Sophos RED Betriebsarten richtig wählen

Die Betriebsart einer Sophos SD-RED ist keine kleine Detailoption. Sie legt fest, wer am Aussenstandort DHCP und Gateway bereitstellt, welcher Traffic durch den RED-Tunnel läuft, ob Internetzugriffe zentral geprüft werden und was bei einem Tunnelausfall noch funktioniert. Ein Site-to-Site-RED-Tunnel zwischen zwei Sophos Firewalls ist ein anderer Aufbau und verwendet diese vier Betriebsarten nicht.

Für neue, zentral verwaltete Filialen ist Standard/Unified meistens der klarste Ausgangspunkt. Standard/Split spart Tunnelbandbreite, nimmt den lokalen Internettraffic aber aus der zentralen Kontrolle. Transparent/Split integriert die RED in ein bestehendes Netz. Manual/Split ist ein spezielles Verkabelungs- und Routingdesign für lokale Internetautonomie und kein gewöhnlicher Schnellmodus.

Die Betriebsart sollte vor DHCP, VLANs, Firewall-Regeln und Rollout feststehen. Ein späterer Wechsel verändert den Datenpfad und braucht ein Wartungsfenster mit kontrolliertem Funktionstest.

Die vier RED-Betriebsarten im Überblick

Die Kurzfassung hilft bei der ersten Auswahl, ersetzt aber nicht den Blick auf Ausfallverhalten, VLANs und Security. Besonders Split bedeutet nicht automatisch Fail-open und Transparent bedeutet nicht automatisch, dass VLAN-Tags durchgereicht werden.

Standard/Unified: Alles über die Zentrale

In Standard/Unified stellt die Sophos Firewall über das RED-Interface DHCP und das Standardgateway bereit. Die SD-RED leitet den gesamten Traffic durch den verschlüsselten Tunnel, einschliesslich des Internetverkehrs der Filiale.

Das bringt die höchste zentrale Kontrolle. Firewall-Regeln, Web Policies, IPS, Application Control, Reporting und zentrale Internetanbindung können am Hauptstandort konsistent umgesetzt werden. Gleichzeitig steigen die Anforderungen an den Tunnel und die zentrale WAN-Verbindung, weil auch gewöhnlicher Internettraffic zweimal über den Standortpfad läuft.

Fällt der RED-Tunnel aus, fehlt den Clients nicht nur der Weg zu internen Netzen. Da ihr Gateway über den Tunnel an der Sophos Firewall liegt, fällt normalerweise auch der Internetzugang aus. Standard/Unified ist deshalb passend, wenn zentrale Security wichtiger ist als lokaler Internetbetrieb während einer Tunnelstörung.

Wann Standard/Unified passt

• Der gesamte Standorttraffic soll zentral geprüft und protokolliert werden.
• DHCP, DNS-Weiterleitung, Regeln und Internetzugang sollen an der Sophos Firewall zusammenlaufen.
• Die zentrale WAN-Kapazität reicht für den zusätzlichen Internettraffic der Filiale.
• Ein Tunnelausfall darf den Standort kontrolliert offline nehmen oder es existiert ein getesteter zweiter RED-Uplink.
• VLANs sollen über eine SD-RED 60 transportiert werden.

Standard/Split: Zentrale Netze durch den Tunnel

Bei Standard/Split bleibt die Sophos Firewall DHCP-Server und Standardgateway für das von der RED bereitgestellte Netz. Nur die unter Split networks eingetragenen Zielnetze laufen durch den Tunnel. Andere Ziele, typischerweise das Internet, verlassen den Standort über den lokalen WAN-Anschluss der RED.

Das entlastet den Tunnel und die Internetleitung der Zentrale. Der Preis dafür ist eine klare Sicherheitsgrenze: Sophos maskiert den lokalen Internettraffic an der RED, aber die zentrale Firewall kann diesen Verkehr nicht mit ihren Firewall-, Web- oder IPS-Regeln prüfen. Aus Sicht der Zentrale sieht dieser Datenpfad nicht wie normaler weitergeleiteter Internettraffic aus.

Für Split networks werden IP-Netze verwendet. FQDN-Hostobjekte sind an dieser Stelle nicht unterstützt. Bereits getaggte VLAN-Frames sind in Standard/Split ebenfalls nicht der richtige Datenpfad. Nur das direkt von der RED bereitgestellte DHCP-Netz erhält über diesen Modus lokalen Internetzugang.

Auch Standard/Split ist kein allgemeines Fail-open-Design. Fällt der Tunnel aus, verlieren Clients im von der Firewall bereitgestellten Netz nach Sophos-Dokumentation sowohl die zentralen Ziele als auch den Internetzugang. Wer lokalen Internetbetrieb unabhängig vom Tunnel braucht, muss das Design anders planen und testen.

Wann Standard/Split passt

• Die Filiale braucht wenige klar definierte Netze in der Zentrale.
• Der lokale Internet-Breakout ist gewollt und darf ausserhalb der zentralen Sophos-Policies liegen.
• Das entfernte Netz kann von der Sophos Firewall per DHCP verwaltet werden.
• VLAN-Tagging über den RED-Tunnel ist nicht erforderlich.
• Der Ausfallpfad wurde getestet und wird nicht mit Manual/Split verwechselt.

