Een alias-IP op Sophos Firewall configureren en testen

Een alias-IP koppelt een extra IPv4- of IPv6-adres aan een bestaande fysieke interface van Sophos Firewall. Dit is praktisch wanneer een provider meerdere publieke adressen via dezelfde WAN-verbinding levert of wanneer een interne interface tijdens een migratie een tweede subnet moet bedienen.

Het belangrijke verschil is dat een alias geen tweede internetverbinding, eigen zone of afzonderlijk gatewaypad is. Het adres gebruikt dezelfde fysieke parentinterface. Routing, firewallregels, NAT en Device Access moeten daarom nog steeds bij het bestaande interfacedesign passen.

⚠️ Documenteer vóór het toevoegen van een publiek alias-IP een actuele back-up, een onafhankelijke beheerverbinding, de providertoewijzing, de oorspronkelijke ARP-status en de geplande firewall- en NAT-regels. Een extra adres publiceert op zichzelf geen server, maar kan lokale firewalldiensten bereikbaar maken volgens de Device Access-regels van de parentzone.

Het voorbeeld gebruikt IPv4 op een WAN-interface. SFOS ondersteunt ook IPv6-aliases wanneer de IP-versie bij de parentinterface past. IPv6 Neighbor Discovery en NAT66 maken echter geen deel uit van dit concrete voorbeeld.

Alias-IP in acht stappen

1. Bevestigen dat de provider of het interne netwerk het extra adres daadwerkelijk via dezelfde fysieke interface levert.
2. Parentinterface, IP-versie, adres, subnetmasker en doel documenteren.
3. Device Access, bestaande regels en een onafhankelijk beheerpad controleren.
4. Het adres onder Network > Interfaces > Add interface > Add alias aan de parentinterface koppelen.
5. Indien nodig voor regels en NAT een duidelijk benoemd IP Host met exact dit adres maken.
6. DNAT of SNAT alleen voor de bedoelde verkeersstroom configureren; systeemverkeer afzonderlijk behandelen.
7. Providerpad, ARP, Firewall Rule ID, NAT Rule ID en beide richtingen met een nieuwe verbinding controleren.
8. Vervangende hardware, HA-failover en rollback in een onderhoudsvenster met dezelfde verkeersstroom testen.

Wanneer een alias-IP geschikt is

Een alias-IP is geschikt wanneer meerdere adressen hetzelfde fysieke Layer 2- en gatewaypad moeten gebruiken. Typische gevallen zijn:

• meerdere publieke IPv4-adressen op één statische WAN-verbinding;
• een eigen publiek adres voor DNAT, WAF of een maildienst;
• een vast bronadres voor geselecteerd doorgestuurd verkeer;
• een tweede intern subnet op hetzelfde fysieke segment tijdens een gecontroleerde migratie;
• meerdere provideradressen in hetzelfde subnet, waarbij afzonderlijke WAN-interfaces ARP-problemen zouden veroorzaken.

Meerdere WAN-interfaces in hetzelfde subnet zijn geen nette vervanging. Sophos waarschuwt dat gateways daardoor wegens ARP-problemen onbereikbaar kunnen worden en noemt een alias of LAG als geschikte interfacevormen. Zones en interfaces op Sophos Firewall legt de basiskeuze tussen fysieke poorten, VLAN, LAG, bridge en XFRM uit.

Een alias is niet geschikt wanneer een tweede lijn, eigen gateway, onafhankelijke linkstatus, andere beveiligingszone of echte failover nodig is. Daarvoor is een apart interface-, VLAN-, LAG-, WAN- of routingdesign vereist.

Als de firewall een extra IPv4-adres niet lokaal moet bezitten, maar op een direct aangesloten segment alleen namens dat adres op het ARP-verzoek moet antwoorden, is dit een ander ontwerp. Proxy ARP configureren op Sophos Firewall legt de keuze en de nauw begrensde CLI- en testprocedure uit.

Voorbeeld en te vervangen waarden

Het voorbeeld publiceert een interne HTTPS-dienst via een tweede publiek adres:

• Parentinterface: Port2
• Parentzone: WAN
• Hoofdadres: 203.0.113.9/29
• Providergateway: 203.0.113.14
• Alias-IP: 203.0.113.10/29
• Aliashostobject: WAN_ALIAS_APP_203.0.113.10
• Interne server: APP-DMZ_10.20.40.20
• Server-IP: 10.20.40.20
• Dienst: HTTPS
• Externe testhost: 198.51.100.25

203.0.113.0/24 en 198.51.100.0/24 zijn gereserveerd voor documentatie. Vervang ze in de productieconfiguratie door de adressen die de provider heeft toegewezen en een geautoriseerde externe testhost.

