Naar de inhoud
Avanet

Sophos Firewall SD-WAN-route instellen en testen

Sophos Firewall

Met een SD-WAN-route bepaalt u via welke gateway een gedefinieerde verkeersstroom op Sophos Firewall loopt. Dit is nuttig bij meerdere internetverbindingen, MPLS, route-based IPsec VPN’s, VoIP of clouddiensten. De route moet nauwkeurig zijn afgebakend en met echt verkeer worden getest, anders kan ze interne netwerken omvatten of bij failover het verkeerde publieke IP-adres gebruiken.

Als Sophos Fusion (voorheen Sophos Central) de route-based tunnels en locatiepaden voor meerdere beheerde firewalls moet genereren, past Een Sophos Fusion SD-WAN-verbindingsgroep instellen en controleren beter. Dit artikel legt de lokale SD-WAN-route uit, die ook belangrijk blijft voor de validatie van centraal uitgerolde paden.

Kort antwoord

U maakt hier een SD-WAN-route:

Routing > SD-WAN routes > IPv4 / IPv6 > Add

Vooraf moeten vier punten duidelijk zijn:

  • welk verkeer moet matchen op basis van incoming interface, source, destination en service
  • welke primary/backup gateway of welk SD-WAN profile wordt gebruikt
  • of uitsluitend deze gateways zijn toegestaan en welke NAT daarbij past
  • hoe route, gateway en retourpad met Log Viewer en Packet Capture worden gecontroleerd

Gebruik voor publieke IPv4-bestemmingen niet zonder meer Any, maar waar mogelijk Internet IPv4 group of concrete bestemmingen. Als SD-WAN vóór Static staat in de route precedence, kan een brede Any-route anders ook intern verkeer naar de WAN-gateway sturen.

De video vult de handleiding voor planning, configuratie en controle van SD-WAN-routes op Sophos Firewall aan.

Gebruik en planning

Wanneer SD-WAN beter past dan een statische route

Een statische route volstaat als een bestemmingsnetwerk altijd via een vaste next hop bereikbaar is. SD-WAN-routes voegen criteria toe, zoals source, service, gebruiker of applicatie, en kunnen gateways op basis van beschikbaarheid of kwaliteit selecteren.

Typische situaties zijn:

  • bepaalde clients of diensten via WAN2 sturen en bij uitval naar WAN1 overschakelen
  • VoIP of cloudapplicaties via een pad met lage latency en weinig pakketverlies sturen
  • MPLS, LTE/5G of een route-based IPsec-tunnel als primair of back-uppad gebruiken
  • verkeer binden aan een provider waarvan het publieke IP-adres bij een externe partij is toegestaan

Planningsvoorbeeld en voorwaarden

Beschrijf vóór het maken van de route een concrete verkeersstroom. Voor Microsoft 365-verkeer kan de planning er als volgt uitzien:

  • Incoming interface: interne LAN-interface
  • Source network: Client_Net_10.20.0.0_24
  • Destination: zelf onderhouden Microsoft 365-bestemmingsgroep of Internet IPv4 group
  • Services: HTTPS en indien nodig een servicegroep voor UDP 3478-3481
  • Primary gateway: WAN2
  • Backup gateway: WAN1
  • Fallback: default route toestaan of Route only through specified gateways inschakelen
  • NAT: MASQ of een vast SNAT-IP passend bij de gekozen gateway
  • Test: vaste client-IP, bestemming, verwachte gateway en verwachte logvermelding

Daarnaast zijn passende firewallregels, NAT-regels voor te vertalen verkeer, ingeschakelde firewalllogging en toegang tot Log viewer en Diagnostics > Packet capture nodig. WAN-gateways staan onder Network > WAN link manager; Custom Gateways voor MPLS, RED of XFRM worden onder Routing > Gateways aangemaakt.

Het algemene Active/Backup-gedrag van het default-WAN-pad wordt uitgelegd in Sophos Firewall WAN-failover instellen; voor de basis van interfaces en gateways helpt Sophos Firewall-zones en interfaces configureren.

