Sophos Firewall High Availability (HA) instellen

High Availability, kortweg HA, verbindt twee Sophos Firewalls tot een cluster. Zo kan een tweede apparaat het productieve verkeer overnemen bij een apparaatstoring, uitval van een bewaakte poort of gepland onderhoud. HA vervangt echter geen redundant netwerkontwerp, bruikbare back-ups of gedocumenteerde processen.

HA-modus en architectuur kiezen

In de meeste productieve omgevingen is Active-Passive de betere HA-variant. Eén firewall verwerkt al het verkeer, de tweede firewall staat klaar en neemt het over bij uitval of onderhoud. Het ontwerp is eenvoudiger, de licentiekosten zijn lager en het gedrag bij storingen is gemakkelijker te begrijpen.

Active-Active is alleen de moeite waard als je de grenzen en beperkingen bewust accepteert. Het is geen klassiek symmetrisch load balancing, waarbij beide firewalls gelijkwaardig op alle punten in het netwerk staan. De primaire firewall ontvangt nog steeds het verkeer en verdeelt bepaalde verbindingen naar de hulpfirewall. Niet elke dienst en niet elk type verkeer wordt verdeeld.

Als snelle orientatie:

• Maximale stabiliteit en eenvoudige bedrijfsvoering: Active-Passive.
• Tweede firewall gebruiken zonder aparte beschermingslicentie: Active-Passive.
• Meer doorvoer nodig voor bepaalde TCP-verbindingen: Active-Active controleren.
• Veel VPN-, proxy-, RED-, NDR- of speciale gevallen: Active-Passive verkiezen.
• Kleine of middelgrote omgeving zonder duidelijk prestatieprobleem: Active-Passive.
• Duidelijke prestatie-eis en passende licenties voor beide appliances: Active-Active na test.

De twee Sophos Techvids tonen aansluitend de basisconfiguratie van Active-Passive en Active-Active met QuickHA.

Wat High Availability betekent

Een Sophos Firewall HA-cluster bestaat uit twee firewalls. De apparaten wisselen via een speciale HA-Link heartbeats, apparaatgegevens, verbindingsinformatie en configuratiegegevens uit. De configuratie wordt gesynchroniseerd van de primaire firewall naar de hulpfirewall.

HA beschermt tegen typische uitvallen:

• Uitval van de primaire firewall
• Stroom- of hardwarefout
• Uitval van een bewaakte interface
• Software- of dienstprobleem waardoor een apparaat niet meer functioneel is
• Geplande firmware-updates
• Geplande rolwisseling bij onderhoud

HA lost echter niet elk probleem op:

• Een verkeerde firewallregel blijft ook in het cluster verkeerd.
• Een gezamenlijke switch-uitval kan beide firewalls tegelijkertijd beïnvloeden.
• Een defect VLAN-ontwerp of een foutief routeringsconcept wordt niet automatisch gecorrigeerd.
• Logs en rapporten worden niet volledig tussen beide firewalls gesynchroniseerd.
• Een back-up blijft verplicht.

Wie HA plant, moet eerst de basisprincipes voor zones, interfaces, VLAN’s, LAG’s en bridges duidelijk hebben. De handleiding Sophos Firewall zones en interfaces plannen en configureren past hierbij.

Active-Passive of Active-Active

Active-Passive

Bij Active-Passive verwerkt één firewall al het productieve verkeer. De tweede firewall is passief en neemt het pas over als de actieve firewall uitvalt of een failover handmatig of door onderhoud wordt geactiveerd.

Typische eigenschappen:

• Primaire firewall verwerkt het verkeer.
• Hulpfirewall blijft in stand-by.
• Sessies worden gesynchroniseerd, voor zover de betreffende dienst dat ondersteunt.
• Alleen het apparaat met licentie heeft bij hardware-apparaten de beschermingsabonnementen nodig.
• De hulpfirewall neemt bij failover over met hetzelfde virtuele MAC-adres.
• Netwerkapparaten hoeven hun buurten meestal niet opnieuw te leren.

Active-Passive is meestal de beste keuze voor klassieke bedrijfsomgevingen, filialen, datacenters en omgevingen waarin stabiliteit belangrijker is dan een mogelijke prestatieverbetering.

Active-Active

Bij Active-Active verwerken beide firewalls verkeer. Toch blijft de architectuur asymmetrisch: de primaire firewall ontvangt het verkeer en beslist of ze een verbinding zelf verwerkt of doorgeeft aan de hulpfirewall.

