QoS en Storm Control configureren op Sophos Switch

QoS bepaalt bij congestie welke wachtrij eerst wordt verzonden. Bandwidth control begrenst inkomend of uitgaand verkeer; Storm control verwerpt broadcast, unknown multicast en unknown unicast boven een drempel. Leg verkeer, markeringen en de schrijvende beheerinterface vast, rol wijzigingen stapsgewijs uit en test onder gecontroleerde belasting.

⚠️ Te lage waarden blokkeren legitiem verkeer, vooral op uplinks en poorten naar beheer, accesspoints, telefonie of servers. Noteer beginwaarden, start op een niet-kritieke testpoort en houd onafhankelijke beheertoegang beschikbaar.

Korte procedure:

1. Open My Products > Switches > Switches > [Switch] > QoS.
2. Stel in General settings status, Scheduling method en Trust mode in.
3. Configureer CoS mapping en DSCP mapping.
4. Stel onder Ports eerst CoS mapping, daarna Bandwidth control en Storm control in.
5. Voeg onder Policies alleen zo nodig een beleid toe en bind dit aan de juiste poorten/VLAN’s.
6. Controleer synchronisatie, Configuration source, markering, doorvoer en gedrag.

Welke functie lost welk probleem op?

QoS is pas zichtbaar wanneer wachtrijen om dezelfde uitgang concurreren. Storm Control beoordeelt de drie frameklassen afzonderlijk per poort.

Vereisten en wijzigingsplan

De switch moet geregistreerd, bereikbaar en gesynchroniseerd zijn. Elke via Fusion beheerde switch vereist Sophos Switch Support and Services; zonder geldig abonnement blijft lokaal beheer mogelijk maar kan Fusion niets wijzigen. Zie Sophos Switch in Sophos Fusion (voorheen Sophos Central) registreren. Het account moet mogen schrijven; lokaal schrijft Privilege type: Admin, terwijl Privilege type: User alleen leest. Lokale wijzigingen worden niet automatisch met Sophos Fusion gesynchroniseerd. Kies daarom vóór de wijziging één schrijvende beheerinterface en vermijd parallelle lokale wijzigingen.

Noteer switch/poort/VLAN/peer, snelheid, normale en piekbelasting, toepassingen, CoS/DSCP en beoogde wachtrijen, status/scheduler/trust/acht gewichten, alle poortwaarden en beleidsregels, Configuration source, testbaseline, onderhoudsvenster en herstelpad. CoS gebruikt het 3-bitsveld van IEEE 802.1p in de VLAN-tag (0–7), DSCP gebruikt 6 bits in de IP-header (0–63); ongetagd verkeer heeft geen 802.1p. Controleer tagging en PVID via Sophos Switch VLAN’s veilig configureren.

Not set is geen uitschakelaar

Not set laat de lokale waarde gelden voor Status, Scheduling method, CoS, Trust state, bandbreedte en Storm Control. Kies een expliciete waarde om centraal af te dwingen, controleer Configuration source en noteer eerst de lokale waarde.

End-to-end voorbeeld

Dit is een aanpasbaar testplan, geen Sophos-standaard. Poort 12 verbindt een beheerde router die spraak als DSCP 46 en overig verkeer als 0 normaliseert; uitgang is uplink 48. Metingen: normaal 72 Mbit/s, piek 84 Mbit/s, broadcastpiek 640 kbit/s op een 100-Mbit/s-pad. Noem de acht wachtrijen Q1–Q8, koppel 46 aan Q7 (“Voice”) en 0 aan Q1 (“Best Effort”). Gebruik als eerste WRR-test Q7=24, overige=8 (relatief 3:1, geen percentage of garantie). De gekozen 10 procent reserve boven 84.000 kbit/s geeft Ingress (kbps)=92400; de gekozen 25 procent reserve boven de broadcastpiek van 640 kbit/s geeft Broadcast (kbps)=800. Beide zijn al een veelvoud van 16. Stel deze waarden in; behoud overige beginwaarden en kopieer ze niet naar uplink 48 zonder eigen meting.

QoS globaal configureren

1. Status en Scheduling method kiezen

Kies Enabled; Disabled schakelt uit en Not set gebruikt lokaal. Strict priority bedient eerst de hoogste wachtrijen; lagere komen pas aan bod wanneer hogere leeg zijn. Kies dit alleen als de hoge belasting begrensd is en het risico voor de andere wachtrijen is getest. WRR verdeelt volgens Queue weight 0–128; Sophos documenteert het precieze effect van 0 niet. Geef elke benodigde wachtrij een gewicht groter dan 0; gebruik 0 alleen als het effect op het concrete model en de firmware afzonderlijk is bewezen. De gewichten zijn onderlinge verhoudingen, geen kbit/s of percentages. Test onder concurrentie en gebruik in het voorbeeld Q7=24, overige=8.

