WLAN direkt auf Sophos Firewall einrichten und testen

Ein direkt auf der Sophos Firewall verwaltetes WLAN wird unter Wireless > Wireless networks angelegt. Die SSID allein genügt aber nicht: Der gewählte Traffic-Modus bestimmt, ob die Clients ein eigenes Netz erhalten, im AP-LAN landen oder in ein VLAN gebridged werden. Danach müssen DHCP, Firewall-Regeln, NAT und die Zuweisung an einen Access Point zusammenpassen.

⚠️ Wichtig: Diese Anleitung gilt nur für WLAN-Hardware, die direkt von Sophos Firewall verwaltet wird. AP6 Access Points lassen sich nicht über SFOS verwalten. Für mehrere AP6 ist Sophos Central der vorgesehene und empfohlene Verwaltungsweg; ein einzelner AP6 kann alternativ über seine lokale Oberfläche konfiguriert werden. Firewall-managed Wireless ist heute deshalb vor allem für bestehende APX-Installationen, integriertes LocalWiFi der Desktop-W-Modelle und unterstützte Wi-Fi-Module in Sophos Firewall oder SD-RED relevant.

Diese Anleitung verwendet ein Gäste-WLAN mit Separate zone. Das ist ein verständliches Beispiel, weil Clientnetz, Regeln und erlaubte Ziele sauber vom internen LAN getrennt werden können.

Kurzablauf:

1. Unter Wireless > Wireless settings Wireless Protection und die AP-Zone vorbereiten.
2. Den Access Point unter Wireless > Access points annehmen.
3. Unter Wireless > Wireless networks SSID, Sicherheit und Clientnetz anlegen.
4. Unter Network > DHCP sowie Rules and policies DHCP, Firewall-Regel und NAT ergänzen.
5. Das Wireless Network dem AP zuweisen und mit einem Testclient IP, DNS, Rule ID sowie unerwünschte interne Zugriffe kontrollieren.

Passt diese Anleitung zum Access Point?

SFOS 22 kann Indoor-Access-Points der APX-Serie, integriertes WLAN einer passenden XGS-Firewall und kompatible Wi-Fi-Erweiterungsmodule in Sophos Firewall oder SD-RED verwalten. Bei externen APX betrifft dies APX 120, APX 320, APX 530 und APX 740. Das Outdoor-Modell APX 320X und die alte AP-Serie werden nicht direkt von einer aktuellen Sophos Firewall verwaltet.

AP6 gehört nicht in diesen Ablauf. AP6 wird über Sophos Central oder bei einem einzelnen Gerät über dessen lokale Oberfläche konfiguriert. Für die Central-Variante passen die Sophos Central Wireless Anforderungen.

Die lokale Wireless-Funktion gehört zur Sophos Firewall Base License. Ein kompatibler Access Point wird separat benötigt. APX ist allerdings bereits End-of-Sale und erreicht am 31. Dezember 2027 sein End-of-Life. Diese Anleitung hilft deshalb vor allem beim sicheren Betrieb bestehender APX-Installationen; für eine neue WLAN-Plattform sollte man das APX-End-of-Life und AP6 als Nachfolger oder auch andere aktuelle WLAN-Systeme einplanen.

Den richtigen Client-Traffic-Modus wählen

Die Entscheidung unter Client traffic ist wichtiger als der Name der SSID. Damit wird festgelegt, ob sich die Clients im selben lokalen Netzsegment auf Layer 2 befinden, wer IP-Adressen verteilt und welcher Traffic überhaupt durch die Firewall läuft.

Separate zone

Separate zone erzeugt ein eigenes Wireless-Interface mit eigener IP-Adresse und einen VXLAN-Tunnel zwischen Access Point und Firewall. Die Clients erhalten ein eigenes Subnetz. Dadurch lassen sich Zugriffe pro WLAN mit gezielten WiFi-to-WAN- oder WiFi-to-LAN-Regeln steuern. Wie Zone, Interface und Netzobjekt dabei zusammenspielen, erklärt Sophos Firewall Zonen und Interfaces.

Dieser Modus passt gut für Gäste, IoT oder andere Netze, die vom internen LAN getrennt werden sollen. Ein Hotspot mit Captive Portal, Tagespasswort oder Voucher setzt ebenfalls Separate zone voraus.

VXLAN verkleinert die nutzbare MTU. Bei grossen Paketen kann dies Fragmentierung oder Leistungseinbussen verursachen. Deshalb sollte man die MTU nicht vorsorglich auf einen pauschalen Wert ändern. Zuerst wird geprüft, ob nur grosse Transfers ausfallen oder TCP-Pakete wiederholt übertragen werden, sogenannte Retransmits; den kontrollierten Ablauf erklärt MTU und MSS auf Sophos Firewall prüfen.

