Naar de inhoud
Avanet
Mijn account
Mijn account

Laden …
Klantenportaal Accountinstellingen

Sophos Firewall Wireless Mesh instellen en testen in een bestaande APX-installatie

Sophos Firewall

Een Wireless Mesh op Sophos Firewall verbindt een of meer APX Access Points draadloos met een bekabelde root-AP. Zo kan een dekkingsgat zonder Ethernetbekabeling worden overbrugd. De mesh-backhaul is niet de zichtbare wifi-SSID: SFOS maakt hiervoor een verborgen WPA2-Personal-netwerk met een willekeurige passphrase. Clients gebruiken daarnaast een apart geconfigureerd Wireless Network.

⚠️ Belangrijk: Deze handleiding geldt voor bestaande APX-installaties die rechtstreeks door SFOS worden beheerd. APX kan alleen met APX meshen. AP6, geïntegreerd LocalWiFi, SD-RED-wifimodules en gemengde Sophos AP-series vallen buiten deze procedure. Mesh vervangt ook geen bekabelde redundantie: minstens één AP blijft via LAN verbonden en SFOS wisselt bij uitval van de root-AP niet automatisch van root.

Toepassingsgebied: bestaande installatie, geen nieuw wifi-platform

De volgende stappen beschrijven legacy mesh voor een bestaande APX-installatie die door de firewall wordt beheerd, niet de opbouw van een nieuw APX- of UTM-platform. Vóór een wijziging moet zijn bevestigd dat het specifieke AP-model, de hardware-revisie en de daadwerkelijk gebruikte SFOS-build worden ondersteund. De Wireless-help voor SFOS 22 en SFOS 23 bevat oudere mesh-procedures; het bestaan van een helppagina is geen bewijs van hardwareondersteuning. Hieruit mag met name niet worden afgeleid dat een APX-upgrade naar SFOS 23 mogelijk is. Als de ondersteuning niet is bevestigd, behoud dan de bestaande configuratie en zoek eerst uit hoe het zit met model-/buildcompatibiliteit en migratie.

AP6-mesh gebruikt een ander beheerplatform: Een centraal beheerde AP6-installatie wordt geconfigureerd in Sophos Fusion, voorheen Sophos Central, niet onder Wireless > Mesh networks op de firewall. Een Sophos Firewall kan daarbij nog steeds als router en beveiligingsgrens in het datapad fungeren, maar wordt geen AP6-controller. APX en AP6 mogen niet samen één mesh vormen. Registratie en netwerkvereisten voor dit afzonderlijke beheerplatform worden uitgelegd in Vereisten voor Sophos Central Wireless; de concrete planning, mesh-configuratie en acceptatietests staan in AP6-mesh plannen en instellen. De hier beschreven APX-rollen, SSID-toewijzingen en stappen voor het terugdraaien zijn niet van toepassing op AP6.

Het outdoormodel APX 320X valt buiten deze door de firewall beheerde procedure. Verwijzingen naar de oude Sophos AP-serie en handmatige rollen in oudere handleidingen verklaren historische installaties, niet een nieuwe installatie die nu wordt ondersteund. Ook geïntegreerd LocalWiFi en SD-RED-wifimodules zijn geen vervangers voor de twee externe APX’en in het voorbeeld; hun wifi- en modelvereisten moeten afzonderlijk worden gecontroleerd. UTM-handleidingen worden hier niet verder bijgewerkt en ook niet aanbevolen als route voor een nieuwe installatie.

Korte procedure:

  1. Beide APX’en eerst via LAN verbinden, onder Wireless > Access points accepteren en firmware, Country en radioplan controleren.
  2. Voor de mesh-band op alle betrokken AP’s hetzelfde vaste kanaal instellen en Dyn chan uitschakelen.
  3. Onder Wireless > Mesh networks > Add Mesh-ID, Frequency band en APX’en configureren.
  4. De zichtbare client-SSID apart aan beide APX’en toewijzen.
  5. Opslaan, de LAN-kabel van de mesh-AP loskoppelen, de APX’en herstarten en maximaal vijf minuten wachten.
  6. AP-status, clientverbinding, DHCP, Rule ID, internettoegang en uitval van het root-pad gecontroleerd testen.

