Sophos Firewall WAN-failover instellen en testen

Een tweede internetverbinding wordt op Sophos Firewall niet automatisch een back-uplijn. Een nieuw aangemaakte WAN-gateway is standaard Active en neemt daardoor deel aan Load Balancing. Voor een klassiek Primary/Backup-ontwerp wordt de tweede gateway in de WAN link manager daarom op Backup gezet.

De snelle werkwijze voor een hoofd- en back-upverbinding:

Configureer beide WAN-interfaces volledig onder Network > Interfaces en test ze afzonderlijk.
Stel onder Network > WAN link manager de hoofdgateway in als Active en de back-up als Backup.
Selecteer bij de back-upgateway Activate this gateway: If active gateway fails: ANY.
Configureer voor beide gateways betrouwbare Failover rules.
Test failover en failback – dus de terugkeer naar de hoofdverbinding – met echt DNS-, HTTPS- en applicatieverkeer.

Voor deze eenvoudige default-internetfailover is geen afzonderlijke SD-WAN-route nodig. SD-WAN is nodig als bepaald verkeer doelgericht andere paden moet gebruiken of als het pad op basis van latency, jitter en pakketverlies moet worden gekozen.

Active, Backup en Load Balancing correct interpreteren

Het gatewaytype bepaalt of een verbinding normaal aan het internetverkeer deelneemt:

Active: Als meerdere actieve gateways beschikbaar zijn, verdeelt de firewall nieuwe sessies op basis van de geconfigureerde gewichten.
Backup: De gateway neemt pas over wanneer aan de activeringsvoorwaarde is voldaan.

Minstens één WAN-gateway moet Active blijven. Als alle gateways alleen als Backup zijn ingesteld, ontbreekt het normale default-WAN-pad; met name verkeer van de firewall zelf kan dan niet worden doorgestuurd.

De Weight geeft geen bandbreedte aan. In de modus weighted round-robin betekent een verhouding van 2 tot 1 dat de firewall twee nieuwe sessies aan de eerste en de volgende sessie aan de tweede gateway toewijst. Eén download wordt daardoor niet over beide verbindingen verdeeld en de hoeveelheid overgedragen data kan duidelijk van deze verhouding afwijken.

Sophos Firewall gebruikt standaard Session Persistence. Daarbij blijft niet alleen één bestaande verbinding op dezelfde WAN-link: afhankelijk van de Persistence Factor worden bijvoorbeeld ook volgende sessies vanaf hetzelfde source IP opnieuw aan deze link toegewezen. De actuele methode is na aanmelding onder Option 4: Device Console zichtbaar met een alleen-lezen opdracht:

show routing wan-load-balancing

De opdracht wijzigt niets. De uitvoer toont of Session Persistence of weighted round-robin actief is en helpt zo een onverwachte padverdeling te verklaren. Bij een zuiver Active/Backup-ontwerp is de methode meestal van ondergeschikt belang, omdat zowel tijdens normaal bedrijf als bij een storing slechts één bedoeld pad beschikbaar is.

WAN-failover is niet hetzelfde als HA-failover. De WAN link manager wisselt het internetpad op dezelfde firewall. Een Sophos Firewall HA-cluster neemt daarentegen over wanneer een apparaat of bewaakte poort uitvalt.

WAN-failover voorbereiden

Beide provideraansluitingen moeten eerst onafhankelijk van elkaar werken. De basis voor WAN-zone, IP-toewijzing en gateway staat in Sophos Firewall-zones en interfaces plannen.

Een eenvoudig voorbeeld ziet er als volgt uit:

WAN1 Fiber: hoofdverbinding, gateway gw-fiber, Type: Active, Weight: 1
WAN2 DSL: back-upverbinding, gateway gw-dsl, Type: Backup
Activering van de back-up: If active gateway fails: ANY
Actie bij activering: Inherit weight of the failed active gateway
Actie bij terugkeer: Serve new connections through restored gateway

De namen zijn vrij te kiezen en moeten de aansluiting eenduidig beschrijven. Het gatewaytype en de acties zijn daarentegen functionele instellingen. Vóór het omschakelen moet de back-upgateway al een groene status hebben en moet echt clientverkeer via de verbinding met succes zijn getest.

