Sophos Firewall Multicast met een statische route configureren en testen

Een statische Multicast-route stuurt de datastroom van een bekende afzender naar een vaste Multicast-groep via geselecteerde interfaces. Dit is bijvoorbeeld geschikt voor een video-, audio- of telemetriestream waarvan de Source, groep en Receiver-netwerken permanent vaststaan.

Deze procedure behandelt statische IPv4-Multicast Routing. IPv6-Multicast valt buiten het bereik van deze handleiding.

De korte procedure is als volgt:

1. Source-IP, Multicast-groep, UDP-poort en inkomende en uitgaande interface documenteren.
2. Onder Routing > Static routes Enable multicast forwarding activeren.
3. Onder Manage multicast route > Add de Source, groep en interfaces invoeren.
4. Een echte Receiver op de groep laten abonneren en de stream starten.
5. Route, inkomend verkeer en uitgaand verkeer controleren met mroute show en Packet Capture.

⚠️ Enable multicast forwarding is een globale instelling. Inventariseer bestaande PIM-SM-configuraties, statische Multicast-routes en afhankelijke streams voordat u deze activeert. Controleer de wijziging eerst met een beperkte teststream; draai haar bij onverwacht gedrag terug voordat u meer Destination Interfaces toevoegt.

Multicast, IGMP en de statische route begrijpen

Bij Unicast verzendt een host gegevens naar één doeladres. Bij Multicast verzendt de Source één keer naar een groepsadres; meerdere Receivers kunnen zich op dezelfde datastroom abonneren. De firewall kopieert de stream niet naar willekeurige netwerken, maar alleen naar de Destination Interfaces die in de Multicast-route zijn opgenomen.

In het voorbeeld wordt de vaste combinatie van afzender 10.10.10.20 en groep 239.10.10.10 gebruikt. Deze combinatie wordt vaak aangeduid als Source en Group, kortweg (S,G). Als de toepassing haar Source-IP of groep wijzigt, komt de route niet meer overeen.

IGMP meldt in het lokale IPv4-segment dat een Receiver zich bij een Multicast-groep wil aansluiten of deze wil verlaten. Een switch met IGMP Snooping kan de stream daardoor alleen doorsturen naar poorten met geïnteresseerde ontvangers. De statische Sophos-route leert hierdoor echter geen nieuwe Destination Interfaces: Port3 blijft vast geconfigureerd, ook als daar op dat moment geen Receiver luistert.

PIM-SM heeft een andere taak. Het bouwt dynamisch Multicast-paden tussen meerdere Multicast-routers op en vereist daarvoor een gepland Rendezvous Point- en Unicast Routing-ontwerp. Voor één bekende afzender en enkele vaste Receiver-interfaces is de statische route meestal overzichtelijker. Bij meerdere routers, wisselende groepen of veel Multicast-paden hoort PIM-SM in een afzonderlijk ontwerp.

Een statische Multicast-route is bovendien geen normale statische Unicast-route. Ze gebruikt geen klassieke Next Hop en wordt in een afzonderlijk gedeelte weergegeven.

mDNS is een andere toepassing

mDNS voor Bonjour, AirPlay of veel Chromecast-zoekopdrachten gebruikt het link-local adres 224.0.0.251. Sophos staat in de statische Multicast-route groepen van 224.0.2.0 tot 239.255.255.255 toe; mDNS valt buiten dit bereik en wordt niet zoals normaal Multicast-verkeer door routers doorgestuurd.

Deze handleiding vervangt daarom geen mDNS Reflector of Discovery Gateway. Een mediastream kan via Multicast werken terwijl de automatische apparaatdetectie tussen VLANs nog steeds niet werkt.

Vanaf SFOS 23 wordt deze afzonderlijke Discovery-taak geconfigureerd via de mDNS-reflector onder Network > mDNS. De selectie van interne interfaces en dienstcategorieën en de afzonderlijke vrijgave van het toepassingsverkeer horen bij deze eigen procedure; de hier beschreven statische Multicast-route wordt hierdoor niet vervangen.

Voorbeeldtopologie plannen

Het voorbeeld gebruikt de volgende waarden:

• Sender: 10.10.10.20
• Source Interface: Port2
• Source Zone: DMZ
• Multicast Group: 239.10.10.10
• Application Service: UDP 5000
• Destination Interface: Port3
• Destination Zone: LAN
• Receiver Network: 10.20.20.0/24
• Test Receiver: 10.20.20.50

10.10.10.20 en 10.20.20.0/24 zijn privévoorbeeldwaarden. 239.10.10.10 ligt in het administratief begrensde multicastbereik en is geschikt voor een gecontroleerd lokaal voorbeeld. In de eigen omgeving worden Source, groep, poort en interfaces samen vervangen door de waarden van de toepassing en topologie. De groep mag niet willekeurig worden gewijzigd: Sender en Receiver moeten hetzelfde adres en dezelfde service gebruiken.

