Een Custom Gateway op Sophos Firewall maken en testen

Een Custom Gateway beschrijft op Sophos Firewall een next hop op een bestaande interface. Het object is vooral nuttig voor MPLS-, RED-, GRE- en geadresseerde XFRM-paden, omdat het een eigen Health Check en zone kan krijgen en daarna in een SD-WAN-route kan worden gebruikt.

Kort antwoord

Een Custom Gateway wordt hier gemaakt:

Routing > Gateways > Add

Voor een MPLS-pad via Port4 worden bijvoorbeeld de volgende waarden ingevoerd:

Name: MPLS_Zurich_GW
Gateway IP: 192.0.2.2
Interface: Port4-192.0.2.1
Zone: MPLS
Health check: On
Monitoring condition: PING naar 10.20.0.10

Daarna moet de gateway in een passende SD-WAN-route worden geselecteerd en met de firewallregel, terugweg, Log viewer en echt verkeer worden getest. Een groen statuspictogram bevestigt alleen de Health Check, niet de werking van de volledige verbinding.

⚠️ Een Custom Gateway is geen extra fysieke WAN-gateway. Deze verschijnt niet onder Network > WAN link manager en neemt ook met de zone WAN niet deel aan WAN-loadbalancing.

Custom Gateway, route en interface onderscheiden

Voor een werkend pad vervullen verschillende objecten verschillende taken:

De interface verbindt de firewall met het transitnetwerk, bijvoorbeeld Port4, RED of XFRM.
De Gateway IP is de direct bereikbare volgende router op dit pad.
De Custom Gateway combineert Gateway IP, interface, zone en een optionele Health Check in één herbruikbaar object.
De SD-WAN-route bepaalt welk verkeer deze gateway gebruikt.
De firewallregel staat de geplande zones, netwerken en services toe.
De andere kant heeft een passende terugweg nodig.

Een normale statische route kan de Gateway IP rechtstreeks bevatten en heeft daarvoor geen apart gatewayobject nodig. Een Custom Gateway wordt nuttig als SFOS het pad moet bewaken, in een SD-WAN-route moet selecteren of via een gatewayzone beveiligingstechnisch moet indelen.

Fysieke WAN-gateways worden daarentegen automatisch gemaakt bij het configureren van een WAN-interface en als Active of Backup beheerd in de WAN link manager. Deze scheiding voorkomt dat een intern MPLS- of tunnelpad per ongeluk als internetverbinding wordt behandeld.

De voorbeeldtopologie plannen

Het doorlopende voorbeeld verbindt een clientnetwerk via een MPLS-router met een extern servernetwerk:

Lokaal clientnetwerk: 10.10.0.0/24
Testclient: 10.10.0.10
Firewallinterface: Port4 met 192.0.2.1/30
MPLS-router: 192.0.2.2
Extern netwerk: 10.20.0.0/24
Stabiele monitoring- en testhost: 10.20.0.10
Testservice: TCP 443
Eigen zone: MPLS van type LAN

192.0.2.0/24 is een documentatienetwerk en wordt niet in productie gebruikt. Voor de eigen omgeving worden het interface-IP en de Gateway IP samen vervangen door het werkelijke transitnetwerk. Het externe netwerk en de monitoringhost moeten zich daadwerkelijk achter deze gateway bevinden. De zone MPLS wordt vooraf gemaakt onder Network > Zones en beveiligd volgens het vertrouwensniveau van het pad; zones en interfaces op Sophos Firewall legt de basis uit.

Voor de wijziging worden de bestaande route, firewallregels, NAT-verwachting en terugweg vastgelegd. Voor een wijziging op afstand zijn ook een configuratieback-up, een onderhoudsvenster en een onafhankelijke beheertoegang nodig.

De Custom Gateway maken

De basiswaarden van de gateway invoeren

Open Routing > Gateways.
Klik onder IPv4 op Add.
Voer MPLS_Zurich_GW in als Name. De naam is vrij te kiezen, maar moet de locatie en het pad herkenbaar maken.
Voer 192.0.2.2 in als Gateway IP. Dit is de direct bereikbare MPLS-router, niet het externe doelnetwerk.
Selecteer Port4-192.0.2.1 als Interface. De Gateway IP en interface moeten bij hetzelfde bereikbare transitpad horen.
Selecteer MPLS als Zone.