Daarnaast is een veilig retourpad voor beheer nodig. Als de firewall op afstand wordt gewijzigd, mag WebAdmin niet uitsluitend bereikbaar zijn via de verbinding die tijdens de test wordt losgekoppeld. Een actuele configuratieback-up, een onderhoudsvenster en iemand op locatie of een onafhankelijk beheerpad voorkomen dat een eenvoudige failovertest tot een langere uitval leidt.

Noteer vooraf ook alle diensten die aan een openbaar IP-adres zijn gekoppeld. Denk daarbij aan DNAT-publicaties, IPsec-peers, Remote Access, provider-allowlists, mailservers en externe monitoringsystemen. Uitgaande internettoegang kan al werken terwijl deze diensten via het nieuwe openbare adres nog niet bereikbaar of toegestaan zijn.

Primary/Backup configureren

WAN-interfaces en gatewaystatus controleren

Configureer beide WAN-poorten onder Network > Interfaces met de door de provider opgegeven statische, DHCP- of PPPoE-configuratie. Bij het opslaan wordt de bijbehorende fysieke WAN-gateway automatisch in de WAN link manager aangemaakt.

Een nieuwe gateway is aanvankelijk Active. Pas na het toevoegen van een zuivere back-upverbinding daarom direct het type aan, voordat productieverkeer onbedoeld over beide providers wordt verdeeld.

Custom Gateways uit Routing > Gateways, bijvoorbeeld voor XFRM, RED of MPLS, verschijnen niet in de WAN link manager. Ze horen bij een ander routingontwerp en worden in dit eenvoudige scenario niet als fysieke ISP-gateway behandeld.

Back-upgateway instellen

Bewerk onder Network > WAN link manager de gateway van de back-upverbinding en stel de volgende waarden in:

Type: Backup
Activate this gateway: If active gateway fails
Bij één hoofdverbinding: ANY
Action on activation: Inherit weight of the failed active gateway
Action on failback: Serve new connections through restored gateway
Sla de configuratie op en controleer de gatewaystatus.

Bij precies één actieve gateway hebben ANY en ALL praktisch hetzelfde effect. Het verschil wordt belangrijk bij meerdere actieve verbindingen:

ANY: De back-up wordt geactiveerd zodra één van de actieve gateways uitvalt. Dit past als verloren capaciteit direct moet worden vervangen.
ALL: De back-up wordt pas geactiveerd als alle actieve gateways zijn uitgevallen. Dit past eerder bij een trage of dure noodverbinding.

Action on activation bepaalt het gewicht van de back-upgateway wanneer deze naast andere beschikbare gateways actief wordt. Inherit weight of the failed active gateway is duidelijk voor een eenvoudig vervangingsscenario. Use configured weight is zinvol als de back-up bewust minder of meer capaciteit heeft en samen met resterende actieve verbindingen wordt gebruikt.

Bij failback is Serve new connections through restored gateway operationeel de voorzichtigere keuze. Nieuwe sessies gebruiken opnieuw de hoofdverbinding; bestaande sessies blijven tot hun timeout of verbreking op het back-uppad. Serve all connections through restored gateway bouwt bestaande verbindingen opnieuw op en kan ze onderbreken. Bij SD-WAN-routes geldt deze actie alleen als WAN link load balance als Primary Gateway is geselecteerd. Bij één Active WAN-link als Primary worden alleen nieuwe verbindingen via de herstelde gateway geleid.

