Een PPPoE-WAN op Sophos Firewall configureren en controleren

PPPoE hoort op Sophos Firewall wanneer een voorliggend modem of een ONT de verbinding transparant doorgeeft in bridge- of passthrough-modus. De firewall bouwt dan de providerverbinding op en ontvangt het toegewezen WAN-adres.

Als het providerapparaat de PPPoE-sessie opbouwt, ontvangt de Sophos Firewall daarachter normaal gesproken een statisch of via DHCP toegewezen WAN-adres. Als beide apparaten NAT uitvoeren, ontstaat Double NAT. Een extra PPPoE-inbelverbinding op de firewall is in deze opzet meestal overbodig en kan als tweede sessie worden geweigerd.

⚠️ Voor de wijziging moet duidelijk zijn welk apparaat de PPPoE-sessie opbouwt. Gelijktijdig inbellen via het providerapparaat en de firewall is alleen zinvol als de provider meerdere sessies uitdrukkelijk ondersteunt. Voor de wijziging is lokale of onafhankelijke beheerderstoegang nodig, omdat een onjuiste instelling de internetverbinding direct verbreekt.

Verzamel de providergegevens voordat u begint

De volgende waarden moeten vóór het onderhoudsvenster beschikbaar zijn:

• PPPoE-gebruikersnaam en eventueel wachtwoord
• Bridge- of passthrough-modus van het modem of de ONT
• Optionele provider-VLAN-ID
• Optionele Access Concentrator- of servicenaam
• Vereiste voor een dynamisch, vast of voorkeurs-IP-adres
• DNS-vereisten en bekende bijzonderheden rond MTU of reconnect
• Aantal toegestane PPPoE-sessies en informatie over CGNAT

De gebruikersnaam is verplicht. Of ook een wachtwoord nodig is, hangt af van de provider en de gebruikte verificatiemethode. WebAdmin accepteert voor de gebruikersnaam maximaal 50 tekens. Als de providerlogin langer is, moet dit vóór de wijziging met Sophos Support worden afgestemd.

Bij de voorbereiding horen bovendien een actuele configuratieback-up, een onderhoudsvenster en een terugvalplan. Bij een wijziging op afstand mag de enige beheerstoegang niet precies via de WAN-poort lopen die opnieuw wordt geconfigureerd.

Configureer de PPPoE-interface

In het volgende voorbeeld wordt Port2 gebruikt voor een verbinding met een ONT in bridge-modus. De provider vereist een gebruikersnaam, wachtwoord en VLAN 7, maar geen Preferred IP of servicenaam. VLAN 7 is slechts een voorbeeld en mag niet zonder controle voor een echte verbinding worden overgenomen.

1. Open Network > Interfaces.
2. Open het menu van de bedoelde WAN-poort en selecteer Edit interface.
3. Stel een duidelijke naam in, zoals WAN-PPPoE, en selecteer de zone WAN.
4. Schakel IPv4 in en selecteer PPPoE als IP assignment.
5. Voer onder Username bijvoorbeeld firma@example.net in. Vul het veld Password alleen met de providerwaarde in als de verbinding een wachtwoord vereist.
6. Laat Preferred IP leeg als de provider geen vast PPPoE-adres heeft opgegeven.
7. Geef een duidelijke Gateway name op, zoals gw-pppoe. Voer alleen een gateway-IP in als de provider een concrete waarde noemt.
8. Laat Access concentrator/service name leeg, tenzij de provider een exacte naam vereist.
9. Laat LCP echo interval op 20 seconden en LCP failure op 3 staan.
10. Schakel een geplande reconnect alleen in als de provider of het beheer dit vereist.
11. Als de provider voor PPPoE een VLAN vereist, kiest u een van de varianten die in de volgende sectie worden beschreven.
12. Sla de configuratie op en controleer vervolgens de interface, gateway, DNS en echt clientverkeer.

