Sophos Firewall High Availability (HA) instellen

High Availability, kortweg HA, verbindt twee Sophos Firewalls tot een cluster. Zo kan een tweede apparaat het productieverkeer overnemen bij een apparaatstoring, uitval van een bewaakte poort of gepland onderhoud. Controleer vóór de start of beide apparaten, de firmwarebuild, licenties, bekabeling en beheerstoegang op elkaar zijn afgestemd. HA vervangt echter geen redundant netwerkontwerp, bruikbare back-ups of gedocumenteerde processen.

HA-modus en architectuur kiezen

Operationeel advies van Avanet: in de meeste productieomgevingen is Active-Passive de betere HA-variant. Eén firewall verwerkt al het verkeer, de tweede firewall staat klaar en neemt het over bij uitval of onderhoud. Het ontwerp is eenvoudiger, de licentiekosten zijn lager en het gedrag bij storingen is gemakkelijker te begrijpen. Dit is een ontwerpadvies, geen vereiste van Sophos.

Active-Active is alleen de moeite waard als je de grenzen en beperkingen bewust accepteert. Het is geen klassieke symmetrische vorm van load balancing waarbij beide firewalls overal in het netwerk een gelijkwaardige rol hebben. De Primary ontvangt nog steeds het verkeer en stuurt bepaalde verbindingen door naar de Auxiliary. Niet elke dienst en niet elk type verkeer wordt verdeeld.

Als snelle oriëntatie:

• Maximale stabiliteit en eenvoudige bedrijfsvoering: Active-Passive.
• Tweede firewall gebruiken zonder aparte beschermingslicentie: Active-Passive.
• Meer doorvoer nodig voor bepaalde TCP-verbindingen: Active-Active evalueren.
• Veel VPN-, proxy-, RED-, NDR- of speciale gevallen: Active-Passive verkiezen.
• Kleine of middelgrote omgeving zonder duidelijk prestatieprobleem: Active-Passive.
• Duidelijke prestatie-eis en passende licenties voor beide appliances: Active-Active na test.

De twee Sophos Techvids tonen aansluitend de basisconfiguratie van Active-Passive en Active-Active met QuickHA.

Wat High Availability betekent

Een Sophos Firewall HA-cluster bestaat uit twee firewalls. De apparaten wisselen via een speciale HA-Link heartbeats, apparaatgegevens, verbindingsinformatie en configuratiegegevens uit. De configuratie wordt gesynchroniseerd van de Primary naar de Auxiliary.

HA beschermt tegen typische vormen van uitval:

• Uitval van de primaire firewall
• Stroom- of hardwarefout
• Uitval van een bewaakte interface
• Software- of dienstprobleem waardoor een apparaat niet meer functioneel is
• Geplande firmware-updates
• Geplande rolwisseling bij onderhoud

HA lost echter niet elk probleem op:

• Een verkeerde firewallregel blijft ook in het cluster verkeerd.
• Een gezamenlijke switch-uitval kan beide firewalls tegelijkertijd beïnvloeden.
• Een defect VLAN-ontwerp of een foutief routeringsconcept wordt niet automatisch gecorrigeerd.
• Logs en rapporten worden niet tussen beide firewalls gesynchroniseerd.
• Een back-up blijft verplicht.

Wie HA plant, moet eerst de basisprincipes voor zones, interfaces, VLAN’s, LAG’s en bridges duidelijk hebben. De handleiding Sophos Firewall zones en interfaces plannen en configureren past hierbij.

Active-Passive of Active-Active

Active-Passive

Bij Active-Passive verwerkt één firewall al het productieverkeer. De tweede firewall is passief en neemt het pas over als de actieve firewall uitvalt of een failover handmatig of door onderhoud wordt geactiveerd.

Typische eigenschappen:

• Primaire firewall verwerkt het verkeer.
• Auxiliary blijft in stand-by.
• Sessies worden gesynchroniseerd, voor zover de betreffende dienst dat ondersteunt.
• Alleen het apparaat met licentie heeft bij hardware-apparaten de beschermingsabonnementen nodig.
• Als het virtuele cluster-MAC wordt gebruikt, neemt de Auxiliary bij failover over met hetzelfde virtuele MAC-adres.
• In dit geval hoeven netwerkapparaten hun buren meestal niet opnieuw te leren.

Active-Passive is meestal de beste keuze voor klassieke bedrijfsomgevingen, filialen, datacenters en omgevingen waarin stabiliteit belangrijker is dan een mogelijke prestatieverbetering.

Active-Active

Bij Active-Active verwerken beide firewalls verkeer. Toch blijft de architectuur asymmetrisch: de Primary ontvangt het verkeer en beslist of hij een verbinding zelf verwerkt of doorgeeft aan de Auxiliary.

Sophos gebruikt het bron-IP-adres voor de verdeling: geschikte TCP-verbindingen van even bron-IP-adressen worden door de Primary verwerkt en die van oneven bron-IP-adressen gaan naar de Auxiliary. Doorgestuurd TCP-verkeer en vertaalde TCP-verbindingen worden verdeeld, inclusief SNAT- en Virtual-Host-verkeer, ook via VLAN-interfaces. Nadat de Auxiliary een verbinding heeft verwerkt, stuurt deze de pakketten rechtstreeks naar de bestemming en niet terug via de Primary. Deze even-onevenmethode ligt vast en kan niet worden gewijzigd. De Layer-7-ondersteuning verschilt per dienst: DPI Engine, transparante, directe en Parent Proxies, evenals SMTP-proxyverkeer en HTTPS, zijn volgens Sophos geschikt voor load balancing. Gescand FTP en H.323 zijn dat niet. Ook uitgesloten zijn niet-TCP-verkeer zoals UDP, ICMP, multicast en broadcast, SD-RED en getunneld TCP- en niet-TCP-verkeer, inclusief VPN. Externe load balancers worden niet ondersteund voor HA.

Beide nodes hebben passende licenties nodig en slaan de logs van hun eigen verkeer lokaal op. Active-Active is daarom alleen zinvol met een duidelijk prestatiedoel en als het relevante verkeer werkelijk wordt verdeeld. Voor uitsluitend hoge beschikbaarheid is Active-Passive doorgaans overzichtelijker.

Rollen, status en failover

Rollen in het HA-cluster

• Primary: Apparaat dat de centrale clusterconfiguratie beheert. In beide HA-modi ontvangt de Primary het verkeer.
• Auxiliary: Tweede apparaat in het cluster. Het synchroniseert de configuratie van de Primary en neemt indien nodig over.
• Initial primary: Apparaat dat bij de installatie als Primary is gestart. In Active-Passive is het doorgaans ook de licentiehouder. Dit eigenaarschap blijft bestaan, ongeacht of de node momenteel Active of Passive is.
• Preferred primary: Voorkeursapparaat dat na een failover weer Primary moet worden zodra het stabiel beschikbaar is.

In Active-Passive toont WebAdmin op de Auxiliary geen Live users, DHCP leases of actieve IPsec-verbindingen. Dit is verwacht gedrag en geen bewijs van mislukte synchronisatie. Voor deze runtimegegevens is de momenteel actieve Primary bepalend.

Statuswaarden in bedrijf

• Active: Het apparaat verwerkt verkeer.
• Passive: Het apparaat is gereed, maar verwerkt in Active-Passive geen productieverkeer.
• Standalone: Het apparaat ziet de peer niet of HA is niet volledig actief. Bij HA-Link-problemen kunnen beide apparaten Standalone worden.
• Faulty: Het apparaat is niet gezond genoeg om normaal aan het cluster deel te nemen.

Virtueel MAC-adres

Als het virtuele cluster-MAC wordt gebruikt, wijst SFOS virtuele MAC-adressen toe aan de fysieke interfaces, behalve aan de Dedicated HA Link en de beheerpoorten. De Dedicated HA Link gebruikt zijn eigen fysieke MAC-adres. Alleen de Primary beantwoordt ARP-aanvragen voor het cluster. Bij een failover neemt de Auxiliary het virtuele MAC-adres van de betreffende productie-interface over. Hierdoor blijft de bereikbaarheid voor switches, routers en clients stabieler omdat de IP- en MAC-toewijzing niet fundamenteel verandert. De hieronder beschreven interface-MAC-optie is een andere variant; ga daarbij niet uit van dezelfde overname van het virtuele MAC.

Belangrijk is de Cluster ID. Deze ID wordt gebruikt voor het virtuele MAC-adres. Als meerdere HA-clusters in dezelfde laag-2-omgeving worden gebruikt, moet elk cluster een unieke Cluster ID hebben. Anders kunnen er MAC-conflicten ontstaan.

Wat wordt gesynchroniseerd

• Firewall-regels, policies, objecten, routing en CLI-configuratie worden van Primary naar Auxiliary gesynchroniseerd.
• Actieve sessies worden afhankelijk van protocol en dienst gesynchroniseerd. In Active-Active wisselen beide apparaten de status en details van actieve sessies uit met de peer; de configuratiesynchronisatie blijft daarentegen van Primary naar Auxiliary verlopen.
• Secure Storage Master Key en WebAdmin-toegangsgegevens worden gesynchroniseerd.
• Dedicated HA link en beheerpoorten (administration ports) zijn volgens de officiële beschrijving van HA-modi en rollen uitgesloten van configuratiesynchronisatie.
• Logs en reports worden niet tussen de apparaten gesynchroniseerd.

Failover-gedrag

In Active-Passive neemt de Auxiliary al het verkeer over als de Primary uitvalt. In Active-Active kan de uitval van een van de twee actieve apparaten daarentegen leiden tot overname door de gezonde peer. Als de Auxiliary uitvalt, verwerkt de Primary al het verkeer alleen; dit is niet noodzakelijk een rolwisseling. Als een peer niet meer beschikbaar is, werkt het resterende apparaat als Standalone. Deze status alleen bewijst dus nog niet dat de HA-Link aan beide zijden is uitgevallen; controleer de rollen en bereikbaarheid van beide nodes voordat je het split-brain-runbook toepast.

Een failover kan door verschillende gebeurtenissen worden geactiveerd:

• Geen heartbeats meer via de HA-Link
• Uitval van een bewaakte poort
• Stroomuitval
• Hardwarefout
• Software- of dienstprobleem
• Geplande rolwisseling
• Firmware-update

Als één Node in de Failsafe-modus start, worden eerst de rol en de toestand van de peer gedocumenteerd. Sophos Firewall in de Failsafe-modus controleren toont de veilige diagnoseprocedure en legt uit waarom beide Nodes niet ongecoördineerd opnieuw mogen worden gestart en HA niet op goed geluk mag worden uitgeschakeld.

De heartbeats via de Dedicated HA Link zijn VRRP-verzoeken. SFOS 22 gebruikt standaard 250 ms en 16 ontbrekende heartbeats, met een heartbeat-timeout van 4 seconden. SFOS 23 gebruikt standaard 100 ms en 3 pogingen, met een timeout van 300 ms; op LAG gebaseerde HA-links vereisen andere waarden, zoals hieronder beschreven. Deze timeouts garanderen geen hersteltijd voor het verkeer. Bij Monitored Ports is daarentegen één uitgevallen poort voldoende om het apparaat als niet beschikbaar te beschouwen en een failover te activeren.

Afwijkende heartbeat-gegevens voor SFOS 23: De algemene failover-beschrijving vermeldt nog steeds 250 ms en 16 pogingen, terwijl de gedetailleerde SFOS 23-configuratie 100 ms en 3 pogingen noemt. Bevestig de genoemde SFOS 23-standaardwaarden tegen de werkelijke configuratie van het apparaat. Documenteer vóór een wijziging onder System services > High availability de daadwerkelijk ingestelde waarden en de HA-Link-topologie op beide nodes. Noch de oudere gegevens, noch de kortere installatiestandaard zijn een reden om een bestaand cluster zonder controle aan te passen; stem bij onduidelijke waarden of waarden die niet aan de LAG-vereiste voldoen de planning af met Sophos Support.

