Wifi rechtstreeks op Sophos Firewall instellen en testen

Een rechtstreeks op Sophos Firewall beheerd wifinetwerk wordt aangemaakt onder Wireless > Wireless networks. Alleen de SSID is echter niet voldoende: de gekozen verkeersmodus bepaalt of de clients een eigen netwerk krijgen, in het LAN van het access point terechtkomen of naar een VLAN worden gebridged. Daarna moeten DHCP, firewallregels, NAT en de toewijzing aan een access point op elkaar zijn afgestemd.

⚠️ Belangrijk: Deze handleiding geldt alleen voor wifi-hardware die rechtstreeks door Sophos Firewall wordt beheerd. AP6 access points kunnen niet via SFOS worden beheerd. Voor meerdere AP6 access points is Sophos Fusion (voorheen Sophos Central) de daarvoor bedoelde en aanbevolen beheeromgeving; één AP6 kan als alternatief via de lokale interface worden geconfigureerd. Firewall-managed Wireless is tegenwoordig daarom vooral relevant voor bestaande APX-installaties, geïntegreerde LocalWiFi van desktop-W-modellen en ondersteunde wifi-modules in Sophos Firewall of SD-RED. Firmware voor de door SFOS beheerde APX wordt via de patroonupdates van de firewall beschikbaar gesteld en bewust geïnstalleerd.

Deze handleiding gebruikt een gastennetwerk met Separate zone. Dat is een duidelijk voorbeeld, omdat het clientnetwerk, de regels en de toegestane bestemmingen netjes van het interne LAN kunnen worden gescheiden.

Als een 802.1X-wifinetwerk RADIUS gebruikt en de firewall gebruikers zonder extra captive portal moet herkennen, legt RADIUS SSO met accounting het afzonderlijke accountingpad, de benodigde Framed-IP-Address en de test onder Live users uit.

Korte procedure:

1. Onder Wireless > Wireless settings Wireless Protection en de zone van het access point voorbereiden.
2. Het access point onder Wireless > Access points accepteren.
3. Onder Wireless > Wireless networks de SSID, beveiliging en het clientnetwerk aanmaken.
4. Onder Network > DHCP en Rules and policies DHCP, de firewallregel en NAT aanvullen.
5. Het Wireless Network aan het access point toewijzen en met een testclient het IP-adres, DNS, de Rule ID en ongewenste interne toegang controleren.

Is deze handleiding geschikt voor het access point?

SFOS 22 kan indoor access points uit de APX-serie, de geïntegreerde wifi van een geschikte XGS Appliance en compatibele wifi-uitbreidingsmodules in Sophos Firewall of SD-RED beheren. Bij externe APX-apparaten gaat het om APX 120, APX 320, APX 530 en APX 740. Het outdoormodel APX 320X en de oude AP-serie worden niet rechtstreeks door een actuele Sophos Firewall beheerd.

AP6 valt niet onder deze procedure. AP6 wordt via Sophos Fusion geconfigureerd of, bij één apparaat, via de lokale interface. Voor de Fusion-variant zijn de vereisten voor Sophos Central Wireless van toepassing.

De lokale Wireless-functie maakt deel uit van de Sophos Firewall Base License. Een compatibel access point is afzonderlijk vereist. De APX-serie is echter al End-of-Sale en bereikt op 31 december 2027 zijn End-of-Life. Deze handleiding helpt daarom vooral bij het veilig gebruiken van bestaande APX-installaties. Voor een nieuw wifiplatform moet de migratie van APX naar AP6 vanwege het naderende End-of-Life of een ander actueel wifisysteem worden gepland.

Versiegrens: De Wireless-help bevat de bijbehorende procedures voor zowel SFOS 22 als SFOS 23. Het bestaan van een SFOS 23-helppagina bewijst echter niet dat een bepaald APX-model op SFOS 23 wordt ondersteund. De hardwareondersteuning moet onafhankelijk worden bevestigd aan de hand van de Retirement Calendar en de ondersteuningsmatrix. Controleer daarom vóór een upgrade het model, de hardwarerevisie en de doelbuild aan de hand van de ondersteuningsmatrix; migreer bestaande APX niet uitsluitend op basis van deze instructies naar SFOS 23. Geïntegreerd WLAN en SD-RED-modules moeten eveneens bij het specifieke model en de build passen. Voor nieuwe externe access points geldt de hierboven gelinkte AP6-beheerprocedure, niet deze SFOS-APX-procedure.

Om een bestaande APX zonder Ethernet via een bekabelde APX te verbinden, beschrijft Sophos Firewall Wireless Mesh instellen en testen root-AP, radiokanaal, verborgen backhaul en gecontroleerde validatie.

SD-RED met Wi-Fi-module: De Wireless-help documenteert DHCP option 234 voor de communicatie van een SD-RED-module die als access point wordt gebruikt met de Sophos Firewall. Dit is noch de client-DHCP van de gastenwifi, noch een algemene vereiste voor APX of AP6. De help noemt hierbij ook Sophos UTM; hieruit volgen hier geen nieuwe UTM-installatie-instructies. Stel vóór wijzigingen de modulecompatibiliteit, de beheer-DHCP en de daadwerkelijk gebruikte controller vast; neem geen optiewaarde over van een ander apparaattype. De SD-RED-configuratie is de afzonderlijke procedure voor de locatieverbinding.

De juiste Client traffic-modus kiezen

De keuze onder Client traffic is belangrijker dan de naam van de SSID. Hiermee wordt bepaald of clients zich op laag 2 in hetzelfde lokale netwerksegment bevinden, wie IP-adressen uitdeelt en welk verkeer daadwerkelijk door de firewall loopt.

Separate zone

Separate zone maakt een eigen Wireless-interface met een eigen IP-adres en een VXLAN-tunnel tussen het access point en de firewall. De clients krijgen een eigen subnet. Daardoor kan de toegang per wifinetwerk met gerichte WiFi-to-WAN- of WiFi-to-LAN-regels worden geregeld. In Zones en interfaces van Sophos Firewall wordt uitgelegd hoe zone, interface en netwerkobject hierbij samenwerken.

Deze modus is geschikt voor gasten, IoT of andere netwerken die van het interne LAN moeten worden gescheiden. Een hotspot met Captive Portal, dagwachtwoord of voucher vereist eveneens Separate zone. De volledige procedure met voucherdefinitie, portal en automatische regel staat in Een Sophos Firewall-hotspot instellen.

VXLAN verkleint de bruikbare MTU. Bij grote pakketten kan dit fragmentatie of prestatieverlies veroorzaken. De MTU mag daarom niet preventief op een algemene waarde worden ingesteld. Controleer eerst of alleen grote overdrachten mislukken of TCP-pakketten herhaaldelijk worden verzonden, de zogenaamde Retransmits. De gecontroleerde procedure staat in MTU en MSS op Sophos Firewall controleren.

Bridge to AP LAN

Bridge to AP LAN plaatst de wificlients in hetzelfde netwerk als het access point. Een bestaande DHCP-server in dit LAN deelt de clientadressen uit. Dat is handig, maar biedt geen afzonderlijke netwerkgrens voor gasten of onveilige apparaten.

Het gegevenspad is hierbij doorslaggevend: communicatie binnen hetzelfde subnet kan rechtstreeks tussen client, access point en switch lopen en Sophos Firewall volledig omzeilen. Een firewallregel op SFOS kan alleen verkeer controleren dat daadwerkelijk via de firewall wordt gerouteerd.

Om op de geïntegreerde wifi alleen een bekende lijst met apparaten toe te laten, maakt men onder Hosts and services > MAC host een MAC-lijst aan. Selecteer vervolgens in het Wireless-netwerk onder Advanced settings > MAC filtering de optie Allow list en wijs deze lijst toe. De passphrase moet tussen 8 en 63 tekens lang zijn. Verbind voor de controle één apparaat dat wel en één apparaat dat niet in de lijst staat.

