Naar de inhoud
Avanet

Sophos Firewall SD-WAN-route instellen en testen

Sophos Firewall

Met een SD-WAN-route bepaalt u via welke gateway een gedefinieerde verkeersstroom op Sophos Firewall loopt. Dit is nuttig bij meerdere internetverbindingen, MPLS, route-based IPsec VPN’s, VoIP of clouddiensten. De route moet nauwkeurig zijn afgebakend en met echt verkeer worden getest, anders kan ze interne netwerken omvatten of bij failover het verkeerde publieke IP-adres gebruiken.

Kort antwoord

U maakt hier een SD-WAN-route:

Routing > SD-WAN routes > IPv4 / IPv6 > Add

Vooraf moeten vier punten duidelijk zijn:

  • welk verkeer moet matchen op basis van incoming interface, source, destination en service
  • welke primary/backup gateway of welk SD-WAN profile wordt gebruikt
  • of uitsluitend deze gateways zijn toegestaan en welke NAT daarbij past
  • hoe route, gateway en retourpad met Log Viewer en Packet Capture worden gecontroleerd

Gebruik voor publieke IPv4-bestemmingen niet zonder meer Any, maar waar mogelijk Internet IPv4 group of concrete bestemmingen. Als SD-WAN vóór Static staat in de route precedence, kan een brede Any-route anders ook intern verkeer naar de WAN-gateway sturen.

De video vult de handleiding voor planning, configuratie en controle van SD-WAN-routes op Sophos Firewall aan.

Gebruik en planning

Wanneer SD-WAN beter past dan een statische route

Een statische route volstaat als een bestemmingsnetwerk altijd via een vaste next hop bereikbaar is. SD-WAN-routes voegen criteria toe, zoals source, service, gebruiker of applicatie, en kunnen gateways op basis van beschikbaarheid of kwaliteit selecteren.

Typische situaties zijn:

  • bepaalde clients of diensten via WAN2 sturen en bij uitval naar WAN1 overschakelen
  • VoIP of cloudapplicaties via een pad met lage latency en weinig pakketverlies sturen
  • MPLS, LTE/5G of een route-based IPsec-tunnel als primair of back-uppad gebruiken
  • verkeer binden aan een provider waarvan het publieke IP-adres bij een externe partij is toegestaan

Planningsvoorbeeld en voorwaarden

Beschrijf vóór het maken van de route een concrete verkeersstroom. Voor Microsoft 365-verkeer kan de planning er als volgt uitzien:

  • Incoming interface: interne LAN-interface
  • Source network: Client_Net_10.20.0.0_24
  • Destination: zelf onderhouden Microsoft 365-bestemmingsgroep of Internet IPv4 group
  • Services: HTTPS en indien nodig een servicegroep voor UDP 3478-3481
  • Primary gateway: WAN2
  • Backup gateway: WAN1
  • Fallback: default route toestaan of Route only through specified gateways inschakelen
  • NAT: MASQ of een vast SNAT-IP passend bij de gekozen gateway
  • Test: vaste client-IP, bestemming, verwachte gateway en verwachte logvermelding

Daarnaast zijn passende firewallregels, NAT-regels voor te vertalen verkeer, ingeschakelde firewalllogging en toegang tot Log viewer en Diagnostics > Packet capture nodig. WAN-gateways staan onder Network > WAN link manager; custom gateways voor MPLS, RED of XFRM maakt u onder Routing > Gateways. Zie Sophos Firewall-zones en interfaces configureren voor de basis.

Bij route-based IPsec is de richting belangrijk: Een XFRM-interface als Incoming interface matcht verkeer dat uit de tunnel binnenkomt. Voor LAN-naar-VPN-verkeer selecteert u daarentegen de gateway van de XFRM-interface als primary gateway of in een SD-WAN profile. De basis staat in IPsec-route op Sophos Firewall maken.