Na de failover toont WebAdmin op de voormalige Auxiliary Firewall de configuratie van de Primary. Voor actieve sessies gelden verschillende grenzen:

Wanneer de Initial Primary terugkeert, blijft deze zonder Preferred primary als Auxiliary in het cluster. Als deze als Preferred primary is ingesteld, synchroniseert SFOS eerst de diensten en schakelt daarna automatisch terug. Het apparaat dat tot dan toe zelfstandig werkte, start daarbij opnieuw op. Deze failback hoort daarom in een onderhoudsvenster. De beschreven rolwisselingen en herstarts garanderen geen ononderbroken verwerking van bestaande verbindingen.

Ondersteunde en beperkte diensten

Sophos HA ondersteunt de meeste firewall-diensten, maar de operationele grenzen verschillen aanzienlijk:

De gedocumenteerde beperking voor de PPPoE-verbinding bewijst geen algemene uitzondering op sessiefailover voor DHCP-interfaces. Adrestoewijzing en DHCP-protocolverkeer zijn iets anders dan het behoud van doorgestuurde TCP-sessies. Gebruik de protocol- en dienstspecifieke failovergrenzen hierboven; hieruit volgt evenmin een algemene garantie op sessiebehoud.

Als rapportage of logopslag belangrijk is, moet je vroeg plannen of een externe Syslog-server of Sophos Central Firewall Reporting wordt gebruikt. Meer hierover staat in Central Firewall Reporting activeren.

Gebruik voor configuratie, beveiligingsgrenzen en tests De mDNS reflector configureren. Servicedetectie geeft geen toegang tot applicaties; HA-ondersteuning garandeert geen ononderbroken applicatiesessies. Deze mDNS-uitspraak geldt voor SFOS 23, niet voor SFOS 22.

Vereisten en netwerkontwerp

Voor de uitvoering moet je goed controleren of je eigen omgeving aan de HA-vereisten voldoet. Vooral modelgelijkheid, firmwareversie, interfaces, Cellular WAN en virtuele platforms zijn punten waar kleine afwijkingen later grote gevolgen kunnen hebben.

Hardware en modelcompatibiliteit

• Appliance-model: Beide firewalls moeten hetzelfde XGS Appliance-model zijn, bijvoorbeeld XGS 2100 met XGS 2100.
• Hardware-revisie: Verschillende hardware-revisies zijn mogelijk bij hetzelfde XGS Appliance-model.
• XGS Appliance Wi-Fi modellen: Niet ondersteund. Voorbeelden zijn XGS 126w of XGS 136w.
• Flexi Port Module: Als uitbreidingsmodules worden gebruikt, moeten het aantal en het model van de Flexi Port-module op beide apparaten gelijk zijn.
• Firmware: Beide apparaten moeten dezelfde SFOS-versie inclusief Maintenance Release en build gebruiken.
• Hardware plus virtuele appliance: Niet mogelijk als HA-paar.

Belangrijk: Flexi Port-modules zijn niet hot-swappable. Schakel voor een uitbreiding beide firewalls gecontroleerd uit, installeer in beide apparaten hetzelfde modulemodel en start beide apparaten opnieuw op. Configureer de nieuwe Flexi Ports daarna alleen op de huidige Primary onder Network > Interfaces. SFOS synchroniseert deze poortconfiguratie met de Auxiliary. Pas niet slechts één node aan terwijl het cluster actief is.

SFOS 22 ondersteunt geen hardware uit de XG- of SG-serie meer. Deze apparaten moeten vóór een migratie naar SFOS 22 worden vervangen door een ondersteunde XGS Appliance of een passend virtueel platform.

Virtuele en software-appliances

Virtuele of software-appliances moeten ook zeer goed op elkaar afgestemd zijn. Voorbeelden van virtuele platforms zijn Microsoft Hyper-V, VMware en Nutanix Prism; software-appliances draaien op eigen hardware. Het noemen van een platform vervangt niet de controle van de volgende HA-vereisten.

• Platform: Zelfde appliance-type en hetzelfde SFOS-platform.
• Hypervisor: Zelfde hypervisor-type.
• Systeembronnen: Identiek toegewezen hardwarebronnen, waaronder hetzelfde aantal CPU-kernen, en hetzelfde aantal netwerkinterfaces.
• Firmware: Zelfde SFOS-versie inclusief build.
• MAC-adressen: In virtuele omgevingen kan de optie voor hypervisor-toegewezen MAC-adressen relevant zijn, zodat geen Promiscuous Mode nodig is. Een wijziging veroorzaakt echter downtime.

Als het cluster het door SFOS gegenereerde virtuele MAC-adres gebruikt, moet het virtualisatieplatform MAC-wijzigingen accepteren. Stel in VMware ESXi MAC Address Changes en Forged Transmits in op Accept op de vSwitch of port group; port groups moeten de vSwitch-waarden erven of overeenkomstig zijn ingesteld. Schakel in Hyper-V Enable MAC address spoofing in op alle virtuele netwerkadapters van beide firewalls, behalve de adapter van de Dedicated HA Link. Kies als alternatief Use host or hypervisor-assigned MAC address in SFOS 22 of Use interface MAC address in SFOS 23; beide gebruiken op virtuele appliances het door de hypervisor toegewezen MAC, waardoor deze platformwijzigingen niet nodig zijn. De SFOS 23-optie gebruikt op hardware-appliances het interface-MAC in plaats van het virtuele cluster-MAC. In- of uitschakelen werkt de interfaceconfiguratie bij en veroorzaakt downtime.

Cloud-Deployments

In cloud-omgevingen gelden aanvullende platformvereisten. Routing, virtuele interfaces, IP-adressen, Security Groups, UDR’s of cloud-specifieke failover-mechanismen moeten passen bij het betreffende cloud-ontwerp. De normale appliance-HA-aanpak kan niet zonder meer worden toegepast op Azure, AWS of andere cloud-omgevingen.

Als een Sophos Firewall in de cloud wordt gebruikt, moet je voor de HA-planning de actuele Sophos-documentatie voor het betreffende platform en de cloud-netwerkarchitectuur controleren.

Gateway, Bridge en Discover/TAP

HA is beschikbaar in gateway- en bridge-modus. Discover- of TAP-modus ondersteunt alleen Active-Passive. Als ten minste één node in discover-modus werkt, kan geen Active-Active-cluster worden gevormd. Een actieve TAP-interface verhindert ook de Active-Passive-configuratie. Schakel de TAP-interface via de CLI op beide firewalls uit, bouw HA op en schakel TAP daarna afzonderlijk op elke node weer in. TAP blijft ook actief op de passieve Auxiliary.

Licenties en registratie

De HA-licenties verschillen per platform en HA-modus. Drie vragen zijn doorslaggevend: gaat het om hardware of virtueel/software? Wordt Active-Passive of Active-Active gebruikt? En welk apparaat is de Initial Primary, dus het apparaat dat de licentie voor het cluster houdt? Deze punten moeten voor de uitvoering worden afgestemd met licentiestatus, serienummers en doelmodus.

De belangrijkste licentiepunten:

• Base Firewall: Voor HA is een Base Firewall-licentie vereist. Hardware-appliances hebben deze standaard, maar de licentie eindigt wanneer het apparaat End of Life bereikt. Op cloud-, virtuele en software-appliances verloopt de Base Firewall-licentie niet, maar ze moet voor HA aanwezig zijn.
• Active-Passive Hardware: Alleen het Initial-Primary-apparaat heeft de Subscriptions voor de productieomgeving nodig. De Auxiliary Firewall ontvangt een kopie van de Subscriptions en kan na een failover traffic verwerken.
• Active-Active Hardware: Beide firewalls hebben eigen passende licenties nodig. De licentietypen moeten overeenkomen, vervaldatums mogen verschillen.
• Active-Passive Virtual/Software: Alleen de Primary heeft de benodigde licenties inclusief Base Firewall nodig.
• Active-Active Virtual/Software: Beide apparaten hebben een eigen Base Firewall-licentie en passende verdere beschermingslicenties nodig.
• Registratie Hardware: Beide hardware-apparaten moeten vóór de HA-configuratie in Sophos Fusion zijn geclaimd en hun licenties kunnen synchroniseren.
• Registratie Virtual/Software Active-Passive: Bij Active-Passive Virtual/Software wordt volgens Sophos alleen de Primary geclaimd.
• Sophos Central Management: Licentiesynchronisatie en claiming betekenen niet automatisch dat de firewalls ook via Sophos Central Firewall Management worden beheerd. Hiervoor is een passende extra Subscription nodig.
• RMA en support: Advance Hardware Replacement vereist Enhanced Plus Support op de Primary van een Active-Passive-hardwarecluster. In Active-Active heeft elk apparaat Enhanced Support of Enhanced Plus Support nodig.

Het HA-paar in Sophos Fusion beheren

Een HA-paar kan worden aangesloten op access-layer-switches, waaronder Sophos Switches. Sophos Fusion, voorheen Sophos Central, maakt centraal beheer van de firewalls en de Sophos Switches mogelijk. Dit vervangt geen redundant switchontwerp: een gedeelde switch kan nog steeds beide nodes treffen. Het oudere SFOS 23-overzicht gebruikt nog de naam Sophos Central; daaruit volgt geen andere HA-architectuur.

Een bestaand HA-paar wordt in Sophos Fusion als één paar beheerd, niet als twee onafhankelijke firewalls. Beide nodes hebben dezelfde firmwareversie nodig en voor Central Management een werkende IPv4-internetverbinding en het passende abonnement. Claiming en licentiesynchronisatie alleen activeren het beheer nog niet.

Wanneer twee al afzonderlijk door Sophos Fusion beheerde firewalls tot een HA-paar worden samengevoegd, adviseert Sophos beide eerst te deregistreren. Bouw HA lokaal op, registreer het voltooide paar opnieuw voor Central Management en verplaats het indien nodig naar een andere Central-groep.

Ga op de huidige Primary naar System > Sophos Central en selecteer Register both HA devices. Schakel daarna Central Management in en open in Sophos Fusion onder My Products > Firewall Management > Firewalls bij de Primary Approval Pending om accept-services te bevestigen. Na enkele minuten moet het paar één keer met het HA-pictogram verschijnen; wijzigingen vanuit Sophos Fusion gelden dan voor beide firewalls.

De Central-status vervangt de lokale validatie niet. Controleer na de registratie lokaal de HA-rollen, synchronisatie, licentiestatus en een onschadelijke configuratievergelijking. Als twee onafhankelijke vermeldingen verschijnen of Approval Pending blijft staan, deregistreer dan niet preventief een van de firewalls. Vergelijk eerst serienummers, Central-tenant, IPv4-pad en lokale HA-status.

Belangrijk: Bij Active-Passive is de Initial Primary bijzonder belangrijk, omdat dit apparaat de licentie voor het cluster houdt. In de HA-weergave staat bij het betreffende apparaat dat het de licentie voor het cluster houdt. Documenteer het apparaat ondubbelzinnig in het beheerlogboek.

