sFlow Monitoring configureren op Sophos Firewall

Met sFlow Monitoring kan een Sophos Firewall verkeerssamples naar een externe collector sturen. Volumepieken, ongebruikelijke flows, onverwachte bestemmingen en de verdeling van belasting over interfaces zijn zo makkelijker te herkennen dan in afzonderlijke live-logs. De functie is beschikbaar in Sophos Firewall v22.

De functie is vooral interessant voor troubleshooting, capaciteitsplanning en security monitoring. sFlow vervangt echter niet de Log viewer noch Packet Capture of een goede logopslag via Central Firewall Reporting of Syslog. sFlow beantwoordt andere vragen: niet “welke regel werd exact toegepast?”, maar “welke verkeersstromen lopen over dit interface en hoe worden ze verdeeld?”. Voor hardwarestatus, temperatuur, ventilatoren, voedingen en PoE is SNMP Hardware Monitoring meer geschikt.

Als in plaats van interfacesamples NetFlow-v5-records uit gericht gelogde firewallregels nodig zijn, past NetFlow op Sophos Firewall configureren en testen beter. Als een switch daarentegen passief een gespiegelde pakketstroom aan de firewall moet leveren, is Discover Mode met TAP en SPAN het geschikte, duidelijk afgebakende model.

Wanneer sFlow zinvol is

sFlow is zinvol wanneer er een externe collector of een monitoringsysteem aanwezig is en verkeerspatronen over tijd zichtbaar moeten worden.

Typische toepassingsgevallen:

• Onverwachte bandbreedtepieken op WAN-, LAN- of core-interfaces herkennen.
• Verkeer tussen VLAN’s of locaties beter indelen.
• Capaciteitsplanning voor firewall, uplink of core-switching ondersteunen.
• Verdachte flows als uitgangspunt voor verdere analyse vinden.
• Monitoringgegevens vergelijken met firewall logs, Central Reporting of SIEM-gegevens.

Als slechts één enkele verbinding moet worden gecontroleerd, is sFlow vaak niet het juiste hulpmiddel. Voor gerichte prestatietests is iPerf meer geschikt. Voor specifieke verbindingsproblemen zijn Log Viewer, Policy Test en Packet Capture meestal sneller.

Vereisten

Voor sFlow heeft men nodig:

• Sophos Firewall met SFOS 22.0 of nieuwer.
• Administratieve toegang tot de Device Console.
• Een bereikbare sFlow Collector, bijvoorbeeld een NMS, SIEM of flow-analysetool.
• Een veilig netwerk tussen firewall en collector.
• Een duidelijke beslissing over welke hardware-interfaces moeten worden bewaakt.

De configuratie gebeurt niet op een WebAdmin-pagina. Open in WebAdmin onder SFOS 22 rechtsboven het gebruikersnaammenu (bijvoorbeeld admin) en kies Console; klik onder SFOS 23 op die plek op het accountpictogram Account icon en kies Command line. Kies vervolgens in beide versies 4. Device Console en voer system sflow uit. De Advanced Shell is hiervoor niet de juiste console. Sophos Firewall-probleemoplossing: services en logs legt het verschil uit.

Gebruikt u een SSH-client, ga dan naar Administration > Device access > Local service ACL, sta SSH toe vanuit de vereiste bronzone en klik op Apply. Open niet zonder noodzaak een hele zone. Een Local service ACL exception rule is de beperktere keuze wanneer alleen bepaalde beheerhosts toegang nodig hebben. Controleer bestaande console- of SSH-toegang voordat u sFlow wijzigt, niet pas wanneer een rollback nodig is.

Minimale flow

De eigenlijke configuratie is kort. Belangrijk is vooral dat men eerst het monitoringpad plant en pas daarna sFlow activeert:

1. Collector, poort en netwerkpad vastleggen.
2. Eén hardware-interface voor de eerste pilot kiezen.
3. Eerst met system sflow show controleren of er al oude collectors of monitor-interfaces zijn geconfigureerd.
4. Sampling Rate en optioneel Polling Interval configureren.
5. Met system sflow show controleren of collector en interface correct zijn ingesteld.
6. sFlow met system sflow on activeren.
7. In de collector controleren of gegevens binnenkomen vanaf de verwachte firewall-agent-IP.

