Een Sophos Firewall LAG met LACP configureren en testen

Een Link Aggregation Group (LAG) bundelt twee tot vier fysieke poorten tot één logische interface. Active-Backup biedt redundantie met één actieve link. 802.3ad (LACP) gebruikt meerdere links parallel en verhoogt de totale bandbreedte over meerdere verbindingen.

Een afzonderlijke TCP- of UDP-verbinding wordt door LACP normaal gesproken niet sneller: de hash houdt één flow op één member-link. Extra capaciteit ontstaat pas met meerdere verbindingen die verschillend worden gehasht.

Modus en migratie voorbereiden

Active-Backup of 802.3ad

Active-Backup is de eenvoudige redundantiemodus. Slechts één member verzendt verkeer; bij een storing neemt een andere het over. De switch heeft hiervoor geen LACP-port-channel nodig. Beide switchpoorten moeten echter dezelfde VLAN’s of dezelfde access-configuratie gebruiken, zich in hetzelfde Layer 2-netwerk bevinden en de MAC-verplaatsing tijdens failover accepteren.

802.3ad (LACP) gebruikt alle actieve links voor load balancing en failover. Hiervoor gelden de volgende vereisten:

• LACP is op de firewall en de switch ingeschakeld.
• Alle members hebben hetzelfde interfacetype, dezelfde snelheid en Full-Duplex.
• De switchpoorten behoren tot dezelfde logische LACP-peer en hetzelfde port-channel.
• Twee fysieke switches werken alleen als een stack, MLAG/MC-LAG of een vergelijkbare technologie ze als één gezamenlijk LACP-systeem presenteert.
• De VLAN-/trunkconfiguratie en MTU zijn op alle members consistent.

Voor alleen redundantie is Active-Backup meestal eenvoudiger. LACP is geschikt wanneer meerdere parallelle verbindingen daadwerkelijk meer totale bandbreedte nodig hebben.

Members controleren en terugval voorbereiden

Sophos Firewall staat twee tot vier ongebonden fysieke interfaces met statische IP-toewijzing als LAG-members toe. PPPoE-, Cellular WAN- en WLAN-interfaces zijn uitgesloten.

Bestaande uplinkpoorten worden bij het aanmaken niet automatisch gemigreerd. VLAN’s, Zone Binding, DNS, gateways, SD-WAN, Interface Hosts, Dynamic DNS, NAT en routing kunnen van de oude interface afhankelijk zijn. Voor de migratie:

1. Onder Object usage de afhankelijkheden met Refresh bijwerken en documenteren.
2. Een back-up, onderhoudsvenster en concreet terugvalplan voorbereiden.
3. Een onafhankelijke beheerderstoegang testen.
4. VLAN’s, switchtrunks, NAT-interfaces, routing en gateways voor de nieuwe LAG plannen.
5. Toekomstige members pas daarna gecontroleerd uit hun bestaande koppelingen halen.

Sophos Firewall-zones en interfaces plannen legt uit welke Zone de LAG moet krijgen. Het doorlopende voorbeeld in dit artikel is:

PortF2 + PortF4 → LAG0 → VLAN 10 Clients en VLAN 20 Servers

LAG in WebAdmin aanmaken

Maak de LAG in SFOS 22 als volgt aan:

1. Network > Interfaces openen.
2. Add interface > Add LAG selecteren.
3. Onder Name een duidelijke weergavenaam van maximaal 58 tekens invoeren, bijvoorbeeld LAG_Core_Uplink.
4. Een Hardware name met maximaal 10 tekens uit A-Z, a-z, 0-9 en een underscore instellen, bijvoorbeeld lag_core. Deze kan later niet worden gewijzigd en mag geen gereserveerde namen zoals all, gre, eth of WLAN bevatten.
5. Onder Member interface twee tot vier voorbereide poorten toevoegen, in het voorbeeld PortF2 en PortF4.
6. Als Bonding mode Active-Backup of 802.3ad kiezen.
7. De juiste Zone toewijzen.
8. IP assignment voor IPv4 en indien nodig IPv6 configureren.
9. Onder Advanced settings > Port settings Link mode, Auto-negotiation for media type en het modelafhankelijke Forward Error Correction (FEC) controleren. Met Show recommended settings en vervolgens Load recommended configuration worden de door de poort ondersteunde waarden toegepast.
10. Onder Advanced settings > Interface settings MTU en indien nodig Override MSS controleren. Bij 802.3ad ook de Xmit hash policy instellen.
11. Het standaard-MAC-adres van de eerste member gebruiken of dit alleen bij een duidelijke ontwerpvereiste overschrijven. Een fabrieksreset zet een overschreven adres terug naar het standaard-MAC-adres; het mag daarom niet de enige basis zijn voor externe port-security- of toegangslogica.
12. Save selecteren.