Licentie op de verkeerde firewall – alleen Active-Passive: Als Active-Passive-abonnementen per ongeluk aan de Auxiliary zijn toegewezen in plaats van aan de licentiehoudende Initial Primary, is synchronisatie niet voldoende. Documenteer vóór elke wijziging het bronserienummer van de Auxiliary waaraan de licenties per ongeluk zijn toegewezen en het beoogde doelserienummer van de Initial Primary, los van de huidige HA-rollen, en vergelijk deze gegevens in SFOS en Sophos Fusion. Deze verkorte correctieprocedure geldt alleen als de huidige Primary en de Initial Primary hetzelfde fysieke apparaat zijn. Zijn het verschillende apparaten of is de toewijzing onduidelijk, stop dan vóór het uitschakelen van HA of de licentieoverdracht en bepaal de passende procedure aan de hand van de Sophos-handleiding of samen met Sophos Support; improviseer geen terugwisseling van de rollen. Schakel pas bij een eenduidige toewijzing HA gepland uit op de huidige Primary, draag de abonnementen in Sophos Fusion over van het gedocumenteerde bronserienummer naar het gedocumenteerde doelserienummer van de Initial Primary en configureer het Active-Passive-cluster daarna opnieuw. Licentieoverdrachten zijn ook relevant bij RMA of modelwissels, maar vereisen de toepasselijke procedure voor het specifieke geval. Omdat HA-modellen gelijk moeten zijn, moeten bij een modelwissel beide apparaten worden vervangen. In Active-Active moet ook de Auxiliary eigen licenties hebben. Dat is geen fout en mag niet met deze overdracht worden gecorrigeerd. Gebruik deze Active-Passive-procedure niet voor Active-Active-RMA zonder toepasselijke Sophos-instructies.

Verlopen of niet-gesynchroniseerde Active-Active-licenties kunnen load balancing stoppen en HA uitschakelen. Voor hardware en Virtual/Software beschrijft Sophos het begin van de stop tegenstrijdig: de samenvatting noemt het einde van drie dagen, de detailpunten de eerste drie dagen en daarna de HA-uitschakeling. Het exacte begin is niet opgehelderd; dit is geen gegarandeerde respijtperiode van drie dagen. Corrigeer licentieproblemen snel en spreek zo nodig met Sophos Support een veilig bedrijfsplan voor de geïnstalleerde build af. Bij de eerste configuratie wordt Active-Active met niet-passende licenties niet geactiveerd.

Synchroniseer in Active-Passive de licenties van de Primary. De licentiehoudende Initial Primary moet ze minstens eenmaal binnen 90 dagen synchroniseren. Bij hardware stoppen anders de betreffende beschermingsabonnementen; Base Firewall en Enhanced Support blijven actief. Bij Virtual/Software wordt de Base Firewall-licentie gedeactiveerd, HA uitgeschakeld en worden verdere beschermingsfuncties inactief. Online gelicentieerde clusters hebben daarvoor DNS, een correcte systeemtijd, routing en internettoegang tot de Sophos-licentiediensten nodig. Geïsoleerde clusters gebruiken in plaats daarvan de gedocumenteerde handmatige Air-Gap-licentieworkflow.

Synchroniseer in Active-Active, op hardware en Virtual/Software, de licenties van beide apparaten afzonderlijk met Sophos Fusion en controleer het succes op de Primary en Auxiliary. Overeenkomende licentietypen en aanwezige licenties vervangen deze stap niet. Op hardware blijven Base Firewall en Enhanced Support actief bij de beschreven licentieproblemen; op Virtual/Software schakelt een gedeactiveerde Base Firewall-licentie HA uit en worden de andere licenties inactief. Gebruik de onopgehelderde drie-dagen-uitspraak niet als synchronisatie-interval.

Voor de bedrijfsvoering moet je minstens documenteren:

• welk apparaat de Initial Primary is
• welke serienummers of appliance-ID’s bij het cluster horen
• welke licenties op welk apparaat actief zijn
• wanneer de licenties voor het laatst succesvol zijn gesynchroniseerd; in Active-Active de status en het tijdstip afzonderlijk voor beide nodes
• welk supportniveau voor RMA of Advance Replacement aanwezig is
• wie licentiewijzigingen, verlengingen en RMA-processen goedkeurt

Netwerkvereisten

• HA-Link: Toegewijde verbinding tussen beide firewalls, idealiter direct met Ethernet-kabel.
• HA-Link-zone: DMZ-zone met geactiveerde SSH voor de zone.
• HA-Link-IP-adressen: Statische IP-adressen in hetzelfde subnet, maar verschillende adressen.
• HA-Link-kwaliteit: Hoge bandbreedte, lage latency, geen pakketverlies.
• Switches: RSTP activeren op switches die met firewall-poorten zijn verbonden.
• Monitored Ports: Alleen poorten bewaken die echt aangesloten en kritiek zijn.
• Cellular WAN: Voor HA uitschakelen.
• Peer Admin Port: Apart plannen, zodat de Auxiliary Firewall bereikbaar blijft.
• Interface-adressen: Active-Active vereist statische IP-adressen op alle interfaces. Active-Passive staat DHCP, DHCP Prefix Delegation en PPPoE toe. De PPPoE-verbinding heeft geen sessiefailover; pas voor ander verkeer de protocol- en dienstspecifieke grenzen hierboven toe.

In Active-Passive kunnen productieinterfaces DHCP, DHCP Prefix Delegation of PPPoE gebruiken, maar de Dedicated HA Link en beide beheerpoorten vereisen nog steeds statische adressen. In Active-Active moeten alle interfaces statische adressen hebben.

Configureer breakout-interfaces op de Primary. Start bij een nieuwe breakout-configuratie eerst de Primary opnieuw op om de wijziging toe te passen en start daarna de Auxiliary opnieuw op. Als de passende breakout-configuratie al op de Primary aanwezig is, start dan na de synchronisatie alleen de Auxiliary opnieuw op. Als de Primary geen overeenkomstige breakout-configuratie heeft, verwijdert de synchronisatie een breakout-configuratie die alleen op de Auxiliary bestaat. De afzonderlijke situaties worden uitgelegd in Breakout-interfaces configureren.

De HA-Link verwerkt geen normaal client- of serververkeer. Hij is alleen relevant voor heartbeats, status, sessiesynchronisatie, configuratiesynchronisatie en Active-Active-verdeling. Hij kan niet voor HSRP worden hergebruikt, omdat HSRP-hello-berichten niet over de Dedicated HA Link lopen. Toch is hij extreem kritisch. Als de HA-Link uitvalt, kunnen beide firewalls denken dat ze de primaire zijn. Precies dit split-brain-scenario moet je vermijden.

De Peer Admin Port biedt afzonderlijke beheerstoegang tot de Auxiliary Firewall. QuickHA selecteert automatisch de interface van de huidige WebAdmin-sessie; voor toegang tot de Auxiliary moet de beheerclient zich in hetzelfde subnet bevinden. De officiële adresinstructies spreken elkaar echter tegen: de beschrijving van HA-modi en rollen sluit de Dedicated HA link én beheerpoorten uit van synchronisatie, en de HA-specifieke interfacevereisten verlangen voor beide beheerpoorten verschillende statische IP-adressen in hetzelfde subnet. De opstartgids voor de managementpoort verbiedt daarentegen verschillende PortMGMT-IP-adressen in HA omdat de configuratie volgens die gids wordt gesynchroniseerd. Een gedeeld PortMGMT-IP met een extra Peer Administration-IP is geen vastgestelde oplossing voor deze tegenstrijdigheid.

Documenteer vóór de HA-configuratie of wijzigingen aan beheeradressen de huidige Primary/Auxiliary-rollen, of de beoogde rollen voor zelfstandige apparaten, de exacte geïnstalleerde SFOS-build, de geselecteerde beheerinterface en de huidige IP-adressen. Bewaar een actuele back-up veilig buiten de apparaten en zorg voor een afzonderlijke console- of lokale beheerroute. Verifieer welk adresgedrag voor de geïnstalleerde build geldt aan de hand van toepasselijke documentatie of vraag Sophos Support. Blijft de tegenstrijdigheid onopgelost, stop dan vóór Initiate HA of wijzigingen aan beheeradressen.

Het standaardadres voor normale poorten is 172.16.16.16; de speciale PortMGMT op grotere appliances gebruikt 10.0.1.1. De Primary is bereikbaar vanuit elke zone waar HTTPS onder Administration > Device access is toegestaan. Voor WebAdmin op de Auxiliary moet het beheerendpoint in hetzelfde subnet liggen als de beheerpoort.

Poorten en interfaces

• Dedicated HA link: Dient voor heartbeat, status, configuratie- en sessiesynchronisatie. Direct verbinden of via een zeer betrouwbare switch voeren. Niet voor productieverkeer gebruiken.
• Monitored ports: Bewaken kritieke productieverbindingen. WAN, belangrijke DMZ- of core-uplinks bewaken, maar geen ongebruikte poorten selecteren.
• Peer Admin Port: Geeft toegang tot de Auxiliary WebAdmin. Apart plannen en documenteren; de client moet in het juiste subnet liggen.
• Productieinterfaces: LAN, WAN, DMZ, VLAN’s en LAG’s op beide firewalls identiek bekabelen en gelijkwaardig ontwerpen.

Als Dedicated HA link zijn fysieke interfaces, VLAN’s of LAG’s mogelijk. Bridge-interfaces en alias-IP-adressen kunnen niet als toegewijde HA-Link worden gebruikt. QuickHA kan maximaal vier niet-gebonden fysieke interfaces samenvoegen tot een HA redundant link; bij een reeds geconfigureerde LAG moeten de parent-interfaces op beide appliances gelijk zijn opgebouwd.

In SFOS 23 vereist een Dedicated HA link met LAG of VLAN over LAG Keepalive request interval × Keepalive attempts ≥ 2500 ms. De SFOS 23-installatiestandaard van 100 ms × 3 = 300 ms voldoet niet aan deze LAG-eis en mag hier niet ongewijzigd worden toegepast. Een toegestaan voorbeeld is 250 ms × 10 pogingen = 2500 ms, geen universele standaardwaarde. QuickHA maakt een HA redundant link als LAG wanneer meer dan één ongebonden fysieke interface wordt geselecteerd; deze eis geldt dus ook voor die topologie. Controleer de daadwerkelijke linkconfiguratie. Ga niet uit van automatische onderhandeling van geschikte waarden door QuickHA; controleer de ingestelde waarden voordat je op het cluster vertrouwt.

Hogesnelheidspoorten: Kies voor 25-, 50- en 100-GbE-poorten van de XGS 7500/8500 Series onder Network > Interfaces > Advanced settings aan beide zijden dezelfde Link mode met passende snelheid en duplex en sla deze op met Save. Open de interface daarna opnieuw om deze te bewerken, gebruik Show recommended settings > Load recommended configuration voor negotiation en Forward Error Correction (FEC) en sla opnieuw op met Save. Als de aanbevelingen na het eerste opslaan en opnieuw openen leeg blijven, schakel dan Auto-negotiation voor Media Type en FEC uit en sla de wijziging op. Gebruik voor andere poorten Automatic of identieke speed/duplex-waarden en behoud de standaardwaarden voor MTU en MSS. Als QuickHA een ongebonden interface selecteert, reset SFOS de Advanced settings daarvan; controleer deze waarden opnieuw nadat HA is opgebouwd.

Belangrijk: de Dedicated HA link en een Monitored Port mogen niet dezelfde interface zijn. Als een interface al in een productieconfiguratie wordt gebruikt en toch als HA-Link wordt geselecteerd, kan de firewall afhankelijke interfaceconfiguraties wijzigen of verwijderen. Daarom moet de HA-Link vooraf vrij en gedocumenteerd zijn.

Netwerkontwerp

Beide firewalls moeten bij een storing dezelfde netwerkpositie kunnen overnemen. Productieinterfaces, VLAN-trunks, LAG’s, switchpoorten en providerverbindingen worden daarom aan beide zijden gelijkwaardig bekabeld. WAN-redundantie, SD-WAN en providerfailover blijven afzonderlijke taken; HA vervangt ze niet.