Wanneer een APX-mesh past

Mesh past bij een bestaande APX-installatie als één externe access point geen Ethernet heeft en de radioverbinding met de root-AP stabiel genoeg is. Voorbeelden zijn een kleine opslagzone, vergaderruimte of tijdelijke ruimte die later wordt bekabeld.

Ethernet blijft technisch beter voor blijvend hoge capaciteit, stabiele latency en voorspelbare failover. De mesh-backhaul deelt radio-airtime met ander verkeer. Meet daarom de echte prestaties met de bedoelde clients en applicaties in plaats van ze uit de linkstatus af te leiden.

Ook de productgrens telt: APX is End-of-Sale en bereikt op 31 december 2027 End-of-Life. Neem daarom de APX-levenscyclus en AP6 als opvolger mee in de middellange planning. AP6 wordt niet via SFOS beheerd.

Mesh-backhaul, client-SSID en rollen begrijpen

De componenten hebben verschillende taken:

  • Mesh network: verborgen radio-backhaul tussen APX’en. De Mesh-ID identificeert de groep; SFOS beheert de willekeurige WPA2-passphrase.
  • Root-AP: APX met Ethernetverbinding naar de firewall. Bij APX volgt deze rol automatisch uit de bekabeling.
  • Mesh-AP: APX zonder Ethernet-uplink die de root-AP via radio bereikt.
  • Wireless Network: zichtbare client-SSID met Security mode, Client traffic, DHCP en regels. De basis staat in Wifi rechtstreeks op Sophos Firewall instellen.

Bij oudere Sophos AP-series moeten root- en meshrollen expliciet worden gekozen. Dit artikel gebruikt alleen APX en neemt dat oude rollenscherm daarom niet over.

Repeater of wireless bridge

Als repeater zendt de mesh-AP de toegewezen client-SSID op de externe locatie uit. Endpoints verbinden via wifi; de AP transporteert hun verkeer via de mesh-backhaul naar de root-AP.

Bij een wireless bridge wordt ook een Ethernetsegment op de netwerkpoort van de mesh-AP aangesloten. Dit breidt Layer 2 uit en kan bij een tweede kabelpad lussen veroorzaken. Gebruik daarom een onderhoudsvenster en gedocumenteerd herstelpad. STP moet bij het volledige switch- en bridgeontwerp passen en wordt niet alleen uitgeschakeld omdat een pad wordt geblokkeerd.

Voor kleine uitbreidingen is repeaterbedrijf meestal overzichtelijker. Gebruik een bridge alleen wanneer het externe Ethernetsegment echt nodig is en broadcast-, VLAN- en lusgedrag bekend zijn.

Grenzen vóór configuratie controleren

Een APX-mesh heeft duidelijke grenzen:

  • Alle betrokken access points behoren tot de APX-serie.
  • Per AP kan maar één mesh-netwerk worden gebruikt.
  • Minstens één APX blijft via LAN met de firewall verbonden.
  • Alle mesh-AP’s gebruiken op de mesh-band hetzelfde kanaal.
  • Dynamic Channel Selection of Dyn chan mag daar niet actief zijn, anders kunnen kanalen na een herstart verschillen.
  • Bij APX mogen bij gebruik van mesh niet beide radio’s tegelijk op 5 GHz staan.
  • AP’s met een toegewezen VLAN kunnen alleen meshen als die VLAN’s niet de Client traffic-modus Bridge to VLAN gebruiken.
  • Een tweede mesh-netwerk op dezelfde AP werkt niet.
  • Een andere mesh-AP neemt uitval van de root-AP niet automatisch en zonder onderbreking over.

