Naar de inhoud
Avanet

Sophos Firewall Wireless Mesh instellen en testen

Sophos Firewall

Een Wireless Mesh op Sophos Firewall verbindt een of meer APX Access Points draadloos met een bekabelde root-AP. Zo kan een dekkingsgat zonder Ethernetbekabeling worden overbrugd. De mesh-backhaul is niet de zichtbare wifi-SSID: SFOS maakt hiervoor een verborgen WPA2-Personal-netwerk met een willekeurige passphrase. Clients gebruiken daarnaast een apart geconfigureerd Wireless Network.

⚠️ Belangrijk: Deze handleiding geldt voor bestaande APX-installaties die rechtstreeks door SFOS worden beheerd. APX kan alleen met APX meshen. AP6, geïntegreerd LocalWiFi, SD-RED-wifimodules en gemengde Sophos AP-series vallen buiten deze procedure. Mesh vervangt ook geen bekabelde redundantie: minstens één AP blijft via LAN verbonden en SFOS wisselt bij uitval van de root-AP niet automatisch van root.

Korte procedure:

  1. Beide APX’en eerst via LAN verbinden, onder Wireless > Access points accepteren en firmware, Country en radioplan controleren.
  2. Voor de mesh-band op alle betrokken AP’s hetzelfde vaste kanaal instellen en Dyn chan uitschakelen.
  3. Onder Wireless > Mesh networks > Add Mesh-ID, Frequency band en APX’en configureren.
  4. De zichtbare client-SSID apart aan beide APX’en toewijzen.
  5. Opslaan, APX’en herstarten, alleen de root-AP bekabeld laten en maximaal vijf minuten wachten.
  6. AP-status, clientverbinding, DHCP, Rule ID, internettoegang en uitval van het root-pad gecontroleerd testen.

Wanneer een APX-mesh past

Mesh past bij een bestaande APX-installatie als één externe access point geen Ethernet heeft en de radioverbinding met de root-AP stabiel genoeg is. Voorbeelden zijn een kleine opslagzone, vergaderruimte of tijdelijke ruimte die later wordt bekabeld.

Ethernet blijft technisch beter voor blijvend hoge capaciteit, stabiele latency en voorspelbare failover. De mesh-backhaul deelt radio-airtime met ander verkeer. Meet daarom de echte prestaties met de bedoelde clients en applicaties in plaats van ze uit de linkstatus af te leiden.

Ook de productgrens telt: APX is End-of-Sale en bereikt op 31 december 2027 End-of-Life. Neem daarom de APX-levenscyclus en AP6 als opvolger mee in de middellange planning. AP6 wordt niet via SFOS beheerd.

Mesh-backhaul, client-SSID en rollen begrijpen

De componenten hebben verschillende taken:

  • Mesh network: verborgen radio-backhaul tussen APX’en. De Mesh-ID identificeert de groep; SFOS beheert de willekeurige WPA2-passphrase.
  • Root-AP: APX met Ethernetverbinding naar de firewall. Bij APX volgt deze rol automatisch uit de bekabeling.
  • Mesh-AP: APX zonder Ethernet-uplink die de root-AP via radio bereikt.
  • Wireless Network: zichtbare client-SSID met Security mode, Client traffic, DHCP en regels. De basis staat in Wifi rechtstreeks op Sophos Firewall instellen.

Bij oudere Sophos AP-series moeten root- en meshrollen expliciet worden gekozen. Dit artikel gebruikt alleen APX en neemt dat oude rollenscherm daarom niet over.

Repeater of wireless bridge

Als repeater zendt de mesh-AP de toegewezen client-SSID op de externe locatie uit. Endpoints verbinden via wifi; de AP transporteert hun verkeer via de mesh-backhaul naar de root-AP.

Bij een wireless bridge wordt ook een Ethernetsegment op de netwerkpoort van de mesh-AP aangesloten. Dit breidt Layer 2 uit en kan bij een tweede kabelpad lussen veroorzaken. Gebruik daarom een onderhoudsvenster en gedocumenteerd herstelpad. STP moet bij het volledige switch- en bridgeontwerp passen en wordt niet alleen uitgeschakeld omdat een pad wordt geblokkeerd.

Voor kleine uitbreidingen is repeaterbedrijf meestal overzichtelijker. Gebruik een bridge alleen wanneer het externe Ethernetsegment echt nodig is en broadcast-, VLAN- en lusgedrag bekend zijn.

