Sophos Switch plannen als accesslaag voor XGS HA

Sophos-switches kunnen de accesslaag vóór een Sophos Firewall-HA-paar vormen. Het veilige uitgangspunt is eenvoudig: de Dedicated HA Link verbindt de twee XGS-firewalls rechtstreeks en blijft gescheiden van alle productieswitchpaden. LAN, DMZ en eventueel WAN worden over twee switches verdeeld, zodat een defect aan één switch niet beide firewallnodes tegelijk van hetzelfde netwerk loskoppelt.

Dit runbook behandelt de kant van de schakelaar en de bekabeling. De daadwerkelijke keuze tussen Active-Passive en Active-Active, evenals de volledige firewallconfiguratie, legt Sophos Firewall High Availability instellen uit.

Belangrijk: Twee firewalls alleen elimineren niet een gemeenschappelijke switch, een gemeenschappelijke voeding of een gemeenschappelijk providerpad als oorzaak van een storing. Een HA-status Active-Passive of Active-Active bevestigt alleen het firewallcluster, niet de redundantie van de gehele toegangslaag.

Doelarchitectuur en veiligheidsgrenzen

Een robuust ontwerp scheidt drie soorten verkeer:

1. Dedicated HA Link: directe fysieke verbinding tussen Primary en Auxiliary. Heartbeat en de synchronisatie van configuratie, status en sessies lopen hier bovenop. In Active-Active wordt de link ook gebruikt voor de interne HA-verkeersverdeling tussen Primary en Auxiliary. Het is echter geen gewone LAN-, DMZ- of WAN-interface en is niet geïntegreerd in een van deze productienetwerken.
2. Productiepaden: Verbindingen van elk firewallknooppunt naar LAN, DMZ en WAN. Beide knooppunten moeten na een rolwisseling dezelfde productienetwerken kunnen bereiken.
3. Beheerpaden: Toegang tot firewalls en switches voor acceptatie, probleemoplossing en terugdraaiing. Ten minste één onafhankelijke toegang mag niet afhankelijk zijn van de exacte link die momenteel wordt gewijzigd of getest.

De door Sophos gedocumenteerde referentie gebruikt twee CS210-48FP voor LAN en DMZ. Elk firewallknooppunt is verbonden met een van de twee switches; Een directe poort transporteert de LAN en DMZ-VLANs Tagged tussen de switches. Een aparte CS110-24FP voert de WAN-kant van beide firewalls uit en de internetverbinding in een Untagged VLAN. Ook de Dedicated HA Link van de firewalls is in dit voorbeeld direct aangesloten.

Dit voorbeeld is geen algemeen poortplan. De poortnummers en VLAN-ID’s zijn alleen bedoeld om de rollen te begrijpen:

De eigen VLAN ID’s, poorten en interfacenamen zijn afkomstig uit het bestaande netwerkplan. Je kopieert de referentiewaarden niet naar een productief netwerk waarin ze al een andere betekenis hebben.

Wat het referentieontwerp niet automatisch overbodig maakt

De enkele referentie-WAN-switch blijft een veel voorkomende storingszone. Als dit mislukt, verliezen beide firewallknooppunten dit WAN-pad. Als de WAN-schakellaag ook een storing van een enkel apparaat moet overleven, heeft deze een afzonderlijk getest ontwerp met dubbele schakelaar en provider nodig; XGS HA creëert deze redundantie niet zelf.

Zelfs twee naast elkaar gemonteerde schakelaars zijn geen afzonderlijke storingszones. Om een betrouwbare scheiding te garanderen, controleert u in ieder geval:

• aparte voeding of aparte gezekerde stroompaden;
• aparte switchhardware en waar mogelijk aparte rack- of patchpaden;
• één firewallknooppunt per switch in plaats van beide knooppunten op dezelfde toegangsswitch;
• Aparte kabelroutes zonder gedeeld patch- of transceiverrisico;
• Toegankelijkheid van de productienetwerken via elke switch afzonderlijk;
• Monitoring voor beide switches en beide firewallpaden;
• gedocumenteerde verantwoordelijkheid voor switch-, firewall- en providerfouten.

Deze opdracht wordt niet alleen vastgelegd in het netwerkplan, maar wordt ook als onderdeel van de doelmatrix voortgezet tot en met het testen en de terugdraaiing. Hierdoor blijft zichtbaar welke stroom-, rack-, patch-, switch- en providerafhankelijkheden een specifiek pad daadwerkelijk heeft.