De huidige Sophos-help noemt 2.4 GHz voor de mesh-backhaul en 5 GHz voor client-SSID’s als mogelijk startpunt. Dit is geen universele best practice. Afstand, muren, storing, kanalen, regelgevende Country en benodigde capaciteit bepalen het ontwerp.

Tegenstrijdige documentatie duiden: De oudere deploymenthandleiding noemt 5 GHz op de root-AP en 2.4 GHz op de mesh-AP; de handleiding voor het toevoegen maakt daarentegen onderscheid tussen 5 GHz voor client-SSID’s en 2.4 GHz voor de mesh-backhaul. Deze formuleringen mogen er niet toe leiden dat root-AP en mesh-AP verschillende backhaulbanden gebruiken. Voor de hier gedocumenteerde procedure voor een bestaande installatie moeten beide AP’s dezelfde gekozen mesh-band en hetzelfde vaste kanaal gebruiken. Het voorbeeld 2.4 GHz is geen verplichte instelling; controleer vóór het kiezen van een andere band de model-/buildondersteuning en het radiopad. De APX-beperking voor twee radio’s die tegelijk op 5 GHz zijn geconfigureerd, blijft gelden.

Voorbeeldtopologie plannen

Het voorbeeld gebruikt:

  • Firewall: fw01
  • bekabelde APX: ap-office-root
  • draadloze APX: ap-warehouse-mesh
  • Mesh-ID: OfficeMesh
  • zichtbaar Wireless Network: Company WiFi
  • Mesh-band: 2.4 GHz
  • Mesh-kanaal: een vast, lokaal getest kanaal

OfficeMesh is een voorbeeld en wordt vervangen door een korte, unieke lokale naam. Verwar Mesh-ID niet met de zichtbare SSID. Company WiFi bestaat in het voorbeeld al met passende Client traffic, DHCP, firewallregels en NAT.

Bereid vóór de wijziging een actuele configuratieback-up, bekabelde beheertoegang en rollbackplan voor. Beide APX’en krijgen PoE en worden voor de eerste configuratie binnen bereik van hun definitieve locaties getest. De root-AP moet daar via Ethernet bereikbaar blijven.

Access points en radiokanaal voorbereiden

Beide APX’en eerst via LAN provisionen

  1. Verbind ap-office-root en ap-warehouse-mesh via Ethernet met het beheersegment.
  2. Controleer onder Wireless > Wireless settings Wireless Protection en de managementzone onder Allowed zone.
  3. Accepteer onder Wireless > Access points beide pending APX’en met Accept.
  4. Stel voor beide APX’en de juiste Country in. Sla na een wijziging op en herstart gecontroleerd om de kanalenlijst bij te werken.
  5. Controleer dat beide APX’en actief zijn en hun actuele configuratie hebben ontvangen.

De eerste bekabeling is verplicht. Een APX zonder ontvangen mesh-configuratie kan later niet alleen via radio worden toegevoegd.

Plan vóór de uitrol ook de APX-firmware via Sophos Firewall Pattern Updates. Voer firmware-update en mesh-omschakeling niet ongecontroleerd tegelijk uit.

Eén gemeenschappelijk vast kanaal instellen

  1. Open de eerste APX onder Wireless > Access points.
  2. Stel onder Advanced settings een vast, lokaal getest kanaal in het juiste veld Channel 2.4 GHz of Channel 5 GHz in.
  3. Schakel Dyn chan voor deze band uit.
  4. Neem dezelfde instelling over op de tweede APX.
  5. Zet nabijgelegen AP’s buiten de mesh waar mogelijk op een ander storingsarm kanaal.

Kies een kanaal op basis van lokale scan, Country-voorschriften en naburige bezetting, niet omdat het voorbeeld werkt. Na iedere wijziging moeten beide mesh-AP’s dezelfde waarde tonen.