Een MAC-adres kan echter worden vervalst. De Allow list is daarom alleen een extra toegangsfilter en vervangt WPA2 Personal met AES, een ondersteunde WPA3-methode, een sterke passphrase of een goede netwerkscheiding niet.

Wanneer Bridge to AP LAN met geïntegreerde LocalWiFi wordt gebruikt, moet het wifinetwerk bovendien met het bekabelde LAN worden verbonden. De juiste methode hangt af van het XGS Appliance-model:

• Gen.1 – XGS 87w, 107w, 116w, 126w en 136w: Maak onder Network > Interfaces > Add interface > Add bridge een bridge aan. Name is de weergavenaam, die later kan worden gewijzigd en maximaal 58 tekens bevat; Hardware name mag maximaal 10 tekens uit A-Za-z0-9_ bevatten en kan na het opslaan niet meer worden gewijzigd. Wijs onder Member interfaces de zone WiFi toe aan de Wireless-interface en de zone LAN aan de gewenste Ethernet-poort. Indien nodig kunnen extra Ethernet-poorten lid van deze bridge zijn.

  Selecteer vervolgens IPv4 configuration, voer het geplande IPv4 address van de bridge in het bestaande LAN in en kies het bijbehorende subnetmasker. Het adres en masker komen uit het eigen LAN-adresplan, niet uit het Separate-zone-gastennetwerk dat verderop wordt gebruikt. Controleer vóór Save dat het adres niet aan een ander apparaat of tegelijkertijd aan een member-interface is toegewezen en niet zonder reservering in het dynamische DHCP-bereik ligt. Wijzig niet terloops de bestaande clientgateway of het DHCP-adresplan. Controleer vóór de wijziging de back-up, poortafhankelijkheden en een onafhankelijk beheerpad; de procedure voor bridge-interfaces legt deze gemeenschappelijke controles en gereserveerde hardwarenamen uit. Het transparante inlinevoorbeeld zonder IP-adres dient een ander doel: deze gedocumenteerde Gen.1-LocalWiFi-procedure gebruikt een IPv4-adres op de bridge, maar niet elke bridge heeft een IP-adres nodig. Sla pas na deze controles op met Save.

• Gen.2 – XGS 88w, 108w, 118w en 128w: De Wireless-interface mag geen lid zijn van een fysieke bridge. Activeer in plaats daarvan onder Wireless > Access points > LocalWiFi > Advanced settings de optie Bridge to Ethernet, selecteer precies één Ethernet-poort en stel de zone in op LAN.

  Voor Bridge to Ethernet moet de gekozen fysieke poort een IP-adres hebben en mag deze geen WAN-poort of lid van een andere bridge zijn. Een VLAN-interface kan hiermee niet aan LocalWiFi worden gebridged; ook de bridgezone mag niet WAN zijn. De functie geldt alleen voor IPv4 en SSID’s van het type Bridge to AP LAN. SFOS gebruikt de bestaande DHCP-server van de bridgepoort; als die ontbreekt, documenteert de help het automatisch aanmaken van een nieuwe server. Controleer daarom vóór het opslaan of er al een DHCP-server in het LAN aanwezig is en controleer daarna de server, de pool en de lease, zodat er geen concurrerende DHCP-antwoorden ontstaan. Bij uitschakeling wordt de bridge verwijderd en wordt de configuratie teruggezet naar de fysieke interface. Maak daarom vooraf een back-up van de beginsituatie en controleer het terugdraaien, inclusief beheerderstoegang, LAN-DHCP en clientverbinding, tijdens een onderhoudsvenster.

Een extern APX heeft deze extra LocalWiFi-bridge niet nodig. Bij een hardwarewissel kan een fysieke Wireless-bridge van Gen.1 bovendien niet ongewijzigd naar Gen.2 worden overgenomen. De vereiste voorbereiding wordt uitgelegd in Sophos Firewall-back-up en -herstel.

Bridge to AP LAN mag alleen worden gekozen als wifi en het bekabelde LAN bewust tot hetzelfde beveiligingsgebied behoren.

Sla voor deze LAN-procedure het Wireless Network op met Save na het kiezen van Bridge to AP LAN, de beveiligingsinstellingen en de MAC-lijst. Controleer onder Wireless > Access points > LocalWiFi het juiste Country, wijs onder Wireless networks > Add new item precies dit netwerk toe en sla op; Guest WiFi verderop is een afzonderlijk voorbeeld. Na het configureren van de bridge moet het testapparaat in de lijst verbinding kunnen maken en moet het apparaat buiten de lijst worden geweigerd. Controleer op de toegelaten client een lease uit het geplande LAN-bereik, het bijbehorende subnetmasker, de bestaande gateway en de geplande DNS-servers; controleer de lease op de DHCP-server die daadwerkelijk dit LAN bedient. Test naamresolutie en een bedoelde service op een bekabeld LAN-apparaat. Komt er geen lease, controleer dan eerst MAC-toelating, netwerktoewijzing, bridge-members en LAN-DHCP. Lokale LAN-communicatie is hier bewust toegestaan en bewijst geen gastisolatie of een door SFOS gecontroleerd gegevenspad.

Bridge to VLAN

Bridge to VLAN scheidt het beheernetwerk van het access point van het client-VLAN. De switchpoort naar het access point moet beide netwerken als trunk transporteren. In het wifiprofiel verwijst Bridge to VLAN ID naar het client-VLAN. Bij Enterprise-verificatie kan deze client-VLAN-ID statisch of via RADIUS met een statische fallback worden bepaald.

Het access point moet eerst minstens één minuut via het niet-getagde standaard-LAN met de firewall zijn verbonden, zodat het zijn configuratie ontvangt. Daarna wordt onder Wireless > Access points > AP > Advanced settings VLAN tagging geactiveerd en wordt de AP VLAN ID voor het beheernetwerk ingevoerd. Pas daarna wordt de switchpoort als trunk geconfigureerd. Het beheer-VLAN van het access point en het client-VLAN kunnen verschillende ID’s gebruiken. Sophos adviseert om Separate zone en VLAN-wifinetwerken niet op hetzelfde access point te combineren. Voor geïntegreerde LocalWiFi0 is VLAN-tagging aan de kant van het access point niet beschikbaar.

Na activering probeert het access point gedurende 60 seconden via DHCP een adres in het geconfigureerde beheer-VLAN te krijgen. Komt er geen antwoord, dan valt het terug op DHCP in het niet-getagde LAN. Dat is een nuttig herstelpad, maar geen succescriterium: VLAN, trunk en DHCP moeten worden gecorrigeerd totdat het access point werkelijk via het geplande beheer-VLAN online is. Bij Bridge to VLAN maakt SFOS automatisch de VLAN-interface en bijbehorende firewallregels aan. Controleer deze objecten, want elk access point maakt voor elke zone een afzonderlijke backend-interface en een ontwerp met veel access points en zones kan daardoor sterk groeien.

De zone van de firewallinterface voor het AP-beheer-VLAN moet zijn toegestaan onder Wireless > Wireless settings > Allowed zone. De clientverkeersmodus en VLAN tagging aan de AP-kant moeten op elkaar aansluiten: voor Bridge to VLAN is AP-tagging vereist; voor Separate zone kan deze in- of uitgeschakeld zijn. De oudere VLAN-help noemt een ander geval bridge to an access point VLAN en vereist daar uitgeschakelde AP-tagging. Uit deze formulering mag geen extra huidige UI-optie worden afgeleid. Laat AP-tagging uitgeschakeld voor de hier beschreven ongetagde Bridge to AP LAN-procedure; bevestig bij een afwijkend ontwerp vóór de omschakeling de compatibiliteit op het daadwerkelijke model en de build.

Bridge to VLAN vermijdt het VXLAN-pad en is vaak geschikter voor grotere, al goed gesegmenteerde wifiomgevingen. Ook hier geldt: verkeer binnen het client-VLAN wordt niet automatisch door SFOS gecontroleerd.

