Application Traffic Shaping op Sophos Firewall configureren

Met Application Traffic Shaping geeft Sophos Firewall afzonderlijke applicaties zoals Microsoft Teams, VoIP, OneDrive of back-updiensten prioriteit of een limiet. De volledige applicatiegebaseerde werkwijze is:

1. Maak onder System services > Traffic shaping een policy aan met Policy association > Applications.
2. Laat onder Applications > Application filter de gewenste applicatie herkennen.
3. Wijs onder Applications > Traffic shaping default de policy toe aan de applicatie of categorie.
4. Selecteer onder Rules and policies > Firewall rules het Application Filter en activeer Apply application-based traffic shaping policy.

Een policy met Policy association > Rules in het veld Shape traffic is een andere variant: deze reguleert al het verkeer dat overeenkomt met de firewallregel, niet alleen de applicatie die in het Application Filter is geselecteerd.

⚠️ Traffic Shaping creëert geen extra bandbreedte. Het verdeelt een knelpunt op een gecontroleerdere manier. Als de verbinding permanent verzadigd is, moeten capaciteit, back-ups, cloudsynchronisaties en andere oorzaken alsnog worden onderzocht.

Traffic Shaping beperkt een gegevenssnelheid, niet de totale hoeveelheid overgedragen gegevens. Voor verbruikbare tijd- of datategoeden worden in plaats daarvan Surfing Quota en Network Traffic Quota gebruikt.

Vereisten en bandbreedte plannen

Voor de configuratie moet het volgende duidelijk zijn:

• Voor applicatiegebaseerde shaping is Application Control vereist. Dit maakt deel uit van Web Protection en is ook opgenomen in de bundel Standard Protection. De status staat onder System > Administration > Licensing. Voor een policy die uitsluitend op Rules is gebaseerd, is applicatieherkenning daarentegen niet nodig.
• De betreffende applicatie wordt door de firewall herkend en het verkeer loopt via een bekende firewallregel.
• Logging is voor deze regel ingeschakeld.
• Het is duidelijk of upload, download of beide richtingen het knelpunt vormen en welke WAN-gateway of welk SD-WAN-pad wordt gebruikt.
• Het gewenste effect is bepaald: Guarantee reserveert een minimale bandbreedte en staat verkeer tot de limiet toe; Limit stelt alleen een bovengrens in.

Sophos toont shapingwaarden in KBps, terwijl speedtests meestal kbps of Mbit/s gebruiken. 1 KBps is gelijk aan 8 kbps. 100 Mbit/s is daarom ongeveer 12'500 KBps en 20 Mbit/s ongeveer 2'500 KBps.

Stabiele meetwaarden zijn bepalend, niet de opgave van de provider. Als een aansluiting met een nominale snelheid van 100/20 Mbit/s betrouwbaar slechts 80/15 Mbit/s haalt, moet de planning uitgaan van ongeveer 10'000/1'875 KBps. Te hoge waarden liggen buiten het werkelijke knelpunt en kunnen dit daarom niet goed reguleren.

Bij asymmetrische verbindingen moet Limit upload/download separately worden geactiveerd. Vooral Teams, VoIP, VPN en cloudback-ups ondervinden vaak als eerste hinder van een verzadigde upload. De globale waarden onder System services > Traffic shaping settings gelden alleen voor uitgaand verkeer dat de firewall naar de WAN-zone doorstuurt. Afzonderlijke Traffic Shaping-policies kunnen daarentegen op inkomend en uitgaand doorgestuurd verkeer worden toegepast. QoS geldt bovendien niet voor door de firewall zelf gegenereerd verkeer, zoals patroonupdates of licentiesynchronisaties.

Globale standaardwaarden en afzonderlijke policies onderscheiden

Onder System services > Traffic shaping settings bepaalt Total available WAN bandwidth de gezamenlijke QoS-capaciteit van alle WAN-verbindingen. Voer de som van de stabiel beschikbare bandbreedte in, in KBps, en niet alleen de gecontracteerde snelheid van één verbinding. Show bandwidth usage toont hoe deze capaciteit over de prioriteiten is verdeeld. Deze globale waarden gelden alleen voor doorgestuurd uitgaand WAN-verkeer dat niet aan een afzonderlijke Traffic Shaping-policy voldoet.

