Sophos Firewall Cellular WAN instellen en 4G/5G-failover testen

Cellular WAN wordt op een Sophos Firewall meestal als back-uplijn gebruikt. Op tijdelijke locaties kan mobiel internet ook de hoofdverbinding zijn, mits abonnement, ontvangst, latency en operationeel risico daarbij passen. Om 4G of 5G bij een storing daadwerkelijk te laten overnemen, moeten niet alleen SIM en APN kloppen: ook gatewaybewaking, SD-WAN-regels, firewallregels en de terugkeer naar de hoofdverbinding horen bij de test.

De betrouwbare volgorde is: hardware en abonnement controleren, WWAN1 instellen, de failoverlogica bepalen en daarna failover en failback met echt applicatieverkeer testen.

Vereisten en planning

Voor de configuratie zijn nodig:

• een 4G/5G-modem of Sophos-module die compatibel is met het firewallmodel en de SFOS-versie
• een actieve SIM met een passend abonnement, PIN en APN
• indien nodig een gebruikersnaam en wachtwoord van de provider
• informatie over datavolume, een openbaar IP-adres of CGNAT
• voldoende ontvangst en correct aangesloten antennes
• een lijst met diensten die via de back-uplijn beschikbaar moeten blijven
• een testvenster waarin de hoofdverbinding gecontroleerd mag uitvallen

Lange of slechte antennekabels kunnen het voordeel van een betere antennepositie tenietdoen.

Gebruik voor een oudere USB-modem de officiële USB-compatibiliteitsmatrix van SFOS 22 uitsluitend als historische naslag. De matrix dateert van 2024-08-19, is indicatief, wordt niet meer bijgewerkt en is geen goedkeuring voor een nieuwe aankoop. Noteer de exacte fabrikant, het model en de provider, plus de Default ID bij de eerste detectie en de Modem ID die de modemfunctie na de moduswissel toont. Likely is slechts een historische aanwijzing. Unlikely, een niet-vermeld apparaat of een afwijkende ID is niet gevalideerd. Not compatible betekent dat het apparaat moet worden afgewezen.

Keur een modem niet alleen op basis van het matrixlabel goed. Voor acceptatie tijdens bedrijf moet de firewall het apparaat detecteren, WWAN1 aanmaken, het verwachte IP-adres en de gateway verkrijgen, representatief verkeer verwerken en gecontroleerde failover en failback voltooien. Leg deze resultaten vast met de apparaatidentiteit en ID’s.

Voor de eigen Sophos-modules is de actuele toewijzing specifieker: de Sophos 5G module Gen.2 is gedocumenteerd voor XGS 118/118w, 128/128w en 138/138w; deze appliances vereisen minimaal SFOS 20 MR2. De Sophos 5G module Gen.1 staat vermeld voor XGS 116/116w, 126/126w en 136/136w. Controleer daarom vóór het uitschakelen en installeren zowel de module- als de firewallgeneratie. De door Sophos genoemde maxima tot 4,5 Gbps download en 660 Mbps upload beschrijven de radiomodule, niet een gegarandeerde end-to-end-doorvoer van de firewall, provider of één toepassing.

Een beperkt mobiel abonnement mag niet ongecontroleerd al het locatieverkeer overnemen. Een CGNAT-adres of een ander niet openbaar bereikbaar adres voorkomt inkomende verbindingen naar de firewall. Een site-to-site IPsec-tunnel kan het mobiele pad wel als initiator gebruiken; NAT-T is op Sophos Firewall altijd actief, maar peer, identiteiten en terugroute moeten passend zijn geconfigureerd.

Cellular WAN wordt in geen enkele Sophos Firewall HA-modus ondersteund en moet vóór de HA-configuratie op beide apparaten worden uitgeschakeld. Als HA en mobiele failover tegelijk vereist zijn, is een apart WAN-ontwerp nodig. Meer informatie staat in Sophos Firewall HA-clustervarianten en beheer.

Wijzig hardware en SIM alleen als de firewall is uitgeschakeld. De Sophos 5G-module is niet hot-swappable.