• Verbind de Dedicated HA link zo mogelijk rechtstreeks. Via switches moet het pad stabiel, latentiearm en zonder pakketverlies zijn.
• Geografisch gescheiden HA-nodes zijn alleen zinvol via een Layer 2-netwerk met lage latentie in hetzelfde broadcastdomein. De Dedicated HA Link blijft in hetzelfde IP-subnet; hoge latentie of pakketverlies maken dit ontwerp ongeschikt.
• Activeer RSTP op de betrokken switches en configureer VLAN’s, trunks en LAG’s aan beide zijden identiek.
• Bewaak alleen permanent aangesloten WAN-, core- of DMZ-uplinks. Een bewust niet-aangesloten Monitored Port veroorzaakt anders een failover.
• VLAN’s en LAG’s zijn mogelijk, maar moeten op beide nodes dezelfde parent-interfaces gebruiken. Bridge Mode werkt, maar is complexer te troubleshooten dan Gateway Mode.
• Test VPN-, RED- en remote-scenario’s afzonderlijk, omdat niet elke sessie transparant wordt overgenomen.
• Beperk beheerstoegang en Device Access bewust. Zie Sophos Firewall toegang beveiligen: Device Access correct configureren.

Voor Active-Active moet bovendien duidelijk zijn welk knelpunt door het werkelijk verdeelbare TCP-verkeer wordt verlicht. Als licenties, diensten en troubleshooting op beide nodes niet zijn geregeld, blijft Active-Passive de betere keuze.

Let op: bij een split-brain achten beide firewalls zichzelf verantwoordelijk. Dat kan dubbele IP- en MAC-adressen en productie-uitval veroorzaken. Als de HA-Link uitvalt, bepaal dan eerst welke node actief moet blijven en schakel de andere gecontroleerd uit of koppel die los van het productienetwerk.

Installatie voorbereiden

Voor de HA-installatie moet je niet in het productienetwerk improviseren. Deze voorbereiding bespaart later veel tijd.

Voorbereiding van beide firewalls

• Beide firewalls op dezelfde SFOS-versie inclusief build brengen.
• Licentie- en registratiestatus controleren.
• Cellular WAN uitschakelen.
• Zorgen dat de modellen compatibel zijn.
• Flexi Port-uitrusting controleren.
• Interfaces en switchpoorten documenteren.
• HA-Link-poort vaststellen.
• HA-Link direct bekabelen of het switchpad controleren.
• Voor de HA-Link DMZ-zone en SSH-toegang plannen.
• Admin-toegang tot beide apparaten documenteren.
• Back-up van de bestaande configuratie maken.
• Als LINCE nodig is, stel de modus vóór HA op beide apparaten gelijk in.

FIPS volgt een andere volgorde dan LINCE. De FIPS 140-3-modus wordt eerst op de standalone Primary geactiveerd, wat een factory reset uitvoert; tijdens de daaropvolgende HA-setup activeert Sophos FIPS automatisch op de Auxiliary.

Back-ups zijn bij HA niet optioneel. Voor de installatie, voor firmware-updates en voor grotere interface-wijzigingen moet een back-up aanwezig zijn. De basisprincipes staan in Sophos Firewall back-up maken of herstellen.

Vóór de klik op Initiate HA moet daarnaast worden gecontroleerd:

• Tegenstrijdige beheeradresinstructies opgehelderd: Documenteer de huidige Primary/Auxiliary-rollen, of de beoogde rollen voor zelfstandige apparaten, de exacte SFOS-build, de geselecteerde beheerinterface en de huidige IP-adressen. Bewaar een actuele back-up veilig extern en zorg voor een afzonderlijke console- of lokale beheerroute. Verifieer het toepasselijke adresgedrag voor deze build of vraag Sophos Support; stop bij onduidelijkheid vóór Initiate HA of beheeradreswijzigingen.
• Dedicated HA link zonder afhankelijkheden in productie: HA kan interface-IP-adressen en afhankelijke configuraties wijzigen.
• Monitored Ports op beide apparaten verbonden: Een niet-verbonden Monitored Port kan de clusteropbouw verhinderen of direct failover activeren.
• Cluster ID eenduidig: Meerdere HA-clusters in hetzelfde Layer-2-gebied hebben verschillende virtuele MACs nodig.
• Back-up, SSMK en firmware-build gedocumenteerd: Bij restore, RMA of reimage moet het cluster reproduceerbaar zijn.

LINCE vóór HA vastleggen

Sinds SFOS 21.5 MR1 kan LINCE na het opzetten van een HA-cluster niet meer worden in- of uitgeschakeld. Als de certificering nodig is, voer je de volgende opdracht in de Device Console uit op beide nog zelfstandige firewalls.

Waarschuwing: Zorg vooraf voor een alternatieve beheerroute via WebAdmin of de lokale console. De opdracht activeert LINCE, start de SSH-dienst opnieuw en verbreekt bestaande SSH-sessies.

system certification lince enable

Controleer daarna op beide apparaten de LINCE-status en bouw pas dan HA op. Bij een restore moeten back-up en doelcluster dezelfde LINCE-status hebben.

LINCE-modus op Sophos Firewall begrijpen en inschakelen legt uit waarom de modus de gebruikte SFOS-build niet automatisch certificeert en welke SSH-algoritmen vóór inschakeling moeten worden gecontroleerd.

QuickHA of Interactive mode

• QuickHA: Standaardgeval. Snel, robuust en voor de meeste Active-Passive- en Active-Active-installaties voldoende.
• Interactive mode: Zinvol als Admin Ports, HA-Link-adressen, Cluster ID, Monitored Ports en detailwaarden vóór de opbouw bewust moeten worden opgegeven.

QuickHA vraagt eerst alleen om rol, nodenaam, passphrase en Dedicated HA link. De passphrase moet 10 tot 20 tekens lang zijn en minstens één hoofdletter, één kleine letter, één cijfer en één speciaal teken bevatten. Ze wordt eenmaal gebruikt om SSH-sleutels te genereren en daarna verwijderd. Vóór vervanging van een apparaat in een nog functionerend HA-paar moet HA daarom worden uitgeschakeld en vervolgens met het vervangende apparaat opnieuw worden geconfigureerd. De afzonderlijke uitgangssituatie na RMA en de afwijkende reimage-beschrijvingen worden toegelicht in de betreffende secties verderop.

Voorbereide QuickHA-apparaten blijven naar hun peer zoeken totdat ze deze vinden. Ze kunnen daarom vooraf worden geconfigureerd en later op de bestemming worden aangesloten. Zodra een apparaat de peer heeft gevonden en HA wordt opgebouwd, kan dit discovery-proces niet meer worden gestopt. Interfacekeuze, passphrase en bedoelde peer moeten daarom kloppen voordat beide HA-links tegelijkertijd bereikbaar zijn.

Voor wijzigingen in de productieomgeving moet je niet alleen de wizard doorlopen, maar rollen, HA-Link, admin-toegang, back-up, licentiestatus en terugweg vooraf documenteren.

Nodenamen in QuickHA: In SFOS 22 is het toewijzen van een naam optioneel. Voor SFOS 23 vragen de gedetailleerde handleidingen om een nodenaam, terwijl de voorbeeldhandleidingen deze nog steeds als optioneel beschrijven. De volgende checklist kent daarom aan beide apparaten verschillende, duidelijk herkenbare namen toe. Dit is een conservatieve werkwijze en geen bewijs dat de GUI een leeg naamveld afwijst.

HA instellen

Active-Passive met QuickHA

1. Primary Firewall voorbereiden

1. Aanmelden op de toekomstige primaire firewall in WebAdmin.
2. Ga naar System services > High availability.
3. Kies als modus Primary (active-passive).
4. Gebruik QuickHA.
5. Wijs een unieke nodenaam toe, bijvoorbeeld FW01.
6. Een HA-passphrase van 10 tot 20 tekens met hoofdletter, kleine letter, cijfer en speciaal teken instellen.
7. De passphrase veilig opslaan, omdat deze zo meteen op de Auxiliary nodig is.
8. De Dedicated HA link selecteren.
9. Initiate HA starten.

Opmerkingen:

• Als QuickHA een ongebonden interface gebruikt, wijst Sophos deze interface toe aan de DMZ-zone en kent het standaard het adres 169.254.192.1 toe. SSH wordt automatisch voor de zone geactiveerd.
• De firewall verwijdert afhankelijke configuraties van de gekozen HA-Link-interface. Deze moet daarom vrij zijn van afhankelijkheden in productie.

2. Auxiliary Firewall voorbereiden

1. Aanmelden op de toekomstige Auxiliary.
2. Ga naar System services > High availability.
3. Kies als rol Auxiliary.
4. Gebruik QuickHA.
5. Wijs een andere nodenaam toe dan op de Primary, bijvoorbeeld FW02.
6. Dezelfde HA-passphrase invoeren.
7. Dezelfde HA-Link-poort als aan de primaire zijde selecteren.
8. Initiate HA starten.

Na de opbouw synchroniseert de Primary de configuratie naar de Auxiliary. Op de Auxiliary worden veel lokale instellingen overschreven. Daarom moet de Auxiliary voor de HA-installatie niet parallel als zelfstandige firewall voor de productieomgeving worden geconfigureerd.

3. Geavanceerde instellingen controleren

Na de clusteropbouw moet je niet zomaar wegklikken, maar de volgende punten controleren:

• HA-status van beide nodes
• Rol en status rechtsboven in WebAdmin
• Dedicated HA link
• Monitored Ports
• Peer Admin Port
• Preferred primary
• Keepalive-interval en pogingen
• Licentiehouder bij Active-Passive
• Sophos Fusion-registratie, indien gebruikt

4. Monitored Ports instellen

Monitored Ports bepalen of een interface-uitval een failover activeert. Het selectieveld heet in SFOS 22 Select ports to be monitored en in de gedetailleerde SFOS 23-handleidingen Monitored interfaces. Typische kandidaten:

• WAN-uplink
• Core-LAN-uplink
• Belangrijke DMZ- of server-uplinks

Je moet geen poorten bewaken die soms bewust offline zijn, niet bekabeld zijn of alleen voor optionele scenario’s worden gebruikt. Een verkeerd ingestelde Monitored Port is een veelvoorkomende oorzaak van onverwachte failovers of een niet startend cluster.

Fysieke interfaces, LAGs en ongebonden interfaces met een geconfigureerd VLAN kunnen worden geselecteerd. Een ongebonden interface zonder VLAN kan niet als Monitored Port worden gekozen. Monitored Ports vereisen statische IP-adressen in beide HA-modi.

SFOS 23 staat maximaal 24 Monitored ports toe. Houd de selectie gescheiden van de Dedicated HA link en neem alleen daadwerkelijk benodigde productielinks op.

HA werkt ook zonder geselecteerde Monitored Ports. In dat geval activeert alleen de uitval van een productiepoort geen failover; heartbeat-, apparaat- of stroomuitval kunnen nog steeds een rolwisseling activeren. Elke daadwerkelijk geselecteerde poort moet op beide nodes aangesloten zijn. Bewaking van de poortstatus detecteert niet elke uitval bij een bovenliggende provider.

Geavanceerde HA-instellingen zoals Monitored interfaces, Peer administration, Preferred primary en keepalive-waarden worden na de QuickHA-opbouw op de huidige Primary gewijzigd. Voor Peer administration en beheeradreswijzigingen geldt eerst de bovenstaande conflictpreflight; stop als het toepasselijke adresgedrag nog niet is opgehelderd. Controleer vooraf de back-up, het onderhoudsvenster en de gewaarborgde beheerstoegang; de hierboven beschreven MAC-wijziging veroorzaakt downtime. Houd bij een op LAG gebaseerde HA-Link rekening met de keepalive-vereiste en wijzig geen waarden in de status Standalone of Faulty. Scrol na het maken van de gewenste selectie terug naar de bovenkant van de pagina en kies Initiate HA. Daarmee synchroniseert de Primary de wijzigingen naar de Auxiliary. Controleer daarna op beide nodes de HA-rollen, status, synchronisatie en gewijzigde waarden; vergelijk bij afwijkingen eerst de HA-Link en de logs van beide apparaten. Deze afronding geldt ook voor de volgende Active-Active-variant en moet worden onderscheiden van de eerste toetreding van beide apparaten.