Met Optimize for real-time (VoIP) geeft SFOS realtimeverkeer altijd als eerste prioriteit. Als de optie uitgeschakeld is, krijgen policies met een bandbreedtegarantie eerst hun toegezegde bandbreedte en wordt realtimeverkeer uit de resterende capaciteit bediend. Enforce guaranteed bandwidth activeert voor verkeer zonder eigen policy de waarden Guarantee, Limit en Priority van 1 tot 7 uit de standaardpolicy. Als Enforce guaranteed bandwidth uitgeschakeld is, krijgt dit verkeer geen gegarandeerde minimale bandbreedte, maar alleen de nog beschikbare capaciteit. Bij Priority staat 1 voor de hoogste en 7 voor de laagste prioriteit.

Schakel deze opties niet in als algemene oplossing voor prestatieproblemen. Documenteer eerst de werkelijke bandbreedte, bestaande garanties en gewenste prioriteit. Anders concurreren te hoge garanties om capaciteit die fysiek niet beschikbaar is.

Applicatiegebaseerde Traffic Shaping configureren

In het volgende voorbeeld krijgt het verkeer van maximaal vier gelijktijdig actieve Teams-video-endpoints prioriteit op een kleine locatie met een stabiele verbinding van ongeveer 80/15 Mbit/s. Microsoft adviseert in de bandbreedtevereisten voor Teams per endpoint voor een videovergadering ongeveer 2'500 kbps upload en 4'000 kbps download. De voorbeeldwaarden reserveren deze gezamenlijke behoefte, maar moeten worden afgestemd op de eigen metingen en het werkelijke aantal gelijktijdig actieve endpoints.

Traffic Shaping-policy aanmaken

Maak onder System services > Traffic shaping een nieuwe policy aan, bijvoorbeeld met deze waarden:

• Name: Teams Guarantee
• Policy association: Applications
• Rule type: Guarantee
• Limit upload/download separately: Enable
• Priority: 1 (hoogste prioriteit)
• Upload Guarantee / Limit: 1'250 / 1'500 KBps
• Download Guarantee / Limit: 2'000 / 5'000 KBps
• Bandwidth usage type: Shared

1'250 KBps is gelijk aan 10 Mbit/s en 2'000 KBps aan 16 Mbit/s. Met Shared delen alle applicaties of categorieën waaraan deze policy is toegewezen dezelfde pool. Individual wijst de waarde daarentegen alleen toe aan het object waaraan de policy als eerste is gekoppeld; plan een Individual-policy daarom niet als herbruikbaar sjabloon voor meerdere objecten. Hoge garantiewaarden moeten niet over veel policies worden verdeeld, omdat de som ervan binnen de werkelijk beschikbare bandbreedte moet blijven. In dit voorbeeld komen de garanties overeen met de totale aanbevolen behoefte van vier Teams-video-endpoints. Als er bandbreedte beschikbaar is, kunnen ze die tot de hogere limieten gebruiken. De limieten van 12/40 Mbit/s laten op de gemeten verbinding van 80/15 Mbit/s bewust capaciteit over voor ander verkeer. Het zijn startwaarden, geen universele Teams-vereisten.

In de hier beschreven UI-procedure kunnen Traffic Shaping-policies na het aanmaken niet worden bewerkt. Deze UI-beperking betekent niet dat de XML API geen update-operatie documenteert. Als later andere waarden nodig zijn, documenteert men eerst alle toewijzingen, maakt men een vervangende policy met een nieuwe naam aan en zet men eerst een beperkte scope om. Na controle volgen de overige toewijzingen; de oude policy wordt pas verwijderd als er geen verwijzingen meer naar bestaan. Voor een rollback wijst men opnieuw de oude policy of None toe.

