Breakout-interfaces op Sophos Firewall configureren en controleren

Een breakout-interface verdeelt één snelle fysieke poort in twee of vier onafhankelijke member-interfaces. Zo kan een QSFP-poort meerdere kleinere switch-uplinks bedienen. Dit levert extra poorten op, maar is geen puur logische wijziging: SFOS verandert de hardware-indeling en vereist daarna een herstart van de firewall.

⚠️ Een breakout op een productie-uplink onderbreekt de link en kan WebAdmin, HA, VLAN’s, routing en al het dataverkeer beïnvloeden. Voor de wijziging zijn een actuele backup, een onderhoudsvenster, onafhankelijke beheertoegang en een gedocumenteerde poorttoewijzing op firewall en tegenapparaat nodig.

Korte procedure

Vergelijk eerst de appliance, bronpoort, ondersteunde breakout-modus, transceiver of breakout-kabel en de poorten van het tegenapparaat. Open daarna Network > Interfaces, selecteer de gewenste Breakout mode op de geschikte bronpoort en sla de wijziging op.

SFOS toont aanvankelijk Breakout: Not activated en vraagt met Restart the firewall om een herstart. Pas daarna verschijnt de bronpoort als Breakout source en kunnen de nieuwe member-interfaces afzonderlijk worden geconfigureerd. Controleer vervolgens elke member met linkstatus, snelheid, VLAN- of LAG-configuratie en echt testverkeer.

Ondersteunde modellen en poortcombinaties

Breakout wordt niet op elk XGS-model en niet op elke snelle poort ondersteund. De actuele SFOS 22-help noemt deze combinaties:

• XGS 8500: De vaste 100-Gbps-poorten F13 en F14 kunnen worden verdeeld in 2 x 50 Gbps, 4 x 25, 4 x 10 of 4 x 1 Gbps. De 40-Gbps-FleXi-module ondersteunt vier members op 25, 10 of 1 Gbps.
• XGS 7500: De vaste 40-Gbps-poorten F13 en F14 en de 40-Gbps-FleXi-module ondersteunen vier members op 25, 10 of 1 Gbps.
• XGS 6500 en XGS 5500: Vaste poorten worden niet voor breakout genoemd. De 40-Gbps-FleXi-module ondersteunt vier members op 10 of 1 Gbps.

Sophos vereist module AMDA0112-0001 voor breakout via FleXi. Deze lijst vervangt geen actuele controle van hardware en transceivers. Poortstandaard, module, kabel en tegenapparaat moeten bij de concrete appliance passen. SFP, SFP+ en QSFP op Sophos Firewall controleren beschrijft de keuze en read-only linkdiagnose.

Belangrijk: Een breakout-kabel die mechanisch past, bewijst niet dat de combinatie wordt ondersteund. Het aantal members, mogelijke linksnelheden, het type transceiver of DAC en de switchpoorten moeten samen worden gecontroleerd.

Breakout voorbereiden

Leg vóór het omschakelen het bestaande datapad vast. Dit omvat bronpoort, huidige Link mode, FEC, auto-negotiation, zone, IP-configuratie, VLAN’s, LAG, routing, NAT, firewallregels, HA-rol en bekabeling. Vernieuw Object usage, zodat afhankelijke configuraties niet worden gemist.

Een eenvoudig voorbeeld gebruikt bronpoort F13 van een XGS 8500 en verdeelt deze in vier members van 25 Gbps. F13, model en snelheid zijn voorbeeldwaarden die door de werkelijk ondersteunde combinatie worden vervangen. Aan de switchzijde moeten vier passende poorten of een overeenkomstig breakout-ontwerp beschikbaar zijn.

Als de poort de huidige beheertoegang of de enige productie-uplink draagt, wordt deze niet zonder afzonderlijk herstelpad gewijzigd. Bij HA moeten beide appliances aan dezelfde hardwarevoorwaarden voldoen. De breakout-configuratie wordt vanaf de primary gesynchroniseerd, maar elke node vereist een eigen herstart.

Breakout in SFOS activeren

1. Open Network > Interfaces.
2. Selecteer de breakout-geschikte bronpoort. SFOS markeert ondersteunde poorten met een breakout-pictogram.
3. Selecteer onder General settings de passende Breakout mode, bijvoorbeeld vier member-interfaces.
4. Selecteer Save.
5. Controleer status Breakout: Not activated en melding Restart the firewall.
6. Herstart de firewall gecontroleerd in het onderhoudsvenster.
7. Controleer na het opstarten of de bronpoort Breakout source toont en de verwachte member-interfaces met een Ethernet-pictogram aanwezig zijn.

