Een bridge-interface op Sophos Firewall configureren en testen

Een bridge-interface verbindt meerdere fysieke of virtuele interfaces op laag 2. Zo kan een Sophos Firewall transparant in een bestaand pad worden geplaatst of bewust als gerouteerde bridge-gateway worden gebruikt. De centrale keuze wordt vóór het aanmaken gemaakt: moet de bridge alleen frames doorsturen of zelf een IP-adres bezitten en routeren?

⚠️ Een onjuiste bridge-configuratie kan een laag-2-lus, een broadcast storm of verlies van beheertoegang veroorzaken. Voor de bekabeling zijn een backup, een onderhoudsvenster, onafhankelijke administratortoegang en een duidelijk herstelpad nodig. Redundante laag-2-paden worden pas geactiveerd wanneer STP en het HA-ontwerp zijn opgehelderd.

Transparant of gerouteerd

Een transparante bridge zonder IP-adres stuurt frames tussen de members door. Zij kan netwerken verbinden zonder zelf als gateway op te treden. Dit past bij gecontroleerde migraties of een inline pad waarin de bestaande IP-architectuur ongewijzigd moet blijven.

Een gerouteerde bridge met IP-adres wordt geactiveerd met Enable routing on this bridge pair. Het bridge-IP kan dan als gateway of lokaal firewall-endpoint werken. VLAN-filtering op de bridge geldt alleen voor bridged verkeer, niet voor gerouteerd verkeer.

Op ondersteunde XGS-modellen kan een vast hardwarematig bridgepoortpaar ook als Fail-to-Wire-pad dienen. LAN Bypass gecontroleerd instellen en testen behandelt de modelgrens, het FTW-paar, ongeïnspecteerd verkeer tijdens een storing en de terugkeer naar beschermd bedrijf. Twee willekeurige bridge-members krijgen deze hardwarefunctie niet.

Een bridge is geen universele vervanging voor een aparte WAN- of VPN-interface. Sophos ondersteunt op bridge-interfaces geen Dynamic DNS, DHCP client, PPPoE of IPsec VPN. Voor nieuwe gesegmenteerde netwerken zijn VLAN’s en routing vaak eenvoudiger te beheren. Zones en interfaces op Sophos Firewall legt de keuze uit tussen alias, bridge, LAG, VLAN, XFRM en RED.

Voorbeeld en members plannen

Het voorbeeld verbindt Port3 en Port4 transparant. Beide poorten bevinden zich in hetzelfde geplande laag-2-pad en de bridge krijgt geen IP-adres. Dit zijn voorbeeldwaarden die door de echte bekabeling, zones en beheerstrategie worden vervangen.

SFOS staat maximaal 64 members toe. Als member zijn fysieke interfaces, RED, LAG en VLAN-interfaces op een fysieke interface, RED of LAG mogelijk. Controleer elke member vooraf op bestaande IP-adressen, VLAN’s, DHCP, NAT, regels, routing en administratieve toegang.

De member-zones blijven relevant voor firewallregels. Een bridge staat verkeer niet automatisch toe. Als beide members bijvoorbeeld in LAN liggen, kan de gewenste datastroom nog steeds een passende LAN-to-LAN-regel vereisen.

Geavanceerde Bridge-controles in de Device Console

De normale Bridge-configuratie blijft in WebAdmin. De Device Console biedt daarnaast drie globale of low-level controles. Leg vóór gebruik de Bridge-naam, hardware name, members, poort-ID’s, MAC-tabel, het beheerpad en de actuele CLI-status vast. Deze opdrachten zijn geen vervanging voor ontbrekende firewallregels of een onduidelijk Layer 2-ontwerp.

Onbekend niet-routeerbaar verkeer behandelen

bypass-firewall-policy geldt voor niet-routeerbaar Bridge-verkeer waarop geen Security Policy wordt toegepast. SFOS maakt onderscheid tussen dynamic en static. Lees eerst de actuele status van beide categorieën:

system bridge bypass-firewall-policy unknown-network-traffic show dynamic
system bridge bypass-firewall-policy unknown-network-traffic show static

De beschikbare acties zijn allow en drop. allow is beveiligingsgevoelig, omdat dit verkeer expliciet zonder firewall policy kan worden doorgestuurd. De SFOS 22-help vermeldt geen standaardwaarde en legt het exacte verschil tussen dynamic en static niet uit. Wijzig daarom geen van beide categorieën op basis van een vermoeden. Als Sophos Support een wijziging voorschrijft, vervang dan show in dezelfde syntaxis door allow of drop en controleer daarna de status, een Packet Capture en zowel een positieve als negatieve teststroom.

