Sophos Firewall met AWS Site-to-Site VPN verbinden

Een AWS Site-to-Site VPN verbindt een lokaal netwerk achter Sophos Firewall met een AWS VPC of een Transit Gateway. Technisch is het een IPsec-VPN, maar operationeel verschilt het duidelijk van een gewone Sophos-naar-Sophos-tunnel: AWS maakt twee tunnels per VPN-verbinding, gebruikt Customer Gateway en doelgateway-objecten, en routing hangt sterk af van statische routes of BGP.

Dit artikel beschrijft de praktische opbouw met Sophos Firewall en AWS. Het vult de algemene handleiding Sophos Firewall Site-to-Site IPsec VPN instellen aan met AWS-specifieke aandachtspunten: twee tunnels, BGP-neighbours, route tables, security groups, NACLs en statuscontrole in AWS en Sophos. Als een tunnel al up is maar verkeer niet loopt, past Sophos Firewall IPsec VPN troubleshooting beter.

Wanneer dit artikel past

Dit artikel past wanneer een locatie, datacenter of lokaal netwerk via Sophos Firewall met AWS moet worden verbonden. Het behandelt AWS Site-to-Site VPN naar een VPC, Virtual Private Gateway of Transit Gateway. Het behandelt niet Sophos Firewall als virtuele appliance in AWS.

Typische scenario’s:

• lokaal servernetwerk naar EC2-instances in een VPC
• backup-, monitoring- of managementverkeer naar AWS
• hybride DNS, AD, jump hosts of beheernetwerken
• migratie van statische VPN naar dynamische BGP-routing
• redundante werking met twee AWS-tunnels

AWS en Sophos gebruiken verschillende termen. In AWS werkt men met Customer Gateway, Virtual Private Gateway of Transit Gateway, Site-to-Site VPN connection, Tunnel Details, Route Tables, Security Groups en Network ACLs. Op Sophos Firewall gaat het om Amazon VPC-verbindingen, IPsec-profielen, XFRM-interfaces, BGP, routes en firewallregels.

Voor de configuratie plannen

AWS Site-to-Site VPN moet niet worden gezien als alleen het importeren van een gedownload voorbeeldbestand. Het AWS-bestand is nuttig, maar productieacceptatie hangt af van routing, security groups, NACLs, firewallregels en tests met echt verkeer.

Netwerken en doelgateway vastleggen

Eerst moet duidelijk zijn welke AWS-zijde wordt gebruikt:

• Virtual Private Gateway voor een klassieke enkele VPC.
• Transit Gateway voor meerdere VPC’s, meerdere locaties of een groter routingontwerp.
• Cloud WAN of andere varianten alleen wanneer de AWS-architectuur dat bewust vereist.

Vooraf documenteren:

• AWS VPC CIDR, bijvoorbeeld 10.60.0.0/16
• relevante AWS subnets en route tables
• lokale netwerken achter Sophos Firewall, bijvoorbeeld 172.16.20.0/24
• openbaar IP-adres van Sophos Firewall of de upstream router
• routingmodus: static of dynamic BGP
• lokale en AWS-ASN als BGP wordt gebruikt
• verwachte testdoelen aan beide kanten
• geplande tunnel options, IKE-versie, preshared keys en lifetimes

Overlappende netwerken moeten vóór het VPN-ontwerp worden opgelost. NAT over IPsec kan werken, maar maakt route tables, security groups, logs en latere troubleshooting lastiger.

Beide tunnels serieus nemen

AWS maakt per Site-to-Site VPN connection twee tunnels met verschillende AWS-endpoints. Beide tunnels moeten op Sophos Firewall worden geconfigureerd en gecontroleerd. Slechts één tunnel bouwen is handig in een lab, maar in productie gaat AWS-redundantie verloren.

De verwachting moet kloppen: de terugweg vanuit AWS prefereert afhankelijk van routing en AWS-zijde één tunnel en kan bij problemen omschakelen. Dat betekent niet dat beide tunnels altijd gelijkmatig worden gebruikt. Belangrijk is dat beide tunnels up komen, dat BGP of statische routes correct zijn en dat failover is getest.

