Statische route op Sophos Firewall instellen en testen

Een statische route vertelt Sophos Firewall via welke vaste next hop of tunnelinterface een bepaalde bestemming bereikbaar is. Ze is geschikt wanneer het pad vastligt en geen selectie op basis van source, service, applicatie of verbindingskwaliteit nodig is.

Kort antwoord

U maakt hier een IPv4-route:

Routing > Static routes > IPv4 unicast route > Add

Voor een bestemmingsnetwerk 10.20.0.0/24 dat via router 192.0.2.2 op Port4 bereikbaar is, voert u het volgende in:

Destination IP / Netmask: 10.20.0.0/24
Gateway IP: 192.0.2.2
Interface: Port4
Administrative distance: 1
Metric: 10
Description: Branch_10.20_via_Core

Controleer daarna onder Diagnostics > Tools > Route lookup de bestemming 10.20.0.10. De verwachte interface is Port4.

Om het verkeer daadwerkelijk te laten werken, zijn ook een passende firewallregel en een retourroute op de tegenpartij nodig. Een statische route staat geen verkeer toe en voert niet automatisch NAT uit.

Het voorbeeld begrijpen

Het voorbeeld gebruikt de volgende opbouw:

Het clientnetwerk achter Sophos Firewall is 10.10.0.0/24.
De testclient in dit netwerk is 10.10.0.10.
Port4 van de firewall heeft het transit-IP 192.0.2.1/30.
De volgende router heeft in dit netwerk het IP-adres 192.0.2.2.
Achter deze router ligt het bestemmingsnetwerk 10.20.0.0/24.
Het testsysteem is 10.20.0.10.

De Destination is altijd de externe bestemming, niet de volgende router. Gateway IP is de direct bereikbare next hop die het pakket doorstuurt. Interface is de poort of tunnelinterface waarmee deze next hop wordt bereikt.

Voer het adres rechtstreeks in bij Gateway IP; daarvoor is geen gateway-object onder Routing > Gateways nodig. Vervang voor de eigen omgeving het bestemmingsnetwerk, de gateway en de interface altijd samen. Als slechts één voorbeeldadres wordt overgenomen, kan de route wel worden opgeslagen, maar naar het verkeerde netwerk of een onbereikbare router wijzen. Het IP-adres van de gateway moet bij het netwerk van de gekozen interface passen.

De basis van poort, zone en interface-IP wordt uitgelegd in Sophos Firewall-zones en interfaces configureren.

Wanneer een statische route geschikt is

Een statische route is zinvol wanneer een netwerk permanent via dezelfde next hop bereikbaar is, bijvoorbeeld:

een vestigingsnetwerk achter een interne Core Router
een servernetwerk achter een Layer 3-switch
een netwerk achter een RED-tunnel
een extern netwerk via de XFRM-interface van een route-based IPsec-tunnel

Als de firewall ook op basis van source, service of applicatie moet beslissen of paden op basis van latency, jitter en pakketverlies moet wisselen, is een SD-WAN-route meestal geschikter. In grotere netwerken die vaak wijzigen, verminderen OSPF of BGP het handmatige beheer.

Een IPv4-route instellen

Documenteer vóór de wijziging het bestemmingsnetwerk, de next hop, de uitgaande interface, de verwachte zone, het retourpad en een bereikbare testhost. Ga daarna als volgt te werk:

Open Routing > Static routes.
Klik onder IPv4 unicast route op Add.
Voer bij Destination IP / Netmask 10.20.0.0/24 in.
Voer bij Gateway IP de volgende router 192.0.2.2 in.
Selecteer Port4 als Interface.
Stel Administrative distance in op 1.
Voer bij Metric 10 in.
Voeg een duidelijke Description toe, bijvoorbeeld Branch_10.20_via_Core.
Sla op met Save.

Sophos Firewall houdt bij deze route eerst rekening met de geselecteerde interface en daarna met de gateway. Als een van beide velden niet klopt, wordt de beoogde next hop niet bereikt.

Administrative Distance en Metric

De Administrative Distance beoordeelt concurrerende routingbronnen. Een lagere waarde krijgt voorrang: een route met 1 wordt verkozen boven een route met 5.

Als meerdere statische routes naar dezelfde bestemming dezelfde Administrative Distance hebben, bepaalt de Metric de keuze. Ook hier krijgt de lagere waarde voorrang.