Wireless Mesh in SFOS maken

Mesh-netwerk maken

Voor de mesh-backhaul wordt een nieuw, afzonderlijk mesh-netwerk of een nieuwe mesh-SSID aangemaakt; de bestaande zichtbare client-SSID Company WiFi wordt niet omgezet in een mesh-netwerk. De help gebruikt hiervoor zowel Mesh-ID als mesh-enabled SSID. Als de bestaande interface Enable mesh mode alleen aanbiedt bij het aanmaken van een nieuwe SSID, gebruik deze gedocumenteerde legacy-procedure dan uitsluitend op het bevestigde model en de bevestigde build en houd de client-SSID apart. Per AP is slechts één mesh-netwerk voorzien. Alle betrokken AP’s moeten dezelfde Mesh-ID krijgen; ze delen de door SFOS willekeurig gegenereerde WPA2-Personal-passphrase. Dit is niet de passphrase van het client-wifi-netwerk.

  1. Open Wireless > Mesh networks.
  2. Kies Add.
  3. Voer OfficeMesh in als Mesh-ID.
  4. Kies onder Frequency band de gemeenschappelijke band, in het voorbeeld 2.4 GHz.
  5. Voeg ap-office-root en ap-warehouse-mesh toe.
  6. Sla op.

Bij APX hoeft geen rol handmatig te worden toegewezen. Zolang beide APX’en bekabeld zijn, ontvangen ze de configuratie. Na het loskoppelen van ap-warehouse-mesh blijft ap-office-root door zijn Ethernetverbinding root-AP.

Zichtbare client-SSID toewijzen

Het mesh-netwerk is niet zichtbaar voor endpoints. Wijs daarom onder Wireless > Access points of via een passende Access Point Group ook Company WiFi aan beide APX’en toe.

De client-SSID houdt zijn eigen Security mode en Client traffic. Bij Separate zone moeten Wireless interface, DHCP, firewallregel, NAT en Device Access kloppen. Een werkende mesh herstelt geen ontbrekende wifi-regel of fout DHCP-pad.

Mesh-AP naar de doelplaats verplaatsen

  1. Controleer of configuratie en zichtbare client-SSID beide APX’en hebben bereikt.
  2. Verwijder alleen bij ap-warehouse-mesh de Ethernetkabel.
  3. Laat ap-office-root bekabeld.
  4. Plaats en start de mesh-AP op de bedoelde locatie; hij start dan zonder Ethernet.
  5. Herstart de root-AP gecontroleerd. Is de mesh-AP bij het verplaatsen niet uitgeschakeld, herstart hem dan nu ook.
  6. Wacht maximaal vijf minuten voordat de verbinding als mislukt geldt.

Normaal blijft slechts één APX via LAN verbonden. Is de tweede per ongeluk ook op hetzelfde Layer 2-netwerk aangesloten, controleer dan op lussen en STP-effect.

Wireless Mesh gecontroleerd valideren

Combineer controllerstatus, radiopad en echt verkeer:

  1. Onder Wireless > Access points zijn beide APX’en actief. ap-office-root blijft bekabeld; ap-warehouse-mesh is zonder Ethernet bereikbaar.
  2. Controleer mesh-toewijzing en identiek kanaal.
  3. Verbind nabij ap-warehouse-mesh een testclient met Company WiFi.
  4. Toon onder Wireless > Wireless client list de testclient op basis van AP of SSID en controleer of deze is verbonden met de verwachte mesh-AP en met Company WiFi. Noteer de signaalsterkte en frequentie en controleer deze opnieuw onder vergelijkbare omstandigheden bij de vergelijking met de root-AP; een weergegeven clientfrequentie alleen bewijst niet welke band de backhaul gebruikt.
  5. Vergelijk IP-adres, gateway en DNS met het geplande Wireless Network.
  6. Test een toegestane en een bewust geblokkeerde bestemming.
  7. Filter in Log Viewer op client-IP en controleer Firewall Rule ID en NAT Rule ID.
  8. Vergelijk een realistische throughput- en latencytest met een client aan de root-AP.