VLAN, LAG en STP ontwerpen samen

De Layer 2-topologie is volledig gedefinieerd vóór de bekabeling. Voor elk netwerk omvat het plan de VLAN ID, Tagged/Untagged rol, PVID, betrokken firewallpoorten, switchpoorten en het verwachte pad na een storing. De implementatie van Tagged, Untagged en PVID bevindt zich in Sophos Switch VLANs veilig configureren.

Houd VLAN’s consistent op beide switches

In de Sophos-referentieconfiguratie zijn de firewall- en netwerkpoorten voor LAN en DMZ lid van hun respectievelijke VLAN’s. De interlink tussen de twee CS210-switches bevat VLAN 100 en 200 Tagged. De PVID van de Untagged-poorten komt overeen met de respectievelijke VLAN; Sophos stelt Ingress filtering: On en Accept type: All in in het voorbeeld.

Voor uw eigen ontwerp gelden de volgende testregels:

• Een VLAN moet aan elk betrokken linkuiteinde hetzelfde VLAN-ID hebben.
• Op de interlink zijn alleen de VLAN’s Tagged toegestaan die daadwerkelijk beide switches moeten bereiken.
• Untagged VLAN en PVID van een toegangspoort moeten overeenkomen.
• De Dedicated HA Link maakt geen deel uit van deze productie-VLAN’s.
• Beheer VLAN en de retourroute blijven tijdens de omschakeling toegankelijk.
• Ingress-filtering wordt pas aangescherpt nadat het VLAN-lidmaatschap en PVID zijn bewezen.

De referentie is poortgebaseerd en Untagged op de firewallinterfaces. Als uw eigen firewall in plaats daarvan VLAN-subinterfaces of trunks gebruikt, mag u de Untagged/PVID-waarden uit het voorbeeld niet overnemen. Dan moet het Tagged-pad op de firewall, switch en interlink consistent overeenkomen met uw eigen interface-ontwerp.

Verwar LAG niet met chassisredundantie

Een LAG bundelt verschillende links naar een logisch extern station. Afhankelijk van de verkeersverdeling vergroot het de capaciteit en kan het het uitvallen van een lid opvangen. Maar het bewijst niet dat een volledige omschakeling kan mislukken.

De twee gedeelde Sophos-bronnen documenteren geen LAG met meerdere chassis over twee onafhankelijke Sophos-switches voor dit XGS-HA-voorbeeld. Daarom wordt een firewall LAG niet eenvoudigweg gedistribueerd naar Switch A en Switch B met elk één lid. Een dergelijke structuur is alleen toegestaan als de gehele switchoplossing expliciet als ondersteunde logische LAG tegenhanger van de firewall werkt en het specifieke ontwerp afzonderlijk wordt gedocumenteerd en getest.

Zonder dit bewijs vormen afzonderlijke firewall-interfaces met afzonderlijke switches de veilige planningslimiet. LACP, statische LAG’s, activering en buitengebruikstelling van leden inbegrepen Configureer Sophos Switch Ports, LAG en Spanning Tree veilig.

Plan STP vóór een redundant Layer 2-pad

Zodra er meer dan één Layer 2-pad tussen twee switches of via de downstream LAN/DMZ-infrastructuur kan worden gecreëerd, moet de lusvrije topologie tot stand worden gebracht voordat de extra kabel wordt aangesloten. RSTP is geschikt voor een eenvoudige gedeelde topologie; MSTP alleen voor opzettelijk consistent regio- en exemplaarontwerp.

Vóór de wijziging zijn de gewenste Root Bridge- en bridge-prioriteiten, forwarding of verwachte blokkerende poorten en het gedrag bij uitval en herstel van de interlink opgenomen in de doelmatrix. Bij MSTP is ook de VLAN-toewijzing aan de betreffende instantie inbegrepen. Edge-poorten zijn gereserveerd voor echte eindapparaten, niet voor firewall-, switch- of onbekende bridge-verbindingen. In geval van misconvergentie wordt een onafhankelijke managementbenadering vastgesteld.

Loopback Detection kan een aanvulling zijn, maar vervangt STP niet. Een blokkerende STP-poort is niet automatisch een fout in een gepland redundant pad.