Het voorbeeldnetwerk voorbereiden

In het voorbeeld worden de volgende waarden gebruikt:

• Name in SFOS: Guest WiFi
• onveranderbare Hardware name: GuestWiFi
• zichtbare SSID: Company Guest
• Security mode: WPA2 Personal
• Client traffic: Separate zone
• Zone: WiFi
• clientnetwerk: 10.30.40.0/24
• interface en gateway: 10.30.40.1
• DHCP-bereik: 10.30.40.100 tot 10.30.40.220
• firewallregel: WiFi_Guest_to_WAN

10.30.40.0/24 is een voorbeeld uit de privé-adresruimte. Voordat dit wordt overgenomen, moet een vrij subnet worden gekozen dat niet overlapt met LAN, VPN, RED, VLAN of een externe locatie. Het eerste bruikbare adres 10.30.40.1 hoort in het voorbeeld bij de Wireless-interface van de firewall en wordt als gateway uitgedeeld.

Voor bestaande APX-apparaten is WPA2 Personal met AES de veilige, compatibele basis. Een lange, unieke passphrase hoort in de wachtwoordmanager en niet in tickets of screenshots. Sophos documenteert de WPA3-modi in SFOS 22 alleen voor de geïntegreerde wifi van de modellen XGS 88w, 108w, 118w en 128w. Voor APX moet daarom niet op WPA3 worden gerekend.

De beveiligingslijst bevat ook No Encryption, WEP Open, oudere WPA-modi en gemengde WPA/WPA2-modi. Deze vermeldingen zijn geen aanbeveling voor een nieuw of vernieuwd wifinetwerk: gebruik geen onversleuteld gastenprofiel of WEP/TKIP-fallback, maar vervang incompatibele clients of migreer ze afzonderlijk. Op XGS 88w, 108w, 118w en 128w kunnen profielen met TKIP of AES/TKIP wel worden opgeslagen, maar niet aan LocalWiFi0 worden toegewezen. Kies op deze modellen de sterkste WPA3-modus die door alle beoogde clients wordt ondersteund, of WPA2 Personal met AES, en test de verbinding daadwerkelijk.

Door SFOS beheerde wifi configureren

1. De verbinding van het access point toestaan

Bij een extern APX zijn het beheernetwerk en het netwerk van de wificlients twee verschillende zaken. Het access point krijgt zijn eigen beheeradres via DHCP uit het aangesloten netwerk. De latere wificlients krijgen daarentegen adressen uit het hierboven geplande netwerk 10.30.40.0/24.

1. Wireless > Wireless settings openen.
2. Enable wireless protection activeren.
3. Kies onder Allowed zone de zone waarlangs het AP de firewall bereikt. SFOS biedt hiervoor DMZ, LAN en WiFi. Bevestig de selectie en sla de Wireless-instellingen op met Apply voordat het AP wordt geaccepteerd.
4. Controleren of het access point via DHCP een adres, gateway en DNS-serveradres ontvangt. Op het access point kan geen statisch beheeradres worden geconfigureerd.
5. Controleren of poort 2712 tussen het access point en de firewall niet door een switch, ACL of tussengeschakeld apparaat wordt geblokkeerd.
6. Wireless > Access points openen en een pending access point met Accept accepteren.
7. Bij het actieve access point het juiste Country instellen. Hiervan hangen de wettelijk toegestane kanalen af. Als het Country van een APX wordt gewijzigd, moet de instelling worden opgeslagen en het access point daarna gecontroleerd opnieuw worden opgestart, zodat de nieuwe kanalenlijst wordt toegepast.

Bij een firewall met twee Wi-Fi-kaarten heeft een wijziging van Country invloed op beide kaarten en worden beide kanalen op Auto ingesteld. Documenteer vooraf beide radioconfiguraties en controleer ze beide achteraf. Volgens de help moeten op de APX 320 beide radio’s op 5 GHz staan om alle beschikbare 5GHz-kanalen weer te geven; in Israël ondersteunt Radio 0 echter alleen 2.4 GHz. De lokale toelating van radiokanalen heeft voorrang: gebruik geen andere Country-selectie om kanalen af te dwingen.

Onder Wireless > Wireless settings > Advanced settings geeft Timeout het aantal minuten aan tussen het offline gaan van een access point en de timeoutmelding; na deze periode beschouwt SFOS het AP als inactive. Noteer voor een gecontroleerde test eerst de bestaande waarde en koppel tijdens een onderhoudsvenster alleen een test-AP zonder productieclients los. Na een tijdelijk verkorte maar operationeel veilige periode moeten de melding en de status inactive verschijnen. Sluit het AP daarna weer aan, controleer of de status terugkeert naar active en herstel de vorige Timeout-waarde.

De selectie onder Allowed zone heeft betrekking op het beheerpad van het access point en niet op de latere zone van de wificlients. Als het access point nog bij een andere Sophos Firewall of Sophos Fusion is geregistreerd, moet het daar eerst worden verwijderd. Als dat niet mogelijk is, moet het naar de fabrieksinstellingen worden teruggezet. Verwijder voor de geplande buitengebruikstelling eerst het eenduidig geïdentificeerde AP uit het netwerk, selecteer vervolgens dit AP onder Wireless > Access points en gebruik Delete. Controleer vooraf de identiteit; controleer daarna of de vermelding is verwijderd en of de resterende AP’s en SSID’s nog steeds werken. Delete is niet het verwijderen van een WLAN-toewijzing of het deactiveren van een groep; verwijder geen AP in productie bij wijze van proef om problemen op te lossen.

De besturingsverbinding via poort 2712 is tussen de firewall en het access point met AES versleuteld. Het toestaan van de poort vervangt echter niet de beperking van het AP-beheernetwerk tot de zone die deze verbinding werkelijk nodig heeft.

2. Een Wireless Network aanmaken

Onder Wireless > Wireless networks > Add worden de voorbeeldwaarden ingevoerd:

1. Name: Guest WiFi
2. Hardware name: GuestWiFi
3. SSID: Company Guest
4. Security mode: WPA2 Personal
5. Passphrase: een lange, unieke passphrase
6. Client traffic: Separate zone
7. Zone: WiFi
8. IP address: 10.30.40.1
9. Netmask: /24

De Hardware name mag maximaal tien tekens bevatten, bestaande uit letters, cijfers en underscores, en kan later niet meer worden gewijzigd. Name ondersteunt maximaal 58 tekens en de SSID 1 tot 32 afdrukbare ASCII-tekens. Beide kunnen aan de eigen naamgevingsconventie worden aangepast. De draadloze Name kan later worden gewijzigd en wordt in andere instellingen weergegeven in plaats van de Hardware name. Voor dit veld zijn alle tekens behalve '"<>#%\/, toegestaan; pas deze beperking niet toe op SSID, Hardware name of Passphrase.

Onder Advanced settings zijn voor het gastenvoorbeeld de volgende keuzes zinvol:

• Encryption: AES
• Frequency band: alleen de banden die door het gebruikte model en de radiomodules worden ondersteund
• Client isolation: activeren als rechtstreekse verbindingen tussen gasten ongewenst zijn
• Hide SSID: uitgeschakeld laten
• Fast transition: gebruikt IEEE 802.11r en vereist WPA2 als Security mode. APX ondersteunt deze functie niet. Gebruik deze alleen op compatibele niet-APX-hardware nadat het model, de SFOS-build en de clients zijn gecontroleerd; dit impliceert noch AP6-ondersteuning, noch goedkeuring voor alle W-modellen of voor WPA3.
• Time-based access: regelt de toegestane toegangstijden voor deze SSID. Selecteer met Add new item een passend schema of maak een eigen schema. Voer de activering en configuratiewijzigingen uit tijdens een gepland onderbrekingsvenster, omdat de activering, zoals hieronder beschreven, hostapd opnieuw start en de verbindingen van alle clients van het betreffende AP verbreekt. Controleer met een testclient zowel de beoogde toegestane als de geblokkeerde periode; dit toegangsschema is niet het schema voor radio- of rogue-AP-scans.