De members zijn daarna normale fysieke interfaces met een eigen configuratie. Onder Advanced settings toont Link mode welke maximale snelheid de concrete member ondersteunt. Poortsnelheid, duplex, auto-negotiation en FEC worden met het tegenapparaat vergeleken; bij snelle links helpen Show recommended settings en Load recommended configuration om ondersteunde waarden toe te passen.

Daarna krijgt elke gebruikte member de geplande rol. Deze kan als afzonderlijke interface, als parent van een VLAN of als member van een LAG dienen. Breakout alleen maakt geen zone, adressering, regels of routing. Zones en interfaces op Sophos Firewall legt de samenhang uit.

Breakout en HA

In een HA-cluster wordt de wijziging op de primary uitgevoerd. Sophos beschrijft drie belangrijke situaties:

• Wanneer breakout op de primary wordt geconfigureerd, wordt eerst de primary en daarna de auxiliary herstart.
• Heeft de primary al breakout-interfaces, dan wordt de configuratie naar de auxiliary gesynchroniseerd; de auxiliary moet daarna worden herstart om de configuratie actief te maken.
• Heeft de primary geen breakout-configuratie, dan worden bestaande breakout-interfaces op de auxiliary tijdens de synchronisatie verwijderd.

Beide nodes tegelijk herstarten is geen acceptatietest. Documenteer eerst rollen, dedicated HA link, monitored ports en productie-uplinks. Controleer na elke herstart HA-status, interfacetoewijzing en datapad voordat de tweede node volgt. HA op Sophos Firewall configureren en testen bevat de volledige clusterprocedure.

Configuratie wijzigen of verwijderen

Wijzig de breakout-modus op de bronpoort onder Network > Interfaces. Een andere verdeling verandert eveneens de memberstructuur en hoort daarom in een onderhoudsvenster. Als een keuze vóór activering wordt gewijzigd en teruggezet, vereist Sophos geen herstart.

Selecteer voor het verwijderen Breakout mode > No breakout op de bronpoort. Verplaats productieafhankelijkheden van de members eerst naar een getest vervangend pad. Sla vervolgens op, volg de herstartmelding en controleer na de reboot of de bronpoort weer als normale interface beschikbaar is.

No breakout is geen neutrale weergaveoptie. Deze keuze verwijdert de breakout-configuratie en mag niet alleen voor inspectie worden geselecteerd en opgeslagen.

FleXi-module, migratie en restore

Als een opgesplitste FleXi-poort wordt verwijderd, verwijdert SFOS de bijbehorende member-interfaces en toont het de bronpoort als Not Available. Na het opnieuw plaatsen van de module moet de poort opnieuw worden opgesplitst en de firewall worden herstart. Documenteer daarom vóór een modulewissel members, zones, VLAN’s, LAG’s en alle andere afhankelijkheden volledig.

De breakout-configuratie blijft doorgaans behouden bij upgrade, downgrade of rollback, maar het doel moet de modus ondersteunen. Op een versie waarop breakout niet eerder was geconfigureerd, kunnen source- en member-interfaces in WebAdmin zichtbaar zijn zonder te functioneren. Activeer breakout dan opnieuw of verwijder deze gecontroleerd en herstart de firewall.

Een factory reset verwijdert de breakout-configuratie. Bij backup en restore toont de assistent alleen de Breakout Root Port, niet de afzonderlijke members. Root ports kunnen alleen naar een doel met een ondersteund aantal en een ondersteunde combinatie van poorten worden gemapt. Sophos Firewall backup en restore legt migratiegrenzen en pseudo ports uit.

Na de herstart controleren

Een zichtbare member bewijst alleen dat SFOS de hardwareverdeling heeft gemaakt. Voer de technische controle stapsgewijs uit:

1. De bronpoort toont Breakout source; aantal en namen van members passen bij het plan.
2. Elke gebruikte member toont de verwachte linkstatus, snelheid en Full Duplex.
3. Switchpoort, transceiver of breakout-kabel, FEC en onderhandeling passen.
4. VLAN’s of LAG-members zijn aan de juiste breakout-interface gekoppeld.
5. Gateway, routing, Device Access en firewallregels worden met echt verkeer getest.
6. Bij HA worden primary en auxiliary na afzonderlijke herstarts en een gecontroleerde failovertest gevalideerd.

Blijft een member Unplugged, controleer dan eerst het fysieke pad: ondersteunde modus, poortsnelheid, kabelverdeling, transceiver, tegenapparaat, FEC en auto-negotiation. Onderzoek VLAN’s, LAG, routing en firewallregels pas nadat de link stabiel is.

Veelgestelde vragen