Bereid je voor op verandering

Vóór de eerste wijziging wordt er een doelmatrix gemaakt voor zowel firewallknooppunten als beide switches. Het is het bindende werkdocument voor opbouw, testen, acceptatie en demontage. Het volgende compacte voorbeeld toont de structuur. XGS-A, SW-A, poortnummers en VLAN’s zijn realistische voorbeeldwaarden, geen productspecificaties; Afwijkende waarden worden uit uw eigen netwerk en patchplan gehaald. Informatie tussen vierkante haken moet nog worden ingevuld en moet vóór publicatie worden vervangen door specifieke omgevingswaarden.

Doelmatrix CHG-[getal] — voorbeeldstatus vóór de wijziging
HA: Active-Passive | XGS-A = Primary/Active | XGS-B = Auxiliary/Passive | synchroon
Dedicated HA: XGS-A poort7 <-> XGS-B poort7 | direct | maakt geen deel uit van de faaltest
Beheer-/retourroute: [apart beheerderspad] | Verantwoordelijk: [naam]
STP: RSTP | Root: SW-A [Prioriteit] | Secundair: SW-B [Prioriteit]
Back-ups/vorige status: [Switch/Firewall-opslag] | Patchschema: [versie] | Goedkeuring terugdraaiing: [Naam]

P1 LAN: XGS-A Poort1 <-> SW-A 1/0/47 | VLAN 100 Untagged/PVID 100
nee LAG | RSTP Forwarding, niet Edge | Monitored Port: ja | Huidig pad A
P2 LAN: XGS-B Poort1 <-> SW-B 1/0/47 | VLAN 100 Untagged/PVID 100
nee LAG | RSTP Forwarding, niet Edge | Monitored Port: ja | Huidig pad B
P3-interlink: SW-A 1/0/52 <-> SW-B 1/0/52 | VLAN 100,200 Tagged
PVID [volgens lokaal native VLAN-concept] | nee LAG | RSTP Forwarding
[Voltooi de paden DMZ, WAN en LAG in hetzelfde patroon; voor LAG logisch extern station
en noem alle leden. Markeer expliciet gedeelde WAN/provider-foutzones.]

Failover van T1 bewaakte poort: Vereiste XGS-A Primary/Active, XGS-B Auxiliary/Passive,
beide synchroon; exact gescheiden XGS-A Port1/P1.
Verwachting/pad: XGS-A verwerkt niet langer verkeer; XGS-B wordt Active;
LAN-verkeer passeert P2 en SW-B.
Validatie: status van beide knooppunten, synchronisatie na terugkeer, switchpoorten/VLAN-pad,
Gateway + [interne bestemming] + [extern pad] + [kritieke applicatie], tijdstempel.
Afbreken: beide knooppunten Active, verlies van beheer of verkeersstoring > [goedgekeurde duur].
Terugweg: sluit P1 opnieuw aan, wacht op synchronisatie, controleer het datapad opnieuw;
Pas daarna de voorkeursrollen gecontroleerd terug, geen ongecontroleerde failback.
Fout T2-schakelaar: [Isoleer SW-A] | Verwachting/pad: Service via XGS-B/SW-B en P2
Validatie: [dezelfde technische tests] | Beëindiging: [criterium]
Terugweg: maak SW-A/links afzonderlijk, wacht tot STP stabiel is en HA synchroon is.

P-regels worden gekopieerd voor andere netwerken, en voor elk goedgekeurde foutgeval wordt een afzonderlijke T-regel gekopieerd. Dit betekent dat het fysieke externe station, de zone, VLAN/PVID, Tagged/Untagged rol, LAG en STP status, Monitored Port, HA rol en huidige status niet in aparte checklists staan. Verwacht faalpad, technische validatie, afbreek- en retourpad blijven direct gekoppeld aan de geteste interface.

Vóór de onderhoudsperiode moeten de switch- en firewallconfiguraties waarnaar in de header wordt verwezen, de effectieve poort, de pre-state VLAN, LAG en STP, evenals het kabel- en patchplan daadwerkelijk worden beveiligd en toegankelijk zijn via het opgegeven onafhankelijke beheerpad. Het simpelweg invoeren van een opslaglocatie is niet voldoende.

Een switchback-up vervangt de documentatie van de effectieve Layer 2-status niet. Het verschil tussen Fusion en lokale back-up wordt uitgelegd in Sophos Switch Backup and Restore.

