De juiste Sophos RED-bedrijfsmodus kiezen

De bedrijfsmodus van een Sophos SD-RED is geen kleine detailoptie. Hij bepaalt wie op de externe locatie DHCP en de gateway levert, welk verkeer door de RED-tunnel loopt, of internettoegang centraal wordt gecontroleerd en wat blijft werken wanneer de tunnel uitvalt. Een Site-to-Site RED-tunnel tussen twee Sophos Firewalls is een ander ontwerp en gebruikt deze vier bedrijfsmodi niet.

Voor nieuwe, centraal beheerde vestigingen is Standard/Unified meestal het duidelijkste uitgangspunt. Standard/Split bespaart tunnelbandbreedte, maar plaatst lokaal internetverkeer buiten de centrale controle. Transparent/Split integreert de RED in een bestaand netwerk. Manual/Split is een speciaal bekabelings- en routeringsontwerp voor lokale internetautonomie en geen gewone snelle modus.

Kies de bedrijfsmodus voordat DHCP, VLAN’s, firewallregels en de uitrol worden geconfigureerd. Een latere wijziging verandert het datapad en vereist een onderhoudsvenster met gecontroleerde functietests.

Deze handleiding geldt voor SFOS 22.0 en de door deze versie ondersteunde SD-RED 20 en SD-RED 60. RED 15/15w en RED 50 maken vanaf SFOS 20.0 MR1 geen verbinding meer. Verouderde Firewall RED-interfaces tussen UTM en SFOS moeten vóór een upgrade naar SFOS 22.0 worden vervangen en verwijderd; anders worden upgrade, herstel en import geblokkeerd. Vanaf SFOS 21.0 MR2 en 21.5 MR1 krijgen RED-systeemhosts automatisch een /32-masker. Open onder Hosts and services > IP host voor elke RED-systeemhost Usage en vervang de host in afhankelijke regels en routes door de juiste IP-host of netwerkhost als daar voorheen het volledige interfacesubnet werd bedoeld. Neem deze migratiecontroles daarom vóór een hardware- of firewallmigratie op in het wijzigingsplan.

De vier RED-bedrijfsmodi in één oogopslag

Deze samenvatting helpt bij de eerste keuze, maar vervangt de beoordeling van uitvalgedrag, VLAN’s en security niet. Split betekent met name niet automatisch fail-open en Transparent betekent niet automatisch dat VLAN-tags worden doorgegeven.

Standard/Unified: Alles via de centrale locatie

In Standard/Unified levert Sophos Firewall via de RED-interface DHCP en de standaardgateway. De SD-RED stuurt al het verkeer door de versleutelde tunnel, inclusief het internetverkeer van de vestiging.

Dit biedt de meeste centrale controle. Firewallregels, Web Policies, IPS, Application Control, rapportage en centrale internettoegang kunnen consistent op de hoofdlocatie worden toegepast. Tegelijk worden de tunnel en de centrale WAN-verbinding zwaarder belast, omdat ook gewoon internetverkeer van de vestiging het locatiepad tweemaal aflegt.

Als de RED-tunnel uitvalt, verliezen clients niet alleen toegang tot interne netwerken. Omdat hun gateway via de tunnel op Sophos Firewall staat, valt normaal ook internettoegang weg. Standard/Unified past daarom wanneer centrale security belangrijker is dan lokaal internet tijdens een tunnelstoring.

Wanneer Standard/Unified past

• Al het locatieverkeer moet centraal worden gecontroleerd en gelogd.
• DHCP, DNS-forwarding, regels en internettoegang moeten op Sophos Firewall samenkomen.
• De centrale WAN-capaciteit is voldoende voor het extra internetverkeer van de vestiging.
• Een tunnelstoring mag de locatie gecontroleerd offline zetten, of er bestaat een geteste tweede RED-uplink.
• VLAN’s moeten via een SD-RED 60 worden vervoerd.

Standard/Split: Centrale netwerken door de tunnel

Bij Standard/Split blijft Sophos Firewall de DHCP-server en standaardgateway voor het door de RED geleverde netwerk. Alleen de onder Split networks ingevoerde doelnetwerken lopen door de tunnel. Andere doelen, doorgaans internet, verlaten de locatie via de lokale WAN-verbinding van de RED.

Dit ontlast de tunnel en de centrale internetverbinding. Daar staat een duidelijke securitygrens tegenover: Sophos maskeert het lokale internetverkeer op de RED, maar de centrale firewall kan dit niet met zijn firewall-, web- of IPS-regels controleren. Vanuit de centrale locatie is dit datapad geen normaal doorgestuurd internetverkeer.