QoS-policy: onderscheid tussen UI-procedure en XML-API-contract

De XML-API-referenties voor SFOS 22.0 en 23.0 documenteren voor QoSPolicy expliciet Add QoS policy / Update QoS policy en beschrijven Add/Edit. Daarmee is een API-operatie gedocumenteerd, maar is nog geen uitvoerbaar updatecontract voor de geïnstalleerde build bevestigd. De volgende gegevens lichten de documentatie toe; ze zijn geen getest requestsjabloon. De veilige UI-procedure met een vervangende policy blijft de leidraad voor verdere aanpassingen. Toegang, de expliciete operatie en de controle van antwoorden worden toegelicht onder De XML API veilig gebruiken en antwoorden beoordelen.

De bandbreedtevelden zijn in het voorbeeld afhankelijk van PolicyType en ImplementationOn en zijn niet allemaal tegelijk voor elke policy vereist:

• Strict met Total: TotalBandwidth.
• Committed met Total: GuaranteedBandwidth en BurstableBandwidth.
• Strict met Individual: UploadBandwidth en DownloadBandwidth.
• Committed met Individual: GuaranteedUploadBandwidth, BurstableUploadBandwidth, GuaranteedDownloadBandwidth en BurstableDownloadBandwidth.

In het voorbeeld moet de betreffende Burstable-bandbreedte groter zijn dan de bijbehorende garantie. De Individual-takken noemen in hun commentaar alleen User, Firewall en Application; WebCategory staat bij Total, niet bij Individual. Dit bevestigt geen Individual-WebCategory-combinatie en vormt evenmin een aangetoond verbod tijdens runtime. ImplementationOn met Total/Individual is bovendien niet hetzelfde veld als BandwidthUsageType met Individual/Shared; gelijkluidende tokens zijn geen onderling uitwisselbare instellingen.

Het voorbeeld en de parametertabel komen niet overal overeen: het voorbeeld noemt 2–2560000 KB, de tabel 2–10240000. Daaruit volgt geen universele bovengrens voor de build. Voor BandwidthUsageType toont het voorbeeld Individual/Shared, terwijl de tabel Shared Bandwidth Usage Type met on/off vermeldt. PolicyBasedOn gebruikt in het voorbeeld benoemde tokens, terwijl Policy Based On in de tabel wordt beschreven als een integer met standaardwaarde 0. Hieruit wordt noch de omzetting van tokens noch een veilige standaardwaarde bij weglating afgeleid.

Ook de details van tijdschema’s hebben twee weergaven die niet eenduidig met elkaar in overeenstemming zijn gebracht: het voorbeeld toont SchedulebasedPolicyRuleList met Rule, DetailId, PolicyType, de voorwaardelijke bandbreedtevelden en Schedule; daarnaast staat DetailId op het policyobject. De tabel noemt Implementation On als array met 6/7, Policy Type als array met 8/11, de bandbreedtelijsten bandwidthlist, grntdbandwidthlist, burstbandwidthlist, upbandwidthlist, downbandwidthlist, grntdupbandwidthlist, grntddownbandwidthlist en daarnaast qosdetailnamelist en ScheduleDetail. De numerieke enums worden hier niet aan benoemde tokens gekoppeld; volgorde, detailidentiteit en het gedrag bij updates of weglating worden niet geraden.

Vóór een API-wijziging moet API help van de geïnstalleerde build duidelijkheid geven over deze nog onopgehelderde limieten, veldnamen en tijdschemastructuren. Stel zolang het contract onduidelijk is geen schrijfrequest samen op basis van het voorbeeld. Leg de eerdere toestand, toewijzingen en tijdschemadetails vast; lees na een goedgekeurde wijziging het object en de details afzonderlijk terug en controleer het effect van shaping in het betreffende tijdvenster. De referentie vermeldt voor Add en Update elk de XML-statuscodes 200, 500 en 502. De oorspronkelijke bron verwijst naar de onopgeloste symbolen Message.QOSAddSuccess, Message.QOSAddFail, Message.QOSEditSuccess, Message.QOSEditFail en Message.QOSRecordExist; in de geëxtraheerde tekst ontbreken de meldingen. De symbolen zijn geen hier bevestigde meldingsteksten of HTTP-codes. Een status alleen bevestigt noch alle details noch het effect. Leg bij afwijkingen het antwoord en de actuele toestand vast en herhaal de operatie niet blind; zet alleen de eigen wijziging terug naar de vastgelegde toestand.