Client isolation blokkeert alleen rechtstreekse communicatie tussen clients van dezelfde SSID op dezelfde radio. Het vervangt geen scheiding via zones, VLAN’s en firewallregels over meerdere access points of radiomodules. Een verborgen SSID is evenmin een beveiligingsmaatregel; deze onderdrukt alleen de zichtbare weergave van de netwerknaam.

Bij geïntegreerde wifi is gelijktijdig dual-bandgebruik afhankelijk van de hardware. XGS 87w en 107w zenden alleen op 2.4 GHz of 5 GHz. XGS 116w, 126w en 136w hebben voor beide banden een tweede radiomodule nodig. XGS 88w, 108w, 118w en 128w kunnen beide banden zonder extra module gelijktijdig gebruiken.

Bij het activeren van een Wireless-tijdschema start SFOS hostapd opnieuw. Hierdoor worden alle wificlients van het betrokken access point kort losgekoppeld, niet alleen de clients van deze SSID. De apparaten zouden automatisch opnieuw verbinding moeten maken.

Als ook een bekend apparaat moet worden geblokkeerd, maak dan onder Hosts and services > MAC host > Add bijvoorbeeld Bad hosts aan met Type: MAC list, voer de daadwerkelijk te blokkeren MAC-adressen in en sla op. Kies in het gastenprofiel onder Advanced settings > MAC filtering de blokkeerlijstoptie, wijs deze MAC list toe en sla het Wireless Network op met Save. De Separate zone-help noemt deze optie Blacklist; controleer de naam van de blokkeerlijst in de gebruikte build. Controleer met een geblokkeerd en een toegestaan testapparaat dat alleen het geblokkeerde apparaat wordt geweigerd. Een nagebootst of gerandomiseerd MAC-adres kan deze blokkade omzeilen: de blokkade bewijst noch malwaredetectie, noch dat een apparaat schoon is, en vervangt geen beveiligingsbeleid of netwerkscheiding. Allowed zone staat het AP-beheerpad toe; alleen het inschakelen van Wireless Protection is geen bewijs dat alle wifi- of LAN-pakketten op malware worden gecontroleerd.

Enterprise-wifi en RADIUS afzonderlijk valideren

Voor een Wireless-netwerk met 802.1X wordt de RADIUS-server onder Wireless > Wireless settings geselecteerd. Het access point communiceert niet rechtstreeks met de RADIUS-server: voor Authentication gebruikt het poort 414 naar de firewall en voor Accounting poort 417. De firewall stuurt Accounting daarna door naar de geconfigureerde RADIUS-poort, normaal 1813.

Gebruik voor Enterprise-authenticatie de Wireless network Name als NAS ID, niet automatisch de zichtbare SSID of de Hardware name. Deze waarden kunnen verschillen. Stem het RADIUS-beleid af op deze naam en controleer in het authenticatielog van een testclient dat de verwachte NAS ID en het verwachte beleid worden gebruikt; controleer authenticatie en accounting afzonderlijk.

Accounting moet op de RADIUS-server actief zijn; Interim Accounting Updates worden in dit Wireless-pad niet ondersteund. De Secondary RADIUS server mag niet als algemene failover worden gepland: APX en Wi-Fi-apparaten kunnen alleen de primaire RADIUS-server gebruiken, en XGS Appliances ondersteunen voor dit proces geen secundaire RADIUS-server.

Voor dit door SFOS beheerde draadloze pad vereisen de Wireless-instellingen van SFOS 22 en 23 een NAT-toewijzing voor de accesspointnetwerken wanneer de RADIUS-server via een IPsec-tunnel met de firewall is verbonden. Het bron-IP-adres moet worden vertaald naar precies het IP-adres van de firewall waarmee deze de RADIUS-server bereikt. Het gaat om de AP-netwerken, niet om het draadloze clientnetwerk in het algemeen. De help verwijst naar shellconfiguratie met sys-traffic-nat, maar geeft hier geen volledige uitvoerbare opdracht. Dit stelt geen algemene NAT-vereiste voor andere RADIUS-paden vast.

Documenteer vóór een wijziging de exacte SFOS-versie en build, AP-netwerken, het daadwerkelijk gebruikte bronadres, het beoogde firewall-IP voor de vertaling, de tunnel en Traffic Selectors, het retourpad en de RADIUS-logs. Zonder bevestigde syntaxis voor deze build en dit datapad mag geen shellwijziging worden uitgevoerd: laat Sophos Support de ondersteunde shell, parameters en te gebruiken adressen bevestigen, samen met de voorafgaande controles, succescontroles en exacte procedure om de wijziging terug te draaien. Voer de wijziging alleen in een onderhoudsvenster uit volgens die bevestigde procedure; controleer daarna met een testclient de 802.1X-authenticatie en Accounting en vergelijk het bron-IP dat op de RADIUS-server wordt waargenomen en het antwoordpad met de beoogde waarden. Verruim bij afwijkingen niet de toegangsregels, maar bespreek het bewijsmateriaal met Support en gebruik zo nodig de bevestigde terugdraaiprocedure.

Authenticatieverkeer dat door de firewall wordt gegenereerd, moet worden onderscheiden van doorgestuurd clientverkeer. Het artikel over IPsec-routes voor doorgestuurd verkeer behandelt system ipsec_route en NAT voor dat doorstuurpad; het bevat geen sys-traffic-nat-procedure. Noch de DNAT/reflexieve SNAT daarvan, noch een LAN-naar-VPN-regel vervangt de hier vereiste NAT-configuratie voor systeemverkeer.

Na het configureren van de algemene en geavanceerde instellingen en, indien van toepassing, de Enterprise- en MAC-filterinstellingen, het Wireless Network opslaan met Save – ook als er geen MAC-blokkeerlijst wordt gebruikt. Onder Wireless > Wireless networks controleren of Guest WiFi met de beoogde instellingen wordt weergegeven. Pas daarna de DHCP-server op deze interface aanmaken en het netwerk aan een AP toewijzen zoals hieronder beschreven. Unplugged vóór de toewijzing aan een AP is daarbij geen reden om het profiel opnieuw of met een andere verkeersmodus aan te maken.

3. DHCP voor het clientnetwerk toevoegen

Voor Separate zone wordt niet automatisch een volledige DHCP-server voor de clients beschikbaar gesteld. Daarom wordt onder Network > DHCP > Server > Add bijvoorbeeld de volgende configuratie aangemaakt:

• Name: dhcp-wifi-guest
• Interface: Guest WiFi
• Dynamic IP lease: 10.30.40.100 tot 10.30.40.220
• Subnet mask: /24
• Gateway: Use interface IP as gateway
• DNS server: passend bij de eigen DNS-architectuur
• Conflict detection: geactiveerd

Het bereik ligt bewust boven het interfaceadres en laat ruimte voor gereserveerde adressen. Bij een gastennetwerk met sterk wisselende clients kan een kortere lease dan in een stabiel kantoornetwerk zinvol zijn. Extreem korte leases veroorzaken daarentegen onnodig veel vernieuwingen.

Welke DNS-servers worden uitgedeeld, is een beveiligings- en beheerbeslissing. Interne AD-DNS-servers mogen niet uitsluitend voor het gemak toegankelijk worden gemaakt voor gasten. De volledige planning en leasecontrole wordt beschreven in Sophos Firewall als DHCP-server instellen.

4. Firewallregel, NAT en lokale services controleren

Onder Rules and policies > Firewall rules > Add firewall rule > New firewall rule wordt een regel voor de gewenste internettoegang aangemaakt. Het volledige formulier, de regelvolgorde en de Security Features worden uitgelegd in het artikel over Sophos Firewall-regels.