Bridge to AP LAN

Bridge to AP LAN legt die WLAN-Clients in dasselbe Netz wie den Access Point. Ein vorhandener DHCP-Server dieses LANs verteilt die Clientadressen. Das ist bequem, bietet aber keine eigene Netzgrenze für Gäste oder unsichere Geräte.

Entscheidend ist der Datenpfad: Kommunikation innerhalb desselben Subnetzes kann direkt zwischen Client, AP und Switch laufen und die Sophos Firewall vollständig umgehen. Eine Firewall-Regel auf SFOS kann nur Traffic kontrollieren, der tatsächlich über die Firewall geroutet wird.

Bei integriertem LocalWiFi sind je nach XGS-Generation zusätzlich eine Bridge-Schnittstelle oder Bridge to Ethernet nötig. Diese Variante sollte deshalb nur gewählt werden, wenn WLAN und kabelgebundenes LAN bewusst denselben Sicherheitsbereich bilden.

Bridge to VLAN

Bridge to VLAN trennt das Managementnetz des Access Points vom Client-VLAN. Der Switch-Port zum AP muss beide Netze als Trunk transportieren. Im WLAN-Profil bezeichnet Bridge to VLAN ID das Client-VLAN; bei Enterprise-Authentifizierung kann diese Client-VLAN-ID statisch oder über RADIUS mit statischem Fallback bestimmt werden.

Der AP sollte zunächst mindestens eine Minute über das ungetaggte Standard-LAN mit der Firewall verbunden sein, damit er seine Konfiguration erhält. Danach wird unter Wireless > Access points > AP > Advanced settings das VLAN tagging aktiviert und die AP VLAN ID für das Managementnetz eingetragen. Erst jetzt wird der Switch-Port als Trunk umgestellt. AP-Management-VLAN und Client-VLAN können unterschiedliche IDs verwenden. Sophos empfiehlt, Separate zone und VLAN-WLANs nicht auf demselben AP zu mischen. Für integriertes LocalWiFi0 steht AP-seitiges VLAN-Tagging nicht zur Verfügung.

Bridge to VLAN vermeidet den VXLAN-Pfad und ist für grössere, bereits sauber segmentierte WLAN-Umgebungen oft passender. Auch hier gilt: Verkehr innerhalb des Client-VLANs wird nicht automatisch von SFOS geprüft.

Beispielnetz vorbereiten

Das Beispiel verwendet diese Werte:

• Name in SFOS: Guest WiFi
• unveränderbarer Hardware name: GuestWiFi
• sichtbare SSID: Company Guest
• Security mode: WPA2 Personal
• Client traffic: Separate zone
• Zone: WiFi
• Clientnetz: 10.30.40.0/24
• Interface und Gateway: 10.30.40.1
• DHCP-Bereich: 10.30.40.100 bis 10.30.40.220
• Firewall-Regel: WiFi_Guest_to_WAN

10.30.40.0/24 ist ein Beispiel aus dem privaten Adressraum. Vor der Übernahme muss man ein freies Subnetz wählen, das sich weder mit LAN, VPN, RED, VLAN noch einem entfernten Standort überschneidet. Die erste nutzbare Adresse 10.30.40.1 gehört im Beispiel dem Wireless-Interface der Firewall und wird als Gateway verteilt.

Für bestehende APX-Geräte ist WPA2 Personal mit AES die sichere kompatible Basis. Eine lange, einmalige Passphrase gehört in den Passwortmanager und nicht in Tickets oder Screenshots. WPA3-Modi dokumentiert Sophos in SFOS 22 nur für das integrierte WLAN der Modelle XGS 88w, 108w, 118w und 128w; für APX sollte man WPA3 deshalb nicht einplanen.

SFOS-verwaltetes WLAN konfigurieren

1. Verbindung des Access Points erlauben

Bei einem externen APX sind Managementnetz und WLAN-Clientnetz zwei verschiedene Dinge. Der AP bezieht seine eigene Managementadresse per DHCP aus dem angeschlossenen Netz. Die späteren WLAN-Clients erhalten dagegen Adressen aus dem oben geplanten Netz 10.30.40.0/24.