2. Trust mode instellen

DSCP gebruikt Layer 3, 802.1p de VLAN-CoS en 802.1p-DSCP vertaalt tussen beide. Gebruik 802.1p alleen in een gecontroleerd VLAN-getagd Layer 2-ontwerp en de vertaling alleen als die onderdeel van het gedocumenteerde end-to-endontwerp is. Een trustmodus corrigeert geen onjuiste of misbruikte markeringen. Vertrouw DSCP alleen uit een betrouwbare of aantoonbaar genormaliseerde bron.

⚠️ Trust state per poort geldt volgens Sophos alleen voor inkomende CoS/802.1p. Untrusted beschermt niet tegen DSCP van een endpoint. Dwing DSCP stroomopwaarts af of gebruik daar geen Trust mode: DSCP.

Het voorbeeld mag DSCP vertrouwen omdat IT de router beheert en captures 46 en 0 bevestigen. Sla op met Update.

CoS en DSCP aan wachtrijen koppelen

CoS mapping

Typische CoS-volgorde: 7 network control, 6 spraak/videosignalering, 5 spraakmedia, 4 videomedia, 3 kritieke toepassingen, 2 hoge data, 1 middelhoge data, 0 best effort. Dit is geen aanbeveling: leg de werkelijke markeringen vast, koppel alleen de waargenomen waarden aan de geplande wachtrij en kies Update. Het DSCP-voorbeeld gebruikt geen CoS-mapping; laat bestaande CoS-toewijzingen daarin ongewijzigd.

DSCP mapping

Typische bereiken zijn 56–63, 48–55, 40–47, 32–39, 24–31, 16–23, 8–15, 0–7 in dezelfde aflopende categorieën. Prioriteer alleen bewust gebruikte waarden. Koppel in het voorbeeld 46 aan Q7 en 0 aan Q1, kies Update en volg beide tot uplink 48.

Poorten configureren

1. CoS en Trust state instellen

Kies CoS 0–7, Trust state: Trusted alleen voor gecontroleerde markeringen, anders Trust state: Untrusted; Not set gebruikt lokaal. Controleer Configuration source. Dit betreft alleen CoS/802.1p.

2. Bandwidth control instellen

Egress (kbps) begrenst uitgaand, Ingress (kbps) inkomend. Geldig zijn veelvouden van 16 tussen 16 en 10.000.000; 0 schakelt die richting uit en Not set gebruikt de lokale waarde. Baseer limieten op metingen. De limiet moet boven normale belasting en legitieme pieken, maar onder de te beschermen capaciteit liggen. Voorbeeld: Ingress (kbps): 92400, egress behoudt de gedocumenteerde uitgangswaarde. Kies Update, controleer de bron en wijzig pas na een geslaagde test andere poorten.

3. Storm control instellen

Begrens afzonderlijk Broadcast (kbps), unknown Multicast (kbps) en unknown Unicast, alle in kbit/s met dezelfde bereiken; 0 schakelt een klasse uit en Not set gebruikt de lokale configuratie. De waarde is een gegevenssnelheid in kbit/s, geen pakketaantal. Meet per poort en klasse, kies een waarde boven legitieme pieken en rond af op een toegestaan veelvoud van 16. Begin op een edge-testpoort, sla op met Update en test DHCP, naamomzetting, discovery en multicast. Meet uplinks afzonderlijk en geef ze voldoende reserve. In het voorbeeld verandert alleen Broadcast (kbps) naar 800.

Alleen indien nodig een QoS-beleid toevoegen

Open Add policy en vul zo nodig Class name, Ports binding, MAC address, IP address, VLAN, Service (Ethertype/Service Type), Protocol of Custom IANA-nummer en Action in. Ethertype beschrijft het protocol in de payload van een Ethernet-frame; Service type gebruikt DSCP om verkeer te identificeren. Gebruik alleen criteria waaraan het goedgekeurde verkeer daadwerkelijk voldoet en controleer Action en de toegewezen waarde tegen het QoS-plan. Neem geen ongedocumenteerde actie uit een andere Sophos-interface over. Het voorbeeld heeft geen beleid nodig. Kies Save en controleer Ports binding, Binding source, matchcriteria, Action en Configuration source tegen het plan; bewerk via Class name, verwijder via Delete policy.

Effect valideren

1. Configuratie controleren

Controleer status, scheduler, acht gewichten, trust, mappings, alle poortlimieten/stormwaarden en bronnen; herlaad na synchronisatie.