Sophos Firewall geeft de gatewayzone voorrang boven de interfacezone. Deze wordt echter alleen op verkeer toegepast als de gateway in een passende SD-WAN policy route is geselecteerd. Bij alleen een statische route moet de zonewerking daarom afzonderlijk worden getest. De zone VPN kan niet aan een Custom Gateway worden toegewezen.

De gatewayzone geldt niet voor SD-WAN policy routes die uit SFOS 18.0 MR1 of ouder zijn gemigreerd. In dat geval bewijst alleen een zichtbaar zoneveld niet dat een bestaande regel correct is. Test eerst de route, de zonematch en het echte verkeer in een onderhoudsvenster.

Een Health Check kiezen die het pad vertegenwoordigt

Health check staat standaard uit. Voor een bewaakt MPLS-, RED- of XFRM-pad wordt deze ingeschakeld, waarbij eerst de gedocumenteerde standaardwaarden worden gebruikt:

Interval: 60 seconden
Time-out: 2 seconden
Retries: 3
Protocol: PING
IP address: 10.20.0.10

De monitoringhost bevindt zich bewust achter de gateway. Als alleen de direct aangrenzende Gateway IP wordt getest, kan de router antwoorden terwijl het achterliggende MPLS- of tunnelpad is onderbroken. Voor Custom Gateways op route-based VPN, RED en MPLS noemt Sophos uitdrukkelijk een host achter de gateway als testdoel.

Als alternatief kan TCP met een specifieke poort worden gebruikt. Dat is zinvol als niet alleen IP-bereikbaarheid, maar ook een stabiel antwoordende service moet worden getest. Een TCP-test op poort 443 markeert de gateway echter als niet beschikbaar als de webservice uitvalt, ook wanneer de routing nog werkt. Het testdoel en protocol moeten daarom het bedoelde failoversignaal vertegenwoordigen.

Bij meerdere Monitoring Conditions geldt:

AND: Aan alle voorwaarden moet zijn voldaan. Dit is strikt, maar één onbereikbaar doel kan een onnodige omschakeling veroorzaken.
OR: SFOS controleert de voorwaarden van boven naar beneden totdat er één slaagt. Dit vermindert valse alarmen, maar kan een gedeeltelijke storing verbergen.

Interval, Time-out en Retries worden niet zonder meetgegevens verkort. Eerst worden de normale latentie en kortdurend pakketverlies op het werkelijke pad gemeten. Te agressieve waarden kunnen de status tussen actief en inactief laten flapperen.

Na het opslaan geeft Routing > Gateways met een statuspictogram aan of de Health Check de gateway als actief of inactief beoordeelt.

De gateway in het routingontwerp gebruiken

Een SD-WAN-route voor het voorbeeldverkeer maken

Een gatewayobject stuurt op zichzelf nog geen verkeer door. Voor het voorbeeld wordt een SD-WAN-route gemaakt:

Open Routing > SD-WAN routes > IPv4 > Add.
Voer Clients_to_Branch_MPLS in als Name.
Selecteer de interne interface als Incoming interface.
Stel Source networks in op 10.10.0.0/24.
Stel Destination networks in op 10.20.0.0/24.
Selecteer onder Services eerst alleen HTTPS, ofwel TCP 443.
Gebruik onder Link selection settings de optie Primary and backup gateways.
Selecteer MPLS_Zurich_GW als Primary gateway.
Voer alleen een echt back-uppad in als dit volledig is geconfigureerd en getest.
Stel Route only through specified gateways bewust in: als deze optie is ingeschakeld, verwerpt SFOS het verkeer wanneer geen van de opgegeven paden beschikbaar is; als de optie is uitgeschakeld, kan een andere SD-WAN-route of de standaardroute het overnemen.
Sla de route op en controleer de positie. De eerste passende SD-WAN-route wint.

De netwerken en de service zijn omgevingsspecifieke waarden. Een brede route met Any als bron, doel en service kan veel meer verkeer matchen dan gepland. Voor de eerste test blijft de match daarom beperkt en wordt deze pas na een geslaagde validatie bewust uitgebreid.