Sophos gebruikt voor de verdeling onder andere het bron-IP-adres: TCP-verbindingen van even bron-IP-adressen worden doorgaans door de Primary verwerkt, die van oneven bron-IP-adressen kunnen naar de Auxiliary gaan. Doorgestuurde of vertaalde TCP-verbindingen worden verdeeld. Niet verdeeld worden niet-TCP-, SD-RED- en ingekapseld verkeer en Layer-7-verbindingen via DPI of proxy, waaronder SMTP Proxy, HTTPS, gescand FTP en H.323. Sophos ondersteunt voor deze HA-logica geen externe load balancers vóór het cluster.

Beide nodes hebben passende licenties nodig en slaan de logs van hun eigen verkeer lokaal op. Active-Active is daarom alleen zinvol met een duidelijk prestatiedoel en als het relevante verkeer werkelijk wordt verdeeld. Voor uitsluitend hoge beschikbaarheid is Active-Passive doorgaans overzichtelijker.

Rollen, status en failover

Rollen in het HA-cluster

• Primary: Apparaat dat de centrale clusterconfiguratie voert. In beide HA-modi ontvangt de Primary het verkeer.
• Auxiliary: Tweede apparaat in het cluster. Het synchroniseert de configuratie van de Primary en neemt indien nodig over.
• Initial primary: Apparaat dat bij de installatie als Primary is gestart. In Active-Passive is het doorgaans ook de licentiehouder.
• Preferred primary: Voorkeursapparaat dat na een failover weer Primary moet worden zodra het stabiel beschikbaar is.

Statuswaarden in bedrijf

• Active: Het apparaat verwerkt verkeer.
• Passive: Het apparaat is gereed, maar verwerkt in Active-Passive geen productief verkeer.
• Standalone: Het apparaat ziet de peer niet of HA is niet volledig actief. Bij HA-Link-problemen kunnen beide apparaten Standalone worden.
• Faulty: Het apparaat is niet gezond genoeg om normaal aan het cluster deel te nemen.

Virtueel MAC-adres

De Sophos Firewall gebruikt in het HA-cluster virtuele MAC-adressen voor de productieve interfaces. Alleen de primaire beantwoordt ARP-aanvragen voor het cluster. Bij een failover neemt de hulpfirewall dit virtuele MAC-adres over. Hierdoor blijft de bereikbaarheid voor switches, routers en clients stabieler omdat de IP- en MAC-toewijzing niet fundamenteel verandert.

Belangrijk is de Cluster ID. Deze ID wordt gebruikt voor het virtuele MAC-adres. Als meerdere HA-clusters in dezelfde laag-2-omgeving worden gebruikt, moet elk cluster een unieke Cluster ID hebben. Anders kunnen er MAC-conflicten ontstaan.

Wat wordt gesynchroniseerd

• Firewall-regels, policies, objecten, routing en CLI-configuratie worden van Primary naar Auxiliary gesynchroniseerd.
• Actieve sessies worden afhankelijk van protocol en dienst gesynchroniseerd.
• Secure Storage Master Key en WebAdmin-toegangsgegevens worden gesynchroniseerd.
• Dedicated HA link wordt niet als normale productieve interfaceconfiguratie gesynchroniseerd.
• Peer Admin Port wordt apart behandeld en niet zoals een normale interface gesynchroniseerd.
• Logs en reports worden niet tussen de apparaten gesynchroniseerd.

Failover-gedrag

Een failover kan door verschillende gebeurtenissen worden geactiveerd:

• Geen heartbeats meer via de HA-Link
• Uitval van een bewaakte poort
• Stroomuitval
• Hardwarefout
• Software- of dienstprobleem
• Geplande rolwisseling
• Firmware-update

Als één Node in de Failsafe-modus start, worden eerst de rol en de toestand van de peer gedocumenteerd. Sophos Firewall in de Failsafe-modus controleren toont de alleen-lezen diagnoseopdracht en legt uit waarom beide Nodes niet ongecoördineerd opnieuw mogen worden gestart en HA niet op goed geluk mag worden uitgeschakeld.

De heartbeats verlopen via de speciale HA-Link. Standaard worden zeer korte intervallen gebruikt. Als meerdere heartbeats achter elkaar ontbreken, wordt de peer als niet bereikbaar beschouwd. Daarna controleert de firewall de status en voert de rolwisseling uit.

Bij een failover worden veel verbindingen voortgezet of snel opnieuw opgebouwd. Volledig transparant is een failover echter niet voor elke toepassing. Vooral stateful TCP-verbindingen, websessies, proxy-verbindingen of bepaalde VPN-scenario’s kunnen kort onderbroken worden of opnieuw opgebouwd moeten worden.