Grenzen vóór configuratie controleren

Een APX-mesh heeft duidelijke grenzen:

  • Alle betrokken access points behoren tot de APX-serie.
  • Per AP kan maar één mesh-netwerk worden gebruikt.
  • Minstens één APX blijft via LAN met de firewall verbonden.
  • Alle mesh-AP’s gebruiken op de mesh-band hetzelfde kanaal.
  • Dynamic Channel Selection of Dyn chan mag daar niet actief zijn, anders kunnen kanalen na een herstart verschillen.
  • Bij APX mogen bij gebruik van mesh niet beide radio’s tegelijk op 5 GHz staan.
  • AP’s met een toegewezen VLAN kunnen alleen meshen als die VLAN’s niet de Client traffic-modus Bridge to VLAN gebruiken.
  • Een tweede mesh-netwerk op dezelfde AP werkt niet.
  • Een andere mesh-AP neemt uitval van de root-AP niet automatisch en zonder onderbreking over.

De huidige Sophos-help noemt 2.4 GHz voor de mesh-backhaul en 5 GHz voor client-SSID’s als mogelijk startpunt. Dit is geen universele best practice. Afstand, muren, storing, kanalen, regelgevende Country en benodigde capaciteit bepalen het ontwerp.

Voorbeeldtopologie plannen

Het voorbeeld gebruikt:

  • Firewall: fw01
  • bekabelde APX: ap-office-root
  • draadloze APX: ap-warehouse-mesh
  • Mesh-ID: OfficeMesh
  • zichtbaar Wireless Network: Company WiFi
  • Mesh-band: 2.4 GHz
  • Mesh-kanaal: een vast, lokaal getest kanaal

OfficeMesh is een voorbeeld en wordt vervangen door een korte, unieke lokale naam. Verwar Mesh-ID niet met de zichtbare SSID. Company WiFi bestaat in het voorbeeld al met passende Client traffic, DHCP, firewallregels en NAT.

Bereid vóór de wijziging een actuele configuratieback-up, bekabelde beheertoegang en rollbackplan voor. Beide APX’en krijgen PoE en worden voor de eerste configuratie binnen bereik van hun definitieve locaties getest. De root-AP moet daar via Ethernet bereikbaar blijven.

Access points en radiokanaal voorbereiden

Beide APX’en eerst via LAN provisionen

  1. Verbind ap-office-root en ap-warehouse-mesh via Ethernet met het beheersegment.
  2. Controleer onder Wireless > Wireless settings Wireless Protection en de managementzone onder Allowed zone.
  3. Accepteer onder Wireless > Access points beide pending APX’en met Accept.
  4. Stel voor beide APX’en de juiste Country in. Sla na een wijziging op en herstart gecontroleerd om de kanalenlijst bij te werken.
  5. Controleer dat beide APX’en actief zijn en hun actuele configuratie hebben ontvangen.

De eerste bekabeling is verplicht. Een APX zonder ontvangen mesh-configuratie kan later niet alleen via radio worden toegevoegd.

Plan vóór de uitrol ook de APX-firmware via Sophos Firewall Pattern Updates. Voer firmware-update en mesh-omschakeling niet ongecontroleerd tegelijk uit.

Eén gemeenschappelijk vast kanaal instellen

  1. Open de eerste APX onder Wireless > Access points.
  2. Stel onder Advanced settings voor de mesh-band een vast, lokaal getest kanaal in.
  3. Schakel Dyn chan voor deze band uit.
  4. Neem dezelfde instelling over op de tweede APX.
  5. Zet nabijgelegen AP’s buiten de mesh waar mogelijk op een ander storingsarm kanaal.

Kies een kanaal op basis van lokale scan, Country-voorschriften en naburige bezetting, niet omdat het voorbeeld werkt. Na iedere wijziging moeten beide mesh-AP’s dezelfde waarde tonen.

Wireless Mesh in SFOS maken

Mesh-netwerk maken

  1. Open Wireless > Mesh networks.
  2. Kies Add.
  3. Voer OfficeMesh in als Mesh-ID.
  4. Kies onder Frequency band de gemeenschappelijke band, in het voorbeeld 2.4 GHz.
  5. Voeg ap-office-root en ap-warehouse-mesh toe.
  6. Sla op.

