Een VLAN configureren op Sophos Firewall en een UniFi-switch

VLAN’s scheiden netwerken logisch, ook wanneer ze dezelfde switches en kabels gebruiken. In dit ontwerp verzorgt Sophos Firewall de routing, firewallregels, DHCP en security policies. De UniFi-switch transporteert de VLAN’s met 802.1Q-tags naar accesspoints, clients, servers of achterliggende switches.

Dit artikel doorloopt een volledig IPv4-voorbeeld met Sophos Firewall als third-party gateway. Naast de menupaden behandelt het de punten waarop zulke projecten in de praktijk vaak mislukken: een verkeerde parent interface, verwisselde native en tagged VLAN’s, een ontbrekend netwerkobject, een ongeschikte NAT-regel of een AP-poort waarvan het native VLAN botst met het VLAN van de wifi-clients.

Doelontwerp en voorbeeldwaarden

Het voorbeeld gebruikt overal de volgende waarden:

VLAN-naam: Clients.
VLAN-ID: 100.
Subnet: 10.100.0.0/24.
Gateway op Sophos Firewall: 10.100.0.1.
Zone op Sophos Firewall: Client of LAN.
Netwerkobject: NET_Clients_VLAN100.
DHCP-bereik: 10.100.0.50 tot 10.100.0.200.
Firewallregel: Clients_to_WAN.
UniFi-uplink naar de firewall: VLAN 100 tagged toestaan.
Clientpoort op de switch: VLAN 100 als native VLAN gebruiken.

VLAN-ID 100 en privénetwerk 10.100.0.0/24 zijn voorbeeldwaarden. De eigen omgeving vereist een ongebruikte VLAN-ID en een subnet zonder overlap. In dit ontwerp bevindt het gateway-adres zich op Sophos Firewall; clients sturen hun verkeer daarheen, waarna regels, NAT, Web Protection, IPS of andere policies het verwerken.

Als eerst de basisplanning van interfaces en zones moet worden verduidelijkt, helpt Zones en interfaces op Sophos Firewall configureren. Deze handleiding gaat ervan uit dat het nieuwe VLAN bewust als client-, gast-, server- of managementnetwerk is ontworpen.

Het VLAN in een veilige volgorde instellen

Voor ervaren beheerders is dit de korte werkwijze:

Maak een back-up van de Sophos- en UniFi-configuraties en bepaal een testpoort en alternatieve managementtoegang.
Maak de VLAN-interface aan op de juiste Sophos parent interface.
Bereid het netwerkobject, DHCP of DHCP-relay en het DNS-pad voor.
Maak firewallregels en controleer welke SNAT- of MASQ-regel het internetverkeer vertaalt.
Maak in UniFi een virtual network aan met Third-party Gateway en dezelfde VLAN-ID.
Configureer de uplink, clientpoort, AP-poort of downstream-uplink in UniFi Port Manager met de juiste native en tagged VLAN’s.
Voer positieve en negatieve tests uit met een echte client; controleer in Log Viewer de verwachte Firewall Rule ID en bij WAN-verkeer de NAT Rule ID.

⚠️ Zorg vóór een wijziging van het native VLAN op een uplink voor een terugvalpad voor het beheer. Een verkeerd native VLAN of een ontbrekend tagged VLAN kan de switch, het accesspoint of de firewall uit het managementnetwerk verwijderen.

Vooraf bepalen

Leg vóór de configuratie de volgende punten vast:

Welke nog vrije VLAN-ID wordt gebruikt?
Welk IP-subnet zonder overlap krijgt het VLAN?
Levert Sophos Firewall DHCP of is DHCP-relay nodig?
In welke Sophos-zone komt het VLAN?
Welke UniFi-poorten transporteren het VLAN tagged?
Welke poorten leveren het untagged aan normale eindapparaten?
Welk native VLAN gebruiken uplinks en accesspoints voor managementverkeer?
Mag het VLAN alleen naar internet of ook naar specifieke interne servers?
Welke lokale firewallservices mogen vanuit deze zone bereikbaar zijn?
Hoe blijven switch en firewall bereikbaar als de nieuwe poortconfiguratie niet werkt?

⚠️ Een VLAN scheidt alleen Layer 2. Sophos Firewall bepaalt met routing en firewallregels of verkeer tussen VLAN’s is toegestaan. NAT wijzigt adressen en vervangt evenmin het ontwerp van de regels.

Het VLAN op Sophos Firewall maken

Bij een third-party gateway adviseert Ubiquiti om subnet, VLAN-ID en DHCP eerst op de gateway voor te bereiden. Op Sophos Firewall begint dit met de VLAN-interface.

