De juiste Sophos RED-bedrijfsmodus kiezen

De bedrijfsmodus van een Sophos SD-RED is geen kleine detailoptie. Hij bepaalt wie op de externe locatie DHCP en de gateway levert, welk verkeer door de RED-tunnel loopt, of internettoegang centraal wordt gecontroleerd en wat blijft werken wanneer de tunnel uitvalt. Een Site-to-Site RED-tunnel tussen twee Sophos Firewalls is een ander ontwerp en gebruikt deze vier bedrijfsmodi niet.

Voor nieuwe, centraal beheerde vestigingen is Standard/Unified meestal het duidelijkste uitgangspunt. Standard/Split bespaart tunnelbandbreedte, maar plaatst lokaal internetverkeer buiten de centrale controle. Transparent/Split integreert de RED in een bestaand netwerk. Manual/Split is een speciaal bekabelings- en routeringsontwerp voor lokale internetautonomie en geen gewone snelle modus.

Kies de bedrijfsmodus voordat DHCP, VLAN’s, firewallregels en de uitrol worden geconfigureerd. Een latere wijziging verandert het datapad en vereist een onderhoudsvenster met gecontroleerde functietests.

Deze handleiding geldt voor SFOS 22.0 en de door deze versie ondersteunde SD-RED 20 en SD-RED 60. RED 15/15w en RED 50 maken vanaf SFOS 20.0 MR1 geen verbinding meer. Verouderde Firewall RED-interfaces tussen UTM en SFOS moeten vóór een upgrade naar SFOS 22.0 worden vervangen en verwijderd; anders worden upgrade, herstel en import geblokkeerd. Vanaf SFOS 21.0 MR2 en 21.5 MR1 krijgen RED-systeemhosts automatisch een /32-masker. Open onder Hosts and services > IP host voor elke RED-systeemhost Usage en vervang de host in afhankelijke regels en routes door de juiste IP-host of netwerkhost als daar voorheen het volledige interfacesubnet werd bedoeld. Neem deze migratiecontroles daarom vóór een hardware- of firewallmigratie op in het wijzigingsplan.

De toelichtingen op bedrijfsmodi, LAN-poortmodi en WLAN-datapaden gelden voor SFOS 22.0 en 23.0. De migratieaanwijzingen in de vorige alinea blijven gebonden aan de daar expliciet genoemde releases. Voordat de modus in productie wordt gewijzigd, moet het gedrag onder gecontroleerde omstandigheden worden getest op het gebruikte model en de gebruikte release.

De vier RED-bedrijfsmodi in één oogopslag

Deze samenvatting helpt bij de eerste keuze, maar vervangt de beoordeling van uitvalgedrag, VLAN’s en security niet. Split betekent met name niet automatisch fail-open en Transparent betekent niet automatisch dat VLAN-tags worden doorgegeven.

Standard/Unified: Alles via de centrale locatie

In Standard/Unified levert Sophos Firewall via de RED-interface DHCP en de standaardgateway. De SD-RED stuurt al het verkeer door de versleutelde tunnel, inclusief het internetverkeer van de vestiging.

Dit biedt de meeste centrale controle. Firewallregels, Web Policies, IPS, Application Control, rapportage en centrale internettoegang kunnen consistent op de hoofdlocatie worden toegepast. Tegelijk worden de tunnel en de centrale WAN-verbinding zwaarder belast, omdat ook gewoon internetverkeer van de vestiging het locatiepad tweemaal aflegt.

Als de RED-tunnel uitvalt, verliezen clients niet alleen toegang tot interne netwerken. Omdat hun gateway via de tunnel op Sophos Firewall staat, valt normaal ook internettoegang weg. Standard/Unified past daarom wanneer centrale security belangrijker is dan lokaal internet tijdens een tunnelstoring.

Wanneer Standard/Unified past

• Al het locatieverkeer moet centraal worden gecontroleerd en gelogd.
• DHCP, DNS-forwarding, regels en internettoegang moeten op Sophos Firewall samenkomen.
• De centrale WAN-capaciteit is voldoende voor het extra internetverkeer van de vestiging.
• Een tunnelstoring mag de locatie gecontroleerd offline zetten, of er bestaat een geteste tweede RED-uplink.
• VLAN’s moeten via een SD-RED 60 worden vervoerd.

Standard/Split: Centrale netwerken door de tunnel

Bij Standard/Split blijft Sophos Firewall de DHCP-server en standaardgateway voor het door de RED geleverde netwerk. Alleen de onder Split networks ingevoerde doelnetwerken lopen door de tunnel. Andere doelen, doorgaans internet, verlaten de locatie via de lokale WAN-verbinding van de RED.

