Naar de inhoud
Avanet

Een Sophos Firewall LAG met LACP configureren en testen

Sophos Firewall

Een Link Aggregation Group (LAG) bundelt twee tot vier fysieke poorten tot één logische interface. Active-Backup biedt redundantie met één actieve link. 802.3ad (LACP) gebruikt meerdere links parallel en verhoogt de totale bandbreedte over meerdere verbindingen.

Een afzonderlijke TCP- of UDP-verbinding wordt door LACP normaal gesproken niet sneller: de hash houdt één flow op één member-link. Extra capaciteit ontstaat pas met meerdere verbindingen die verschillend worden gehasht.

Modus en migratie voorbereiden

Active-Backup of 802.3ad

Active-Backup is de eenvoudige redundantiemodus. Slechts één member verzendt verkeer; bij een storing neemt een andere het over. De switch heeft hiervoor geen LACP-port-channel nodig. Beide switchpoorten moeten echter dezelfde VLAN’s of dezelfde access-configuratie gebruiken, zich in hetzelfde Layer 2-netwerk bevinden en de MAC-verplaatsing tijdens failover accepteren.

802.3ad (LACP) gebruikt alle actieve links voor load balancing en failover. Hiervoor gelden de volgende vereisten:

  • LACP is op de firewall en de switch ingeschakeld.
  • Alle members hebben hetzelfde interfacetype, dezelfde snelheid en Full-Duplex.
  • De switchpoorten behoren tot dezelfde logische LACP-peer en hetzelfde port-channel.
  • Twee fysieke switches werken alleen als een stack, MLAG/MC-LAG of een vergelijkbare technologie ze als één gezamenlijk LACP-systeem presenteert.
  • De VLAN-/trunkconfiguratie en MTU zijn op alle members consistent.

Voor alleen redundantie is Active-Backup meestal eenvoudiger. LACP is geschikt wanneer meerdere parallelle verbindingen daadwerkelijk meer totale bandbreedte nodig hebben.

Members controleren en terugval voorbereiden

Sophos Firewall staat twee tot vier ongebonden fysieke interfaces met statische IP-toewijzing als LAG-members toe. PPPoE-, Cellular WAN- en WLAN-interfaces zijn uitgesloten.

Bestaande uplinkpoorten worden bij het aanmaken niet automatisch gemigreerd. VLAN’s, Zone Binding, DNS, gateways, SD-WAN, Interface Hosts, Dynamic DNS, NAT en routing kunnen van de oude interface afhankelijk zijn. Voor de migratie:

  1. Onder Object usage de afhankelijkheden met Refresh bijwerken en documenteren.
  2. Een back-up, onderhoudsvenster en concreet terugvalplan voorbereiden.
  3. Een onafhankelijke beheerderstoegang testen.
  4. VLAN’s, switchtrunks, NAT-interfaces, routing en gateways voor de nieuwe LAG plannen.
  5. Toekomstige members pas daarna gecontroleerd uit hun bestaande koppelingen halen.

Sophos Firewall-zones en interfaces plannen legt uit welke Zone de LAG moet krijgen. Het doorlopende voorbeeld in dit artikel is:

PortF2 + PortF4 → LAG0 → VLAN 10 Clients en VLAN 20 Servers

LAG in WebAdmin aanmaken

  1. Network > Interfaces openen.
  2. Add interface > Add LAG selecteren.
  3. Onder Name een duidelijke weergavenaam van maximaal 58 tekens invoeren, bijvoorbeeld LAG_Core_Uplink.
  4. Een Hardware name met maximaal 10 tekens uit A-Z, a-z, 0-9 en een underscore instellen, bijvoorbeeld lag_core. Deze kan later niet worden gewijzigd en mag geen gereserveerde namen zoals all, gre, eth of WLAN bevatten.
  5. Onder Member interface twee tot vier voorbereide poorten toevoegen, in het voorbeeld PortF2 en PortF4.
  6. Als Bonding mode Active-Backup of 802.3ad kiezen.
  7. Bij 802.3ad de Xmit Hash Policy instellen.
  8. De juiste Zone toewijzen.
  9. IP assignment voor IPv4 en indien nodig IPv6 configureren.
  10. Onder de geavanceerde instellingen Link mode, Auto-negotiation for media type, afhankelijk van het model FEC, MTU en indien nodig Override MSS controleren. Show recommended settings of Load recommended configuration helpt om de door de poort ondersteunde waarden toe te passen.
  11. Het standaard-MAC-adres van de eerste member gebruiken of dit alleen bij een duidelijke ontwerpvereiste overschrijven.
  12. Save selecteren.