De firewallregel en terugweg toevoegen

Voor de doorgestuurde stroom wordt een gelogde regel gemaakt van de bronzone van het clientnetwerk naar de gatewayzone MPLS. Bron, doel en service komen overeen met de SD-WAN-route:

Source zone: LAN
Source network: 10.10.0.0/24
Destination zone: MPLS
Destination network: 10.20.0.0/24
Services: HTTPS
Log firewall traffic: ingeschakeld

De gatewayzone vervangt geen firewallregel. Omgekeerd dwingt een regel alleen het MPLS-pad niet af. Beide moeten bij de SD-WAN-route passen. Sophos Firewall-regels maken en veilig testen beschrijft het algemene regelontwerp.

De router achter het externe netwerk heeft een terugweg naar 10.10.0.0/24 nodig. Bij normale site-routing blijft het oorspronkelijke client-IP meestal behouden. Een brede MASQ-regel zou dit verbergen en kan de terugweg ogenschijnlijk herstellen, maar het routingontwerp verslechteren.

XFRM, GRE en andere tunnelpaden onderscheiden

Bij route-based IPsec met Any-to-Any krijgt de XFRM-interface een transfer-IP. Een Custom Gateway gebruikt dan het XFRM-IP van de peer als Gateway IP, de lokale XFRM als Interface en een stabiele host in het externe netwerk als Monitoring Target. De volledige tunnelconfiguratie blijft beschreven in Een site-to-site IPsec VPN instellen.

Route-based IPsec met specifieke traffic selectors werkt anders: SFOS maakt de route automatisch en de XFRM krijgt geen eigen IP en geen handmatige route. Pas een Any-to-Any-gatewayrecept niet zonder controle op deze variant toe.

Ook een GRE-pad begint niet met het gatewayobject. Eerst worden de externe eindpunten, tunnel-IP’s en GRE-werking gevalideerd volgens Een GRE-tunnel op Sophos Firewall configureren en testen. Als het providerontwerp daarna een SD-WAN-selectie vereist, gebruikt de Custom Gateway het tunnel-IP van de peer als Gateway IP. Zone, Health Check en regelmatch moeten bij het concrete ontwerp passen; de zone VPN blijft voor Custom Gateways niet selecteerbaar.

De gateway en het verkeer valideren

Status en gebruik controleren

Onder Routing > Gateways moet MPLS_Zurich_GW als actief verschijnen.
Vernieuw Object usage en controleer of de verwachte SD-WAN-route de gateway gebruikt.
Controleer de matchcriteria, positie en gateway in de SD-WAN-route opnieuw.
Controleer in Log viewer de module SD-WAN op gateway-, Health Check- en route-events.
Gebruik voor diepere diagnose dgd.log als logbestand voor Dead Gateway Detection; Sophos Firewall-services en logbestanden geeft de context.

De actieve gatewaystatus bewijst alleen dat de monitoringhost onder de gekozen voorwaarde antwoordt. Object Usage bewijst alleen de configuratiereferentie. Alleen de volgende praktijktest bevestigt het datapad.

Een echte verkeersstroom testen

Start vanaf testclient 10.10.0.10 een nieuwe HTTPS-verbinding naar 10.20.0.10.
Controleer in Log viewer de bron, het doel, de service, Firewall Rule ID, een eventuele NAT Rule ID en de gebruikte gateway.
Controleer de Traffic Count van de SD-WAN-route.
Gebruik onder Diagnostics > Packet capture een beperkt BPF-filter:
```
host 10.20.0.10 and tcp port 443
```
Controleer of verzoeken via Port4 vertrekken en antwoorden via hetzelfde geplande pad terugkomen.
Controleer op het doelsysteem het werkelijke bron-IP en de terugweg.

De Policy tester houdt geen rekening met SD-WAN-routes. Deze kan een match van een firewallregel testen, maar niet de werkelijk gebruikte gateway. Een Sophos Firewall-regel testen met Log Viewer en Packet Capture behandelt de gecombineerde validatie.

Voer een failovertest alleen uit met een afzonderlijk gevalideerd back-uppad, in een onderhoudsvenster en met een onafhankelijke beheertoegang. Verwijder de gebruikte productiegateway niet als testmethode. Controleer na de gecontroleerde padstoring opnieuw een nieuwe verbinding, gatewaystatus, openbaar of privé bron-IP, terugweg en failback. Ga niet uit van een onderbrekingsvrije overgang.