Dit ontlast de tunnel en de centrale internetverbinding. Daar staat een duidelijke securitygrens tegenover: Sophos maskeert het lokale internetverkeer op de RED, maar de centrale firewall kan dit niet met zijn firewall-, web- of IPS-regels controleren. Vanuit de centrale locatie is dit datapad geen normaal doorgestuurd internetverkeer.

Voor Split networks worden IP-netwerken gebruikt. FQDN-hostobjecten worden hier niet ondersteund. Ook reeds met VLAN getagde frames horen niet bij het datapad van Standard/Split. Alleen het DHCP-netwerk dat de RED rechtstreeks levert, krijgt via deze modus lokale internettoegang.

Een voorbeeld voor Split network: Het filiaal gebruikt 10.20.30.0/24, het benodigde servernetwerk van het hoofdkantoor 10.10.40.0/24. Alleen het centrale doelnetwerk wordt als split-netwerk ingevoerd; dit is noch het DHCP-bereik van het filiaal, noch een FQDN-host. Deze privénetwerken zijn voorbeelden en moeten worden vervangen door de eigen, niet-overlappende netwerken. Daarna worden een server in dit netwerk, een lokaal doel buiten de lijst en een internetdoel afzonderlijk getest. Niet-vermelde interne resources worden niet automatisch bereikbaar via het hoofdkantoor: ze volgen het resterende lokale pad.

Standard/Split is evenmin een algemeen fail-open-ontwerp. Als de tunnel uitvalt, verliezen clients in het door de firewall geleverde netwerk volgens de Sophos-documentatie zowel de centrale doelen als internettoegang. Wie lokaal internet onafhankelijk van de tunnel nodig heeft, moet een ander ontwerp plannen en testen.

Wanneer Standard/Split past

• De vestiging heeft slechts enkele duidelijk gedefinieerde netwerken op de centrale locatie nodig.
• Lokale internetbreakout is gewenst en mag buiten de centrale Sophos-policies vallen.
• Sophos Firewall kan het externe netwerk via DHCP beheren.
• VLAN-tagging door de RED-tunnel is niet nodig.
• Het uitvalpad is getest en wordt niet verward met Manual/Split.

Transparent/Split: RED in het bestaande netwerk

Transparent/Split past bij externe locaties waar router, DHCP, DNS en standaardgateway al bestaan en moeten blijven. De RED werkt transparant in het bestaande Layer 2-netwerk. Alleen de geconfigureerde split-netwerken of split-domeinen worden via de tunnel naar de centrale locatie geleid.

Deze modus voorkomt een gatewaywijziging voor clients. Probleemoplossing wordt wel lastiger: DHCP, DNS en het normale internetpad blijven onderdeel van het lokale netwerk, terwijl geselecteerde doelen via de RED worden omgeleid. De test moet daarom afzonderlijk aantonen welk pad lokaal blijft en welk pad werkelijk de tunnel ingaat.

Voor interne namen heeft Transparent/Split daarnaast een Split DNS server nodig, dus een DNS-server in het centrale netwerk die externe clients voor het betreffende interne domein kunnen raadplegen. Een split-domein is niet hetzelfde als een FQDN-host onder Split network. Voor corp.example moet bijvoorbeeld de naamomzetting via de beoogde interne DNS-server werken en moet het netwerk daarvan via de tunnel bereikbaar zijn. corp.example is een tijdelijke aanduiding voor het eigen interne domein. Als het server-IP bereikbaar is maar de naam niet, controleer dan eerst het daadwerkelijke DNS-antwoord, de gebruikte resolver en het pad naar die resolver; verruim de firewallregel niet zonder onderscheid.

Transparent/Split vervoert geen VLAN-getagde frames. Een 3G/4G-failoveruplink is in deze modus evenmin beschikbaar. Voor een draadloze module moet de externe DHCP-server DHCP-optie 234 met het IP-adres van de RED-interface op de firewalllocatie aan het access point doorgeven; dit is niet het AP-adres, een adres van de vestiging of het publieke firewalladres.

Wanneer Transparent/Split past

• De bestaande router moet DHCP, DNS en de standaardgateway blijven leveren.
• Alleen geselecteerde centrale netwerken of domeinen moeten via de RED bereikbaar zijn.
• De RED kan correct inline in het bestaande netwerk worden opgenomen.
• De locatie heeft geen VLAN-tags nodig via dit RED-datapad.
• Lokaal en getunneld verkeer kunnen afzonderlijk met Packet Capture en echte doeltests worden gecontroleerd.