Bouw de toegangslaag op een gecontroleerde manier

1. Bereid schakelaars voor zonder parallelle lus

1. Verwerk de P-lijnen van de doelmatrix één voor één: configureer eerst VLANs, PVIDs en de geplande switch-interlink en bevestig de actuele status direct in dezelfde lijn.
2. Voordat u een redundant Layer 2-pad inschakelt, schakelt u de STP in en controleert u de Root Bridge en poortrollen.
3. Laat extra kabels los of houd hun poorten uitgeschakeld.
4. Verduidelijk de configuratiebron en conflicten tussen Sophos Fusion en de lokale switchconfiguratie.
5. Test de beheertoegang opnieuw na elke wijziging.

In de lokale Switch-webinterface gebruikt de Sophos-referentie voor VLANs:

Configure > VLAN settings > 802.1Q

PVID, Ingress filtering en Accept type worden daar bewerkt onder PVID and ingress filter. Verdere UI-stappen en hun beveiligingslimieten blijven in het gekoppelde VLAN-runbook staan, zodat er niet twee verschillende instructies worden onderhouden.

2. Activeer precies één productiepad per netwerk

Ten eerste wordt voor LAN, DMZ en WAN alleen het duidelijk geplande individuele pad geactiveerd. Vervolgens controleer je:

• Linkconditie en afgesproken snelheid;
• effectief VLAN-lidmaatschap en PVID;
• Beheertoegang tot switch en firewall;
• Bereikbaarheid van de beoogde gateway;
• Toegestaan testverkeer via de momenteel actieve firewall.

Alleen als deze status stabiel is, wordt een extra switch-interlink, een LAG-lid of een tweede netwerkpad afzonderlijk geactiveerd. Na elke kabel worden de STP-rol, het LAG-lidmaatschap en de beheertoegang opnieuw gecontroleerd.

3. Sluit de Dedicated HA Link rechtstreeks aan

De Dedicated HA Link wordt rechtstreeks aangesloten op dezelfde aangewezen poorten op beide firewalls. Het wordt niet gerouteerd via de productieve switch-interlink, een LAN-/DMZ-/WAN-VLAN of een gedeelde toegangsswitch. Hierdoor blijft een fout in de productie Layer 2-topologie gescheiden van de hartslag, synchronisatie en het interne distributiepad HA. In Active-Active kan deze directe link ook verkeer tussen knooppunten distribueren voor verwerking; Dit betekent dat het geen gewone productieve netwerkverbinding wordt.

De Sophos-referentie stelt de firewall in de Interactive mode in: eerst de Auxiliary, daarna de Primary. Beide gebruiken dezelfde speciale HA-linkpoort en wachtwoordzin. Op de Primary worden cluster-ID, peer-link-adres, Monitored Ports, Peer Administration en Keepalive waarden ingesteld. Deze firewallvelden zijn niet blindelings overgenomen uit het referentievoorbeeld; Het volledige proces en de vereisten zijn te vinden in het gekoppelde Firewall HA-artikel.

4. Selecteer Monitored Ports op foutdomein

Een Monitored Port is bedoeld om een relevante padfout te detecteren. De rol- of statuswijziging die hieruit voortvloeit, hangt af van de HA-modus en welk knooppunt of pad wordt beïnvloed. In het Sophos-voorbeeld bewaakt de Primary zijn LAN- en DMZ-poorten. Voor uw eigen omgeving worden alleen permanent aangesloten, kritische interfaces geselecteerd.

Ongebruikte, slechts tijdelijk actieve of opzettelijk losgekoppelde poorten zijn niet nuttig. U zou een onnodige failover activeren. De Dedicated HA Link en een Monitored Port blijven verschillende interfaces met verschillende taken.

Acceptatie- en faaltests

De tests vinden plaats in een onderhoudsvenster. Vóór elke faaltest worden lopende productiewijzigingen stopgezet, worden de huidige rollen genoteerd en wordt er een persoon aangesteld die verantwoordelijk is voor het onmiddellijke terugkeertraject. Er wordt slechts één foutdomein tegelijk gewijzigd.