De volgende secties leggen de afzonderlijke stappen en de operationele grenzen uit.

Belangrijke grenzen vóór de activering

sFlow lijkt onschuldig, maar kan gevolgen hebben voor de werking en veiligheid.

sFlow is niet versleuteld

Het sFlow-verkeer van de firewall naar de collector is niet versleuteld. Daarom moet de collector bereikbaar zijn via een betrouwbaar beheernetwerk, een intern monitoringsnetwerk of een anderszins beveiligd pad.

⚠️ sFlow mag niet onbeschermd over onveilige netwerken worden verzonden. Flow-gegevens kunnen interne IP-adressen, communicatieverbanden en doelsystemen zichtbaar maken.

FastPath wordt op het bewaakte interface gedeactiveerd

Wanneer sFlow op een interface actief is, wordt Fast Path op dat interface gedeactiveerd. Dit is vooral belangrijk bij zwaar belaste WAN-, LAN- of core-interfaces.

Voor de activering moet men controleren:

• Hoe zwaar is het interface belast?
• Loopt er productief high-throughput-verkeer over?
• Is er een onderhoudsvenster voor de eerste test?
• Kan men prestaties voor en na de activering vergelijken?

Voor de basisindeling van firewallprestaties is het artikel Prestatiecijfers van Sophos Firewall correct interpreteren geschikt.

HA-cluster: sFlow draait alleen op de Primary

In een HA-cluster draait de sFlow-agent op de Primary. Dit moet men in overweging nemen bij evaluaties en failover-tests. Na een rolwisseling moet worden gecontroleerd of de collector nog steeds gegevens ontvangt en of het agent-IP zoals verwacht blijft.

Voor de planning van HA-bedrijf en monitoring is High Availability op Sophos Firewall instellen geschikt.

Interface en Collector plannen

sFlow wordt geconfigureerd op hardware-interfaces. Daarbij kunnen ook afhankelijke interfaces zoals aliassen en VLAN’s van het gekozen hardware-interface in de samples zichtbaar worden. De interfacekeuze moet daarom altijd overeenkomen met het werkelijke verkeerspad, niet alleen met de naam van het VLAN of de gewenste evaluatie in de collector.

In SFOS 22 gebruikt de agent een IP-adres van een hardware-interface. In SFOS 23 is dit de automatische terugval wanneer geen agent-IP met agent-ip is geconfigureerd. De SFOS 22-help vermeldt echter niet welk adres wordt gekozen als meerdere hardware-interfaces geschikt zijn. Leid een specifiek agent-IP daarom niet alleen af uit routing of interfacenamen. Bepaal en documenteer na activering het agent-IP dat daadwerkelijk bij de collector aankomt; een allowlist op de collector moet op die waarneming zijn gebaseerd.

Dit is praktisch, maar kan tot misinterpretaties leiden:

• Wanneer Port1 wordt bewaakt, kunnen ook bijbehorende VLAN- of alias-interfaces in de sampling zichtbaar worden.
• Als alleen een specifiek VLAN van belang is, moet in de collector goed gefilterd worden.
• Als er meerdere core- of WAN-poorten zijn, moet men niet meteen alle interfaces activeren.
• Bij LAG-, bridge- of VLAN-ontwerpen moet vooraf duidelijk zijn waar het relevante verkeer werkelijk stroomt.

De solide basis hiervoor is een begrijpelijke interface- en zoneplanning. Het artikel Zones en interfaces op Sophos Firewall configureren helpt bij de indeling van fysieke interfaces, VLAN’s, bridges, LAG’s en RED.