Geschikte Failover rules kiezen

De Failover rules bepalen wanneer een gateway als onbereikbaar wordt beschouwd. Beschikbare opties zijn:

Testing method: Ping of TCP
IP address
bij TCP bovendien Port
meerdere foutvoorwaarden koppelen met AND of OR

Een fysieke kabelbreuk wordt al op de interface gedetecteerd. De standaard aangemaakte pingcontrole van het gateway-IP controleert bovendien of het direct aangesloten providerapparaat of de eerste providerhop bereikbaar is. Deze controle kan echter groen blijven terwijl achter de bereikbare providerrouter geen internettoegang meer werkt. Sophos adviseert voor WAN-/ISP-gateways daarom een bekend openbaar IP-doel, bijvoorbeeld 8.8.8.8 of 8.8.4.4.

Voor IPv6 noemt Sophos 2001:4860:4860::8888 als openbaar voorbeeld. Gebruik voor de controle van het upstream-apparaat het IPv6-adres van de gateway en niet het link-local-adres.

Eén doel is evenmin een volledige statuscontrole. Voor een robuustere start kunnen twee permanent bereikbare, door de organisatie toegestane openbare IP-adressen worden gebruikt:

AND: Pas als alle gekoppelde controles mislukken, wordt failover geactiveerd. Dit vermindert onnodige omschakelingen door één onbereikbaar doel.
OR: Eén mislukte controle kan failover al activeren. Dit reageert gevoeliger, maar verhoogt het risico op onnodige omschakelingen.

8.8.8.8 en 8.8.4.4 zijn concrete voorbeelden van Sophos, maar behoren tot dezelfde operator en vormen geen volledig onafhankelijke foutdomeinen. In een belangrijke omgeving zijn twee toegestane doelen bij verschillende operators beter. Een pingdoel moet ICMP betrouwbaar beantwoorden; voor TCP is een stabiele dienst nodig waarvan de poort mag worden gecontroleerd.

ANY/ALL bij de back-upgateway en AND/OR bij de controleregels beantwoorden verschillende vragen. ANY/ALL bepaalt hoeveel actieve gateways moeten uitvallen. AND/OR bepaalt hoe meerdere controles de uitval van één gateway beoordelen.

De globale waarde Gateway failover timeout in de WAN link manager bepaalt wanneer de firewall een link die niet reageert als uitgevallen beschouwt. Er bestaat geen universeel juiste waarde. Een te korte timeout reageert sneller, maar kan bij pakketverlies of een korte storing van het controledoel onnodig omschakelen. De waarde wordt onder meer ook als Health Check Interval voor IPsec-failovergroepen gebruikt en mag daarom niet geïsoleerd voor één WAN-link worden gewijzigd. Documenteer de uitgangswaarde, test gecontroleerd en pas deze pas daarna op basis van de gemeten omschakeltijd aan.

Failover en failback gecontroleerd testen

Een kabeltest controleert alleen een lokale linkuitval. Een providerstoring achter een nog bereikbare router wordt pas zichtbaar als ook de geconfigureerde openbare controledoelen niet meer bereikbaar zijn. Test beide gevallen daarom idealiter afzonderlijk.

Bevestig onderhoudsvenster, rollbackplan en alternatieve beheerstoegang.
Documenteer onder Network > WAN link manager de status van de hoofd- en back-upgateway.
Test vanaf een testclient DNS, HTTPS en een belangrijke applicatie. Noteer bovendien het op dat moment gebruikte openbare uitgaande adres.
Koppel voor de linktest de primaire WAN-kabel gecontroleerd los. Laat voor de eigenlijke monitoringtest de link naar de firewall actief en onderbreek de upstream achter het providerapparaat, voor zover dit veilig mogelijk is.
Wacht langer dan de geconfigureerde Gateway failover timeout.
Controleer of de hoofdgateway als uitgevallen en de back-upgateway als actief wordt weergegeven.
Start nieuwe DNS-, HTTPS-, VPN- en applicatiesessies. Controleer firewallregel, NAT, bereikbaarheid van de bestemming en het nieuwe openbare uitgaande adres.
Controleer Gateway Up/Down-events in Log viewer. Voor een diepere analyse bevat dgd.log events voor WAN-gatewaybeheer en linkfailover.
Herstel de hoofdverbinding en controleer bestaande en nieuwe sessies afzonderlijk. Zo wordt zichtbaar of het geconfigureerde failbackgedrag daadwerkelijk optreedt.
Documenteer de eindstatus, applicaties en externe bereikbaarheid.

