Sophos Switch PoE planen und Fehler beheben

Power over Ethernet (PoE) versorgt Access Points, Kameras oder Telefone über dasselbe Ethernet-Kabel wie die Datenverbindung. Dafür müssen aber drei Grenzen gleichzeitig stimmen: Der Switch muss den PoE-Standard des Powered Device (PD) unterstützen, das Gesamtbudget muss für alle Ports reichen und jeder Port muss genügend Leistung bereitstellen dürfen.

Dieses Runbook trennt Planung, Konfiguration und Wiederherstellung. Es gilt für die dokumentierten PoE-fähigen Sophos-Switch-Modelle und verwendet die Bezeichnungen der lokalen Switch-Oberfläche, von Sophos Fusion und der CLI. Die Modellangaben beschreiben technische Fähigkeiten; sie sagen nichts über Verfügbarkeit, Lieferstatus oder ein aktuelles Verkaufsportfolio aus.

Wichtig: Das Abschalten oder Zurücksetzen von PoE unterbricht ein angeschlossenes Gerät sofort. Bei Access Points, Kameras, Telefonen oder einem Gerät im Managementpfad muss deshalb vorab ein Wartungsfenster, ein alternativer Zugriff und ein Rückweg vorhanden sein. Niemals mehrere unbekannte Ports gleichzeitig zurücksetzen.

Kurzablauf

1. Ermittle Modellbudget, Portstandard und den maximalen Bedarf jedes PD. Halte die reservierte Last samt Betriebsreserve unter dem Modellbudget.
2. Prüfe Kabelstrecke und PD zuerst. Sichere danach den Vorzustand und ändere entweder in Sophos Fusion oder lokal, nicht abwechselnd in beiden Oberflächen.
3. Ändere zunächst nur einen unkritischen Port. Prüfe daran Versorgung, Datenverbindung und Gerätedienst.
4. Führe Keepalive zuerst mit Syslog ein. Erlaube Reboot with Syslog erst nach einem kontrollierten Fehlertest und begrenze die Neustarts.
5. Nutze einen PoE-Reset nur für einen bestätigten Zielport, genau einmal und mit vorbereitetem Rückweg.

Modelle, Standards und Leistungsbudgets

Die folgende Matrix nennt die in der Sophos-Dokumentation ausgewiesenen Werte. Das PoE Power Budget ist die Obergrenze des Switches für alle PoE-Ports zusammen, nicht die garantierte Leistung je Port.

Sophos dokumentiert die Versorgung IEEE-802.3af/at/bt-konformer Geräte. Ein Gerät, das proprietäres oder anderweitig nicht standardkonformes PoE voraussetzt, darf nicht allein aufgrund eines passenden Steckers als kompatibel gelten. Die CLI besitzt zwar einen Legacy PoE mode für bestimmte Altgeräte; das ist eine gezielte Ausnahme und keine allgemeine Kompatibilitätszusage.

Budget richtig dimensionieren

Erfasse für jedes PD mindestens Hersteller, Modell, benötigten IEEE-Standard, maximalen Leistungsbedarf, erwartete typische Aufnahme, Port und Kritikalität. Reserviere nicht nur den aktuell gemessenen Verbrauch: Ein Access Point kann beim Start, mit aktiven Funkmodulen oder angeschlossenen USB-Geräten mehr benötigen als im Leerlauf.

Die Planungsregel lautet:

geplante PoE-Last = Summe der reservierten maximalen Portleistungen
freie Reserve       = Modellbudget - geplante PoE-Last

Lege die Reserve passend zum Standort fest. Sie muss geplante Erweiterungen, Startspitzen und den Ausfall anderer Versorgungswege abdecken. Auch eine grosszügige Reserve erlaubt nicht, das dokumentierte Modellbudget zu überschreiten.