Elke bewaakte poorttest volgt een goedgekeurde T-regel zoals T1: HA-modus, getroffen knooppunt, geconfigureerde rol, huidige Active/Passive-status, exacte interface, verwachting en beëindigingsvoorwaarde worden onmiddellijk vóór het verbreken van de verbinding opnieuw bevestigd. De normale Active-Passive failover-test verbreekt specifiek de bewaakte interface van het momenteel actieve verkeersverwerkingsknooppunt; de peer moet het verkeer overnemen. Voor Active-Active of een pad van het knooppunt Auxiliary wordt een aparte T-regel met het feitelijk verwachte gedrag goedgekeurde in plaats van dat de rolwijziging van T1 vereist is.

Basisstatus controleren

Vóór een failover moet de normale toestand duidelijk zijn:

• Beide switches zijn bereikbaar en de verwachte poorten zijn stabiel.
• VLAN-lidmaatschappen, PVID’s en Tagged-interlinks komen overeen met de doelmatrix.
• LAG’s bevatten alleen de geplande leden.
• Root Bridge, STP poortrollen en poortstatussen zijn consistent met het ontwerp.
• Beide firewalls tonen de geplande modus HA en een synchrone status.
• Dedicated HA Link en alle geselecteerde Monitored Ports zijn actief.
• Testclients bereiken de gateway, expliciet toegestane interne bestemmingen en het beoogde externe pad.
• Peer-beheer of onafhankelijke beheertoegang werkt.

Onderhoud en fouttesten in een veilige volgorde

1. Ontkoppel een LAG-element op een gecontroleerde manier, indien aanwezig. Het logische pad moet over het resterende lid werken; voeg vervolgens het lid opnieuw toe en controleer zijn of haar lidmaatschap.
2. Koppel Switch Interlink gecontroleerd los. Doe dit alleen als het verwachte datapad zonder dit duidelijk in het plan wordt beschreven. Controleer de rollen, de bereikbaarheid van de VLAN en de status van de STP, herstel vervolgens de koppeling en observeer de herconvergentie.
3. Verbreek de verbinding met het bewaakte firewallpad dat is opgegeven in de doelmatrix. In Active-Passive wordt de exact bewaakte interface van het momenteel actieve verkeersverwerkingsknooppunt gebruikt en wordt gecontroleerd of de peer het overneemt zoals gedocumenteerd. Active-Active- en Auxiliary-padtests volgen alleen hun afzonderlijk gedocumenteerde verwachte status. Als er een discrepantie is, breekt u de test af en herstelt u het pad. Controleer vervolgens de synchronisatie, status van beide knooppunten en hetzelfde testverkeer; Zorg ervoor dat een automatische failback niet ongecontroleerd verloopt.
4. Koppel een toegangsschakelaar los of isoleer hem volledig op een gecontroleerde manier. De andere switch, het bijbehorende firewallknooppunt en de beoogde netwerken moeten de in het ontwerp verwachte service leveren.
5. Herstel de gewenste normale toestand op een gecontroleerde manier. Switch-, links- en firewallrollen mogen alleen worden geretourneerd na stabiele synchronisatie en een geverifieerd datapad.

De Dedicated HA Link wordt niet losgekoppeld als normale beschikbaarheidstest in het actieve productieve netwerk. Als het mislukt, kunnen beide firewalls de peer niet langer zien. Zo’n split-brain-test vereist een aparte, expliciet goedgekeurde procedure met geïsoleerde productie-interfaces. Voor normale acceptatie is het voldoende om de verbindingsstatus, de HA-synchronisatie en de gedocumenteerde procedure voor het mislukken ervan te controleren.

Een test wordt niet als geslaagd beschouwd alleen maar omdat een ping doorgaat. Na elke stap worden ook de rollen, synchronisatie, switch-poortstatussen, het VLAN-pad en de applicaties die cruciaal zijn voor de site gecontroleerd. Waarnemingen en tijdstempels worden in het operationele logboek opgeslagen; Gegarandeerde schakeltijden kunnen zonder meting niet worden geclaimd.

Isoleer fouten per symptoom

HA is groen, maar een netwerk is na de rolwijziging niet bereikbaar

• Vergelijk VLAN ID en Tagged/Untagged-lidmaatschap op beide switches.
• Controleer PVID van de betreffende Untagged-poort.
• Controleer of de VLAN daadwerkelijk is goedgekeurd via de interlink Tagged.
• Controleer de firewallpoort en fysieke bekabeling ten opzichte van de doelmatrix.
• Bepaal voor een LAG of alle leden naar de juiste logische tegenhanger leiden.
• STP controlepoortrol; een onverwacht geblokkeerd of uitgeschakeld pad kan de toegankelijkheid belemmeren.