De globale Route Precedence tussen Static, SD-WAN en VPN is een ander niveau dan Administrative Distance en Metric. Wijzig ze niet overhaast voor één nieuwe route.

De voorbeeldwaarden 1 en 10 zijn eenvoudige beginwaarden voor één route, geen algemene productaanbeveling. Vergelijk vóór gebruik de bestaande routes naar dezelfde bestemming. Voor Primary/Backup of ECMP worden Administrative Distance en Metric bewust gekozen volgens de gewenste prioriteit.

Twee routes met een verschillende Administrative Distance kunnen een voorkeurspad en een secundair pad beschrijven. Administrative Distance en Metric bewaken de next hop echter niet zelf. Voor eenvoudige failover op basis van bereikbaarheid kunt u bewaakte gateway-objecten combineren met statische routes met verschillende Administrative Distances. Voor een selectie op basis van latency, jitter of pakketverlies gebruikt u een SD-WAN Profile en een SD-WAN-route.

Voor IPv4 ECMP maakt u meerdere routes naar dezelfde bestemming met dezelfde Administrative Distance en Metric, maar met verschillende next hops. Het verkeer wordt dan verdeeld; dit levert geen kwaliteitsgebaseerd Primary/Backup-pad op.

Blackhole bewust gebruiken

Met Blackhole verwerpt de firewall verkeer naar de opgegeven bestemming zonder de source daarvan op de hoogte te stellen. Dit kan nuttig zijn voor bewust geblokkeerde of samengevoegde netwerken, maar vervangt geen normale next hop.

Wie statische routes via RIP, OSPF of BGP distribueert, moet Blackhole-routes daar gericht filteren. Anders kan de firewall deze blokkeerroute ook aan andere routers doorgeven.

IPv6 en bijzondere tunnelsituaties

Onder IPv6 unicast route voert u het bestemmingsadres met prefix, Gateway IP, Interface en Metric in. Sophos documenteert voor het IPv6-formulier geen Administrative Distance, Blackhole-optie, Description, Clone of aan-uitfunctie. Neem IPv4-instellingen daarom niet zonder controle over voor IPv6.

Bij een route-based IPsec-tunnel met Any-to-Any-subnets kan de route rechtstreeks naar de XFRM-interface wijzen, zonder dat een afzonderlijke gateway nodig is. Als de tunnel concrete Traffic Selectors gebruikt, maakt SFOS de route automatisch aan; configureer dan geen eigen IP-adressen of aanvullende routes op de XFRM-interface. Een XFRM-route is bovendien niet hetzelfde als de versieafhankelijke CLI-uitzondering ipsec_route; het verschil wordt uitgelegd in IPsec-route op Sophos Firewall maken.

Voor een netwerk achter de peer-interface van een Site-to-Site RED-tunnel tussen Sophos Firewalls geldt nog een uitzondering: voer het IP-adres van de peer-RED-interface als gateway in, maar selecteer geen interface. Zo kan de firewall via ARP bepalen welke interface bereikbaar is. Dit geldt niet voor de onder SFOS 22 verwijderde Legacy RED Server/Client-tunnels naar Sophos UTM.

Firewallregel, NAT en retourpad

Routing bepaalt het pad. De firewallregel bepaalt of het pakket mag passeren en NAT wijzigt indien nodig de adressen. Deze drie taken worden afzonderlijk geconfigureerd.

Voor het voorbeeld is een regel nodig van clientnetwerk 10.10.0.0/24 naar bestemmingsnetwerk 10.20.0.0/24. De Destination Zone is de zone van Port4. Beperk de regel tot de werkelijk benodigde services en schakel logging in voor de test.

Bij een normaal gerouteerd locatienetwerk is SNAT meestal niet gewenst, omdat de tegenpartij het echte client-IP moet zien. Router 192.0.2.2 heeft dan deze retourroute nodig:

Zielnetz: 10.10.0.0/24
Next Hop: 192.0.2.1

Als op de tegenpartij geen retourroute kan worden ingesteld, kan SNAT technisch helpen. Het verbergt echter het oorspronkelijke client-IP en moet een bewuste ontwerpbeslissing blijven. De samenhang wordt uitgelegd in NAT op Sophos Firewall begrijpen.

De route controleren

Een opgeslagen route is pas gevalideerd wanneer een echte client de tegenpartij bereikt en het retourpad werkt.