Active-Active met QuickHA

Active-Active wordt op vergelijkbare wijze ingesteld, maar met een ander doel. Vooraf moeten beide firewalls passend gelicenseerd zijn.

De procedure is gelijk aan Active-Passive, maar op FW01 kies je Primary (active-active). Vooraf moeten beide apparaten zijn geclaimd, dezelfde SFOS-build gebruiken en passende licentietypen hebben; alle interfaces vereisen statische IP-adressen. Monitoring en troubleshooting moeten beide nodes omvatten en het relevante verkeer moet profiteren van de hierboven beschreven TCP-verdeling.

Na de installatie testen

Bij Active-Active moet meer worden getest dan alleen de HA-status:

• Worden verbindingen over beide nodes verdeeld?
• Zijn de licenties van beide nodes afzonderlijk succesvol gesynchroniseerd, met status en tijdstip apart vastgelegd?
• Zijn logs op beide apparaten zichtbaar?
• Werken VPN-verbindingen na een rolwisseling?
• Werken Web Protection, IPS, Application Control en relevante beveiligingsfuncties?
• Zijn er toepassingen die opvallen door asymmetrisch gedrag?
• Worden rapporten en waarschuwingen zoals verwacht gegenereerd?

Interactive mode

Interactive mode is zinvol als de automatische QuickHA-logica niet genoeg controle biedt.

Sta vóór de configuratie op beide apparaten SSH en Ping/Ping6 toe voor de DMZ-zone onder Administration > Device access. Interactive mode selecteert aanvankelijk automatisch de eerste DMZ-interface als Dedicated HA link. Als die interface niet voor HA is bedoeld of productieafhankelijkheden heeft, selecteer dan vóór het opslaan een vrije fysieke, VLAN- of voorbereide LAG-interface.

Typische redenen:

• Vaste HA-Link-IP-adressen moeten worden gebruikt
• Peer Admin Port moet precies worden gedefinieerd
• Cluster ID moet bewust worden ingesteld
• Meerdere HA-clusters bestaan in dezelfde laag-2-omgeving
• Virtuele appliances moeten met bepaalde MAC-opties worden gebruikt
• Een zeer gecontroleerde uitrol is noodzakelijk

In Interactive mode wordt eerst de Auxiliary en daarna de Primary geconfigureerd. Zo wordt de timeout voor peer-detectie op de Primary niet bereikt terwijl de tweede node nog wordt voorbereid.

1. Auxiliary configureren

1. Ga op FW02 naar System services > High availability.
2. Kies Initial device role > Auxiliary en HA configuration mode > Interactive mode.
3. Stel de nodenaam en een passphrase volgens de bovenstaande regels in.
4. Selecteer de vrije DMZ-poort voor de Dedicated HA link. De firewall verwijdert bestaande afhankelijke configuratie van deze interface.
5. Sla de configuratie op en wacht op de bevestiging dat de Auxiliary-configuratie is toegepast.

2. Primary configureren

1. Kies op FW01 Primary (active-passive) of Primary (active-active) en Interactive mode.
2. Stel een unieke Cluster ID en de nodenaam in.
3. Voer de passphrase van FW02 in.
4. Geef dezelfde Dedicated HA link en het statische HA-Link-IP-adres van de Auxiliary op. Het veld heet in SFOS 22 Dedicated peer HA link IPv4 address en in de gedetailleerde SFOS 23-handleidingen Peer IPv4 address of dedicated HA link. Beide HA-Link-adressen moeten in hetzelfde subnet liggen. Dit is niet het beheer-IP-adres onder Peer administration settings.
5. Selecteer de kritieke Monitored ports; SFOS 23 staat er maximaal 24 toe.
6. Geef onder Peer administration settings de managementinterface en het voor FW02 bedoelde beheer-IP-adres op, maar alleen nadat de bovenstaande conflictpreflight het toepasselijke adresgedrag voor de geïnstalleerde build heeft opgehelderd. Stop bij onduidelijkheid vóór adreswijzigingen of Initiate HA.
7. Selecteer zo nodig Use host or hypervisor-assigned MAC address voor virtuele appliances in SFOS 22, of Use interface MAC address in SFOS 23. De SFOS 23-optie gebruikt het hypervisor-MAC op virtuele appliances en het interface-MAC op hardware in plaats van het virtuele cluster-MAC. In- of uitschakelen veroorzaakt downtime.
8. Stel Preferred primary in en kies Initiate HA.

Wijzig na de opbouw de keepalive-waarden alleen als daar een gedocumenteerde reden voor is. SFOS 22 staat intervallen van 250–500 ms en 16–24 pogingen toe; de standaardwaarden 250 ms en 16 pogingen geven 4 seconden timeout. SFOS 23 staat 100–500 ms en 3–24 pogingen toe; de standaardwaarden 100 ms en 3 pogingen geven 300 ms. Voor SFOS 23 Dedicated HA-links met LAG of VLAN over LAG moet het product minstens 2500 ms zijn: 250 ms × 10 pogingen is een toegestaan voorbeeld, niet de algemene standaardwaarde. Controleer dit ook bij door QuickHA gemaakte redundante LAGs. Deze waarden kunnen niet worden gewijzigd zolang de apparaten de status Standalone of Faulty hebben. Na de timeout voert de nieuwe Primary eerst interne controles uit voordat deze verkeer gaat verwerken. Geen van deze timeouts garandeert een hersteltijd voor het verkeer.

API-afwijking in SFOS 22: De beschrijving van Keepalive attempts noemt 8–16 pogingen, terwijl de gedetailleerde parameterbeperking en het XML-voorbeeld 16–24 vermelden. Voor dit veld geldt het gedetailleerde bereik hierboven; 8–16 is geen tweede bevestigd bereik. Documenteer vóór wijzigingen de geïnstalleerde SFOS-build en de huidige keepalive-waarden van beide nodes. Als de toepasselijke limieten onduidelijk blijven, stem deze dan vóór een wijziging af met Sophos Support; de LAG-vereisten blijven van toepassing.

API-preflight voor SFOS 22 en 23: De parametertabellen documenteren ClusterId als een optioneel geheel getal van 0–63 met standaardwaarde 0 en NodeName als een verplichte tekenreeks van 1–30 tekens. Ook met de gedocumenteerde standaardwaarde moet elk cluster in het gedeelde Layer 2-netwerk een eigen Cluster ID gebruiken om conflicten tussen virtuele MAC-adressen te voorkomen. Deze API-metadata veranderen niets aan de hierboven beschreven GUI-instructies over het optioneel dan wel verplicht toewijzen van namen en bewijzen geen GUI-validatie. De tabel gebruikt de schrijfwijze ClusterId, het XML-voorbeeld ClusterID; daaruit volgt noch een geteste toewijzing van de tags, noch een werkende API-payload.

In de geavanceerde HA-instellingen van SFOS 23 is Monitor hardware components optioneel en voegt het een failover-trigger toe als een probleem met een opslagapparaat wordt gedetecteerd, naast heartbeat-uitval en uitval van bewaakte interfaces. Ga er niet van uit dat het standaard is ingeschakeld of alle hardwarefouten detecteert.

API-opmerking voor SFOS 23: De API-parametertabel vermeldt HardwareMonitor als optionele scalaire parameter (SCALAR, Mandatory: No), met de waarden Enable en Disable en de gedocumenteerde API-standaardwaarde Enable. Die documentatiewaarde bewijst noch de werkelijke GUI-instelling, noch de runtime-status van het apparaat. Controleer de instelling op het geïnstalleerde apparaat; de hierboven beschreven beperking tot opslagapparaten blijft gelden.

Het XML-voorbeeld van de SFOS 23-API bevat nog steeds Number(250-500) en Number(16-24). Deze placeholders komen niet overeen met de tabelbereiken van 100–500 ms en 3–24 pogingen en mogen niet als volledige limieten worden overgenomen. Dit bewijst niet dat het product de lagere waarden afwijst en evenmin dat het API-gedrag is getest.

Een nieuwe virtuele Auxiliary als HA spare verbinden

Voor een nieuwe virtuele Auxiliary in Active-Passive kan de Setup Assistant Connect as HA spare gebruiken. Deze procedure is een alternatief voor de hierboven beschreven opbouw met twee bestaande apparaten waarbij eerst de Auxiliary wordt geconfigureerd: de nieuwe spare-VM wordt niet vooraf als Auxiliary geconfigureerd. Rond vóór Initiate HA de hierboven beschreven beheeradresconflictpreflight af en stop als het toepasselijke adresgedrag voor de geïnstalleerde build onduidelijk blijft; automatische beheerpoortconfiguratie lost de tegenstrijdige adresinstructies niet op. Active-Active of twee bestaande Virtual/Software-firewalls vereisen nog steeds QuickHA of Interactive mode op beide apparaten.

1. Sta op de bestaande Primary SSH voor DMZ toe onder Administration > Device access en selecteer onder System services > High availability Primary (active-passive) en Interactive mode. Voer in SFOS 23 vóór Initiate HA een Cluster ID en een nodenaam in; de SFOS 22-handleiding beschrijft het invoeren van de Cluster ID en het wijzigen van de nodenaam als optioneel. Als meerdere HA-clusters in hetzelfde Layer 2-netwerk aanwezig zijn, gebruik dan voor elk cluster een verschillende Cluster ID om conflicten tussen virtuele MAC-adressen te voorkomen. Documenteer de Dedicated HA Link, het eigen IP-adres en subnetmasker daarvan, het beoogde peer-IP, Peer Administration en de op de Primary gebruikte HA-passphrase en bewaar deze gegevens veilig. Selecteer daarna Initiate HA; scrol hiervoor in SFOS 23 terug naar de bovenkant van de pagina. De Sophos-handleiding voor de spare documenteert op dit punt, vóór de toetreding van de nieuwe VM, de melding HA could not be enabled en tijdelijk de status Standalone. Geen van beide bewijst op zichzelf in deze opbouwfase dat een voltooid cluster is mislukt.
2. Installeer de nieuwe virtuele firewall met exact dezelfde SFOS-build, start de Setup Assistant en stel een nieuw beheerderswachtwoord in.
3. Selecteer Connect as HA spare en voer het serienummer van de bestaande Primary, dezelfde eerder op de Primary gebruikte en veilig gedocumenteerde HA-passphrase en dezelfde Dedicated-HA-Link-interface in. Gebruik voor de nieuwe spare een eigen, vrij IP-adres dat verschilt van dat van de Primary, in het subnet van de bestaande Dedicated HA Link van de Primary en met een identiek subnetmasker; het moet overeenkomen met het daar voorbereide peer-IP. Ga niet uit van een passphrase van een vermeend al geconfigureerde Auxiliary.
4. Selecteer Apply, Continue en Finish. SFOS maakt de Auxiliary aan, wijst een serienummer toe dat met HAAUX begint en configureert de Dedicated HA Link en beheerpoort automatisch.
5. Vernieuw na enkele minuten WebAdmin van de Auxiliary en meld je opnieuw aan. Controleer daarna op de Primary de rollen, synchronisatie, Peer Admin, Monitored Ports en failover.

Cluster valideren

Na de installatie moet het HA-cluster systematisch worden gecontroleerd.

WebAdmin-controle

1. Aanmelden op de primaire firewall.
2. Rechtsboven de HA-status controleren.
3. Ga naar System services > High availability.
4. Rollen, status, serienummers en modus controleren.
5. Zorgen dat het cluster gesynchroniseerd is.
6. Bij Active-Passive controleren welk apparaat de licentie voor het cluster houdt.

