SFP en SFP+ voor Sophos Firewall selecteren en controleren

Als een SFP-poort Unplugged blijft, de link flappert of niet de verwachte snelheid haalt, ligt de oorzaak meestal vóór de firewallregel: poorttype, transceiver, glasvezel, tegenpartij of linkonderhandeling passen niet bij elkaar.

De snelste controle volgt deze volgorde:

1. Appliance-model en hardwarepoort bepalen: SFP, SFP+, QSFP of Flexi Port.
2. Ondersteunde snelheid en transceivercompatibiliteit voor precies die poort controleren.
3. Transceiver, glasvezel of DAC en de module aan de andere kant vergelijken.
4. Onder Network > Interfaces Link mode, Auto-negotiation en FEC controleren.
5. Link en module met ethtool alleen-lezen analyseren.
6. Glasvezel, module en poort aan de andere kant afzonderlijk vervangen door bekende, werkende componenten.
7. Pas bij een stabiele fysieke link VLAN, LAG, IP-configuratie, routing en firewallregels onderzoeken.

Passende poort en transceiver kiezen

SFP, SFP+ en Dual Rate onderscheiden

SFP staat doorgaans voor 1 GbE en SFP+ voor 10 GbE. Het plusteken is daarom relevant: een 10G-SFP+-module werkt niet in een zuivere 1G-SFP-poort. Omgekeerd ondersteunt niet elke SFP+-poort automatisch 1-Gbit/s-SFP’s.

Sommige SFP+-poorten of Flexi Port-modules zijn Dual Rate en ondersteunen 1 en 10 GbE. Dit mag echter alleen voor de concrete poort worden aangenomen wanneer de modelhandleiding of compatibiliteitsmatrix dit bevestigt. Grotere appliances hebben daarnaast QSFP-, QSFP+- of breakoutpoorten; ook daar moeten poortmodus, module en snelheid bij elkaar passen.

De actuele model- en transceivermatrix is beschikbaar in Sophos Firewall Config Studio onder Backup-restore compatibility. Controleer daar vóór aanschaf of ombouw de appliance, Flexi Port-module, poortstandaard en transceiver. Deze weergave is geschikter dan een statische lijst in dit artikel, omdat ondersteunde modellen en modules kunnen worden bijgewerkt.

Een niet-vermelde transceiver van een derde partij kan technisch functioneren, maar is daarmee niet automatisch door Sophos getest of ondersteund. Er bestaat geen algemene CLI-opdracht die een incompatibele SFP vrijschakelt. Voor productieve uplinks hoort daarom een geteste module en een bekend werkende reservemodule beschikbaar te zijn.

Optisch pad en tegenpartij vergelijken

Bij glasvezel moeten beide uiteinden dezelfde transmissiestandaard gebruiken. Controleer vóór het insteken:

• singlemode of multimode
• snelheid en standaard, bijvoorbeeld 1G-SX/LX of 10G-SR/LR
• golflengte en ondersteunde afstand
• aansluiting en geschikte patchkabel
• bij twee vezels de juiste TX-/RX-polariteit
• bij BiDi-modules het bij elkaar horende golflengtepaar
• compatibele module en op elkaar afgestemde poortparameters aan de andere kant

Als grove richtlijn staan SX en SR meestal voor korte multimodeverbindingen en LX en LR meestal voor langere singlemodeverbindingen. Doorslaggevend blijven altijd de specificaties van de concrete transceiver en de tegenpartij.

Een typisch 10-Gbit/s-voorbeeld voor een korte verbinding bestaat uit compatibele 10G-SR-transceivers aan beide uiteinden en multimodeglasvezel die geschikt is voor de afstand. Een 10G-LR-module aan de ene kant en een 10G-SR-module aan de andere kant passen ondanks dezelfde snelheid niet bij elkaar.

Bij DAC of AOC moeten kabeltype, lengte, poortstandaard en beide apparaten worden ondersteund. Een mechanisch passende kabel garandeert nog geen link.

⚠️ Laserveiligheid: Kijk nooit rechtstreeks in een ingeschakelde transceiver of een open glasvezeluiteinde. Verwijder beschermkappen pas bij het aansluiten en reinig vervuilde connectoren met geschikt glasvezelgereedschap.