Een groene AP-status bewijst niet het volledige datapad. De client moet de juiste AP, adressering en regels gebruiken en voldoende prestaties leveren. Zie Firewallregels betrouwbaar testen.

Uitvalgrens bewust testen

De root-AP is een bekende afhankelijkheid. Koppel in een onderhoudsvenster kort de root-uplink los en documenteer de onderbreking. SFOS belooft geen automatische rootwissel. Voor een nieuwe rol kan een mesh-AP opnieuw moeten worden gestart en bekabeld.

Schakel een productieve root-AP niet ongepland uit. Gebruik voor kritieke zones een bekabelde AP-uplink of andere wifi-architectuur.

Het mesh-object in de XML API correct plaatsen

De XML-referenties voor SFOS 22 en 23 beschrijven Add Mesh Networks en Update Mesh Networks voor het object WirelessMeshNetworks. Dit is een gedocumenteerde objectstructuur, geen aanvullende hardwareondersteuning: de hierboven beschreven scope voor bestaande APX-apparaten, de model-/buildcontrole en het afzonderlijke AP6-beheertraject blijven ongewijzigd. Toegangsbeveiliging, expliciete bewerkingen, XML-antwoorden en veilige herhalingen worden uitgelegd in Toegang tot de Sophos Firewall XML API beveiligen.

MeshID, band en AP-rol van elkaar onderscheiden

Bij het voorbereiden van automatisering moeten de volgende velden van elkaar worden onderscheiden:

  • MeshID is een verplichte scalaire string van maximaal tien tekens. OfficeMesh is geschikt als korte voorbeeldnaam; het blijft de ID van de backhaul, niet de zichtbare client-SSID. Interpreteer de aanvullende referentiemarkering APINTERFACENAME niet als een vanzelfsprekende tekenregel of als AP-identiteit; bevestig de toegestane schrijfwijze in de geïnstalleerde build.
  • FrequencyBand is verplicht en staat uitsluitend 5GHz of 2.4GHz toe. De tabel noemt 5 GHz als gedocumenteerde standaardwaarde, niet als aanbeveling voor elk radiopad. De gecombineerde schrijfwijze 5GHz/2.4GHz in het referentievoorbeeld staat niet in de lijst met toegestane waarden en wordt niet als één veldwaarde overgenomen. Alle betrokken AP’s moeten nog steeds dezelfde bevestigde backhaulband en hetzelfde vaste kanaal gebruiken; Dyn chan blijft op deze band uitgeschakeld.
  • Description is een optionele scalaire string. Een leeg element in het voorbeeld bewijst niet hoe een update omgaat met een bestaande beschrijving.
  • AccessPoints bevat in het XML-voorbeeld MeshNetwork; daarin staan AccessPoint en Role samen. De parametertabel beschrijft beide velden als optionele arrays met meerdere waarden en wijst erop dat duplicaten niet worden genegeerd. Leid hieruit noch twee willekeurig onafhankelijk te sorteren lijsten, noch automatische deduplicatie af. Controleer de AP-identiteit en de bijbehorende rol samen aan de hand van de bestaande configuratie en API help van de build.
  • Voor Role zijn exact MeshAccessPoint en RootAccessPoint gedocumenteerd; de tabel noemt Root Access Point als standaardwaarde. Deze XML-waarden komen uit de API-referentie, niet uit de GUI-termen Root, Mesh of Repeater. De automatische APX-rolbepaling via Ethernet is met name geen bewijs voor de vraag of Role in de concrete APX-payload moet worden ingesteld, weggelaten of anders behandeld. Verstuur geen schrijfrequest zolang de model-/buildkoppeling niet is opgehelderd.

