Wifi rechtstreeks op Sophos Firewall instellen en testen

Een rechtstreeks op Sophos Firewall beheerd wifinetwerk wordt aangemaakt onder Wireless > Wireless networks. Alleen de SSID is echter niet voldoende: de gekozen verkeersmodus bepaalt of de clients een eigen netwerk krijgen, in het LAN van het access point terechtkomen of naar een VLAN worden gebridged. Daarna moeten DHCP, firewallregels, NAT en de toewijzing aan een access point op elkaar zijn afgestemd.

⚠️ Belangrijk: Deze handleiding geldt alleen voor wifi-hardware die rechtstreeks door Sophos Firewall wordt beheerd. AP6 access points kunnen niet via SFOS worden beheerd. Voor meerdere AP6 access points is Sophos Central de daarvoor bedoelde en aanbevolen beheeromgeving; één AP6 kan als alternatief via de lokale interface worden geconfigureerd. Firewall-managed Wireless is tegenwoordig daarom vooral relevant voor bestaande APX-installaties, geïntegreerde LocalWiFi van desktop-W-modellen en ondersteunde wifi-modules in Sophos Firewall of SD-RED.

Deze handleiding gebruikt een gastennetwerk met Separate zone. Dat is een duidelijk voorbeeld, omdat het clientnetwerk, de regels en de toegestane bestemmingen netjes van het interne LAN kunnen worden gescheiden.

Korte procedure:

Onder Wireless > Wireless settings Wireless Protection en de zone van het access point voorbereiden.
Het access point onder Wireless > Access points accepteren.
Onder Wireless > Wireless networks de SSID, beveiliging en het clientnetwerk aanmaken.
Onder Network > DHCP en Rules and policies DHCP, de firewallregel en NAT aanvullen.
Het Wireless Network aan het access point toewijzen en met een testclient het IP-adres, DNS, de Rule ID en ongewenste interne toegang controleren.

Is deze handleiding geschikt voor het access point?

SFOS 22 kan indoor access points uit de APX-serie, de geïntegreerde wifi van een geschikte XGS-firewall en compatibele wifi-uitbreidingsmodules in Sophos Firewall of SD-RED beheren. Bij externe APX-apparaten gaat het om APX 120, APX 320, APX 530 en APX 740. Het outdoormodel APX 320X en de oude AP-serie worden niet rechtstreeks door een actuele Sophos Firewall beheerd.

AP6 valt niet onder deze procedure. AP6 wordt via Sophos Central geconfigureerd of, bij één apparaat, via de lokale interface. Voor de Central-variant zijn de vereisten voor Sophos Central Wireless van toepassing.

De lokale Wireless-functie maakt deel uit van de Sophos Firewall Base License. Een compatibel access point is afzonderlijk vereist. De APX-serie is echter al End-of-Sale en bereikt op 31 december 2027 zijn End-of-Life. Deze handleiding helpt daarom vooral bij het veilig gebruiken van bestaande APX-installaties. Voor een nieuw wifiplatform moet de migratie van APX naar AP6 vanwege het naderende End-of-Life of een ander actueel wifisysteem worden gepland.

De juiste Client traffic-modus kiezen

De keuze onder Client traffic is belangrijker dan de naam van de SSID. Hiermee wordt bepaald of clients zich op laag 2 in hetzelfde lokale netwerksegment bevinden, wie IP-adressen uitdeelt en welk verkeer daadwerkelijk door de firewall loopt.

Separate zone

Separate zone maakt een eigen Wireless-interface met een eigen IP-adres en een VXLAN-tunnel tussen het access point en de firewall. De clients krijgen een eigen subnet. Daardoor kan de toegang per wifinetwerk met gerichte WiFi-to-WAN- of WiFi-to-LAN-regels worden geregeld. In Zones en interfaces van Sophos Firewall wordt uitgelegd hoe zone, interface en netwerkobject hierbij samenwerken.

Deze modus is geschikt voor gasten, IoT of andere netwerken die van het interne LAN moeten worden gescheiden. Een hotspot met Captive Portal, dagwachtwoord of voucher vereist eveneens Separate zone.

VXLAN verkleint de bruikbare MTU. Bij grote pakketten kan dit fragmentatie of prestatieverlies veroorzaken. De MTU mag daarom niet preventief op een algemene waarde worden ingesteld. Controleer eerst of alleen grote overdrachten mislukken of TCP-pakketten herhaaldelijk worden verzonden, de zogenaamde Retransmits. De gecontroleerde procedure staat in MTU en MSS op Sophos Firewall controleren.

