Een bridge-interface op Sophos Firewall configureren en testen

Een bridge-interface verbindt twee of meer interfaces op Layer 2. Zo kunt u een Sophos Firewall in een bestaand netwerkpad opnemen zonder het subnet of de standaardgateway van de clients te wijzigen. De bridge kan transparant werken zonder IP-adres, of routeren met een eigen IP-adres.

In het voorbeeld in dit artikel wordt de firewall tussen een bestaande router en de coreswitch geplaatst. Port4 is verbonden met de router en behoort tot de zone WAN; Port3 is verbonden met de interne switch en behoort tot de zone LAN. De bridge zelf krijgt geen IP-adres. WebAdmin blijft bereikbaar via een afzonderlijke beheerpoort.

⚠️ Zodra u de configuratie opslaat, neemt de bridge de memberinterfaces over. Een onjuiste zone, een ontbrekend beheerpad of een redundant Layer 2-pad kan de toegang onderbreken of een lus veroorzaken. Maak vooraf een back-up, documenteer de bekabeling en test een onafhankelijke beheerverbinding. Sluit een tweede fysiek pad pas aan nadat STP en een eventueel HA-ontwerp zijn uitgewerkt.

Welke bridgeconfiguratie past bij uw doel?

Transparante bridge zonder IP-adres

Een transparante bridge stuurt Ethernet-frames door tussen de members, maar fungeert niet als gateway. De IP-adressen, het subnet en de standaardgateway van de eindapparaten blijven ongewijzigd. Dit is geschikt voor een gecontroleerde migratie of als extra beveiligingslaag tussen een bestaande router en het interne netwerk. Afhankelijk van de regel en licentie kan SFOS hier DPI, IPS, malwarescanning en e-mailinspectie toepassen, ook al blijft de bestaande router de gateway.

Transparant betekent niet ongefilterd. De zones van de members bepalen welke firewallregel van toepassing kan zijn. Voor het voorbeeldpad van Port3 in de zone LAN naar Port4 in de zone WAN is een passende LAN-to-WAN-regel nodig. Bevinden beide members zich in LAN, dan is in plaats daarvan een LAN-to-LAN-regel vereist.

In Zones en interfaces op Sophos Firewall plannen leest u hoe u vertrouwensniveaus kiest, eigen zones aanmaakt en interfaces toewijst. Alle beslissingen die specifiek zijn voor bridges worden in dit artikel behandeld; het basisartikel helpt bij het opzetten van een nieuw of inconsistent zonemodel.

Zonder IP-adres op de bridge moet het beheer via een andere interface verlopen. In het voorbeeld gebruikt Port2 een afzonderlijk beheernetwerk. Zo blijft WebAdmin bereikbaar, ook als de bridge, de regels of de bekabeling nog niet correct zijn.

Gerouteerde bridge met IP-adres

Met Enable routing on this bridge pair krijgt de bridge een IP-adres en kan deze als gateway of lokaal firewall-eindpunt fungeren. Daarmee verandert de functie fundamenteel: naast forwarding op Layer 2 krijgt u te maken met gerouteerd verkeer, lokale services en eventueel afhankelijkheden van gateways.

VLAN-filtering op de bridge blijft uitsluitend van toepassing op frames die via de bridge worden doorgestuurd. Verkeer dat door de bridge wordt gerouteerd, wordt er niet door gefilterd. Als u de bridge als gateway gebruikt, moet u daarom ook routing, Device Access, firewallregels en NAT controleren.

De SFOS-22-documentatie is niet eenduidig over DHCP. Voor de IP-toewijzing van een gerouteerde bridge worden Static en DHCP genoemd, terwijl DHCP clients in hetzelfde document als niet-ondersteunde bridgefunctie worden vermeld. Gebruik daarom een statisch adres voor een voorspelbaar productieontwerp. Gebruik DHCP op een bridge alleen nadat u de betreffende SFOS-versie hebt gecontroleerd en Sophos de ondersteuning heeft bevestigd.