Cellular WAN instellen

Modem en SIM voorbereiden

Controleer vóór de firewallconfiguratie de SIM-status, PIN, APN en het providerprofiel. Voor zakelijke, consumenten- en IoT-abonnementen kunnen verschillende APN’s gelden. Sluit alle antennes aan en plaats ze zo dat er niet alleen netwerkontvangst, maar ook een stabiele verbinding is.

Interface controleren

Network > Cellular WAN
Network > Interfaces

Volg bij de eerste installatie van een Sophos 5G-module deze volgorde:

1. Schakel tijdens het afgesproken onderhoudsvenster de firewall uit, plaats de SIM van de provider in de SIM-sleuf van de module en plaats daarna de module in de firewall. Schakel pas dan de firewall weer in; uitschakelen onderbreekt ook de overige diensten.
2. Schakel Cellular WAN in onder Network > Cellular WAN en wacht op moduledetectie. Ontbreekt het menu, controleer dan de hieronder beschreven CLI-activering. Connected bevestigt de verbinding met de module, nog niet de internettoegang van een toepassing.
3. Klik onder Network > Interfaces op WWAN1. Open Show recommended configuration en selecteer Load recommended configuration. Voer daarna de bevestigde APN, indien nodig Username en Password, en de PIN van een met PIN beveiligde SIM in; klik op Save.
4. Selecteer bij een verbroken verbinding Connect onder Network > Cellular WAN. Controleer status, IP-adres en gateway en test een echte gegevensstroom voordat u de module voor failover gebruikt. Ontbreekt het verwachte adres of de gateway, controleer dan eerst SIM, APN en modemlogs.

De firewall maakt de interface WWAN1 automatisch in de WAN-zone aan; bestaande WAN-regels gelden daarom ook voor deze interface. Daarnaast wordt de dynamische host ##WWAN1 aangemaakt. De basis wordt uitgelegd in Sophos Firewall Zones en Interfaces configureren.

Voor 5G-modules is bij IP assignment alleen Network adapter (DHCP) beschikbaar. Dial-up (PPP) blijft uitgeschakeld. Verschijnt WWAN1 niet, controleer dan eerst de hardwaredetectie en de logs voordat APN of routing wordt gewijzigd.

Onder General settings kan de weergavenaam worden gewijzigd, maar niet de hardwarenaam. Afhankelijk van het modem toont de firewall ook Connect mode, Reconnect tries, Modem port, Phone number, Username, Password, SIM card PIN code en APN, plus optionele DHCP connect command en DHCP disconnect command en een Initialization string. Deze waarden komen van de provider of het goedgekeurde modemprofiel en worden niet uit voorbeelden overgenomen. Met Always bij Reconnect tries probeert de firewall zonder vaste limiet opnieuw verbinding te maken.

Voor MTU en MSS is Assignment type: Automatic de standaard. Gebruik Manual alleen tijdens een gecontroleerde fragmentatie- of TCP-test wanneer de automatisch van de provider verkregen waarden aantoonbaar niet werken. Test daarna echte toepassingen, Packet Capture en failover opnieuw; alleen een lagere MTU is geen bewijs van succes.

Veldwaarden veilig interpreteren

Name staat maximaal 58 tekens toe. Mobile-Backup is bijvoorbeeld een vrij gekozen weergavenaam; WWAN1 blijft de onveranderlijke naam onder Hardware. Subsystemen gebruiken de weergavenaam. Onder Gateway settings identificeert Gateway name de gateway en is Gateway IP het gatewayadres, niet het eigen interfaceadres. Adressen komen uit de configuratie of toewijzing van de provider, niet uit voorbeelden van anderen.

De APN identificeert het gewenste Packet Data Network (PDN) of mobiele netwerk. Initialization string bestuurt modemfuncties; de volgorde bepaalt hun prioriteit. Gebruik uitsluitend bevestigde provider-/modeminstellingen en leg bestaande waarden vóór wijzigingen vast. MTU en MSS worden in bytes uitgedrukt: MTU beschrijft de maximale pakketgrootte, MSS de TCP-payloadgrootte. Herstel na een mislukte handmatige test het eerdere Assignment type en de vastgelegde waarden, klik op Save en test toepassingen opnieuw.