Bridge to AP LAN

Bridge to AP LAN plaatst de wificlients in hetzelfde netwerk als het access point. Een bestaande DHCP-server in dit LAN deelt de clientadressen uit. Dat is handig, maar biedt geen afzonderlijke netwerkgrens voor gasten of onveilige apparaten.

Het gegevenspad is hierbij doorslaggevend: communicatie binnen hetzelfde subnet kan rechtstreeks tussen client, access point en switch lopen en Sophos Firewall volledig omzeilen. Een firewallregel op SFOS kan alleen verkeer controleren dat daadwerkelijk via de firewall wordt gerouteerd.

Bij geïntegreerde LocalWiFi is afhankelijk van de XGS-generatie daarnaast een bridge-interface of Bridge to Ethernet nodig. Kies deze variant daarom alleen als wifi en het bekabelde LAN bewust tot hetzelfde beveiligingsgebied behoren.

Bridge to VLAN

Bridge to VLAN scheidt het beheernetwerk van het access point van het client-VLAN. De switchpoort naar het access point moet beide netwerken als trunk transporteren. In het wifiprofiel verwijst Bridge to VLAN ID naar het client-VLAN. Bij Enterprise-verificatie kan deze client-VLAN-ID statisch of via RADIUS met een statische fallback worden bepaald.

Het access point moet eerst minstens één minuut via het niet-getagde standaard-LAN met de firewall zijn verbonden, zodat het zijn configuratie ontvangt. Daarna wordt onder Wireless > Access points > AP > Advanced settings VLAN tagging geactiveerd en wordt de AP VLAN ID voor het beheernetwerk ingevoerd. Pas daarna wordt de switchpoort als trunk geconfigureerd. Het beheer-VLAN van het access point en het client-VLAN kunnen verschillende ID’s gebruiken. Sophos adviseert om Separate zone en VLAN-wifinetwerken niet op hetzelfde access point te combineren. Voor geïntegreerde LocalWiFi0 is VLAN-tagging aan de kant van het access point niet beschikbaar.

Bridge to VLAN vermijdt het VXLAN-pad en is vaak geschikter voor grotere, al goed gesegmenteerde wifiomgevingen. Ook hier geldt: verkeer binnen het client-VLAN wordt niet automatisch door SFOS gecontroleerd.

Het voorbeeldnetwerk voorbereiden

In het voorbeeld worden de volgende waarden gebruikt:

Name in SFOS: Guest WiFi
onveranderbare Hardware name: GuestWiFi
zichtbare SSID: Company Guest
Security mode: WPA2 Personal
Client traffic: Separate zone
Zone: WiFi
clientnetwerk: 10.30.40.0/24
interface en gateway: 10.30.40.1
DHCP-bereik: 10.30.40.100 tot 10.30.40.220
firewallregel: WiFi_Guest_to_WAN

10.30.40.0/24 is een voorbeeld uit de privé-adresruimte. Voordat dit wordt overgenomen, moet een vrij subnet worden gekozen dat niet overlapt met LAN, VPN, RED, VLAN of een externe locatie. Het eerste bruikbare adres 10.30.40.1 hoort in het voorbeeld bij de Wireless-interface van de firewall en wordt als gateway uitgedeeld.

Voor bestaande APX-apparaten is WPA2 Personal met AES de veilige, compatibele basis. Een lange, unieke passphrase hoort in de wachtwoordmanager en niet in tickets of screenshots. Sophos documenteert de WPA3-modi in SFOS 22 alleen voor de geïntegreerde wifi van de modellen XGS 88w, 108w, 118w en 128w. Voor APX moet daarom niet op WPA3 worden gerekend.

Door SFOS beheerde wifi configureren

1. De verbinding van het access point toestaan

Bij een extern APX zijn het beheernetwerk en het netwerk van de wificlients twee verschillende zaken. Het access point krijgt zijn eigen beheeradres via DHCP uit het aangesloten netwerk. De latere wificlients krijgen daarentegen adressen uit het hierboven geplande netwerk 10.30.40.0/24.