Menupad:

Network > Interfaces > Add interface > Add VLAN

Werkwijze:

Geef een naam op, bijvoorbeeld Clients VLAN 100.
Selecteer bij Interface de fysieke poort, RED-interface, bridge of LAG waarop VLAN 100 tagged binnenkomt.
Selecteer een zone, bijvoorbeeld de eigen zone Client of de bestaande zone LAN.
Vul bij VLAN ID de waarde 100 in.
Selecteer bij IPv4 configuration voor dit voorbeeld Static.
Stel het IP-adres in op 10.100.0.1/24.
Sla de interface op.

Selectie Add VLAN interface op Sophos Firewall — Het VLAN wordt gemaakt op de parent interface waarover de UniFi-switch het tagged VLAN naar de firewall stuurt.

Sophos Firewall VLAN-interface met VLAN-ID en IPv4-configuratie — VLAN-ID, zone en IP-adres moeten overeenkomen met het switch- en subnetontwerp.

De parent interface is geen willekeurig verwisselbare voorbeeldwaarde. Het moet precies de Sophos-poort, bridge of LAG zijn die fysiek met de UniFi-uplink is verbonden. Sophos ondersteunt VLAN-ID’s van 1 tot 4094; dezelfde ID kan niet meermaals op dezelfde fysieke interface worden gebruikt.

Een netwerkobject voor het VLAN maken

Een eigen netwerkobject maakt firewall- en NAT-regels leesbaar en voorkomt dat het nieuwe VLAN onbedoeld via een te ruim object wordt toegestaan.

Menupad:

Hosts and services > IP host > Add

Gebruik voor het voorbeeld de volgende waarden:

Name: NET_Clients_VLAN100.
IP version: IPv4.
Type: Network.
IP address: 10.100.0.0.
Subnet: 255.255.255.0 of /24.

De objectnaam is vrij te kiezen, maar moet netwerk en doel duidelijk aangeven. Adres en subnetmasker moeten exact bij de VLAN-interface passen; gateway-adres 10.100.0.1 vervangt netwerkobject 10.100.0.0/24 niet.

DHCP en DNS voor het VLAN configureren

Clients die automatisch adressen moeten ontvangen, hebben een DHCP-server of DHCP-relay nodig.

Menupad:

Network > DHCP

Typische DHCP-waarden:

Interface: Clients VLAN 100.
Range start: 10.100.0.50.
Range end: 10.100.0.200.
Gateway: 10.100.0.1.
DNS server: firewall-IP of interne DNS-server.
Domain name: intern zoekdomein, indien nodig.

Het bereik houdt adressen onder .50 en boven .200 bewust vrij voor infrastructuur of vaste toewijzingen. Pas het bereik in een bestaande omgeving aan reserveringen, servers en het lokale adresplan aan.

Als Sophos Firewall als DNS-resolver voor dit VLAN dient, moet DNS bovendien voor de juiste zone zijn toegestaan onder Administration > Device access. Een interne DNS-server vereist in plaats daarvan een passende firewallregel en een werkend retourpad. DHCP-opties op Sophos Firewall (SFOS) behandelt speciale DHCP-opties.

Firewallregels en NAT voorbereiden

Een succesvolle DHCP-lease bewijst nog niet dat het datapad werkt. Verkeer door de firewall vereist passende regels.

Een bewust eenvoudige internetregel kan als volgt beginnen:

Rule name: Clients_to_WAN.
Source zones: Client of LAN.
Source networks and devices: NET_Clients_VLAN100.
Destination zones: WAN.
Destination networks: Any.
Services: alleen de werkelijk benodigde services, bijvoorbeeld HTTP, HTTPS, DNS en NTP.
Log firewall traffic: ingeschakeld.

Als clients de firewall zelf als DNS-resolver gebruiken, valt DNS-verkeer naar dit lokale firewalladres onder Device Access. Bij een externe DNS-server moet de DNS-service daarentegen via de passende firewallregel en het NAT-pad worden toegestaan.

Maak afzonderlijke regels voor toegang tot interne servers en sta alleen de benodigde doelen en services toe. Een gast- of IoT-VLAN hoort geen onbeperkte toegang tot server- of managementnetwerken te hebben. Firewallregels op Sophos Firewall begrijpen en correct configureren behandelt regelvolgorde, zones, security features en logging.