Het /29-masker is alleen een realistisch voorbeeld. Neem het niet over als de provider een gerouteerd blok, één /32-adres of een andere netwerkgrootte levert. De providerdocumentatie, het ARP- of routingmodel en de IP-versie op de parentinterface bepalen de juiste waarde.

De alias aan de fysieke interface toevoegen

Onder Network > Interfaces wordt het adres rechtstreeks aan de bestaande interface gekoppeld:

1. Add interface > Add alias selecteren.
2. Onder Physical interface Port2 of de werkelijke parentinterface selecteren.
3. IP version instellen op IPv4.
4. Onder IPv4/Netmask 203.0.113.10 en het door de provider bevestigde masker invoeren.
5. Met Save opslaan.

Het extra adres verschijnt daarna bij de parentinterface. Als er meer dan drie aliases zijn, toont SFOS aanvankelijk alleen de eerste drie. Scroll binnen het zichtbare adresgebied om de overige vermeldingen te bekijken.

Een alias kan niet onafhankelijk worden in- of uitgeschakeld. Als de fysieke parentinterface wordt uitgeschakeld of zijn link verliest, zijn ook de aliasadressen niet meer bereikbaar. Omgekeerd maakt het opslaan van een alias geen nieuwe gatewayvermelding of afzonderlijke route.

Het formulier Add alias heeft geen eigen zoneveld. De zone van de parentinterface blijft daarom relevant voor lokale firewalldiensten. Controleer vóór het toevoegen van een publiek alias-IP onder Administration > Device access welke diensten vanaf WAN bereikbaar zijn en gebruik voor vaste beheerbronnen een strikte Local Service ACL Exception. SSO of MFA rechtvaardigt geen brede WebAdmin-toegang.

De alias in regels en NAT gebruiken

De gekoppelde alias en een IP Host hebben verschillende functies:

• De alias maakt het adres lokaal aanwezig op de fysieke interface.
• De IP Host maakt hetzelfde adres begrijpelijk selecteerbaar in regel- en NAT-velden.

Een hostobject alleen koppelt geen adres aan de interface. Omgekeerd publiceert een alias alleen geen server en staat deze geen doorgestuurd verkeer toe. IP Hosts en services correct gebruiken legt de grenzen van deze objecten gedetailleerd uit.

Een inkomende dienst met DNAT publiceren

Voor het voorbeeld wordt onder Hosts and services > IP host het object WAN_ALIAS_APP_203.0.113.10 van het type IP met adres 203.0.113.10 gemaakt. Daarna worden een strikte DNAT-regel en een passende firewallregel gemaakt:

• Original source: geautoriseerde externe netwerken of bewust Any
• Original destination: WAN_ALIAS_APP_203.0.113.10
• Original service: HTTPS
• Translated destination (DNAT): APP-DMZ_10.20.40.20
• Translated service (PAT): Original
• Inbound interface: Port2 of de werkelijk bevestigde ingang
• Translated source (SNAT): normaal Original
• Log firewall traffic: ingeschakeld

De firewallregel staat dezelfde externe dienst toe van WAN naar de zone van de interne server en gebruikt het publieke aliasadres uit Original destination als Destination network. Houd bron, dienst en beveiligingsfuncties zo beperkt mogelijk. De volledige opbouw met regelpositie, loopback en hardening staat in Een server met DNAT publiceren.

Doorgestuurd verkeer via het alias-IP verzenden

Als alleen een specifieke interne server extern als 203.0.113.10 moet verschijnen, maakt u een eigen SNAT-regel voor precies deze verkeersstroom. Translated source (SNAT) gebruikt dan de IP Host van het aliasadres. Houd bron, bestemming, dienst en interfaces zo beperkt als de toepassing toelaat.

De NAT-regel vervangt geen firewallregel. Bovendien worden NAT-regels alleen voor het eerste pakket van een nieuwe verbinding geëvalueerd. Open na een wijziging een nieuwe verbinding; een bestaande sessie bewijst het nieuwe NAT-pad niet. NAT op Sophos Firewall legt de verwerking van SNAT, DNAT en PAT uit.