Voor Split networks worden IP-netwerken gebruikt. FQDN-hostobjecten worden hier niet ondersteund. Ook reeds met VLAN getagde frames horen niet bij het datapad van Standard/Split. Alleen het DHCP-netwerk dat de RED rechtstreeks levert, krijgt via deze modus lokale internettoegang.

Standard/Split is evenmin een algemeen fail-open-ontwerp. Als de tunnel uitvalt, verliezen clients in het door de firewall geleverde netwerk volgens de Sophos-documentatie zowel de centrale doelen als internettoegang. Wie lokaal internet onafhankelijk van de tunnel nodig heeft, moet een ander ontwerp plannen en testen.

Wanneer Standard/Split past

• De vestiging heeft slechts enkele duidelijk gedefinieerde netwerken op de centrale locatie nodig.
• Lokale internetbreakout is gewenst en mag buiten de centrale Sophos-policies vallen.
• Sophos Firewall kan het externe netwerk via DHCP beheren.
• VLAN-tagging door de RED-tunnel is niet nodig.
• Het uitvalpad is getest en wordt niet verward met Manual/Split.

Transparent/Split: RED in het bestaande netwerk

Transparent/Split past bij externe locaties waar router, DHCP, DNS en standaardgateway al bestaan en moeten blijven. De RED werkt transparant in het bestaande Layer 2-netwerk. Alleen de geconfigureerde split-netwerken of split-domeinen worden via de tunnel naar de centrale locatie geleid.

Deze modus voorkomt een gatewaywijziging voor clients. Probleemoplossing wordt wel lastiger: DHCP, DNS en het normale internetpad blijven onderdeel van het lokale netwerk, terwijl geselecteerde doelen via de RED worden omgeleid. De test moet daarom afzonderlijk aantonen welk pad lokaal blijft en welk pad werkelijk de tunnel ingaat.

Transparent/Split vervoert geen VLAN-getagde frames. Een 3G/4G-failoveruplink is in deze modus evenmin beschikbaar. Voor een draadloze module moet de externe DHCP-server DHCP-optie 234 met het IP-adres van de RED-interface op de firewalllocatie aan het access point doorgeven; dit is niet het AP-adres, een adres van de vestiging of het publieke firewalladres.

Wanneer Transparent/Split past

• De bestaande router moet DHCP, DNS en de standaardgateway blijven leveren.
• Alleen geselecteerde centrale netwerken of domeinen moeten via de RED bereikbaar zijn.
• De RED kan correct inline in het bestaande netwerk worden opgenomen.
• De locatie heeft geen VLAN-tags nodig via dit RED-datapad.
• Lokaal en getunneld verkeer kunnen afzonderlijk met Packet Capture en echte doeltests worden gecontroleerd.

Manual/Split: Lokale gateway met statische routes

Bij een SD-RED beschrijft Manual/Split vooral een bewust handmatig opgebouwd netwerkontwerp. De WAN- en LAN-zijde van de RED worden zo in de bestaande infrastructuur opgenomen dat de bestaande router de standaardgateway blijft. Deze router krijgt statische routes via de RED naar de centrale netwerken.

Het voordeel is lokale autonomie: gewone internettoegang kan blijven werken wanneer de RED-tunnel of de RED zelf uitvalt. Daar staat extra planning tegenover. Retourpaden, statische routes, ARP-gedrag en fysieke bekabeling moeten exact kloppen. Een onjuiste next hop kan centraal verkeer buiten de tunnel leiden of bij een storing in een doodlopend pad sturen.

Sophos beschrijft hiervoor een handmatige fysieke implementatie en een RED-configuratie op basis van het Standard/Unified-schema, terwijl de bestaande gateway en statische routes de split bepalen. De naam mag daarom niet als een onafhankelijke, vanzelfsprekende schakelaar worden behandeld.

Manual/Split hoort alleen thuis in een gedocumenteerd ontwerp met:

• een alternatieve lokale gateway
• statische routes voor elk centraal doelnetwerk
• een gecontroleerd retourpad vanaf de centrale locatie
• onafhankelijke beheertoegang
• tests met een actieve tunnel, losgekoppelde tunnel en uitgeschakelde RED

Layer 2- en uitbreidingsopties

Meerdere RED’s als gedeeld bridgenetwerk gebruiken

Een Bridged RED setup is geen vijfde bedrijfsmodus. Hierbij worden op Sophos Firewall minstens twee bestaande RED-interfaces in een bridge samengevoegd. De externe RED-netwerken gedragen zich vervolgens als één gedeeld LAN, terwijl firewallregels het verkeer tussen de RED-locaties nog steeds kunnen beperken.