Deze schakelaar is noch LAN Bypass noch een stateful firewall bypass rule. Hij activeert geen fail-to-wire-pad en verwijdert geen bekende verbinding uit Stateful Inspection.

Statische MAC-invoer alleen doelgericht instellen

De Bridge forwarding table leert MAC-adressen normaal dynamisch en bepaalt via welke poort frames worden doorgestuurd. static-entry kan een MAC-adres vast aan een Bridge, interface en poort koppelen. De officiële opdrachtsjabloon luidt:

system bridge static-entry [add | delete | show] [interface] {interface ID} [bridge name] [Port] {PortID} [macaddr] {MAC Address} [priority] [dynamic | static]

De haken beschrijven de syntaxis en worden niet in de opdracht gekopieerd. Controleer vóór add de werkelijke ID’s met show, Tab-aanvulling en de koppeling in WebAdmin. Een onjuiste of verouderde statische invoer kan frames naar de verkeerde poort sturen of het doel onbereikbaar maken. Verwijder voor rollback exact de gedocumenteerde invoer met delete. Daarna moeten MAC-learning, heen- en terugweg en beheertoegang weer werken.

Gebruik de memberlimiet niet als schaaldoel

Toon de actuele interne grens met:

system bridge max_bridge_members show

De Device Console accepteert max_bridge_members-waarden van 2 tot 256 en biedt ook reset:

system bridge max_bridge_members set limit <2-256>
system bridge max_bridge_members reset

Stel dit niet gelijk aan de gepubliceerde WebAdmin-grens. Sophos noemt nog steeds maximaal 64 members voor een Bridge-interface. Het grotere CLI-bereik is daarom geen ondersteund ontwerpdoel voor een Bridge met 256 interfaces. Wijzig het alleen voor een aangetoonde uitzondering en na afstemming met Sophos Support. Omdat de help niet vermeldt welke standaard na reset ontstaat, wordt vooraf vastgelegd of de beginstatus een aangepaste waarde of de default was. Rollback herstelt exact die status.

Bridge in WebAdmin toevoegen

1. Open Network > Interfaces > Add interface > Add bridge.
2. Voer een duidelijke Name van maximaal 58 tekens in, bijvoorbeeld Bridge_Inline.
3. Stel een onveranderlijke Hardware name in van maximaal 10 letters, cijfers en _, bijvoorbeeld brinline. Systeemnamen zoals all, ipsec0, xfrm, Port, eth, WLAN of Halink zijn gereserveerd.
4. Activeer Enable routing on this bridge pair alleen wanneer de bridge bewust een IP-adres moet krijgen en routeren.
5. Voeg de voorbereide Member interfaces en hun zones toe.
6. Configureer bij een gerouteerde bridge IPv4 of IPv6 en de geplande gateway voor WAN-members.
7. Controleer de instellingen voor VLAN, ARP, STP, MTU, MSS en EtherType.
8. Selecteer Save en controleer daarna link, regels en een echte datastroom.

De zichtbare naam kan later worden gewijzigd. De Hardware name blijft onveranderlijk en hoort vóór het opslaan bij de naamconventie te passen.

VLAN- en EtherType-filters begrijpen

Met Filter VLANs worden alleen de VLAN’s doorgestuurd die onder Permitted VLAN ID or ID range staan. Bereiken zoals 20-35 zijn mogelijk. Als het filter actief is en de lijst leeg blijft, verwerpt SFOS al het tagged VLAN-verkeer; untagged verkeer blijft onaangetast.

Dit filter werkt alleen op bridged frames. Het is geen firewallregel voor gerouteerd verkeer. Het versiegebonden geval met oude system vlan-tag-configuraties wordt afzonderlijk behandeld in Bridge-VLAN’s na SFOS 22 controleren.

Met Filter Ethernet frames kunnen EtherTypes worden beperkt. Zonder toegestane waarden worden alle frames verworpen behalve de altijd toegestane types ARP, IPv4, IPv6, 8021Q en EXTE. Andere types worden als viercijferige hex-ID toegevoegd, bijvoorbeeld 809B, 8138, 8863 of 8864. Voeg deze alleen toe voor een concrete protocolbehoefte.