Manual/Split: Lokale gateway met statische routes

Bij een SD-RED beschrijft Manual/Split vooral een bewust handmatig opgebouwd netwerkontwerp. De WAN- en LAN-zijde van de RED worden zo in de bestaande infrastructuur opgenomen dat de bestaande router de standaardgateway blijft. Deze router krijgt statische routes via de RED naar de centrale netwerken.

Het voordeel is lokale autonomie: gewone internettoegang kan blijven werken wanneer de RED-tunnel of de RED zelf uitvalt. Daar staat extra planning tegenover. Retourpaden, statische routes, ARP-gedrag en fysieke bekabeling moeten exact kloppen. Een onjuiste next hop kan centraal verkeer buiten de tunnel leiden of bij een storing in een doodlopend pad sturen.

Sophos beschrijft hiervoor een handmatige fysieke implementatie en een RED-configuratie op basis van het Standard/Unified-schema, terwijl de bestaande gateway en statische routes de split bepalen. De naam mag daarom niet als een onafhankelijke, vanzelfsprekende schakelaar worden behandeld.

De fysieke volgorde is belangrijk: Eerst wordt de WAN-poort van de RED aangesloten op dezelfde LAN-switch waarop ook de clients van de locatie zijn aangesloten. Pas nadat de RED zijn Standard/Unified-configuratie heeft ontvangen, wordt ook een RED-LAN-poort op deze switch aangesloten. De RED staat hierbij niet inline vóór het gehele locatie-LAN. Vóór de tweede aansluiting moeten de bestaande DHCP-verantwoordelijkheid, het RED-adres als Next Hop en de switchpoorttoewijzing duidelijk zijn; een extra, niet-gecoördineerde DHCP-server mag de clientconfiguratie niet overnemen. Dit is een gepland routingontwerp, geen aanbeveling om bij een willekeurige RED WAN en LAN met elkaar te verbinden.

Voorbeeld van het routingplan: De bestaande locatiegateway 10.20.30.1 blijft de clientgateway, het geplande RED-LAN-adres 10.20.30.2 dient als Next Hop voor het centrale netwerk 10.10.40.0/24. Alle waarden zijn aanpasbare voorbeelden; de Next Hop en het adresplan moeten passen bij de daadwerkelijk ingerichte RED-interface en mogen niet conflicteren met bestaande apparaten. Het hoofdkantoor heeft een retourpad naar 10.20.30.0/24 nodig. Vóór de uitrol worden ARP-resolutie naar de Next Hop, een centraal doel en lokale internettoegang gecontroleerd. Bij uitval van de tunnel of RED moet het internetpad via 10.20.30.1 beschikbaar blijven, terwijl het centrale doel zoals verwacht niet meer bereikbaar is. Bij onverwacht DHCP-, ARP- of routinggedrag moet de laatst toegevoegde RED-LAN-aansluiting worden losgekoppeld en de gedocumenteerde oorspronkelijke toestand van bekabeling en routes worden hersteld.

Manual/Split hoort alleen thuis in een gedocumenteerd ontwerp met:

• een alternatieve lokale gateway
• statische routes voor elk centraal doelnetwerk
• een gecontroleerd retourpad vanaf de centrale locatie
• onafhankelijke beheertoegang
• tests met een actieve tunnel, losgekoppelde tunnel en uitgeschakelde RED

Layer 2- en uitbreidingsopties

Meerdere RED’s als gedeeld bridgenetwerk gebruiken

Een Bridged RED setup is geen vijfde bedrijfsmodus. Hierbij worden op Sophos Firewall minstens twee bestaande RED-interfaces in een bridge samengevoegd. De externe RED-netwerken gedragen zich vervolgens als één gedeeld LAN, terwijl firewallregels het verkeer tussen de RED-locaties nog steeds kunnen beperken.

De bridge wordt aangemaakt onder Network > Interfaces > Add interface > Add bridge. Geef een duidelijke naam en de bridge-interface op en selecteer daarna de benodigde RED-interfaces met hun zones als Member interfaces. Het adresplan, de DHCP-verantwoordelijkheid en alle bridgeleden moeten vooraf op elkaar zijn afgestemd; meerdere ongecoördineerde DHCP-servers of dubbele IP-adressen zouden dan in hetzelfde Layer 2-netwerk actief zijn.

We raden dit ontwerp alleen aan wanneer meerdere filialen werkelijk hetzelfde broadcastdomein nodig hebben. Voor normaal gescheiden locaties zijn gerouteerde RED-netwerken eenvoudiger te isoleren, te bewaken en onafhankelijk te wijzigen. Controleer na het opslaan DHCP, ARP, verkeer tussen locaties, de verantwoordelijke firewallregel en bewust geblokkeerd verkeer. Een groene RED-tunnel bevestigt de afzonderlijke tunnels, maar niet de bridge of de regels daarvan.