Een geslaagde ping bewijst alleen dat het controledoel antwoordt. De test bevestigt niet dat DNS, NAT, VPN, gepubliceerde diensten of een bedrijfsapplicatie werken. Voor het werkelijke pakketpad helpt Packet Capture in Sophos Firewall WebAdmin; de uitleg van dgd.log en andere bestanden staat in Sophos Firewall Service Logs.

Typische fouten en beperkingen

De back-upverbinding verwerkt al productieverkeer: De nieuwe gateway staat nog op Active. Zet deze voor een zuivere back-up op Backup.
De back-up wordt bij een storing niet actief: Controleer gatewaystatus, type, ANY/ALL, Failover rules en Gateway failover timeout. Bij meerdere actieve gateways kan ALL activering bewust voorkomen zolang nog een actief pad beschikbaar is.
De gateway is groen, maar internet werkt niet: Het controledoel is bereikbaar terwijl DNS, routing, firewallregel, NAT of de applicatie mislukt. Controleer echt verkeer, Log Viewer en Packet Capture.
De firewall schakelt zonder echte providerstoring om: Eén controledoel antwoordt niet, OR is te gevoelig of de timeout is te kort voor de kwaliteit van de verbinding. Controleer controledoelen en het gemeten pakketverlies.
Bestaande sessies worden bij het omschakelen verbroken: Het openbare source IP of de NAT-status verandert. Peers kunnen de verbinding daarom verwerpen. WAN-failover betekent niet automatisch Zero Downtime.
Uitgaand verkeer werkt, maar inkomende diensten niet: De tweede provider vereist passende openbare bereikbaarheid, DNS of Dynamic DNS, DNAT, firewallregels en eventueel certificaten. DNAT voor gepubliceerde servers en NAT-basisprincipes helpen bij de afbakening.
VPN werkt alleen via de hoofdverbinding: Remote Gateway, lokale Listening Address, FQDN, identiteiten, tunnelconfiguratie en terugroute moeten ook bij het back-uppad passen. Eenvoudige WAN-failover maakt geen tweede VPN-verbinding aan.

Als applicaties, gebruikersgroepen of bestemmingsnetwerken verschillende verbindingen moeten gebruiken of latency, jitter en pakketverlies het pad moeten bepalen, hoort deze beslissing in Sophos Firewall SD-WAN Routes en Profiles. Voor een mobiele back-up zijn bovendien SIM, APN, datavolume, CGNAT en signaalkwaliteit van belang; deze punten worden uitgelegd in Cellular WAN en 4G/5G-failover.

Beheer

Meld wijzigingen in de gatewaystatus indien nodig via e-mail. Configureer daarvoor eerst de mailserver, afzender en ontvanger onder Administration > Notification settings. Activeer vervolgens onder System services > Notification list de globale schakelaar Email notifications en selecteer onder System de gebeurtenis Gateway status. Alleen het selecteren van de eventregel verstuurt nog geen e-mail.
Controleer gatewaystatus en dgd.log na ongeplande omschakelingen.
Test failover en failback minimaal elk kwartaal en na wijzigingen aan provider, interface, NAT, routing of firmware.
Documenteer afhankelijkheden van openbare IP-adressen, VPN-peers, allowlists en inkomende diensten.
Leg verantwoordelijken vast voor providerstoringen, escalatie en terugkeer naar normaal bedrijf.
Controleer de controledoelen regelmatig; een permanent gewijzigd of niet meer bereikbaar doel mag de omschakellogica niet ongemerkt bepalen.
Controleer bij meerdere actieve verbindingen gewichten en Session Persistence op basis van werkelijk gebruik, niet alleen aan de hand van nominale bandbreedtes.