Statische routing of BGP

AWS Site-to-Site VPN ondersteunt statische routes en dynamische routing met BGP. BGP is meestal beter bij meerdere prefixes, latere uitbreidingen of Transit Gateway. Statische routes zijn eenvoudiger, maar elke netwerkverandering moet handmatig worden bijgehouden.

In de praktijk:

• BGP heeft passende ASN-waarden aan beide kanten nodig.
• Sophos Firewall moet de gewenste lokale prefixes adverteren.
• AWS route tables moeten propagated of statische routes echt gebruiken.
• Security groups en NACLs moeten het verkeer ook toestaan.
• Identieke statische en BGP-routes kunnen onverwachte prioriteit veroorzaken.

AWS voorbereiden

De volgende stappen beschrijven de gebruikelijke flow. Details verschillen tussen Virtual Private Gateway en Transit Gateway, maar het principe blijft hetzelfde.

Customer Gateway maken

De Customer Gateway beschrijft de lokale Sophos-zijde in AWS.

Invullen:

1. Ga in de AWS-console naar VPC > Virtual private network (VPN) > Customer gateways en kies Create customer gateway.
2. Stel Name tag in, bijvoorbeeld cgw-sophos-hq.
3. Stel BGP ASN exact in op de lokale Sophos-ASN als BGP wordt gebruikt. AWS toont dit veld ook voor verbindingen met statische routing, maar statische routing brengt geen BGP-peering tot stand.
4. Voer bij IP address het statische, vanaf internet bereikbare adres van de Sophos-zijde in. Staat de firewall achter een voorgeschakeld NAT-apparaat, voer dan voor de AWS Customer Gateway het openbare IP-adres van dat NAT-apparaat in, niet het adres van de Sophos-WAN-interface erachter.
5. Vul eventueel bij Device een duidelijke naam in en kies Create customer gateway.

Als Sophos Firewall achter een router of providerapparaat staat, moet duidelijk zijn welk openbaar IP AWS ziet en of NAT-T correct werkt. Voor de Customer Gateway moeten UDP 500 en, bij gebruik van NAT-T, UDP 4500 tussen het lokale netwerk en de AWS Site-to-Site VPN-endpoints worden toegestaan. Configureer het voorgeschakelde NAT-/firewallapparaat om deze poorten tussen de Sophos-WAN-interface en de adressen van beide AWS-tunnelendpoints uit het configuratiebestand toe te staan en door te sturen.

Doelgateway maken of selecteren

Bij één VPC wordt meestal onder VPC > Virtual private network (VPN) > Virtual private gateways een Virtual Private Gateway gemaakt en via Actions > Attach to VPC gekoppeld. Grotere AWS-omgevingen gebruiken vaak een Transit Gateway.

Controleren:

• De gateway is gekoppeld aan de juiste VPC of Transit Gateway.
• De AWS-side ASN botst niet met de Sophos-ASN.
• Route tables van VPC of Transit Gateway zijn gepland.
• Subnets voor tests gebruiken de juiste route table.

Site-to-Site VPN connection maken

Ga daarna naar VPC > Virtual private network (VPN) > Site-to-Site VPN connections en kies Create VPN connection.

Belangrijke punten:

• Selecteer bij Target gateway type de geplande Virtual Private Gateway of Transit Gateway.
• Kies bij Customer gateway Existing en de eerder gemaakte Customer Gateway.
• Zet Routing options op Dynamic (requires BGP) of Static; voer bij Static IP prefixes alleen de lokale prefixes in die AWS via de VPN moet bereiken.
• Tunnel Options bewust controleren, vooral IKE version, encryption, integrity, DH/PFS en DPD.
• Preshared keys per tunnel documenteren of bewust door AWS laten genereren.

Voor dynamische routing vereist Sophos dat Local IPv4 Network Cidr en Remote IPv4 Network Cidr in de AWS-verbinding beide op 0.0.0.0/0 staan, zodat BGP-peering tot stand kan komen. Als op de firewall al een Local AS is geconfigureerd, wordt precies dat ASN voor de AWS Customer Gateway ingevoerd.