De SD-WAN-route instellen

Matchcriteria bepalen

  1. Open Routing > SD-WAN routes.
  2. Selecteer IPv4 of IPv6 en klik op Add.
  3. Voer een duidelijke naam in, bijvoorbeeld Clients_M365_WAN2.
  4. Selecteer de Incoming interface waarop het te sturen verkeer binnenkomt.
  5. Selecteer optioneel een DSCP-waarde als inkomende pakketten betrouwbaar zijn gemarkeerd.
  6. Definieer Source networks en voeg indien nodig Users or groups toe.
  7. Beperk Destination networks zo veel mogelijk.
  8. Beperk Services tot de vereiste protocollen en poorten.
  9. Selecteer optioneel Application objects.
  10. Selecteer onder Link selection settings een SD-WAN profile of primary/backup gateways.
  11. Schakel Route only through specified gateways bewust in of uit.
  12. Sla de route op en zet haar op de juiste positie; de eerste matchende SD-WAN-route wint.
  13. Test met een gedefinieerde client en bestemming.

Application Objects vereisen een actieve Web Protection License. De eerste verbinding wordt op basis van destination IP, poort, protocol en incoming interface via een andere matchende SD-WAN-route of anders via de default route gerouteerd. Pas na applicatieherkenning geldt het Application Object voor volgende verbindingen. De classificatiegegevens hebben vanaf de sessiestart een TTL van 3600 seconden. Bij Micro Apps ondersteunt alleen DPI Engine Mode alle applicaties; Web Proxy Mode ondersteunt alleen Pattern Applications en Synchronized Security Applications.

Gateway of SD-WAN profile selecteren

Primary/backup gateways volstaan voor één voorkeurspad en een fallback. Voor een SD-WAN profile maakt u minstens twee gateways, daarna het profile onder Routing > SD-WAN profiles en selecteert u het vervolgens in de route. Een profile is nuttig bij meerdere paden, load balancing of SLA-criteria:

  • First available gateway gebruikt de eerste beschikbare gateway in de vastgelegde volgorde.
  • Load balancing verdeelt verbindingen; Session Persistence en Gateway Weights bepalen binding en verdeling.
  • Best quality vergelijkt precies één criterium: latency, jitter of pakketverlies.
  • Custom SLA vereist grenswaarden voor alle drie criteria en gebruikt bij overschrijding de gekozen routingstrategie.

Health Checks testen via ping of TCP maximaal twee Probe Targets. Deze doelen moeten het relevante pad vertegenwoordigen, maar bewijzen niet dat een volledige applicatie werkt. Bij Best Quality vindt failback bovendien pas plaats als de oorspronkelijke gateway voor latency 10 ms of voor jitter 5 ms beter is; voor pakketverlies bestaat zo’n marge niet.

Als Route only through specified gateways actief is, dropt de firewall verkeer wanneer de opgegeven paden niet beschikbaar zijn. Zonder deze optie controleert ze andere SD-WAN-routes en daarna de default route. Als een backup gateway wordt verwijderd, zet Sophos Firewall deze op None; bij het verwijderen van de primary gateway of het SD-WAN profile wordt de route verwijderd en kan de default route overnemen.

Route precedence en NAT afstemmen

Route precedence bepaalt de volgorde tussen Static, SD-WAN en VPN. Direct verbonden netwerken en SSL VPN vallen onder de categorie Static. De huidige volgorde is zichtbaar onder Routing > SD-WAN routes of in de Device Console; wijzigingen en rollback worden uitgelegd in Sophos Firewall route precedence veilig aanpassen.

Routing kiest het pad, NAT verandert adressen. Internetverkeer via WAN2 kan daarom MASQ of een vast SNAT-IP op dat pad nodig hebben. Voor interne netwerken en VPN’s is NAT daarentegen vaak ongewenst. Zie NAT op Sophos Firewall begrijpen: SNAT, DNAT, MASQ, PAT.

De route testen en accepteren

Standaardtest met echt verkeer

  1. Kies een testclient met een bekend IP-adres en een eenduidige bestemming.
  2. Schakel logging in de passende firewallregel in.
  3. Start een echte verbinding.
  4. Controleer in Log viewer source, destination, service, rule ID, NAT ID en gateway.
  5. Controleer de traffic count van de SD-WAN-route: OUT telt requests en IN replies alleen als source en destination in de betreffende richting matchen.
  6. Schakel onder System services > Log settings het type SD-WAN in en controleer in Log Viewer de module SD-WAN op profile-, SLA- en route-events.
  7. Stel bij onduidelijkheid onder Diagnostics > Packet capture een nauw filter in op client, bestemming en poort.

De Policy tester houdt geen rekening met SD-WAN-routes. Deze kan policymatches controleren, maar bevestigt noch de gekozen SD-WAN-route noch de daadwerkelijke gateway. Zie Sophos Firewall-regel testen met Log Viewer, Policy Test en Packet Capture voor een volledige analyse.