Het volgende beperkte XML-structuurfragment is geen uitvoerbare aanvraag en geen APX-roltoewijzing. Het toont alleen de gedocumenteerde nesting met een referentiewaarde voor Role; AP_IDENTITAET_AUS_API_HELP is een placeholder die niet mag worden verzonden. De AP30-identiteit uit het voorbeeld van de fabrikant wordt niet overgenomen als APX-voorbeeld:

<WirelessMeshNetworks>
  <MeshID>OfficeMesh</MeshID>
  <FrequencyBand>2.4GHz</FrequencyBand>
  <Description />
  <AccessPoints>
    <MeshNetwork>
      <AccessPoint>AP_IDENTITAET_AUS_API_HELP</AccessPoint>
      <Role>RootAccessPoint</Role>
    </MeshNetwork>
  </AccessPoints>
</WirelessMeshNetworks>

Lees vóór een wijziging de daadwerkelijk opgeslagen mesh-configuratie met mesh-ID, AP-identiteiten, toewijzingen en radioparameters uit, maak er een back-up van en vergelijk deze met de geplande doeltoestand. Het fragment bevat noch een login, noch een bewerking en vervangt geen bevestigde volledige payload. Uit de XML-structuur volgt noch een veilige herhaling, noch een werkende radioverbinding; de afzonderlijke acceptatiecontrole van AP-status, client-SSID, DHCP en het pad voor gebruikersdata blijft noodzakelijk.

Antwoorden onderscheiden op basis van bewerking, code en symbool

De referenties koppelen de volgende XML-statuscodes en letterlijke Message.*-sleutels aan de twee bewerkingen. De sleutels zijn niet naar meldingsteksten vertaald: het zijn geen bevestigde runtime-meldingen en ze worden niet vertaald naar veronderstelde foutmeldingsteksten. De objectspecifieke koppeling moet worden gecontroleerd aan de hand van API help van de geïnstalleerde build; interpreteer met name 521 en 522 hier niet uitsluitend aan de hand van de algemene statustabel in het centrale API-artikel.

Add Mesh Networks:

  • 200: Message.WLANAPAddSuccessful.
  • 500: Message.WLANAPAddFailed.
  • 501: Message.WLANAPIPAlreadyInUsed.
  • 504: Message.WLANAPIntBaseVHExist.
  • 521: Message.WLANAPAddRunConfigFailed.
  • 522: Message.WLANAccessPointUnbound.

Update Mesh Networks:

  • 200: Message.WLANAPEditSuccessful.
  • 500: Message.WLANAPEditFailed.
  • 501: Message.WLANAPIPAlreadyInUsed.
  • 504: Message.WLANAPIntBaseVHExist.
  • 511: Message.WLANAPFailedWhileUnbinding.
  • 512: Message.WLANAPFailedWhileDeleteDHCPServer.
  • 513: Message.WLANAPFailedWhileDeleteDHCPRelay.
  • 516: Message.WLANAPFailedToUnbindInterface.
  • 520: Message.WLANAPFailedToUnbindIfaceRCg.
  • 521: Message.WLANAPEditRunConfigFailed.
  • 523: Message.WLANAPWLAN1UnboundEditFaild.
  • 524: Message.WLANAPOtherUnboundEditFaild.

Ook de schrijfwijze Faild blijft exact behouden. Leid uit symboolnamen geen bewezen oorzaak, volledige terugdraaiing van een wijziging of reeds verwijderde DHCP-/interfaceafhankelijkheid af. Vergelijk na een onduidelijk antwoord of een antwoord dat op een mislukking wijst eerst de daadwerkelijk opgeslagen mesh- en AP-toestand en de afhankelijke wireless-, interface- en DHCP-configuraties met de geback-upte uitgangstoestand; bewaar het opgeschoonde antwoord en de logs voor nader onderzoek. Beslis pas na de buildspecifieke opheldering over een verdere wijziging; herhaal niet automatisch dezelfde Add of Update. Ook 200 vervangt noch het uitlezen van het doelobject, noch de hierboven beschreven acceptatiecontrole van de radioverbinding en clients.