Application Filter aanmaken

Maak onder Applications > Application filter een filter aan dat alleen het gewenste verkeer bevat:

1. Geef een naam op, bijvoorbeeld Microsoft Teams.
2. Voeg een Application-regel toe.
3. Zoek in Smart Filter naar microsoft teams.
4. Selecteer de relevante Teams-toepassingen en gebruik de actie Allow.
5. Sla de Application-regel op met Save en sla vervolgens ook Application Filter op met Save.

Microsoft 365 moet niet zonder onderscheid als één applicatie worden behandeld. Teams, Exchange, SharePoint en OneDrive genereren verschillend verkeer en moeten eerst afzonderlijk worden geobserveerd. Als het om herkenning en blokkering gaat in plaats van bandbreedte, helpt Sophos Firewall Application Control configureren en testen.

Policy aan de applicatie toewijzen

Zoek onder Applications > Traffic shaping default naar Microsoft Teams of de juiste applicatiecategorie. Open een categorie rechtstreeks met Edit. Voor een afzonderlijke applicatie wordt eerst de categorie met Expand geopend en daarna bij de applicatie Edit gekozen. Selecteer vervolgens Teams Guarantee en bevestig met Save.

Een policy voor een afzonderlijke toepassing heeft voorrang op een policy voor de bijbehorende categorie. Wanneer meerdere niveaus tegelijkertijd overeenkomen, vermeldt de algemene Shaping-beschrijving de volgende volgorde: toepassing, toepassingscategorie, webcategorie, gebruiker, groep en tot slot firewallregel. Bij een aanvullende Rules-Policy moet de volgende afwijking in de documentatie nog steeds in acht worden genomen.

De toewijzing onder Traffic shaping default activeert applicatiegebaseerde shaping nog niet; daarvoor is daarnaast Apply application-based traffic shaping policy vereist in de firewallregel waarop het verkeer daadwerkelijk matcht. Als er tegelijkertijd een Rules-policy is ingesteld, is de documentatie echter niet eenduidig: voor Traffic shaping default wordt beschreven dat de firewallregel deze instelling overschrijft, terwijl de algemene beschrijving van shaping applicaties vóór firewallregels plaatst. Hieruit kan geen betrouwbaar onderbouwde uitzondering worden afgeleid die afhankelijk is van de stand van de schakelaar. Voor een eenduidig toetsbare start wordt slechts één shapingniveau gebruikt en wordt het effect gecontroleerd aan de hand van de herkende Application ID, de regeltoewijzing en de gemeten datasnelheid. Als niveaus worden gecombineerd, mag hun voorrang niet zonder controle worden verondersteld.

Firewallregel activeren

Open onder Rules and policies > Firewall rules de regel waar het Teams-verkeer daadwerkelijk doorheen loopt. In het gedeelte Other security features:

1. Selecteer bij Identify and control applications (App control) het filter Microsoft Teams.
2. Activeer Apply application-based traffic shaping policy.
3. Sla de regel op en genereer verkeer.

De Applications-policy wordt niet geselecteerd in het veld Shape traffic, maar is afkomstig uit Traffic shaping default. De algemene beschrijving van shaping noemt de volgorde applicatie, applicatiecategorie, webcategorie, gebruiker, groep en als laatste firewallregel. Vanwege de afwijkende vermelding over het overschrijven van Traffic shaping default is dit bij gelijktijdig toegewezen policies een vermelding uit de documentatie en geen hier bevestigde voorrang. Meerdere niveaus mogen alleen bewust worden gecombineerd en moeten met daadwerkelijk verkeer worden getest.

De regelvolgorde blijft doorslaggevend: als het verkeer al matcht met een algemenere regel hoger in de lijst, worden noch het filter noch de shaping van de latere regel toegepast.