Wireless > Wireless settings openen.
Enable wireless protection activeren.
Onder Allowed zone de zone selecteren waarmee het access point de firewall bereikt, bijvoorbeeld LAN.
Controleren of het access point via DHCP een adres, gateway en DNS-serveradres ontvangt.
Controleren of poort 2712 tussen het access point en de firewall niet door een switch, ACL of tussengeschakeld apparaat wordt geblokkeerd.
Wireless > Access points openen en een pending access point met Accept accepteren.
Bij het actieve access point het juiste Country instellen. Hiervan hangen de wettelijk toegestane kanalen af. Als het Country van een APX wordt gewijzigd, moet de instelling worden opgeslagen en het access point daarna gecontroleerd opnieuw worden opgestart, zodat de nieuwe kanalenlijst wordt toegepast.

De selectie onder Allowed zone heeft betrekking op het beheerpad van het access point en niet op de latere zone van de wificlients. Als het access point nog bij een andere Sophos Firewall of Sophos Central is geregistreerd, moet het daar eerst worden verwijderd. Als dat niet mogelijk is, moet het naar de fabrieksinstellingen worden teruggezet.

2. Een Wireless Network aanmaken

Onder Wireless > Wireless networks > Add worden de voorbeeldwaarden ingevoerd:

Name: Guest WiFi
Hardware name: GuestWiFi
SSID: Company Guest
Security mode: WPA2 Personal
Passphrase: een lange, unieke passphrase
Client traffic: Separate zone
Zone: WiFi
IP address: 10.30.40.1
Netmask: /24

De Hardware name mag maximaal tien tekens bevatten, bestaande uit letters, cijfers en underscores, en kan later niet meer worden gewijzigd. Name en SSID kunnen daarentegen aan de eigen naamgevingsconventie worden aangepast.

Onder Advanced settings zijn voor het gastenvoorbeeld de volgende keuzes zinvol:

Encryption: AES
Frequency band: alleen de banden die door het gebruikte model en de radiomodules worden ondersteund
Client isolation: activeren als rechtstreekse verbindingen tussen gasten ongewenst zijn
Hide SSID: uitgeschakeld laten
Fast transition: wordt niet door APX ondersteund
Time-based access: alleen binnen een bewust gepland onderhoudsvenster gebruiken

Client isolation blokkeert alleen rechtstreekse communicatie tussen clients van dezelfde SSID op dezelfde radio. Het vervangt geen scheiding via zones, VLAN’s en firewallregels over meerdere access points of radiomodules. Een verborgen SSID is evenmin een beveiligingsmaatregel; deze onderdrukt alleen de zichtbare weergave van de netwerknaam.

Bij geïntegreerde wifi is gelijktijdig dual-bandgebruik afhankelijk van de hardware. XGS 87w en 107w zenden alleen op 2.4 GHz of 5 GHz. XGS 116w, 126w en 136w hebben voor beide banden een tweede radiomodule nodig. XGS 88w, 108w, 118w en 128w kunnen beide banden zonder extra module gelijktijdig gebruiken.

Bij het activeren van een Wireless-tijdschema start SFOS hostapd opnieuw. Hierdoor worden alle wificlients van het betrokken access point kort losgekoppeld, niet alleen de clients van deze SSID. De apparaten zouden automatisch opnieuw verbinding moeten maken.

3. DHCP voor het clientnetwerk toevoegen

Voor Separate zone wordt niet automatisch een volledige DHCP-server voor de clients beschikbaar gesteld. Daarom wordt onder Network > DHCP > Server > Add bijvoorbeeld de volgende configuratie aangemaakt:

Name: dhcp-wifi-guest
Interface: Guest WiFi
Dynamic IP lease: 10.30.40.100 tot 10.30.40.220
Subnet mask: /24
Gateway: Use interface IP as gateway
DNS server: passend bij de eigen DNS-architectuur
Conflict detection: geactiveerd

Het bereik ligt bewust boven het interfaceadres en laat ruimte voor gereserveerde adressen. Bij een gastennetwerk met sterk wisselende clients kan een kortere lease dan in een stabiel kantoornetwerk zinvol zijn. Extreem korte leases veroorzaken daarentegen onnodig veel vernieuwingen.

Welke DNS-servers worden uitgedeeld, is een beveiligings- en beheerbeslissing. Interne AD-DNS-servers mogen niet uitsluitend voor het gemak toegankelijk worden gemaakt voor gasten. De volledige planning en leasecontrole wordt beschreven in Sophos Firewall als DHCP-server instellen.

4. Firewallregel, NAT en lokale services controleren

Onder Rules and policies > Firewall rules > Add firewall rule > New firewall rule wordt een regel voor de gewenste internettoegang aangemaakt. Het volledige formulier, de regelvolgorde en de Security Features worden uitgelegd in het artikel over Sophos Firewall-regels.