Bij route-based IPsec is de richting belangrijk: Een XFRM-interface als Incoming interface matcht verkeer dat uit de tunnel binnenkomt. Voor LAN-naar-VPN-verkeer selecteert u daarentegen de gateway van de XFRM-interface als primary gateway of in een SD-WAN profile. De basis staat in IPsec-route op Sophos Firewall maken.

Voeg voor een gerichter Teams-voorbeeld de fictieve groep Sales_Team toe bij Users or groups en Teams_VoIP bij Application objects. Vervang beide namen door uw eigen gebruikersgroep en de daadwerkelijk benodigde applicaties. Samen met de LAN-interface, Client_Net_10.20.0.0_24, de beoogde bestemmingen en services sturen deze criteria alleen de passende flow via WAN2/WAN1. Controleer afzonderlijk een beperkte allow-regel van LAN naar WAN voor deze bron, bestemmingen en services, de beoogde gebruikersrechten en NAT op beide paden. De SD-WAN-route verleent geen toegang; de test moet de geplande gebruiker, applicatie, Firewall Rule ID en NAT ID bevestigen.

MPLS tussen een vestiging en het hoofdkantoor

Een afgebakend voorbeeld verbindt 10.20.0.0/24 in de vestiging met webservers in het hoofdkantoornetwerk 10.30.0.0/24: de incoming interface is het vestigings-LAN, de primary gateway is MPLS-1, de backup is MPLS-2 en de services blijven beperkt tot de benodigde TCP 80/TCP 443. De firewall op het hoofdkantoor heeft de bijbehorende retourroute van 10.30.0.0/24 naar 10.20.0.0/24 via zijn eigen MPLS-gateways nodig. Netwerken, interfaces, gateways en services zijn voorbeeldwaarden die u aan de werkelijke topologie aanpast. De afzonderlijke firewallregel in de vestiging staat LAN naar de werkelijke MPLS-zone, hier MPLS_DMZ, alleen voor deze netwerken en services toe; ook de regels op het hoofdkantoor moeten de beoogde flow toestaan. Dit gerouteerde ontwerp behoudt de oorspronkelijke privéadressen zonder SNAT. Het is geen algemene NAT-regel voor elke MPLS-installatie. Controleer beide richtingen en het ongewijzigde bron-IP met echt verkeer op beide firewalls.

De SD-WAN-route instellen

Matchcriteria bepalen

Selecteer voor IPv6 specifieke doel-IP-hosts in plaats van een algemene bestemming Any. Als een generieke Any-route moet blijven bestaan, maak dan daarboven een route voor de specifieke doel-IP-hosts en hun beoogde gateway; houd ook incoming interface, source en services beperkt. Leg vóór een wijziging de geïnstalleerde volgorde vast met system route_precedence show, evenals routepositie en instellingen, controleer onafhankelijk beheer en plan het herstel van deze waarden. Een specifiekere route is geen reden om de globale route precedence blind te resetten.

  1. Open Routing > SD-WAN routes.
  2. Selecteer IPv4 of IPv6 en klik op Add.
  3. Voer een duidelijke naam in, bijvoorbeeld Clients_M365_WAN2.
  4. Selecteer de Incoming interface waarop het te sturen verkeer binnenkomt.
  5. Selecteer optioneel een DSCP-waarde als inkomende pakketten betrouwbaar zijn gemarkeerd.
  6. Definieer Source networks en voeg indien nodig Users or groups toe.
  7. Beperk Destination networks zo veel mogelijk.
  8. Beperk Services tot de vereiste protocollen en poorten.
  9. Selecteer optioneel Application objects.
  10. Selecteer onder Link selection settings een SD-WAN profile of primary/backup gateways.
  11. Schakel Route only through specified gateways bewust in of uit.
  12. Sla de route op en zet haar op de juiste positie; de eerste matchende SD-WAN-route wint.
  13. Test met een gedefinieerde client en bestemming.