Een tweede uplink en een tweede firewall zijn geen bedrijfsmodi

De RED-configuratie kan daarnaast een tweede firewallendpoint en, afhankelijk van model en modus, een tweede uplink bevatten. Deze opties vullen het gekozen datapad aan; ze vervangen het niet.

Een tweede firewallendpoint kan worden gebruikt voor failover of load balancing. Een tweede uplink kan de tunnelopbouw beveiligen. Als beide uplinks op Static staan, moeten de IP-adressen van hun DNS-servers verschillen; verschillende DNS-aanbieders zijn niet vereist. De RED controleert voor DNS-resolutie de routevermelding van de eerste uplink. Als die gateway niet reageert, beschouwt de RED het DNS-server-IP als onbereikbaar en probeert hetzelfde IP-adres niet opnieuw via de tweede uplink.

Voor het tweede firewalleindpunt worden 2nd firewall IP/hostname en Use 2nd IP/hostname for ingesteld; 2nd uplink connection en 2nd uplink mode regelen een tweede WAN-aansluiting. Failover gebruikt het tweede pad als het eerste uitvalt, Load balancing verdeelt het verkeer over beide. Load balancing is daarom geen vervanging voor een getest uitvalpad. 3G/UMTS failover vereist een geschikte USB-dongle en de mobiele-netwerkparameters van de provider. RED-firmware 2.0.018 ondersteunt de D-Link DWM-222 niet; een geplande mobiele back-upverbinding moet passen bij de daadwerkelijke firmware en hardware.

Mobiele back-upverbinding van de RED: providerwaarden toewijzen

Als het gebruikte RED-model, de bedrijfsmodus, de RED-firmware en de USB-dongle deze back-upverbinding ondersteunen, bewerkt u de betreffende RED-interface onder Network > Interfaces en controleert u de instellingen voor 3G/UMTS failover. In Transparent/Split is deze mobiele failover niet beschikbaar. De volgende toewijzing licht de RED-parameters uit de API-documentatie voor SFOS 22.0 en 23.0 toe; dit is noch een uitvoerbaar XML-voorbeeld, noch een toezegging van actuele ondersteuning voor mobiele verbindingen voor SD-RED 20 of 60. Oude modelnamen en mobiele-netwerkopties in het API-voorbeeld vervangen geen compatibiliteitscontrole voor de concrete combinatie.

• UMTS3GFailover: activering van de mobiele back-upverbinding van de RED; de documentatie noemt Enable en Disable, met Disable als standaardwaarde. Pas na de compatibiliteitscontrole activeren.
• Username en Password: gebruikersnaam en wachtwoord voor de mobiele verbinding volgens de provider, niet de toegangsgegevens van de firewallbeheerder. Voer alleen de door de provider vereiste toegangsgegevens in; gebruik geen verzonnen standaardwaarden.
• Pin: PIN van de gebruikte SIM-kaart, als daarop een PIN is geconfigureerd. Verwar deze niet met de RED-Unlock Code en riskeer bij een onbekende PIN geen SIM-blokkering door herhaaldelijk te gokken.
• MobileNetwork: type mobiel netwerk. De gedocumenteerde waarden zijn GSM en CDMA, met GSM als standaardwaarde; de keuze moet passen bij de daadwerkelijk ondersteunde combinatie van provider en dongle. Deze oude keuzewaarden bewijzen geen huidige netwerkbeschikbaarheid.
• APN: Access Point Name van de provider voor precies deze SIM of dit abonnement. Dit is niet het openbare firewalladres en wordt niet afgeleid van de RED-tunnelnaam.
• DialString: inbelreeks van de provider voor de ondersteunde combinatie. Neem de gedocumenteerde voorbeeld-/standaardwaarde niet zonder meer over: er bestaat hier geen universele inbelreeks voor alle providers en modems.

Deze waarden horen bij de RED op de externe locatie: in het gedocumenteerde API-voorbeeld staan de providervelden onder UplinkSettings / FailOverSettings. Cellular WAN op Sophos Firewall configureert daarentegen de eigen mobiele verbinding van de firewall; gelijknamige providervelden daar stellen geen RED-back-upverbinding in. De toewijzing is een invoerhulpmiddel, geen aanbeveling voor een ongecontroleerde API-payload of serializer.