Rule name: WiFi_Guest_to_WAN
Action: Accept
Log firewall traffic: geactiveerd
Source zones: WiFi
Source networks and devices: netwerkobject voor 10.30.40.0/24
Destination zones: WAN
Destination networks: Any
Services: alleen de services die voor het gastennetwerk nodig zijn
Security features: passende Web-, Application- en IPS-policies volgens licentie en toepassing

Een duidelijk benoemd netwerkobject zoals net_WiFi_Guest maakt de regel specifieker en begrijpelijker dan Source networks: Any. De keuze van de services hangt ervan af of DNS en NTP lokaal op de firewall of rechtstreeks extern worden gebruikt. Een algemene Any-toestemming is handig, maar bemoeilijkt latere controles.

Daarnaast moet een NAT-regel het uitgaande verkeer naar het WAN-adres vertalen. De bestaande Default-SNAT-regel met MASQ dekt nieuwe interne netwerken vaak al af. Dit moet echter in de concrete regelset worden gecontroleerd in plaats van uit voorzorg een tweede NAT-regel aan te maken. De samenhang wordt uitgelegd in NAT op Sophos Firewall begrijpen.

Een WiFi-to-WAN-regel voorkomt niet automatisch toegang via bestaande, brede WiFi-to-LAN- of Any-regels. Daarom moet de volledige regelvolgorde op interne toestemmingen worden gecontroleerd. Als clients van hetzelfde Separate-Zone-netwerk via meerdere access points met elkaar moeten communiceren, is daarnaast een WiFi-to-WiFi-regel nodig. Voor een gastennetwerk mag deze communicatie alleen bewust worden toegestaan.

Toegang tot de firewall zelf wordt niet door de normale firewallregel geregeld. SFOS staat HTTPS en SSH standaard toe vanuit de WiFi-zone. Onder Administration > Device access moeten daarom voor een gastennetwerk de WiFi-vinkjes bij HTTPS, SSH en alle andere niet-benodigde lokale services worden verwijderd. DNS blijft alleen toegestaan als de clients de firewall daadwerkelijk als resolver gebruiken. De achtergrond wordt uitgelegd in Device Access en Local Service ACL.

5. Wifi aan een access point toewijzen

Een opgeslagen Wireless Network wordt nog door geen enkel access point uitgezonden:

Wireless > Access points openen.
Het actieve access point via de naam of Edit openen.
Het juiste Country controleren.
Onder Wireless networks op Add new item klikken.
Guest WiFi selecteren, met Apply toepassen en op Save klikken.

Bij meerdere access points biedt een groep onder Wireless > Access point groups meer overzicht. Zo worden SSID’s consistent toegewezen en niet per access point verschillend beheerd. Aan één access point kunnen maximaal acht Wireless Networks worden toegewezen.

Wifi gecontroleerd testen

De acceptatietest mag niet eindigen bij ‘SSID is zichtbaar’. Met een testclient wordt gecontroleerd of daadwerkelijk het geplande netwerk en de geplande regels worden gebruikt:

Onder Wireless > Access points moet het access point actief zijn. De Wireless-interface blijft onder Network > Interfaces op Unplugged staan zolang geen access point met dit Wireless Network is verbonden.
Verbinding maken met Company Guest en onder Wireless > Wireless client list het access point, de SSID, frequentie en signaalsterkte controleren.
Onder Network > DHCP > IPv4 lease controleren of de client een adres tussen 10.30.40.100 en 10.30.40.220 heeft ontvangen.
Op de client het IP-adres, de gateway en DNS controleren. Onder Windows helpen:

ipconfig /all
nslookup example.com

Een toegestane internetverbinding en bewust een niet-toegestane interne bestemming testen.
In de Log Viewer op het IP-adres van de client filteren en de verwachte Firewall Rule ID en NAT Rule ID controleren.

Succes betekent meer dan alleen internettoegang. De client moet de juiste gateway en de geplande DNS-servers gebruiken, gescheiden blijven van niet-toegestane interne bestemmingen en precies via de verwachte firewall- en NAT-regels lopen. De algemene testprocedure wordt beschreven in Firewallregels correct testen.

Veelvoorkomende fouten opsporen

SSID wordt niet weergegeven

Controleer eerst of Wireless Protection actief is, de AP-beheerzone onder Allowed zone staat en het access point onder Wireless > Access points active is in plaats van pending of inactive. Controleer daarna Country, het toegewezen Wireless Network, Frequency band en een eventueel tijdschema.