Bridge Mode in de configuratiewizard

Bridge Mode in de eerste configuratiewizard en een bridge-interface die u later onder Network > Interfaces aanmaakt, werken volgens hetzelfde Layer 2-principe, maar zijn verschillende configuratieprocedures.

Op een nieuwe appliance heeft poort A standaard 172.16.16.16/24 en ontvangt poort B via DHCP een adres. Voor de eerste configuratie stelt u een computer bijvoorbeeld in op 172.16.16.2/24 en sluit u deze aan op poort A. WebAdmin is dan bereikbaar via https://172.16.16.16:4444. Selecteer in de wizard Internet gateway (Bridge Mode). Na de registratie en de instellingen voor beveiliging en meldingen past SFOS de configuratie toe en start het systeem opnieuw op.

Deze modus is bedoeld voor een volledige initiële implementatie. Doorloop de wizard niet opnieuw op een bestaande firewall om slechts één nieuw bridgepaar toe te voegen. Als u de wizard uitvoert nadat HA al is geconfigureerd, schakelt de wizard HA uit.

Bridge Mode ondersteunt HA. Tegelijkertijd kan de STP-functie van SFOS op geen enkele bridge-interface worden ingeschakeld zolang HA actief is. Dit staat los van het doorsturen van STP-, RSTP- en multicast-routingpakketten. Een transparante bridge kan dergelijke frames doorlaten zonder via de SFOS-optie Turn on Spanning Tree Protocol (STP) zelf aan luspreventie deel te nemen.

Het voorbeeld vóór de configuratie uitwerken

Topologie en voorbeeldwaarden

De bestaande router blijft de standaardgateway voor het netwerk 10.20.0.0/24. De firewall wordt transparant in het LAN-pad van de router geplaatst:

Internet
   |
Bestaande router: 10.20.0.1
   |
Port4, zone WAN
[ Bridge_Inline / brinline / geen IP-adres ]
Port3, zone LAN
   |
Coreswitch en clients: 10.20.0.0/24

Afzonderlijk beheerpad:
Port2, zone LAN, 10.99.0.1/24

Een client met 10.20.0.50/24 blijft na de plaatsing 10.20.0.1 als gateway gebruiken. De bridge krijgt geen adres uit 10.20.0.0/24 en ook geen standaardroute. Pas de poortnummers, zones, het beheernetwerk en de regels aan uw omgeving aan. Neem het voorbeeldnetwerk niet klakkeloos over in een productieomgeving.

Leg vóór de wijziging twee situaties vast: welke verbindingen werken vóór de plaatsing, en via welk pad u de firewall kunt beheren als het productiedatapad uitvalt. Controleer minimaal DNS, de gateway, een gangbare toepassing, de verwachte doorvoersnelheid en de toegang tot WebAdmin.

Members, zones en afhankelijkheden controleren

Een bridge kan maximaal 64 members bevatten. De volgende interfaces kunnen als member worden gebruikt:

• fysieke interfaces;
• RED-interfaces;
• LAG’s;
• VLAN-interfaces op een fysieke interface, RED of LAG.

Meer members maken een bridge niet beter. Elke extra verbinding vergroot het Layer 2-domein, de MAC-tabel en het aantal mogelijke lussen. Voor een inline-pad volstaan doorgaans twee members.

Controleer vóór het toevoegen elke interface op bestaande IP-adressen, VLAN’s, DHCP, gateways, NAT, firewallregels, routing, Device Access en Object Usage. De eerdere functie van een poort verdwijnt niet automatisch uit alle afhankelijke objecten wanneer u die poort aan een bridge toevoegt.

Volgens Sophos ondersteunen bridge-interfaces geen Dynamic DNS, PPPoE of IPsec VPN. Zoals hierboven beschreven, is ook de informatie over DHCP tegenstrijdig. Een bridge is daarom geen universele vervanging voor een WAN- of VPN-interface. Voor nieuwe, duidelijk gesegmenteerde netwerken zijn VLAN’s en routing vaak eenvoudiger te beheren.