Stel vóór een wijziging de werkende RED-uplink, de bestaande failoverinstelling en een onafhankelijk beheerpad veilig. Bewaar het providerwachtwoord, de SIM-PIN en provisioningbestanden uitsluitend beveiligd en met beperkte toegang; kopieer ze niet naar screenshots, tickets of configuratievoorbeelden. Als bevestigde hardware-/firmwarecompatibiliteit of een providerwaarde ontbreekt, activeer de back-upverbinding dan niet op basis van aannames, maar stem dit af met de provider of Sophos Support. Na een goedgekeurde wijziging gelden de afzonderlijke uplink- en padcontroles hieronder; herstel bij een mislukte acceptatietest de vorige RED-instellingen.

De tests moeten gescheiden blijven:

1. De gekozen RED-modus moet eerst correct werken via de primaire uplink.
2. Daarna wordt een gecontroleerde uplinkfailover getest.
3. Vervolgens worden RED-status, DHCP, centrale doelen en het internetpad opnieuw gecontroleerd.
4. In HA-omgevingen volgt een afzonderlijke firewallfailovertest; de RED-tunnel heeft na de rolwissel tijd nodig om opnieuw op te bouwen.

Alleen een groene tunnelstatus bewijst noch het juiste internetpad, noch werkende security policies.

VLAN’s en LAN-poortmodi bij SD-RED 60

De SD-RED 60 kan VLAN’s door de tunnel vervoeren, maar alleen in Standard/Unified. Daarnaast wordt per LAN-poort bepaald hoe de RED met getagde en ongetagde frames omgaat.

• Tagged: Alleen de geconfigureerde VLAN’s worden getagd doorgestuurd. Niet-geconfigureerde VLAN’s en ongetagde frames worden verworpen. Per poort kunnen maximaal 64 VLAN ID’s worden ingevoerd.
• Untagged, drop tagged: Ongetagde frames worden aan het geconfigureerde VLAN toegewezen; reeds getagde frames worden verworpen. Dit komt overeen met een gecontroleerde access-poort.
• Disabled: De LAN-poort verwerpt het verkeer.
• Untagged: Ongetagde frames krijgen de geconfigureerde VLAN-ID; reeds getagde frames worden ongewijzigd doorgestuurd. Per poort is slechts één VLAN-configuratie mogelijk. Dit is een hybride poort en geen vrij configureerbare trunk; toegestane VLAN’s moeten nog steeds op de aangesloten switch en op de firewall worden gecontroleerd.

De bovenstaande toewijzingen beschrijven vooral frames die binnenkomen op de RED-LAN-poort. Voor de tegengestelde richting beschrijft de LAN-modus Untagged de uitvoer van de geconfigureerde VLAN-ID zonder tag, zodat een eindapparaat zonder VLAN-ondersteuning kan worden aangesloten. Onder LAN VID(s) is hiervoor één ID voorzien; bij Tagged worden meerdere ID’s door komma’s gescheiden ingevoerd, bijvoorbeeld 10,20. De getallen zijn voorbeelden voor de eigen VLAN’s en moeten overeenkomen met de switch en firewall.

De beschrijvingen van de LAN-modi zijn niet in elke richting eenduidig: De verkeerstabel beschrijft bij de access-poort het verwerpen van inkomende getagde frames, terwijl de tekst bij Untagged, drop tagged de uitvoer van overeenkomende VLAN-frames tegenstrijdig formuleert. Hieruit wordt hier geen gegarandeerd uitvoer- of isolatiegedrag afgeleid. Vóór gebruik in productie worden op het daadwerkelijk gebruikte model en de release toegestane en niet-toegestane VLAN’s en ongetagde frames in beide richtingen getest. Maak vooraf een back-up van de poortmodus, LAN VID(s) en de switchconfiguratie en zorg voor een onafhankelijk beheerpad. Verwijder bij onverwacht forwardinggedrag de testpoort uit het productienetwerk, herstel de vorige poort- en VLAN-instellingen en test opnieuw; improviseer niet door VLAN’s zonder onderscheid toe te staan.

Als een gast-VLAN achter de RED lokaal toegang tot internet moet krijgen, is Standard/Split geen vervanging voor dit VLAN-ontwerp. Een mogelijke architectuur is een extra Sophos Firewall op een XGS Appliance uit de desktopklasse op de locatie, die dit verkeer via de lokale gateway routeert en daar beveiligt. Dit is een afzonderlijk routing- en beveiligingspad en moet worden gepland met gescheiden regels, retourpaden en een negatieve test van gast naar intern; de RED-bedrijfsmodus alleen biedt deze scheiding niet.

