf beiden APX kontrolliert.
  3. Mit einem Testclient in der Nähe von ap-warehouse-mesh mit Company WiFi verbinden.
  4. Unter Wireless > Wireless client list prüfen, ob der Client am erwarteten Mesh-AP angemeldet ist.
  5. IP-Adresse, Gateway und DNS des Clients gegen das geplante Wireless Network prüfen.
  6. Einen erlaubten und einen bewusst gesperrten Zielzugriff testen.
  7. Im Log Viewer nach der Client-IP filtern und die erwartete Firewall Rule ID sowie NAT Rule ID kontrollieren.
  8. Einen realistischen Durchsatz- und Latenztest ausführen und mit einem Client am Root-AP vergleichen.

Ein grüner AP-Status bestätigt noch nicht den vollständigen Datenpfad. Erfolg bedeutet, dass der Client den richtigen AP, die richtige Adresse und die vorgesehenen Regeln verwendet und dass die Leistung für die Anwendung ausreicht. Den allgemeinen Regeltest erklärt Firewall-Regeln sauber testen.

Ausfallgrenze bewusst testen

Der Root-AP ist ein bekannter Abhängigkeitspunkt. In einem Wartungsfenster kann man den Root-Uplink kurz trennen und dokumentieren, wie lange Clientzugriffe ausfallen. SFOS verspricht keinen automatischen Root-Wechsel. Ein Mesh-AP muss für eine neue Rollenbildung gegebenenfalls neu gestartet und verkabelt werden.

Dieser Test ist kein Grund, einen produktiven Root-AP ungeplant auszuschalten. Für kritische Bereiche sollte man einen verkabelten AP-Uplink oder eine andere WLAN-Architektur einplanen.

Fehler nach Symptom eingrenzen

Mesh-AP erscheint nicht oder bleibt offline

Nach der Konfiguration bis zu fünf Minuten warten. Bleibt der AP offline, zuerst prüfen, ob er bei der Erstprovisionierung per LAN aktiv war und die Mesh-Konfiguration erhalten hat. Danach APX-Serie, Mesh-Zuweisung, Band, gemeinsamer Kanal, Dyn chan, Country und Stromversorgung kontrollieren.

Der Root-AP muss weiterhin verkabelt sein. Sind beide APs drahtlos oder wurde der falsche AP vom Ethernet getrennt, fehlt der Pfad zur Firewall. Nach einer Korrektur die APX kontrolliert neu starten und erneut warten.

Client-SSID ist nicht sichtbar

Die Mesh-ID wird absichtlich nicht als Client-SSID ausgestrahlt. Unter Wireless > Access points muss dem Mesh-AP zusätzlich ein sichtbares Wireless Network zugewiesen sein. Ist nur OfficeMesh konfiguriert, haben Endgeräte kein sichtbares Netz.

Zusätzlich Frequency band, Zeitplan, Security mode und AP-Zuweisung der Client-SSID prüfen. Ein zweites Mesh-Netz auf demselben AP ist keine Lösung, weil pro AP nur ein Mesh unterstützt wird.

Client verbindet sich, erhält aber keine IP-Adresse

Dann funktioniert der Funkpfad bereits teilweise. Als Nächstes Client traffic, Wireless-Interface, DHCP-Server oder DHCP-Relay und mögliche VLAN-Pfade prüfen. Bei Bridge to VLAN ist ausserdem die Mesh-Produktgrenze zu beachten: VLAN-zugewiesene APs lassen sich nur vermeshen, wenn die VLANs nicht diesen Client-Traffic-Modus verwenden.

Ein Neustart des Wireless-Dienstes ist kein Standardschritt. Zuerst wird belegt, an welchem AP der Client hängt und ob DHCP-Anfragen den erwarteten Pfad erreichen.

Client hat eine IP-Adresse, aber kein Internet

Im Log Viewer zuerst die erwartete Firewall Rule ID und NAT Rule ID suchen. Fehlen beide, liegt das Problem eher bei Zone, Netzobjekt, Regelreihenfolge oder Datenpfad als beim Mesh selbst. Stimmen die Regeln, danach DNS, Gateway und den WAN-Pfad prüfen.

Eine breite Any-Regel dient nicht als Mesh-Diagnose. Der gleiche Clienttest sollte einmal am Root-AP und einmal am Mesh-AP ausgeführt werden. Funktioniert er nur am Root, wird der Backhaul weiter untersucht; fällt er an beiden APs aus, gehört der Fehler wahrscheinlich zur gemeinsamen WLAN- oder Firewall-Konfiguration.