Een Preferred IP is slechts een verzoek aan de provider. Ook als er een adres is ingevuld, kan de PPPoE-server een ander IP-adres toewijzen. Voor een gegarandeerd vast adres moet de provider de bijbehorende dienst leveren.

Een Access Concentrator- of servicenaam beperkt de inbelverbinding tot een passend eindpunt. Een verzonnen of verkeerd gespelde waarde kan de verbinding al tijdens de discovery-fase verhinderen. Laat het veld daarom leeg als de provider geen expliciete waarde heeft opgegeven.

Implementeer het provider-VLAN correct

Een provider-VLAN kan op twee manieren worden geconfigureerd. Beide methoden zijn geldig, maar mogen niet voor dezelfde verbinding worden gecombineerd.

Variant 1: VDSL-instelling op de fysieke PPPoE-poort

PPPoE wordt rechtstreeks op de fysieke WAN-poort geconfigureerd. Schakel onder DSL settings de optie VDSL in en voer de provider-VLAN-ID in. SFOS voert dan de benodigde VLAN-verwerking voor de PPPoE-sessie uit.

De aanduiding VDSL betekent hier niet dat de firewall een DSL-modem of ONT vervangt. Het voorliggende apparaat blijft verantwoordelijk voor de fysieke lijn en synchronisatie.

In het voorbeeld wordt VLAN 7 op de PPPoE-poort ingesteld. Maak daarna op dezelfde verbinding geen extra handmatig VLAN 7 met een tweede PPPoE-configuratie aan.

Variant 2: PPPoE op een handmatig WAN-VLAN

Maak onder Network > Interfaces > Add interface > Add VLAN eerst een VLAN aan op de fysieke providerpoort. Geef dit VLAN de zone WAN, de provider-VLAN-ID en PPPoE als IPv4-toewijzing. Voer de aanmeldgegevens op deze VLAN-interface in.

Deze opzet is nuttig als de VLAN-interface in het interfaceontwerp expliciet zichtbaar en afzonderlijk benoemd moet zijn. VLAN op Sophos Firewall configureren legt de basisprincipes van de parent interface en VLAN-tagging uit.

Als op een fysieke interface al een VLAN is geconfigureerd, kan SFOS de IP-toewijzing van deze fysieke interface niet zonder meer van Static naar PPPoE of DHCP wijzigen. Controleer in dat geval eerst het bestaande interface- en VLAN-ontwerp.

LCP en reconnect begrijpen

LCP-echo’s controleren of de PPP-peer nog reageert. Met de standaardwaarden stuurt de firewall elke 20 seconden een controle en beschouwt de sessie na 3 ontbrekende antwoorden als niet meer bereikbaar.

Deze waarden zijn een geschikt uitgangspunt. Een korter interval detecteert storingen eerder, maar kan bij een instabiele lijn onnodige nieuwe verbindingen veroorzaken. Pas LCP daarom alleen aan op basis van een providervereiste of een gedocumenteerd storingsbeeld. Het uitschakelen van de instelling deactiveert LCP niet, maar herstelt de standaardwaarden.

Schedule time for reconnect verbreekt de PPPoE-sessie op een vastgelegd tijdstip en bouwt deze opnieuw op. Dit kan helpen bij een regelmatige gedwongen verbreking door de provider, maar is geen algemene reparatiefunctie. Actieve verbindingen worden onderbroken en bij dynamische toewijzing kan het openbare IP-adres veranderen. Plan een noodzakelijke reconnect daarom buiten de productietijd.

Controleer de volledige verbinding

Alleen een toegewezen WAN-adres bewijst nog niet dat clients internet kunnen gebruiken. Controleer na het opslaan de betrokken lagen in de volgende volgorde.

Interface en gateway

Onder Network > Interfaces moet de PPPoE-interface verbonden zijn en een IP-adres hebben ontvangen. De bijbehorende fysieke gateway verschijnt automatisch onder Network > WAN link manager.