1. Wireless > Wireless settings öffnen.
2. Enable wireless protection aktivieren.
3. Unter Allowed zone die Zone wählen, über welche der AP die Firewall erreicht, beispielsweise LAN.
4. Sicherstellen, dass der AP per DHCP eine Adresse, Gateway und DNS erhält.
5. Prüfen, ob Port 2712 zwischen AP und Firewall nicht durch einen Switch, eine ACL oder ein zwischengeschaltetes Gerät blockiert wird.
6. Wireless > Access points öffnen und einen pending AP mit Accept annehmen.
7. Beim aktiven AP das korrekte Country setzen. Davon hängen die gesetzlich zulässigen Kanäle ab. Wird das Country eines APX geändert, die Einstellung speichern und den Access Point danach kontrolliert neu starten, damit die neue Kanalliste angewendet wird.

Die Auswahl unter Allowed zone bezieht sich auf den Managementpfad des Access Points, nicht auf die spätere Zone der WLAN-Clients. Ist der AP noch an einer anderen Sophos Firewall oder Sophos Central registriert, muss er dort zuerst gelöscht werden. Ist das nicht möglich, muss man ihn auf Werkseinstellungen zurücksetzen.

2. Wireless Network anlegen

Unter Wireless > Wireless networks > Add werden die Beispielwerte eingetragen:

1. Name: Guest WiFi
2. Hardware name: GuestWiFi
3. SSID: Company Guest
4. Security mode: WPA2 Personal
5. Passphrase: eine lange, einmalige Passphrase
6. Client traffic: Separate zone
7. Zone: WiFi
8. IP address: 10.30.40.1
9. Netmask: /24

Der Hardware name darf höchstens zehn Zeichen aus Buchstaben, Zahlen und Unterstrich enthalten und lässt sich später nicht mehr ändern. Name und SSID können dagegen an die eigene Namenskonvention angepasst werden.

Unter Advanced settings sind für das Gäste-Beispiel diese Entscheidungen sinnvoll:

• Encryption: AES
• Frequency band: nur die vom eingesetzten Modell und seinen Funkmodulen unterstützten Bänder
• Client isolation: aktivieren, wenn direkte Verbindungen zwischen Gästen unerwünscht sind
• Hide SSID: deaktiviert lassen
• Fast transition: wird von APX nicht unterstützt
• Time-based access: nur mit bewusstem Wartungsfenster einsetzen

Client isolation blockiert nur direkte Kommunikation zwischen Clients derselben SSID auf demselben Radio. Es ersetzt keine Trennung über Zonen, VLANs und Firewall-Regeln über mehrere APs oder Funkmodule hinweg. Eine versteckte SSID ist ebenfalls keine Sicherheitskontrolle; sie unterdrückt nur die sichtbare Anzeige des Netzwerknamens.

Bei integriertem WLAN hängt gleichzeitiges Dual-Band von der Hardware ab. XGS 87w und 107w senden nur auf 2.4 GHz oder 5 GHz. XGS 116w, 126w und 136w benötigen für beide Bänder ein zweites Funkmodul. XGS 88w, 108w, 118w und 128w können beide Bänder ohne zusätzliches Modul gleichzeitig verwenden.

Beim Aktivieren eines Wireless-Zeitplans startet SFOS hostapd neu. Dadurch werden alle WLAN-Clients des betroffenen Access Points kurz getrennt, nicht nur die Clients dieser SSID. Die Geräte sollten sich automatisch wieder verbinden.

3. DHCP für das Clientnetz ergänzen

Für Separate zone wird nicht automatisch ein vollständiger DHCP-Server für die Clients bereitgestellt. Unter Network > DHCP > Server > Add legt man deshalb beispielsweise diese Konfiguration an:

• Name: dhcp-wifi-guest
• Interface: Guest WiFi
• Dynamic IP lease: 10.30.40.100 bis 10.30.40.220
• Subnet mask: /24
• Gateway: Use interface IP as gateway
• DNS server: passend zur eigenen DNS-Architektur
• Conflict detection: aktiviert

Der Bereich liegt bewusst oberhalb der Interface-IP und lässt Platz für reservierte Adressen. Bei einem stark wechselnden Gäste-WLAN kann eine kürzere Lease als in einem stabilen Büronetz sinnvoll sein. Extrem kurze Leases erzeugen dagegen unnötig viele Erneuerungen.

Welche DNS-Server verteilt werden, ist eine Sicherheits- und Betriebsentscheidung. Interne AD-DNS-Server sollten Gästen nicht allein aus Bequemlichkeit zugänglich gemacht werden. Die vollständige Planung und Lease-Kontrolle erklärt Sophos Firewall als DHCP-Server einrichten.

4. Firewall-Regel, NAT und lokale Dienste prüfen

Unter Rules and policies > Firewall rules > Add firewall rule > New firewall rule wird eine Regel für den gewünschten Internetzugriff erstellt. Die vollständige Maske, Regelreihenfolge und Security Features erklärt der Artikel zu Sophos Firewall-Regeln.