Fouten per symptoom afbakenen

Mesh-AP verschijnt niet of blijft offline

Wacht na configuratie maximaal vijf minuten. Controleer daarna of de AP bij initiële LAN-provisioning actief was en de mesh-configuratie kreeg. Controleer APX-serie, toewijzing, band, gemeenschappelijk kanaal, Dyn chan, Country en voeding.

De root-AP blijft bekabeld. Zijn beide AP’s draadloos of is de verkeerde AP losgekoppeld, dan ontbreekt het firewallpad. Corrigeer, herstart gecontroleerd en wacht opnieuw.

Ontbreekt in een oudere procedure bij een bestaande SSID de optie Enable mesh mode, maak dan een nieuwe SSID in plaats van de zichtbare client-SSID een andere functie te geven. Blijft de oorzaak onduidelijk, isoleer het pad dan in een onderhoudsvenster: zend alleen het mesh-netwerk uit op de root-AP en alleen de zichtbare client-SSID op de repeater. Als de client-SSID op de repeater verschijnt, wijst dat in eerste instantie op de uitgezonden clientconfiguratie, maar bewijst het nog niet volledig dat de backhaul of internettoegang werkt. Controleer daarnaast of de repeater daadwerkelijk zonder LAN-uplink bereikbaar is, de testclient in de clientlijst bij deze AP verschijnt en het verwachte DHCP-pad en toegestane datapad werken. Herstel daarna de normale toewijzingen. Blijft de mesh onbruikbaar, controleer dan of STP de mesh-configuratie blokkeert. Schakel STP niet zomaar uit: het voorkomt lussen in bridgetopologieën.

Client-SSID is niet zichtbaar

De Mesh-ID wordt niet als client-SSID uitgezonden. Wijs onder Wireless > Access points aanvullend een zichtbaar Wireless Network toe. Met alleen OfficeMesh zien endpoints geen netwerk.

Controleer ook Frequency band, schema, Security mode en AP-toewijzing. Een tweede mesh op dezelfde AP helpt niet, want per AP wordt er maar één ondersteund.

Client verbindt maar krijgt geen IP-adres

Het radiopad werkt dan gedeeltelijk. Controleer Client traffic, Wireless interface, DHCP-server of DHCP relay en VLAN-paden. Bij Bridge to VLAN geldt de mesh-grens: AP’s met VLAN’s kunnen alleen meshen als die VLAN’s deze Client traffic-modus niet gebruiken.

Een restart van de wireless service is geen standaardstap. Stel eerst vast aan welke AP de client hangt en of DHCP het verwachte pad bereikt.

Client heeft een IP-adres maar geen internet

Zoek in Log Viewer eerst Firewall Rule ID en NAT Rule ID. Ontbreken beide, controleer zone, netwerkobject, regelvolgorde en datapad. Bij passende regels volgen DNS, gateway en WAN-pad.

Een brede Any-regel is geen mesh-diagnose. Test dezelfde client aan root- en mesh-AP. Werkt alleen root, onderzoek de backhaul; als dezelfde test bij beide AP’s faalt, zoek in de gedeelde wifi- of firewallconfiguratie.

Verbinding is instabiel of traag

Controleer hetzelfde kanaal, uitgeschakelde Dyn chan, signaal, storing, afstand en muren. Niet-mesh-AP’s moeten hetzelfde kanaal niet onnodig bezetten. Er moet radiocapaciteit voor backhaul en clients overblijven.

Vergelijk dezelfde toepassing en client onder vergelijkbare omstandigheden aan root- en mesh-AP. Zo wordt mesh onderscheiden van WAN-, DNS- of clientproblemen.