Rechenbeispiel: Auf einem CS110-24FP mit 410 W Budget sollen acht Class-4-Geräte und acht Class-3-Geräte laufen. Reserviere mit den dokumentierten Klassenmaxima: 8 × 30,0 W + 8 × 15,4 W = 363,2 W. Damit bleiben 410 W - 363,2 W = 46,8 W Reserve. Ein parallel abgelesener, niedrigerer Wert für Consumed power ist nur die momentane Messung. Für die Planung bleiben 363,2 W reserviert; die Messung rechtfertigt keine zusätzlichen Verbraucher.

Portklassen zeigen, welche maximale Leistung das Power Sourcing Equipment (PSE) für das erkannte Gerät bereitstellen kann:

Die Klasse belegt nicht den momentanen Verbrauch. Lies dafür lokal Mode-A/Mode-B power (W) oder Total power output (W) beziehungsweise in Fusion Output power (W) ab.

Kabelstrecken vor PoE-Problemen prüfen

PoE und Datenrate teilen sich den physischen Pfad. Neben der elektrischen Versorgung müssen Kabelkategorie, Schirmung, Patchpanel, Stecker und die gesamte Channel-Länge zur ausgehandelten Portgeschwindigkeit passen. Sophos empfiehlt geeignete Abschirmung gegen Alien Crosstalk, geschirmte Buchsen und Patchpanels, keine engen gemischten Kabelbündel und keine mechanische Belastung der RJ45-Ports.

Teste bei sporadischen PoE-Ausfällen die komplette Strecke mit einem bekannten guten, kurzen Patchkabel gegen. Ein Link-Up oder eine niedrigere ausgehandelte Datenrate beweist nicht, dass das Kabel unter voller PoE-Last fehlerfrei ist. Beziehe besonders bei langen oder dicht gebündelten Leitungen auch Patchfelder und Kupplungen ein.

Vor der Änderung

Halte vor einer produktiven Änderung nur die Werte und Abhängigkeiten fest, die du für Vergleich und Rückweg brauchst:

• Switchmodell, Firmwarestand und betroffener Port
• aktuelles Total power budget und aktuelle Gesamtaufnahme
• Configuration source der globalen und portbezogenen Einstellungen
• Portstatus, Priorität, Limittyp, konfiguriertes Limit, Klasse und Ausgangsleistung
• MAC- und Management-IP-Adresse des PD, sofern sichtbar
• Keepalive-Modus, Ziel-IP, Timer, Restart count und letzte Action taken
• VLAN, Linkstatus und erreichbarer Managementweg zum PD
• Wartungsfenster, Verantwortlicher und erlaubte Unterbrechungsdauer
• alternativer Managementweg sowie bei einem kritischen Gerät eine alternative Stromversorgung oder lokaler Zugriff

Lokale Änderungen am Switch werden nicht mit Sophos Fusion synchronisiert. Ändere einen zentral verwalteten Switch deshalb in Sophos Fusion. Zeigt Configuration source eine unerwartete Quelle oder einen Konflikt, kläre zuerst die Ursache; überschreibe lokale und zentrale Werte nicht abwechselnd.

In Sophos Fusion liegt PoE beim ausgewählten Switch unter Port settings > PoE. Lokal liegt es unter Configure > Power Supply. Die Masken verwenden teilweise unterschiedliche Bezeichnungen: Fusion zeigt beispielsweise Enable/Disable, Auto/Manual und User power limit (W); lokal erscheinen On/Off, Autoclass/User defined und User Power Limit (W).

PoE-Budget und Ports konfigurieren

Gesamtbudget

In Sophos Fusion unter Port settings > PoE > Power budget:

1. Notiere den bestehenden Wert und die Configuration source.
2. Trage unter Total power budget den geplanten Gesamtwert ein und wähle Update.
3. Prüfe die Synchronisierung und den neuen Wert am Switch.