Sophos Firewall heeft voor elk gebruikt VLAN een passende VLAN-interface op de RED-interface nodig. VLAN ID, IP-netwerk, DHCP, RED-poortmodus en switchconfiguratie moeten exact overeenkomen. De volledige procedure staat in Een VLAN op Sophos Firewall configureren en testen.

Draadloos gedrag afzonderlijk plannen

Voordat een draadloze module wordt ingesteld, moet er een RED-interface met een IP-adres bestaan en moet DNS-resolutie op precies die interface werken. Een optionele draadloze module van de SD-RED 20 of 60 kan drie verschillende datapaden gebruiken:

• Separate zone: Draadloos verkeer bereikt de firewall versleuteld via VXLAN, onafhankelijk van de RED-modus. Sophos Firewall moet verkeer uit de afzonderlijke zone expliciet toestaan voor de RED-interface; dit betekent geen algemene WAN-toestemming.
• Bridge to AP LAN: Het draadloze netwerk wordt met het lokale LAN van het access point gebridged.
• Bridge to VLAN: Het draadloze netwerk wordt aan een VLAN toegewezen; het exacte gedrag hangt af van de RED-modus en VLAN-configuratie.

In Standard/Unified en Standard/Split moet een correct geconfigureerde DHCP-server op de RED-interface actief zijn. In het gedocumenteerde draadloze scenario met Transparent/Split levert het externe netwerk DHCP en DNS, en moet de RED-interface zijn IP-adres van de externe DHCP-server krijgen. Die server moet optie 234 leveren met het IP-adres van de RED-interface op de firewalllocatie. Zonder deze optie is 1.2.3.4 de gedocumenteerde terugvalwaarde: een diagnostische aanwijzing voor de ontbrekende optie, geen adres om in productie te configureren. Draadloze instellingen, LAN-poortmodus en RED-modus moeten daarom als één ontwerp worden getest en niet als drie onafhankelijke dropdowns.

Bridge to VLAN maakt van een split-modus geen algemeen VLAN-transport. In Standard/Split bereiken draadloze clients lokale hosts met dezelfde tag en, indien aanwezig op de RED-interface, de VLAN-interface op het tunnelendpoint. De geconfigureerde split-netwerken zijn niet bereikbaar, omdat de RED die alleen voor ongetagde pakketten routeert. In Transparent/Split loopt hetzelfde VLAN lokaal over LAN-poorten 1–4 en de WAN-poort; split-netwerken blijven ook via dit draadloze datapad onbereikbaar.

Bij Bridge to AP LAN omvat de lokale bridge LAN-poorten 1–4. WLAN-clients kunnen de RED-tunneleindpuntinterface op de firewall alleen bereiken als verkeer van het RED-netwerk naar deze interface is toegestaan. Bij Bridge to VLAN in Standard/Unified krijgen WLAN-clients de geconfigureerde VLAN-ID en kunnen ze overeenkomstig toegestane apparaten met dezelfde VLAN-ID op de LAN-poorten bereiken, evenals de bijbehorende VLAN-interface op het firewalltunneleindpunt. Een geslaagde WLAN-aanmelding bevestigt deze doelen nog niet; ze worden afzonderlijk gecontroleerd met een WLAN-testclient.

De bedrijfsmodus configureren en veilig testen

Voorwaarden en exacte velden

Schakel eerst de RED-service in onder System services > RED. Maak of wijzig daarna de appliance onder Network > Interfaces > Add interface > Add RED. De belangrijkste velden zijn RED ID, Unlock code, Firewall IP/hostname, Device deployment, Uplink connection, RED operation mode, RED IP, Zone, Configure DHCP, RED DHCP range en bij split-modi Split network.

RED ID staat op het apparaat en de verpakking; Tunnel ID moet op beide betrokken apparaten vrij zijn. Firewall IP/hostname verwijst naar het bereikbare openbare adres of de openbare naam van het tunneleindpunt, niet naar een willekeurig intern beheeradres. Bij de eerste registratie blijft Unlock code leeg. Voor een reeds gebruikte RED of bij een overstap naar een andere firewall moet de bestaande code worden opgeslagen en gebruikt. Het contactadres onder System services > RED moet kloppen: bij het verwijderen van een interface wordt de code weergegeven en daarheen verzonden. Schakel Sophos Support in als de code ontbreekt en verwijder de werkende interface niet overhaast.

Bij automatische implementatie moet de RED minstens eenmaal starten in een netwerk met DHCP en internettoegang om de configuratie te downloaden. Een statische uplink vereist handmatige implementatie via USB-stick. Het pad moet TCP 3400, UDP 3410 en NTP 123 toestaan: configuratie en besturingskanaal gebruiken TCP 3400, waarna de Layer 2-datatunnel UDP 3410 gebruikt. Zonder WAN-adres via DHCP blijft het apparaat bij automatische implementatie herstarten.