Poort in SFOS configureren

Bewerk de fysieke interface onder Network > Interfaces en open Advanced settings > Port settings. Afhankelijk van de appliance verschijnen:

• Link mode: snelheid en duplex
• Auto-negotiation for media type: automatische onderhandeling met de tegenpartij
• Forward Error Correction (FEC): foutcorrectie voor ondersteunde snelle poorten
• Show recommended settings: aanbevolen waarden voor de gekozen poortmodus weergeven
• Load recommended configuration: deze waarden overnemen

Snelheid, duplex, Auto-negotiation en FEC moeten aan beide kanten compatibel zijn. Een mismatch kan linkonderbrekingen, fouten, latency of slechte prestaties veroorzaken. Bij 25-, 50- en 100-Gbit/s-poorten eerst de Link mode opslaan, de interface opnieuw openen en daarna de aanbevolen configuratie laden.

Bij Flexi Port-modules in XGS 2100, 2300, 3100 en 3300 moeten alle SFP+-poorten van dezelfde module met dezelfde snelheid zijn geconfigureerd. Deze beperking geldt niet algemeen voor elke vaste SFP+-poort of elk XGS-model.

⚠️ Een wijziging aan de uplink kan de link en daarmee de toegang tot WebAdmin onmiddellijk onderbreken. Voor productieve WAN-, core- of HA-verbindingen zijn een onderhoudsvenster, alternatieve beheerstoegang en de vorige waarden voor een rollback noodzakelijk.

Controleer na het opslaan onder Network > Interfaces de hardwarenaam en status. Connected bevestigt de fysieke link, maar nog niet een correcte VLAN-, LAG-, IP- of policyconfiguratie. De samenhang tussen interface, zone en regels wordt uitgelegd in Sophos Firewall-zones en interfaces goed plannen.

Link en module via de CLI uitlezen

Hardwarenaam bepalen

Voor de volgende opdrachten is de hardwarenaam nodig, niet de vrij gekozen weergavenaam. Deze staat onder Network > Interfaces en kan bijvoorbeeld PortF1, PortA1 of Port1 zijn.

Als alternatief toont de Device Console de interfaces:

show network interfaces

Ga voor ethtool naar Device Management > Advanced Shell. De consoles en SSH-toegang worden uitgelegd in Sophos Firewall via SSH beheren.

Link, snelheid en onderhandeling controleren

Voorbeeld voor PortF1:

ethtool PortF1

De opdracht verandert niets. Een verkorte uitvoer kan er bijvoorbeeld zo uitzien:

Speed: 10000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes

In dit voorbeeld bestaat een fysieke 10-Gbit/s-link met Full Duplex. Hiermee is nog niet gecontroleerd of VLAN, IP-configuratie, routing en firewallregels kloppen. Vooral relevant zijn:

• Link detected: yes voor een herkende fysieke link
• de verwachte snelheid, bijvoorbeeld Speed: 10000Mb/s
• Duplex: Full
• ondersteunde en momenteel gebruikte linkmodi
• de status van Auto-negotiation

Deze waarden zijn aanwijzingen en moeten bij de tegenpartij passen. Link detected: yes bewijst nog geen werkend datapad. Omgekeerd bewijst Speed: Unknown! op zichzelf geen defecte transceiver, omdat driver en poorttype de uitvoer kunnen beïnvloeden.

Als een fysieke of LAG-gebaseerde XGS-10G-interface met Auto-negotiation down blijft, beschrijft LAG met LACP configureren en testen de nog steeds vermelde fout NC-94073 en de officiële handmatige 10-Gbit/s-workaround.

Transceivergegevens en optische waarden uitlezen

Het EEPROM van de module kan, voor zover module en driver dit ondersteunen, als volgt worden uitgelezen:

ethtool -m PortF1

De uitvoer kan onder meer het volgende tonen:

• identifier en aansluiting
• transceivertype en golflengte
• bedoelde vezellengte
• fabrikant, Part Number en serienummer
• temperatuur en spanning
• optisch zend- en ontvangstvermogen
• alarm- en waarschuwingsgrenzen

Beoordeel RX- en TX-vermogen alleen aan de hand van de grenswaarden die de concrete module meldt of aan de hand van het gegevensblad. Algemene dBm-grenzen zouden onjuist zijn, omdat standaard, afstand en optiek verschillen.