Kontrolliere lokal unter Configure > Power Supply > PoE das Total power budget und die Consumed power. Ein konfigurierter Schwellenwert schafft keine zusätzliche Kapazität jenseits der dokumentierten Hardwaregrenze.

Portlimit und Priorität

Bearbeite in Fusion den Port unter PoE port settings und wähle anschliessend Update. Markiere ihn lokal unter PoE port settings, wähle Edit und speichere mit Apply.

• Enabled: Enable beziehungsweise lokal Status: On aktiviert LLDP und die Stromversorgung am Port.
• Power limit type: Auto beziehungsweise Autoclass lässt die erkannte Klasse das Maximum bestimmen.
• Power limit type: Manual beziehungsweise User defined verwendet das gesetzte User power limit (W).
• Ein manuelles Limit muss den belegten Port vor Überlast schützen, darf den dokumentierten Maximalbedarf des legitimen PD aber nicht unterschreiten.
• Priority entscheidet bei knappem Gesamtbudget, welche Ports zuerst abgeschaltet werden; sie erhöht weder das Gesamtbudget noch das Portlimit.

Die Prioritätsreihenfolge ist:

1. Low: wird bei Knappheit zuerst abgeschaltet.
2. Medium: Standard; folgt nach allen Low-Ports.
3. High: folgt erst nach Low und Medium.
4. Critical: bleibt auf Kosten aller niedrigeren Prioritäten möglichst versorgt.

Vergib Critical nur an tatsächlich betriebsnotwendige Geräte. Sind zu viele Ports kritisch, verliert die Priorisierung ihren Zweck. Teste nach dem Speichern das reale PD; ein gespeicherter Wert beweist noch keine ausreichende Versorgung.

PoE-Status korrekt lesen

Zusätzlich helfen Signature (Single oder Dual), Mode-A/Mode-B class, Ausgangsspannung, Ausgangsstrom und Leistung bei der Eingrenzung. Ein Delivering-Status mit unerwartet geringer Leistung kann normaler Leerlauf sein; massgebend sind Gerätedaten und Funktionstest. Fault oder Test Fail ist kein Anlass für eine Reset-Schleife.

Continuous PoE Power bei einem Switch-Neustart

Die lokale Funktion Continuous PoE Power startet den Switch neu und hält dabei die PoE-Versorgung der PDs aufrecht. Sie verhindert jedoch nicht die Unterbrechung der Datenweiterleitung während des Switch-Neustarts und ersetzt weder USV noch redundante Versorgung.

Vorgehen in der lokalen Oberfläche:

1. Prüfe, ob das Modell die Funktion unterstützt und alle Geräte stabil versorgt sind.
2. Dokumentiere Managementpfad und erwartete Datenunterbrechung.
3. Klicke auf das Profilsymbol und wähle Continuous PoE Power.
4. Wähle Apply; der Switch startet neu.
5. Prüfe nach seiner Rückkehr Portstatus, Budget, Link, VLAN und Erreichbarkeit aller PDs.

Der CS101-8FP unterstützt Continuous PoE Power nicht. Plane bei diesem Modell für einen Neustart eine Versorgungsunterbrechung ein oder versorge das PD anderweitig.

PoE Keepalive sicher einführen

PoE Keepalive überwacht ein PD und kann dessen Portstrom aus- und wieder einschalten. Es ist kein Ersatz für ein korrektes Monitoring: Ein Ping kann wegen Routing, VLAN, ACL, ICMP-Filterung, Bootzeit oder einer falschen IP scheitern, obwohl das Gerät gesund ist.

In Sophos Fusion liegt die Funktion unter Port settings > PoE keepalive, lokal unter Configure > Power Supply > PoE keepalive. Schalte Keepalive zuerst global mit On/Off beziehungsweise lokal Turned on/Turned off. Bearbeite dann die ausgewählten Ports unter Advanced configuration mit Edit und speichere mit Apply.