LAN Bypass is een afzonderlijke hardwarefunctie en niet de normale werking van een willekeurige bridge. In LAN Bypass configureren en gecontroleerd testen leest u welke modellen en poortparen deze functie ondersteunen en hoe deze zich bij een storing gedragen.

Een bridge aanmaken in WebAdmin

Naam, hardwarenaam en members

1. Open Network > Interfaces > Add interface > Add bridge.
2. Voer bij Name bijvoorbeeld Bridge_Inline in. De weergavenaam mag maximaal 58 tekens lang zijn en kan later worden gewijzigd.
3. Voer bij Hardware name bijvoorbeeld brinline in. De waarde mag maximaal 10 tekens bevatten en uitsluitend uit letters, cijfers en _ bestaan. Na het opslaan kunt u deze niet meer wijzigen.
4. Laat Enable routing on this bridge pair uitgeschakeld voor het transparante voorbeeld.
5. Voeg Port3 met de zone LAN en Port4 met de zone WAN toe als Member interfaces.
6. Controleer de instellingen voor VLAN, ARP, STP, MAC, MTU, MSS en EtherType.
7. Selecteer Save pas als de afzonderlijke beheertoegang werkt en beide kabels duidelijk zijn gelabeld.

SFOS blokkeert gereserveerde hardwarenamen. De volledige lijst uit de SFOS-22-documentatie luidt:

all, gre, oct, mv-pcimux0, mvmgmt0, pport_, lo, ipsec0, tun, ppp,
imq, ifb, mast, sit, WWAN1, _ppp, vxlan, xfrm, USB, erspan0, Port,
MGMT, eth, GE, gretap0, ip6tnl0, host, reds, wlnet, WLAN, Sophos,
GuestAP, spq, Halink

Bij een gerouteerde bridge voert u daarnaast IPv4- of IPv6-gegevens in. Als de bridge WAN-members bevat, worden ook gatewayvelden weergegeven. Deze waarden moeten overeenkomen met het daadwerkelijke routingontwerp. Voor de transparante bridge in het voorbeeld blijven ze leeg.

VLAN- en EtherType-filters

Filter VLANs beperkt getagd verkeer tot de ID’s die zijn ingevoerd bij Permitted VLAN ID or ID range. U kunt afzonderlijke waarden en bereiken zoals 20-35 opgeven. Als het filter actief is maar de lijst leeg is, verwerpt SFOS al het getagde VLAN-verkeer. Ongetagd verkeer wordt wel doorgestuurd. Juist die combinatie kan bij de probleemoplossing misleidend zijn.

Het VLAN-filter geldt alleen voor frames die door de bridge worden doorgestuurd. Het vervangt geen firewallregels en controleert evenmin gerouteerd verkeer. Historische CLI-VLAN-tags vereisen onder SFOS 22 een afzonderlijke controle. Bridge-VLAN’s na SFOS 22 controleren behandelt dit uitzonderingsgeval met de bijbehorende versie-informatie.

Met Filter Ethernet frames kunt u EtherTypes beperken. Zonder filter staat de bridge alle Ethernet-frames toe. Als het filter actief is en geen toegestane typen bevat, zijn alleen ARP, IPv4, IPv6, 8021Q en EXTE toegestaan. Voeg andere protocollen toe als viercijferige hexadecimale ID, bijvoorbeeld 809B voor AppleTalk, 8138 voor Novell en 8863 en 8864 voor PPPoE.

Sta een EtherType niet uit voorzorg toe. Controleer eerst in Packet Capture welk protocol daadwerkelijk ontbreekt. Anders ontstaat een ondoorzichtige lijst met uitzonderingen die later niet meer betrouwbaar kan worden herleid.

ARP, STP en MAC aging

Permit ARP broadcast is standaard actief. De bridge heeft ARP nodig om IP- en MAC-koppelingen te leren en de forwarding table op te bouwen. Uitschakelen is geen algemene bescherming tegen broadcastverkeer. Doe dit alleen bij een aangetoonde ARP-storm en configureer dan statische bindings onder Network > Neighbors (ARP–NDP).