Application Objects vereisen een actieve Web Protection License. De eerste verbinding wordt op basis van destination IP, poort, protocol en incoming interface via een andere matchende SD-WAN-route of anders via de default route gerouteerd. Pas na applicatieherkenning geldt het Application Object voor volgende verbindingen. De classificatiegegevens hebben vanaf de sessiestart een TTL van 3600 seconden. Bij Micro Apps ondersteunt alleen DPI Engine Mode alle applicaties; Web Proxy Mode ondersteunt alleen Pattern Applications en Synchronized Security Applications.

In een HA-cluster synchroniseert SFOS deze Application Routing-cache via de dedicated HA-link met multicast 226.1.1.1 op poort 4455. Een herstart van de firewall wist de classificatiegegevens. Na een herstart of HA-probleem wordt daarom niet alleen de tunnel- of gatewaystatus gecontroleerd, maar worden opnieuw een eerste en een volgende applicatieverbinding gegenereerd.

Een Application Object maken

De DPI-engine kan een applicatie binnen dezelfde verbinding opnieuw classificeren, bijvoorbeeld bij de overgang van een website naar de chat daarvan. De nieuwe beslissing geldt voor volgende verbindingen en garandeert niet dat de huidige verbinding wordt omgeleid. Als binnen de TTL van 3600 seconden vanaf de sessiestart geen nieuwe sessie begint, worden de opgeslagen sessiedetails gewist.

Application Objects kunnen webapplicaties, micro apps, op endpoints ontdekte Synchronized Security Applications, aangepaste applicaties en applicatiecategorieën bevatten. Kies het type op basis van de benodigde herkenning en respecteer de bovenstaande licentie- en DPI/proxy-beperkingen; een hele categorie is breder dan één benodigde applicatie.

Een Application Object groepeert alleen de applicaties die hetzelfde SD-WAN-pad moeten gebruiken. Open Applications > Application object, selecteer Add, geef een naam op en beperk de resultaten via Category, Risk, Characteristics, Technology, Classification of de zoekfunctie op naam. Selecteer daarna de daadwerkelijk benodigde applicaties en sla het object op. Sophos werkt de beschikbare applicatielijst dynamisch bij via IPS-updates en Synchronized Application Control; controleer de selectie daarom opnieuw na wijzigingen in patterns of applicaties.

Het filter Technology onderscheidt browser-based, client-server, network protocol, P2P en synchronized application control. Onder Classification zijn new, sanctioned, unsanctioned en tolerated beschikbaar. Deze criteria maken de selectie eenvoudiger, maar bewijzen niet dat de latere route werkt. Daarvoor is eerst de classificatieverbinding nodig en daarna een nieuwe testverbinding.

Voor Microsoft 365 is één verzamelobject vaak te breed. Een object zoals Teams_VoIP kan bijvoorbeeld alleen de Teams-applicaties voor realtimecommunicatie bevatten, terwijl OneDrive of SharePoint een ander pad gebruikt. Selecteer het opgeslagen object vervolgens in het veld Application objects van de SD-WAN-route.

Gateway of SD-WAN profile selecteren

Primary/backup gateways volstaan voor één voorkeurspad en een fallback. Een SD-WAN profile scheidt twee keuzes: Routing strategy kiest het pad met First available gateway of Load balancing; het optionele Service Level Agreement (SLA) voegt kwaliteitsmetingen aan die strategie toe. Best quality en Custom SLA zijn dus geen twee extra routingstrategieën.

Configureer een SD-WAN profile onder Routing > SD-WAN profiles > Add als volgt:

  1. Voer een naam en beschrijving in en kies onder Routing strategy First available gateway of Load balancing.
  2. Wijs twee tot acht gateways toe en sleep ze in de gewenste volgorde. Gateway weights verschijnt alleen bij load balancing; verschillende gewichten kunnen verschillende lijncapaciteiten weergeven.
  3. Kies voor load balancing Round-robin of een geschikt Session persistence type. De binding kan gebaseerd zijn op source IP, destination IP, source en destination of een afzonderlijke verbinding.
  4. Schakel SLA alleen in als latency, jitter of pakketverlies de selectie moeten beïnvloeden. Best quality vergelijkt precies één criterium. Custom SLA toetst latency, jitter en pakketverlies aan de ingestelde grenswaarden.
  5. Schakel Health check in, kies onder Protocol Ping of TCP en voer maximaal twee Probe targets in. Geef bij TCP ook een poort op waarop het doel betrouwbaar antwoordt. SFOS dwingt Health Check af zodra SLA actief is.
  6. Stem Interval between checks, Response time-out, Deactivate gateway after, Activate gateway after en Sample size for SLA af op de dienst. Korte waarden reageren sneller, maar kunnen bij tijdelijk pakketverlies onnodig omschakelen; grotere waarden zijn rustiger, maar herkennen een echte storing later.
  7. Sla het profile op, selecteer het in de SD-WAN-route en controleer het pad met echt verkeer.

De twee Probe Targets vormen samen één beschikbaarheidstest: SFOS beschouwt de gateway als actief als minstens één doel antwoordt. Valt het eerste uit, dan schakelt de firewall naar het tweede en blijft dit gebruiken zolang het antwoordt. Alleen de terugkeer van het eerste doel veroorzaakt geen onmiddellijke terugschakeling. De doelen moeten daarom achter de gateway liggen en het relevante pad vertegenwoordigen; een geslaagde ping bewijst niet dat DNS, TLS of de volledige applicatie werkt.

Bij Best quality vindt failback pas plaats als de oorspronkelijke gateway 10 ms beter is voor latency of 5 ms voor jitter; voor pakketverlies bestaat geen vergelijkbare marge. Onder Routing > SD-WAN profiles betekent een actief profile dat minstens één gateway beschikbaar is. Link status vat de configuratie samen, Historical performance opent de meetwaarden en Object usage toont welke routes het profile gebruiken. Controleer die verwijzingen voordat u het profile wijzigt of verwijdert.

Als Route only through specified gateways actief is, dropt de firewall verkeer wanneer de opgegeven paden niet beschikbaar zijn. Zonder deze optie controleert ze andere SD-WAN-routes en daarna de default route. Als een backup gateway wordt verwijderd, zet Sophos Firewall deze op None; bij het verwijderen van de primary gateway of het SD-WAN profile wordt de route verwijderd en kan de default route overnemen.

Bij Load balancing met Best quality wordt verkeer alleen verdeeld als minstens twee gateways samen de beste prestaties voor het gekozen criterium leveren; niet elke bereikbare gateway komt in aanmerking. Bij Custom SLA wordt verdeeld over de gateways die aan de ingestelde SLA-grenzen voldoen. Een bereikbaar pad dat niet aan het SLA voldoet is niet hetzelfde als een onbereikbare gateway; hieruit volgt geen algemene fallbackregel als geen gateway aan het SLA voldoet.

Gateway weights beschrijft een verhouding van requests: in het gedocumenteerde voorbeeld betekent 3:1 drie van de vier requests via de eerste gateway en één via de tweede. Kies gewichten op basis van lijncapaciteit en middelen; ze garanderen geen gelijke verhouding van bytes, een bepaalde doorvoersnelheid of bundeling van lijnen.

Bij Custom SLA worden Maximum latency en Maximum jitter in milliseconden uitgedrukt en Maximum packet loss in procentpunten. Interval between checks bepaalt de tijd tussen probes en Response time-out de toegestane antwoordtijd. Deactivate gateway after telt opeenvolgende mislukte probe-pogingen; Activate gateway after telt opeenvolgende geslaagde antwoorden. Sample size for SLA bepaalt het aantal probe-steekproeven waarmee de gemiddelde gatewayprestaties worden vastgesteld. Kies deze waarden voor uw eigen dienst en behandel een los timingvoorbeeld niet als algemene standaard.

Route precedence en NAT afstemmen

De gedocumenteerde standaard is Static → SD-WAN → VPN. Dat is niet noodzakelijk de toestand van een bestaande installatie: controleer nog steeds system route_precedence show voordat u beslist en pas de standaard niet automatisch toe.