XML-API: acties en apparaatinstellingen scheiden

De Cellular WAN-API-referenties voor SFOS 22 en 23 maken in het voorbeeld onderscheid tussen CellularWAN en CellularWANSettings: CellularWAN vermeldt voor Action de waarden Enable/Disable/Query/Set, koppelt SerialPort en ATCommand aan de query en DisconnectOnSystemDown met on/off aan het instellen van het afsluitgedrag. Query is daarom niet automatisch een ongevaarlijke statusquery: een AT-opdracht kan het modem wijzigen en moet voor het specifieke modem door de fabrikant of support zijn goedgekeurd. CellularWANSettings bevat daarentegen de apparaat- en verbindingsconfiguratie, zoals IP-toewijzing, Connect mode, pogingen om opnieuw verbinding te maken, modempoort, toegang tot de provider, APN, initialisatie- en DHCP-opdrachten, gateway, MTU en MSS. Deze parameters worden niet via een modemreset geconfigureerd. Neem provider- en modemafhankelijke waarden nog steeds uitsluitend over uit het bevestigde profiel en wijzig ze via de hierboven beschreven UI-/CLI-methoden; het referentievoorbeeld bewijst geen algemene standaardwaarden of ondersteuning tijdens bedrijf op het eigen apparaat.

Ook voor identiteit en toewijzing moet de referentie letterlijk worden gelezen: de opmerking in het voorbeeld noemt InterfaceName read-only, maar het element heet Name. Daaruit volgt niet dat het element moet worden hernoemd of dat de hardware-identiteit mag worden geschreven. ConnectionStatus beschrijft de waargenomen modemconnectiviteit met Connected/Disconnected; de opsomming bewijst niet dat het schrijven naar dit veld een verbinding tot stand brengt. Voor AssignmentType voor de MTU-/MSS-toewijzing toont het voorbeeld Automatic/Manual, terwijl de parametertabel Manual/Autometic vermeldt. Corrigeer deze tegenstrijdigheid tussen Automatic en Autometic niet stilzwijgend en leid er geen uitvoerbare API-waarde voor automatische toewijzing uit af. De hierboven beschreven UI-instelling blijft hiervan gescheiden; vóór API-automatisering moeten de tegenstrijdige ruwe waarden en de schrijfbaarheid voor de specifieke SFOS-versie worden opgehelderd.

Gateway en SD-WAN bepalen

Network > WAN link manager
Routing > SD-WAN profiles
Routing > SD-WAN routes

De algemene betekenis van Active, Backup, ANY/ALL, Failover rules en failback wordt uitgelegd in Sophos Firewall WAN-failover instellen en testen. Hier komen de bijzonderheden van het mobiele pad bij.

Klik voor eenvoudige internetfailover in de WAN link manager bij de WWAN-gateway op Edit en selecteer Type: Backup. Nieuwe gateways zijn standaard actief en zouden anders aan Load Balancing deelnemen. Stel onder Activate this gateway in of de back-uplink moet overnemen zodra een willekeurige actieve gateway (ANY) of pas alle actieve gateways (ALL) uitvallen. Manually activeert de gateway niet automatisch; daarvoor moet Type in de configuratie op Active worden gezet.

Onder Action on failback wordt bepaald wat er gebeurt zodra de hoofdverbinding terugkeert: bestaande sessies blijven tot de timeout via WWAN lopen en alleen nieuwe verbindingen gebruiken weer de hoofdverbinding, of alle verbindingen worden via de herstelde lijn opnieuw opgebouwd. De tweede optie kan actieve sessies onderbreken. Voor SD-WAN-routes geldt Serve all connections through restored gateway echter alleen als WAN link load balance als primaire gateway is geselecteerd. Is een actieve WAN-link de primaire SD-WAN-gateway, dan worden alleen nieuwe verbindingen via de herstelde gateway geleid; is een backup-WAN-link de primaire gateway, dan worden verbindingen opnieuw opgebouwd en blijven ze via die backup-link lopen.

Selectieve routes, SLA-controles of een verschillende behandeling van diensten worden met SD-WAN-profielen en -routes geconfigureerd. De configuratie staat uitgebreid beschreven in Een Sophos Firewall SD-WAN-route configureren.