• Rule name: WiFi_Guest_to_WAN
• Action: Accept
• Log firewall traffic: geactiveerd
• Source zones: WiFi
• Source networks and devices: netwerkobject voor 10.30.40.0/24
• Destination zones: WAN
• Destination networks: Any
• Services: alleen de services die voor het gastennetwerk nodig zijn
• Security features: passende Web-, Application- en IPS-policies volgens licentie en toepassing

Een duidelijk benoemd netwerkobject zoals net_WiFi_Guest maakt de regel specifieker en begrijpelijker dan Source networks: Any. De keuze van de services hangt ervan af of DNS en NTP lokaal op de firewall of rechtstreeks extern worden gebruikt. Een algemene Any-toestemming is handig, maar bemoeilijkt latere controles.

Daarnaast moet een NAT-regel het uitgaande verkeer naar het WAN-adres vertalen. De bestaande Default-SNAT-regel met MASQ dekt nieuwe interne netwerken vaak al af. Dit moet echter in de concrete regelset worden gecontroleerd in plaats van uit voorzorg een tweede NAT-regel aan te maken. De samenhang wordt uitgelegd in NAT op Sophos Firewall begrijpen.

Een WiFi-to-WAN-regel voorkomt niet automatisch toegang via bestaande, brede WiFi-to-LAN- of Any-regels. Daarom moet de volledige regelvolgorde op interne toestemmingen worden gecontroleerd. Als clients van hetzelfde Separate-Zone-netwerk via meerdere access points met elkaar moeten communiceren, is daarnaast een WiFi-to-WiFi-regel nodig. Voor een gastennetwerk mag deze communicatie alleen bewust worden toegestaan.

Toegang tot de firewall zelf wordt niet door de normale firewallregel geregeld. Controleer onder Administration > Device access de daadwerkelijk geconfigureerde WiFi-machtigingen voor HTTPS en SSH, in plaats van een bepaalde standaardinstelling aan te nemen. Onder Administration > Device access moeten daarom voor een gastennetwerk de WiFi-vinkjes bij HTTPS, SSH en alle andere niet-benodigde lokale services worden verwijderd. DNS blijft alleen toegestaan als de clients de firewall daadwerkelijk als resolver gebruiken. De achtergrond wordt uitgelegd in Device Access en Local Service ACL.

5. Wifi aan een access point toewijzen

Een opgeslagen Wireless Network wordt nog door geen enkel access point uitgezonden:

1. Wireless > Access points openen.
2. Het actieve access point via de naam of Edit openen.
3. Het juiste Country controleren.
4. Onder Wireless networks op Add new item klikken.
5. Guest WiFi selecteren, met Apply toepassen en op Save klikken.

Bij meerdere access points biedt een groep onder Wireless > Access point groups meer overzicht. Zo worden SSID’s consistent toegewezen en niet per access point verschillend beheerd. Aan één access point kunnen maximaal acht Wireless Networks worden toegewezen.

Maak een groep aan onder Wireless > Access point groups > Add met een naam, Wireless networks, optionele VLAN tagging en de opgenomen Access points. Controleer vóór het opslaan of de VLAN-toewijzing werkelijk bij alle geselecteerde access points past.

⚠️ Operationele impact: Als een access-pointgroep wordt uitgeschakeld, stoppen alle opgenomen access points met het uitzenden van de toegewezen wifinetwerken. Plan een groepswijziging daarom in een onderhoudsvenster met een gedocumenteerde lijst van access points en SSID’s.

Radio-instellingen en access-pointgroepen bewust wijzigen

Onder Wireless > Access points > AP > Advanced settings beïnvloeden kanaal, Dyn chan, TX power en Channel width meer dan één testclient. Een dynamische kanaalwijziging kan verbonden clients dwingen opnieuw verbinding te maken. Bredere kanalen kunnen in een omgeving met lage dichtheid de doorvoer verhogen, maar extra overlap kan die in een omgeving met hoge dichtheid juist verlagen. SFOS gebruikt standaard 20 MHz op 2,4 GHz en 40 MHz op 5 GHz. Meet zendvermogen en kanaalbreedte daarom per locatie in plaats van ze algemeen te maximaliseren.

Turn on Spanning Tree Protocol (STP) beschermt gebridgede netwerken tegen layer-2-lussen en de daaruit voortkomende broadcast-stormen. Behandel STP niet als een prestatieschakelaar. Test na een wijziging minstens twee echte clients, roaming, DHCP, DNS en een langere overdracht; noteer bij automatische kanaalselectie ook het wijzigingstijdstip en de succesvolle herverbinding van de clients.

Als de dynamische kanaalselectie alleen op vastgestelde tijden moet worden uitgevoerd, activeer dan per band eerst Dyn chan en daarna Time-based scan, en wijs onder Select scan time > Add new item de beoogde Schedule toe of maak deze aan via Add. Observeer na Save het scantijdstip en een eventuele nieuwe verbinding van clients. Identificeer de AP vóór groepswijzigingen eenduidig aan de hand van ID (serienummer), Label en Group. Een afzonderlijk WLAN kan in de bijbehorende AP-details met remove weer worden gedeselecteerd; sla daarna op en controleer de overige SSIDs. Dit is niet hetzelfde als het uitschakelen van de hele AP-groep. Voor een geplande AP-herstart kan onder Wireless > Access points de geselecteerde AP met Restart opnieuw worden gestart; sla vooraf de clientlijst en logs op en herhaal daarna de hieronder beschreven verbindingstests.

Wifi gecontroleerd testen

De acceptatietest mag niet eindigen bij ‘SSID is zichtbaar’. Met een testclient wordt gecontroleerd of daadwerkelijk het geplande netwerk en de geplande regels worden gebruikt:

1. Onder Wireless > Access points moet het access point actief zijn. De Wireless-interface blijft onder Network > Interfaces op Unplugged staan zolang geen access point met dit Wireless Network is verbonden.
2. Verbinding maken met Company Guest en onder Wireless > Wireless client list het access point, de SSID, frequentie en signaalsterkte controleren.
3. Onder Network > DHCP > IPv4 lease controleren of de client een adres tussen 10.30.40.100 en 10.30.40.220 heeft ontvangen.
4. Op de client het IP-adres, de gateway en DNS controleren. Onder Windows helpen:

ipconfig /all
nslookup example.com

5. Een toegestane internetverbinding en bewust een niet-toegestane interne bestemming testen.
6. In de Log Viewer op het IP-adres van de client filteren en de verwachte Firewall Rule ID en NAT Rule ID controleren.

Succes betekent meer dan alleen internettoegang. De client moet de juiste gateway en de geplande DNS-servers gebruiken, gescheiden blijven van niet-toegestane interne bestemmingen en precies via de verwachte firewall- en NAT-regels lopen. De algemene testprocedure wordt beschreven in Firewallregels correct testen.

Gecontroleerd op rogue access points scannen

Rogue AP scan is alleen beschikbaar op Sophos Firewall-appliances met geïntegreerde wifi; externe APX-access points kunnen deze scan niet uitvoeren. Onder Wireless > Rogue AP scan zoekt Scan now naar access points binnen radiobereik. Tijdens de scan worden verbonden wificlients kort losgekoppeld. Een handmatige of geplande scan hoort daarom in een bekend tijdvenster en niet onaangekondigd tijdens productief gebruik.

Gevonden apparaten verschijnen onder Unrecognized access points en worden bewust als geautoriseerd of als Rogue AP gemarkeerd. Deze classificatie vervangt geen incidentonderzoek: SSID, BSSID, kanaal, signaal, locatie en een mogelijke switchpoort moeten worden gecorreleerd voordat een onbekend wifinetwerk als apparaat in het eigen LAN wordt behandeld.

Voor terugkerende scans wordt onder General settings > Schedule system-triggered scan at een tijdschema geselecteerd. Bij LocalWiFi0 met ingeschakelde Bridge to Ethernet en een Wireless-netwerk in de modus Bridge to AP LAN toont de scan alleen nabije netwerken in dezelfde frequentieband als het toegewezen Wireless-netwerk. Deze productbeperking moet bij de beoordeling worden gedocumenteerd.

