Route precedence op Sophos Firewall veilig wijzigen

Route precedence bepaalt globaal of Sophos Firewall eerst Static Routes, SD-WAN Policy Routes of VPN-routes beoordeelt. De volgorde geldt wanneer meerdere categorieën op dezelfde pakketstroom passen. Een belangrijke uitzondering: vpn vóór static verdringt statische of lokale routes alleen voor bestemmingen in de WAN-zone.

Waarom route precedence nodig is

Sophos Firewall bewaart Static, SD-WAN en VPN niet in één gezamenlijke routinglijst. Het zijn afzonderlijke categorieën en meerdere categorieën kunnen tegelijk een passend pad naar dezelfde bestemming bevatten. Route precedence bepaalt in welke categorie eerst naar een passende route wordt gezocht.

Een typisch voorbeeld: een LAN-client moet het externe netwerk 10.20.0.0/16 via een policy-based IPsec-tunnel bereiken. Tegelijkertijd past een SD-WAN-route met bestemming Any ook op dit verkeer.

• Met static sdwan_policyroute vpn controleert de firewall eerst Static. Als daar geen passend pad bestaat, past vervolgens de brede SD-WAN-route en kan het verkeer naar de WAN-gateway gaan in plaats van naar de VPN-tunnel.
• Met static vpn sdwan_policyroute controleert de firewall direct na Static de VPN-routes. De route naar het externe netwerk krijgt daardoor voorrang boven de algemene SD-WAN-route.

Vervang het voorbeeldnetwerk 10.20.0.0/16 door het werkelijke externe netwerk. De belangrijke vraag is niet welke volgorde in het algemeen “beter” klinkt, maar welk routingtype voor de concrete pakketstroom moet winnen.

Route precedence ordent alleen de categorieën. Ze verandert niet de volgorde van afzonderlijke Static Routes of SD-WAN Routes binnen hun categorie. Beantwoord vóór een wijziging drie vragen:

1. Welk concreet verkeer neemt momenteel het verkeerde pad?
2. Welke van de drie categorieën bevatten daarvoor een passende route?
3. Welke categorie moet voor dit verkeer voorrang krijgen?

Als slechts één categorie past, lost een andere route precedence het probleem niet op. Dan moet de betrokken route, SD-WAN-policy, VPN-configuratie, NAT-regel of het retourpad worden gecorrigeerd. Route precedence staat ook geen verkeer tussen zones toe; daarvoor blijft een passende firewallregel nodig.

Route precedence direct weergeven en wijzigen

Voer de opdrachten uit in de Device Console, niet in de Advanced Shell. Kies na het aanmelden via SSH menuoptie 4. Als de toegang nog niet is geconfigureerd, zie Sophos Firewall via SSH verbinden.

Noteer eerst de volledige actuele volgorde en maak daarmee de rollback-opdracht. De huidige Sophos-standaard is geen vervanging, omdat gemigreerde of bewust aangepaste firewalls een andere uitgangsvolgorde kunnen hebben.

⚠️ Belangrijk: De wijziging is globaal. Leg vóór de set-opdracht de oorspronkelijke volgorde vast en zorg voor een onafhankelijk beheerpad. Een ongeschikte volgorde kan productieverkeer en toegang via WebAdmin en SSH beïnvloeden.

Het volgende voorbeeld stelt Static eerst, VPN als tweede en SD-WAN als laatste in:

system route_precedence show
system route_precedence set static vpn sdwan_policyroute
system route_precedence show

De eerste opdracht toont de actuele volgorde, de tweede wijzigt deze en de derde controleert het resultaat. De positie bepaalt de prioriteit. De laatste uitvoer moet exact static, vpn, sdwan_policyroute tonen; test daarna de werkelijke pakketstroom.

De huidige standaardvolgorde van Sophos is:

system route_precedence set static sdwan_policyroute vpn

Deze opdracht is alleen een rollback als system route_precedence show vóór de wijziging exact deze volgorde toonde.

WebAdmin toont de actuele volgorde ook onder Routing > SD-WAN routes, maar wijzigen kan alleen via de Device Console.