Health Checks kunnen Ping of TCP gebruiken. Een SD-WAN-profiel ondersteunt maximaal twee Probe Targets; het tweede doel dient als uitwijkdoel als het eerste niet reageert. Geef tijdens failover prioriteit aan kritieke applicaties en beperk data-intensieve, niet-noodzakelijke diensten.

Voor een WWAN-gateway maakt Sophos naast de controle van het toegewezen gateway-IP automatisch een failoverregel naar 8.8.8.8 aan. Zo blijft de verbinding controleerbaar als de provider Ping naar het gatewayadres niet toestaat. Controleer wel of dit doel bij het eigen securitybeleid past.

Als antwoordpakketten of door de firewall gegenereerd verkeer een ander pad nemen, helpt SD-WAN Routing voor Reply Packets en System Traffic controleren.

Signaal en failover controleren

Cellular WAN via Device Console beheren

system cellular_wan toont niet alleen de status. Cellular WAN is standaard uitgeschakeld. De UI-instructies beschrijven inschakelen met een schakelaar, terwijl de CLI-referentie CLI-activering als voorwaarde voor het WebAdmin-menu en de overige opdrachten noemt. Dit bewijst niet dat iedere al ingeschakelde installatie een extra CLI-stap nodig heeft. Controleer de werkelijke toestand op de geïnstalleerde build. Ontbreekt het menu bij een geplande eerste configuratie, activeer de functie dan onder Option 4: Device Console en controleer deze daarna:

system cellular_wan enable
system cellular_wan show

disable schakelt de functie weer uit. Gebruik deze opdracht alleen wanneer WWAN1 geen actief verkeer draagt en geen noodzakelijke back-uproute vormt:

system cellular_wan disable

Sophos documenteert de volgende gecombineerde opdrachtsjabloon voor de modemstart en het gedrag tijdens het afsluiten:

system cellular_wan set modem-setup-delay <0-15> disconnect-on-systemdown [on|off]

Vervang de tijdelijke aanduidingen door echte waarden. modem-setup-delay is een wachttijd van 0 tot 15 seconden en staat standaard op 0. disconnect-on-systemdown staat standaard op off. Leg vóór een wijziging de actuele status vast met show. Een langere wachttijd of verbreken tijdens het afsluiten is geen algemene stabiliteitsoptimalisatie. Gebruik dit alleen voor aangetoond modem- of afsluitgedrag.

Voor diepere modemdiagnose zijn ook een query via de seriële poort en de QMI-schakelaar beschikbaar:

system cellular_wan query serialport <poortnummer> ATcommand <AT-opdracht>
system cellular_wan qmi-mode [enable|disable]

query stuurt een geldige modemspecifieke AT-opdracht rechtstreeks naar de geselecteerde poort. Een onjuiste opdracht kan registratie, radiomodus of verbinding wijzigen en hoort daarom alleen in een gedocumenteerd fabrikant- of Support-proces. De CLI-schakelaar qmi-mode geldt alleen voor Sierra-modems; QMI wordt bij niet-Sierra-modems al ondersteund. Schakel dit niet op goed geluk om. Controleer na elke wijziging show, de WebAdmin-status, modem- en netwerklogs en een echte gegevensstroom. Rollback herstelt de eerder vastgelegde waarden.

Signaalstatus via de CLI

Na de SSH-aanmelding toont de volgende opdracht onder Option 4: Device Console de configuratie en de status van SIM, verbinding en signaal:

system cellular_wan show

De opdracht bestond al eerder; vanaf SFOS 22.0 GA kan hiermee ook de signaalsterkte worden gecontroleerd. Sophos publiceert hiervoor geen algemeen geldende grenswaarden. Vergelijk de waarden daarom tijdens normaal bedrijf, na antennewijzigingen en tijdens een actieve failover. Sterk wisselende waarden wijzen in eerste instantie op het radiopad, de antenne, provider, module of SIM, maar sluiten gelijktijdige routingfouten niet uit.

⚠️ Sta SSH alleen toe vanuit vertrouwde beheernetwerken. Controleer vóór gebruik Via SSH verbinding maken met Sophos Firewall en de toegangsbeveiliging via Device Access en Local Service ACL.

