Sophos Firewall SD-WAN-route instellen en testen

Routing > SD-WAN routes
```Doorgaan:

1. Open **Toevoegen**.
2. Geef een unieke naam op, bijvoorbeeld `Clients_M365_WAN2`.
3. Kies **Inkomende interface** of broncontext die bij het ontwerp past.
4. Bronnetwerken of gebruikers stellen slechts zo breed in als nodig is.
5. Kies bewust voor bestemmingsnetwerken, FQDN-hosts of internetdiensten.
6. Beperk services tot de vereiste protocollen.
7. Selecteer gateway- of SD-WAN-profielen.
8. Controleer failover of back-uppad.
9. Sla de regel op en plaats deze op de juiste manier in de volgorde.
10. Voer een test uit bij een gedefinieerde klant.

De exacte interface kan enigszins variëren, afhankelijk van de SFOS-versie. Cruciaal blijft echter dat de route moet aansluiten bij de gewenste doorstroming en niet per ongeluk meer verkeer moet trekken dan gepland.

## Selecteer gateway- en SD-WAN-profielen

SD-WAN-routes kunnen rechtstreeks naar gateways verwijzen of werken met SD-WAN-profielen. Welke aanpak de juiste is, hangt af van het doel.

| aanpak | Het is logisch als |
| --- | --- |
| vaste toegangspoort | Verkeer moet bewust over een lijn stromen |
| Gateway met back-up | één regel heeft de voorkeur, maar failover moet mogelijk zijn |
| SD-WAN-profielen | meerdere gateways kunnen worden geëvalueerd op basis van gewicht, SLA of prioriteit |
| XFRM-interface of VPN-pad | routegebaseerde IPsec is opgenomen in de routing |

Als u meerdere WAN-lijnen heeft, moet u ook controleren of gatewaymonitoring, failovercriteria en providerrouting realistisch zijn. Een gateway kan technisch gezien "up" zijn, ook al werkt een specifieke doelapplicatie niet goed via deze provider.

## Controleer de volgorde en routeprioriteit

SD-WAN-routes staan ​​niet op zichzelf. Afhankelijk van hun ontwerp concurreren ze met direct verbonden netwerken, statische routes, VPN-routes en globale routevoorrang.

Belangrijke vragen:

- Is er een specifiekere statische route naar de bestemming?
- Past een bredere SD-WAN-route verderop?
- Moet SD-WAN vóór of na Statisch worden geëvalueerd?
- Is er sprake van een op beleid gebaseerde of routegebaseerde IPsec VPN?
- Heeft de route alleen invloed op het doorgestuurde clientverkeer of ook op antwoordpakketten en door het systeem gegenereerd verkeer?

De wereldorde is binnen [Wijzig de routeprioriteit van Sophos Firewall veilig](/nl/kb/sophos-firewall-routingprioriteit-wijzigen/) uitgelegd. Geschikt voor de speciale gevallen **Antwoordpakketten** en **Systeemverkeer** [Sophos Firewall Controleer SD-WAN-routering op antwoordpakketten en systeemverkeer](/nl/kb/sophos-firewall-sd-wan-routing-reply-packet-system-traffic/).

## Vergeet NAT niet

Routing bepaalt waar een pakket naartoe gaat. NAT beslist of het bron- of bestemmingsadres wordt gewijzigd. Beide moeten bij elkaar passen.

Typische voorbeelden:

- Voor internetverkeer via WAN2 is mogelijk MASQ of een vast SNAT IP op WAN2 nodig.
- Providers of clouddiensten staan ​​alleen een bepaald openbaar IP-adres toe.
- Voor interne netwerken of VPN's is NAT vaak onjuist omdat het echte bron-IP behouden moet blijven.
- Na een failover kan het openbare bron-IP veranderen en kunnen externe sites sessies beëindigen.

Als een SD-WAN-route correct werkt, maar de applicatie nog steeds niet werkt, moet NAT vroegtijdig worden gecontroleerd. De basis is binnen [NAT begrijpen op Sophos Firewall: SNAT, DNAT, MASQ, PAT](/nl/kb/sophos-firewall-nat-basics/).

## Testen en valideren

Een groene gatewaystatus bewijst niet dat de SD-WAN-route het verwachte verkeer bereikt. De test moet een echte stroom controleren.

Betekenisvol proces:

1. Gebruik een testclient met bekend IP-adres.
2. Specificeer het doel en de dienst exact.
3. Schakel logboekregistratie van firewallregels in.
4. Verbinding starten.
5. Controleer in de **Logviewer** Bron, Bestemming, Service, Regel-ID, NAT ID en Gateway.
6. Controleer de gebruiksteller van de SD-WAN-route.
7. Als het onduidelijk is, gebruik dan **Diagnostiek > Pakketopname** met een smal filter.
8. Test mislukt de primaire gateway bij het valideren van failover.
9. Controleer na de failback of sessies en nieuwe verbindingen naar verwachting werken.

Geschikt voor pakketstroomanalyse [Sophos Firewall-regeltesten met Log Viewer, Policy Test en Packet Capture](/nl/kb/sophos-firewall-regels-testen/). Belangrijk: De Policy Tester vervangt geen echte pakketstroomtest voor SD-WAN.

