LAN Bypass en Fail-to-Wire instellen op Sophos Firewall
LAN Bypass, ook Fail-to-Wire (FTW) genoemd, verbindt bij een stroom- of hardwarestoring een daarvoor bestemd fysiek poortpaar rechtstreeks. Het pad kan beschikbaar blijven en Sophos Firewall hervat automatisch de normale werking zodra de voeding terugkeert.
De grens is duidelijk: tijdens de bypass passeert al het verkeer zonder inspectie. Firewallregels, IPS, Web Protection, Application Control, malwarescanning en logging worden niet toegepast. FTW kiest connectiviteit boven bescherming en is geen performance-optie.
⚠️ Test alleen tijdens een gepland onderhoudsvenster, met een vastgelegde risicoafweging, externe monitoring en een gecontroleerde terugkeer naar beschermd bedrijf.
Vereisten en grenzen
Sophos documenteert de functie voor XGS Appliance 2xxx-modellen en hoger, bijvoorbeeld XGS 2100, in bridgemodus. Kleinere XGS Appliance-modellen, virtuele firewalls en cloudinstances beschikken niet over deze hardware.
De poorten vormen vaste hardwarematige FTW-paren. Twee willekeurige interfaces aan een bridge toevoegen is niet voldoende. Controleer het paar op de appliance, in de Hardware Guide of in de modeldocumentatie. Afhankelijk van de appliance kunnen één of beide bypass-paren worden ingeschakeld. lanbypass staat standaard op off.
Bevestig vóór activering het poortpaar, het LAN/WAN-pad, onafhankelijke beheerstoegang, backup, eigenaar, normale firewallregel en een onderhoudsvenster waarin tijdelijk ongeïnspecteerd verkeer wordt geaccepteerd.
LAN Bypass is geen Stateful Firewall Bypass-regel, die softwarematig werkt, en geen HA-cluster, waarbij een tweede node de bescherming voortzet.
Samenwerking met HA en STP
De SFOS 22-help over bridge mode bevestigt HA op Bridge Interfaces in een implementatie die met de setup assistant is gemaakt. Tegelijk stelt de Bridge Interface-referentie dat STP op geen enkele Bridge Interface kan worden ingeschakeld zolang HA actief is. Deze pagina’s en de LAN Bypass-documentatie bieden geen gecombineerde HA/FTW-procedure en leggen niet vast hoe een HA-event samenwerkt met de hardwarebypass. Leid ondersteuning, activeringsvolgorde of bekabeling daarom niet af uit de afzonderlijke functies. Vraag vóór een combinatie aan Sophos om een modelspecifiek ontwerp en testprocedure die per node onderscheid maken tussen beschermde HA-failover en een onbeschermd FTW-pad. Het KBA-voorbeeld Port1/Port2 is geen algemeen HA-bekabelingsschema.
Poortpaar en bridge plannen
Het gedocumenteerde voorbeeld gebruikt de naam Fail to Wire, hardware XGS, beschrijving LAN Bypass, Port1, Port2, de zones LAN en WAN en een gerouteerde bridge. Het statische adres is 192.168.1.151/24 (255.255.255.0); gatewayobject GW verwijst naar 192.168.1.1. Deze waarden tonen alle velden, maar vormen geen universeel bekabelings- of adresseringsplan. Het hardwarepaar en het werkelijke netwerkontwerp zijn bepalend.
Documenteer switch- of providerpoort, snelheid, duplex, VLAN’s, adressering, gateway, MAC-afhankelijkheden en zones. Het paar kan alleen transporteren wat beide zijden op laag 1 en 2 zonder actieve firewall kunnen uitwisselen.
Een bridge kan transparant zonder IP of gerouteerd zijn. FTW maakt geen gateway, firewallregel of NAT. Een Bridge Interface configureren en testen behandelt members, STP, VLAN’s en beheerrisico.
Bridge en beschermd bedrijf configureren
Onder Network > Interfaces > Add interface > Add bridge:
- Kies een duidelijke Name en een Hardware name die achteraf niet kan worden gewijzigd, en voeg het bevestigde FTW-paar met de geplande zones toe.
- Schakel Enable routing on this bridge pair alleen in voor een gerouteerde bridge en voer het werkelijke IP-adres, netmask en gateway in.
- Sla op, bevestig Add Bridge en sluit het paar correct aan. Als directe UI-controle moet de nieuwe bridge daarna in de lijst Network Interfaces verschijnen.
- Maak voor normaal bedrijf een beperkte firewallregel met logging.
- Test toegestaan en bewust geweigerd verkeer, Rule ID, NAT, IPS en retourpad.
Tijdens een stroomloze bypass kan de regel geen pakketten controleren. Een normale test bewijst FTW niet en een geslaagde FTW-test bewijst de beschermingsregel niet.
LAN Bypass inschakelen in Device Console
Open na een beveiligde SSH-aanmelding 4. Device Console:
show lanbypass
Leg vóór iedere tijdelijke test de exacte bestaande schakelaarwaarde, on of off, vast in het wijzigingsdossier als uitgangswaarde. Gebruik een betrouwbaar configuratierecord of een statuscontrole die voor het model en de SFOS-versie wordt ondersteund; de SFOS 22/23-referenties voor set lanbypass documenteren geen uitvoer van show lanbypass. Neem vóór de wijziging contact op met Sophos Support als de uitgangswaarde niet betrouwbaar kan worden vastgesteld. De standaardwaarde off vervangt deze uitgangswaarde niet. Voer alleen de toepasselijke opdracht voor in- of uitschakelen uit, niet beide achter elkaar:
set lanbypass on
set lanbypass off
Lees de status na iedere wijziging opnieuw. on bewijst niet dat bekabeling en hardwarepaar correct zijn.