Modi und Felder

• Mode: Auto prüft zuerst per LLDP und wechselt zu Ping, wenn das PD über LLDP nicht erreichbar ist.
• Mode: Force Ping prüft das angegebene Gerät per Ping.
• IP address beziehungsweise lokal Specified IP address muss eindeutig zum PD am Port gehören.
• Ping interval: 1 bis 3600 Sekunden.
• Ping: Maximum number: 1 bis 255 aufeinanderfolgende Fehlversuche vor der Aktion.
• Action type: Syslog protokolliert den Ausfall, startet das PD aber nicht neu.
• Action type: Reboot with Syslog schaltet PoE aus und wieder ein und erzeugt eine Syslog-Meldung.
• Power recovery interval: 1 bis 600 Sekunden, während der PoE bei einem Keepalive-Neustart aus bleibt.
• Maximum number of restarts: begrenzt die Neustartversuche. Wird die Option abgewählt, darf der Switch ein nicht reagierendes PD fortlaufend neu starten.
• PoE startup time: 50 bis 1200 Sekunden Wartezeit nach dem Neustart, bevor die Prüfung beginnt.
• LLDP retention time: 30 bis 600 Sekunden Aufbewahrungszeit der LLDP-Pakete.

Setze im Pilot immer Maximum number of restarts. Ein unbegrenzter Neustartzyklus kann einen defekten oder nur langsam startenden Endpunkt dauerhaft unbrauchbar machen und die Ursache verdecken.

Empfohlener Pilotablauf

1. Wähle einen unkritischen Port und bestätige dessen IP/MAC-Zuordnung sowie den Pingpfad vom Switch zum PD.
2. Starte mit Syslog, nicht mit einem automatischen Neustart. Stimme Ping interval, Fehlversuche und PoE startup time auf normale Paketverluste und die reale Bootzeit ab.
3. Erzeuge einen kontrollierten Ausfall. Prüfe unter Status of supplying port die Werte Polling method, Management IP address und Action taken.
4. Wechsle erst nach korrekter Erkennung zu Reboot with Syslog und setze Maximum number of restarts auf einen begrenzten Wert.
5. Prüfe nach genau einem Testneustart den Dienst, Syslog, Restart count und die letzte Aktion.

Lokal aktualisiert Refresh die Tabelle Status of supplying port. In Advanced configuration kann Refresh den angezeigten Restart count zurücksetzen. Dokumentiere den Zähler deshalb vorher als Betriebsnachweis.

Exakte CLI-Prüfungen und kontrollierter Reset

Nutze CLI-Kommandos nur, wenn Managementweg, Zielport und Auswirkung eindeutig sind. Die dokumentierten Prüfkommandos laufen im Privileged EXEC Mode:

show power detail
show power inline
show power inline gigabitethernet 0/1

• show power detail zeigt unter anderem den globalen PoE-Adminstatus, den PSE-Betriebsstatus und die maximale Stromversorgung.
• show power inline zeigt den PoE-Zustand jedes PSE.
• show power inline gigabitethernet 0/1 beschränkt die Ausgabe auf das Beispielinterface 0/1. Ersetze Interface-Typ und -ID durch den realen Zielport. Dokumentierte Typen sind gigabitethernet und port-channel; die ID kombiniert Slot und Port mit einem Schrägstrich.

Gezielt einen Port stromlos schalten

Die dokumentierten Reset-Kommandos laufen im Interface Configuration Mode des ausgewählten Ports:

power reset interval 10
power reset

Die erste Zeile setzt im Beispiel die Abschaltdauer auf 10 Sekunden. Zulässig sind bei diesem CLI-Kommando 1-300 Sekunden:

power reset interval <1-300>
power reset

power reset schaltet die PoE-Versorgung für das mit power reset interval gesetzte Intervall aus und danach wieder ein. Kontrolliere vor dem Ausführen, dass die CLI im Interface Configuration Mode genau des bestätigten Zielports steht. Setze weder einen Port-Channel noch mehrere Ports auf Verdacht zurück.