Een afzonderlijke applicatie beperken of een categorie bandbreedte garanderen

Voor uitsluitend een bovengrens blijft de procedure hetzelfde, maar wordt Rule type ingesteld op Limit. Een voorbeeld voor een al herkende Zoom-applicatie is een policy Zoom Limit met Policy association > Applications, Rule type > Limit, Priority > 1, Limit upload/download separately > Disable, Limit > 1000 (KBps) en Bandwidth usage type > Shared. 1000 KBps komt overeen met 8 Mbit/s; deze vrij gekozen beginwaarde is geen Zoom-aanbeveling en moet passen bij de gemeten verbindingscapaciteit en de gewenste gesprekskwaliteit. Disable betekent hier dat er geen afzonderlijke upload- en downloadlimieten worden ingesteld, niet dat shaping is uitgeschakeld. Onder Applications > Traffic shaping default wordt Conferencing geopend met Expand en wordt bij Zoom meetings de policy toegewezen met Edit. In het Application Filter wordt via het Smart Filter Zoom de passende applicatie geselecteerd. De filterregel, het filter en de firewallregel worden opgeslagen; in de firewallregel blijven het passende filter en Apply application-based traffic shaping policy vereist. Bij voldoende aangeboden verkeer wordt gecontroleerd of de datasnelheid op de gekozen limiet blijft en of de herkende Application ID daadwerkelijk bij Zoom hoort.

Voor een gezamenlijke bandbreedtegarantie voor een volledige applicatiecategorie wordt de Applications-policy in plaats daarvan rechtstreeks aan de categorie toegewezen. Zo wordt bijvoorbeeld Remote Access onder Traffic shaping default geopend met Edit en wordt een Guarantee-policy met Shared toegewezen. In het Application Filter wordt een regel met Category > Remote access aangemaakt; daarna worden de regel en het filter opgeslagen en worden in de firewallregel waarop het verkeer matcht het filter en de shapingschakelaar ingesteld. Alle applicaties die onder deze policy vallen, delen de pool; ze krijgen niet elk de volledige garantie. De garantie en de limiet worden gekozen op basis van de beschikbare capaciteit en de daadwerkelijk benodigde gelijktijdige sessies. Een categorietoewijzing staat geen eerder geblokkeerde remote-accessapplicaties toe; bestaande toegangsvoorschriften blijven bepalend.

Regelgebaseerde Traffic Shaping voor een volledige regel

Als al het verkeer van een duidelijk afgebakende firewallregel dezelfde waarden moet krijgen, is een Rules-policy eenvoudiger:

1. Maak onder System services > Traffic shaping een policy aan met Policy association > Rules.
2. Open onder Rules and policies > Firewall rules de betreffende regel.
3. Selecteer onder Shape traffic de Rules-policy.
4. Activeer Apply application-based traffic shaping policy niet, tenzij aanvullende Applications-policies worden gebruikt.

Een Application Filter beperkt een Rules-policy niet automatisch tot deze applicatie. Daarvoor moet ofwel de firewallregel zelf nauw worden afgebakend via bron, bestemming en services, ofwel de applicatiegebaseerde procedure worden gebruikt. DSCP marking is evenmin een vervanging voor shaping: DSCP markeert pakketten voor achterliggende apparaten, terwijl de shapingpolicy op de firewall bandbreedte garandeert of beperkt.

Een Rules-policy kan op deze manier ook shaping toepassen op VPN-verbindingen, afzonderlijke hosts, hostgroepen of services. Voor verkeer uit een VPN wordt in de passende regel Source zone > VPN gebruikt; voor IP- of MAC-hosts of hostgroepen worden onder Source networks and devices de gewenste objecten geselecteerd. Services bakenen de poorten en protocollen af. Deze criteria bepalen welk verkeer überhaupt met de regel matcht, voordat Shape traffic effect heeft. Een bestaande productieregel wordt niet ondoordacht beperkt alleen voor een shapingtest; vooraf wordt gecontroleerd welke toegestane verbindingen daardoor niet meer met de regel zouden matchen.