De toepassing moet bovendien met een toereikende TTL verzenden. Bij normale routering wordt de TTL bij elke hop met één verlaagd. Als de toepassing met TTL 1 verzendt, bereikt de stream geen volgend segment zolang TTL-verlaging actief is.

Vóór de wijziging moeten de volgende punten vaststaan:

• De firewall draait in Gateway Mode.
• De Sender bereikt Port2; de Receivers bevinden zich achter Port3.
• De Receiver-toepassing kan zich daadwerkelijk abonneren op groep 239.10.10.10 en UDP 5000.
• Bestaande PIM-SM-configuraties, andere Multicast-routes en hun afhankelijkheden zijn gedocumenteerd.
• Switches, VLANs en IGMP Snooping-instellingen in het Receiver-netwerk zijn bekend.
• Er zijn een configuratieback-up en onafhankelijke beheertoegang beschikbaar.

Hoe interfaces, VLANs en zones samenhangen, wordt uitgelegd in Zones en interfaces op Sophos Firewall configureren.

Statische Multicast-route maken

Multicast Forwarding activeren

1. Open in WebAdmin Routing > Static routes.
2. Selecteer onder Multicast forwarding setting Enable multicast forwarding.
3. Klik op Apply en vervolgens op OK.

Als de optie niet kan worden geactiveerd, controleer dan de bestaande Multicast-configuratie. Wijzig een bestaande PIM-SM-configuratie niet op eigen initiatief: de actuele SFOS 22-help vermeldt op de betreffende pagina’s geen algemene co-existentieregel. Het gedrag van de geïnstalleerde build en het goedgekeurde netwerkontwerp zijn daarom bepalend.

Source, groep en interfaces invoeren

1. Klik onder Manage multicast route op Add.
2. Voer bij Source IPv4 address 10.10.10.20 in.
3. Selecteer Port2 als Source interface.
4. Voer bij Multicast IPv4 address 239.10.10.10 in.
5. Selecteer Port3 als Destination interface.
6. Klik op Save.

WebAdmin kan meerdere Destination Interfaces in één route opslaan. Elke extra interface vergroot echter het gebied waarnaar de stream wordt doorgestuurd. Selecteer een interface alleen als daar daadwerkelijk Receivers aanwezig zijn en de beveiligingsvrijgave eveneens passend is. Source en Destination Interface mogen niet identiek zijn.

De CLI als gecontroleerde uitwijkroute gebruiken

In Device Console loopt het pad via 3. Route Configuration > 2. Configure Multicast Routing. Multicast Forwarding moet actief zijn voordat de eerste route wordt toegevoegd. Het kan in Gateway Mode en Transparent Mode worden ingeschakeld, maar statische Multicast-routes kunnen alleen in Gateway Mode worden geconfigureerd. Onder optie 1 schakelt dit commando de globale forwarding in:

enable multicast-forwarding

⚠️ Volgens Sophos kunnen onvolledige Device Console-opdrachten ertoe leiden dat access_server niet meer reageert. Vul de syntaxis daarom met ? of Tab aan voor de geïnstalleerde build en voer pas daarna de volledige opdracht uit.

Onder 2. Configure Static-routes kan een route tussen twee statische interfaces worden toegevoegd en direct worden gecontroleerd:

mroute add input-interface Port2 source-ip 10.10.10.20 dest-ip 239.10.10.10 output-interface Port3
mroute show

De CLI vereist voor elke output-interface een aparte mroute add-vermelding. Ze biedt alleen statische interfaces aan, terwijl WebAdmin ook dynamische interfaces zoals DHCP en PPPoE kan tonen. De input- en output-interface moeten verschillen; een niet op Ethernet gebaseerde interface zoals IPsec0 hoort niet in deze poortvorm.

Voor het gericht verwijderen van een fysieke route specificeert Sophos de waarden positioneel. Controleer eerst de interfacenamen met mroute show:

mroute del Port2 10.10.10.20 239.10.10.10 Port3
mroute show

Sophos publiceert afzonderlijke input-tunnel- en output-tunnel-vormen voor IPsec- en GRE-routes, maar de voorbeelden gebruiken niet overal dezelfde schrijfwijze. De opdrachtvoltooiing van de geïnstalleerde SFOS-versie is leidend; plak een publiek voorbeeld niet zonder controle.

Beveiligingsvrijgave niet veronderstellen

De officiële SFOS 22-handleiding voor het maken van een statische Multicast-route noemt geen aanvullende firewall- of NAT-regel. Daarom wordt voor dit voorbeeld niet uit voorzorg een brede Any-regel gemaakt. Of de geïnstalleerde build of een bestaande policy toch een aanvullende match vereist, wordt in Packet Capture aan de hand van de werkelijke pakketstatus gecontroleerd.