De bridge wordt aangemaakt onder Network > Interfaces > Add interface > Add bridge. Geef een duidelijke naam en de bridge-interface op en selecteer daarna de benodigde RED-interfaces met hun zones als Member interfaces. Het adresplan, de DHCP-verantwoordelijkheid en alle bridgeleden moeten vooraf op elkaar zijn afgestemd; meerdere ongecoördineerde DHCP-servers of dubbele IP-adressen zouden dan in hetzelfde Layer 2-netwerk actief zijn.

We raden dit ontwerp alleen aan wanneer meerdere filialen werkelijk hetzelfde broadcastdomein nodig hebben. Voor normaal gescheiden locaties zijn gerouteerde RED-netwerken eenvoudiger te isoleren, te bewaken en onafhankelijk te wijzigen. Controleer na het opslaan DHCP, ARP, verkeer tussen locaties, de verantwoordelijke firewallregel en bewust geblokkeerd verkeer. Een groene RED-tunnel bevestigt de afzonderlijke tunnels, maar niet de bridge of de regels daarvan.

Een tweede uplink en een tweede firewall zijn geen bedrijfsmodi

De RED-configuratie kan daarnaast een tweede firewallendpoint en, afhankelijk van model en modus, een tweede uplink bevatten. Deze opties vullen het gekozen datapad aan; ze vervangen het niet.

Een tweede firewallendpoint kan worden gebruikt voor failover of load balancing. Een tweede uplink kan de tunnelopbouw beveiligen. Als beide uplinks op Static staan, moeten de IP-adressen van hun DNS-servers verschillen; verschillende DNS-aanbieders zijn niet vereist. De RED controleert voor DNS-resolutie de routevermelding van de eerste uplink. Als die gateway niet reageert, beschouwt de RED het DNS-server-IP als onbereikbaar en probeert hetzelfde IP-adres niet opnieuw via de tweede uplink.

De tests moeten gescheiden blijven:

1. De gekozen RED-modus moet eerst correct werken via de primaire uplink.
2. Daarna wordt een gecontroleerde uplinkfailover getest.
3. Vervolgens worden RED-status, DHCP, centrale doelen en het internetpad opnieuw gecontroleerd.
4. In HA-omgevingen volgt een afzonderlijke firewallfailovertest; de RED-tunnel heeft na de rolwissel tijd nodig om opnieuw op te bouwen.

Alleen een groene tunnelstatus bewijst noch het juiste internetpad, noch werkende security policies.

VLAN’s en LAN-poortmodi bij SD-RED 60

De SD-RED 60 kan VLAN’s door de tunnel vervoeren, maar alleen in Standard/Unified. Daarnaast wordt per LAN-poort bepaald hoe de RED met getagde en ongetagde frames omgaat.

• Tagged: Alleen de geconfigureerde VLAN’s worden getagd doorgestuurd. Niet-geconfigureerde VLAN’s en ongetagde frames worden verworpen. Per poort kunnen maximaal 64 VLAN ID’s worden ingevoerd.
• Untagged, drop tagged: Ongetagde frames worden aan het geconfigureerde VLAN toegewezen; reeds getagde frames worden verworpen. Dit komt overeen met een gecontroleerde access-poort.
• Disabled: De LAN-poort verwerpt het verkeer.
• Untagged: Ongetagde frames krijgen de geconfigureerde VLAN-ID; reeds getagde frames worden ongewijzigd doorgestuurd. Per poort is slechts één VLAN-configuratie mogelijk. Dit is een hybride poort en geen vrij configureerbare trunk; toegestane VLAN’s moeten nog steeds op de aangesloten switch en op de firewall worden gecontroleerd.

Sophos Firewall heeft voor elk gebruikt VLAN een passende VLAN-interface op de RED-interface nodig. VLAN ID, IP-netwerk, DHCP, RED-poortmodus en switchconfiguratie moeten exact overeenkomen. De volledige procedure staat in Een VLAN op Sophos Firewall configureren en testen.