Kies na het aanmaken Download configuration. Kies voor automatische Sophos-import als Vendor Sophos, Platform Sophos Firewall, Software v19+ en de daadwerkelijk geplande IKE version. Het bestand is alleen een voorbeeldconfiguratie: algoritmen, DH-groepen, certificaten en IP-familie moeten passen bij het productieontwerp. Voer achter NAT vóór de import in beide tunnel_outside_address-blokken aan de customer-gateway-zijde het lokale adres van de Sophos-WAN-interface in. Laat de Outside-endpoints aan de AWS-zijde ongewijzigd; vervang niet zonder onderscheid elk gelijknamig XML-blok. In de AWS Customer Gateway blijft daarentegen het openbare adres van het voorgeschakelde NAT-apparaat staan. Kies voor statische routes Generic en configureer handmatig. Ook dynamisch BGP kan handmatig worden opgebouwd met de hieronder beschreven Generic-download; Sophos-import is niet de enige route voor BGP.

Route tables, security groups en NACLs controleren

Een groene VPN-tunnel in AWS betekent nog niet dat een EC2-instance bereikbaar is.

Voor acceptatie controleren:

• De VPC route table bevat een route naar het lokale netwerk via Virtual Private Gateway of Transit Gateway.
• Bij Virtual Private Gateway is route propagation actief of is de route statisch gezet.
• Transit Gateway route tables bevatten de juiste attachments en propagations.
• De security group van de doelinstance staat het gewenste verkeer uit het lokale netwerk toe.
• Network ACLs staan heen- en terugweg toe.
• De OS-firewall van de instance blokkeert de test niet.

Dit wordt vaak vergeten, omdat Sophos en AWS allebei een verbonden tunnel kunnen tonen terwijl de instance door security group of terugroute niet antwoordt.

Sophos Firewall configureren

Sophos biedt voor AWS twee praktische routes: import via Site-to-site VPN > Amazon VPC of handmatige configuratie als route-based IPsec-verbinding. Voor veel AWS-setups is import het schoonste begin, maar de automatisch gemaakte objecten moeten daarna gecontroleerd worden.

AWS-configuratie importeren

Onder Site-to-site VPN > Amazon VPC kan Sophos Firewall de verbinding importeren met Use AWS security credentials of Use VPC configuration file. Voor de credentialmethode wordt een aparte AWS IAM-gebruiker gebruikt met de vereiste rechten voor de Site-to-Site VPN-instellingen; access key en secret key worden net als andere administratieve geheimen beschermd en geroteerd.

De import is een momentopname. Als tunnelopties of andere verbindingswaarden in AWS veranderen, moeten de instellingen opnieuw worden geïmporteerd en daarna volledig worden gevalideerd. Een eerdere import volgt de AWS-configuratie niet automatisch.

De volgende procedure gebruikt het gedownloade AWS-configuratiebestand:

Stappen:

1. Sophos Firewall openen.
2. Naar Site-to-site VPN > Amazon VPC gaan.
3. Use VPC configuration file selecteren.
4. AWS-configuratiebestand uploaden.
5. Import starten.
6. Gemaakte verbindingen, IPsec-profielen, XFRM-interfaces en BGP-instellingen controleren.

De import maakt IPsec-profielen, BGP-instellingen en XFRM-interfaces. Voeg daarna onder Routing > BGP > Networks de lokale prefixes toe. Onder Administration > Device access moet IPsec voor WAN en Dynamic Routing voor VPN zijn ingeschakeld. Deze instellingen staan tunnel- en routing-controltraffic toe; ze vervangen geen firewallregel voor het dataverkeer.

Controleer achter NAT in elk van de twee tunnelsecties of de tunnel_outside_address aan de customer-gateway-zijde het lokale Sophos-WAN-adres bevat. Wijzig de Outside-adressen aan de AWS-zijde niet; het openbare NAT-adres blijft het AWS Customer Gateway-adres. Activeer het bestand en de importobjecten niet bij een onduidelijke toewijzing, maar identificeer eerst de klantzijde en AWS-zijde eenduidig.

