Sophos Firewall Wireless Controller via CLI diagnosticeren

Voer system wireless-controller in SFOS 22 uit onder 4. Device Console. Lees diagnostische logboeken afzonderlijk in 5. Device Management > 3. Advanced Shell. Begin met alleen-lezencontroles en schakel Remote Packet Capture pas in nadat het probleem is afgebakend tot één access point en één testclient.

⚠️ Privacy en beheer: Een wireless capture kan gebruikersverkeer, IP-adressen, DNS-query’s en authenticatie- of sessiegegevens bevatten. Gebruik een nauw filter, leg één korte reproduceerbare test vast en bescherm het geëxporteerde bestand. Noteer vóór iedere wijziging de exacte beginwaarde.

Versiebereik: SFOS 22. Controleer daarom de syntaxis en de werkelijke uitvoer op de geïnstalleerde build.

Open de juiste console

De CLI is lokaal via een consolekabel, op afstand via SSH of via admin > Console in WebAdmin toegankelijk. Sta voor SSH de service SSH toe voor de vereiste zone onder Administration > Device access > Local service ACL. Voor admin > Console moet HTTPS voor die zone zijn toegestaan. Beperk beheer waar mogelijk tot beheerdershosts met een Local service ACL exception rule.

Selecteer na het aanmelden 4. Device Console. Daar toont ? de beschikbare argumenten en hun beschrijving voor een gedeeltelijk ingevoerde opdracht. system wireless-controller is een Device Console-opdracht. Advanced Shell is een afzonderlijke omgeving die hieronder alleen wordt gebruikt voor gedocumenteerde, alleen-lezeninspectie van logboeken; deze omgeving is niet uitwisselbaar met Device Console.

Registreer de uitgangswaarde en het symptoom

Controleer eerst welke onderdelen op de geïnstalleerde build beschikbaar zijn en lees de huidige waarden uit:

system wireless-controller ?
system wireless-controller ap_localdebuglevel get
system wireless-controller global show
system wireless-controller remote_pktcap show <AP_serial_number>

Vervang <AP_serial_number> door het serienummer van het betrokken AP; voer de punthaken niet in. Noteer ook de SFOS-build, het AP-model en de firmware, SSID, band, kanaal, kanaalbreedte, MAC- en IP-adres van de testclient, tijdstip en een exact reproduceerbaar symptoom. Noteer bij HA ook op welk knooppunt de aanmelding heeft plaatsgevonden. Herhaal de diagnostiek na een failover niet zonder voorafgaande controle op beide knooppunten.

Een normale controllerstatus bevestigt alleen de status van het besturingsvlak. Dit bewijst niet dat clientassociatie, DHCP, DNS, authenticatie of het datapad werkt.

Controleer eerst WebAdmin en de relevante logs

Controleer onder Wireless > Access points of de AP actief is en of het model en serienummer overeenkomen. Sophos Firewall beheert toegangspunten via poort 2712. Als een AP ontbreekt of inactief is, controleer dan eerst de zone, VLAN, switchpoort, adressering en het pad naar deze poort. Het accepteren van een onbekend AP is geen diagnostische stap: controleer model, serienummer, locatie en beheernetwerk vóór Accept.

De SFOS 22-documentatie koppelt de volgende logbestanden aan draadloze problemen:

• awed.log: communicatie tussen AP of APX en de firewall
• wc_remote.log: draadloze clientcommunicatie met AP of APX
• hostapd.log: SSID-evenementen voor LocalWifi
• hotspotd.log: hotspot evenementen

SFOS 22 documenteert officieel tail -f, grep en less voor het lezen van diagnostische logboeken in 5. Device Management > 3. Advanced Shell. De algemene gedocumenteerde syntaxis ondersteunt deze doelgericht begrensde voorbeelden:

tail -f /log/awed.log
grep '<AP_serial_number>' /log/awed.log
grep '<client_MAC_address>' /log/wc_remote.log
less /log/hostapd.log

Vervang elke tijdelijke aanduiding door precies één identificatie en laat de punthaken weg. Laat tail -f alleen tijdens de korte reproductietest lopen en stop het met Ctrl+C; sluit less af met q. Deze opdrachten lezen elk één relevant bestand en vervangen de bovenstaande Device Console-opdrachten niet. Serviceacties zoals start, stop en restart en debugacties wijzigen de systeemstatus. Gebruik ze niet voor algemene diagnostiek: ze vereisen een casespecifieke noodzaak, een vastgelegde uitgangssituatie en een expliciet rollbackplan. Als deze controles niet volstaan, tijdbeperkte toegang inschakelen onder Diagnostics > Support access en de toegangs-ID versturen via het afgesproken supportkanaal.

Voer Remote Packet Capture uit op één AP

remote_pktcap stuurt AP-pakketten naar een Packet Capture dat gelijktijdig op de firewall draait. Sophos vereist een globale ap_debuglevel van minimaal 4. Het debugniveau is globaal, terwijl de captureopdracht één specifiek AP-serienummer gebruikt.