Als de firewall een policygerelateerde drop toont, wordt niet gegokt: leg eerst Source 10.10.10.20, groep 239.10.10.10, UDP 5000, de betrokken zones en de getoonde regelcontext vast. Pas na bevestiging voor de gebruikte build wordt een vrijgave exact tot deze waarden beperkt en gelogd. De algemene opbouw van regels wordt uitgelegd in Sophos Firewall-regels veilig configureren.

Datastroom gecontroleerd testen

Een opgeslagen route bewijst nog niet dat de Receiver de stream ontvangt. De acceptatietest volgt het pakket van de toepassing tot de client:

1. Start op 10.20.20.50 de Receiver-toepassing en abonneer deze op groep 239.10.10.10 via UDP 5000.

2. Start een duidelijk begrensde teststream vanaf 10.10.10.20 en noteer het tijdstip en de verwachte duur.

3. Filter onder Diagnostics > Packet capture met deze BPF-string:

   src host 10.10.10.20 and dst host 239.10.10.10 and udp port 5000
   

4. Controleer in de pakketlijst of de stream op Port2 binnenkomt en op Port3 met Status Forwarded verschijnt. Noteer bij een drop de getoonde Status en regelcontext zonder op basis van een vermoeden een regel te verruimen.

5. Controleer op de Receiver of pakketten aankomen en de toepassing de inhoud verwerkt.

De Packet Capture-procedure met interface, regelcontext en Status wordt beschreven in Packet Capture op Sophos Firewall gebruiken.

In de Device Console kan de statische Multicast Routing Table bovendien alleen-lezen worden weergegeven. Het pad loopt via 3. Route Configuration > 2. Configure Multicast Routing > 2. Configure Static-routes:

mroute show

De uitvoer moet de verwachte Source, groep en inkomende en uitgaande interfaces tonen. De opdracht wijzigt de configuratie niet.

Voor diepgaandere Troubleshooting vermeldt de actuele SFOS-22-documentatie mrouting.log. In de Advanced Shell worden alleen de laatste vermeldingen gelezen:

tail -n 200 /log/mrouting.log

Meer bestanden en servicetoewijzingen staan in Sophos Firewall-service- en logbestanden.

Fouten op basis van symptomen beperken

De route kan niet worden geactiveerd of opgeslagen

• Controleer Source-IP, groepsbereik en interfaces. Groepen van 224.0.2.0 tot 239.255.255.255 zijn toegestaan.
• Source en Destination Interface mogen niet identiek zijn.
• Vergelijk bij een reeds bestaande (S,G)-combinatie ook de Destination Interface. Voor meerdere uitgangen vereist de CLI voor elke uitgang een eigen vermelding met dezelfde Source en groep.

De stream komt binnen, maar wordt niet doorgestuurd

• Komen de werkelijke Source-IP en groep exact overeen met de route?
• Toont mroute show de verwachte interfaces?
• Toont de Capture Forwarded of een drop met een bruikbare regelcontext?
• Is Port3 daadwerkelijk als Destination Interface geselecteerd?

De stream verlaat de firewall, maar bereikt de Receiver niet

• Controleer de TTL van de Sender. Wijzig globale routingparameters niet op basis van een vermoeden.
• Controleer VLAN, Switchport en IGMP Snooping in het Receiver-netwerk.
• Controleer of 10.20.20.50 zich op de juiste groep en UDP-poort heeft geabonneerd.
• Controleer de lokale hostfirewall en toepassing op de Receiver.
• Vergelijk een Capture op de Receiver of Switchport met de SFOS-timestamps.

Apparaatdetectie werkt niet, maar de stream wel

Discovery-protocollen zoals mDNS zijn link-local en worden niet door deze statische route gereflecteerd. De daadwerkelijke datastroom en apparaatdetectie moeten afzonderlijk worden gecontroleerd.

Globale multicastparameters zijn geen standaardoplossing

SFOS 22 en 23 documenteren twee globale opties onder set routing in de Device Console, niet in de Advanced Shell. Ze horen niet bij het hierboven getoonde mroute-menu. Het volgende blok is uitsluitend een syntaxisreferentie, geen uit te voeren opdrachtenblok:

set routing multicast-group-limit <number>
set routing multicast-decrement-ttl [enable | disable]

• multicast-group-limit begrenst het totale aantal Multicast-groepen, niet de Receivers of de UDP-poort van één route. Het gedocumenteerde waardenbereik is 20 tot 4096; de standaardwaarde is 250. Dit beschrijft de toegestane CLI-invoer, niet de gegarandeerde streamcapaciteit van een appliance. De maximumwaarde is geen aanbeveling en verhelpt geen onjuiste (S,G)-vermelding; de onderbouwde noodzaak voor een wijziging en de passende waarde moeten voor de geïnstalleerde build en de eigen omgeving zijn bevestigd.
• multicast-decrement-ttl schakelt TTL-verlaging voor multicast globaal in of uit. Dit verhelpt geen ontbrekende ontvangerabonnementen of IGMP Snooping-fouten. Een passende TTL op de afzender en een correcte topologie hebben voorrang boven het zonder onderscheid uitschakelen van TTL-verlaging.