Systeemverkeer van de firewall afzonderlijk behandelen

DNS-, authenticatie-, mail- of ander verkeer dat door de firewall zelf wordt gegenereerd, volgt niet automatisch een SNAT-regel voor doorgestuurde clients. Sophos documenteert expliciet dat routingconfiguraties de hoofdinterface gebruiken. Als één specifieke en gemotiveerde systeemverkeersstroom het alias-IP als bron moet gebruiken, is daarvoor een afzonderlijke CLI-configuratie nodig.

Leg vóór de wijziging de oorspronkelijke status vast in de Device Console:

show advanced-firewall

Het volgende voorbeeld vertaalt alleen systeemverkeer via Port2 naar de afzonderlijke bestemming 198.51.100.25 en gebruikt daarbij het alias-IP 203.0.113.10:

set advanced-firewall sys-traffic-nat add destination 198.51.100.25 netmask 255.255.255.255 interface Port2 snatip 203.0.113.10

⚠️ Deze opdracht wijzigt het bronadres van firewallverkeer. De opdracht maakt geen route en is geen algemene vervanging voor een NAT-regel. Bestemming, /32-netmasker, interface en alias-IP moeten bij de werkelijke toepassing passen. Test na de wijziging precies de betreffende dienst en controleer de vermelding opnieuw met show advanced-firewall.

Voor rollback verwijdert u exact dezelfde vermelding met delete:

set advanced-firewall sys-traffic-nat delete destination 198.51.100.25 netmask 255.255.255.255 interface Port2 snatip 203.0.113.10

Bredere netmaskers vertalen verkeer naar een volledig bestemmingsnetwerk. Gebruik deze alleen wanneer dit grotere bereik bedoeld, gedocumenteerd en getest is.

Aliases uit verschillende subnetten plannen

Sophos staat meerdere aliasadressen uit verschillende subnetten op dezelfde fysieke interface toe, maar stelt twee voorwaarden:

• Sophos Firewall moet de default gateway voor interne hosts zijn.
• Upstreamapparaten die als gateway voor firewallverkeer dienen, moeten in elk gebruikt aliassubnet een passend adres hebben.

Een alias maakt een tweede subnet dus niet automatisch end-to-end functioneel. Hostgateway, peers, retourroute, ARP of Neighbor Discovery, firewallregels en NAT moeten ook voor dit subnet kloppen.

Voor permanente segmentatie is een eigen VLAN of fysieke interface meestal duidelijker. Een alias voor meerdere subnetten is eerder geschikt voor een bewust geplande overgang of een providerarchitectuur waarbij beide netwerken daadwerkelijk hetzelfde Layer 2-pad gebruiken.

DHCP Server en DHCP Relay kunnen niet op een Interface Alias worden geconfigureerd. Een alias is bovendien geen geldige Dedicated HA link. Dergelijke vereisten horen op een ondersteunde fysieke of virtuele interface.

Datapad en ARP gecontroleerd valideren

De validatie volgt de werkelijke taak en niet alleen een ping:

1. Onder Network > Interfaces de parentinterface, het aliasadres, het masker en de linkstatus controleren.
2. Op het provider- of upstreamapparaat controleren of het alias-IP via het verwachte MAC-adres of de verwachte neighbor bereikbaar is.
3. Vanaf 198.51.100.25 een nieuwe HTTPS-verbinding naar het alias-IP openen.
4. In Log Viewer de verwachte Firewall Rule ID, NAT Rule ID, Source, Original destination en vertaalde bestemming controleren.
5. In de ingebouwde Packet Capture de ingang op Port2 vergelijken met de uitgang naar de server.
6. Op de interne server bevestigen dat de verbinding aankomt en het antwoord via Sophos Firewall terugloopt.
7. Een bewust niet-toegestane poort en een niet-geautoriseerde bron negatief testen.
8. In HA een gecontroleerde failover met een nieuwe verbinding herhalen, zonder aan te nemen dat een bestaande sessie zonder onderbreking doorgaat.

Een ping naar het alias-IP is alleen betekenisvol als Ping bewust voor de parentzone is toegestaan onder Device Access. Voor een gepubliceerde HTTPS-dienst is de echte TCP- en applicatietest een beter bewijs van succes. Packet Capture op Sophos Firewall legt filters, interfacevergelijking en export uit.