Een nieuwe WAN-gateway is standaard Active. Bij meerdere internetverbindingen kan deze daardoor direct aan load balancing deelnemen. Als de nieuwe PPPoE-verbinding alleen als reserve moet dienen, configureert u de gateway direct als Backup en test u deze vervolgens gecontroleerd. De volledige procedure staat in WAN-failover configureren en testen.

DNS

Onder Network > DNS kunt u Obtain DNS from PPPoE gebruiken of bewust een statische DNS-configuratie instellen. Met Test name lookup kan de naamomzetting rechtstreeks worden gecontroleerd.

Ga bij meerdere PPPoE-verbindingen niet uit van een niet-gedocumenteerde volgorde van de ontvangen DNS-servers. Bewust gekozen DNS-servers en afzonderlijke tests zorgen voor een voorspelbaar Multi-WAN-ontwerp.

Firewallregel, NAT en clienttest

Voor LAN-naar-WAN-verkeer is een passende firewallregel nodig en doorgaans masquerading of SNAT. NAT op Sophos Firewall begrijpen legt de samenhang uit.

Controleer daarna vanaf een testclient minstens de volgende functies:

1. Bereikbaarheid van een extern IP-adres.
2. Omzetting van een DNS-naam.
3. Openen van een HTTPS-pagina.
4. Een toepassing die belangrijk is voor de bedrijfsvoering.
5. Een logvermelding met de verwachte firewallregel en WAN-interface.

Een geslaagde ping is niet voldoende. DNS, HTTPS, NAT of een toepassing kan nog steeds mislukken, ook al werken kleine ICMP-pakketten.

Een mislukte wijziging terugdraaien

Als er geen PPPoE-sessie tot stand komt, draait u de wijziging via de onafhankelijke beheerderstoegang terug: zet het providerapparaat terug in de eerder gedocumenteerde bedrijfsmodus, stel op de WAN-interface het vorige statische of via DHCP toegewezen adres opnieuw in en activeer het vorige gateway- en DNS-pad. Controleer daarna opnieuw de interface, gateway, DNS en een echte clienttest. Ga pas verder met PPPoE als het vorige pad weer werkt.

PPPoE-fouten systematisch afbakenen

Controleer eerst de lijn en configuratie, en pas daarna MTU of andere speciale waarden:

1. Controleer de linkstatus, synchronisatie van het modem of de ONT, bekabeling en bridge-/passthrough-modus.
2. Vergelijk het provider-VLAN met de contractgegevens en zorg dat dit niet tegelijkertijd via de VDSL-optie en een handmatig VLAN is ingesteld.
3. Controleer de gebruikersnaam, het optionele wachtwoord en hoofdlettergebruik exact.
4. Wis Preferred IP en de Access Concentrator-/servicenaam als de provider deze waarden niet uitdrukkelijk heeft opgegeven.
5. Sla de configuratie op en controleer of de interface een IP-adres en gateway ontvangt.
6. Test DNS eerst met Test name lookup en daarna vanaf een client.
7. Controleer de firewallregel, NAT en Log Viewer.

Bekijk voor een uitgebreidere diagnose in 5. Device Management > 3. Advanced Shell eerst de interfacegebeurtenissen:

tail -f /log/networkd.log

networkd.log toont gebeurtenissen van fysieke en virtuele interfaces. De WAN-gateway en mogelijke failovergebeurtenissen staan in dgd.log:

tail -f /log/dgd.log

Stop de doorlopende uitvoer telkens met Ctrl+C. Aanvullende systeemberichten kunnen in 4. Device Console met een alleen-lezen opdracht worden weergegeven:

system diagnostics show syslog

pppd-meldingen in de uitvoer kunnen discovery-, verificatie- of sessiefouten zichtbaar maken. Documenteer de exacte foutmelding samen met het tijdstip, de interface, firmwareversie en een nieuwe verbindingspoging. Sophos Firewall-servicelogs legt uit hoe u aanvullende bestanden interpreteert.