Pilot, gegevensbescherming en terugweg plannen

Voor de eerste activering moet sFlow als een productieve monitoringwijziging worden behandeld. De functie genereert extra gegevens, verandert FastPath op het bewaakte interface en stuurt flow-informatie naar een ander systeem. Daarom is het niet voldoende om alleen collector-IP en sampling rate in te voeren.

Voor de pilot moeten deze punten vaststaan:

• Welk specifiek probleem moet sFlow oplossen: capaciteitsplanning, bandbreedtepieken, security monitoring of foutopsporing?
• Wie beheert de collector en wie mag de flow-gegevens zien?
• Hoe lang worden flow-gegevens opgeslagen?
• Via welk netwerkpad bereiken de sFlow-pakketten de collector?
• Welk interface wordt als eerste getest?
• Welke meetwaarden gelden voor de activering als baseline?
• Wanneer wordt sFlow weer gedeactiveerd of naar een ander interface verplaatst?

Flow-gegevens kunnen interne IP-adressen, communicatieverbanden, doelsystemen, poorten en verkeersvolume zichtbaar maken. Deze gegevens zijn daarmee minder gedetailleerd dan een volledige Packet Capture, maar toch bedrijfs- en veiligheidsrelevant. Als de collector is aangesloten op een SIEM of een centraal monitoringsplatform, moet de verantwoordelijkheid net zo duidelijk zijn als bij Syslog van Sophos Firewall naar een SIEM sturen.

Sla vóór elke wijziging met system sflow show de Collectors, de bewaakte interfaces met hun exacte Sampling Rates, het Polling Interval, de aan-/uitstatus en de Agent-identiteit op. Documenteer daarnaast de daadwerkelijke ontvangst op de Collector en de toewijzing aan de firewall als baseline. Kies voor de pilot uitsluitend een interface die aantoonbaar nog niet wordt bewaakt; de bestaande monitors blijven ongewijzigd.

Voor de eerste test is een beperkte pilot zinvol:

1. Beginstatus documenteren: interfacebelasting, CPU-belasting, betrokken diensten, bestaande monitoringgegevens.
2. Een enkel, niet maximaal belast interface selecteren.
3. Sampling rate conservatief instellen.
4. Collectorontvangst en gegevenshoeveelheid controleren.
5. Prestaties, latentie en doorvoer na de activering observeren.
6. Terugweg testen: system sflow off of het monitoringinterface weer verwijderen.

De terugweg moet voor activering duidelijk zijn. Als de prestaties op een productie-interface verslechteren, wijzig dan niet tegelijk de sampling rate, collector, routing en firewallregels. Schakel eerst sFlow uit of haal de betrokken interface uit de monitoring en meet daarna opnieuw.

Globaal uitschakelen of een interface verwijderen is alleen bij de eerste pilot met een nieuw aangemaakte monitor een terugweg, of als uitdrukkelijk goedgekeurde noodmaatregel toegestaan. Bij bestaande monitoring kan dit de huidige bewaking onderbreken en wordt noch een bestaande monitor, noch de opgeslagen Sampling Rate daarvan hersteld. Herstel na een noodmaatregel de opgeslagen activeringsstatus en controleer het volledige herstel zoals hieronder beschreven.

Voor een eerste pilot met de voorbeeldwaarden zonder wijziging van de agentidentiteit is dit de terugweg. Dit blok herstelt geen identiteit die met agent-ip is geconfigureerd; de beperking bij de optionele SFOS 23-stap blijft gelden:

system sflow off
system sflow monitor delete interface-name Port1
system sflow collector delete ip-address 192.0.2.10 port 6343
system sflow polling-interval 60
system sflow show

Hiermee worden alleen de items uit het voorbeeld verwijderd en wordt het polling interval teruggezet naar de gedocumenteerde standaardwaarde van 60 seconden. Was sFlow al geconfigureerd, dan is dit blok geen algemene rollback. Verwijder alleen uw eigen toevoegingen, herstel het eerder met system sflow show vastgelegde polling interval en de eerdere aan/uit-status en voer system sflow show opnieuw uit om de eindstatus te controleren. Als SSH alleen voor deze pilot is toegestaan, herstel dan ook de eerder vastgelegde Local service ACL of exception rule zonder andere beheerstoegang te verwijderen.