Twee IPv4-VGW-tunnels handmatig met BGP opbouwen

Dit alternatief beschrijft een IPv4-verbinding met een aan de VPC gekoppelde Virtual Private Gateway met Dynamic (requires BGP). Het is geen IPv6-/Transit Gateway-/Cloud WAN-runbook en geen algemene uitspraak dat AWS geen IPv6 ondersteunt. AWS-rechten, lokale beheerrechten, bereikbare Outside-endpoints, niet-overlappende netwerken en een goedgekeurd retourpad zijn voorwaarden. Activeer de import en een handmatige parallelle opbouw niet tegelijk voor dezelfde routes.

1. Open in AWS bij de bedoelde VPN-verbinding Download configuration: Vendor Generic, Platform Generic, Software Vendor agnostic, IKE version ikev2. Dit geldt uitdrukkelijk ook voor handmatig dynamisch BGP. Het bestand bevat PSK’s: sla het versleuteld en met beperkte toegang op.
2. Leg voor elke tunnel afzonderlijk het Outside-endpoint, de PSK, Inside-CIDR, het Customer-Inside-adres, AWS-Inside-adres en de ASN’s vast vanuit de daadwerkelijk gegenereerde configuratie. Gebruik twee verschillende, door AWS geaccepteerde /30-netwerken uit 169.254.0.0/16; neem geen gereserveerde of al gebruikte bereiken over. De onderstaande toewijzing is een leesbaar planningsvoorbeeld, geen toewijzing door AWS:

Toewijzingstabel: Outside-IP brengt IPsec tot stand; Inside-IP adresseert XFRM en BGP. Gebruik uitsluitend de adressen die daadwerkelijk door AWS zijn uitgegeven: leid de eigen toewijzing niet af uit de volgorde van de demo-adressen. Het SFOS-XFRM-adres is het Customer-Inside-adres, nooit het AWS-Inside-adres of het openbare IP. De BGP-neighbour is het AWS-Inside-adres, niet het Outside-endpoint.