Niet elke module biedt Digital Diagnostic Monitoring. Een lege uitvoer of Operation not supported betekent daarom alleen dat EEPROM- of diagnosegegevens via deze driver niet beschikbaar zijn. Dit bewijst geen defect. Omgekeerd bewijzen leesbare modulegegevens nog geen stabiele link.

De uitvoer kan fabrikant- en serienummers bevatten. Maak niet-benodigde apparaatgegevens onleesbaar vóór een openbare screenshot of ticket.

Linkflaps in de kernelbuffer zoeken

Bij korte onderbrekingen helpt een alleen-lezen zoekopdracht in de Advanced Shell:

dmesg | grep PortF1

Herhaalde link-up-/link-down-meldingen passen bij problemen met glasvezel, module, tegenpartij of onderhandeling. dmesg bevat alleen de actuele kernelbuffer en vervangt geen langdurige monitoring.

Toestandsveranderende of onderbrekende varianten zoals ethtool -s, ethtool -r of EEPROM-wijzigingen horen niet bij een normale diagnose. Ze kunnen de link, beheerstoegang of modulestatus wijzigen.

Een ontbrekende of instabiele link afbakenen

De resultaten kunnen als volgt verder worden onderzocht:

• Interface blijft Unplugged: controleer poorttype, ondersteunde snelheid, modulecompatibiliteit, plaatsing van de transceiver, glasvezel, TX-/RX-polariteit en poort aan de andere kant.
• Modulegegevens zijn leesbaar, maar de link blijft down: zorg voor dezelfde standaard en snelheid aan beide uiteinden; vergelijk Auto-negotiation en FEC. Vervang daarna glasvezel en modules afzonderlijk door bekende, werkende componenten.
• Link komt slechts af en toe up: reinig connectoren, controleer buigradius en temperatuur, vergelijk RX-/TX-waarden met de modulegrenzen en controleer dmesg op flaps.
• Link is up, maar traag of foutgevoelig: controleer onderhandelde snelheid en duplex, switchcounters, optische waarden en FEC. Beoordeel prestaties eerst met een tweede testapparaat voordat de firewall als oorzaak wordt beschouwd.
• Link is stabiel, maar er stroomt geen verkeer: controleer nu VLAN-tagging, LAG, zone, IP-adres, gateway, routing en firewallregels. Voor VLAN’s helpt Sophos Firewall VLAN configureren en testen.

Vervang altijd maar één component tegelijk en documenteer het resultaat. Zo blijft zichtbaar of module, glasvezel, firewallpoort of tegenpartij de oorzaak was.

Als een compatibele module en een bekende, werkende glasvezel ook op een correct geconfigureerde poort geen stabiele link geven, bewaar dan uitvoer, tijdstempels, SFOS-versie, appliance-model en gebruikte Part Numbers. Het verdere support- en RMA-proces staat in Een technisch defect van een Sophos appliance controleren.

Swisscom XGS-PON-GBIC op XGS Rev. 2

De huidige Sophos Known Issues List vermeldt onder NC-168210 voor SFOS 21.5 GA Build 171 een specifiek Zwitsers geval: de Swisscom-module ALL-BM410-XGSPON-GBIC wordt niet ondersteund in de 1-Gbit/s-SFP-poorten van XGS Rev. 2-appliances.

Sophos noemt een 10-Gbit/s-SFP+-poort als uitwijkmogelijkheid, maar wijst er tegelijkertijd op dat de module daar niet intern is getest. De werking is daarom niet gegarandeerd. Voor een productieve aansluiting moeten bevestigde poortcompatibiliteit, een onderhoudsvenster en een alternatieve providerverbinding in de planning worden opgenomen.

Dit geval laat het belangrijke verschil zien: een module kan mogelijk een link opbouwen en toch niet als geteste, ondersteunde combinatie gelden.