Traffic Shaping op andere objecten toepassen

Policy association bepaalt al bij het aanmaken waar een policy kan worden geselecteerd: Applications, Web categories, Users of Rules. In de UI-procedure kan een policy daarna niet naar een ander type worden omgezet; hieruit wordt geen API-typemigratie afgeleid. Een optioneel tijdschema beperkt de geldigheid in de tijd, maar vervangt noch de objecttoewijzing noch de functionele test. Bij het aanmaken staat Add schedule verder naar beneden in de policy: met Add worden de gewenste tijdsinstellingen vastgelegd, waarna de policy wordt opgeslagen met Save. Met of zonder tijdschema: pas de toewijzing aan een applicatie, categorie, gebruiker of regel maakt de policy actief. Bij een tijdsafhankelijke fout wordt daarnaast gecontroleerd of de test binnen het geconfigureerde tijdvenster plaatsvindt.

Webcategorieën vormgeven

Voor een website of categorie wordt een policy met Policy association > Web categories aangemaakt en onder Web > Categories aan de betreffende categorie toegewezen. De categorie moet voorkomen in een actieve Web Policy. In de firewallregel waarop het verkeer daadwerkelijk matcht, worden deze Web Policy en Apply web category-based traffic shaping geactiveerd. Alleen een opgeslagen categorietoewijzing past nog geen shaping toe op verkeer.

Voor slechts één specifieke website is een eigen categorie beter te doorgronden dan een brede bestaande categorie. Als voorbeeld wordt een policy Website Limit aangemaakt met Web categories, Limit, Priority > 1, Limit upload/download separately > Disable, Limit > 1000 (KBps) en Shared. De 8 Mbit/s is een aanpasbare voorbeeldbovengrens, geen algemeen voorschrift voor webverkeer; alle categorieën die aan deze policy zijn toegewezen, delen de pool. Een Limit-policy garandeert geen minimale bandbreedte.

1. Onder Web > Categories > Add een categorie zoals Example Website aanmaken en Classification > Productive, de policy Website Limit en Configure category > Local selecteren.
2. Onder Domain/keyword het voorbeelddomein www.example.com toevoegen met de plusknop en opslaan met Save. In de operationele omgeving wordt dit vervangen door het daadwerkelijk gewenste domein. Een aanvullend keyword zoals example is alleen zinvol als ook een bredere keywordtoewijzing is beoogd; het wordt niet blind uit een voorbeeld overgenomen.
3. Onder Web > Policies de actieve Web Policy openen en met Add een passende regel toevoegen. Onder Activities > Show only > Web categories de nieuwe categorie selecteren en overnemen met Apply selected items. Vóór Save de bestaande toegangsrechten en regelvolgorde controleren; shaping is geen reden om geblokkeerde websites vrij te geven.
4. In de firewallregel waarop het verkeer daadwerkelijk matcht, onder Security features > Web filtering deze Web Policy selecteren, Apply web category-based traffic shaping activeren en de regel opslaan.

Vervolgens met een toegestane website uit de categorie controleren of de verwachte firewallregel en webcategorie van toepassing zijn en of de datasnelheid bij voldoende verkeer op de limiet blijft. Een website die niet tot de categorie behoort, dient als tegencontrole. Bij een onverwachte match worden de domein-/keywordtoewijzing, de regelvolgorde van de Web Policy en andere shapingtoewijzingen gecontroleerd.

Webcategorieën via de XML API toewijzen

Voor terugkerende categorietoewijzingen beschrijft de XML-referentie WebFilterCategory met QoSPolicy. Het veld verwijst naar de bestaande bandbreedtepolicy; voor deze procedure moet die bij Web categories passen. Het is geen Web Policy en ook geen Allow-/Block-actie. Leg vóór het schrijven de categorie-inhoud, de bestaande shapingtoewijzing en de Web Policy-verwijzingen vast. Toegang, de expliciete operatie, het buildspecifieke contract en de XML-status worden toegelicht onder De XML API veilig gebruiken en antwoorden beoordelen. De volgende gegevens beschrijven objectrelaties uit de documentatie en zijn geen uitvoerbaar requestsjabloon of requestsjabloon dat op een firewallbuild is getest.