Failover en failback testen

Zorg vóór de test voor een actuele configuratieback-up, documenteer het primaire en het back-uppad, informeer de betrokkenen en open Log Viewer en de monitoring. Activeer bij SD-WAN bovendien de lokale SD-WAN-logs onder System services > Log settings.

1. Controleer in de beginsituatie de hoofdgateway, WWAN-gateway, gebruikte SD-WAN-route en datatellers.
2. Genereer relevant testverkeer, bijvoorbeeld DNS, HTTPS, RDP, VPN en een belangrijke bedrijfsapplicatie.
3. Schakel de hoofdverbinding gecontroleerd uit of laat de Health Check doelgericht mislukken.
4. Controleer in de WAN link manager of onder Routing > SD-WAN routes of WWAN1 overneemt.
5. Controleer in Log Viewer de module SD-WAN en de toegepaste firewallregels.
6. Controleer onder Network > Cellular WAN Status, IP address, Gateway IP, Bytes uploaded, Bytes downloaded en Time duration.
7. Test DNS, HTTPS, RDP, VPN en de geselecteerde bedrijfsapplicaties opnieuw via WWAN1.
8. Herstel de hoofdverbinding en controleer de terugkeer. In de WAN link manager moet het ingestelde failbackgedrag optreden; bij SD-WAN hangt de terugkeer ook af van strategie en SLA.
9. Controleer tot slot gateway, verbindingen en applicaties opnieuw via het primaire pad.

Een geslaagde Ping bewijst alleen bereikbaarheid, niet dat de benodigde diensten werken. De Policy Tester houdt bovendien geen rekening met SD-WAN-routes en bewijst daarom niet welk pad wordt gebruikt. Voor firewallregels, logs en Packet Capture helpt desondanks Een firewallregel testen met Log Viewer, Policy Test en Packet Capture.

Fouten afbakenen

• Modem of WWAN1 ontbreekt: vergelijk eerst de fysieke fabrikant/het model en de gedetecteerde Default/Modem ID’s met de vastgelegde identiteit. Controleer daarna de voeding, USB-poort en -verbinding en firmware. modemd.log toont het plaatsen of verwijderen van WWAN-USB-apparaten, syslog.log USB-, modem- en PPP-gebeurtenissen en networkd.log de modemgerelateerde netwerkconfiguratie. Escaleer naar Sophos, de modemfabrikant of de provider met de identiteit, ID’s en relevante logfragmenten; vervang een afwijkend of als Not compatible aangeduid apparaat, of een apparaat dat de acceptatie tijdens bedrijf niet doorstaat.
• SIM maakt geen verbinding: controleer PIN, APN, providerprofiel, SIM-blokkering en ontvangst. Bevestig de APN bij de provider in plaats van deze te raden.
• Gateway is actief, maar er loopt geen verkeer: controleer de gebruikte gateway en SD-WAN-route, firewallregel, NAT, DNS en terugroute. dgd.log bevat gebeurtenissen over WAN-gateways en linkfailover; SD-WAN-Health Checks en routewijzigingen staan in de Log Viewer-module SD-WAN.
• Applicaties zijn instabiel: mobiel internet heeft vaak meer latency, pakketverlies en variatie. Test echte applicaties en meet zo nodig de doorvoer met iPerf tussen twee eindpunten. Controleer bij VPN- of fragmentatieproblemen ook MTU en MSS.
• VPN werkt alleen via de hoofdverbinding: bij CGNAT zijn inkomende verbindingen niet rechtstreeks mogelijk. Controleer of de mobiele kant de tunnel initieert, de peer dynamische adressen of passende identiteiten accepteert en de terugroute klopt.

De logbestanden en hun functies zijn beschreven in Sophos Firewall Service Logs correct toewijzen.

Modem opnieuw verbinden of herstarten in SFOS 23

Onder Network > Cellular WAN brengt Connect de modemverbinding tot stand. Reset herstart daarentegen het modem en verbindt het opnieuw met de firewall. Bestaande WWAN-interface-instellingen en afhankelijke configuraties blijven behouden; dit is geen herstel naar fabrieksinstellingen. Deze procedure is gedocumenteerd voor SFOS 23, niet als functie van SFOS 22.