CLI-controle

In de Device Console toont de volgende read-only opdracht rollen, status en synchronisatie van het cluster. De configuratie wordt niet gewijzigd:

system ha show details

SFOS 22-bedrijfsparameters controleren

SFOS 22 publiceert twee extra HA-controls. Lees beide voordat een wijziging wordt uitgevoerd:

system ha auxiliary_system_traffic_through_dedicated_link show
system ha load-balancing show

De eerste control bepaalt het pad voor systeemverkeer dat de Auxiliary Firewall zelf verstuurt. Standaard loopt al dit verkeer over de Dedicated HA Link. Naast all zijn none en only_dynamic_interface beschikbaar. Sophos definieert niet nauwkeuriger welke flows in de laatste modus als dynamische interface gelden. Gebruik deze optie daarom alleen voor een op de geïnstalleerde build bevestigde toepassing en niet als algemene routingfix.

De tweede control schakelt de verdeling van geschikt verkeer tussen de firewalls in of uit. Deze vervangt de keuze van de HA-modus niet en maakt de hierboven uitgesloten diensten en tunnels niet geschikt voor load balancing. Voer wijzigingen afzonderlijk in een onderhoudsvenster uit en sla vooraf de uitvoer van beide show-opdrachten op:

system ha auxiliary_system_traffic_through_dedicated_link [all|none|only_dynamic_interface]
system ha load-balancing [on|off]

Controleer daarna rollen, synchronisatie, de Dedicated HA Link, nieuwe sessies, node-lokale logs en systeemverbindingen die de Auxiliary zelf start. Herstel voor een rollback de eerder waargenomen waarde. Sophos documenteert all alleen voor de eerste control als standaardwaarde; neem voor load balancing geen standaardwaarde aan.

Welk apparaat de licentiehoudende Initial Primary is, controleer je onder System services > High availability. Sophos documenteert daarnaast de volgende officiële CLI-controle in de Advanced Shell:

nvram get "#li.master"

YES identificeert de Initial Primary die de clusterlicenties houdt; NO identificeert het als Auxiliary geconfigureerde apparaat. De opdracht is read-only. De HA-weergave blijft overzichtelijker voor dagelijkse controles, maar de shelluitvoer is eveneens officieel gedocumenteerd.

Als de Shell-toegang nog niet is voorbereid, helpt de handleiding Sophos Firewall verbinden via SSH.

Functionele test

• Internettoegang vanaf een LAN-client testen.
• Toegang tot interne servers testen.
• VPN testen.
• DNAT- of WAF-scenario’s testen.
• DNS en DHCP testen, als de firewall deze diensten levert.
• Logs in de Log Viewer controleren.
• HA-rolwisseling in een onderhoudsvenster testen.
• Daarna rollen, status en sessiegedrag documenteren.

Bediening en onderhoud

Voortdurende monitoring

Bewaak HA- en rollenstatus, Dedicated HA link, Monitored Ports, licenties, firmware, CPU, RAM, schijf en centrale diensten. Stuur waarschuwingen naar Sophos Fusion, e-mail of het bestaande monitoringsysteem.

Voor schijf- en hardwareproblemen moet je beide nodes afzonderlijk bekijken. Lokale rapporten, logbestanden en SSD-status kunnen verschillen. De artikelen Sophos Firewall opslagruimte controleren en rapporten beheren en Sophos Firewall SSD-status controleren met SMART passen hierbij.

Logs en rapporten

Elke node schrijft logs voor het verkeer dat hij verwerkt. Bij Active-Active moet je daarom beide apparaten controleren. Voor gezamenlijke analyse zijn Sophos Central Firewall Reporting of Syslog geschikt. De lokale bestanden worden uitgelegd in Sophos Firewall probleemoplossing: diensten en logs.

De Auxiliary verstuurt alleen rapportmails voor rapporten die op die node daadwerkelijk gegevens bevatten, zoals e-mailactiviteit of Pattern Updates. Rapporten zonder gegevens, zoals Security Dashboard of Security Audit, worden niet verstuurd. Een ontbrekende e-mail voor deze rapporttypen is daarom op zichzelf geen bewijs van een storing.

Bij Active-Active geeft het bron-IP-adres een eerste aanwijzing over de node waarop de logs worden verwacht: bij geschikt TCP-verkeer horen even adressen bij de Primary en oneven adressen bij de Auxiliary. Dit geldt niet zonder meer voor de hierboven uitgesloten verkeerstypen en vervangt de vergelijking van beide apparaten niet, vooral na een rolwisseling.

Open voor HA-events op elke node afzonderlijk Log viewer > System. Selecteer via Add filter het passende filter en de waarde voor de betreffende periode en pas deze toe met de knop Add filter. Open voor een gedetailleerde analyse op beide apparaten Diagnostics > Tools > Troubleshooting logs > Select files en selecteer csc.log voor de centrale dienst die de overige diensten beheert. Selecteer daarnaast de HA-bestanden die hieronder onder Belangrijke logs en diagnoseplaatsen worden beschreven en sla elk pakket afzonderlijk op met Download. Vergelijk voor de reconstructie van het clusterverloop de registraties van beide nodes en let op hiaten in de tijd of geroteerde logs.

Runbook voor de HA-bediening

Documenteer in het bedrijfs-runbook minstens:

• Serienummer, locatie, rackpositie en rol van beide appliances.
• Dedicated HA link, Peer Admin Port, Cluster ID en Monitored Ports.
• Preferred primary en verwacht gedrag na failover.
• Licentiehouder, supportstatus en RMA-contactweg.
• Procedure en verantwoordelijkheid voor firmware-update, back-up, reimage, hardwarevervanging, logs en supportgevallen.

Als alleen de WebAdmin op een node vastloopt, is niet automatisch het hele HA-cluster defect. Dan moet je gericht controleren of een herstart van de WebAdmin GUI of een gecontroleerde service-herstart voldoende is voordat je failover of reboot activeert.

Wijzigingen aan het cluster

Wijzig regels, interfaces en policies alleen op de Primary. Voor wijzigingen aan interfaces, VLAN’s, LAG’s, zones, routing, NAT, VPN, Device Access of SD-WAN:

• Back-up maken.
• Onderhoudsvenster definiëren.
• HA-status controleren.
• Documentatie bijwerken.
• Rollback-pad vaststellen.
• Test daarna synchronisatie en verkeer.

Handmatige synchronisatie en geforceerde rolwissel

Automatische synchronisatie is de normale werking. Gebruik Sync auxiliary device op de Primary of Auxiliary alleen om een bevestigd synchronisatieprobleem op te lossen. De Auxiliary start opnieuw op, voert een volledige synchronisatie van de database en bijbehorende bestanden uit en blijft Auxiliary. Logs en rapporten blijven lokaal op elke node. De firewall verbreekt tijdens dit proces alle masquerade-verbindingen, dus plan de handeling in een onderhoudsvenster.

Dwing in Active-Passive de Auxiliary tot overname met Switch to passive device op de huidige Primary of Switch to active device op de huidige Auxiliary. De huidige Primary start opnieuw op. Dit is een geplande rolwissel met risico voor sessies, geen onschuldige schakelaar.

HA gecontroleerd uitschakelen

De Sophos-HA-FAQ’s voor SFOS 22 en 23 noemen als algemene voorwaarde dat HA moet worden uitgeschakeld vóór een reimage, vóór vervanging van een node in het HA-paar en vóór een licentieoverdracht tussen de nodes. De eenmalige passphrase voor de SSH-tunnel wordt na het opzetten van de tunnel verwijderd; voor een nieuw apparaat moet HA daarom worden uitgeschakeld en opnieuw geconfigureerd. Deze vereiste vervangt geen planning voor het specifieke geval: de volgende reimage-details bevatten een afwijking in de documentatie en de RMA-procedures gaan ervan uit dat er al een gezonde node in de toestand Standalone HA is. Plan vooraf een back-up, gewaarborgde beheerstoegang, een onderhoudsvenster en de heropbouw; houd voor de Active-Passive-licentiecorrectie bovendien rekening met de hierboven beschreven voorwaarde voor serienummers en rollen.

Schakel HA waar mogelijk uit op de huidige Primary via System services > High availability > Disable HA. De gebruikte node bepaalt het resultaat:

Toegang via Fusion vanaf SFOS 22 MR1: De Sophos Known Issues, NC-186855, beschrijven een uitzondering op de algemene werking hierboven: als HA wordt uitgeschakeld in de firewallinterface die via Sophos Fusion/Central met FRP-SSO is geopend, kan de Auxiliary als standalone met ingeschakelde HA achterblijven, terwijl HA op de Primary al is uitgeschakeld. Hierdoor ontstaat een risico op split brain. Controleer na de actie de HA-status op beide apparaten afzonderlijk. Blijft de status inconsistent, onderbreek dan de geplande herconfiguratie en stem het herstel af met Sophos Support voordat de apparaten weer als paar worden gebruikt. Een geslaagde dialoog op de Primary volstaat niet als controle. Op 24 oktober 2026 vermeldt het item geen versie waarin dit is verholpen.

Firmware-updates en back-ups

Firmware-updates in HA-omgevingen

Firmware-updates worden op de primaire firewall gestart. De apparaten worden achtereenvolgens bijgewerkt, en het cluster kan tijdens deze tijd van rol wisselen.

Typische procedure:

1. Update op de primaire firewall starten.
2. Auxiliary wordt bijgewerkt.
3. Auxiliary start opnieuw en neemt tijdelijk over.
4. De voormalige Primary, die nu Auxiliary is, wordt bijgewerkt.
5. De voormalige Primary start opnieuw.
6. Als Preferred primary actief is, kan een terugwisseling naar het voorkeursapparaat plaatsvinden.

Toch geldt: firmware-updates horen in een onderhoudsvenster. Ook al is het proces gericht op minimale downtime, toch kunnen enkele sessies, VPN-verbindingen of speciale toepassingen kort worden onderbroken of opnieuw verbinding moeten maken.

Een firmware-rollback van het HA-paar volgt hetzelfde proces en vereist niet dat HA vooraf wordt uitgeschakeld.

Zie voor de voorbereiding Sophos Firewall firmware-update - voorbereiding en best practices.

Pattern-updates

Pattern-updates worden op de Primary geïnstalleerd en automatisch naar de Auxiliary gesynchroniseerd. Dit geldt ook voor omgevingen waarin updates gecontroleerd of offline worden geïnstalleerd.

Als een HA-cluster in een geïsoleerde omgeving wordt gebruikt, moet voor elke handmatige pattern- of licentie-update duidelijk zijn welke node de Initial Primary is en welke node momenteel de primaire is. De Air-Gap-procedure is beschreven in Sophos Firewall Air-Gap-licentieverlening en pattern-updates beheren.

Back-up en herstel

Maak regelmatig en voor elke grote wijziging een back-up. Bij ingeschakelde LINCE moeten back-up en doelcluster dezelfde LINCE-status hebben. Er zijn drie herstelscenario’s:

Active-Active en Bridge-VLAN’s: Elke node schrijft zijn eigen logs. In SFOS 22 Active-Active verwerkt alleen de Primary verkeer dat binnenkomt op VLAN-interfaces die op Bridge Interfaces zijn geconfigureerd. De installatie- en interfacebeschrijvingen van SFOS 23 laten deze beperking weg, maar dat bevestigt geen load balancing. Plan dit verkeer conservatief alleen op de Primary en reken voor de capaciteit niet op verdeling totdat Sophos Support het gedrag voor de gebruikte SFOS 23-build en topologie heeft bevestigd.

Toegang tot quarantaine: Elke node bewaart zijn eigen quarantaine en verstuurt zijn eigen Quarantine Digest. Beheerders geven een e-mail vrij op de node die deze heeft verwerkt. Gebruikers geven e-mails in quarantaine vrij via het User Portal. Het User Portal toont alleen e-mails in quarantaine op de huidige Primary.