Bij automatische provisioning slaat de provisioningservice het firewalladres, de WAN- en mobiele-netwerkparameters, de bedrijfsmodus en de Unlock Code op. De RED resolveert red.astaro.com en downloadt zijn configuratie van de provisioningservice. Een werkende RED raadpleegt deze dienst niet voortdurend; bij een niet-werkende configuratie zoekt hij daar naar bijgewerkte instructies. De bereikbaarheid van de provisioningservice en die van het eigenlijke firewalltunneleindpunt zijn daarom afzonderlijke controles. Open voor USB-provisioning onder Network > Interfaces het Menu van de juiste RED-interface, kies Download provisioning file en kopieer het actuele bestand naar de hoofdmap van de USB-stick. De gedetailleerde opstart- en tijdcontrole staat in de gekoppelde installatieprocedure.

We raden een eigen zone van het type LAN of DMZ aan in plaats van de algemene LAN-zone. Als een wijziging van RED IP de RED-interface naar een subnet verplaatst dat het bestaande RED DHCP range niet meer bevat, schakelt SFOS de RED-DHCP-server uit. Leg deze afhankelijkheid vast in het wijzigingsplan.

Pas na een wijziging van RED IP onder Network > DHCP de bestaande DHCP-server aan of maak een nieuwe server voor het nieuwe netwerk. Controleer niet alleen het dynamische bereik, maar ook Dynamic IP lease, Static IP MAC mapping, gateway, DNS en overige opties. Een clienttest met een vernieuwde lease moet de daadwerkelijk nieuwe waarden tonen voordat het filiaal weer wordt vrijgegeven voor gebruik.

Routing, firewallregels en NAT op de modus afstemmen

Maak onder Rules and policies > Firewall rules alleen regels tussen de RED-zone en de benodigde doelzones. Gebruik Any voor netwerken en services uitsluitend voor een tijdelijke functietest; beperk productieregels tot de werkelijk vereiste bronnen, doelen en services. In Standard/Unified vervangt een RED-to-LAN-regel geen RED-to-WAN-regel; het centrale internetpad vereist ook een passende SNAT-regel.

In Standard/Split maskeert de RED zelf lokaal internetverkeer met zijn publieke adres. Dit pad verschijnt niet op de centrale firewall en heeft daar geen WAN-SNAT-regel nodig. Centraal getunneld verkeer heeft wel correcte heen- en retourroutes en bijpassende regels nodig; bestaande NAT-regels mogen de bron- of doelnetwerken niet onbedoeld vertalen. Test in Manual/Split de statische routes op de bestaande filiaalgateway samen met het retourpad op de centrale locatie.

Gebruik aanvullende opties niet om de modus te corrigeren

MAC filtering type maakt onderscheid tussen Allow list en Block list; het maximale aantal MAC-adressen hangt af van het apparaatmodel. MAC-filters vervangen geen firewallregels en herstellen geen onjuiste routing. Onder PoE settings kunnen bij SD-RED 60 één of beide PoE-poorten worden ingeschakeld; PoE betreft de stroomvoorziening, niet de tunnelmodus.

Remote IP assignment onder Advanced settings wijst via DHCP of Static een adres toe aan de bridge met de RED-tunnel aan de WAN-zijde. Deze optie is alleen bedoeld voor situaties waarin apparaten achter de RED niet op ARP-verzoeken reageren. Documenteer vóór een wijziging de ARP-bevindingen en de vorige waarde, herhaal daarna exact dezelfde doeltest en herstel de vorige waarde als er geen verbetering is.

Tunnel compression en MTU veranderen evenmin de split-selectie. Compressie kan helpen bij geschikte gegevens en trage verbindingen; MTU duidt de maximale pakketgrootte in bytes aan. Neem zonder bevindingen geen algemene waarde over. De gecontroleerde voor-en-na-tests, retourpaden en de aanbeveling om 802.3az op rechtstreeks aangesloten switches uit te schakelen, staan in Sophos SD-RED instellen en problemen oplossen.

Modus wijzigen met behoud van een terugweg

Leg vóór de wijziging de volledige RED-configuratie, RED IP, zone, DHCP-bereik en opties, split-netwerken, statische routes, firewall- en NAT-regels, VLAN-interfaces, LAN-poortmodi en een onafhankelijk beheerpad vast. Bewaar ook de laatste werkende configuratie van router en betrokken switchpoorten. Wijzig één laag tegelijk: eerst modus en RED-netwerk, daarna DHCP, routing en regels, en pas als laatste VLAN of draadloos.