Wat Static, SD-WAN en VPN betekenen

De drie waarden staan voor routingcategorieën en niet voor afzonderlijke routes:

• static omvat direct verbonden netwerken, Unicast Routes, Dynamic Routes en SSL VPN.
• sdwan_policyroute omvat de Policy Routes die onder Routing > SD-WAN routes zijn geconfigureerd.
• vpn omvat automatisch gegenereerde policy-based IPsec-routes. Onder SFOS 22.0 vallen ook routes die met ipsec_route zijn gedefinieerd in deze categorie.

Policy-based IPsec-routes en ipsec_route-vermeldingen staan niet in de routingtabel van WebAdmin. Neem bij conflicten ook de VPN-configuratie en routes uit de Device Console mee. De handleiding voor IPsec-routes op Sophos Firewall legt de volledige indeling uit.

SSL VPN hoort bij static, niet bij vpn. Route-based IPsec via XFRM-interfaces wordt gestuurd door de geconfigureerde statische, dynamische of SD-WAN-route. De XFRM-interface, route en Administrative Distance zijn doorslaggevend, niet alleen de positie van vpn. Als geen route past, levert WAN Link Manager de standaardroute.

Static, SD-WAN, VPN

system route_precedence set static sdwan_policyroute vpn

Dit is de standaardvolgorde en voor veel omgevingen het juiste uitgangspunt. Ze voorkomt dat brede SD-WAN-routes direct verbonden netwerken, LAN, DMZ, VLAN en SSL VPN overschrijven.

Static, VPN, SD-WAN

system route_precedence set static vpn sdwan_policyroute

Deze volgorde houdt Static op de eerste plaats, beoordeelt daarna VPN-routes en gebruikt SD-WAN als laatste. Dit is nuttig wanneer statische en direct verbonden paden hun prioriteit moeten behouden, terwijl een concurrerende policy-based VPN-route vóór SD-WAN moet worden gecontroleerd. Sophos gebruikt deze volgorde ook voor route-based VPN-failover met twee internetverbindingen en MTA met meerdere WAN-verbindingen.

SD-WAN, Static, VPN

system route_precedence set sdwan_policyroute static vpn

Gebruik deze variant alleen wanneer Policy Routing bewust voorrang moet krijgen op statische routes. Wees bijzonder voorzichtig met een SD-WAN-route met bestemming Any: Deze kan ook interne netwerken of beheerstoegang omvatten en dat verkeer naar de WAN-gateway sturen. Een SD-WAN-route moet daarom zo specifiek mogelijke bestemmingen gebruiken en worden getest.

VPN, Static, SD-WAN

system route_precedence set vpn static sdwan_policyroute

VPN op de eerste plaats is een gerichte uitzondering en geen algemene oplossing voor IPsec-problemen. Voor L2TP Remote Access moet vpn eerst staan; static en sdwan_policyroute mogen daarna in beide volgordes volgen. vpn vóór static geeft VPN echter alleen voorrang boven Static wanneer de concurrerende statische route naar de WAN-zone leidt. Voor bestemmingen in andere zones blijft de firewall de statische of lokale route gebruiken.

Ook het policy-based ontwerp dat internetverkeer van een filiaal via het hoofdkantoor leidt vereist precies deze volgorde. Het combineert Any-selectors, een VPN-to-WAN-regel, MASQ en een afzonderlijke keuze voor systeemgegenereerd verkeer.

Route precedence veilig wijzigen

Bereid vóór een productiewijziging zowel de opdracht als de betrokken pakketstroom voor:

1. Sla de volledige actuele volgorde op met system route_precedence show en gebruik deze om de rollback-opdracht voor te bereiden.
2. Bepaal bron, bestemming, dienst, zone en betrokken interfaces. Controleer Static Routes, SD-WAN Routes, VPN-routes en XFRM-interfaces op concurrerende bestemmingen.
3. Test een onafhankelijk pad terug naar de firewall, zoals een lokale console, aparte managementinterface of een niet-betrokken beheerpad.
4. Wijzig alleen route precedence. Pas NAT-, firewall-, VPN- en SD-WAN-regels niet tegelijk aan, zodat oorzaak en gevolg duidelijk blijven.