Failover en failback veilig testen

Voer een gecontroleerde uitvaltest uit in een onderhoudsvenster, met een gedocumenteerde rollback en een onafhankelijk beheerpad naar de firewall. Controleer vooraf in de Device Console de actuele alleen-lezen statuswaarden:

system route_precedence show
show routing reroute-connection
show routing reroute-snat-connection

Start vervolgens echt applicatieverkeer, laat de primary gateway gecontroleerd uitvallen en controleer pad, sessies, public source IP en retourpad. Verwijder voor deze test niet de primary gateway of het SD-WAN profile, omdat dit de route verwijdert en alleen de fallback naar de default route test. Bij directe primary/backup-selectie lopen nieuwe verbindingen na terugkeer weer via de primary; bestaande verbindingen blijven doorgaans op de backup gateway.

reroute-connection is standaard actief en geldt voor verbindingen zonder SNAT. SNAT-verbindingen worden standaard niet omgeleid; zelfs met afzonderlijk ingeschakelde reroute-snat-connection werkt dit alleen als beide paden hetzelfde vertaalde source IP gebruiken. Bij MASQ of verschillende Override Source Translation-adressen wordt de SNAT-verbinding niet omgeleid en wordt de bestaande sessie bij paduitval verbroken.

Problemen systematisch afbakenen

De route matcht niet

  • Vergelijk incoming interface, source network, destination en service met de echte flow.
  • Controleer de routevolgorde; de eerste matchende SD-WAN-route wint.
  • Controleer bij Application Objects de licentie, DPI-herkenning en een tweede verbinding na classificatie.
  • Gebruik de traffic count niet als enig bewijs, omdat requests en replies alleen bij matchende source- en destinationcriteria worden geteld.
  • Bij Direct Web Proxy volstaat HTTP/HTTPS als service niet: Gebruik Any of een service voor de poort onder Web > General settings > Web proxy listening port. In dit bijzondere geval matchen source network en incoming interface niet voor reply packets; het retourpad van de proxy heeft bovendien een WAN default gateway of passende statische route nodig.

Voor reply packets en system-generated traffic gelden aparte switches en matchregels. Deze gevallen worden uitgelegd in Sophos Firewall SD-WAN-routing voor reply packets en system traffic controleren.

Verkeer neemt het verkeerde pad

  • Vervang voor publieke IPv4-bestemmingen Any door Internet IPv4 group of concrete bestemmingen.
  • Controleer route precedence, vooral als interne, SSL VPN- of policy-based IPsec-netwerken zijn betrokken.
  • Controleer gateway- en SLA-status en Health Check Targets.
  • Vergelijk de NAT-regel en het vertaalde source IP met de daadwerkelijk gebruikte gateway.
  • Controleer of een primary gateway of SD-WAN profile is verwijderd en daarmee ook de route.

De applicatie of reply valt na failover uit

Controleer eerst met Packet Capture of het pakket via de verwachte gateway vertrekt en of de reply terugkomt. Controleer daarna NAT, public-IP-allowlists, Session Persistence, MTU/MSS en de status van het VPN- of MPLS-pad. Vooral SIP/RTP, bankportalen en API’s met een vast source IP moeten met echt applicatieverkeer worden getest.

Als het probleem na een firmware-update begon, controleer dan de actuele SFOS 22.0-release notes voordat u uitgebreide regelwijzigingen uitvoert. SFOS 22.0 MR1 verhelpt onder meer willekeurige SD-WAN-onderbrekingen en eenrichtingsaudio via route-based VPN met SD-WAN-routing.

Beheer en documentatie

Documenteer voor elke productieve SD-WAN-route doel, incoming interface, source/destination, services, gateway of profile, fallback, NAT-verwachting, testclient, testbestemming, owner en reviewdatum. Controleer na wijzigingen aan provider, VPN, interface of clouddienst opnieuw match, logs en failover.

Een route is pas geaccepteerd wanneer:

  • de matchcriteria alleen het geplande verkeer omvatten
  • firewallregel, NAT en route precedence bij het ontwerp passen
  • Log Viewer en Packet Capture het verwachte pad bevestigen
  • failover, failback en public source IP volgens de documentatie reageren
  • een verantwoordelijke en volgende reviewdatum zijn vastgelegd