ARP, STP, MTU en MAC aging

Permit ARP broadcast is standaard actief. Zonder ARP-broadcasts kan de bridge geen normale MAC-tabel via ARP opbouwen. Uitschakelen is geen algemene broadcastbeveiliging, maar een gerichte maatregel bij een bewezen storm en vereist geschikte statische items onder Neighbors (ARP–NDP).

Spanning Tree Protocol (STP) beschermt tegen laag-2-lussen en kan een redundant pad activeren. STP kan echter niet op bridge-interfaces worden ingeschakeld zolang HA actief is. Een ontwerp mag niet tegelijk op een onduidelijk lusmechanisme en HA vertrouwen. STP max age staat standaard op 20 seconden en wordt alleen passend bij het hele STP-domein gewijzigd.

MAC aging verwijdert inactieve MAC-adressen standaard na 300 seconden. Kortere waarden kunnen bij dynamische netwerken passen en langere bij stabiele netwerken. Wijzigingen worden onderbouwd met switch- en applicatiegedrag en niet als algemene prestatietip.

Als de MTU van bridge en members verschilt, neemt de bridge de lagere waarde over. Een member met MTU 1500 beperkt dus ook een bridge die op 9000 is ingesteld. Gebruik Override MSS alleen bij een bevestigd TCP- of MTU-probleem. MTU en MSS op Sophos Firewall controleren biedt een gecontroleerde procedure.

Regels, NAT en web proxy

Verkeer tussen bridge-members heeft een passende firewallregel tussen de betrokken zones nodig. Source, destination en service worden zo smal mogelijk gehouden; logging blijft tijdens de controle actief. Firewallregels op Sophos Firewall legt de algemene werking uit.

Een bridge zonder IP-adres heeft een belangrijke stopvoorwaarde: als verkeer een regel met web proxy filtering of een NAT-regel raakt, kan SFOS de pakketten zonder logitem verwerpen. Dit mag niet als een gewone drop in Log Viewer worden geïnterpreteerd.

Als een NAT-regel onvermijdelijk is, wordt voor precies deze bridge Override source translation for specific outbound interfaces gebruikt, Outbound interface op de bridge gezet en Translated source (SNAT) op Original ingesteld. Een brede NAT-wijziging is geen veilige test. Web proxy filtering wordt op een transparante bridge alleen gebruikt wanneer het ontwerp dit uitdrukkelijk ondersteunt.

Bridge gecontroleerd testen

Na het opslaan worden control plane en gebruikersverkeer afzonderlijk getest:

1. Vergelijk onder Network > Interfaces bridge, members, zones, IP-modus en linkstatus met het plan.
2. Bevestig de verwachte Firewall Rule ID met één gecontroleerde teststroom.
3. Vergelijk ingang en uitgang in Packet Capture; MAC-adressen, VLAN-tag en EtherType moeten bij het ontwerp passen.
4. Test een toegestane service in beide richtingen en voer een negatieve test uit voor een bewust verboden service.
5. Activeer bij STP redundante paden alleen afzonderlijk in een onderhoudsvenster en meet topologie en failover.
6. Controleer bij HA na een gecontroleerde rolwissel bridge, members, MAC-learning en applicaties opnieuw.

Activeer voor Bridge ACL-drops Bridge ACLs onder System services > Log settings > Firewall. In Log Viewer kan daarna worden gefilterd op Log component > Bridge ACLs en de subtypes ARP broadcasts, EtherType filtering of VLAN filtering.

Als het datapad onduidelijk blijft, legt Packet Capture op Sophos Firewall uit hoe in- en uitgaande interface, Rule ID, status en reason samen worden gelezen.

Veilig terugbouwen

Documenteer vóór verwijdering Object Usage, regels, NAT, VLAN’s, DHCP, routes, hosts en beheertoegang van de bridge en alle members. Maak eerst een vervangend pad en test dit met echt verkeer. Verwijder pas daarna productieafhankelijkheden en de bridge en bind de members gecontroleerd opnieuw.

Eén geslaagde ping is onvoldoende bewijs voor rollback. Controleer daarna gateway, DNS, beheer, productieapplicaties, Firewall Rule ID en retourpad opnieuw.

Veelgestelde vragen