Let op bij een back-up zonder HA: De Sophos-beschrijvingen voor SFOS 22 en 23 spreken zichzelf tegen over de toestand van de Auxiliary na dit herstel: de lopende tekst zegt dat de vorige configuratie behouden blijft, terwijl de samenvatting een fabrieksreset vermeldt, behalve voor de Peer Admin Port en Dedicated HA Link. Noch volledig behoud, noch een fabrieksreset is daarmee vastgesteld gedrag. Vertrouw er niet op dat de configuratie van de Auxiliary behouden blijft. Bewaar eerst de configuraties extern, documenteer beheer-IP-adressen en inloggegevens en plan downtime en heropbouw van HA. Stem de procedure voor de geïnstalleerde SFOS-build af met Sophos Support voordat je afhankelijk wordt van de onzekere toestand van de Auxiliary.

Als de Primary als Sophos ZTNA-gateway was geregistreerd, voeg deze na herstel op het HA-cluster opnieuw als gateway toe in Sophos ZTNA.

HA-nodes opnieuw installeren in Active-Passive

Een reimage onderbreekt de werking en geldt volgens Sophos alleen voor Active-Passive. Voer vooraf op beide nodes system diagnostics show version-info uit in de Device Console, documenteer de firmware inclusief build en de Initial Primary en bewaar een actuele back-up extern.

Toepassingsgebied van de volgende procedures: FW1 is aan het begin zowel de huidige Primary als de licentiehoudende Initial Primary; FW2 is de huidige Auxiliary. Deze namen verwijzen tijdens de volledige procedure naar dezelfde fysieke apparaten, ook na een rolwisseling. Het doel is opnieuw FW1 als Primary en FW2 als Auxiliary. Als de huidige Primary en de Initial Primary verschillende apparaten zijn, improviseer dan niet met deze procedures: bepaal eerst de rollen en de licentiehouder aan de hand van de toepasselijke Sophos-handleiding of samen met Sophos Support.

Afwijking in de documentatie vóór de reimage ophelderen: De HA-FAQ’s voor SFOS 22 en 23 vereisen in het algemeen dat HA vóór een reimage wordt uitgeschakeld. De gedetailleerde Active-Passive-handleidingen beschrijven bij een reimage van de Primary en van beide nodes daarentegen een rolwisseling met Switch to passive device en een daaropvolgende herinstallatie, zonder een afzonderlijke stap Disable HA te noemen. De rolwisseling is niet hetzelfde als het uitschakelen van HA; het weglaten van die stap bewijst geen algemeen veilige uitzondering. De volgende gedetailleerde procedures blijven daarom behouden als gedocumenteerde, maar op dit punt tegenstrijdige werkwijzen. Leg vóór uitvoering de rollen, Initial Primary, geïnstalleerde build, back-up, downtime en terugweg definitief vast en stem de juiste volgorde af met Sophos Support als je op deze afwijkende detailprocedure bent aangewezen. Stop bij een onduidelijke volgorde vóór de rolwisseling of herinstallatie; voeg niet op eigen initiatief een uitschakelstap aan de procedure toe.

Als FW1 voor Central Management is geregistreerd, deregistreer dit apparaat dan vóór elk van de drie procedures. Controleer daarna in dezelfde Sophos Central-/Fusion-tenant onder My Products > Firewall Management > Firewalls dat de vermelding van FW1 niet meer aanwezig is. Ga pas daarna verder met de back-up, het uitschakelen van HA of de rolwisseling. Deze controle geldt voor geregistreerd Firewall Management, niet alleen voor Synchronized Security.

Alleen de Auxiliary FW2 opnieuw installeren

1. Bewaar na de hierboven beschreven deregistratie en controle de back-up van FW1 extern en schakel HA uit op FW1, nooit op FW2.
2. Controleer in de Advanced Shell van FW1 met service -S | grep msync dat msync de status UNTOUCHED of STOPPED toont. Ga anders niet verder.
3. Installeer FW2 opnieuw met exact dezelfde firmwareversie inclusief build als FW1. Meld je lokaal aan en configureer uitsluitend WAN voor internet, geen LAN- of DMZ-interfaces. Claim daarna FW2 als het apparaat nog niet is geclaimd.
4. Bouw HA opnieuw op met FW1 als Primary en FW2 als Auxiliary.

Alleen de Primary FW1 opnieuw installeren

1. Bewaar na de deregistratie en controle de back-up van FW1 extern en laat FW2 het verkeer overnemen met Switch to passive device. De apparaatidentiteiten blijven ongewijzigd.
2. Installeer FW1 opnieuw met exact dezelfde firmwareversie inclusief build als FW2. Meld je lokaal aan, configureer alleen WAN voor internet, geen LAN- of DMZ-interfaces, en claim FW1 als het apparaat nog niet is geclaimd.
3. Koppel voor het herstel alle kabels van FW1 los behalve die naar de beheer-pc, herstel de back-up, sluit de kabels weer aan en leid het verkeer van FW2 terug naar FW1.
4. Zet FW2 daarna terug naar de fabrieksinstellingen. Meld je lokaal aan, configureer uitsluitend WAN voor internet, geen LAN- of DMZ-interfaces, en claim het apparaat als het nog niet is geclaimd.
5. Bouw HA opnieuw op met FW1 als Primary en FW2 als Auxiliary.

Beide nodes opnieuw installeren en upgraden

1. Voer de deregistratie, controle, back-up en rolwisseling uit zoals bij de Primary-reimage. Breng FW1 echter op de doelversie inclusief doelbuild. Meld je daarna lokaal aan, configureer alleen WAN voor internet, geen LAN- of DMZ-interfaces, en claim het apparaat als het nog niet is geclaimd.
2. Koppel voor het herstel alle kabels van FW1 los behalve die naar de beheer-pc, herstel daar de back-up, sluit de kabels weer aan en leid het verkeer van FW2 terug naar FW1.
3. Zet FW2, anders dan bij alleen een Primary-reimage, nu niet alleen terug naar de fabrieksinstellingen, maar installeer het apparaat ook opnieuw met exact dezelfde doelversie inclusief build als FW1. Meld je lokaal aan, configureer uitsluitend WAN voor internet, geen LAN- of DMZ-interfaces, en claim het apparaat als het nog niet is geclaimd.
4. Bouw het Active-Passive-cluster opnieuw op met FW1 als Primary en FW2 als Auxiliary. De geplande onderbreking omvat ook deze tweede herinstallatie en toetreding.

Als het cluster Sophos Fusion Synchronized Security gebruikt, moet het HA-paar vóór het retourneren van het apparaat in het RMA-proces uit Central-beheer worden verwijderd. Na de vervanging wordt het nieuwe HA-cluster opnieuw in Central geregistreerd. Dit voorkomt conflicten bij de synchronisatie van serienummers en licenties met het oude apparaat dat nog geregistreerd is.

Auxiliary vervangen na RMA

Bij vervanging of reimage van een node ontstaat een geplande onderbreking. De volgende procedures gelden voor Active-Passive; bij Active-Active moet het concrete proces met Sophos Support worden gepland. Beide gedetailleerde RMA-varianten gaan ervan uit dat de gezonde resterende node al als Standalone HA werkt: bij Auxiliary-RMA de gezonde Primary, bij Primary-RMA de gezonde Auxiliary. Alleen voor deze uitgangssituatie beschrijven de bronnen het claimen en de licentieoverdracht van het vervangende apparaat vóór het latere uitschakelen van HA of het resetten van de gezonde node. Pas deze volgorde niet toe op vervanging in een nog functionerend HA-paar; daar geldt de algemene vereiste uit de FAQ’s om HA vooraf uit te schakelen. Klopt de uitgangssituatie niet of is deze onduidelijk, stop dan vóór de vervanging of licentieoverdracht en plan de procedure samen met Sophos Support.

1. Controleer model en hardware-revisie van het vervangende apparaat en installeer exact dezelfde firmware-build als op de gezonde Primary.
2. Bereid eerst de lokale toegang op het vervangende apparaat voor. In het gedocumenteerde poortvoorbeeld sluit je een DHCP-capabele beheer-pc aan op poort 1 en open je https://172.16.16.16:4444; WAN wordt aangesloten op poort 2 en in de Setup Assistant voor internet geconfigureerd. Gebruik bij een afwijkende poortindeling de beheer- en WAN-poort die bij het apparaatmodel horen. Configureer geen andere interfaces. Claim pas daarna het vervangende apparaat in Sophos Fusion en draag de licentie van het defecte Auxiliary-apparaat over.
3. Verplaats de kabels van het defecte naar het vervangende apparaat.
4. Schakel op de gezonde Primary HA uit onder System services > High availability.
5. Controleer in de Advanced Shell of msync is beëindigd:

service -S | grep msync

Verwacht wordt UNTOUCHED of STOPPED. De opdracht wijzigt niets; een andere status betekent dat HA nog niet opnieuw mag worden opgebouwd. Configureer daarna de gezonde Primary als Primary en het vervangende apparaat als Auxiliary.

Primary vervangen na RMA

1. Download op de gezonde Auxiliary een actuele back-up en deregistreer het apparaat uit Sophos Fusion. Controleer in dezelfde Sophos Central-/Fusion-tenant onder My Products > Firewall Management > Firewalls dat de vermelding van deze gezonde Auxiliary niet meer aanwezig is voordat je verdergaat.
2. Breng het vervangende apparaat op dezelfde firmware-build en meld je lokaal aan. Sluit in het gedocumenteerde poortvoorbeeld een DHCP-capabele beheer-pc aan op poort 1 en open https://172.16.16.16:4444; configureer WAN op poort 2 in de Setup Assistant voor internet. Gebruik bij een afwijkende poortindeling de beheer- en WAN-poort die bij het apparaatmodel horen. Configureer geen andere interfaces. Claim het apparaat pas daarna in Sophos Fusion en draag de licentie van de defecte Primary over.
3. Herstel de back-up op het vervangende apparaat.
4. Verplaats de kabels van de gezonde Auxiliary naar het vervangende apparaat. Vanaf dit moment verwerkt het vervangende apparaat het verkeer als zelfstandige firewall.
5. Zet de voormalige Auxiliary terug naar de fabrieksinstellingen en bereid de lokale toegang opnieuw voor: sluit in het gedocumenteerde poortvoorbeeld een DHCP-capabele beheer-pc aan op poort 1 en open https://172.16.16.16:4444. Configureer daarna WAN op poort 2 in de Setup Assistant voor internet. Gebruik bij een afwijkende poortindeling de beheer- en WAN-poort die bij het apparaatmodel horen. Configureer geen andere interfaces. Claim het apparaat pas daarna opnieuw in Sophos Fusion en sluit de geplande kabels aan.
6. Bouw HA opnieuw op met het vervangende apparaat als Primary en het teruggezette apparaat als Auxiliary.

Let op: back-up/restore, Factory Reset en kabelwissels veroorzaken downtime. Serienummers, Initial Primary, firmware-build, licentieoverdracht, Central-status en terugweg moeten vóór de start zijn gedocumenteerd.

Zie voor de technische herinstallatie Sophos Firewall OS opnieuw installeren: reimage met USB-stick. Als er sprake is van een hardwaredefect of RMA-proces, moet ook Sophos hardwaredefect en RMA goed voorbereiden worden ingepland.

Probleemoplossing

Bij complexere storingsbeelden moet je gestructureerd blijven: eerst status, HA-Link, Monitored Ports, firmwareversie en licentiestatus controleren, daarna pas speciale gevallen of fabrikantaanwijzingen raadplegen. Zo blijft duidelijk of er een echt HA-probleem is of dat licentie, interface, firmwareversie of monitoring de fout veroorzaken.

Belangrijke logs en diagnoseplaatsen

• HA-status: System services > High availability.
• Event Logs: Log viewer > System.
• Troubleshooting Logs: Diagnostics > Tools > Troubleshooting logs > Select files of via SSH onder /log.
• HA-Details CLI: Zie de eenmalig beschreven CLI-controle onder Cluster valideren.
• Interface-problemen: show network interfaces, ifconfig, dmesg in passende diagnosegevallen.
• Licentiehouder: System services > High availability.