NAT niet vergeten en niet dubbel aanmaken

Internetverkeer uit een privé-VLAN vereist normaal gesproken Source NAT, vaak MASQ naar het WAN-adres. Een bestaande regel zoals Default SNAT IPv4 dekt nieuwe interne netwerken vaak al, maar dit moet aan de matchcriteria en vervolgens in Log Viewer worden gecontroleerd. Zonder bewijs een tweede SNAT-regel toevoegen kan een werkende regelvolgorde onnodig wijzigen.

Verkeer tussen interne VLAN’s met unieke gerouteerde netwerken vereist normaal gesproken geen adresvertaling. Routing en firewallregels bepalen dit pad. Ontwerpen met overlappende netwerken of speciale peers moeten afzonderlijk worden gepland.

Lees tijdens de test de Firewall Rule ID en bij WAN-verkeer de NAT Rule ID samen. De Firewall Rule ID toont de toegangsbeslissing en de NAT Rule ID de werkelijk gebruikte vertaling. NAT op Sophos Firewall begrijpen legt de volledige verwerkingsvolgorde uit.

Het VLAN in UniFi Network maken

Nadat het VLAN op Sophos Firewall is voorbereid, wordt het in UniFi als virtual network met dezelfde VLAN-ID aangemaakt.

Menupad:

Settings > Networks

Werkwijze:

Open New Virtual Network of New Network.
Geef een naam op, bijvoorbeeld Clients.
Selecteer onder Router de waarde Third-party Gateway.
Voer VLAN-ID 100 in.
Wijs geen UniFi-gateway- of DHCP-functie aan dit netwerk toe, omdat Sophos Firewall daarvoor verantwoordelijk is.
Pas de wijzigingen toe.

UniFi Network-instellingen met bestaande netwerken — UniFi vermeldt het VLAN als virtual network; gateway, subnet en DHCP blijven in dit ontwerp op Sophos Firewall.

UniFi Network met een nieuw VLAN en third-party gateway — Bij een third-party gateway moet de VLAN-ID overeenkomen met de eerder voorbereide Sophos-interface.

UniFi-switchpoorten configureren in Port Manager

Sophos Firewall en de UniFi-switch moeten op dezelfde link dezelfde VLAN-ID zien. In actuele versies van UniFi Network staat de poorttoewijzing hier:

Devices > [Switch] > Ports > Port Manager

Twee velden bepalen het VLAN-pad:

Native VLAN / Network: ontvangt untagged verkeer op deze poort.
Tagged VLAN Management: bepaalt welke tagged VLAN’s de poort mogen passeren.

Allow All staat alle bij UniFi bekende tagged VLAN’s toe. Block All maakt van de poort een accesspoort die alleen het native VLAN transporteert. Custom staat een bewust geselecteerde set VLAN’s toe en is vaak de duidelijkste keuze voor gedocumenteerde uplinks en AP-poorten.

Vier veelvoorkomende poortrollen

Uplink naar Sophos Firewall: het native VLAN moet bij het bestaande untagged management- of uplinkontwerp passen. Selecteer onder Tagged VLAN Management Custom met VLAN 100 en alle andere werkelijk benodigde VLAN’s. Gebruik Allow All alleen als de link bewust ieder UniFi-VLAN moet transporteren.
Clientpoort: selecteer Clients onder Native VLAN / Network en stel Tagged VLAN Management in op Block All. Een normale client verstuurt untagged verkeer en komt daardoor in VLAN 100.
Accesspointpoort: behoud het AP-managementnetwerk als native VLAN. Selecteer onder Tagged VLAN Management Custom en sta VLAN 100 toe voor de bijbehorende SSID.
Uplink naar een andere switch: het native VLAN en alle onder Custom toegestane tagged VLAN’s moeten bij het downstream-ontwerp passen. Ontbreekt VLAN 100, dan kan geen achterliggende AP- of clientpoort dit VLAN gebruiken.

⚠️ Op een AP-poort mag het client-VLAN van de SSID niet ook als native VLAN zijn ingesteld. Ubiquiti noemt VLAN 1 als uitzondering; in dit voorbeeld moet VLAN 100 tagged worden getransporteerd, terwijl het AP-managementnetwerk native blijft.

Veelvoorkomende fouten zijn een ontbrekend tagged VLAN op de uplink naar de firewall, een clientpoort met Custom in plaats van Block All, een AP-poort zonder het SSID-VLAN of verschillende VLAN-ID’s op Sophos en UniFi.