3. Maak onder Profiles > IPsec profiles > Add een aangepast profiel met een unieke naam. Een begrensd voorbeeld voor tunnels die aan beide kanten zo zijn geconfigureerd, is IKEv2, fase 1 AES256 / SHA2 256 / DH 14 (DH2048) en fase 2 AES256 / SHA2 256 / PFS 14 (DH2048). Schakel Re-key connection in; neem Key negotiation tries 0 en uitgeschakelde Use strict profile alleen over als het goedgekeurde beheerplan dit voorschrijft. De geselecteerde algoritmen en DH/PFS-groepen moeten een gemeenschappelijke toegestane proposal vormen, niet slechts dezelfde profielnaam hebben.
4. Documenteer lifetimes en Rekey/DPD afzonderlijk. Een historisch voorbeeld noemt AWS fase 1 28800 seconden, maar SFOS Key life 28000; fase 2 aan beide kanten 3600, Rekey Margin 360 en Fuzz 50 procent. Verschillende lokale IKEv2-rekeytimers zijn niet automatisch een proposalfout en geen bewijs van geteste interoperabiliteit. Neem geen tegenstrijdige timer stilzwijgend over als universele standaard: gebruik de daadwerkelijk geconfigureerde AWS-waarden en een daarvoor goedgekeurd SFOS-rekeyplan; stop bij onduidelijke voorwaarden en zoek dit eerst uit. Een DPD-voorbeeld is AWS Restart en SFOS DPD ingeschakeld, controle-interval 30, wachttijd op antwoord 120 seconden en Re-initiate. Deze waarden zijn een te controleren profielvoorbeeld, geen universeel voorschrift. Bevestig vóór productiegebruik het Rekey-/DPD-gedrag binnen het eigen wijzigingsvenster.
5. Maak onder Site-to-site VPN > IPsec > Add voor elke tunnel een eigen verbinding met Connection type Route-based (Tunnel interface), IP version IPv4 en Gateway type Initiate the connection. Selecteer onder Profile het zojuist gecontroleerde aangepaste profiel, niet blind een ander standaardprofiel met de naam IKEv2. Stel Authentication type Preshared key en exact de PSK van deze tunnel in. Listening interface is de lokale WAN-interface; Gateway address is het betreffende AWS-Outside-endpoint. Stel Local/Remote IKE IDs alleen in volgens het daadwerkelijk verwachte identiteitsplan; gebruik nooit willekeurige IP’s. Achter NAT is het lokale WAN-adres niet gelijk aan het openbare Customer Gateway-adres. Kies Activate on save pas na controle in het goedgekeurde venster; sla beide verbindingen op en activeer ze.
6. Open onder Network > Interfaces de XFRM die bij de betreffende verbinding hoort en controleer de verbindingskoppeling. Voer onder IPv4/netmask het Customer-Inside-IP en /30 (255.255.255.252) van deze tunnel in. Gebruik bij de tweede XFRM het eigen Inside-IP daarvan; verwissel de toewijzingen niet.
7. Behoud onder Routing > BGP > Global configuration de al gebruikte Local AS of stel de goedgekeurde Customer Gateway-ASN in. Gebruik een unieke, stabiele Router ID uit het eigen plan. Overschrijf een bestaande globale ASN niet voor deze VPN; AWS moet dezelfde lokale ASN-waarde gebruiken. Kopieer geen ASN-bereik of demo-ASN zonder controle: controleer eerst beschikbaarheid, toelaatbaarheid in AWS en afwezigheid van conflicten. Maak onder Neighbors voor elk AWS-Inside-IP een IPv4-neighbour met Remote AS gelijk aan de werkelijke VGW-ASN.
8. Adverteer onder Routing > BGP > Networks alleen de goedgekeurde, lokaal bereikbare prefixes. Sta onder Administration > Device access IPsec voor WAN en Dynamic Routing voor VPN toe; voeg geen algemene LAN-toestemming toe als daar geen lokale routingpeer is gepland. BGP TCP 179 als dataverkeer wereldwijd of tussen alle LAN/VPN-netwerken openstellen vervangt deze control-plane-toestemming niet. Maak daarnaast de strikt beperkte dataregels die in de volgende sectie worden beschreven.
9. Controleer voor elke neighbour onder Routing > Information > BGP > Neighbors Established en de verwachte geleerde en geadverteerde prefixes. Controleer in AWS onder Tunnel Details of beide tunnels UP zijn en controleer de BGP-routes; controleer de VGW-routepropagation van de betrokken subnet-Route-Tables. Test pas daarna toegestaan applicatieverkeer en een niet-toegestane bron. Deactiveer in het afgesproken venster gecontroleerd één tunnel, controleer of de verwachte route/toepassing via de andere blijft werken, activeer de tunnel opnieuw en controleer beide peeringen opnieuw; claim zonder daadwerkelijke failovertest geen acceptatie van de redundantie.

Controleer bij IPsec-fouten eerst per tunnel het endpoint, de PSK, proposals, IDs en NAT-T; controleer bij BGP Active eerst de XFRM-Inside-adressen, ASN, peeractivering en Device Access. Een tijdelijke statische route met ping is geen algemene BGP-reparatie en kan het verkeerde pad maskeren. Probeer bij verdwenen bestaande routes of een onduidelijke lifetime-/ID-toewijzing geen verdere waarden uit, maar stop de nieuwe configuratie en vergelijk deze met de veiliggestelde toestand.

IPsec-profiel en tunnels controleren

Na import of bij handmatige configuratie mag men niet blind op de status vertrouwen.

Controleren:

• Beide AWS-tunnels bestaan.
• IKE-versie past bij de AWS-configuratie.
• Encryption, Authentication, DH Group en PFS vormen per tunnel een proposal die aan beide zijden is toegestaan; lifetimes en lokale rekey-timers worden afzonderlijk getoetst aan het goedgekeurde plan en niet uitsluitend op numerieke gelijkheid beoordeeld.
• Preshared key is per tunnel correct.
• Gateway type en remote gateway wijzen naar de betreffende AWS-tunnelendpoints.
• XFRM-interfaces bestaan en hebben duidelijke namen.