Bij een bestaande configuratie blijven de overgenomen Collectors, monitors en de Agent-identiteit behouden. Elke gewijzigde Sampling Rate moet worden teruggezet op de exact opgeslagen waarde, met de procedure die vooraf voor de geïnstalleerde build is bevestigd. Verwijder uitsluitend de eigen nieuwe vermeldingen en herstel het opgeslagen Polling Interval en de aan-/uitstatus. Vergelijk met system sflow show de volledige eindtoestand met de baseline; controleer op de Collector de daadwerkelijke toewijzing en ontvangst overeenkomstig de opgeslagen activeringsstatus, evenals het betrokken verkeer en de prestaties. Alleen globaal uitschakelen of een monitor verwijderen is geen volledige rollback.

sFlow Collector toevoegen

Eerst wordt de collector gedefinieerd. Als er geen andere poort is gepland, gebruikt sFlow meestal 6343. Sophos staat poortwaarden van 1 tot 65535 toe; de gedocumenteerde default is 6343. In productieve omgevingen moet de poort alsnog overeenkomen met de gebruikte collector en de firewallregels op het pad ernaartoe.

Voorbeeld:

system sflow collector add ip-address 192.0.2.10 port 6343

Sophos ondersteunt tot vijf collectors. Elke collector wordt afzonderlijk toegevoegd.

De huidige status kan daarna worden gecontroleerd:

system sflow show

Als een collector weer verwijderd moet worden:

system sflow collector delete ip-address 192.0.2.10 port 6343

Optioneel: agentidentiteit instellen in SFOS 23

Deze stap geldt alleen voor SFOS 23; de bestaande SFOS 22-werkwijze blijft ongewijzigd. Met agent-ip kunt u een geldig unicast-IP instellen als sFlow-identiteit van de firewall in de collector. Per firewall is slechts één geconfigureerd agent-IP toegestaan. Dit is niet het bestemmingsadres van de collector. Zonder geconfigureerde identiteit gebruikt SFOS 23 automatisch een hardware-interface-IP.

⚠️ Leg vóór elke wijziging de beginconfiguratie vast met system sflow show, inclusief een eventueel bestaand agent-IP. Een andere identiteit kan de toewijzing en identiteitsfilters in de collector veranderen. Vervang een bestaande identiteit niet blindelings; bevestig eerst de procedure voor de geïnstalleerde versie. De SFOS 23-beschrijving spreekt zichzelf tegen over verwijderen: het syntaxoverzicht vereist een IP-adres, terwijl de gedetailleerde beschrijving en het voorbeeld dit weglaten. Daarom wordt hier geen verwijderopdracht of volledige rollback voor een nieuw ingestelde identiteit gegeven. Als een betrouwbare terugkeer naar de automatische identiteit vereist is, sla deze optionele stap dan over totdat de verwijderingssyntax voor de geïnstalleerde versie gezaghebbend is opgehelderd. system sflow off stopt de export, maar bewijst niet dat de eerdere identiteit is hersteld.

Alleen na deze voorafgaande controles en zonder bestaande geconfigureerde identiteit kunt u dit voorbeeld in de Device Console aanpassen:

system sflow show
system sflow agent-ip add 192.0.2.20
system sflow show

192.0.2.20 is een documentatiewaarde: vervang deze door een geldig unicast-IP dat uw firewall ondubbelzinnig moet identificeren in de collector. 192.0.2.10 blijft in het voorbeeld de afzonderlijke collectorbestemming. De agentidentiteit garandeert geen UDP-bronadres, routing, interfacetoewijzing of gedrag van transport-ACL’s; controleer het netwerkpad afzonderlijk.