Draadloos gedrag afzonderlijk plannen

Voordat een draadloze module wordt ingesteld, moet er een RED-interface met een IP-adres bestaan en moet DNS-resolutie op precies die interface werken. Een optionele draadloze module van de SD-RED 20 of 60 kan drie verschillende datapaden gebruiken:

• Separate zone: Draadloos verkeer bereikt de firewall via VXLAN, onafhankelijk van de RED-modus. Sophos Firewall moet verkeer uit de afzonderlijke zone expliciet toestaan voor de RED-interface; dit betekent geen algemene WAN-toestemming.
• Bridge to AP LAN: Het draadloze netwerk wordt met het lokale LAN van het access point gebridged.
• Bridge to VLAN: Het draadloze netwerk wordt aan een VLAN toegewezen; het exacte gedrag hangt af van de RED-modus en VLAN-configuratie.

In Standard/Unified en Standard/Split moet een correct geconfigureerde DHCP-server op de RED-interface actief zijn. In het gedocumenteerde draadloze scenario met Transparent/Split levert het externe netwerk DHCP en DNS, en moet de RED-interface zijn IP-adres van de externe DHCP-server krijgen. Die server moet optie 234 leveren met het IP-adres van de RED-interface op de firewalllocatie. Zonder deze optie is 1.2.3.4 de gedocumenteerde terugvalwaarde: een diagnostische aanwijzing voor de ontbrekende optie, geen adres om in productie te configureren. Draadloze instellingen, LAN-poortmodus en RED-modus moeten daarom als één ontwerp worden getest en niet als drie onafhankelijke dropdowns.

Bridge to VLAN maakt van een split-modus geen algemeen VLAN-transport. In Standard/Split bereiken draadloze clients lokale hosts met dezelfde tag en, indien aanwezig op de RED-interface, de VLAN-interface op het tunnelendpoint. De geconfigureerde split-netwerken zijn niet bereikbaar, omdat de RED die alleen voor ongetagde pakketten routeert. In Transparent/Split loopt hetzelfde VLAN lokaal over LAN-poorten 1–4 en de WAN-poort; split-netwerken blijven ook via dit draadloze datapad onbereikbaar.

De bedrijfsmodus configureren en veilig testen

Voorwaarden en exacte velden

Schakel eerst de RED-service in onder System services > RED. Maak of wijzig daarna de appliance onder Network > Interfaces > Add interface > Add RED. De belangrijkste velden zijn RED ID, Unlock code, Firewall IP/hostname, Device deployment, Uplink connection, RED operation mode, RED IP, Zone, Configure DHCP, RED DHCP range en bij split-modi Split network.

Bij automatische implementatie moet de RED minstens eenmaal starten in een netwerk met DHCP en internettoegang om de configuratie te downloaden. Een statische uplink vereist handmatige implementatie via USB-stick. Het pad moet TCP 3400, UDP 3410 en NTP 123 toestaan: configuratie en besturingskanaal gebruiken TCP 3400, waarna de Layer 2-datatunnel UDP 3410 gebruikt. Zonder WAN-adres via DHCP blijft het apparaat bij automatische implementatie herstarten.

We raden een eigen zone van het type LAN of DMZ aan in plaats van de algemene LAN-zone. Als een wijziging van RED IP de RED-interface naar een subnet verplaatst dat het bestaande RED DHCP range niet meer bevat, schakelt SFOS de RED-DHCP-server uit. Leg deze afhankelijkheid vast in het wijzigingsplan.

Routing, firewallregels en NAT op de modus afstemmen

Maak onder Rules and policies > Firewall rules alleen regels tussen de RED-zone en de benodigde doelzones. Gebruik Any voor netwerken en services uitsluitend voor een tijdelijke functietest; beperk productieregels tot de werkelijk vereiste bronnen, doelen en services. In Standard/Unified vervangt een RED-to-LAN-regel geen RED-to-WAN-regel; het centrale internetpad vereist ook een passende SNAT-regel.

In Standard/Split maskeert de RED zelf lokaal internetverkeer met zijn publieke adres. Dit pad verschijnt niet op de centrale firewall en heeft daar geen WAN-SNAT-regel nodig. Centraal getunneld verkeer heeft wel correcte heen- en retourroutes en bijpassende regels nodig; bestaande NAT-regels mogen de bron- of doelnetwerken niet onbedoeld vertalen. Test in Manual/Split de statische routes op de bestaande filiaalgateway samen met het retourpad op de centrale locatie.

Modus wijzigen met behoud van een terugweg

Leg vóór de wijziging de volledige RED-configuratie, RED IP, zone, DHCP-bereik en opties, split-netwerken, statische routes, firewall- en NAT-regels, VLAN-interfaces, LAN-poortmodi en een onafhankelijk beheerpad vast. Bewaar ook de laatste werkende configuratie van router en betrokken switchpoorten. Wijzig één laag tegelijk: eerst modus en RED-netwerk, daarna DHCP, routing en regels, en pas als laatste VLAN of draadloos.