Reset is alleen beschikbaar voor de 5G-modellen van Quectel en Sierra Wireless, niet voor andere modemmodellen of USB-dongles. Controleer het exacte model voordat u een herstelmethode kiest; alleen de fabrikantnaam of 5G-ondersteuning is niet voldoende.

⚠️ Een modemherstart onderbreekt de mobiele verbinding tijdelijk, ook al blijft de configuratie behouden. Zorg vooraf voor een onafhankelijk beheerpad. Als WWAN actief verkeer draagt of een noodzakelijke reserve is, plan dan een onderhoudsvenster. Het afsluiten van de firewall voor het hardwarealternatief hieronder onderbreekt ook de overige diensten van de firewall.

1. Leg het model, de huidige modemstatus, het IP-adres en de gateway en relevante modem- en netwerklogs vast. Documenteer de WWAN1-instellingen en afhankelijkheden zoals de gateway, SD-WAN-routes, firewallregels en NAT-regels, zodat ze achteraf kunnen worden vergeleken.
2. Ondersteund 5G-model op SFOS 23: Klik onder Network > Cellular WAN op Reset en controleer daarna of het modem opnieuw wordt gedetecteerd en verbinding maakt.
3. Model zonder Reset-ondersteuning: Gebruik uitsluitend een modemspecifieke AT-herstartprocedure die door de fabrikant of support is gedocumenteerd. De waarschuwing voor query serialport hierboven blijft gelden; raad geen AT-opdracht. Sluit als alternatief de firewall af en koppel het modem pas los en weer aan wanneer de firewall is uitgeschakeld. Schakel daarna de firewall in en controleer detectie en herverbinding. Koppel het modem nooit los terwijl de firewall draait: dit kan Cellular-WAN-verbindingsproblemen veroorzaken.
4. Controleer onder Network > Cellular WAN de status, het IP-adres en de gateway; vergelijk onder Network > Interfaces de behouden WWAN1-instellingen met de vastgelegde toestand. Controleer ook de afhankelijke configuraties en representatief applicatieverkeer. Voer, wanneer dit operationeel veilig is, de hierboven beschreven gecontroleerde failover- en failbacktest uit.

Voor het interpreteren van XML-API-antwoorden voegt de Cellular WAN-referentie voor SFOS 23 status 203 met Message.WWANResetSuccessfully toe voor een als geslaagd gemelde reset en 511 met Message.WWANResetFailed voor een als mislukt gemelde reset; beide koppelingen ontbreken in de SFOS 22-referentie. Dit zijn XML-API-statuswaarden, geen HTTP-statuscodes. De identifiers zijn letterlijke berichtsleutels uit de referentie, niet de geverifieerde tekst van een bericht tijdens bedrijf. Hieruit volgt geen Reset-request of extra Action-waarde: het ongewijzigde voorbeeld vermeldt Enable/Disable/Query/Set. Voer ook na gemeld succes de controles uit stap 4 uit: status, IP-adres, gateway en echt applicatieverkeer moeten kloppen. Leg bij een gemelde fout het daadwerkelijke antwoord en relevante logs vast en escaleer na de beschreven controles, in plaats van onbeperkt opnieuw te herstarten.

Blijft de verbinding uit, stuur dan actuele fragmenten uit modemd.log, syslog.log en networkd.log, samen met model, status en reeds uitgevoerde stappen, naar Sophos, de modemfabrikant of de provider in plaats van herhaaldelijk op goed geluk te herstarten.

Beheer

• Test failover en failback minimaal elk kwartaal en na relevante firmware- of routingwijzigingen.
• Bewaak gateway, SD-WAN-status, datavolume en kosten.
• Documenteer SIM, PIN, APN, abonnement, antennepositie en signaalvergelijking.
• Beperk niet-kritiek verkeer tijdens failover.
• Leg verantwoordelijken vast voor alarmering, providerstoringen, SIM-blokkering en terugkeer naar normaal bedrijf.
• Documenteer vervangende hardware en de supportroute.

FAQ