Controleer de configuratie na de wijziging en vergelijk na activering het agent-IP dat de collector daadwerkelijk uit de sFlow-gegevens decodeert met de geplande waarde. Pas identiteitsfilters alleen aan op basis van die waarneming. Controleer bij een afwijking eerst de configuratie en collectordecodering in plaats van verdere identiteitswijzigingen te gokken. Controleer ontvangst en toewijzing ook opnieuw na HA-failover; een stabiele identiteit bij een rolwisseling wordt niet gegarandeerd.

Interface en Sampling Rate configureren

Daarna wordt bepaald welk interface wordt bewaakt en met welke sampling rate pakketten worden geselecteerd. In SFOS 22 gebruikt de sFlow-agent een hardware-interface-IP; in SFOS 23 geldt dit alleen zonder geconfigureerde agent-ip. In de collector kan daarom een hardware-interface-IP verschijnen, ook als de eigenlijke analyse een VLAN of alias onder die poort betreft.

Voorbeeld:

Controleer vóór het volgende monitor add-voorbeeld de opgeslagen configuratie: Port1 moet een hardware-interface zijn die tot nu toe niet wordt bewaakt. Als in plaats daarvan de Sampling Rate van een bestaande monitor moet worden gewijzigd, stel dan eerst voor de geïnstalleerde build zowel de ondersteunde wijzigingsprocedure als de procedure voor het herstel van de exact opgeslagen rate definitief vast. Stop als er geen bevestigde procedure is voor zowel de wijziging als het herstel. Neem niet aan dat add een bestaande monitor veilig bijwerkt en leid geen herstelcommando af uit de Add/Delete-syntaxis.

system sflow monitor add interface-name Port1 sampling-rate 1000

De sampling rate bepaalt hoe vaak pakketten als sample worden geselecteerd. Een lagere waarde genereert meer samples en daarmee meer details, maar ook meer belasting en meer gegevens bij de collector. Een hogere waarde vermindert de gegevenshoeveelheid, maar kan korte of kleinere flows minder zichtbaar maken.

De relevante grenswaarden zijn:

Voor de start is een conservatieve waarde zinvol, bijvoorbeeld 1000 of hoger. Daarna moet men in de collector controleren of de gegevenshoeveelheid, detailniveau en prestaties aan het doel voldoen.

Het volgende verwijdercommando is uitsluitend bedoeld om de monitor te verwijderen die in deze pilot nieuw is aangemaakt. Verwijder een overgenomen monitor niet als normale terugweg; herstel de gewijzigde rate daarvan met de vooraf bevestigde procedure.

Een monitoringinterface kan weer worden verwijderd:

system sflow monitor delete interface-name Port1

Polling Interval instellen

Naast Packet Sampling kan sFlow ook statistieken en interfacecounters in een interval opvragen. Sophos staat een polling interval toe tussen 30 en 300 seconden; de default is 60 seconden. Met 0 wordt polling gedeactiveerd.

Voorbeeld:

system sflow polling-interval 80

Polling deactiveren:

system sflow polling-interval 0

Voor de meeste omgevingen is een gemiddeld interval zinvol. Te korte intervallen genereren meer gegevens en zijn niet automatisch nuttiger.

sFlow activeren

Wanneer collector, interface en polling gepland zijn, wordt sFlow geactiveerd. Standaard is sFlow uitgeschakeld:

system sflow on

De status controleren:

system sflow show

De volgende globale uitschakeling beëindigt ook bestaande sFlow-monitoring. Als terugweg is deze uitsluitend bedoeld voor de eerste pilot of als uitdrukkelijk goedgekeurde noodmaatregel, niet als herstel van een bestaande configuratie. Herstel en controleer daarna de opgeslagen activeringsstatus en de overige baseline.

sFlow deactiveren:

system sflow off

Na de activering moet men niet alleen de firewall controleren, maar ook de collector. Daar moeten gegevens van het firewall-agent-IP aankomen en zinvol worden opgelost.