Problemen systematisch afbakenen

De gateway blijft inactief

Gateway IP en interface moeten hetzelfde direct bereikbare transitpad beschrijven.
De monitoringhost moet zich werkelijk achter de gateway bevinden en betrouwbaar antwoorden.
Controleer bij PING of ICMP op het volledige pad is toegestaan.
Controleer bij TCP de juiste poort en een daadwerkelijk actieve service.
Gebruik Packet Capture om te controleren of de probe en het antwoord de verwachte interface gebruiken.
Wijzig Interval, Time-out en Retries pas nadat het pad is gecontroleerd.

De gateway is actief, maar het applicatieverkeer werkt niet

De SD-WAN-route kan ontbreken, te laag staan of andere bron-, doel- of servicewaarden matchen.
De Source zone en gatewayzone van de firewallregel moeten bij de werkelijke stroom passen.
Controleer Route Precedence, NAT en de terugweg afzonderlijk.
De monitoringhost kan bereikbaar zijn terwijl een andere doelhost of service uitvalt.
Een actieve XFRM-gateway bewijst niet automatisch dat de IPsec-SA, firewallregel en externe route correct zijn.

De gatewayzone lijkt te worden genegeerd

Controleer of de gateway werkelijk in de passende SD-WAN policy route is geselecteerd.
Controleer bij alleen een statische route de interfacezone en de firewallregel die werkelijk matcht.
De gatewayzone geldt niet voor een SD-WAN-route die uit SFOS 18.0 MR1 of ouder is gemigreerd. Verberg het pad niet met een brede regel, maar moderniseer de route en het zonemodel gecontroleerd.
De zone VPN kan niet voor een Custom Gateway worden geselecteerd. Een XFRM-interface blijft toch een VPN-interface en vereist een bewust regel- en routingontwerp.

De status wisselt onnodig tussen actief en inactief

Controleer het Probe Target op werkelijke beschikbaarheid en rate limits.
Meet normale latentie en pakketverlies voordat waarden worden gewijzigd.
Met AND kan één doel de volledige gateway inactief maken.
Met OR kan een bereikbaar alternatief doel een gedeeltelijke storing verbergen.
Gebruik kortere intervallen of Time-outs niet als algemene stabiliteitsoplossing.

Veilig terugrollen en de gateway beheren

Leg voor de rollback Object Usage, de oorspronkelijke route en de oorspronkelijke firewallregels vast. Daarna:

Schakel de nieuwe SD-WAN-route uit of herstel het vorige pad.
Controleer met een nieuwe clientverbinding of het oorspronkelijke pad weer werkt.
Verwijder firewall- of NAT-regels die alleen voor de test zijn gemaakt zodra er geen afhankelijkheid meer bestaat.
Vernieuw Object Usage.
Verwijder de Custom Gateway pas wanneer geen route of profiel deze meer gebruikt.

Documenteer voor het beheer de eigenaar, Gateway IP, interface, zone, Probe Targets, protocol, Interval, Time-out, Retries, routes die de gateway gebruiken en de laatste failovertest. Test na wijzigingen aan MPLS, RED, XFRM, zones, SD-WAN of de monitoringhost zowel de status als het echte verkeer opnieuw.

FAQ

Waarom verschijnt mijn Custom Gateway niet in de WAN link manager?

Dit is de verwachte werking. De WAN link manager beheert automatisch gemaakte gateways voor fysieke WAN-interfaces. Custom Gateways uit Routing > Gateways horen bij het routingontwerp en verschijnen daar niet, ook niet met de zone WAN.

Kan een Custom Gateway deelnemen aan WAN-loadbalancing?

Nee. Sophos ondersteunt deze loadbalancing alleen via gateways van fysieke WAN-interfaces. Meerdere Custom Gateways worden in plaats daarvan bewust geselecteerd via SD-WAN-routes of SD-WAN-profielen.

Moet de Health Check de Gateway IP of een externe host testen?

Voor route-based VPN, RED en MPLS moet het testdoel zich achter de gateway bevinden. Zo wordt het relevante achterliggende pad getest en niet alleen de direct aangrenzende router. Het doel moet betrouwbaar antwoorden en het bedoelde failoversignaal vertegenwoordigen.