Daarna verschijnt de logische interface, bijvoorbeeld lag0, onder Network > Interfaces. VLAN’s worden vervolgens met de LAG als Parent aangemaakt. Een Sophos Firewall VLAN configureren en testen beschrijft de procedure voor VLAN ID, Zone, gateway, DHCP en acceptatietest.

⚠️ De actuele Sophos Known Issues List vermeldt NC-94073 nog altijd zonder fixversie: op XGS-hardware met 10G-interfaces kan de link met Auto-negotiation uitvallen, zowel als fysieke interface als in een LAG. In dit geval de betreffende poort of LAG handmatig op 10000 Mbps – Full-Duplex instellen en de link opnieuw controleren. Deze workaround is officieel gedocumenteerd, maar is voor dit artikel niet in een XGS 10G-lab uitgevoerd.

De juiste Xmit Hash Policy kiezen

De Xmit Hash Policy bepaalt bij 802.3ad via welke member Sophos Firewall uitgaand verkeer verzendt. Inkomend verkeer naar de firewall wordt door de switch met zijn eigen hash policy verdeeld. De algoritmen hoeven daarom niet identiek te zijn: elke zijde beslist onafhankelijk voor de eigen verzendrichting.

  • Layer2: gebruikt het bron- en doel-MAC-adres. Bij weinig MAC-paren kan één member veel zwaarder worden belast.
  • Layer2+3: houdt ook rekening met bron- en doel-IP-adressen en is vaak een goed uitgangspunt voor gemengd netwerkverkeer.
  • Layer3+4: gebruikt daarnaast informatie uit de transportlaag. Meerdere verbindingen tussen dezelfde hosts kunnen hierdoor beter worden verdeeld. Bij gefragmenteerd verkeer kan poortinformatie echter ontbreken; fragmenten kunnen anders worden gehasht en Packet Reordering veroorzaken.

Geen enkele policy verdeelt één flow over alle links. De juiste keuze moet daarom worden gecontroleerd met echt verkeer en de member-tellers in beide richtingen, niet met een identieke hashnaam op de switch.

Switchzijde configureren

Bij Active-Backup worden de poorten niet samengevoegd tot een statisch of LACP-port-channel. Beide poorten krijgen dezelfde VLAN-/trunkconfiguratie en leiden naar hetzelfde Layer 2-netwerk. Controleer daarnaast of Spanning Tree, Port Security of MAC Move-instellingen de omschakeling onnodig vertragen of blokkeren.

Bij 802.3ad moeten de switchpoorten:

  • in hetzelfde LACP-port-channel zitten,
  • LACP actief gebruiken,
  • wat betreft snelheid, duplex, VLAN’s en MTU overeenkomen met de firewall,
  • bij twee switches tot één gezamenlijk logisch LACP-systeem behoren.

Alleen op de firewall een LAG aanmaken is niet voldoende. Als de switch de poorten afzonderlijk blijft behandelen of statische bonding in plaats van LACP gebruikt, kunnen pakketverlies, asymmetrisch gedrag of een slechts gedeeltelijk actieve LAG ontstaan.

LAG en failover testen

Voor de eerste storingstest de uitgangssituatie, member-status, LACP-status en interfacetellers op de firewall en de switch documenteren. Daarna:

  1. Normaal bedrijf: gateway, interne doelen en benodigde diensten in beide richtingen testen.
  2. Elke member afzonderlijk loskoppelen: bereikbaarheid, pakketverlies, bestaande sessies en omschakeltijd meten. Een failover verloopt niet automatisch volledig zonder onderbreking.
  3. Member opnieuw aansluiten: op de firewall en de switch controleren of deze weer actief wordt opgenomen en de fouttellers stabiel blijven.
  4. LACP met meerdere flows testen: meerdere verbindingen met verschillende bron-/doelcombinaties in beide richtingen genereren en de member-tellers vergelijken.
  5. VLAN’s controleren: in het voorbeeld VLAN 10 en VLAN 20 afzonderlijk testen op gateway, toegestane doelen, geblokkeerde doelen, DHCP en DNS.