Pas de scanplanning toe met Apply. Gebruik bij de resultaten de acties Mark as “authorized access point” of Mark as “rogue access point” en controleer de resulterende toewijzing. Een vermelding die als rogue is gemarkeerd, is een classificatie, geen aangetoond mechanisme om een access point van derden uit te schakelen of te blokkeren.

Veelvoorkomende fouten opsporen

SSID wordt niet weergegeven

Controleer eerst of Wireless Protection actief is, de AP-beheerzone onder Allowed zone staat en het access point onder Wireless > Access points active is in plaats van pending of inactive. Controleer daarna Country, het toegewezen Wireless Network, Frequency band en een eventueel tijdschema.

Een opgeslagen netwerk zonder toewijzing aan een access point wordt niet uitgezonden. Bij geïntegreerde wifi kunnen modelbeperkingen voor frequentiebanden of een niet-ondersteunde oude versleutelingsmodus eveneens verhinderen dat het profiel aan LocalWiFi0 wordt gekoppeld.

Separate-zone-interface blijft Unplugged

De status Unplugged is normaal zolang er geen access point is verbonden of het Wireless Network niet aan een AP is toegewezen. Blijft de status bestaan ondanks een actieve APX en een juiste toewijzing, controleer dan het beheerpad van het access point.

Op SFOS 21.5 MR1 Build 261 kan dit optreden wanneer het firewall-IP-adres voor het APX-beheernetwerk als alias is geconfigureerd in plaats van rechtstreeks op de parentinterface (NC-175920). SFOS kan dan de VXLAN-tunnel voor Separate zone niet aanmaken. De workaround is om de APX te verplaatsen naar een beheernetwerk waarvan het firewall-IP-adres rechtstreeks op de parentinterface is geconfigureerd. Verwijder het alias-IP-adres niet zonder eerst de oorzaak te bevestigen.

De wijziging onderbreekt de wifi-netwerken die het access point uitzendt. Controleer daarom vooraf DHCP, de gateway, Allowed zone en poort 2712 in het doelnetwerk en voer de wijziging uit binnen een onderhoudsvenster. Controleer daarna de AP-status, wifi-toewijzing, interfacestatus en de verbinding van een testclient. Sophos noemt geen versie waarin het probleem is opgelost; op andere SFOS-versies bewijst alleen de status Unplugged dit probleem dus niet.

Client ontvangt geen IP-adres

Bij Separate zone moet de DHCP-server aan de aangemaakte Wireless-interface zijn gekoppeld en moet het bereik bij het interfacenetwerk passen. Bij Bridge to AP LAN antwoordt daarentegen de DHCP-server van het AP-LAN. Bij Bridge to VLAN worden de switchtrunk, VLAN-ID en de in het client-VLAN bereikbare DHCP-server gezamenlijk gecontroleerd.

DHCP voor het beheer van het access point en DHCP voor clients mogen niet met elkaar worden verward: het access point kan online zijn terwijl er nog geen werkende DHCP-server voor de wificlients bestaat.

Client heeft een IP-adres, maar geen internet

DHCP en de radioverbinding zijn dan al operationeel; het probleem ligt verderop bij de policy. Controleer vervolgens de gateway en DNS, de WiFi-to-WAN-regel, de regelvolgorde, logging en de passende MASQ-/SNAT-regel. De Log Viewer laat zien of de geplande Firewall Rule ID is gematcht of dat de impliciete regel #0 het verkeer blokkeert.

Als de client internet bereikt, maar tegelijkertijd ook interne systemen, is dat geen geslaagd resultaat voor een gastennetwerk. In dit geval zijn er waarschijnlijk bestaande WiFi-to-LAN-, Any- of te brede netwerkregels van toepassing.

Verbinding van het access point of clientcommunicatie blijft onduidelijk

Firewallverkeer verschijnt alleen betrouwbaar in de Log Viewer als Log firewall traffic in de regel en het Firewall-logtype onder System services > Log settings > Local reporting actief zijn. Wireless-events zijn daar niet als normaal lokaal Wireless-logtype beschikbaar. Onder System services > Log settings kunnen ze naar Sophos Fusion of een Syslog-server worden gestuurd.

Voor een diepgaandere diagnose documenteert Sophos awed.log voor de communicatie tussen de firewall en APX, wc_remote.log voor Wireless-clients en hostapd.log voor LocalWiFi. In Sophos Firewall-services en -logs via de CLI controleren wordt uitgelegd hoe deze logs zonder een ongecontroleerde herstart van een service kunnen worden gelezen.

Het log van een bereikbaar APX kan indien nodig via awetool worden gelezen. Meld u als admin aan bij de firewall-CLI, kies 5 – Device Management, vervolgens 3 – Advanced Shell en start awetool. Kies Connect to an AP, selecteer het doel-AP op basis van zijn identiteit, bevestig met OK en voltooi de verbinding met y. Pas op dit AP zijn logread en logread -f de gedocumenteerde leescontroles. De eveneens aangeboden opdracht reboot verbreekt clientverbindingen en wijzigt de toestand; deze mag pas worden uitgevoerd na het veiligstellen van de logs, tijdens een onderhoudsvenster en met aansluitende controle van AP-status, SSID, clientlijst en daadwerkelijk verkeer. Pas deze APX-shellstappen niet toe op AP6, geïntegreerde LocalWiFi of UTM.

Grote overdrachten zijn traag of worden afgebroken

Als alleen grotere pakketten of langere overdrachten worden getroffen, kan de VXLAN-inkapseling van Separate zone een rol spelen. Hiervoor bestaat geen algemeen geldende MTU-waarde. Documenteer eerst de Rule ID, het gegevenspad, Retransmits en een reproduceerbare applicatietest. Pas wanneer een MTU-/MSS-probleem is aangetoond, wordt een gecontroleerde wijziging uitgevoerd en dezelfde test herhaald.

Wireless-objecten veilig classificeren via de XML API

Wie de hierboven beschreven instellingen automatiseert, moet het netwerkprofiel, de lokale radiocomponent, de AP-groep en de globale Wireless-instellingen afzonderlijk behandelen. De XML-referenties voor SFOS 22 en 23 documenteren de volgende objecten, maar geven geen toestemming om een ongewijzigd gekopieerd schrijfverzoek te gebruiken. Toegang, expliciete bewerkingen, antwoordanalyse en veilige herhalingen worden toegelicht in Toegang tot de Sophos Firewall XML API beveiligen. Stel vóór wijzigingen de bestaande objectstatus, afhankelijkheden en een bevestigde herstelprocedure veilig. Los bij de hieronder genoemde bronconflicten eerst de onduidelijkheden over de betrokken schrijfvelden op via API help van de geïnstalleerde build of met Support; verstuur ze tot die tijd niet. Alle onderstaande codes zijn objectspecifieke XML-statuswaarden, geen HTTP-statuscodes; alle Message.*-symbolen zijn onopgeloste referentiesleutels, geen bevestigde runtime-teksten. Leg de bewerking, de code en het opgeschoonde daadwerkelijke antwoord samen vast.

WirelessLocalAP: identiteit en radioparameters van het W-model

WirelessLocalAP hoort bij het geïntegreerde lokale accesspoint van een geschikte Wireless-appliance, niet bij de lokale webinterface van een AP6 en niet bij het Central-/Fusion-beheer daarvan. Uit dit contract volgt noch een nieuwe APX-API-procedure, noch een handleiding voor oude AP-/UTM-apparaten. Het verplichte veld Id identificeert het bestaande lokale AP; Label is een optionele naam, geen vervangende identiteit. Het referentievoorbeeld gebruikt LocalWifi0/LocalWifi1, terwijl de UI-help LocalWiFi0 gebruikt. Corrigeer hoofdletters en kleine letters niet stilzwijgend en verstuur de schuine streep niet als onderdeel van een gezamenlijke ID: bevestig de daadwerkelijke afzonderlijke identiteit in het lees-/exportresultaat dat bij de build hoort. Country moet overeenkomen met de werkelijke locatie, niet met het voorbeeld In.