Verbindung ist instabil oder langsam

Gleichen Kanal auf allen Mesh-APs, deaktiviertes Dyn chan, Signalqualität, Störquellen, Distanz und Wände prüfen. Nicht zum Mesh gehörende APs sollten denselben Kanal nicht unnötig belegen. Ausserdem muss genügend Funkkapazität für Backhaul und Clients übrig bleiben.

Die Leistung wird mit derselben Anwendung, demselben Client und möglichst denselben Zeitbedingungen am Root- und Mesh-AP verglichen. So lässt sich der Mesh-Pfad von einem allgemeinen WAN-, DNS- oder Clientproblem trennen.

Controller- oder Clientstatus bleibt unklar

Für die node-lokale Diagnose helfen die Sophos Firewall Service-Logs. In der Advanced Shell sind diese lesenden Prüfungen sinnvoll:

tail -n 200 /log/awed.log
tail -n 200 /log/wc_remote.log

awed.log zeigt Controller- und APX-Kommunikation; wc_remote.log hilft bei Wireless-Clients. Ein einzelner Logeintrag beweist den Nutzdatenpfad nicht. Zeitstempel, AP-Status, Clientliste, Firewall-Logs und ein reproduzierbarer Test gehören zusammen. Die LED- und Blinkcodes der Sophos Access Points helfen zusätzlich, Boot-, Update- und Mesh-Zustände am Gerät einzuordnen.

Mesh sicher zurückbauen

Ein Rückbau erfolgt kontrolliert, solange der kabelgebundene Managementzugang funktioniert:

  1. Dokumentieren, welcher APX Root und welcher Mesh-AP ist.
  2. Den Mesh-AP wieder per LAN in das Managementnetz verbinden und warten, bis er aktiv ist.
  3. Die sichtbare Client-SSID bei Bedarf auf einen verbleibenden verkabelten AP verschieben.
  4. Das Mesh-Netz von den APX entfernen oder unter Wireless > Mesh networks löschen.
  5. Frühere Kanal- und Dyn chan-Einstellungen nur bewusst wiederherstellen.
  6. Beide APX kontrolliert neu starten.
  7. Client-IP, DNS, Regeln und Internetzugriff erneut prüfen.

Ein Werksreset ist erst dann sinnvoll, wenn der APX trotz korrekter Verkabelung, Stromversorgung und Controllerpfad keine verwaltete Konfiguration mehr annimmt. Er ersetzt keinen dokumentierten Rückbau.

Betriebscheckliste

  • Alle beteiligten Geräte sind kompatible APX und wurden zuerst per LAN provisioniert.
  • Genau ein Mesh-Netz ist pro AP zugewiesen.
  • Ein APX bleibt als Root dauerhaft verkabelt.
  • Mesh-Band und fester Kanal stimmen auf allen beteiligten APX überein.
  • Dyn chan ist auf dem Mesh-Band ausgeschaltet.
  • Die sichtbare Client-SSID ist separat zugewiesen.
  • DHCP, Firewall Rule ID, NAT Rule ID und ein gesperrtes Ziel wurden geprüft.
  • Leistung und Stabilität wurden am Root- und Mesh-AP verglichen.
  • Root-Ausfall, fehlendes automatisches Takeover und Rückbau sind dokumentiert.
  • APX-End-of-Life und ein späterer Wechsel der WLAN-Plattform sind eingeplant.

FAQ

Ist die Mesh-ID die sichtbare WLAN-SSID?

Nein. Die Mesh-ID gehört zum verborgenen Backhaul zwischen den APX-Geräten. Für Clients muss zusätzlich ein normales Wireless Network mit sichtbarer SSID, Sicherheit, Client traffic und passenden Regeln zugewiesen werden.

Kann ein zweiter APX den Root-AP automatisch übernehmen?

Nein. Sophos dokumentiert für dieses Mesh kein automatisches Root-Takeover. Mindestens ein AP bleibt verkabelt; bei einem Root-Ausfall muss der Wiederanlauf kontrolliert erfolgen und kann einen Neustart oder eine neue Verkabelung erfordern.

Warum müssen alle APX zuerst per LAN verbunden sein?

Jeder APX muss von der Firewall angenommen werden und seine Mesh-Konfiguration erhalten. Erst danach wird der vorgesehene Mesh-AP vom LAN getrennt, am Zielort gestartet und über den Root-AP verbunden.