Veelvoorkomende patronen:

• Geen PPPoE-peer gevonden: controleer de link, bridge-/passthrough-modus, het provider-VLAN en de optionele servicenaam.
• Verificatie geweigerd: controleer de aanmeldgegevens, tekenlengte, het provideraccount en het toegestane aantal sessies.
• Sessie wordt opgebouwd en valt daarna weg: beoordeel de lijn, providergebeurtenissen, LCP en de geplande reconnect.
• WAN-adres aanwezig, maar geen internet: controleer de gateway, DNS, firewallregel, NAT en routing.
• Alleen grote pakketten of VPN-verkeer mislukken: onderzoek MTU/MSS pas na een reproduceerbare test.

Wijzig MTU en MSS niet algemeen

PPPoE voegt overhead toe. Dat betekent echter niet dat elke verbinding handmatig op een MTU van 1492 of een MSS van 1452 moet worden ingesteld. Standaardwaarden werken in veel omgevingen, en aanvullende VLAN’s, VPN’s of providertechnieken veranderen het werkelijke pad.

Een aanpassing is pas zinvol als bijvoorbeeld kleine pakketten werken, grote HTTPS-overdrachten vastlopen of packet captures herhaaldelijk fragmentatieproblemen tonen. MTU en MSS op Sophos Firewall controleren legt de meting en berekening uit.

Multi-WAN, Dynamic DNS en HA

Een opgebouwde PPPoE-verbinding gedraagt zich in WAN Link Manager als een andere fysieke WAN-gateway. Bij een reconnect of failover kunnen het openbare adres en alle daaraan gekoppelde verbindingen echter veranderen. Dit betreft vooral IPsec, DNAT, externe allowlists en Remote Access. Bij dynamische adressen helpt Dynamic DNS op Sophos Firewall, maar dit vervangt geen test van inkomende diensten.

Als de provider alleen een privé- of gedeeld CGNAT-adres toewijst, is de firewall normaal gesproken niet rechtstreeks vanaf internet bereikbaar. Dynamic DNS werkt alleen de naam bij en heft CGNAT niet op. Voor inkomende diensten is een openbaar of door de provider doorgestuurd adres nodig.

PPPoE is toegestaan in een Active-Passive HA-cluster, maar de bestaande PPPoE-sessie wordt bij een failover niet overgenomen. De nieuwe Primary moet deze opnieuw opbouwen. Active-Active vereist statische IP-adressen op alle interfaces en ondersteunt PPPoE daarom niet. Het fysieke providerontwerp moet er bovendien voor zorgen dat beide appliances de verbinding na een rolwisseling kunnen bereiken. Sophos Firewall HA-varianten legt verdere beperkingen uit.

IPv6 is een afzonderlijke providerbeslissing. Als de verbinding Prefix Delegation biedt, toont IPv6 Prefix Delegation op Sophos Firewall de afzonderlijke configuratie.

Versiespecifieke fouten uitsluiten

SFOS 22.0 MR2 Build 546 verhelpt meerdere PPPoE-problemen uit GA en MR1, waaronder Policy Test via PPPoE, licentiesynchronisatie in Active-Passive HA en slechte uploadprestaties door een te korte TX-queue. MR2 verhelpt ook een probleem waarbij IPsec-tunnels met een alias-IP op een PPPoE-WAN wel werden opgebouwd, maar geen verkeer doorgaven.

Als een van deze symptomen optreedt op een oudere SFOS 22-versie, moet eerst een gecontroleerde update naar een momenteel ondersteunde Maintenance Release worden gepland. De SFOS 22-upgradecontrole beschrijft de voorbereiding. Oude workarounds, zoals het algemeen uitschakelen van IPsec-versnelling, horen niet thuis in een nieuwe standaardconfiguratie.

FAQ