De netwerktoewijzingen staan in het voorbeeld onder WirelessNetworks/Network. De tabel beschrijft Network als een array en waarschuwt dat dubbele waarden niet worden genegeerd. Vergelijk daarom alle bestaande toewijzingen volledig en verstuur geen SSID-lijst of gegokte netwerknamen. De limiet van acht toegewezen Wireless Networks en de hardwarelimieten van de radiobanden blijven ook bij automatisering relevant.

Voor de bandtoewijzing beschrijft de tabel Band met 2.4GHz of 5GHz, voor 2,4 GHz Channel, ChannelWidth, TXPower, DynChan en TimeBasedScan, en voor 5 GHz daarentegen Channel5GHz, ChannelWidth11a, TXPower5GHz, DynChan5GHz en TimeBasedScan5GHz. Het voorbeeld toont scantijden onder ScanTime/Time; de tabel vermeldt Time tweemaal als bandafhankelijke array, zonder de bovenliggende structuur voor beide banden eenduidig te tonen. Bevestig vóór een schrijfverzoek de juiste bovenliggende structuur per band, in plaats van alle Time-items samen te voegen of een bovenliggend element voor 5 GHz te verzinnen. Radioscantijden zijn niet het SSID-toegangsschema.

Meerdere gegevens spreken elkaar tegen: het voorbeeld gebruikt Channel2.4GHz, de tabel Channel; bij DynChan en TimeBasedScan staat in het voorbeeld Enable, in de waardenlijsten alleen t. Voor TXPower toont het voorbeeld 100, de tabel daarentegen 10%, 25%, 50%, 75%, 100%. Ook de tekst over de bandtoewijzing van DynChan is niet eenduidig. Deze schrijfwijzen zijn niet bevestigd als onderling uitwisselbare waarden. De exportbeschrijving voor DynChan5GHz maakt bovendien onderscheid tussen Disabled (statisch kanaal, dynamische scan uit), 1 (automatisch kanaal zonder dynamische scan) en Enabled (automatisch kanaal met dynamische scan); behandel exportwaarden niet automatisch als toegestane schrijfinvoer.

BridgeToEthernet, BridgeToPort en Zone hebben betrekking op de lokale Ethernet-bridge, niet op de client-VLAN-ID van een netwerkprofiel. De hierboven beschreven Gen.1-/Gen.2-beperkingen, IPv4-/Bridge-to-AP-LAN-vereisten en DHCP-/beheerderstoegangscontroles blijven van toepassing. Controleer na een bevestigde wijziging beide betrokken radio’s, Country, netwerktoewijzingen, de bridge en een echte client voordat u verdere AP’s wijzigt.

De Status Message Information voor de bewerking Update Local AP koppelt in beide referentieversies de volgende XML-statuswaarden:

• 200, 216: Message.WPAPkUpdateSuccessfully; 500, 541, 543, 544, 545: Message.WPAPUpdateFail.
• 523: Message.WPNetworkGroupMax; 524: Message.WPAccessPointMax; 542: Message.WPAccessPointMesh.
• 547: Message.WPAPUpdateFailVLANGroup; 548: Message.WPA3IsNotSupported.
• 561: Message.LegacyModeNotSupported; 564: Message.TKIPModeNotSupported; 565: Message.TopazToNonTopazImportFail.

Dit zijn letterlijke, onopgeloste referentiesleutels, geen aangetoonde runtime-meldingen. Leid met name uit Message.TopazToNonTopazImportFail geen modelkoppeling of toegestane importmigratie af. Lees bij een onduidelijk antwoord de opgeslagen AP-identiteit, radioparameters en toewijzingen terug; herhaal niet automatisch dezelfde update en verzwak de versleuteling niet.

WiFi6Interface: bestaande interface in plaats van SSID of bridge

WiFi6Interface beheert in de XML-referenties voor SFOS 22 en 23 de poortgebonden netwerk- en zone-instellingen van LocalWiFi6, niet een SSID-profiel of een fysieke bridge. Verplichte velden zijn Name, Hardware en Zone: Name is de beschrijvende naam met maximaal 58 tekens; Hardware duidt de hardwarenaam van de al bestaande interface aan. Bevestig deze identiteit vóór een wijziging in het lees-/exportresultaat dat bij de build hoort; leid deze niet af uit de weergavenaam, SSID of WirelessNetworks.HardwareName. De eis van maximaal tien tekens uit A-Za-z0-9_ voor de hardwarenaam van een fysieke bridge wordt hier niet overgenomen; de WiFi6Interface-tabel vermeldt voor Hardware alleen een string. Ook uit de API-objectnaam volgt geen koppeling aan een hardwaregeneratie. De hierboven beschreven modelafhankelijke GUI-bridge-, DHCP- en beheerderstoegangscontroles blijven ongewijzigd van toepassing.

IPv4Address en Netmask zijn in dit contract optioneel. Daaruit volgt noch een verplichting om een nieuw adres in te stellen, noch een bevestigde werking bij het weglaten van bestaande waarden. Documenteer vóór wijzigingen de daadwerkelijke poort, de zone en een eventueel aanwezig IP-adres met masker; lees daarna dezelfde interfacetoestand terug en vergelijk deze met het beoogde adresplan. Een dergelijke interfacevergelijking vervangt noch de controle van AP-toewijzing en SSID, noch de echte clienttest.

Voor de bewerking WiFi6Interface tonen beide bronteksten 200/Message.InterfaceUpdateSuccess, 500/Message.InterfaceUpdateFail en 502/Message.InterfaceIPAlreadyInUsed. Dit zijn objectspecifieke XML-statuswaarden met onopgeloste referentiesleutels, geen HTTP-codes of bevestigde runtime-teksten. Leg de bewerking, de code en het opgeschoonde daadwerkelijke antwoord samen vast. Lees bij een onduidelijk resultaat eerst de hardware-identiteit, poort, zone en eventueel IP/Netmask terug, in plaats van dezelfde update automatisch te herhalen of een ander Wireless-object aan te maken. Een succescode alleen bewijst noch een correcte netwerktoewijzing, noch werkend wifiverkeer; hier wordt geen nieuw schrijfverzoek afgeleid.

WirelessNetworks: onderscheid maken tussen hardware-identiteit, profiel en status

Bij WirelessNetworks zijn de onveranderlijke Hardware name, de wijzigbare weergavenaam Name en de uitgezonden SSID verschillende waarden. In het gastvoorbeeld zijn dit GuestWiFi, Guest WiFi en Company Guest. De parametertabel voor toevoegen/bijwerken vereist HardwareName met maximaal tien tekens; ook de verwijderbewerking identificeert het doel via HardwareName, niet via de SSID of de weergavenaam. Controleer vóór verwijdering de AP-toewijzingen, interface, DHCP en regels en verwijder alleen het eenduidig geïdentificeerde, goedgekeurde doel. Een fout is geen reden om het profiel nogmaals onder een nieuwe naam aan te maken.

Het voorbeeld voor toevoegen/bijwerken gebruikt echter Hardware in plaats van HardwareName en ClientIsolation met Enable in plaats van de tabelwaarde Enabled. Bij HideSSID is er dezelfde afwijking; de tabel vermeldt voor TimeBasedAccess, ClientIsolation, HideSSID en FastTransition telkens Enabled/Disabled. Ook staat MACFiltering met Allowlist/Blocklist naast een oudere beschrijving van MACList met Whitelist/Blacklist. Los geen van deze afwijkingen op door te gokken. Het XML-contract vermeldt bovendien oudere beveiligingsmodi, terwijl de actuele UI-help WPA3 alleen voor de hierboven genoemde W-modellen beschrijft: daaruit volgt geen volledige WPA3-schrijfsyntaxis.