Wijzigingen plannen zonder managementtoegang te verliezen

Werk bijzonder voorzichtig bij wijzigingen aan uplinks of managementnetwerken. Neem vóór de productiewijziging de volgende waarborgen op in het proces:

UniFi-managementnetwerk: het management-VLAN moet beschikbaar blijven wanneer de poortconfiguratie wijzigt.
Uplink naar Sophos Firewall: wijzigingen aan deze poort beïnvloeden vaak meerdere VLAN’s tegelijk.
Alternatieve toegang: wijzigingen op afstand vereisen een terugvalpad naar switch en firewall.
Testpoort: nieuwe toewijzingen kunnen op een gereserveerde poort worden gevalideerd zonder productieapparaten te verplaatsen.
Back-up: de Sophos- en UniFi-configuraties moeten in de laatst werkende staat zijn opgeslagen.

We adviseren om het nieuwe VLAN eerst met één testclient te valideren. Rol de poorttoewijzing pas uit naar meer accesspoints, switch-uplinks of clientpoorten wanneer DHCP, gateway, DNS, Firewall Rule ID, NAT Rule ID en de bedoelde blokkeringen allemaal met het ontwerp overeenkomen.

Device Access controleren

Device Access regelt de lokale services van de firewall zelf, niet het doorgestuurde verkeer. Dit is belangrijk voor nieuwe VLAN’s:

Als clients de firewall als DNS-resolver gebruiken, sta DNS toe voor de juiste zone.
Als monitoring de firewall moet controleren, sta Ping/Ping6 alleen gericht toe.
Normale clients, gasten en IoT-apparaten horen geen toegang te hebben tot WebAdmin of SSH.
Managementtoegang hoort in een apart beheernetwerk of in strikte Local Service ACL Exception Rules.

Toegang tot Sophos Firewall beveiligen met Device Access legt de gedetailleerde hardening uit.

Testen en valideren

Test na de configuratie niet alleen de internettoegang. Gebruik een reproduceerbaar testplan:

Sluit de testclient aan op de bedoelde UniFi-poort of verbind deze met de bedoelde SSID.
Controleer of het adres tussen 10.100.0.50 en 10.100.0.200 ligt.
Controleer default gateway 10.100.0.1 en de verwachte DNS-server.
Genereer een toegestane internetverbinding.
Test een toegestane interne verbinding als het ontwerp die bevat.
Test toegang tot een bewust verboden intern netwerk; dit moet mislukken en mag niet door een onverwachte allow-regel worden gematcht.
Controleer in Sophos Log Viewer voor WAN-verkeer regel Clients_to_WAN, de Firewall Rule ID, de NAT Rule ID en de Out interface.
Controleer de Usage Counter van de regel.
Bevestig bij een wifi-SSID bovendien dat AP-management bereikbaar blijft terwijl de client in VLAN 100 terechtkomt.

Als een andere regel matcht, de NAT Rule ID ontbreekt of de interfaces niet met het ontwerp overeenkomen, is de test niet geslaagd. Een Sophos Firewall-regel testen met Log Viewer en Packet Capture toont de volgende diagnosestappen.

Veelvoorkomende fouten

Het VLAN is niet tagged toegestaan op de UniFi-uplink naar de firewall: clients krijgen geen adres of bereiken de firewall niet.
Het VLAN gebruikt de verkeerde Sophos parent interface: de firewall ziet het verkeer niet op de verwachte VLAN-interface.
De clientpoort is geen correcte accesspoort: normale clients komen in het verkeerde native VLAN of krijgen geen adres.
Het SSID-VLAN is ook het native VLAN op de AP-poort: wifi-clients kunnen niet correct verbinden.
DHCP of relay ontbreekt: de client krijgt geen adres of valt terug op APIPA.
Het netwerkobject is verkeerd: de regel dekt niet het volledige VLAN of matcht een ander netwerk.
DNS Device Access ontbreekt: de client bereikt IP-adressen, maar kan via de firewall geen namen omzetten.
De firewallregel ontbreekt of staat verkeerd: de client krijgt een adres, maar het gewenste verkeer wordt geblokkeerd.
De NAT-regel matcht niet: interne doelen werken, maar internetverkeer verlaat de firewall zonder passende vertaling.
De allow-regel is te ruim: interne toegang maakt de geplande VLAN-scheiding feitelijk ongedaan.
Het native VLAN op de uplink is verkeerd: de switch of het accesspoint verdwijnt uit het managementnetwerk.