Controller- of clientstatus blijft onduidelijk

De Sophos Firewall-servicelogs helpen bij node-lokale diagnose. Gebruik in Advanced Shell deze alleen-lezen controles:

tail -n 200 /log/awed.log
tail -n 200 /log/wc_remote.log

awed.log toont controller-/APX-communicatie; wc_remote.log helpt bij wireless clients. Eén logregel bewijst het datapad niet. Correleer tijdstempels, AP-status, clientlijst, firewalllogs en reproduceerbare test. De LED- en knippercodes van Sophos Access Points helpen boot-, update- en meshstatus te duiden.

Mesh veilig terugdraaien

Maak bij het terugdraaien onderscheid tussen mesh-SSID en client-SSID: De oudere help beschrijft het uitschakelen door de mesh-SSID te verwijderen. Daarmee wordt het bijbehorende mesh-configuratieobject bedoeld, niet zonder meer de zichtbare client-SSID Company WiFi. Controleer vóór het verwijderen de samenhang tussen Mesh-ID, AP-toewijzingen en afhankelijkheden, maak een back-up van de huidige configuratie en zorg dat de AP’s via het voorziene bekabelde pad bereikbaar zijn. Het verwijderen van de backhaul verbreekt de verbinding met draadloos aangesloten AP’s; het verwijderen van een client-SSID die nog nodig is, zou bovendien de verbinding van de bijbehorende wifi-gebruikers verbreken. Afhankelijk van de legacy-interface wordt de configuratie teruggedraaid via het mesh-netwerk of de bijbehorende mesh-SSID. Als niet eenduidig vaststaat welk object bij de mesh hoort, verwijder dan niets op goed geluk, maar zoek eerst de concrete model-/buildconfiguratie uit.

Voer rollback gecontroleerd uit zolang bekabeld beheer werkt:

  1. Documenteer root- en mesh-APX.
  2. Verbind de mesh-AP via LAN met het beheersegment en wacht tot hij actief is.
  3. Verplaats zo nodig de zichtbare SSID naar een resterende bekabelde AP.
  4. Verwijder de mesh van de APX’en of onder Wireless > Mesh networks.
  5. Herstel kanaal en Dyn chan alleen bewust.
  6. Herstart beide APX’en gecontroleerd.
  7. Test client-IP, DNS, regels en internet opnieuw.

Een fabrieksreset is pas zinvol als de APX ondanks correcte bekabeling, voeding en controllerpad geen beheerde configuratie meer accepteert. Hij vervangt geen rollback.

Operationele checklist

  • Alle apparaten zijn compatibele APX’en en eerst via LAN geprovisioned.
  • Per AP is exact één mesh-netwerk toegewezen.
  • Eén APX blijft permanent bekabeld als root.
  • Mesh-band en vast kanaal zijn overal gelijk.
  • Dyn chan is op de mesh-band uitgeschakeld.
  • De zichtbare client-SSID is apart toegewezen.
  • DHCP, Firewall Rule ID, NAT Rule ID en een geblokkeerd doel zijn getest.
  • Prestaties en stabiliteit zijn aan root- en mesh-AP vergeleken.
  • Root-uitval, ontbrekende automatische takeover en rollback zijn gedocumenteerd.
  • APX End-of-Life en een latere platformwissel zijn gepland.

FAQ

Is de Mesh-ID de zichtbare wifi-SSID?

Nee. De Mesh-ID hoort bij de verborgen backhaul tussen APX’en. Clients hebben daarnaast een normaal Wireless Network met zichtbare SSID, beveiliging, Client traffic en passende regels nodig.

Kan een tweede APX de root-AP automatisch overnemen?

Nee. Sophos documenteert geen automatische root-takeover. Minstens één AP blijft bekabeld; herstel na root-uitval is gecontroleerd en kan een herstart of nieuwe bekabeling vereisen.

Waarom moeten alle APX'en eerst via LAN verbonden zijn?

Elke APX moet door de firewall worden geaccepteerd en de mesh-configuratie ontvangen. Pas daarna wordt de mesh-AP losgekoppeld, op de doelplaats gestart en via de root-AP verbonden.