Bij ConfigureCategory gebruikt Local de hiërarchie DomainList/Domain en KeywordList/Keyword; External gebruikt URLList/URL voor een externe categorielijst. De URL van een externe lijst is niet het bedrijfsdomein waarvan het verkeer moet worden beperkt. Controleer de herkomst, actualisering en inhoud van de lijst en combineer de twee invoermethoden niet zonder controle. De tabel vermeldt daarnaast 0, zonder de betekenis daarvan eenduidig toe te lichten; leid daaruit geen alternatief voor de twee benoemde methoden af.

Classification classificeert de categorie, maar staat geen toegang toe en blokkeert die ook niet. De enum-tabel noemt Productive, Unproductive, Acceptable en Objectionable, terwijl de beschrijving deels andere benamingen gebruikt. Gebruik geen vertaalde classificatienamen als API-waarden; controleer bij een onduidelijk contract eerst API help van de geïnstalleerde build en schrijf niets. De referentietabel markeert QoSPolicy als verplicht veld met maximaal 50 tekens en zonder komma; het voorbeeld toont None. Dit voorbeeld is geen aangetoonde runtimestandaard en bevestigt niet dat het weglaten van een veld de bestaande toewijzing behoudt of verwijdert. Controleer voor shaping de bestaande, passend gekoppelde policy en de daadwerkelijk opgeslagen naam ervan.

Ook na een API-toewijzing blijft de volledige UI-procedure hierboven vereist: de categorie moet worden gebruikt in de Web Policy die daadwerkelijk van toepassing is, en deze policy en Apply web category-based traffic shaping moeten zijn ingesteld in de firewallregel waarop het verkeer daadwerkelijk matcht. Classificatie, categorie-inhoud, toegang en bandbreedte blijven afzonderlijke beslissingen. Controleer met een toegestane website uit de categorie, een tegencontrole die niet met de categorie matcht en een nog steeds geblokkeerde bestemming of alleen de beoogde bandbreedtetoewijzing is gewijzigd. Een opgeslagen categorie is nog geen bewijs dat shaping daadwerkelijk wordt toegepast.

De categorieantwoorden verschillen per operatie. De volgende waarden zijn XML-statuscodes en ongewijzigde, onopgeloste referentiesymbolen, geen HTTP-codes of hier bevestigde meldingsteksten:

Lees bij de detailantwoorden het categorieobject en elke benodigde verzameling domeinen, keywords of lijsten afzonderlijk terug: een XML-2xx-code betekent niet automatisch dat alle details zijn opgeslagen. De gedeelde symboolnaam voor de twee Add-succescodes verklaart het verschil ertussen niet. De symbolen met «MaxFive» bewijzen geen universele actuele limiet van vijf items; bepaal de toegestane omvang aan de hand van de buildspecifieke hulp. Controleer vóór verwijdering de Web Policy-verwijzingen en stel daarna vast welke categorieën daadwerkelijk overblijven; ga bij een meervoudige selectie niet uit van een geslaagde verwijdering van alle geselecteerde categorieën.

Leg vóór elke nieuwe poging het antwoord, de actuele toestand en de Audit Trail vast. Vergelijk daarna de categorie-inhoud, QoSPolicy en de verwijzingen met de gedocumenteerde eerdere toestand en plan alleen de eigen correctie die nog nodig is. Voer een gedeeltelijk opgeslagen wijziging niet blind opnieuw uit door aan te maken, bij te werken of te verwijderen. Zet voor een rollback alleen de eigen categorie-/policytoewijzing terug naar de vastgelegde toestand; voor gewijzigde bandbreedtewaarden blijft in dit UI-runbook de vervangende policy de veilige procedure. De gedocumenteerde QoSPolicy-update-operatie moet daarvan worden onderscheiden en is onderworpen aan de hierboven toegelichte onopgehelderde API-contracten.

Gebruikers, groepen en WAF-regels

Een policy met Policy association > Users wordt toegewezen onder Authentication > Users of Authentication > Groups. In de firewallregel wordt Match known users geactiveerd en worden de betreffende gebruikers of groepen geselecteerd; de daadwerkelijk herkende identiteit moet overeenkomen met deze selectie. Voor een WAF-regel wordt daarentegen een Rules-policy onder Advanced settings > Traffic shaping toegewezen aan de regel met Action > Protect with web server protection.