Als AWS-tunnelopties worden gewijzigd, moeten de Sophos-proposals compatibel blijven en moeten de afzonderlijk gedocumenteerde rekey-/DPD-timers aansluiten bij het goedgekeurde beheerplan. Eenzijdige wijzigingen aan algoritme, DH/PFS, PSK of identiteit kunnen Phase 1 of Phase 2 verhinderen; verschillen in lokale IKEv2-lifetimes alleen tonen niet aan dat er sprake is van zo’n proposal-fout.

BGP of statische routes configureren

Bij BGP controleert men onder Routing > BGP of lokale ASN, neighbour, remote ASN en geadverteerde netwerken kloppen. De volledige configuratie en validatie wordt uitgelegd in BGP op Sophos Firewall configureren. Onder Routing > Information > BGP moeten Neighbors, Summary en Routes de verwachte waarden tonen.

Bij statische routing moeten routes naar AWS-netwerken via de juiste XFRM-interface lopen. AWS moet de lokale prefixes ook kennen, via statische VPN-routes of via de juiste route table.

Voor beide varianten geldt: routing moet in beide richtingen kloppen. Een tunnel kan verbonden zijn terwijl de terugweg via internet, NAT Gateway of een verkeerde route table loopt.

Firewallregels maken

Route-based IPsec maakt niet automatisch firewallregels die voor productie precies genoeg zijn. Maak en log de regels bewust.

Aanbevolen:

1. Maak onder Rules and policies > Firewall rules > IPv4 > Add firewall rule > New firewall rule de lokaal-naar-AWS-regel: Source zones LAN, Source networks and devices het lokale netwerkobject, Destination zones VPN en Destination networks het AWS-netwerkobject.
2. Selecteer bij Services alleen de benodigde services; gebruik Any alleen tijdelijk voor isolatie en vervang het daarna.
3. Sta de terugrichting met Source zones VPN en Destination zones LAN alleen toe als AWS lokale systemen actief moet bereiken.
4. Schakel Log firewall traffic in voor acceptatie.
5. Regelpositie vóór brede drop- of catch-all-regels controleren.

Als de verwachte regel niet matcht, helpt Sophos Firewall-regel matcht niet: zo vindt men de oorzaak.

Verbinding controleren

Acceptatie moet altijd beide platformen en echt applicatieverkeer meenemen. Alleen een groene tunnelstatus is te weinig.

AWS controleren

In AWS controleren:

• VPC > Site-to-Site VPN Connections > Tunnel Details toont beide tunnels.
• Tunnelstatus is UP.
• Bij BGP zijn routes zichtbaar.
• De VPC- of Transit Gateway-route table bevat verwachte routes.
• Security groups en NACLs staan de test toe.
• CloudWatch metrics of VPN logs tonen geen herhaalde IKE- of DPD-problemen.

Sophos Firewall controleren

Op Sophos Firewall controleren:

• Site-to-site VPN > Amazon VPC of Site-to-site VPN > IPsec toont actieve tunnels.
• Routing > Information > BGP toont neighbours en geleerde routes als BGP wordt gebruikt.
• Network > Interfaces toont XFRM-interfaces.
• Log Viewer toont de verwachte firewallregel.
• Packet Capture bevestigt ingress- en egressinterface als logs niet genoeg zijn.

Testverkeer goed kiezen

Een test moet een concrete source host, target host en service gebruiken, bijvoorbeeld ICMP, RDP, SSH, HTTPS of DNS. Als ICMP geblokkeerd is, zegt ping weinig. Beter is testen met de service die later echt gebruikt wordt.

Typische fouten

AWS-VPN-fouten lijken vaak IPsec-problemen, terwijl routing of AWS-security-controls de oorzaak zijn. De volgende gevallen komen vaak voor.

Slechts één tunnel is actief

Eén tunnel is genoeg voor een eerste test, maar niet voor goede productie. Beide AWS-tunnels hebben eigen endpoints en parameters. Controleer per tunnel preshared key, IKE/IPsec-parameters, XFRM-interface, BGP-neighbour en AWS-status.