Een opgeslagen netwerk zonder toewijzing aan een access point wordt niet uitgezonden. Bij geïntegreerde wifi kunnen modelbeperkingen voor frequentiebanden of een niet-ondersteunde oude versleutelingsmodus eveneens verhinderen dat het profiel aan LocalWiFi0 wordt gekoppeld.

Separate-zone-interface blijft `Unplugged`

De status Unplugged is normaal zolang er geen access point is verbonden of het Wireless Network niet aan een AP is toegewezen. Blijft de status bestaan ondanks een actieve APX en een juiste toewijzing, controleer dan het beheerpad van het access point.

Op SFOS 21.5 MR1 Build 261 kan dit optreden wanneer het firewall-IP-adres voor het APX-beheernetwerk als alias is geconfigureerd in plaats van rechtstreeks op de parentinterface (NC-175920). SFOS kan dan de VXLAN-tunnel voor Separate zone niet aanmaken. De workaround is om de APX te verplaatsen naar een beheernetwerk waarvan het firewall-IP-adres rechtstreeks op de parentinterface is geconfigureerd. Verwijder het alias-IP-adres niet zonder eerst de oorzaak te bevestigen.

De wijziging onderbreekt de wifi-netwerken die het access point uitzendt. Controleer daarom vooraf DHCP, de gateway, Allowed zone en poort 2712 in het doelnetwerk en voer de wijziging uit binnen een onderhoudsvenster. Controleer daarna de AP-status, wifi-toewijzing, interfacestatus en de verbinding van een testclient. Sophos noemt geen versie waarin het probleem is opgelost; op andere SFOS-versies bewijst alleen de status Unplugged dit probleem dus niet.

Client ontvangt geen IP-adres

Bij Separate zone moet de DHCP-server aan de aangemaakte Wireless-interface zijn gekoppeld en moet het bereik bij het interfacenetwerk passen. Bij Bridge to AP LAN antwoordt daarentegen de DHCP-server van het AP-LAN. Bij Bridge to VLAN worden de switchtrunk, VLAN-ID en de in het client-VLAN bereikbare DHCP-server gezamenlijk gecontroleerd.

DHCP voor het beheer van het access point en DHCP voor clients mogen niet met elkaar worden verward: het access point kan online zijn terwijl er nog geen werkende DHCP-server voor de wificlients bestaat.

Client heeft een IP-adres, maar geen internet

DHCP en de radioverbinding zijn dan al operationeel; het probleem ligt verderop bij de policy. Controleer vervolgens de gateway en DNS, de WiFi-to-WAN-regel, de regelvolgorde, logging en de passende MASQ-/SNAT-regel. De Log Viewer laat zien of de geplande Firewall Rule ID is gematcht of dat de impliciete regel #0 het verkeer blokkeert.

Als de client internet bereikt, maar tegelijkertijd ook interne systemen, is dat geen geslaagd resultaat voor een gastennetwerk. In dit geval zijn er waarschijnlijk bestaande WiFi-to-LAN-, Any- of te brede netwerkregels van toepassing.

Verbinding van het access point of clientcommunicatie blijft onduidelijk

Firewallverkeer verschijnt alleen betrouwbaar in de Log Viewer als Log firewall traffic in de regel en het Firewall-logtype onder System services > Log settings > Local reporting actief zijn. Wireless-events zijn daar niet als normaal lokaal Wireless-logtype beschikbaar. Onder System services > Log settings kunnen ze naar Sophos Central of een Syslog-server worden gestuurd.

Voor een diepgaandere diagnose documenteert Sophos awed.log voor de communicatie tussen de firewall en APX, wc_remote.log voor Wireless-clients en hostapd.log voor LocalWiFi. In Sophos Firewall-services en -logs via de CLI controleren wordt uitgelegd hoe deze logs zonder een ongecontroleerde herstart van een service kunnen worden gelezen.

Grote overdrachten zijn traag of worden afgebroken

Als alleen grotere pakketten of langere overdrachten worden getroffen, kan de VXLAN-inkapseling van Separate zone een rol spelen. Hiervoor bestaat geen algemeen geldende MTU-waarde. Documenteer eerst de Rule ID, het gegevenspad, Retransmits en een reproduceerbare applicatietest. Pas wanneer een MTU-/MSS-probleem is aangetoond, wordt een gecontroleerde wijziging uitgevoerd en dezelfde test herhaald.