Turn on Spanning Tree Protocol (STP) beschermt tegen lussen als er meer dan één Layer 2-pad tussen dezelfde netwerkdelen bestaat. STP kan een redundant pad blokkeren en bij uitval van het actieve pad overschakelen. De optie is niet beschikbaar op bridge-interfaces zolang HA actief is. Voor een HA-cluster met redundante bekabeling is daarom een ontwerp nodig waarin switches, poortpaden en luspreventie in samenhang zijn uitgewerkt.

STP max age staat standaard op 20 seconden. SFOS gebruikt BPDU’s om topologie-informatie tussen bridges uit te wisselen. Optimaliseer deze waarde niet uitsluitend op de firewall; de waarde moet bij het volledige STP-domein passen.

Met MAC aging worden inactieve MAC-adressen standaard na 300 seconden verwijderd. Een lagere waarde kan in een zeer dynamisch gast- of testnetwerk sneller inspelen op wisselende apparaten. In een stabiel datacenternetwerk voorkomt een hogere waarde dat adressen onnodig opnieuw worden geleerd. Wijzig de waarde alleen als MAC-flapping, frequente verplaatsingen of een concrete operationele eis daar aanleiding toe geeft.

MTU en MSS

Als de MTU van de bridge en die van de members verschillen, neemt de bridge de laagste waarde over. Een bridge met MTU 9000 werkt effectief met 1500 als een member slechts 1500 ondersteunt. De overgenomen waarde wordt in de interfacetabel weergegeven.

Override MSS is van toepassing op TCP. De waarde beperkt de payload per TCP-segment, zodat extra headers of tunnelinkapseling de effectieve MTU niet overschrijden. Dit kan helpen bij een aangetoond MTU- of fragmentatieprobleem, maar herstelt geen onjuist VLAN, ontbrekende regel of defect retourpad. MSS-clamping verkleint UDP-verkeer niet. De uitgebreide diagnoseprocedure vindt u in MTU en MSS bij VPN-problemen controleren.

Firewallregels, NAT en Web Proxy

De bridge omzeilt de stateful firewall niet. In het voorbeeld is voor het clientverkeer een regel van LAN naar WAN nodig. Gebruik 10.20.0.0/24 of een specifieker object als Source Network en beperk Destination en Service tot wat daadwerkelijk nodig is. Laat logging tijdens de acceptatietest ingeschakeld.

Als u de regelvolgorde, zonematching of beveiligingsfuncties nog moet bepalen, volgt u de volledige basisprocedure in Firewallregels op Sophos Firewall configureren. Voor de bridge blijft bepalend via welke memberzones het betreffende frame binnenkomt en vertrekt.

Antwoordpakketten van een toegestane verbinding die van binnenuit is opgezet, keren via de bestaande status terug. Daarvoor is geen brede WAN-to-LAN-regel nodig. Voor nieuwe inkomende verbindingen is daarentegen een afzonderlijke, doelgericht beperkte regel vereist.

Bij een bridge zonder IP-adres kan een ongebruikelijk type fout optreden. Als het verkeer overeenkomt met een firewallregel met Web Proxy Filtering of met een NAT-regel, kan SFOS de pakketten verwerpen zonder een vermelding in Log Viewer. Een leeg log bewijst in dit geval niet dat er geen regel bij betrokken is.

Als de NAT-regel nodig is, activeert u in precies die regel Override source translation for specific outbound interfaces. Stel Outbound interface in op de bridge en Translated source (SNAT) op Original. Zo blijft het bronadres voor deze uitgaande interface behouden. Een algemene NAT-wijziging is geen goede test, omdat deze andere datapaden beïnvloedt en de werkelijke fout verhult.

Gebruik Web Proxy Filtering op een transparante bridge zonder IP-adres alleen als het ontwerp en de gebruikte SFOS-versie dit uitdrukkelijk ondersteunen. Voor reguliere inline-inspectie vormen DPI-gebaseerde regels het duidelijkere uitgangspunt.