Voeg bij een mislukte acceptatietest geen extra wijzigingen toe. Zet RED operation mode, RED IP, zone, DHCP en split-netwerken terug naar de vastgelegde waarden, herstel de vorige routes en regels en vernieuw de lease van één testclient. De rollback is pas klaar als gateway, DNS, centraal doel, internetpad en Rule ID weer met de beginsituatie overeenkomen. Bij Manual/Split moet ook de oorspronkelijke bekabeling worden hersteld.

De praktische setup met provisioning, leds, regels, prestaties en probleemoplossing staat in Sophos SD-RED instellen en problemen oplossen. De bedrijfsmodus vereist bovendien acceptatie van het werkelijke pad:

1. Een client ontvangt het verwachte IP-adres, de DNS-servers en de juiste gateway.
2. Een gedefinieerd doelnetwerk op de centrale locatie is bereikbaar.
3. Log Viewer of Packet Capture toont de verwachte Firewall Rule ID en het RED-pad.
4. Een internettest toont de verwachte publieke uitgang, centraal of lokaal.
5. Eén toegestane en één geblokkeerde toepassing bevestigen waar de security policy werkelijk wordt toegepast.
6. VLAN’s en draadloze netwerken worden afzonderlijk getest, niet alleen met een algemene ping.
7. Een geplande tunnel- of uplinkstoring bevestigt het gedocumenteerde uitvalgedrag.

Als de tunnel groen is maar het pad onduidelijk blijft, helpt Packet Capture correct gebruiken op Sophos Firewall. Wijzig op productielocaties niet tegelijk de bedrijfsmodus, DHCP, VLAN’s en firewallregels. Anders is een fout nauwelijks nog aan één laag toe te wijzen.

Problemen per datapad oplossen

• De RED herstart voortdurend of bouwt geen tunnel op: controleer eerst WAN-DHCP, DNS en internettoegang op de vestiging, daarna TCP 3400, UDP 3410 en tijdsynchronisatie via NTP 123. Bij handmatige offline implementatie kan een verkeerde klok de TLS-handshake verhinderen.
• De tunnel is groen, maar er loopt geen verkeer: zoek in Log Viewer de verwachte Firewall Rule ID en controleer vervolgens routes en NAT-regels voor het exacte bron-/doelpaar. In Advanced Shell toont de door Sophos gedocumenteerde alleen-lezen capture tcpdump -ni any port 3410 of RED-verkeer het firewallendpoint bereikt. Dit bewijst niet dat een regel het verkeer toestaat of dat de payload het juiste pad volgt; voer daarna Packet Capture uit met een filter op client en doel.
• Alleen split-doelen mislukken: controleer of het volledige doelnetwerk in Split network staat. FQDN-hosts worden niet ondersteund. Test in Transparent/Split ook het lokale DNS- of split-DNS-pad afzonderlijk.
• Alleen VLAN-verkeer mislukt: controleer eerst de modus. SD-RED 60 vervoert VLAN’s door de RED-tunnel alleen in Standard/Unified. Vergelijk daarna VLAN ID, VLAN-interface op de RED-interface, LAN-poortmodus, switchtagging, DHCP en de VLAN-specifieke firewallregel.
• Er was een HA-failover: SFOS documenteert een herverbindingsvertraging die afhangt van het aantal interfaces en andere instellingen. Wacht tot de tunnel opnieuw is opgebouwd en herhaal de volledige padtest zonder tegelijk RED-instellingen te wijzigen.

Veelvoorkomende misverstanden

Split betekent niet automatisch internet tijdens een tunnelstoring

Standard/Split gebruikt lokale internetbreakout, maar clients blijven afhankelijk van het door de firewall geleverde RED-netwerk. Sophos documenteert daar eveneens verlies van internettoegang wanneer de tunnel uitvalt. Manual/Split is het afzonderlijke ontwerp voor een bestaande lokale gateway.

Transparent betekent geen willekeurige Layer 2-passthrough

Transparent/Split integreert de RED in een bestaand netwerk, maar vervoert via dit pad geen VLAN-getagde frames. Ook DHCP, DNS en draadloze opties moeten bewust worden gepland.

Een groene tunnel bewijst niet dat de bedrijfsmodus klopt

De tunnelstatus bevestigt de verbinding met de firewall. Alleen DHCP-, routerings-, internet-, regel- en uitvaltests tonen of de gekozen modus bij het beoogde ontwerp past.