Fouten systematisch afbakenen

De alias is zichtbaar maar van buitenaf niet bereikbaar

• Bevestigen dat de provider het specifieke adres daadwerkelijk via Port2 levert.
• IP, masker en parentinterface vergelijken met de providertoewijzing.
• De ARP- of neighborvermelding op het upstreamapparaat controleren.
• Device Access alleen onderzoeken voor toegang tot de firewall zelf.
• Voor doorgestuurde diensten Firewall Rule ID, NAT Rule ID en het retourpad van de server controleren.

Na vervanging van een firewall kan de upstreamrouter voor het alias-IP nog het oude MAC-adres opgeslagen hebben. Sophos noemt in dit geval het leegmaken van de routercache of het opnieuw starten van de router. Werk in de praktijk eerst alleen de betreffende ARP- of neighborvermelding bij volgens de gedocumenteerde procedure van het upstreamapparaat; een volledige herstart hoort in een onderhoudsvenster.

Uitgaand verkeer gebruikt nog steeds het hoofdadres

Controleer bij doorgestuurd verkeer of de verwachte SNAT-regel een nieuwe verbinding matcht. Source, Destination, Service, Inbound interface, Outbound interface en NAT Rule ID moeten overeenkomen.

Bij systeemverkeer van de firewall is een normale SNAT-regel niet het juiste bewijs. Controleer dan de specifieke sys-traffic-nat-vermelding, route, bestemming en werkelijke pakketstroom. Voeg niet op basis van een vermoeden een brede vertaling toe.

Alleen het tweede interne subnet werkt niet

Controleer of Sophos Firewall werkelijk de default gateway van de betreffende hosts is en of het upstreamapparaat een passend adres in dit subnet heeft. Controleer daarna retourroute, hostmasker, ARP, firewallregel en NAT afzonderlijk. Een zichtbare alias bewijst deze afhankelijkheden niet.

Een IPsec-tunnel via een alias is actief maar transporteert geen verkeer

Leg eerst SFOS-versie, build, appliance-model, gebruik van PPPoE, aliaskoppeling, IPsec Acceleration en het werkelijke pakketpad vast. SFOS 22 heeft versiespecifieke alias- en acceleratiegevallen die niet op elk aliasprobleem mogen worden toegepast. De afgebakende diagnoseprocedure staat in IPsec-probleemoplossing voor aliasinterfaces.

Gebruik, vervangende hardware en rollback

Documenteer aliasadressen samen met providertoewijzing, DNS, certificaten, NAT, firewallregels en verantwoordelijke dienst. Neem vóór vervanging van een firewall vooral de publieke aliases en de verwachte ARP- of neighborwijziging op in de validatie.

Voor een rollback:

1. Actief gebruik van de alias en de bijbehorende IP Host documenteren.
2. Gepubliceerde diensten gecontroleerd uit DNS, monitoring of load balancing halen.
3. De bijbehorende firewall- en NAT-regels eerst uitschakelen en bevestigen dat de bedoelde verkeersstroom stopt.
4. Een bestaande sys-traffic-nat-vermelding met de exacte delete-opdracht verwijderen.
5. Alias en hostobject pas verwijderen wanneer geen productieafhankelijkheid meer bestaat.
6. Parentinterface, hoofdadres, gateway en niet-betrokken diensten opnieuw controleren.
7. In HA dezelfde validatie na een geplande failover herhalen.

Een alias kan niet als Dedicated HA link worden gebruikt. HA op Sophos Firewall legt de benodigde interfaces, peerbeheeradressen en failovertests voor een cluster uit.

Checklist

• Providertoewijzing, parentinterface, IP-versie, adres en masker zijn bevestigd.
• Een back-up en onafhankelijke beheerverbinding zijn beschikbaar.
• Device Access en de Local Service ACL van de parentzone zijn gecontroleerd.
• De alias en gelijknamige IP Host worden niet met elkaar verward.
• De firewall- en NAT-regels zijn beperkt tot de bedoelde verkeersstroom.
• Systeemverkeer wordt alleen bij een gemotiveerde behoefte afzonderlijk vertaald.
• Firewall Rule ID, NAT Rule ID, ARP en beide richtingen zijn bevestigd.
• Een niet-geautoriseerde bron en niet-toegestane dienst zijn negatief getest.
• Vervangende hardware, HA-failover en rollback zijn gedocumenteerd.

Veelgestelde vragen