De gedocumenteerde standaardwaarde is off. set lanbypass on|off wijzigt die status; na herstel van de voeding keert de firewall automatisch terug naar normaal bedrijf. show lanbypass leest de status en het bovenstaande voorbeeld toont de bijbehorende UI-configuratie.
Voor een XGS 2300 met SFOS 19.5.3 MR-3 Build 652 is ook de volgende Advanced Shell-helpuitvoer gedocumenteerd. Deze staat hier alleen als referentie; voer de wijzigende opties niet uit zonder modelspecifieke instructies van Sophos Support:
Usage: xgs-ftw [options] [<port>]
<port> Any port within FTW bump pair
Options:
-s, --status Get FTW status for the FTW bump pair (default)
-e, --enable-bypass Enable bypass on the FTW bump pair
-d, --disable-bypass Disable bypass on the FTW bump pair
-a, --arm Arm the FTW bump pair
-u, --unarm Unarm the FTW bump pair
-t, --timer {<seconds>|disable|reset} Arm/disable/reset watchdog timer
-h, --help Show this help message and exit
Deze uitvoer van xgs-ftw -h documenteert modelspecifieke opties voor status, bypass, arming en watchdog; <port> is een poort binnen het FTW-paar. De wijzigende opties grijpen rechtstreeks in op het hardwarepad en zijn geen algemeen beheerrecept. Leg bij problemen buiten show lanbypass en de gedocumenteerde set-schakelaar model, SFOS-build en status vast en schakel Sophos Support in.
Fail-to-Wire gecontroleerd testen
De test is verstorend. Voer hem alleen uit als de betrokken systemen een korte linkonderbreking en tijdelijk onbeschermd verkeer kunnen verdragen. Regel vooraf out-of-band toegang, contactpersonen en afbreekcriteria.
- Test bij normaal bedrijf beide richtingen en bewaar Rule ID, policy en logs.
- Controleer
show lanbypass, snelheid, duplex en link op beide poorten. - Start externe end-to-end monitoring tussen beide zijden. Monitoring op de firewall zelf is tijdens een stroomuitval ongeschikt.
- Onderbreek tijdens het onderhoud gecontroleerd de voeding. Een korte linkwijziging of nieuwe clientverbindingen zijn mogelijk; ononderbroken sessies worden niet gegarandeerd.
- Controleer of verkeer door het fysieke paar blijft lopen. Firewallinspectie en logs ontbreken dan zoals verwacht.
- Herstel de voeding en wacht tot SFOS, de bridge-members en de interfaces volledig gereed zijn.
- Maak een nieuwe flow en controleer Rule ID, IPS- of Web Policy en logs.
- Test bewust geweigerd verkeer om te bewijzen dat de bescherming is teruggekeerd.
Begin met een kleine herkenbare pilotflow, niet met de volledige productielast.
Veelvoorkomende fouten isoleren
Geen verkeer tijdens de storing
Controleer modelondersteuning, het werkelijke FTW-paar, show lanbypass, bekabeling, snelheid, duplex en VLAN-trunks. Twee willekeurige bridge-members vormen geen FTW-paar.
De bridge werkt niet tijdens normaal bedrijf
Controleer members, zones, IP-modus, gateway, firewallregel, NAT en VLAN-filters. LAN Bypass repareert de bridge niet; Packet Capture en Rule ID tonen het pad.
De bescherming keert niet terug
Test een geblokkeerde service en een IPS- of Web Policy, niet alleen connectiviteit. Controleer bij ontbrekende logs interfaces, bridge, regelmatch en services.
De bypass schakelt onverwacht
Leg model, build, show lanbypass en tijdstip vast. Wijzig arming of watchdog niet op goed geluk via xgs-ftw; geef topologie en status door aan Sophos Support.
Terugdraaien en beheer
Herstel na een tijdelijke test, ook bij afbreken of een onverwacht resultaat, eerst de voeding en wacht tot de appliance bereikbaar en het normale beschermde pad gereed is. Herstel daarna uitsluitend de voor de test gewijzigde lanbypass-schakelaar naar de vastgelegde uitgangswaarde: set lanbypass on als die eerder on was, of set lanbypass off als die eerder off was. Noch onvoorwaardelijk off, noch het omkeren van de testwaarde behoudt de uitgangswaarde. Automatisch herstel wanneer de voeding terugkeert vervangt deze schakelaarherstelling niet. Herhaal de normale positieve en negatieve tests met Rule ID, beveiligingspolicy en logs. Controleer de configuratie alleen met bewijs dat voor model en versie wordt ondersteund; stop de test en schakel Sophos Support in als de status onduidelijk is of bescherming ontbreekt.
Definitieve buitengebruikstelling is een afzonderlijke beslissing: alleen als FTW bewust geen deel meer van het ontwerp moet zijn, test je eerst het normale pad en voer je daarna set lanbypass off uit. Controleer de status met een ondersteunde methode. Dit verwijdert de bridge niet; migreer of verwijder die afzonderlijk, uitsluitend indien nodig.
Documenteer model, FTW-paar, kabelbestemmingen, status, laatste test, risico-eigenaar en volgende testdatum. Controleer de toewijzing opnieuw na firmwarewijziging, hardwarevervanging of herbekabeling.