Route precedence bepaalt de volgorde tussen Static, SD-WAN en VPN. Direct verbonden netwerken en SSL VPN vallen onder de categorie Static. De huidige volgorde is zichtbaar onder Routing > SD-WAN routes of in de Device Console; wijzigingen en rollback worden uitgelegd in Sophos Firewall route precedence veilig aanpassen.

Routing kiest het pad, NAT verandert adressen. Internetverkeer via WAN2 kan daarom MASQ of een vast SNAT-IP op dat pad nodig hebben. Voor interne netwerken en VPN’s is NAT daarentegen vaak ongewenst. Zie NAT op Sophos Firewall begrijpen: SNAT, DNAT, MASQ, PAT.

DNAT naar een server achter route-based IPsec

Een openbare DNAT-publicatie kan verwijzen naar een interne server die niet lokaal is aangesloten, maar via route-based IPsec achter een externe firewall staat. In dit speciale geval moeten DNAT en de SD-WAN-route vóór de vertaling dezelfde inkomende flow herkennen en moet het retourpad opnieuw via de publicerende firewall lopen.

De betrouwbare SFOS 22-procedure bestaat uit vijf samenhangende onderdelen:

  1. Maak onder Hosts and services > IP host een exact IP-object voor de externe server.
  2. Maak onder Routing > Gateways een gateway met het externe gateway-IP en de bijbehorende XFRM-interface. Gebruik een stabiel bereikbare host achter deze gateway als monitoringdoel.
  3. Laat de DNAT-regel overeenkomen met de openbare WAN-interface en de extern aangeboden service, en selecteer de externe server als Translated destination. In het Sophos-voorbeeld zorgt MASQ ervoor dat antwoorden teruggaan naar de publicerende firewall; de server ziet daardoor echter niet meer het oorspronkelijke client-IP.
  4. Voer in de SD-WAN-route dezelfde openbare WAN-interface in onder Destination networks en de extern aangesproken poort onder Services. Bij PAT is dit uitdrukkelijk de externe poort, niet de vertaalde interne doelpoort. Selecteer de gateway van de XFRM-interface als primary gateway.
  5. Controleer een beperkte firewallregel voor de publicatie en test de flow vanuit een extern netwerk. NAT Rule ID, Firewall Rule ID, de SD-WAN-route, de gekozen XFRM-gateway, heen- en retourpad en het bron-IP dat op de server zichtbaar is, moeten bij het ontwerp passen.

MASQ is hier geen cosmetische optie. In het gedocumenteerde voorbeeld lost het het retourpad op, maar verbergt het het echte client-IP voor de doelserver. Als de externe locatie een gecontroleerd retourpad naar de oorspronkelijke clientnetwerken heeft en het oorspronkelijke IP behouden moet blijven, is een bewust gepland en afzonderlijk getest routingontwerp nodig. De algemene publicatie en beveiliging worden uitgelegd in Een server via DNAT publiceren op Sophos Firewall.

Meerdere externe servers kunnen dezelfde SD-WAN-route gebruiken als ze via dezelfde gateway bereikbaar zijn en ondubbelzinnig op WAN-adres of externe TCP-poort kunnen worden gematcht. Gebruiken ze verschillende gateways, configureer dan afzonderlijke SD-WAN-routes. Bij een match op de verkeerde poort, het verkeerde WAN-object of de verkeerde gateway wordt de route niet uitgebreid naar Any; bewijs eerst de pre-DNAT-flow met Log Viewer en Packet Capture.

De route testen en accepteren

Routelijst en gatewaystatus controleren

Onder Routing > SD-WAN routes kunt u zoeken op routenaam, object of objectwaarde; 443 vindt bijvoorbeeld routes die de HTTPS-service gebruiken. Met slepen wijzigt u de volgorde. Dit verandert de verkeersafhandeling, omdat SFOS van boven naar beneden evalueert en bij de eerste match stopt.