Als SD-WAN betrokken is, controleer dan ook of SD-WAN is ingeschakeld voor systeemgegenereerd verkeer of reply packets:

show routing sd-wan-policy-route system-generate-traffic
show routing sd-wan-policy-route reply-packet

Deze opties wijzigen de volgorde niet. Ze breiden het verkeer uit waarop SD-WAN Routes van toepassing zijn: Reply-Packet-Routing geldt niet als het heenpad alleen de standaardroute van WAN Link Manager gebruikte. Gebruik voor systeemverkeer alleen bestemmingsnetwerken en services, omdat Incoming Interface en Source Network onbekend zijn. Minstens één gateway van WAN Link Manager moet Active zijn; gateways die alleen op Backup staan, zijn onvoldoende. Systeemgegenereerd RED-verkeer via UDP 3410 blijft als Layer 2 buiten SD-WAN-routing. Sophos Firewall SD-WAN-routing voor Reply Packets en System Traffic controleren geeft de details.

Bevestig na de set-opdracht eerst de volgorde met system route_precedence show. Test daarna het concrete scenario:

• Test de applicatie, TCP-verbinding of ping naar de bestemming.
• Controleer Route Lookup, Log Viewer en indien nodig Packet Capture.
• Controleer NAT en het retourpad van de tegenpartij.
• Test WebAdmin en SSH vanuit de relevante beheernetwerken.

Een groene VPN-status of een bestaande route bewijst niet dat de pakketstroom werkt. Praktische controles staan in Sophos Firewall-regels testen met Log Viewer en Packet Capture en Packet Capture in Sophos Firewall WebAdmin gebruiken.

Rollback

Stel voor de rollback exact de oorspronkelijke volgorde in die vóór de wijziging is vastgelegd:

system route_precedence set <erster Wert> <zweiter Wert> <dritter Wert>

Vervang alle drie placeholders. De vorige toestand kan niet alleen uit de eerste waarde worden afgeleid, omdat zes volgordes mogelijk zijn. Herhaal daarna system route_precedence show en dezelfde functionele en beheertests.

Als de wijziging het probleem niet oplost

• Slechts één bestemmingsnetwerk is betrokken: Een specifiekere statische route, een beperktere SD-WAN-route of een gecorrigeerde VPN-configuratie is meestal preciezer dan een globale wijziging.
• De VPN-tunnel is groen, maar verkeer volgt het verkeerde pad: Controleer bij route-based IPsec eerst de XFRM-interface en route. Controleer bij policy-based IPsec ook de Traffic Selectors en de versieafhankelijke verwerking van ipsec_route. Volg de handleiding voor IPsec VPN-troubleshooting.
• Het heenpad klopt, maar het retourpad niet: Routing bepaalt het pad, terwijl NAT het bron- of bestemmingsadres wijzigt. Controleer de retourroute en de NAT-configuratie.
• Een gemigreerde firewall toont een onverwachte volgorde: De uitvoer van system route_precedence show is bepalend, niet de huidige standaard. Gemigreerde SD-WAN-routes kunnen ook gekoppeld blijven aan hun oorspronkelijke firewallregel en verdwijnen wanneer die regel wordt verwijderd.
• WebAdmin of SSH is niet bereikbaar na een SD-WAN-wijziging: Vaak komen drie voorwaarden samen: SD-WAN staat vóór Static, een passende SD-WAN-route gebruikt Any en System Traffic of Reply Packets zijn voor SD-WAN ingeschakeld. Herstel de oorspronkelijke volgorde via het voorbereide beheerpad en beperk de SD-WAN-route.
• Een SSL VPN-aanvraag bereikt het interne doel, maar het antwoord bereikt de client niet: SSL VPN behoort tot static. Als SD-WAN ervoor staat, kan een brede SD-WAN-route het antwoord naar het adresbereik van de tunnel wegleiden. Beperk de route gericht; de volledige controle staat in SSL VPN Remote Access configureren en testen.

Veelgestelde vragen