Voorwaarde vóór stap 1: Controleer en registreer de capturestatus van dit AP met system wireless-controller remote_pktcap show <AP_serial_number> en de bestaande capturestatus van de firewall onder Diagnostics > Packet capture. Als een van beide captures al actief is of de status onduidelijk is, wijzig dan niet het filter, de capturestatus of het globale debugniveau. Stel vast wie verantwoordelijk is en wat het doel is en onderbreek deze procedure totdat een expliciet goedgekeurde uitgangssituatie met beide captures inactief beschikbaar is. Neem diagnostiek van anderen niet over en stop deze niet.

1. Start system wireless-controller global show en neem de exacte ap_debuglevel op. Als het al 4 of hoger is, verander het dan niet.

2. Als het onder 4 is, zet het dan tijdelijk op 4 en lees de status opnieuw:

   system wireless-controller global ap_debuglevel 4
   system wireless-controller global show
   

3. Open Diagnostics > Packet capture, configureer een smal filter voor de testclient, bestemming, poort of protocol en start Packet capture.

4. Activeer AP capture en controleer de status:

   system wireless-controller remote_pktcap enable <AP_serial_number>
   system wireless-controller remote_pktcap show <AP_serial_number>
   

5. Genereer alleen de vastgelegde teststroom. Packet capture toont onder meer de inkomende en uitgaande interface, Status, Reason en Firewall Rule ID. Daarmee is te bepalen of het frame het AP bereikt, door de firewall wordt verwerkt of door een regel wordt geweigerd.

6. Stop alleen captures die deze procedure vanuit de bevestigde inactieve uitgangssituatie heeft gestart: eerst uw eigen AP-capture met onderstaande opdrachten, daarna uw eigen Packet capture in WebAdmin. Laat niet door u gestarte captures en captures van anderen ongewijzigd:

   system wireless-controller remote_pktcap disable <AP_serial_number>
   system wireless-controller remote_pktcap show <AP_serial_number>
   

7. Als ap_debuglevel is gewijzigd, de waarde die vóór de test is geregistreerd herstellen en controleren:

   system wireless-controller global ap_debuglevel <saved_ap_debuglevel>
   system wireless-controller global show
   

Vervang <saved_ap_debuglevel> door de exacte vorige waarde. De gedocumenteerde Wireless Controller-syntaxis heeft voor deze parameter geen reset-vertakking. Een veronderstelde standaardwaarde biedt daarom geen veilige rollback.

Gebruik andere parameters niet als algemene oplossing

Device Console toont aanvullende globale parameters. Hun numerieke bereik is gedocumenteerd, maar de operationele gevolgen worden niet in alle gevallen voldoende toegelicht:

• ap_localdebuglevel: 0 tot 15; uitlezen met get, wijzigen met set
• log_level: 0 tot 7; berichten op of boven het geconfigureerde niveau worden vastgelegd, dus een hoger getal betekent niet simpelweg ‘meer logboekregistratie’
• ap_autoaccept, stay_online en store_bss_stats: 0 uit, 1 aan
• tunnel_id_offset: 0 tot 65535

Wijzig deze waarden niet preventief en voer geen blok met meerdere wijzigingen uit. ap_autoaccept verwijdert met name het doelbewuste AP-acceptatiecontrolepunt. De commandopagina geeft niet genoeg context om algemene aanbevelingen voor probleemoplossing te doen voor stay_online, store_bss_stats of tunnel_id_offset. Gebruik ze alleen met case-specifieke instructies van Sophos Support, sla de vorige waarde op met global show en herstel die exacte waarde daarna.

Vertraag RADIUS Accounting Start alleen bij een bewezen oorzaak

radius_accounting_start_delay is alleen bedoeld voor een bevestigd volgordeprobleem: 802.1X Accounting Start arriveert voordat DHCP een adres aan de client toewijst. Wi-Fi SSO kan dan geen bruikbaar Framed-IP-Address verkrijgen uit het Accounting Start bericht. Het gedocumenteerde bereik is 0 tot 60 seconden; Sophos gebruikt 30 seconden in KBA-000006795.

De door Sophos gedocumenteerde procedure geldt voor door SFOS beheerde APX-modellen met een WPA/WPA2 Enterprise-SSID. De KBA bevestigt dit SSO-pad niet voor AP6 of willekeurige controllers van derden.

Toon vóór de wijziging de volgorde aan met RADIUS-logboeken en een opname en sla de huidige waarde op met global show. De volledige werkwijze staat in RADIUS SSO en Accounting controleren. Voer na de test system wireless-controller global radius_accounting_start_delay <saved_delay> uit met de exacte vorige waarde en controleer deze met global show.

Kanaalbreedte is configuratie, geen diagnostiek

Sophos documenteert kanaalbreedten van 20 en 40 MHz voor 2,4 GHz en 20, 40 en 80 MHz voor 5 GHz. De CLI pagina zegt verkeerd 2.5GHz op één plaats. Kopieer dit niet blind. De gedocumenteerde CLI branch biedt ook geen aparte lees- of resetopdracht voor kanaalbreedte. Het is geen veilige diagnostische stap zonder een opgeslagen basislijn en bevestigde syntaxis.