Voer onder Diagnostics > Tools > Route lookup 10.20.0.10 in. De uitvoer moet Port4 tonen.
Controleer in de Device Console de geconfigureerde IPv4- of IPv6-routes en bij concurrentie met SD-WAN of VPN de Route Precedence:
```
show static-route
show static-route6
system route_precedence show
```
Start vanaf client 10.10.0.10 een echte verbinding naar 10.20.0.10, bijvoorbeeld Ping of TCP 443, passend bij de firewallregel.
Controleer in Log viewer source, destination, service, Firewall Rule ID en een eventuele NAT Rule ID.
Controleer onder Diagnostics > Packet capture met host 10.20.0.10 of requests via Port4 uitgaan en antwoorden terugkomen.

Als Route Lookup het juiste pad toont maar er geen verkeer loopt, ligt de oorzaak meestal bij de firewallregel, NAT, de retourroute of het doelsysteem. De volledige pakketstroomtest staat in Een Sophos Firewall-regel testen met Log Viewer en Packet Capture.

Bij diepere routingproblemen helpen in de Device Console de laatste vermeldingen uit het Unicast- en kernellog:

show logs staticd.log lines 50
show logs zebra.log lines 50

staticd.log betreft statische Unicast-routes; zebra.log toont de installatie van statische IPv4-Unicast-routes in de kernel. Sophos Firewall-services en logbestanden koppelt verdere logbestanden aan de verantwoordelijke services.

Na een herstart van een interface of tunnel kan een route die alleen een gateway opgeeft aanvankelijk in de routingtabel ontbreken. Ze verschijnt zodra passend verkeer overeenkomt met bestemming en gateway en de firewall de interface selecteert. Een ontbrekende vermelding direct na de herstart bewijst daarom nog geen defect.

Fouten afbakenen en terugdraaien

Route Lookup toont de verkeerde interface

Controleer bestemmingsadres en prefix; een typefout kan met een ander netwerk overeenkomen.
De gateway moet rechtstreeks via de gekozen interface bereikbaar zijn.
Vergelijk concurrerende statische routes en hun Administrative Distance en Metric.
Controleer bij SD-WAN of VPN de huidige volgorde met system route_precedence show. De globale wijziging wordt uitgelegd in Route Precedence veilig wijzigen.

De request gaat naar buiten, maar er komt geen antwoord

Controleer de retourroute op de volgende router en het doelsysteem.
Controleer de firewallregel voor de initiërende richting en bestaande NAT-regels. Een regel in de tegenovergestelde richting is alleen nodig wanneer de tegenpartij zelf nieuwe verbindingen initieert.
Gebruik Packet Capture om vast te stellen of het antwoord op Port4 terugkomt.
Controleer de lokale firewall en de default gateway van het doelsysteem.

Veilige rollback

Een nieuwe IPv4-route wordt eerst uitgeschakeld in plaats van verwijderd. Controleer daarna Route Lookup, een nieuwe clientverbinding en het eerdere pad opnieuw. Verwijder de route en regels of NAT-objecten die uitsluitend voor deze wijziging zijn gemaakt pas wanneer de oorspronkelijke toestand is bevestigd.

Voor IPv6 documenteert Sophos geen aan-uitfunctie. Leg daarom vooraf de bestaande waarden vast en wijzig of verwijder de nieuwe route bij een rollback. Herhaal de test in een HA-cluster na een failover op de nieuwe Primary; logs worden niet tussen de apparaten gesynchroniseerd.

Veelgestelde vragen

Moet ik gateway en interface altijd samen opgeven?

Bij een normale Ethernet-route doorgaans wel. Route-based IPsec kan alleen de XFRM-interface gebruiken; bij de beschreven RED-uitzondering wordt alleen het peer-RED-IP als gateway ingevoerd.

Waarom werkt de verbinding ondanks een correcte Route Lookup niet?

Route Lookup bevestigt alleen het geselecteerde pad. Vaak ontbreken de firewallregel, het retourpad, een passende NAT-beslissing of de toelating op het doelsysteem.

Bewaakt een statische route de gateway automatisch?

Administrative Distance en Metric bewaken de gateway niet. Eenvoudige failover op basis van bereikbaarheid is mogelijk met bewaakte gateway-objecten en statische routes met verschillende prioriteiten; voor kwaliteitscriteria zoals latency, jitter of pakketverlies gebruikt u SD-WAN.