De algemene beschrijving van shaping noemt bij meerdere niveaus de volgorde applicatie, applicatiecategorie, webcategorie, gebruiker, groep en als laatste firewallregel. Bij gecombineerde toewijzingen moet rekening blijven worden gehouden met de hierboven toegelichte afwijkende vermelding voor Traffic shaping default. Daarom wordt met een daadwerkelijke flow, de herkende gebruiker of de Application ID en de regel waarop het verkeer daadwerkelijk matcht gecontroleerd welke policy effect heeft.

Effect controleren en policy veilig aanpassen

Na de wijziging volstaat een speedtest niet. Controleer ook:

• Komt het verkeer overeen met de verwachte firewallregel?
• Tonen de Application Control-logs de verwachte applicatie of Application ID?
• Bevestigen rapporten zoals Top Applications en de regeltellers de verwachte toewijzing?
• Is de betreffende richting tijdens de test daadwerkelijk verzadigd?
• Veranderen bandbreedte, latency, pakketverlies of gesprekskwaliteit zoals verwacht?
• Loopt de test via dezelfde WAN-gateway en hetzelfde SD-WAN-pad als het productieverkeer?
• Bevestigen gebruikers van realtimeservices de technische meting ook in de praktijk?

Gebruik voor een betrouwbare vergelijking vóór en na de wijziging dezelfde bron, dezelfde bestemming, dezelfde richting en zo mogelijk dezelfde periode. De handleiding Sophos Firewall-prestaties testen met iPerf en Speedtest toont geschikte meetmethoden. Bij meerdere verbindingen helpt daarnaast Sophos Firewall SD-WAN-routing voor Reply Packets en System Traffic controleren.

Voor verdere aanpassingen in de UI maakt men een nieuwe policyversie met voorzichtig gewijzigde waarden aan, in plaats van de bestaande policy te bewerken. Deze wijst men eerst toe aan een afgebakende applicatie, categorie of regel, men observeert logs en gebruikersfeedback en verwijdert de oude policy pas na een geslaagde controle. Doel, betreffende regel, waarden, verantwoordelijke en reviewdatum moeten worden gedocumenteerd.

Als Traffic Shaping niet werkt zoals verwacht

Applicatie wordt niet herkend

Controleer eerst of het juiste Application Filter is geselecteerd in de firewallregel die daadwerkelijk wordt gebruikt. Controleer brede of versleutelde clouddiensten aan de hand van de herkende Application ID in het Application Control-log.

Shaping maakt geen zichtbaar verschil

Als de verbinding tijdens de test niet is verzadigd, is er geen zichtbaar knelpunt om te reguleren. Andere veelvoorkomende oorzaken zijn waarden boven de werkelijke bandbreedte, de verkeerde richting, een algemenere firewallregel die hoger staat of een ander SD-WAN-pad.

Bij applicatiegebaseerde shaping moeten bovendien alle drie de koppelingen kloppen: een policy met Applications, de toewijzing onder Traffic shaping default en de geactiveerde optie in de firewallregel. Alleen het selectievakje wijst nog geen bandbreedte toe.

Applicatieverkeer stopt tijdelijk

SFOS 22.0 MR2 Build 546 verhelpt NC-178197, een fout waardoor applicatieverkeer bij een application-based bandwidth policy af en toe kon stoppen. Als dit symptoom optreedt onder SFOS 22.0 GA of MR1, moet men vóór een herontwerp van de policies de firmwareversie controleren en bijwerken naar MR2 of een nieuwere vrijgegeven versie.

Microsoft 365 of het gastnetwerk blijft problemen geven

Onderzoek Microsoft 365 afzonderlijk voor Teams, Exchange, SharePoint en OneDrive in plaats van de hele categorie zonder onderscheid te garanderen of te beperken. Controleer bij het gastnetwerk of het verkeer daadwerkelijk via de bedoelde regel loopt en of niet alleen de download, maar ook de upload is beperkt.