Transparent/Split: RED im bestehenden Netz

Transparent/Split passt in Aussenstellen, in denen Router, DHCP, DNS und Standardgateway bereits vorhanden sind und bestehen bleiben sollen. Die RED arbeitet transparent im vorhandenen Layer-2-Netz. Nur die konfigurierten Split-Netze oder Split-Domänen werden durch den Tunnel zur Zentrale geleitet.

Dieser Modus vermeidet einen Gatewaywechsel für die Clients. Dafür wird die Fehlersuche anspruchsvoller: DHCP, DNS und der normale Internetpfad gehören weiterhin zum lokalen Netz, während ausgewählte Ziele über die RED umgelenkt werden. Der Test muss deshalb getrennt zeigen, welcher Pfad lokal bleibt und welcher tatsächlich im Tunnel landet.

Transparent/Split überträgt keine bereits getaggten VLAN-Frames. Ein 3G/4G-Failover-Uplink steht in diesem Modus ebenfalls nicht zur Verfügung. Für ein WLAN-Modul benötigt der entfernte DHCP-Server die von Sophos dokumentierte DHCP-Option 234, damit die RED-Adresse an den Access Point übergeben wird.

Wann Transparent/Split passt

• Der vorhandene Router soll DHCP, DNS und Standardgateway bleiben.
• Nur ausgewählte zentrale Netze oder Domänen sollen über die RED erreichbar sein.
• Die RED kann sauber inline in das bestehende Netz integriert werden.
• Der Standort braucht keine VLAN-Tags durch diesen RED-Datenpfad.
• Lokaler und getunnelter Traffic können mit Packet Capture und echten Zieltests getrennt geprüft werden.

Manual/Split: Lokales Gateway mit statischen Routen

Manual/Split beschreibt bei einer SD-RED vor allem ein bewusst manuell aufgebautes Netzdesign. WAN- und LAN-Seite der RED werden so in die vorhandene Standortinfrastruktur eingebunden, dass der bestehende Router das Standardgateway bleibt. Für die zentralen Netze erhält dieser Router statische Routen zur RED.

Der Vorteil ist die lokale Autonomie: Der normale Internetzugang kann auch dann weiterlaufen, wenn der RED-Tunnel oder die RED selbst ausfällt. Die Kehrseite ist zusätzlicher Planungsaufwand. Rückwege, statische Routen, ARP-Verhalten und die physische Verkabelung müssen exakt stimmen. Ein falsch gesetzter Next Hop kann Zentraltraffic am Tunnel vorbeileiten oder bei einem Ausfall in eine Sackgasse schicken.

Sophos beschreibt dafür eine manuelle physische Bereitstellung und eine RED-Konfiguration nach dem Standard/Unified-Grundschema, während das vorhandene Gateway und die statischen Routen den Split bestimmen. Die Bezeichnung sollte deshalb nicht wie ein unabhängiger, selbsterklärender Schalter behandelt werden.

Manual/Split gehört nur in ein dokumentiertes Design mit:

• alternativem lokalem Gateway
• statischen Routen für jedes zentrale Zielnetz
• geprüftem Rückweg von der Zentrale
• unabhängigem Managementzugang
• Test bei aktivem Tunnel, getrenntem Tunnel und ausgeschalteter RED

Zweiter Uplink und zweite Firewall sind keine Betriebsarten

In der RED-Konfiguration können zusätzlich ein zweiter Firewall-Endpunkt und, je nach Modell und Modus, ein zweiter Uplink hinterlegt werden. Diese Optionen ergänzen den gewählten Datenpfad, sie ersetzen ihn nicht.

Ein zweiter Firewall-Endpunkt kann für Failover oder Load Balancing verwendet werden. Ein zweiter Uplink kann den Verbindungsaufbau absichern. Bei statischer Adressierung beider Uplinks empfiehlt Sophos unterschiedliche DNS-Server, weil sonst der Pfad zum ersten Gateway die Namensauflösung des zweiten Uplinks beeinträchtigen kann.

Entscheidend ist der getrennte Test:

1. Zuerst muss der gewählte RED-Modus über den primären Uplink korrekt funktionieren.
2. Danach wird ein kontrollierter Uplink-Failover getestet.
3. Anschliessend werden RED-Status, DHCP, zentrale Ziele und Internetpfad erneut geprüft.
4. In HA-Umgebungen kommt ein separater Firewall-Failover-Test hinzu; der RED-Tunnel braucht nach dem Rollenwechsel Zeit für den erneuten Aufbau.

Ein grüner Tunnelstatus allein beweist weder den richtigen Internetpfad noch funktionierende Security Policies.

VLANs und LAN-Portmodi bei SD-RED 60

Die SD-RED 60 kann VLANs über den Tunnel transportieren, aber nur in Standard/Unified. Zusätzlich wird pro LAN-Port festgelegt, wie die RED mit getaggten und ungetaggten Frames umgeht.