Validatie na de activering

Na het inschakelen moet men deze punten controleren:

1. system sflow show toont collector, interface, sampling rate en status correct aan.
2. De collector ontvangt sFlow-gegevens van het verwachte firewall-IP.
3. De tijd op firewall en collector komt overeen.
4. Interfacenamen en flowrichting zijn in de collector te volgen.
5. De belasting op firewall en collector blijft onkritisch.
6. De gegevenshoeveelheid past bij de geplande opslag en verwerking.
7. De gedefinieerde terugweg is eenmaal getest of ten minste als concrete opdracht gedocumenteerd.
8. Bij HA-clusters wordt na een failover gecontroleerd of er nog steeds gegevens binnenkomen.

Als parallel firewallregels, NAT, VPN of TLS Inspection worden geanalyseerd, moet sFlow niet geïsoleerd worden bekeken. Voor specifieke verbindingsbeslissingen blijven Log Viewer en Packet Capture essentieel. Voor langdurige evaluatie moet men controleren of daarnaast Syslog of Central Reporting nodig is.

Problemen oplossen

Geen verkeer in de collector

Controleer eerst system sflow show en daarna collector-IP, poort en netwerkpad. Controleer op de collector of inkomende sFlow-pakketten worden verworpen of op een verkeerd agent-IP worden gefilterd. Heeft de firewall meerdere IP-adressen op hardware-interfaces, ga dan niet vooraf uit van één agent-IP.

Slechts een deel van het verkeer is zichtbaar

sFlow werkt met sampling. Het is normaal dat niet elk afzonderlijk pakket zichtbaar is. Als belangrijke flows ontbreken, kan de sampling rate worden aangepast of een ander interface worden gekozen. Bij VLAN’s en aliassen moet men controleren of het juiste hardware-interface wordt bewaakt.

Ook bij troubleshooting geldt voor een bestaande monitor: wijzig de Sampling Rate uitsluitend als de door de build ondersteunde wijzigings- en herstelprocedure voor de exact opgeslagen uitgangswaarde vooraf is bevestigd; stop anders.

Prestaties veranderen na activering

Als een zwaar gebruikt interface wordt bewaakt, kan de deactivering van FastPath relevant zijn. In dit geval moet sFlow testmatig worden gedeactiveerd en de prestaties worden vergeleken. Bij productieve core- of WAN-interfaces is een geplande test beter dan een spontane activering.

Een dergelijke uitschakeling bij bestaande monitoring vereist uitdrukkelijke goedkeuring als noodmaatregel; het is geen volledige rollback. Herstel na de meting de opgeslagen activeringsstatus en controleer de configuratie, de ontvangst op de Collector en de toewijzing, evenals het betrokken verkeer en de prestaties, ten opzichte van de baseline.

HA-gegevens lijken onvolledig

In HA-omgevingen draait de sFlow-agent op de Primary. Na een failover moet worden gecontroleerd welke firewall momenteel Primary is, welk IP als agent-IP wordt gebruikt en of de collector de gegevens nog steeds correct toewijst.

Operationele checklist

• Plaats de collector in een veilig netwerk.
• Documenteer eigenaar, doel, toegang en opslag van de flow-gegevens.
• Controleer UDP-poort en routing naar de collector.
• Begin met één of enkele interfaces.
• Verzamel voor-en-na-baseline voor interfacebelasting, CPU, latentie en doorvoer.
• Kies een conservatieve sampling rate en pas deze daarna aan.
• Houd rekening met de impact van FastPath bij kritische interfaces.
• Plan de terugweg op basis van de opgeslagen configuratie: behoud overgenomen monitors en herstel gewijzigde Sampling Rates exact met de procedure die vooraf voor de build is bevestigd. system sflow off of het verwijderen van de nieuwe monitor dient uitsluitend voor het opruimen na de eerste pilot of als uitdrukkelijk goedgekeurde noodmaatregel; herstel en controleer daarna de opgeslagen activeringsstatus en de volledige baseline.
• Test HA-failover als sFlow in de cluster wordt gebruikt.
• Vergelijk flow-gegevens met Log Viewer, Packet Capture en Reporting.
• Controleer regelmatig of de gegevens nog worden geëvalueerd of alleen ongebruikt worden verzameld.

FAQ