## Veel voorkomende fouten

| Fout | Effect | Betere aanpak |
| --- | --- | --- |
| Bestemming `Any` voor het gemak | er wordt te veel verkeer opgevangen door SD-WAN | Selecteer doelnetwerken, FQDN-hosts of internetdiensten nauwer |
| SD-WAN-route is te hoog | meer specifieke applicatie of route wordt overschreven | Controleer bestelling en druk op teller |
| NAT komt niet overeen met de gateway | Toepassing ziet onjuiste bron-IP- of retourpadonderbrekingen | Controleer de NAT-regel en MASQ/SNAT |
| Gateway-monitoring is te grof | Gateway is actief, ook al kan de doeltoepassing niet worden bereikt | Kies SLA/monitoringdoelen die aansluiten bij de dienstverlening |
| Routeprioriteit genegeerd | Statische route of VPN-route werkt anders dan verwacht | Prioriteit van document- en testroute |
| Antwoordverkeer verkeerd geclassificeerd | Antwoorden gaan niet via het verwachte pad | Controleer de optie voor het vastleggen en beantwoorden van pakketten |
| meerdere wijzigingen tegelijk | De oorzaak blijft onduidelijk een verandering, een test, dan verder |

## Problemen oplossen

Als de SD-WAN-route niet werkt zoals verwacht, moet je de fout niet meteen ‘oplossen’ met bredere regels. Een duidelijke afbakening is beter.

Rekening:

1. Bereikt het pakket zelfs de firewall?
2. Voldoet het aan de verwachte firewallregel?
3. Komt de SD-WAN-route overeen volgens de meter?
4. Is een andere SD-WAN-route hogerop specifieker of breder?
5. Past de dienst echt, bijvoorbeeld TCP/UDP en poort?
6. Wordt NAT gebruikt en is dat gewenst?
7. Verlaat het pakket de firewall via de verwachte gateway?
8. Zal het antwoord terugkomen?
9. Is er een statische route, VPN-route of routeprioriteit die het pad beïnvloedt?

Als Packet Capture helemaal geen pakket ziet, ligt het probleem in de firewall: clientgateway, VLAN, switch, lokale routering of onjuiste test. Als het pakket aankomt maar het verkeerde pad volgt, zijn SD-WAN-criteria, volgorde, NAT en routeprioriteit de volgende controlepunten.

## Operationele controle

SD-WAN-routes moeten na introductie worden gedocumenteerd en regelmatig worden gecontroleerd. Dit is vooral belangrijk bij het wisselen van provider, nieuwe VPN's, extra WAN-lijnen of wijzigingen in clouddiensten.

U moet documenteren:

- Doel van het traject
- Bron- en bestemmingscriteria
- Diensten
- Gateway- of SD-WAN-profielen
- NAT-verwachting
- Failover-gedrag
- Testklant en testdoel
- Eigenaar en beoordelingsdatum

Voor bedrijfskritische applicaties moet ook duidelijk zijn wie moet reageren bij verstoringen van de provider, failover-problemen of gewijzigde publieke IP's.

## Controlelijst

- Verkeersbestemming en zoekintentie van de route worden duidelijk beschreven.
- Bron, bestemming en diensten zijn niet onnodig breed vastgelegd.
- Gateway- of SD-WAN-profielen zijn bewust gekozen.
- Firewallregel en NAT-regel komen overeen met de route.
- Routeprioriteit gecontroleerd.
- Antwoordpakketten en door het systeem gegenereerd verkeer worden alleen opgenomen als dat nodig is.
- Log Viewer en Packet Capture gebruikt voor acceptatie.
- Failover en failback getest als onderdeel van het ontwerp.
- Route gedocumenteerd en voorzien van eigenaar.

## Veelgestelde vragen







  
Wanneer heb je een SD-WAN-route nodig op Sophos Firewall?
  

    Een SD-WAN-route is zinvol wanneer bepaald verkeer over een specifiek pad moet stromen, afhankelijk van de bron, bestemming, dienst, gebruiker of gateway. Voor een eenvoudig doelnetwerk kan een statische route vaak voldoende zijn.
  









  
Waarom werkt mijn SD-WAN-route niet?
  

    Vaak komen de prioriteit van bron, bestemming, dienst, bestelling of route niet overeen. Bovendien kan een firewallregel, NAT-regel of statische route de daadwerkelijke pakketstroom beïnvloeden.
  









  
Kunt u SD-WAN gebruiken met routegebaseerde IPsec?
  

    Ja, routegebaseerde IPsec kan worden geïntegreerd in SD-WAN-ontwerpen met XFRM-interfaces en geschikte routes. Vervolgens moeten de IPsec-status, SD-WAN-route, routeprioriteit, NAT en firewallregels samen worden gecontroleerd.
  









  
Moet u Bestemming altijd op Willekeurig instellen?
  

    Nee. Any is alleen zinvol als de route werkelijk al het bestemmingsverkeer van deze bron moet sturen. Voor clouddiensten, VoIP, interne netwerken of VPN’s zijn specifiekere doelen meestal veiliger en beter onderhoudbaar.
  









  
Is de Policy Tester voldoende voor SD-WAN-testen?
  

    Nee. De Policy Tester helpt bij beleidslogica, maar vervangt geen echte pakketstroomtest. Voor SD-WAN moet u logviewer, hitcounter en pakketopname gebruiken.