Via More options kunt u een route in- of uitschakelen, bewerken of klonen, de datateller resetten of de route verwijderen. Noteer vóór een reset de tellerstand en het tijdstip. Een gekloonde route is zelfstandig: controleer naam, matchcriteria, positie, gateway en NAT voordat u deze opslaat of inschakelt en controleer daarna de werkelijke On/Off-status.

De tooltip bij het pictogram in de kolom Active toont statussen zoals In use, Available, Unavailable, In use, but SLA isn't met of Available and SLA isn't met. Een beschikbare gateway- of profilestatus bewijst niet dat deze route matchte en evenmin dat het retourpad werkt.

Bij directe primary/backup-selectie onderscheidt het pictogram Active drie toestanden: minstens één gateway is bereikbaar en de route is actief; de route is niet actief en Route only through specified gateways staat uit; of de route is niet actief en de optie staat aan. In het laatste geval blijft verkeer gedropt wanneer de opgegeven paden onbereikbaar zijn, in plaats van andere gateways te gebruiken. Lees tooltip en selectievakje samen en stel ze niet gelijk aan een SLA-status van een profile.

Standaardtest met echt verkeer

  1. Kies een testclient met een bekend IP-adres en een eenduidige bestemming.
  2. Schakel logging in de passende firewallregel in.
  3. Start een echte verbinding.
  4. Controleer in Log viewer source, destination, service, rule ID, NAT ID en gateway.
  5. Controleer de traffic count van de SD-WAN-route: OUT telt requests en IN replies alleen als source en destination in de betreffende richting matchen.
  6. Schakel onder System services > Log settings het type SD-WAN in en controleer in Log Viewer de module SD-WAN op profile-, SLA- en route-events.
  7. Stel bij onduidelijkheid onder Diagnostics > Packet capture een nauw filter in op client, bestemming en poort.

De Policy tester houdt geen rekening met SD-WAN-routes. Deze kan policymatches controleren, maar bevestigt noch de gekozen SD-WAN-route noch de daadwerkelijke gateway. Zie Sophos Firewall-regel testen met Log Viewer, Policy Test en Packet Capture voor een volledige analyse.

Selecteer voor profile- en routelogs binnen de firewallweergave de module Firewall in Log viewer, open de uitgebreide selectie met de uitklapknop naast de modulelijst, selecteer de gewenste SD-WAN-logs en klik op Apply. Dit vult de afzonderlijke SD-WAN-moduleweergave aan.

SD-WAN performance evalueren

De x-as van de kwaliteitsgrafieken toont de tijd; de y-as toont latency en jitter in milliseconden en pakketverlies in procentpunten. Assigned weights for load balancing opent de toegewezen gatewaygewichten. Metingen en gewichten vormen geen acceptatie van de applicatie.

Onder Diagnostics > SD-WAN performance selecteert men het gebruikte SD-WAN profile. Als alternatief opent men Routing > SD-WAN profiles, selecteert het profile en klikt onder Status op Historical performance. Per gateway toont de weergave het totale aantal verbindingen, de overgedragen hoeveelheid data, de toegewezen load-balancing-gewichten en latency, jitter en pakketverlies voor Live, 24h, 48h, Week of Month.

Volgens Sophos betekent No data to display dat nog geen route het geselecteerde profile gebruikt of dat er geen verkeer door zo’n route loopt. De melding bewijst daarom geen meetfout. Genereer eerst een gecontroleerde gegevensstroom via de verwachte route en bevestig die met Log Viewer of Packet Capture.

Reset data transfer and connection count wijzigt de tellers. Documenteer waarden en tijdstip voordat ze worden gereset. Ook een onopvallende grafiek bewijst nog niet dat firewallregel, NAT, applicatie en retourpad werken; deze lagen blijven onderdeel van de praktijktest.

Failover en failback veilig testen

Noteer vóór een wijziging de huidige routepositie en On/Off-status, de primary/backup gateways of het gebruikte profile, de gatewayvolgorde van het profile, de SLA- en Health Check-waarden en de verwachte NAT-vertaling. Voor rollback herstelt u exact deze waarden en controleert u daarna opnieuw status, logs en echt verkeer.