Daarna verschijnt de logische interface, bijvoorbeeld lag0, onder Network > Interfaces. VLAN’s worden vervolgens met de LAG als Parent aangemaakt. Een Sophos Firewall VLAN configureren en testen beschrijft de procedure voor VLAN ID, Zone, gateway, DHCP en acceptatietest.

⚠️ De probleembeschrijving die voor deze procedure is gecontroleerd, koppelt NC-94073 aan SFOS 19.0.0 GA-Build317 (19.0.0.317) [Tupai]; op het moment van de controle werd geen fixversie vermeld. Alleen XGS Appliance met een 10G-interface wordt als getroffen genoemd. Dit toont niet aan dat SFOS 22 is getroffen. Wijzig de instelling daarom niet preventief. Vertoont een XGS Appliance 10G-poort of -LAG met SFOS 22 dezelfde storing bij Auto-negotiation, leg dan eerst SFOS-build, vorige Link mode, Auto-negotiation en peerconfiguratie vast en zorg voor onafhankelijke toegang. Test in een onderhoudsvenster via WebAdmin de Sophos-workaround 10000 Mbps – Full-Duplex; de peer moet overeenkomen. De wijziging kan de link onderbreken. Controleer daarna linkstatus, bereikbaarheid en fouttellers. Helpt dit niet, herstel dan aan beide zijden de vastgelegde waarden en geef de gegevens door aan Sophos Support. Deze workaround is hier niet op XGS Appliance 10G lab-getest.

Gebruik Device Console niet als wijzigingsrecept

SFOS 22 biedt wijzigbare lag-interface-opties voor LACP rate, static mode, Xmit Hash Policy en link monitoring. Na aanmelding is de exacte context Main Menu > 4. Device Console. De toegestane bereiken zijn 0 tot 10000 milliseconden voor down-delay, monitor-interval en up-delay, en 0 tot 255 voor garp-count; het zijn geen aanbevelingen.

De openbare referentie geeft echter geen volledige alleen-lezen opdracht voor de huidige LAG-waarden, geen standaardwaarden en geen gedocumenteerde reset. Bovendien staat monitor-interval in de syntaxis, maar monitor-interface in de optietekst. Daarom bevat dit artikel bewust geen kopieerbare opdracht set network lag-interface: zonder betrouwbare vorige waarde en expliciet herstelpad is een wijziging aan een productie-uplink niet veilig reproduceerbaar.

Als Sophos Support zo’n wijziging voor een specifieke SFOS 22-build voorschrijft, stel dan eerst backup en onafhankelijk beheerpad veilig en leg LAG- en switchstatus, pakketverlies en alle door Support bevestigde vorige waarden vast. Controleer in Device Console met Tab en ? de build-specifieke syntaxis, wijzig alleen goedgekeurde waarden en test daarna link- en LACP-status, switchlogs, GARP/MAC Move, pakketverlies en uitval en herstel van elk member. Zet voor rollback expliciet de vastgelegde vorige waarden terug; ontbreken die, stop dan vóór de CLI-wijziging.

De juiste Xmit Hash Policy kiezen

De Xmit Hash Policy bepaalt bij 802.3ad via welke member Sophos Firewall uitgaand verkeer verzendt. Inkomend verkeer naar de firewall wordt door de switch met zijn eigen hash policy verdeeld. De algoritmen hoeven daarom niet identiek te zijn: elke zijde beslist onafhankelijk voor de eigen verzendrichting.

• Layer2: gebruikt het bron- en doel-MAC-adres. Bij weinig MAC-paren kan één member veel zwaarder worden belast.
• Layer2+3: houdt ook rekening met bron- en doel-IP-adressen en is vaak een goed uitgangspunt voor gemengd netwerkverkeer.
• Layer3+4: gebruikt daarnaast informatie uit de transportlaag. Meerdere verbindingen tussen dezelfde hosts kunnen hierdoor beter worden verdeeld. Bij gefragmenteerd verkeer kan poortinformatie echter ontbreken; fragmenten kunnen anders worden gehasht en Packet Reordering veroorzaken.

Geen enkele policy verdeelt één flow over alle links. De juiste keuze moet daarom worden gecontroleerd met echt verkeer en de member-tellers in beide richtingen, niet met een identieke hashnaam op de switch.

Switchzijde configureren

Bij Active-Backup worden de poorten niet samengevoegd tot een statisch of LACP-port-channel. Beide poorten krijgen dezelfde VLAN-/trunkconfiguratie en leiden naar hetzelfde Layer 2-netwerk. Controleer daarnaast of Spanning Tree, Port Security of MAC Move-instellingen de omschakeling onnodig vertragen of blokkeren.