Sicherer Ablauf:

1. Sichere mit show power detail den Gesamtzustand und mit der gezielten show power inline-Abfrage Zustand und Leistung des Zielports.
2. Gleiche MAC/IP, physische Beschriftung und Verantwortlichen ab. Prüfe nochmals den alternativen Managementweg.
3. Setze das Intervall im Interface Configuration Mode des bestätigten Ports und führe power reset genau einmal aus.
4. Warte die dokumentierte Bootzeit des PD ab; resette nicht sofort erneut.
5. Wiederhole beide show-Prüfungen und teste den Dienst extern. Bleibt der Fehler bestehen, stoppe weitere Wiederholungen und isoliere PD, Kabel und Port.

Weitere dokumentierte PoE-Kommandos

Die folgenden Syntaxen sind dokumentiert, aber nicht alle sind für eine Störungsbehebung nötig:

set poe global power threshold <value>
power inline { enable | disable }
power inline limit { auto | <value> }
power inline priority { critical | high | medium | low }
power legacy mode {enable | disable}

set poe global power threshold <value> läuft im Global Configuration Mode und verändert das globale Budget. Die anderen Kommandos laufen im Interface Configuration Mode. Halte vor einer Änderung den alten Wert und die richtige Konfigurationsquelle fest.

Legacy PoE mode ist laut CLI-Dokumentation nur auf CS110-24FP, CS110-48P, CS110-48FP, CS210-8FP, CS210-24FP, CS210-48FP und CS1010-8FP verfügbar. Aktiviere ihn ausschliesslich für ein identifiziertes Altgerät, das nicht IEEE 802.3af/at-konform ist und ausdrücklich nicht standardkonformes PoE benötigt. Kläre vorher Spannungs-/PoE-Anforderung, Herstellerfreigabe und Auswirkung. Für unbekannte Geräte bleibt der Modus deaktiviert.

Fehler systematisch eingrenzen

Kein Strom, Status Searching

1. Prüfe, ob der Port in Fusion Enable oder lokal On ist, und kontrolliere Configuration source auf zentrale/lokale Abweichungen.
2. Vergleiche PD-Anforderung und IEEE-Standard des Switchmodells. Prüfe freies Gesamtbudget und manuelles Portlimit.
3. Ersetze die Kabelstrecke durch ein kurzes, bekannt gutes Kabel.
4. Teste dasselbe PD an einem bestätigten geeigneten PoE-Port und danach ein kompatibles Testgerät am ursprünglichen Port.

So trennst du Fehler an PD, Kabel und Switchport voneinander. Ändere die Konfiguration erst nach dieser Eingrenzung.

Test Fail oder Fault

1. Dokumentiere Portzustand, Spannung, Strom, Klasse und Signatur.
2. Schalte PoE am Port aus oder trenne das PD physisch; erzwinge die Versorgung nicht wiederholt.
3. Prüfe die Leitung auf Kurzschluss, beschädigte Stecker, fehlerhafte Patchfelder und Feuchtigkeit.
4. Teste das PD mit passender externer Versorgung oder an einem bekannten guten Port. Prüfe den ursprünglichen Port mit einem bekannten guten Kabel und einem kompatiblen Testgerät.
5. Bleibt Fault ohne die problematische Strecke bestehen, verwende den Port nicht weiter und starte den Hardware-/Supportprozess.

Gerät startet wiederholt neu

• Prüfe, ob Consumed power nahe am Gesamtbudget liegt und niedrig priorisierte Ports abschalten.
• Vergleiche das Portlimit mit dem maximalen PD-Bedarf; korrigiere ein zu tiefes User power limit (W).
• Prüfe Keepalive-Logs, Restart count, Action taken, Ziel-IP, VLAN, ICMP-Pfad, LLDP und Bootzeit.
• Setze Reboot with Syslog bei vermuteten Fehlalarmen vorübergehend auf Syslog. Deaktiviere unbegrenzte Neustarts und setze eine Obergrenze.
• Teste Kabel und PD unter Last gegen.