Voer een gecontroleerde uitvaltest uit in een onderhoudsvenster, met een gedocumenteerde rollback en een onafhankelijk beheerpad naar de firewall. Controleer vooraf in de Device Console de actuele alleen-lezen statuswaarden:

system route_precedence show
show routing reroute-connection
show routing reroute-snat-connection

Start vervolgens echt applicatieverkeer, laat de primary gateway gecontroleerd uitvallen en controleer pad, sessies, public source IP en retourpad. Verwijder voor deze test niet de primary gateway of het SD-WAN profile, omdat dit de route verwijdert en alleen de fallback naar de default route test. Ook het bewerken van de route of het profile en een wijziging van Route Precedence kunnen bestaande verbindingen opnieuw routeren en horen niet thuis in dezelfde baselinetest. Bij directe primary/backup-selectie lopen nieuwe verbindingen na terugkeer weer via de primary; bestaande verbindingen blijven doorgaans op de backup gateway.

reroute-connection is standaard actief en geldt voor verbindingen zonder SNAT. SNAT-verbindingen worden standaard niet omgeleid; zelfs met afzonderlijk ingeschakelde reroute-snat-connection werkt dit alleen als beide paden hetzelfde vertaalde source IP gebruiken. Bij MASQ of verschillende Override Source Translation-adressen wordt de SNAT-verbinding niet omgeleid en wordt de bestaande sessie bij paduitval verbroken.

Rerouting bewust wijzigen

Deze instellingen veranderen de verkeersafhandeling en zijn geen voorwaarden voor de baselinetest. Wijzig ze alleen in een onderhoudsvenster met gecontroleerd onafhankelijk beheer en een gedocumenteerde rollback: sla eerst beide hierboven getoonde reroutingstatussen op en controleer voor SNAT of beide paden hetzelfde vertaalde bron-IP gebruiken. In de Device Console zijn de volgende alternatieven beschikbaar; voer alleen het commando voor de beoogde wijziging uit, niet alle commando’s achter elkaar:

  • Inschakelen zonder SNAT: set routing reroute-connection enable; uitschakelen: set routing reroute-connection disable.
  • Inschakelen voor SNAT: set routing reroute-snat-connection enable; uitschakelen: set routing reroute-snat-connection disable.

Controleer daarna met show routing reroute-connection en show routing reroute-snat-connection en test sessies, bron-IP en beide verkeersrichtingen afzonderlijk. Herstel voor rollback elke gewijzigde instelling naar de vastgelegde enable/disable-toestand en herhaal de statuscontrole en praktijktest. Deze gedocumenteerde commando’s en rollback zijn hier niet op een firewall getest; SNAT-rerouting inschakelen heft de MASQ/IP-beperkingen niet op.

Problemen systematisch afbakenen

De route matcht niet

  • Vergelijk incoming interface, source network, destination en service met de echte flow.
  • Controleer de routevolgorde; de eerste matchende SD-WAN-route wint.
  • Controleer bij Application Objects de licentie, DPI-herkenning en een tweede verbinding na classificatie.
  • Gebruik de traffic count niet als enig bewijs, omdat requests en replies alleen bij matchende source- en destinationcriteria worden geteld.
  • Bij Direct Web Proxy volstaat HTTP/HTTPS als service niet: Gebruik Any of een service voor de poort onder Web > General settings > Web proxy listening port. In dit bijzondere geval matchen source network en incoming interface niet voor reply packets; het retourpad van de proxy heeft bovendien een WAN default gateway of passende statische route nodig.
  • Controleer bij een uit SFOS 17.5 of ouder gemigreerde SD-WAN-route of de oorspronkelijke firewallregel is verwijderd. Zulke gemigreerde routes blijven aan de oude regel gekoppeld en worden ook verwijderd wanneer die regel wordt gewist.
  • Bij IPv6 bewaakt Dead Gateway Detection in SD-WAN-routes geen netwerkverkeer van derden zoals SNMP. Een ontbrekende externe meting is daarom geen betrouwbaar bewijs van de DGD-status.