Voor Layer3+4 kan op een testclient buiten de firewall bijvoorbeeld iPerf3 met vier parallelle flows worden gebruikt in plaats van één verbinding, omdat hun poorten verschillen:

iperf3 -c 10.20.20.50 -P 4 -t 30
iperf3 -c 10.20.20.50 -P 4 -t 30 -R

Vervang 10.20.20.50 door het adres van de iPerf3-testserver. Bij Layer2 of Layer2+3 zijn meerdere bron-/doelhostparen of verschillende MAC- of IP-adressen nodig. De test veroorzaakt bewust belasting en hoort in een geschikt tijdsvenster. -R test de tegenovergestelde richting. Sophos Firewall-prestaties met iPerf3 testen beschrijft de volledige configuratie van de eindpunten.

Sophos Firewall LAG0 met VLAN-interfaces en één verbonden en één losgekoppelde fysieke memberpoort
Het overzicht toont LAG0 als Connected terwijl één memberpoort Unplugged is. Bereikbaarheid en daadwerkelijke failover moeten ook met testverkeer worden gecontroleerd.

Veelvoorkomende fouten

  • Member verschijnt niet: de poort is nog gekoppeld, niet statisch geconfigureerd of behoort tot een uitgesloten interfacetype.
  • LACP wordt niet actief: switch-port-channel, LACP-modus, member-toewijzing, snelheid/duplex, VLAN’s en MTU vergelijken.
  • Twee switches, maar geen gezamenlijke LACP-peer: een stack of MLAG/MC-LAG ontbreekt. LACP tot één logische peer beperken of Active-Backup passend ontwerpen.
  • XGS 10G-link blijft down met Auto-negotiation: volgens NC-94073 handmatig 10000 Mbps – Full-Duplex instellen.
  • De belasting ligt vrijwel volledig op één member: bij weinig flows kan dat correct zijn. Meerdere geschikte verbindingen testen en de tellers van beide verzendrichtingen vergelijken; de hash policy van de switch hoeft niet dezelfde naam te hebben.
  • VLAN of internet valt na de migratie uit: VLAN Parent, Zone, netwerkobjecten, NAT inbound-/outbound-interfaces, routing en gateways controleren. Normale firewallregels matchen zones en netwerken, niet een fysieke memberpoort.
  • Bij failover gaan pakketten of sessies verloren: de omschakeltijd meten en de switchinstellingen voor MAC Move, Spanning Tree en Port Security controleren.
  • Hardware name is onjuist: de technische naam kan achteraf niet worden gewijzigd; als een naamswijziging nodig is, moet de LAG opnieuw worden aangemaakt.

Operationele checklist

  • Active-Backup of 802.3ad gekozen op basis van het redundantie- en bandbreedtedoel
  • twee tot vier ongebonden, statische fysieke members voorbereid
  • Object Usage, back-up, terugvalpad en onafhankelijke beheerderstoegang gecontroleerd
  • switchpoorten passend voor Active-Backup of LACP geconfigureerd
  • Link mode, Auto-negotiation, FEC, MTU en MSS gecontroleerd
  • Xmit Hash Policy alleen voor de verzendrichting van de firewall geïnterpreteerd
  • uitval en herstel van elke member getest
  • LACP met meerdere flows in beide richtingen en met member-tellers gecontroleerd
  • VLAN Parents, Zone, NAT, routing en gateways na de migratie gevalideerd

FAQ

Hoeveel interfaces kan een LAG op Sophos Firewall bundelen?

Een LAG bestaat uit twee tot vier ongebonden fysieke interfaces.

Welke interfacetypen kunnen niet als LAG-member worden gebruikt?

PPPoE-, Cellular WAN- en WLAN-interfaces zijn uitgesloten. De members moeten ongebonden fysieke interfaces met statische IP-toewijzing zijn.

Wat is het verschil tussen Active-Backup en 802.3ad?

Bij Active-Backup verzendt steeds één link het verkeer en neemt een andere het bij een storing over. Bij 802.3ad werken meerdere links parallel; daarvoor moet LACP ook op de switch zijn geconfigureerd.

Moet de switch speciaal voor een LAG worden geconfigureerd?

Bij 802.3ad moeten de poorten in een LACP-port-channel zitten. Bij Active-Backup worden ze niet gebundeld, maar hebben ze dezelfde VLAN-/access-configuratie en hetzelfde Layer 2-netwerk nodig.

Wordt één verbinding sneller door LACP?

Normaal gesproken niet. Eén flow blijft op één member-link. Meer totale bandbreedte ontstaat door meerdere parallelle verbindingen die over verschillende members worden gehasht.