Bij 802.3ad moeten de switchpoorten:

• in hetzelfde LACP-port-channel zitten,
• LACP actief gebruiken,
• wat betreft snelheid, duplex, VLAN’s en MTU overeenkomen met de firewall,
• bij twee switches tot één gezamenlijk logisch LACP-systeem behoren.

Alleen op de firewall een LAG aanmaken is niet voldoende. Als de switch de poorten afzonderlijk blijft behandelen of statische bonding in plaats van LACP gebruikt, kunnen pakketverlies, asymmetrisch gedrag of een slechts gedeeltelijk actieve LAG ontstaan.

LAG en failover testen

Voor de eerste storingstest de uitgangssituatie, member-status, LACP-status en interfacetellers op de firewall en de switch documenteren. Daarna:

1. Normaal bedrijf: gateway, interne doelen en benodigde diensten in beide richtingen testen.
2. Elke member afzonderlijk loskoppelen: bereikbaarheid, pakketverlies, bestaande sessies en omschakeltijd meten. Een failover verloopt niet automatisch volledig zonder onderbreking.
3. Member opnieuw aansluiten: op de firewall en de switch controleren of deze weer actief wordt opgenomen en de fouttellers stabiel blijven.
4. LACP met meerdere flows testen: meerdere verbindingen met verschillende bron-/doelcombinaties in beide richtingen genereren en de member-tellers vergelijken.
5. VLAN’s controleren: in het voorbeeld VLAN 10 en VLAN 20 afzonderlijk testen op gateway, toegestane doelen, geblokkeerde doelen, DHCP en DNS.

Voor Layer3+4 kan op een testclient buiten de firewall bijvoorbeeld iPerf3 met vier parallelle flows worden gebruikt in plaats van één verbinding, omdat hun poorten verschillen:

iperf3 -c 10.20.20.50 -P 4 -t 30
iperf3 -c 10.20.20.50 -P 4 -t 30 -R

Vervang 10.20.20.50 door het adres van de iPerf3-testserver. Bij Layer2 of Layer2+3 zijn meerdere bron-/doelhostparen of verschillende MAC- of IP-adressen nodig. De test veroorzaakt bewust belasting en hoort in een geschikt tijdsvenster. -R test de tegenovergestelde richting. Sophos Firewall-prestaties met iPerf3 testen beschrijft de volledige configuratie van de eindpunten.

Veelvoorkomende fouten

• Member verschijnt niet: de poort is nog gekoppeld, niet statisch geconfigureerd of behoort tot een uitgesloten interfacetype.
• LACP wordt niet actief: switch-port-channel, LACP-modus, member-toewijzing, snelheid/duplex, VLAN’s en MTU vergelijken.
• Twee switches, maar geen gezamenlijke LACP-peer: een stack of MLAG/MC-LAG ontbreekt. LACP tot één logische peer beperken of Active-Backup passend ontwerpen.
• XGS Appliance 10G-link blijft down met Auto-negotiation: controleer de versiespecifieke opmerking over NC-94073 hierboven, leg de vorige waarden vast en test de workaround alleen in een gecontroleerd onderhoudsvenster.
• De belasting ligt vrijwel volledig op één member: bij weinig flows kan dat correct zijn. Meerdere geschikte verbindingen testen en de tellers van beide verzendrichtingen vergelijken; de hash policy van de switch hoeft niet dezelfde naam te hebben.
• VLAN of internet valt na de migratie uit: VLAN Parent, Zone, netwerkobjecten, NAT inbound-/outbound-interfaces, routing en gateways controleren. Normale firewallregels matchen zones en netwerken, niet een fysieke memberpoort.
• Bij failover gaan pakketten of sessies verloren: de omschakeltijd meten en de switchinstellingen voor MAC Move, Spanning Tree en Port Security controleren.
• Hardware name is onjuist: de technische naam kan achteraf niet worden gewijzigd; als een naamswijziging nodig is, moet de LAG opnieuw worden aangemaakt.

Operationele checklist

• Active-Backup of 802.3ad gekozen op basis van het redundantie- en bandbreedtedoel
• twee tot vier ongebonden, statische fysieke members voorbereid
• Object Usage, back-up, terugvalpad en onafhankelijke beheerderstoegang gecontroleerd
• switchpoorten passend voor Active-Backup of LACP geconfigureerd
• Link mode, Auto-negotiation, FEC, MTU en MSS gecontroleerd
• Xmit Hash Policy alleen voor de verzendrichting van de firewall geïnterpreteerd
• uitval en herstel van elke member getest
• LACP met meerdere flows in beide richtingen en met member-tellers gecontroleerd
• VLAN Parents, Zone, NAT, routing en gateways na de migratie gevalideerd

FAQ