BGP komt niet op

Als de tunnel verbonden is maar BGP niet peert, controleer dan eerst ASN, neighbour-IP, lokale advertenties en inside tunnel-adressen. Er is sprake van een nauw begrensd Sophos-geval als de AWS VPC-tunnel op de firewall actief en verbonden is, de BGP-neighbour in Active blijft, AWS de VPN als down toont terwijl IPsec up is en de actieve BGP-configuratie no bgp default ipv4-unicast bevat.

Alleen als al deze kenmerken overeenkomen, worden de huidige BGP-configuratie, Local AS en neighbour-IP vastgelegd. Open daarna de BGP-console via 3. Route Configuration > 1. Configure Unicast Routing > 3. Configure BGP en activeer uitsluitend de betreffende AWS-neighbour:

enable
conf t
router bgp <as-number>
neighbor <ip-address> activate
write

Vervang <as-number> door het lokale Sophos-ASN en <ip-address> door het inside tunnel-adres van de betreffende AWS-neighbour. Controleer daarna opnieuw de BGP-summary, geleerde en geadverteerde prefixes, de AWS-tunnelstatus en echt verkeer. Als no bgp default ipv4-unicast ontbreekt of de AWS-adressen en ASN’s niet overeenkomen, worden deze commando’s niet toegepast. Het commando komt uit de nauw begrensde SFOS 22-procedure voor problemen met Amazon VPC-verbindingen en is geen algemene BGP-reparatie.

Documenteer vóór conf t de huidige BGP-configuratie en de herstelmethode die voor de omgeving is goedgekeurd. Als de neighbour daarna niet Established bereikt of bestaande routes verdwijnen, improviseer dan niet en gebruik uitsluitend die vooraf geteste methode. Zonder zo’n methode eindigt de diagnose vóór de wijziging en wordt deze geëscaleerd naar Sophos Support.

Tunnel groen, instance niet bereikbaar

De oorzaak ligt vaak buiten IPsec: verkeerde AWS route table, ontbrekende route propagation, security group, NACL, OS-firewall, verkeerd sourcenetwerk of ontbrekende Sophos-firewallregel.

Terugweg loopt verkeerd

AWS moet de terugweg naar het lokale netwerk via VPN kennen. Lokaal moet de terugweg naar de AWS VPC via XFRM of BGP lopen. Asymmetrische routing kan in tunnelstatus normaal lijken, maar echte sessies breken.

MTU of fragmentatie stoort applicaties

AWS Site-to-Site VPN en IPsec-overhead kunnen MTU-problemen zichtbaar maken. Als kleine tests werken maar grotere transfers of bepaalde applicaties hangen, controleer MSS/MTU, fragmentatie en packet captures.

Beheer en review

Na ingebruikname hoort de tunnel in het normale beheerproces. Dat omvat een owner, een gedocumenteerd preshared-key-proces, een change window voor IPsec-parameters, tunnelmonitoring, regelmatige failover-tests en een duidelijke procedure bij AWS- of ISP-wijzigingen.

Bij elke wijziging aan VPC-CIDR, Transit Gateway-routing, route tables, security groups, lokale netwerken of BGP-advertenties moet de VPN-acceptatie worden herhaald. Cloud VPN is geen eenmalige klik, maar onderdeel van de netwerkarchitectuur.

Nieuwe tunnels en routes gericht terugdraaien

Stel vóór de wijziging de back-up, IPsec-profielen en tunneltoewijzing, XFRM-adressen, BGP-neighbours/advertenties, firewallregels en AWS Route Tables inclusief propagation veilig. Trek bij onverwachte advertenties, een verkeerd doel of onderbroken bestaand verkeer eerst de nieuw ingevoerde prefixes terug of deactiveer de nieuwe verbinding en zet alleen de gewijzigde regels/routes terug naar de gedocumenteerde veilige toestand. Verwijder of reset daarbij geen bestaande BGP-neighbours, de globale ASN of gedeelde gateways/VPC/subnetten. Controleer de bedoelde bestaande routes, toegestane toepassingen en de blokkering van een niet-toegestane bron opnieuw. Stop de wijziging vóór activering als er geen goedgekeurd retourpad is.

FAQ