Problemen oplossen

Als het VLAN niet werkt, controleer dan van Layer 1 tot en met Layer 7:

Kabel en link: toont de UniFi-poort een link met de verwachte snelheid?
Virtual network: bestaat VLAN 100 in UniFi met Third-party Gateway?
Firewall-uplink: is VLAN 100 toegestaan onder Tagged VLAN Management?
Client- of AP-poort: kloppen het native VLAN, Block All of Custom en de toegestane tagged VLAN’s?
Sophos-interface: is het VLAN onder Network > Interfaces zichtbaar en verbonden op de juiste parent interface?
DHCP: is er een DHCP-server of relay voor het VLAN en past het bereik bij het subnet?
Gateway en DNS: gebruikt de client 10.100.0.1 en de bedoelde DNS-server?
Device Access: zijn DNS of Ping voor de zone toegestaan als deze lokale services nodig zijn?
Firewallregel: kloppen source zone, NET_Clients_VLAN100, destination zone en services?
NAT: toont de WAN-test de verwachte NAT Rule ID en een vertaald bronadres?
Log Viewer: wordt het verkeer toegestaan, gedropt of door een andere regel gematcht?
Packet Capture: komen pakketten op de juiste interface aan en verlaten ze de firewall via het geplande pad?

Als er geen pakketten op de Sophos parent interface aankomen, ligt het probleem meestal vóór de firewall: kabel, UniFi-poort, native/tagged-toewijzing of een verkeerde uplink. Komen pakketten wel aan maar verschijnt geen passende Firewall Rule ID, controleer dan eerst de regelmatching. Kloppen regel en NAT maar ontbreken antwoorden, ga dan verder met routing, DNS en het retourpad.

Checklist

De VLAN-ID is identiek op UniFi en Sophos.
Het Sophos-VLAN gebruikt de juiste parent interface, zone en gateway-adres.
Netwerkobject NET_Clients_VLAN100 vertegenwoordigt exact 10.100.0.0/24.
DHCP of DHCP-relay is geconfigureerd met de juiste gateway en DNS-server.
Het UniFi virtual network gebruikt Third-party Gateway.
De firewall-uplink staat VLAN 100 tagged toe.
De clientpoort gebruikt Clients als native VLAN en Block All voor tagged VLAN’s.
De AP-poort gebruikt het managementnetwerk als native VLAN en VLAN 100 onder Custom.
Firewallregels staan alleen de geplande doelen en services toe en schrijven logs.
Internetverkeer matcht de verwachte SNAT- of MASQ-regel; interne VLAN-paden worden niet onnodig vertaald.
Device Access staat alleen de benodigde lokale services toe.
Positieve test, negatieve test, Firewall Rule ID, NAT Rule ID en Packet Capture zijn gecontroleerd.
Back-up, testpoort en managementterugvalpad blijven beschikbaar tot de validatie is voltooid.

Veelgestelde vragen

Heeft ieder VLAN een eigen Sophos-zone nodig?

Nee. Meerdere VLAN’s kunnen een zone delen als ze hetzelfde vertrouwensniveau, dezelfde firewallregels en dezelfde Device Access-vereisten hebben. Een afzonderlijke zone is vaak duidelijker als een VLAN andere rechten of een ander risicoprofiel heeft.

Moet DHCP op Sophos Firewall draaien?

Nee. DHCP kan op een interne server draaien of via een relay worden doorgestuurd. Belangrijk is dat clients een passend IP-adres, gateway en DNS-configuratie ontvangen en dat het DHCP-pad door het VLAN werkt.

Waarom werkt internet wel, maar toegang tot interne servers niet?

Meestal ontbreekt een passende firewallregel tussen de VLAN- en serverzone, matcht de regel een ander netwerkobject of heeft de interne server geen retourpad. Voeg voor unieke interne netwerken niet op goed geluk NAT toe, maar controleer regel, route en retourpad.

Waarom krijgt de client geen IP-adres?

Veelvoorkomende oorzaken zijn een ontbrekend tagged VLAN op de uplink, het verkeerde native VLAN op de clientpoort, het VLAN op de verkeerde Sophos parent interface of een ontbrekende DHCP-server of relay.

Waarom kan een wifi-client niet met de SSID verbinden?

De AP-poort moet het client-VLAN van de SSID tagged toestaan. In dit voorbeeld mag dit niet ook het native VLAN zijn; het AP-managementnetwerk blijft native. Controleer vervolgens de SSID-toewijzing, DHCP en het pad naar Sophos Firewall.

Moet een gast-VLAN DNS via Sophos Firewall gebruiken?

Dit kan nuttig zijn wanneer de firewall DNS voor het gast-VLAN moet aanbieden of filteren. DNS moet dan onder Device Access voor de juiste zone zijn toegestaan. Als alternatief kan DHCP een interne of externe DNS-server distribueren en kan het bijbehorende firewall- en NAT-pad bewust worden toegestaan.