De gedocumenteerde verkeer-tokens SeparateZone, BridgetoAPLAN en BridgetoVLAN horen bij ClientTraffic. IPAddress en Netmask hebben betrekking op Separate zone; BridgetoVLANid op het client-VLAN, ClientVlanId op respectievelijk Static en RadiusAndStatic. Verwar deze waarden niet met het AP-management-VLAN. De voorbeeldsleutel, het openbare voorbeeld-IP-adres en TKIP(only abg) worden niet overgenomen: AES of een aantoonbaar ondersteunde sterkere beveiligingsmodus, een eigen veilige wachtwoordzin en gecontroleerde netwerkscheiding blijven het doel. ClientIsolation vervangt nog steeds geen firewall- of VLAN-grens over meerdere radio’s/AP’s heen.

Voor Add Wireless Network vermelden beide referenties de volgende koppelingen:

• 200: Message.WPNetworkSuccess; 500, 541, 545: Message.WPNetworkFail.
• 502: Message.WPNetworkExists; 503: Message.WPNetworkInterfaceExists; 542: Message.WPNetworkInterfaceIPExists.
• 544: Message.InterfaceIPAssignedToPeerAdminIP; 548: Message.InterfaceReservedName; 560: Message.DHCPIPRangeConfig.

Voor Update Wireless Network verschillen meerdere sleutels ondanks gelijke codes:

• 200: Message.WPNetworkUpdateSuccessfully; 500, 541, 543, 545, 549: Message.WPNetworkUpdateFail.
• 503: Message.WPNetworkInterfaceExistsForUpdate; 542: Message.WPNetworkInterfaceIPExistsForUpdate.
• 544: Message.InterfaceIPAssignedToPeerAdminIP; 548: Message.InterfaceReservedName; 560: Message.DHCPIPRangeConfig.
• 546: Message.WPBindWithLA; 547: Message.APNotSupport5GHzWP.
• 561: Message.SecModeChangedToLegacyFail; 562: Message.SecModeChangedToWAP3Fail; 563: Message.EncModeChangedToTKIPFail.

Voor Delete Wireless Network zijn 200/Message.WPNetworkDeleteSuccess, 500/Message.WPNetworkDeleteFail, 541/Message.BridgeWirelessNetworkExists en 542/Message.WPEnableDeteleFail gedocumenteerd. Ook ogenschijnlijke spelfouten zoals Message.SecModeChangedToWAP3Fail en Message.WPEnableDeteleFail blijven ongewijzigd; ze worden niet hernoemd tot vermeend correcte runtime-meldingen. Vergelijk bij deze antwoorden eerst de daadwerkelijk opgeslagen hardware-identiteit, het IP-adres, de DHCP-afhankelijkheden, de bridge en de AP-toewijzingen. Beweer niet op basis van alleen een sleutel dat er een bepaalde oorzaak, een geslaagde terugdraaiing of een veilige herhaling is.

WirelessNetworkStatus is een afzonderlijk object: de tabel ervan beschrijft Name expliciet als interfacenaam met maximaal tien tekens, niet als automatische alias voor de SSID of weergavenaam. Status gebruikt hier Enable/Disable, niet de waarden Enabled/Disabled van andere velden. Bevestig vooraf de daadwerkelijke interfacenaam. Voor Enable-Disable Wireless Network staan 200/Message.WPNetworkUpdateSuccessfully en 500/Message.WPNetworkUpdateFail. Een statuswijziging wijst het netwerk niet toe aan een AP en bewijst nog niet dat het wordt uitgezonden; controleer de opgeslagen status, AP-toewijzing en clientverbinding afzonderlijk.

WirelessGrouping: groepslidmaatschap is geen radioconfiguratie

WirelessGrouping beschrijft een AP-groep met Name en de items WirelessNetworks/Network en AccessPoints/AccessPoint, die meerdere keren kunnen voorkomen. Neem de AP-identiteiten over uit de bestaande inventaris, niet uit het oude AP30-voorbeeld van de referentie. De groepsstructuur configureert netwerktoewijzingen en optionele AP-managementtagging, maar geen bandafhankelijke lokale radioparameters. Uit optionele arrays volgt geen bevestigde semantiek voor lege lijsten of een veilige gedeeltelijke update.

VLANTagging vermeldt Enable/Disable; APVLANID vermeldt 1 tot 4094 en geldt bij ingeschakelde tagging. Dit is het management-VLAN van de AP’s, niet BridgetoVLANid voor clients. Controleer vóór wijzigingen de volledige ledenlijst, trunk, management-DHCP, Allowed zone en herstelprocedure. Het uitschakelen van een groep stopt nog steeds het uitzenden door de AP’s ervan; controleer na een bevestigde wijziging elk betrokken AP en de beoogde SSID’s.

Voor Add an Access Point Group staan 200, 216/Message.WPGroupSuccess, 500, 541, 543, 545/Message.WPGroupCreated, 502/Message.WPGroupExists, 523/Message.WPGroupMax, 524/Message.WPGroupMaxAP en 546/Message.WPA3IsNotSupported. Voor Update an Access Point Group staan daarentegen 200, 216/Message.WPGroupUpdateSuccessfully, 500, 541, 543, 545/Message.WPGroupUpdateFail, 523/Message.WPGroupMaxForUpdate, 524/Message.WPGroupMaxAPForUpdate en 546/Message.WPA3IsNotSupported. De verwarrende sleutel Message.WPGroupCreated bij foutcodes is geen garantie op succes. Lees vóór een herhaling de opgeslagen groep en leden terug, in plaats van een tweede groep aan te maken of meer AP’s toe te voegen.

Globale instellingen: beheertoegang en gevolgen

WirelessProtectionGlobalSettings is noch een SSID-profiel, noch een clientzone. In het voorbeeld bevat AllowedZone/Zone de beheerzones, die meerdere keren kunnen voorkomen; NotificationTimeout komt overeen met de hierboven toegelichte time-out voor offline-meldingen in minuten. RADIUSServer duidt de globaal geselecteerde server voor het beschreven Enterprise-pad aan. Voor de schakelaar gebruikt het voorbeeld WirelessProtection, de tabel daarentegen EnableWirelessProtection: verduidelijk ook deze afwijkende veldnamen build-specifiek vóór een schrijfverzoek.

Voor Global Settings vermelden beide referenties 200/Message.WLANAPEditSuccessful, 500/Message.WLANAPEditFailed, 501/Message.WLANAPIPAlreadyInUsed en 504/Message.WLANAPIntBaseVHExist. Verdere onderscheidingen zijn:

• 511: Message.WLANAPFailedWhileUnbinding; 512: Message.WLANAPFailedWhileDeleteDHCPServer; 513: Message.WLANAPFailedWhileDeleteDHCPRelay.
• 516: Message.WLANAPFailedToUnbindInterface; 520: Message.WLANAPFailedToUnbindIfaceRCg; 521: Message.WLANAPEditRunConfigFailed.
• 523: Message.WLANAPWLAN1UnboundEditFaild; 524: Message.WLANAPOtherUnboundEditFaild.

De sleutels worden niet geïnterpreteerd als bewezen foutoorzaken, maar laten wel zien waarom een globale wijziging niet als een onschuldige test mag worden behandeld: interfacekoppelingen en de DHCP-configuratie kunnen worden beïnvloed. Schakel Wireless Protection niet uit en weer in voor een snelle diagnose. Leg vóór een geplande wijziging de back-up, onafhankelijke beheerderstoegang, interfaces, DHCP-servers/-relays en AP-toewijzingen vast. Lees daarna de daadwerkelijk opgeslagen globale status en de betrokken services terug, controleer de bereikbaarheid van AP’s en de clients en beslis pas op basis van dit bewijs over een herhaling of de bevestigde herstelprocedure. Een XML-succescode alleen bewijst noch het effect op de radio’s, noch volledig configuratiesucces.