⚠️ De documentatie noemt geen standaardwaarde voor TTL-verlaging en beschrijft voor deze opties geen betrouwbare uitlees- of resetopdracht. Vóór iedere uitzonderlijke wijziging zijn een op de geïnstalleerde build of door Sophos Support bevestigde uitleesmethode, vastgelegde werkelijk geconfigureerde beginwaarden en een bevestigde manier om die exact te herstellen nodig. mroute show toont routes, niet deze globale instellingen. Ontbreekt een voorwaarde, wijzig dan niets en onderzoek eerst de TTL van de afzender en het pad. Experimenteer niet met een gegokte show- of reset-opdracht en beschouw de standaardwaarde niet als de eerdere toestand.

Leg voor een goedgekeurde uitzondering vooraf het onderhoudsvenster, onafhankelijke beheertoegang, betrokken groepen en reeds werkende controlestreams vast. Wijzig alleen de onderbouwde optie en voer placeholders of keuzehaken nooit letterlijk uit. Lees daarna de geconfigureerde waarde terug met de bevestigde uitleesmethode. Leg los daarvan met enkele bekende streams de Source, groep en TTL bij binnenkomst en vertrek vast, controleer de verwerking op de Receiver en bevestig dat de controlestreams ongewijzigd blijven werken. Herstel bij het terugdraaien exact de vastgelegde beginwaarden en herhaal dezelfde controles van instellingen, pakketten en Receiver. Het verwijderen van een testroute herstelt deze globale waarden niet. Deze beperkte acceptatietest bevestigt alleen de geteste streams en vormt geen bewijs van de maximale groeps- of streamcapaciteit.

VPN en HA bewust afzonderlijk behandelen

Multicast via SSL VPN wordt niet ondersteund door Sophos. Statische Multicast-routes via IPsec of een vooraf gevalideerde GRE-tunnel zijn mogelijk en gebruiken eigen CLI-vormen. Voor IPsec vereist Sophos bovendien een expliciete Unicast-host met /32 in de VPN-configuratie. De openbaar gedocumenteerde voorbeelden bevatten verschillende inconsistente schrijfwijzen en mogen daarom niet ongecontroleerd als Copy-and-paste-opdrachten in een productiefirewall worden gebruikt.

Bij Multicast via een VPN-tunnel is ook de firmwareversie belangrijk. Herhaalde firewallcrashes die gelijktijdig met dit verkeer optreden, worden behandeld in IPsec Troubleshooting voor NC-180433. Het probleem is opgelost in SFOS 22.0 MR2 Build 546; normaal pakketverlies of een ontbrekende stream bewijst niet dat dit specifieke probleem optreedt.

In Active-Active HA wordt Multicast niet over beide Nodes verdeeld. Sophos sluit Multicast bovendien uit van Session Failover. Bij een rolwisseling moet daarom rekening worden gehouden met een onderbreking van de stream. Sla vóór de Failover de Capture en timestamps op de tot dan toe actieve Node op; controleer daarna route, inkomend verkeer, uitgaand verkeer en Receiver opnieuw op de nieuwe actieve Node.

Veilig terugdraaien

Vóór het terugdraaien worden de route, interfaces en tot dan toe gebruikte testwaarden gedocumenteerd. Daarna:

1. Stop de teststream.
2. Verwijder de statische Multicast-route in WebAdmin.
3. Schakel Enable multicast forwarding alleen uit als geen andere statische Multicast-route daarvan afhankelijk is.
4. Controleer opnieuw de eerdere status van de betrokken toepassingen en netwerken.

Als de voorbeeldroute via de CLI is gemaakt, kan deze worden verwijderd met de hierboven getoonde, voor fysieke interfaces officieel gedocumenteerde opdracht mroute del en worden gecontroleerd met mroute show. Voor tunnelroutes wordt geen onbevestigd verwijderingsvoorbeeld overgenomen.

Veelgestelde vragen

Wanneer is een statische Multicast-route beter dan PIM-SM?

Als Sender, groep en enkele Destination Interfaces permanent vaststaan, is de statische route meestal eenvoudiger. PIM-SM is geschikt voor meerdere Multicast-routers, dynamische paden en veel wisselende groepen.