Het datapad valideren en fouten afbakenen

Acceptatietest na het opslaan

Controleer na het opslaan de configuratie, het gebruikersverkeer en het foutscenario afzonderlijk:

1. Vergelijk onder Network > Interfaces de bridgenaam, hardwarenaam, members, zones, IP-modus, overgenomen MTU en linkstatus met het ontwerp.
2. Maak vanaf de testclient verbinding met een vereiste service en bevestig in Log Viewer de verwachte Firewall Rule ID.
3. Vergelijk inkomend en uitgaand verkeer in Packet Capture. Source en Destination MAC, VLAN-tag, EtherType en interface moeten met de topologie overeenkomen.
4. Test een toegestane service in beide richtingen. Start daarna bewust een niet-toegestane service en controleer of deze zoals verwacht wordt geblokkeerd.
5. Test DNS, de standaardgateway en een representatieve bedrijfstoepassing. Eén ping is niet voldoende.
6. Controleer opnieuw de beheertoegang via de onafhankelijke poort.
7. Sluit bij gebruik van STP een redundant pad uitsluitend tijdens een onderhoudsvenster aan en meet de omschakeltijd en het pakketverlies.
8. Test bij HA na een gecontroleerde rolwisseling opnieuw de bridge, members, het leren van MAC-adressen en de toepassingen.

Geen verkeer en geen logvermelding

Als in Log Viewer noch Allow noch Drop verschijnt, controleert u eerst de specifieke bridgegevallen:

• Heeft de bridge geen IP-adres?
• Komt de flow overeen met een NAT-regel?
• Gebruikt de firewallregel Web Proxy Filtering?
• Staat de SNAT-override voor deze bridge op Original?
• Is het frame in Packet Capture wel zichtbaar op de inkomende, maar niet op de uitgaande member?

Pas daarna heeft het zin om naar de gebruikelijke regelvolgorde of een probleem met het retourpad te zoeken. Zo voorkomt u dat u een niet-gelogde verwerping door de bridge probeert op te lossen met steeds ruimere Allow-regels.

VLAN of EtherType wordt verworpen

Activeer onder System services > Log settings > Firewall de component Bridge ACLs. In Log Viewer kunt u vervolgens filteren op Log component > Bridge ACLs en aanvullend op de subtypen ARP broadcasts, EtherType filtering of VLAN filtering.

Controleer bij VLAN-problemen gezamenlijk of het verkeer getagd of ongetagd is, welke VLAN’s zijn toegestaan en welk switchpoortprofiel is ingesteld. Bij EtherType-problemen toont Packet Capture welke viercijferige ID daadwerkelijk voorkomt. Het filter en de andere zijde van de verbinding moeten hetzelfde datapad beschrijven.

Verkeer werkt slechts in één richting

Verkeer in slechts één richting wijst meestal op een onjuiste zone, een ontbrekende regel, asymmetrische routing of een MAC-adres dat niet is geleerd. Vergelijk in Packet Capture het heen- en retourverkeer op beide members. Controleer vervolgens Rule ID, Source NAT, de gateway en de MAC-tabel.

Lus of flappende MAC-adressen

Veel broadcastverkeer, wisselende MAC-koppelingen en instabiele links wijzen op een lus of verkeerd aangesloten redundantie. Koppel het tweede pad los voordat u andere filters wijzigt. Controleer vervolgens switch-STP, SFOS-STP, de HA-bekabeling en de daadwerkelijke bridge-members als één samenhangend ontwerp.

Een HA-ontwerp mag er niet van uitgaan dat de firewall tegelijkertijd de eigen STP-optie kan activeren. Als de switches de luspreventie verzorgen, moet uit de failovertest blijken dat er geen lus en ook geen permanent geblokkeerd productiepad ontstaat.

Voor de gedetailleerde koppeling tussen interface, Rule ID, Status en Reason kunt u aanvullend de procedure Packet Capture op Sophos Firewall gebruiken. De acceptatietest voor de bridge hierboven wordt desondanks volledig op deze pagina beschreven.