Bij APX hoeft geen rol handmatig te worden toegewezen. Zolang beide APX’en bekabeld zijn, ontvangen ze de configuratie. Na het loskoppelen van ap-warehouse-mesh blijft ap-office-root door zijn Ethernetverbinding root-AP.

Zichtbare client-SSID toewijzen

Het mesh-netwerk is niet zichtbaar voor endpoints. Wijs daarom onder Wireless > Access points of via een passende Access Point Group ook Company WiFi aan beide APX’en toe.

De client-SSID houdt zijn eigen Security mode en Client traffic. Bij Separate zone moeten Wireless interface, DHCP, firewallregel, NAT en Device Access kloppen. Een werkende mesh herstelt geen ontbrekende wifi-regel of fout DHCP-pad.

Mesh-AP naar de doelplaats verplaatsen

  1. Controleer of configuratie en zichtbare client-SSID beide APX’en hebben bereikt.
  2. Herstart beide APX’en gecontroleerd.
  3. Verwijder alleen bij ap-warehouse-mesh de Ethernetkabel.
  4. Laat ap-office-root bekabeld.
  5. Plaats en start de mesh-AP op de bedoelde locatie.
  6. Wacht maximaal vijf minuten voordat de verbinding als mislukt geldt.

Normaal blijft slechts één APX via LAN verbonden. Is de tweede per ongeluk ook op hetzelfde Layer 2-netwerk aangesloten, controleer dan op lussen en STP-effect.

Wireless Mesh gecontroleerd valideren

Combineer controllerstatus, radiopad en echt verkeer:

  1. Onder Wireless > Access points zijn beide APX’en actief. ap-office-root blijft bekabeld; ap-warehouse-mesh is zonder Ethernet bereikbaar.
  2. Controleer mesh-toewijzing en identiek kanaal.
  3. Verbind nabij ap-warehouse-mesh een testclient met Company WiFi.
  4. Controleer onder Wireless > Wireless client list de verwachte mesh-AP.
  5. Vergelijk IP-adres, gateway en DNS met het geplande Wireless Network.
  6. Test een toegestane en een bewust geblokkeerde bestemming.
  7. Filter in Log Viewer op client-IP en controleer Firewall Rule ID en NAT Rule ID.
  8. Vergelijk een realistische throughput- en latencytest met een client aan de root-AP.

Een groene AP-status bewijst niet het volledige datapad. De client moet de juiste AP, adressering en regels gebruiken en voldoende prestaties leveren. Zie Firewallregels betrouwbaar testen.

Uitvalgrens bewust testen

De root-AP is een bekende afhankelijkheid. Koppel in een onderhoudsvenster kort de root-uplink los en documenteer de onderbreking. SFOS belooft geen automatische rootwissel. Voor een nieuwe rol kan een mesh-AP opnieuw moeten worden gestart en bekabeld.

Schakel een productieve root-AP niet ongepland uit. Gebruik voor kritieke zones een bekabelde AP-uplink of andere wifi-architectuur.

Fouten per symptoom afbakenen

Mesh-AP verschijnt niet of blijft offline

Wacht na configuratie maximaal vijf minuten. Controleer daarna of de AP bij initiële LAN-provisioning actief was en de mesh-configuratie kreeg. Controleer APX-serie, toewijzing, band, gemeenschappelijk kanaal, Dyn chan, Country en voeding.

De root-AP blijft bekabeld. Zijn beide AP’s draadloos of is de verkeerde AP losgekoppeld, dan ontbreekt het firewallpad. Corrigeer, herstart gecontroleerd en wacht opnieuw.

Client-SSID is niet zichtbaar

De Mesh-ID wordt niet als client-SSID uitgezonden. Wijs onder Wireless > Access points aanvullend een zichtbaar Wireless Network toe. Met alleen OfficeMesh zien endpoints geen netwerk.

Controleer ook Frequency band, schema, Security mode en AP-toewijzing. Een tweede mesh op dezelfde AP helpt niet, want per AP wordt er maar één ondersteund.

Client verbindt maar krijgt geen IP-adres

Het radiopad werkt dan gedeeltelijk. Controleer Client traffic, Wireless interface, DHCP-server of DHCP relay en VLAN-paden. Bij Bridge to VLAN geldt de mesh-grens: AP’s met VLAN’s kunnen alleen meshen als die VLAN’s deze Client traffic-modus niet gebruiken.