Plan kanaalbreedte door de normale Wireless Network setup in WebAdmin. Kanaalgebruik, naburige netwerken, signaal, retransmissies, clientmogelijkheden en locatiedichtheid bepalen of een bredere instelling werkelijk helpt.

AP-configuratie en XML API-antwoorden beoordelen

Als automatisering het AP heeft gewijzigd, controleert u ook het opgeslagen object WirelessAccessPoint. De XML-referenties voor SFOS 22 en 23 bevatten dezelfde veldbeschrijvingen; dit bewijst geen hardwareondersteuning op elke build. ID is de verplichte stringidentificatie van het AP, niet Label, de SSID of een willekeurige groepsnaam. Update Access Point noemt daarnaast Label, Country en Band als verplicht; Delete Access Point noemt ID. Verwijderen is geen diagnostische stap of verwijdering van een SSID-toewijzing en vereist een bewust goedgekeurde buitengebruikstelling.

Controleer de afhankelijkheden: Group selecteert de AP-groep en WirelessNetworks/Network de WLAN-toewijzingen. Voor 2,4 GHz zijn er Channel2.4GHz, DynChan, TimeBasedScan, ScanTime/Time, TXPower en ChannelWidth; voor 5 GHz de overeenkomstige Channel5GHz, DynChan5GHz, TimeBasedScan5GHz, ScanTime5GHz/Time, TXPower5GHz en ChannelWidth11a. Wijs een schema alleen toe wanneer tijdgebonden scannen actief is en schakel dat alleen in met dynamische kanaalkeuze op de betreffende band. VLANTagging en het daarvan afhankelijke APVLANID betreffen het beheerpad; het gedocumenteerde bereik van APVLANID is 1–4094. Vergelijk groep, SSID’s, beheer-VLAN, interface en switchpad met de wireless-configuratie. AP6 blijft buiten SFOS-beheer.

Geen schrijfrequest dat direct kan worden verzonden: Het voorbeeld gebruikt RootAccessPoint voor Role, maar de veldbeschrijving noemt point/portal. Voor scanschakelaars toont het voorbeeld Enable, terwijl de beschrijving alleen t toestaat; ook enkele bandbeschrijvingen zijn inconsistent. Normaliseer deze waarden niet zelf. Bevestig vóór een wijziging de exacte bovenliggende tags, waarden en operatie in API help van de geïnstalleerde build; als de koppeling onduidelijk blijft, schrijf dan niet en raadpleeg Support.

Deze koppelingen zijn XML API-statuswaarden en onopgeloste referentiesymbolen, geen HTTP-codes of geverifieerde meldingsteksten tijdens uitvoering. Elke genoemde code hoort bij de aangegeven operatie en het symbool:

• Update Access Point — 200, 216 — Message.WPAPkUpdateSuccessfully
• Update Access Point — 500, 541, 543, 545, 544 — Message.WPAPUpdateFail
• Update Access Point — 523 — Message.WPNetworkGroupMax
• Update Access Point — 524 — Message.WPAccessPointMax
• Update Access Point — 542 — Message.WPAccessPointMesh
• Update Access Point — 547 — Message.WPAPUpdateFailVLANGroup
• Update Access Point — 548 — Message.WPA3IsNotSupported
• Delete Access Point — 200 — Message.WPAccessPointDeleteSuccess
• Delete Access Point — 500 — Message.WPAccessPointDeleteFail

Leid uit alleen een symbool geen limiet, oorzaak of veilige herhaling af. Vergelijk vóór elke nieuwe schrijfpoging het antwoord met de werkelijk opgeslagen AP-, groeps-, WLAN- en VLAN-status, ook bij 216; test daarna de clientverbinding en het datapad. De centrale XML API-veiligheidsgids behandelt toegangsbeveiliging, expliciete operaties, gedeeltelijke resultaten en rollback.

Evalueer het resultaat en sluit de sessie correct af

Controleer na de diagnostiek de AP-status, clientassociatie, DHCP-lease, DNS-resolutie, authenticatie, verwachte Firewall Rule ID, pakketverlies, latentie en de betrokken toepassing. Controleer voor RADIUS ook Accounting Start, Framed-IP-Address en de gebruikerstoewijzing.

De workflow is voltooid zodra de eigen tijdelijke captures zijn beëindigd: remote_pktcap show moet de inactieve status bevestigen voor de hier gestarte AP-capture, en WebAdmin voor de hier gestarte Packet capture. Andere diagnostiek blijft ongewijzigd; als deze procedure wegens een al actieve capture werd onderbroken, is het stoppen daarvan geen afrondingsvoorwaarde. global show moet de opgeslagen debug- en parameterwaarden bevatten. Als de oorzaak onduidelijk blijft, bewaar dan de tijd, AP serienummer, testclient, capture en relevante log bestandsnamen voor Sophos Support in plaats van meer globale instellingen te proberen.

Veelgestelde vragen