Er treedt onverwacht een failover op

• Controleer op de firewall welke Monitored Port de aandoening heeft veroorzaakt.
• Onderzoek linkflaps, transceivers, kabels en snelheids-/duplexaanpassing op de bijbehorende switchpoort.
• Zorg ervoor dat er geen optionele of opzettelijk niet-verbonden poort wordt bewaakt.
• Controleer de LBD- en STP-status voordat u een poort opnieuw activeert.

Beide firewalls zien de peer niet langer

De Dedicated HA Link is de eerste testlimiet. Sluit productieve kabels niet willekeurig opnieuw aan en start niet beide knooppunten tegelijkertijd opnieuw op. Bepaal welk knooppunt het verkeer moet voortzetten, koppel de andere op een gecontroleerde manier los of sluit deze af van het productienetwerk en controleer vervolgens de kabels, poorten en linkstatus van de directe HA-koppeling. Pas na stabiel peer-contact en duidelijke rollen zal het tweede knooppunt weer volledig geïntegreerd zijn.

Na het activeren van het tweede pad treedt pakketverlies of een lus op

1. Koppel de laatst geactiveerde extra link gecontroleerd los.
2. Creëer opnieuw een uniek individueel pad.
3. STP Root Bridge, controleer de poortrollen en poortstatussen van beide switches.
4. Voor een LAG-type en aangesloten poorten, vergelijk beide kanten.
5. Controleer de VLAN-interlinklijst en mogelijke onbedoelde Untagged-verbinding.
6. Na correctie slechts één extra link opnieuw activeren.

Switch kan niet meer worden beheerd

Gebruik de voorbereide onafhankelijke beheertoegang. Maak de laatste wijziging in Management-VLAN, PVID, Uplink, LAG of STP ongedaan op basis van de vorige status. Start uit voorzorg niet beide switches opnieuw op: dit kan tot gevolg hebben dat het nog werkende datapad verloren gaat.

Terugdraaiing

Een demontage herstelt de gedocumenteerde vorige staat en begint bij de laatst toegevoegde redundantie:

1. Stop het testverkeer en sla de huidige HA-, switch- en STP-status op.
2. Ontkoppel de laatst geactiveerde extra link, LAG-lid of interlink op een gecontroleerde manier totdat er weer een duidelijk productiepad ontstaat.
3. Retourneer firewallrollen alleen als het beoogde normale pad stabiel is.
4. Maak de wijzigingen in LAG, STP en VLAN aan beide linkuiteinden in omgekeerde volgorde ongedaan.
5. Herstel de vorige Tagged/Untagged-lidmaatschappen en PVID’s vanuit de doelmatrix.
6. Herhaal de beheertoegang, HA-synchronisatie en dezelfde functionele test als vóór de wijziging.
7. Laat de Dedicated HA Link rechtstreeks aangesloten zoals hij is, tenzij deze exacte link wordt gerepareerd met behulp van uw eigen goedgekeurde procedure.

Als de vorige staat zelf slechts een gemeenschappelijke switch of een enkele uplink had, herstelt de terugdraaiing opzettelijk de lagere beschikbaarheid ervan. Dit wordt in de wijzigingsconclusie gedocumenteerd als een resterend risico en wordt niet beschreven als een volledig overbodig succes.

Operationele checklist

• Elke P-regel van de doelmatrix bevat de bevestigde werkelijke status; Afwijkingen zijn als restrisico opgelost of goedgekeurde.
• Elke T-regel bevat resultaat, tijdstempel en verificateur. De tests werden afzonderlijk uitgevoerd, niet als een gecombineerde mislukking.
• Dedicated HA Link-, HA-rollen, synchronisatie, STP-status en beheertoegang zijn terug naar de goedgekeurde normale status.
• Switch- en firewallconfiguratie, bijgewerkt patchplan en het logboek van technische tests worden opgeslagen op de opgegeven opslaglocatie.
• Ontmantelingspad, verantwoordelijke partijen en resterende gemeenschappelijke stroom-, patch-, rack-, WAN- of providerstoringszones worden vastgelegd in de voltooiing van de wijziging.