• Rule name: WiFi_Guest_to_WAN
• Action: Accept
• Log firewall traffic: aktiviert
• Source zones: WiFi
• Source networks and devices: Netzwerkobjekt für 10.30.40.0/24
• Destination zones: WAN
• Destination networks: Any
• Services: nur die für das Gäste-WLAN benötigten Dienste
• Security features: passende Web-, Application- und IPS-Policies nach Lizenz und Einsatzzweck

Ein sprechendes Netzwerkobjekt wie net_WiFi_Guest macht die Regel enger und verständlicher als Source networks: Any. Bei den Services hängt die Auswahl davon ab, ob DNS und NTP lokal auf der Firewall oder direkt extern genutzt werden. Eine pauschale Any-Freigabe ist bequem, erschwert aber die spätere Kontrolle.

Zusätzlich muss eine NAT-Regel den ausgehenden Traffic auf die WAN-Adresse übersetzen. Die vorhandene Default-SNAT-Regel mit MASQ deckt neue interne Netze häufig bereits ab, das sollte man aber im konkreten Regelwerk prüfen, statt eine zweite NAT-Regel auf Verdacht anzulegen. Den Zusammenhang erklärt NAT auf Sophos Firewall verstehen.

Eine WiFi-to-WAN-Regel verhindert nicht automatisch Zugriffe über bereits vorhandene breite WiFi-to-LAN- oder Any-Regeln. Deshalb wird die gesamte Regelreihenfolge auf interne Freigaben geprüft. Sollen Clients desselben Separate-Zone-Netzes über mehrere APs miteinander kommunizieren, ist zusätzlich eine WiFi-to-WiFi-Regel nötig. Für ein Gäste-WLAN sollte man diese Kommunikation nur absichtlich erlauben.

Zugriffe auf die Firewall selbst werden nicht durch die normale Firewall-Regel gesteuert. SFOS erlaubt HTTPS und SSH standardmässig aus der WiFi-Zone. Unter Administration > Device access werden deshalb für ein Gäste-WLAN die WiFi-Häkchen bei HTTPS, SSH und allen anderen nicht benötigten lokalen Diensten entfernt. DNS bleibt nur erlaubt, wenn die Clients tatsächlich die Firewall als Resolver verwenden. Die Hintergründe erklärt Device Access und Local Service ACL.

5. WLAN einem Access Point zuweisen

Ein gespeichertes Wireless Network wird noch von keinem Access Point ausgestrahlt:

1. Wireless > Access points öffnen.
2. Den aktiven Access Point über seinen Namen oder Edit öffnen.
3. Das korrekte Country kontrollieren.
4. Unter Wireless networks auf Add new item klicken.
5. Guest WiFi auswählen, mit Apply übernehmen und Save klicken.

Bei mehreren Access Points ist eine Gruppe unter Wireless > Access point groups übersichtlicher. So werden SSIDs konsistent zugewiesen und nicht pro AP unterschiedlich gepflegt. Einem AP können bis zu acht Wireless Networks zugewiesen werden.

WLAN kontrolliert testen

Die Abnahme sollte nicht bei «SSID ist sichtbar» enden. Mit einem Testclient wird geprüft, ob tatsächlich das geplante Netz und die geplanten Regeln verwendet werden:

1. Unter Wireless > Access points muss der AP aktiv sein. Das Wireless-Interface bleibt unter Network > Interfaces auf Unplugged, solange kein AP mit diesem Wireless Network verbunden ist.
2. Mit Company Guest verbinden und unter Wireless > Wireless client list AP, SSID, Frequenz und Signal kontrollieren.
3. Unter Network > DHCP > IPv4 lease prüfen, ob der Client eine Adresse aus 10.30.40.100 bis 10.30.40.220 erhalten hat.
4. Am Client IP-Adresse, Gateway und DNS kontrollieren. Unter Windows helfen:

ipconfig /all
nslookup example.com

5. Eine erlaubte Internetverbindung und bewusst ein nicht erlaubtes internes Ziel testen.
6. Im Log Viewer nach der Client-IP filtern und die erwartete Firewall Rule ID sowie NAT Rule ID kontrollieren.

Der Erfolg besteht nicht nur aus Internetzugriff. Der Client muss das richtige Gateway und die vorgesehenen DNS-Server verwenden, von unerlaubten internen Zielen getrennt sein und über genau die erwarteten Firewall- und NAT-Regeln laufen. Den allgemeinen Prüfablauf zeigt Firewall-Regeln sauber testen.