2. Markering en wachtrijtoewijzing controleren

Leg CoS/DSCP op een geschikte meetplek vast en vergelijk met de mapping. Een ontbrekende markering aan de bron kan de mapping niet herstellen. Ga bij Untrusted-poorten niet uit van behoud van de door het endpoint ingestelde CoS-markering. Stuur ook vanaf een onbetrouwbaar testendpoint bewust een hoge DSCP-waarde. Vergelijk captures vóór en na de normalisatie en test onder gecontroleerde congestie of de ongeoorloofde waarde toch de hoge wachtrij bereikt; faalt de controle, rol Trust mode: DSCP niet uit.

3. QoS onder gecontroleerde belasting testen

Meet latency, jitter, verlies en doorvoer zonder en met best-effort-concurrentie op dezelfde uitgang. Controleer in captures dat DSCP 46 en 0 uplink 48 bereiken en dat de opgeslagen mapping deze aan Q7 en Q1 koppelt. De test onder werkelijke congestie moet aantonen dat telefonie met Q7=24 binnen de afgesproken grenzen blijft en alle benodigde wachtrijen met gewicht 8 worden bediend. Een ongewijzigde ping zonder congestie bewijst geen prioritering.

4. Limieten en Storm Control testen

Belast één richting tegelijk. Controleer eerst dat de poort Ingress (kbps): 92400 met de verwachte Configuration source toont; de gemeten nuttige doorvoer mag die grens niet overschrijden en kan door protocoloverhead en meetmethode lager uitvallen. Genereer nooit een ongecontroleerde productiestorm. Test geïsoleerd dat legitieme pieken werken en meer dan 800 wordt begrensd; controleer ARP, DHCP, DNS, discovery en multicast.

Beheer en levenscyclus

Controleer QoS tijdens de operationeel vastgelegde netwerkreview en na firmware-, topologie- of toepassingswijzigingen. Nieuwe telefoons, accesspoints, uplinks en VLAN’s kunnen markeringen, belasting en legitieme pieken veranderen. Documenteer mappings, weights, trust, meetbasis/reserve, beleidseigenaar en tests, uitzonderingen en Configuration source. Herhaal getroffen tests na upgrade/vervanging en verwijder verouderde uitzonderingen gecontroleerd.

Veelvoorkomende problemen

Spraak of video krijgt ondanks QoS geen voorrang

Controleer Enabled, capture, Trust mode, CoS-Trust state of DSCP-afdwinging, mapping, scheduler, alle gewichten en of dezelfde uitgang werkelijk volloopt.

Laaggeprioriteerd verkeer valt volledig weg

Zoek bij Strict priority een continu drukke hoge wachtrij; verhelp de oorzaak of wissel tijdens een onderhoudsvenster naar een gepland WRR-schema. Controleer bij WRR alle acht gewichten, vervang 0 voor een benodigde wachtrij als het vereiste model-/firmwarebewijs ontbreekt en herhaal de concurrentietest voor iedere benodigde wachtrij.

Doorvoer is onverwacht laag

Controleer omgewisselde Ingress (kbps)/Egress (kbps), kbit/s, veelvoud van 16 en lokale waarde achter Not set; herstel de beginwaarde en test beleid/mapping/scheduler.

DHCP, ARP of discovery valt na Storm Control soms uit

Herstel alleen de betreffende klasse, meet de legitieme piek en houd rekening met aggregatie op uplinks. Verhoog niet alle drie tegelijk.

Een beleid matcht niet of te veel verkeer

Controleer Ports binding, Binding source, richtingen, VLAN, Ethertype, DSCP Service Type, protocol, Custom IANA-nummer en Action met captures; versmal stapsgewijs.

Sophos Fusion toont waarden, maar gedrag wijkt af

Controleer synchronisatie, doelswitch, Configuration source, lokale waarden achter Not set en bij beleid Binding source.

Terugdraaien

Not set, 0 en Disabled zijn niet hetzelfde. Verwijder nieuw beleid met Delete policy of herstel het en Save; herstel daarna gewijzigde Ports > Storm control, Ports > Bandwidth control, poort-CoS/Trust state, mappings, Trust mode, Scheduling method, gewichten en Status. Kies Update, wacht op synchronisatie en herhaal beheer-, toepassing-, spraak/video-, DHCP-, DNS- en multicasttests. Gebruik bij beheeruitval de onafhankelijke toegang en draai eerst de laatst gewijzigde poortwaarde terug; verifieer ten slotte alle bronnen en de gecontroleerde belastingstest.