• Tagged: Nur die konfigurierten VLANs werden getaggt weitergegeben. Unkonfigurierte VLANs und ungetaggte Frames werden verworfen. Pro Port können bis zu 64 VLAN IDs eingetragen werden.
• Untagged, drop tagged: Ungetaggte Frames werden dem konfigurierten VLAN zugeordnet; bereits getaggte Frames werden verworfen. Das entspricht einem kontrollierten Access-Port.
• Disabled: Der LAN-Port verwirft den Traffic.
• Untagged: Dieser hybride Modus braucht einen echten Test mit dem eingesetzten SFOS- und RED-Firmwarestand. Die aktuellen Sophos-Hilfeseiten beschreiben das Verhalten bereits getaggter Frames nicht durchgehend gleich. Er sollte deshalb nicht ohne Packet Capture als Trunk-Ersatz geplant werden.

Die Firewall braucht für jedes verwendete VLAN ein passendes VLAN-Interface auf dem RED-Interface. VLAN ID, IP-Netz, DHCP, RED-Portmodus und Switch-Konfiguration müssen exakt zusammenpassen. Der vollständige Firewall-Ablauf steht in Sophos Firewall VLAN einrichten und testen.

WLAN-Verhalten getrennt planen

Ein optionales WLAN-Modul der SD-RED 20 oder 60 kann drei unterschiedliche Datenpfade verwenden:

• Separate zone: Der WLAN-Traffic läuft unabhängig vom RED-Betriebsmodus verschlüsselt über VXLAN zur Firewall.
• Bridge to AP LAN: Das WLAN wird mit dem lokalen LAN des Access Points verbunden.
• Bridge to VLAN: Das WLAN wird einem VLAN zugeordnet; das genaue Verhalten hängt vom RED-Modus und der VLAN-Konfiguration ab.

In Standard-Modi muss DHCP auf dem RED-Interface passend konfiguriert sein. In Transparent/Split kommt DHCP aus dem entfernten Netz und die Option 234 muss stimmen. WLAN, LAN-Portmodus und RED-Betriebsart sollten deshalb als ein gemeinsames Design und nicht als drei unabhängige Dropdowns abgenommen werden.

Betriebsart konfigurieren und sicher testen

Die RED wird unter Network > Interfaces > Add interface > Add RED angelegt oder bearbeitet. Vor einem Wechsel sollten die aktuelle Konfiguration, DHCP-Bereiche, statischen Routen, Split-Netze, Firewall-Regeln und ein unabhängiger Managementzugang dokumentiert sein.

Der praktische Setup-Ablauf mit Provisioning, LEDs, Regeln, Performance und Fehleranalyse steht in Sophos SD-RED einrichten und Fehler beheben. Für die Betriebsart braucht es zusätzlich eine Abnahme des tatsächlichen Pfads:

1. Ein Client erhält die erwartete IP-Adresse, DNS-Server und das richtige Gateway.
2. Ein definiertes Zielnetz in der Zentrale ist erreichbar.
3. Log Viewer oder Packet Capture zeigt die erwartete Firewall Rule ID und den RED-Pfad.
4. Ein Internettest zeigt den erwarteten öffentlichen Ausgang, zentral oder lokal.
5. Eine erlaubte und eine gesperrte Anwendung bestätigen, wo die Security Policy tatsächlich greift.
6. VLANs und WLANs werden einzeln statt nur über einen allgemeinen Ping geprüft.
7. Ein geplanter Tunnel- oder Uplink-Ausfall bestätigt das dokumentierte Ausfallverhalten.

Wenn der Tunnel grün ist, der Datenpfad aber unklar bleibt, hilft Packet Capture auf Sophos Firewall richtig einsetzen. Bei Produktivstandorten sollten Änderungen nicht gleichzeitig an Betriebsart, DHCP, VLANs und Firewall-Regeln vorgenommen werden. Sonst lässt sich ein Fehler kaum noch einer Ebene zuordnen.

Typische Fehlannahmen

Split bedeutet nicht automatisch Internet bei Tunnelausfall

Standard/Split nutzt zwar lokalen Internet-Breakout, die Clients hängen aber weiterhin am von der Firewall bereitgestellten RED-Netz. Sophos dokumentiert bei einem Tunnelausfall auch dort den Verlust des Internetzugangs. Manual/Split ist das getrennte Design für ein bestehendes lokales Gateway.

Transparent bedeutet nicht beliebiges Layer-2-Passthrough

Transparent/Split integriert die RED in ein vorhandenes Netz, überträgt aber keine VLAN-getaggten Frames durch diesen Pfad. Auch DHCP, DNS und WLAN-Optionen müssen weiterhin bewusst geplant werden.

Ein grüner Tunnel beweist nicht die richtige Betriebsart

Der Tunnelstatus bestätigt die Verbindung zur Firewall. Erst DHCP-, Routing-, Internet-, Regel- und Ausfalltests zeigen, ob die gewählte Betriebsart zur Absicht passt.