Voor de eerste analyse zijn deze bestanden bijzonder nuttig:

• ha.log: opbouwfouten, geslaagde HA-opbouw en statuswisselingen.
• ha_pair.log: peer-detectie in QuickHA.
• ha_tunnel.log: SSH-tunnel via de Dedicated HA link.
• msync.log: synchronisatie van de HA-configuratie.
• ctsyncd.log: synchronisatie van Conntrack-sessies.
• filesync.log: dienstspecifieke bestandssynchronisatie, bijvoorbeeld voor dynamische routes of DHCP.

Elke node bewaart alleen logs en rapporten van het verkeer dat hij zelf verwerkt. Voor de Auxiliary meld je je aan via het Peer-Admin-adres of lees je de logbestanden via SSH op die node.

Bij diepere analyses helpt vaak het artikel Sophos Firewall CLI probleemoplossing: belangrijke commando’s.

Typische HA-foutbeelden

• Cluster wordt niet gevormd, firmwareversie of build verschillend: Versie op beide apparaten controleren en beide firewalls op identieke SFOS-versie brengen.

• Cluster wordt niet gevormd, model of appliance past niet: Model en serienummer controleren. Voor hardware-HA alleen compatibele gelijke XGS Appliance-modellen gebruiken.

• HA could not be enabled: Alleen bij de hierboven beschreven opbouw met een nieuwe virtuele HA spare documenteert Sophos deze melding direct na Initiate HA op de Primary, voordat de spare toetreedt; ook tijdelijk Standalone wordt daar beschreven. Dit is geen algemene vrijbrief om deze melding te negeren. Blijft de melding na voltooiing van de spare-wizard en de wacht-/vernieuwingsfase bestaan of verschijnt deze bij een andere opbouw, dan is de Dedicated HA link mogelijk niet verbonden of is de peer niet bereikbaar. Zorg ervoor dat de speciale HA-Link-interfaces van beide apparaten rechtstreeks via een Ethernet-kabel of via de daarvoor bedoelde switch zijn verbonden. Controleer op beide nodes onder Network > Interfaces of de geselecteerde HA-Link-interface Connected toont. Controleer op de Primary onder Diagnostics > Tools met de pingtool het speciale HA-Link-IP-adres van de Auxiliary, niet het Peer-Admin-adres daarvan. Antwoorden bevestigen de basisbereikbaarheid, maar nog geen voltooide HA-synchronisatie. Controleer en corrigeer bij ontbrekende antwoorden eerst de kabel, het switchpad, de linkstatus en het HA-Link-IP-adres/subnet; herhaal daarna de ping en controleer de rollen en synchronisatie opnieuw.

• HA-Link down: Kabel, switchpoort, VLAN of LAG kan defect zijn. Interface-status, speed/duplex, VLAN-trunk en LAG-leden controleren.

• Beide apparaten worden Standalone: De HA-Link is uitgevallen, split-brain-gevaar. Fysieke HA-Link-verbinding en switchpad controleren, een apparaat gecontroleerd uitschakelen, HA-Link repareren en daarna weer starten.

• Auxiliary WebAdmin niet bereikbaar: Peer Admin Port, subnet, route of Device Access passen niet. Admin-Port-IP en toegang vanuit het managementnet controleren.

• Validation Failed For Ha interface IP: Zoek op de Primary in /log/syslog.log naar deze exacte melding. Sophos koppelt deze aan beheerpoorten die niet in hetzelfde subnet liggen; vergelijk de beheerpoortadressen van beide apparaten. Controleer daarnaast als afzonderlijke vereiste of de HA-Link-adressen in hetzelfde subnet liggen, maar beschouw deze niet als bewezen oorzaak van deze melding. Volg vóór een correctie van de beheeradressering de hierboven beschreven conflictpreflight om de tegenstrijdigheid tussen de bronnen op te helderen: documenteer de rollen, de geïnstalleerde SFOS-build, de beheerinterface en de huidige IP-adressen, stel een back-up en afzonderlijke console- of lokale beheerstoegang veilig en verifieer het toepasselijke adresgedrag of stem dit af met Sophos Support. Stop vóór adreswijzigingen als het gedrag onduidelijk blijft.

• Failover gebeurt onverwacht: Vaak is een Monitored Port uitgevallen of verkeerd geselecteerd. Monitored Ports en switchstatus controleren en alleen echt kritieke stabiele poorten bewaken. Als de getroffen node werkelijk opnieuw is gestart en niet alleen van rol is gewisseld, wordt de onverwachte herstart per node gecontroleerd.

• Failover gebeurt niet: De relevante poort wordt waarschijnlijk niet bewaakt. Kritieke WAN-, core- of DMZ-poorten als Monitored Ports invoeren.

• Active-Active verdeelt niet zoals verwacht: De trafficsoort wordt mogelijk niet load-balanced. Verbindingstype, protocol en logs van beide nodes controleren; bij onduidelijke winst Active-Passive gebruiken of ontwerp aanpassen.

• Logs lijken te ontbreken: Traffic werd mogelijk door de andere node verwerkt of logging is niet actief. Op beide nodes en in de Log Viewer controleren, logging in regels activeren en Central Reporting of syslog gebruiken.

• Reports verschillen: Lokale reports zijn nodegebonden. Reports van beide apparaten vergelijken of Sophos Central Firewall Reporting gebruiken.

• Licentieprobleem in Active-Active: Licentietypen komen mogelijk niet overeen. Licensing op beide firewalls controleren en licenties gelijkmaken.

• Problemen na firmware-update: Een node is niet correct bijgewerkt of het cluster is niet gesynchroniseerd. HA-status, firmwareversies en logs controleren; bij clusters in productie een onderhoudsvenster gebruiken en Sophos Support betrekken.

• Flexi-Port-HA-Link werkt niet na een update: bij de 1U-modellen XGS 2100, XGS 2300, XGS 3100, XGS 3300, XGS 4300 en XGS 4500 kan HA niet tot stand komen als een Flexi Port als Dedicated HA link wordt gebruikt. Na de update en herstart van het eerste apparaat staat de Interface speed daarvan niet meer op Auto negotiation, terwijl het tweede apparaat nog steeds Auto negotiation gebruikt.

  Vóór de wijziging: documenteer de HA-rollen en poortinstellingen van beide apparaten, zorg voor een back-up en afzonderlijke beheerstoegang en gebruik een onderhoudsvenster. Volg bij split-brain eerst de onderstaande procedure bij HA-Link-uitval: bepaal welke node actief moet blijven en koppel de andere los van het productienetwerk of schakel die gecontroleerd uit. Start beide nodes niet ongecoördineerd opnieuw op.

  1. Open op beide apparaten Network > Interfaces.
  2. Selecteer de betreffende Flexi-Port-interface en open Advanced settings.
  3. Stel Interface speed in op Auto negotiation.

  Controleer daarna de linkstatus, HA-rollen, synchronisatie en het productieverkeer. Bewaar bij een aanhoudend probleem de instellingen en logs van beide nodes en schakel Sophos Support in. Herstel de vastgelegde vorige waarden alleen als gecontroleerde wijziging met gegarandeerde beheerstoegang; hierdoor kan de HA-Link-storing terugkeren. Als alternatief kan een ingebouwde poort als Dedicated HA link worden gepland, niet een vaste snelheidswaarde.

WebAdmin en VPN Portal onbereikbaar bij certificaatsynchronisatie

De release notes voor SFOS 22.0 MR3 Build 576 van 16 oktober 2026 vermelden NC-186809 als opgelost: op de Auxiliary kon certificaatsynchronisatie mislukken als bepaalde certificaatbestandsnamen met twee opeenvolgende punten (..) begonnen; daardoor waren WebAdmin en VPN Portal niet bereikbaar. Onderscheid dit foutbeeld van algemene routing- of Device Access-problemen en bewaar build, getroffen node, tijdstip en beschikbare synchronisatielogs. Hernoem of verwijder certificaten niet op basis van een vermoeden. Schakel bij een passend vermoeden Support in en plan een ondersteunde firmwarewissel met gegarandeerde beheertoegang; controleer daarna beide portals en de HA-synchronisatie opnieuw.

Procedure bij HA-Link-uitval

Als de toegewijde HA-Link uitvalt, is voorzichtigheid geboden. Beide firewalls kunnen elkaar niet meer zien. In het ongunstige geval zenden beide apparaten ARP/GARP en proberen ze de cluster-MAC voor zichzelf op te eisen.

Veilige procedure:

1. Netwerkstatus stabiliseren.
2. Beslissen welk apparaat actief moet blijven.
3. Het andere apparaat gecontroleerd uitschakelen of van het productienetwerk loskoppelen.
4. HA-Link-kabel, switchpoort, VLAN of LAG repareren.
5. Apparaat weer starten.
6. HA-status controleren.
7. Logs en rollen controleren.

Aanvullende CLI-commando’s

Naast de HA-statusquery onder Cluster valideren toont het volgende read-only commando in de Device Console

show network interfaces

de interface- en linkstatus. Voor de Dedicated HA link en aangesloten Monitored Ports worden UP-statussen verwacht.

Zoek in dezelfde uitvoer van show network interfaces de betrokken fysieke interface op aan de hand van de werkelijke interfacenaam en controleer naast de linkstatus de beschikbare tellers voor pakketverlies (Drops), fouten en botsingen. Niet elke build toont elke teller; ontbrekende gegevens zijn geen nulwaarde. Sla de uitvoer op met node, interface en tijdstempel en vergelijk deze met een latere waarneming: oplopende tellers helpen problemen met de interface, kabel of onderhandeling nader af te bakenen, maar bewijzen op zichzelf geen specifieke oorzaak. Vervang kabels of corrigeer Speed/Duplex alleen gecontroleerd, met gewaarborgde beheerstoegang en de hierboven beschreven HA-/Split-Brain-voorzorgsmaatregelen; vergelijk daarna de tellers, linkstatus, rollen en synchronisatie opnieuw. Deze interfacetellers moeten worden onderscheiden van pakket-Drops door firewallregels en de bijbehorende Drop Capture.

Ga voor link-flaps via Device Management > Advanced Shell naar de shell en vervang PortE door de werkelijke interfacenaam:

dmesg | grep PortE

De uitvoer filtert kernelmeldingen voor deze interface. Herhaalde link-up/link-down-meldingen wijzen op problemen met kabel, transceiver, poort of onderhandeling. Het commando wijzigt niets, maar dmesg bevat alleen de huidige kernelbuffer en vervangt geen langetermijnanalyse van logs.

De volledige fysieke diagnose met ethtool, modulegegevens en bekende speciale gevallen wordt beschreven in SFP en SFP+ voor Sophos Firewall selecteren en controleren.

Sla vóór elke diepere ingreep eerst uitvoer en tijdstempels op.

Go-livechecklist

• Active-Passive of Active-Active met een gedocumenteerde reden gekozen.
• Modellen, Flexi Ports, SFOS-build, LINCE-status, claiming en licenties gecontroleerd.
• Back-up en rollbackpad beschikbaar.
• Dedicated HA link vrij, stabiel en zo direct mogelijk aangesloten.
• VLAN’s, LAG’s, switchpoorten en RSTP aan beide zijden consistent.
• Peer Admin-toegang tot de Auxiliary getest.
• Alleen stabiele, kritieke interfaces als Monitored Ports geselecteerd.
• Cluster ID, Initial Primary, Preferred primary en serienummers gedocumenteerd.
• WebAdmin, CLI-status en relevante logs gecontroleerd.
• LAN, internet, servers, VPN, DNAT/WAF, DNS en DHCP functioneel getest.
• Failover en terugschakeling in een onderhoudsvenster getest.
• Procedures voor monitoring, firmware, restore en RMA in het runbook vastgelegd.

FAQ