Voeg bij een mislukte acceptatietest geen extra wijzigingen toe. Zet RED operation mode, RED IP, zone, DHCP en split-netwerken terug naar de vastgelegde waarden, herstel de vorige routes en regels en vernieuw de lease van één testclient. De rollback is pas klaar als gateway, DNS, centraal doel, internetpad en Rule ID weer met de beginsituatie overeenkomen. Bij Manual/Split moet ook de oorspronkelijke bekabeling worden hersteld.

De praktische setup met provisioning, leds, regels, prestaties en probleemoplossing staat in Sophos SD-RED instellen en problemen oplossen. De bedrijfsmodus vereist bovendien acceptatie van het werkelijke pad:

1. Een client ontvangt het verwachte IP-adres, de DNS-servers en de juiste gateway.
2. Een gedefinieerd doelnetwerk op de centrale locatie is bereikbaar.
3. Log Viewer of Packet Capture toont de verwachte Firewall Rule ID en het RED-pad.
4. Een internettest toont de verwachte publieke uitgang, centraal of lokaal.
5. Eén toegestane en één geblokkeerde toepassing bevestigen waar de security policy werkelijk wordt toegepast.
6. VLAN’s en draadloze netwerken worden afzonderlijk getest, niet alleen met een algemene ping.
7. Een geplande tunnel- of uplinkstoring bevestigt het gedocumenteerde uitvalgedrag.

Als de tunnel groen is maar het pad onduidelijk blijft, helpt Packet Capture correct gebruiken op Sophos Firewall. Wijzig op productielocaties niet tegelijk de bedrijfsmodus, DHCP, VLAN’s en firewallregels. Anders is een fout nauwelijks nog aan één laag toe te wijzen.

Problemen per datapad oplossen

• De RED herstart voortdurend of bouwt geen tunnel op: controleer eerst WAN-DHCP, DNS en internettoegang op de vestiging, daarna TCP 3400, UDP 3410 en tijdsynchronisatie via NTP 123. Bij handmatige offline implementatie kan een verkeerde klok de TLS-handshake verhinderen.
• De tunnel is groen, maar er loopt geen verkeer: zoek in Log Viewer de verwachte Firewall Rule ID en controleer vervolgens routes en NAT-regels voor het exacte bron-/doelpaar. In Advanced Shell toont de door Sophos gedocumenteerde alleen-lezen capture tcpdump -ni any port 3410 of RED-verkeer het firewallendpoint bereikt. Dit bewijst niet dat een regel het verkeer toestaat of dat de payload het juiste pad volgt; voer daarna Packet Capture uit met een filter op client en doel.
• Alleen split-doelen mislukken: controleer of het volledige doelnetwerk in Split network staat. FQDN-hosts worden niet ondersteund. Test in Transparent/Split ook het lokale DNS- of split-DNS-pad afzonderlijk.
• Alleen VLAN-verkeer mislukt: controleer eerst de modus. SD-RED 60 vervoert VLAN’s door de RED-tunnel alleen in Standard/Unified. Vergelijk daarna VLAN ID, VLAN-interface op de RED-interface, LAN-poortmodus, switchtagging, DHCP en de VLAN-specifieke firewallregel.
• Er was een HA-failover: SFOS documenteert een herverbindingsvertraging die afhangt van het aantal interfaces en andere instellingen. Wacht tot de tunnel opnieuw is opgebouwd en herhaal de volledige padtest zonder tegelijk RED-instellingen te wijzigen.

Veelvoorkomende misverstanden

Split betekent niet automatisch internet tijdens een tunnelstoring

Standard/Split gebruikt lokale internetbreakout, maar clients blijven afhankelijk van het door de firewall geleverde RED-netwerk. Sophos documenteert daar eveneens verlies van internettoegang wanneer de tunnel uitvalt. Manual/Split is het afzonderlijke ontwerp voor een bestaande lokale gateway.

Transparent betekent geen willekeurige Layer 2-passthrough

Transparent/Split integreert de RED in een bestaand netwerk, maar vervoert via dit pad geen VLAN-getagde frames. Ook DHCP, DNS en draadloze opties moeten bewust worden gepland.

Een groene tunnel bewijst niet dat de bedrijfsmodus klopt

De tunnelstatus bevestigt de verbinding met de firewall. Alleen DHCP-, routerings-, internet-, regel- en uitvaltests tonen of de gekozen modus bij het beoogde ontwerp past.