Typische Fehler eingrenzen

SSID wird nicht angezeigt

Zuerst prüfen, ob Wireless Protection aktiv ist, die AP-Managementzone unter Allowed zone steht und der Access Point unter Wireless > Access points aktiv statt pending oder inactive ist. Danach Country, zugewiesenes Wireless Network, Frequency band und einen möglichen Zeitplan kontrollieren.

Ein gespeichertes Netz ohne AP-Zuweisung wird nicht ausgestrahlt. Bei integriertem WLAN können zudem Modellgrenzen bei Funkbändern oder ein nicht unterstützter alter Verschlüsselungsmodus verhindern, dass das Profil an LocalWiFi0 gebunden wird.

Separate-Zone-Interface bleibt Unplugged

Unplugged ist normal, solange kein Access Point verbunden oder das Wireless Network keinem AP zugewiesen ist. Bleibt der Status trotz aktivem APX und korrekter Zuweisung bestehen, sollte man den Managementpfad des Access Points prüfen.

Auf SFOS 21.5 MR1 Build 261 kann dies auftreten, wenn die Firewall-IP des APX-Managementnetzes als Alias statt direkt auf dem Parent-Interface konfiguriert ist (NC-175920). SFOS kann dann den VXLAN-Tunnel für Separate zone nicht anlegen. Als Workaround wird der APX in ein Managementnetz verschoben, dessen Firewall-IP direkt auf dem Parent-Interface liegt. Die Alias-IP sollte nicht auf Verdacht gelöscht werden.

Der Wechsel unterbricht die ausgestrahlten WLANs. Deshalb vorher DHCP, Gateway, Allowed zone und Port 2712 im Zielnetz prüfen und die Änderung in einem Wartungsfenster durchführen. Danach müssen AP-Status, WLAN-Zuweisung, Interface-Status und die Verbindung eines Testclients stimmen. Sophos nennt keine Fix-Version; auf anderen SFOS-Versionen beweist Unplugged allein diesen Fehler daher nicht.

Client erhält keine IP-Adresse

Bei Separate zone muss der DHCP-Server auf dem erzeugten Wireless-Interface liegen und der Bereich zum Interface-Netz passen. Bei Bridge to AP LAN antwortet dagegen der DHCP-Server des AP-LANs. Bei Bridge to VLAN werden Switch-Trunk, VLAN-ID und der im Client-VLAN erreichbare DHCP-Server gemeinsam geprüft.

AP-Management-DHCP und Client-DHCP dürfen nicht verwechselt werden: Der AP kann online sein, obwohl für die WLAN-Clients noch kein funktionierender DHCP-Server existiert.

Client hat eine IP-Adresse, aber kein Internet

Dann sind DHCP und Funkverbindung bereits weiter als die eigentliche Policy. Als Nächstes werden Gateway und DNS, die WiFi-to-WAN-Regel, Regelreihenfolge, Logging und die passende MASQ-/SNAT-Regel geprüft. Der Log Viewer zeigt, ob die geplante Firewall Rule ID matched oder die implizite Regel #0 den Traffic verwirft.

Erreicht der Client das Internet, aber gleichzeitig interne Systeme, ist das kein Erfolg für ein Gäste-WLAN. In diesem Fall greifen wahrscheinlich vorhandene WiFi-to-LAN-, Any- oder zu breite Netzwerkregeln.

AP-Verbindung oder Clientkommunikation bleibt unklar

Firewall-Traffic erscheint im Log Viewer nur zuverlässig, wenn Log firewall traffic in der Regel und der Firewall-Logtyp unter System services > Log settings > Local reporting aktiv sind. Wireless-Ereignisse selbst sind dort nicht als normaler lokaler Wireless-Logtyp verfügbar; unter System services > Log settings können sie an Sophos Central oder einen Syslog-Server gesendet werden.

Für eine tiefere Diagnose dokumentiert Sophos awed.log für die Kommunikation zwischen Firewall und APX, wc_remote.log für Wireless-Clients und hostapd.log für LocalWiFi. Wie man solche Logs ohne unkontrollierten Service-Neustart liest, erklärt Sophos Firewall Services und Logs per CLI prüfen.

Grosse Transfers sind langsam oder brechen ab

Wenn nur grössere Pakete oder längere Transfers betroffen sind, kann die VXLAN-Kapselung von Separate zone eine Rolle spielen. Es gibt dafür keinen allgemeingültigen MTU-Wert. Zuerst werden Rule ID, Datenpfad, Retransmits und ein reproduzierbarer Anwendungstest dokumentiert. Erst wenn ein MTU-/MSS-Problem nachgewiesen ist, wird kontrolliert geändert und derselbe Test wiederholt.