Geavanceerde controles in de Device Console

De normale configuratie voert u uit in WebAdmin. system bridge biedt drie aanvullende controlemogelijkheden. Deze opdrachten zijn geen vervanging voor een ontbrekende firewallregel of een onduidelijk Layer 2-ontwerp. Leg vóór wijzigingen de bridgenaam, hardwarenaam, members, poort-ID’s, MAC-tabel, het beheerpad en de actuele CLI-status vast.

Onbekend niet-routeerbaar verkeer afhandelen

bypass-firewall-policy is van toepassing op niet-routeerbaar bridgeverkeer waarop geen Security Policy wordt toegepast. SFOS maakt onderscheid tussen dynamic en static. Met de volgende opdrachten geeft u de huidige status weer:

system bridge bypass-firewall-policy unknown-network-traffic show dynamic
system bridge bypass-firewall-policy unknown-network-traffic show static

De mogelijke acties zijn allow en drop. Met allow wordt het betreffende verkeer uitdrukkelijk zonder firewallpolicy doorgestuurd. De SFOS-22-documentatie noemt geen standaardwaarde en licht evenmin het exacte onderscheid tussen dynamic en static toe. Wijzig deze instelling daarom alleen voor een concrete situatie en onder begeleiding van Sophos Support. Controleer daarna de CLI-status, Packet Capture en telkens één toegestane en één geblokkeerde testflow.

Deze instelling is noch LAN Bypass, noch een stateful Firewall Bypass Rule. De instelling activeert geen fail-to-wire-pad en zondert geen bekende verbinding uit van stateful inspection.

Gerichte statische MAC-vermeldingen instellen

De Bridge Forwarding Table leert MAC-adressen normaal gesproken dynamisch. Met static-entry koppelt u een MAC-adres permanent aan een bridge, interface en poort. De officiële opdrachtsyntaxis luidt:

system bridge static-entry [add | delete | show] [interface] {interface ID} [bridge name] [Port] {PortID} [macaddr] {MAC Address} [priority] [dynamic | static]

De haakjes beschrijven de syntaxis; neem ze niet letterlijk over. Controleer vóór add de werkelijke ID’s met show en de toewijzing in WebAdmin. Een onjuiste of verouderde vermelding kan frames naar de verkeerde poort sturen. Verwijder bij het terugdraaien precies de gedocumenteerde vermelding met delete. Test daarna opnieuw het leren van MAC-adressen, het heen- en retourverkeer en de beheertoegang.

De memberlimiet niet als schaalbaarheidsdoel gebruiken

Met de volgende opdracht geeft u de actuele interne limiet weer:

system bridge max_bridge_members show

De Device Console accepteert voor max_bridge_members waarden van 2 tot 256 en biedt ook reset:

system bridge max_bridge_members set limit <2-256>
system bridge max_bridge_members reset

De twee officiële limieten zijn zonder verdere toelichting niet met elkaar te rijmen. De WebAdmin-documentatie noemt maximaal 64 members, terwijl de documentatie van de Device Console waarden van 2 tot 256 vermeldt. Hoe deze gegevens zich tot elkaar verhouden, wordt niet uitgelegd. Beschouw een waarde boven 64 daarom niet uitsluitend op basis van het CLI-bereik als een ondersteund productieontwerp.

Leg vóór een wijziging de huidige status vast met show. Als eerder de standaardwaarde actief was, gebruikt u reset om deze te herstellen. Als een aangepaste limiet was ingesteld, herstelt u exact die waarde met set limit <vorige waarde>. Bevestig vervolgens met een nieuwe show dat de verwachte status actief is.

Een bridge veilig verwijderen

Documenteer vóór het verwijderen Object Usage, regels, NAT, VLAN’s, DHCP, routes, hosts, memberzones en beheertoegang. Maak eerst een vervangend pad en test dit met echt verkeer. Verwijder pas daarna de productieafhankelijkheden, verwijder de bridge en wijs de members op gecontroleerde wijze opnieuw toe.

Controleer na het verwijderen opnieuw de gateway, DNS, het beheer, de productietoepassingen, Firewall Rule ID en het retourpad. De wijziging is pas voltooid wanneer deze tests overeenkomen met de gedocumenteerde uitgangssituatie.

Veelgestelde vragen