Direct Web Proxy met een PAC-bestand instellen beschrijft listener, clientdistributie, beveiligingsregel en test met echt verkeer.

Voor reply packets en system-generated traffic gelden aparte switches en matchregels. Deze gevallen worden uitgelegd in Sophos Firewall SD-WAN-routing voor reply packets en system traffic controleren.

Web Admin en SSH zijn na een nieuwe route onbereikbaar

Een gedocumenteerd scenario combineert vier instellingen: SD-WAN staat vóór Static, een nieuwe route voor een specifiek intern bronnetwerk heeft destination Any, SD-WAN-routing voor system-generated traffic is ingeschakeld en dat voor reply packets ook. Daardoor kan beheer vanuit het betrokken interne netwerk verloren gaan terwijl toegang vanuit andere subnetten mogelijk blijft. Dit zijn geen noodzakelijke voorwaarden voor elke beheerstoring.

Controleer via eerder geverifieerde alternatieve toegang de bron, bestemming en precedence van de route en deze alleen-lezen waarden in de Device Console:

show routing sd-wan-policy-route system-generate-traffic
show routing sd-wan-policy-route reply-packet

Controleer eerst of beheer vanuit een niet-betrokken subnet daadwerkelijk toegestaan en bereikbaar is. Beperk daarna gericht de bestemming of herstel één van de eerder gewijzigde instellingen naar de gedocumenteerde oorspronkelijke waarde. Voer geen blinde globale reset uit: leg vooraf routepositie, instellingen en precedence vast, plan rollback en controleer daarna Web Admin, SSH en het betrokken verkeer opnieuw. Ga zonder veilige alternatieve toegang niet op afstand verder met de wijziging.

Verkeer neemt het verkeerde pad

  • Vervang voor publieke IPv4-bestemmingen Any door Internet IPv4 group of concrete bestemmingen.
  • Controleer route precedence, vooral als interne, SSL VPN- of policy-based IPsec-netwerken zijn betrokken.
  • Controleer gateway- en SLA-status en Health Check Targets.
  • Vergelijk de NAT-regel en het vertaalde source IP met de daadwerkelijk gebruikte gateway.
  • Controleer of een primary gateway of SD-WAN profile is verwijderd en daarmee ook de route.

De applicatie of reply valt na failover uit

Controleer eerst met Packet Capture of het pakket via de verwachte gateway vertrekt en of de reply terugkomt. Controleer daarna NAT, public-IP-allowlists, Session Persistence, MTU/MSS en de status van het VPN- of MPLS-pad. Vooral SIP/RTP, bankportalen en API’s met een vast source IP moeten met echt applicatieverkeer worden getest.

Als het probleem direct na de upgrade naar SFOS 22.0 GA begon, controleer dan eerst de geïnstalleerde build. SFOS 22.0 MR1 Build 490 verhelpt NC-173667, waarbij een SD-WAN-route willekeurig werd verbroken, en NC-177603, waarbij VoIP-audio via een route-based VPN na de upgrade naar 22.0 GA slechts in één richting werkte. Als MR1 of een latere build al is geïnstalleerd, mag het probleem niet alleen aan de firmwareversie worden toegeschreven; herhaal dan de hierboven beschreven test met echt verkeer en controleer de route, sessies, NAT en beide verkeersrichtingen.

Beheer en documentatie

Documenteer voor elke productieve SD-WAN-route doel, incoming interface, source/destination, services, gateway of profile, fallback, NAT-verwachting, testclient, testbestemming, owner en reviewdatum. Controleer na wijzigingen aan provider, VPN, interface of clouddienst opnieuw match, logs en failover.

Een route is pas geaccepteerd wanneer:

  • de matchcriteria alleen het geplande verkeer omvatten
  • firewallregel, NAT en route precedence bij het ontwerp passen
  • Log Viewer en Packet Capture het verwachte pad bevestigen
  • failover, failback en public source IP volgens de documentatie reageren
  • een verantwoordelijke en volgende reviewdatum zijn vastgelegd