Delivering, aber Gerät oder Netzwerkdienst nicht erreichbar

PoE funktioniert in diesem Fall möglicherweise korrekt. Link, Speed/Duplex, VLAN-Zuordnung, DHCP, Gateway, ACL und den Dienst des PD getrennt prüfen. Ein PoE-Reset ist erst gerechtfertigt, wenn ein kontrollierter Stromzyklus als Recovery vereinbart ist; er repariert keine falsche VLAN- oder IP-Konfiguration.

Gesamtbudget reicht nicht

1. Dokumentiere aktuelle Portleistungen und konfigurierte Limits. Gleiche Verbraucher und Reserveplan ab, statt unbenutzte Ports blind zu deaktivieren.
2. Priorisiere kritische Geräte, ohne alle Ports auf Critical zu setzen. Korrigiere zu hohe manuelle Reservierungen nur anhand der PD-Spezifikation.
3. Überschreiten geplante Maximallast und Reserve das Modellbudget, verteile die Verbraucher auf geeignete PSEs oder ändere die Stromarchitektur. Ein höherer Schwellenwert erzeugt keine zusätzliche Hardwareleistung.

Rückweg und Wiederherstellung

Wenn eine Änderung unerwartet Geräte abschaltet oder Managementzugriff gefährdet:

1. Stoppe weitere Portänderungen und automatische Keepalive-Neustarts. Bestätige den zuletzt geänderten Port anhand von Beschriftung, MAC und IP.
2. Stelle den dokumentierten Vorwert für Budget, Portlimit, Priorität oder Keepalive über die ursprüngliche Konfigurationsquelle wieder her. Nutze bei zentraler Verwaltung Sophos Fusion und warte die Synchronisierung ab; vermeide lokale Gegenänderungen.
3. Trenne bei Fault zuerst PD oder Kabel. Liegt kein elektrischer Fehler vor, darfst du nur den bestätigten Port einmal kontrolliert zurücksetzen.
4. Nutze bei verlorenem Remotezugriff den vorbereiteten lokalen oder alternativen Managementweg.
5. Prüfe Versorgung, Datenpfad und Dienst erneut. Protokolliere danach Ursache, Zeit, Port, Status und Massnahme.

Ein Switch-Neustart ist nicht der erste Troubleshooting-Schritt. Ist er nach gesicherter Konfiguration dennoch nötig, prüfe die Unterstützung für Continuous PoE Power. Auch mit dieser Funktion fällt die Datenverbindung während des Neustarts aus.

Abschlusskontrolle

Schliesse die Arbeit erst ab, wenn diese Ergebnisse belegt sind:

• Total power budget, reservierte Maximallast und freie Reserve entsprechen dem Plan; das Modellbudget bleibt eingehalten.
• Produktive Ports zeigen den geplanten Limittyp und die richtige Priorität. Die PDs stehen stabil auf Delivering; Klasse, Signatur, Spannung, Strom und Leistung sind plausibel. Test Fail und Fault treten nicht auf.
• Datenlink, VLAN, IP-Erreichbarkeit und Anwendungsdienst funktionieren.
• Keepalive verwendet die bestätigte IP/MAC-Zuordnung und Polling-Methode. Der Pilot erzeugt die erwartete Syslog-Meldung und überschreitet nie die gesetzte Neustartgrenze; Restart count und Action taken sind dokumentiert.
• show power detail und die gezielte show power inline-Abfrage bestätigen nach einer CLI-Änderung den stabilen Zustand.
• Configuration source entspricht dem vorgesehenen Managementmodell, ohne unbeabsichtigte lokale Abweichungen.
• Aktualisiere den dokumentierten Rückweg, bevor du den alternativen Managementweg schliesst.