Een restart van de wireless service is geen standaardstap. Stel eerst vast aan welke AP de client hangt en of DHCP het verwachte pad bereikt.

Client heeft een IP-adres maar geen internet

Zoek in Log Viewer eerst Firewall Rule ID en NAT Rule ID. Ontbreken beide, controleer zone, netwerkobject, regelvolgorde en datapad. Bij passende regels volgen DNS, gateway en WAN-pad.

Een brede Any-regel is geen mesh-diagnose. Test dezelfde client aan root- en mesh-AP. Werkt alleen root, onderzoek de backhaul; faalt beide, zoek in de gedeelde wifi- of firewallconfiguratie.

Verbinding is instabiel of traag

Controleer hetzelfde kanaal, uitgeschakelde Dyn chan, signaal, storing, afstand en muren. Niet-mesh-AP’s moeten hetzelfde kanaal niet onnodig bezetten. Er moet radiocapaciteit voor backhaul en clients overblijven.

Vergelijk dezelfde toepassing en client onder vergelijkbare omstandigheden aan root- en mesh-AP. Zo wordt mesh onderscheiden van WAN-, DNS- of clientproblemen.

Controller- of clientstatus blijft onduidelijk

De Sophos Firewall-servicelogs helpen bij node-lokale diagnose. Gebruik in Advanced Shell deze alleen-lezen controles:

tail -n 200 /log/awed.log
tail -n 200 /log/wc_remote.log

awed.log toont controller-/APX-communicatie; wc_remote.log helpt bij wireless clients. Eén logregel bewijst het datapad niet. Correleer tijdstempels, AP-status, clientlijst, firewalllogs en reproduceerbare test. De LED- en knippercodes van Sophos Access Points helpen boot-, update- en meshstatus te duiden.

Mesh veilig terugdraaien

Voer rollback gecontroleerd uit zolang bekabeld beheer werkt:

  1. Documenteer root- en mesh-APX.
  2. Verbind de mesh-AP via LAN met het beheersegment en wacht tot hij actief is.
  3. Verplaats zo nodig de zichtbare SSID naar een resterende bekabelde AP.
  4. Verwijder de mesh van de APX’en of onder Wireless > Mesh networks.
  5. Herstel kanaal en Dyn chan alleen bewust.
  6. Herstart beide APX’en gecontroleerd.
  7. Test client-IP, DNS, regels en internet opnieuw.

Een fabrieksreset is pas zinvol als de APX ondanks correcte bekabeling, voeding en controllerpad geen beheerde configuratie meer accepteert. Hij vervangt geen rollback.

Operationele checklist

  • Alle apparaten zijn compatibele APX’en en eerst via LAN geprovisioned.
  • Per AP is exact één mesh-netwerk toegewezen.
  • Eén APX blijft permanent bekabeld als root.
  • Mesh-band en vast kanaal zijn overal gelijk.
  • Dyn chan is op de mesh-band uitgeschakeld.
  • De zichtbare client-SSID is apart toegewezen.
  • DHCP, Firewall Rule ID, NAT Rule ID en een geblokkeerd doel zijn getest.
  • Prestaties en stabiliteit zijn aan root- en mesh-AP vergeleken.
  • Root-uitval, ontbrekende automatische takeover en rollback zijn gedocumenteerd.
  • APX End-of-Life en een latere platformwissel zijn gepland.

FAQ

Is de Mesh-ID de zichtbare wifi-SSID?

Nee. De Mesh-ID hoort bij de verborgen backhaul tussen APX’en. Clients hebben daarnaast een normaal Wireless Network met zichtbare SSID, beveiliging, Client traffic en passende regels nodig.

Kan een tweede APX de root-AP automatisch overnemen?

Nee. Sophos documenteert geen automatische root-takeover. Minstens één AP blijft bekabeld; herstel na root-uitval is gecontroleerd en kan een herstart of nieuwe bekabeling vereisen.

Waarom moeten alle APX'en eerst via LAN verbonden zijn?

Elke APX moet door de firewall worden geaccepteerd en de mesh-configuratie ontvangen. Pas daarna wordt de mesh-AP losgekoppeld, op de doelplaats gestart en via de root-AP verbonden.