Ondersteunde en beperkte diensten

Sophos HA ondersteunt de meeste firewall-diensten. Sommige diensten hebben echter bijzonderheden.

• Firewall-regels en NAT worden gesynchroniseerd. In Active-Active moet men weten welke node een verbinding verwerkt.
• VPN werkt in veel HA-scenario’s, maar niet elke sessie valt zonder onderbreking om. IPsec kan stateless UDP/ICMP beter overnemen dan stateful TCP.
• Web Protection werkt in het cluster. Bij Active-Active kunnen alerts van beide nodes komen.
• Email Protection kan bij quarantaine en vrijgave nodegebonden werken, omdat elk apparaat eigen gegevens voor verwerkte mailtraffic opslaat.
• Synchronized Application Control is niet geschikt voor Active-Active als de functie in de gebruikte SFOS-versie niet wordt ondersteund.
• NDR Essentials moet in HA-omgevingen alleen met Active-Passive worden gepland.
• sFlow draait in HA-omgevingen alleen op de Primary.
• Reports worden lokaal per apparaat gemaakt. Samengevoegde reports zijn via Sophos Central Firewall Reporting zinvoller.
• Cellular WAN moet voor HA worden uitgeschakeld.
• XGS Wi-Fi modellen ondersteunen HA niet.

Als rapportage of logopslag belangrijk is, moet je vroeg plannen of een externe Syslog-server of Sophos Central Firewall Reporting wordt gebruikt. Meer hierover staat in Central Firewall Reporting activeren.

Vereisten en netwerkontwerp

Voor de uitvoering moet je de HA-vereisten goed tegen je eigen omgeving controleren. Vooral modelgelijkheid, firmwareversie, interfaces, Cellular WAN en virtuele platforms zijn punten waar kleine afwijkingen later grote gevolgen kunnen hebben.

Hardware en modelcompatibiliteit

• Appliance-model: Beide firewalls moeten hetzelfde XGS-model zijn, bijvoorbeeld XGS 2100 met XGS 2100.
• Hardware-revisie: Verschillende hardware-revisies zijn mogelijk bij hetzelfde XGS-model.
• XGS Wi-Fi modellen: Niet ondersteund. Voorbeelden zijn XGS 126w of XGS 136w.
• Flexi Port Module: Als uitbreidingsmodules worden gebruikt, moet het aantal Flexi Ports op beide apparaten gelijk zijn.
• Firmware: Beide apparaten moeten dezelfde SFOS-versie inclusief Maintenance Release en build gebruiken.
• Hardware plus virtuele appliance: Niet mogelijk als HA-paar.

SFOS 22 ondersteunt geen hardware uit de XG- of SG-serie meer. Deze apparaten moeten vóór een migratie naar SFOS 22 worden vervangen door een ondersteunde XGS-appliance of een passend virtueel platform.

Virtuele en software-appliances

Virtuele of software-appliances moeten ook zeer goed op elkaar afgestemd zijn.

• Platform: Zelfde appliance-type en hetzelfde SFOS-platform.
• Hypervisor: Zelfde hypervisor-type.
• Resources: Zelfde CPU-kernen, vergelijkbare resources en hetzelfde aantal netwerkinterfaces.
• Firmware: Zelfde SFOS-versie inclusief build.
• MAC-adressen: In virtuele omgevingen kan de optie voor hypervisor-toegewezen MAC-adressen relevant zijn, zodat geen Promiscuous Mode nodig is. Een wijziging veroorzaakt echter downtime.

Cloud-Deployments

In cloud-omgevingen gelden aanvullende platformvereisten. Routing, virtuele interfaces, IP-adressen, Security Groups, UDR’s of cloud-specifieke failover-mechanismen moeten passen bij het betreffende cloud-ontwerp. De normale appliance-HA-aanpak kan niet zonder meer worden toegepast op Azure, AWS of andere cloud-omgevingen.

Als een Sophos Firewall in de cloud wordt gebruikt, moet je voor de HA-planning de actuele Sophos-documentatie voor het betreffende platform en de cloud-netwerkarchitectuur controleren.

Licenties en registratie

De HA-licenties verschillen per platform en HA-modus. Drie vragen zijn doorslaggevend: gaat het om hardware of virtueel/software? Wordt Active-Passive of Active-Active gebruikt? En welk apparaat is de Initial Primary, dus het apparaat dat de licentie voor het cluster houdt? Deze punten moeten voor de uitvoering worden afgestemd met licentiestatus, serienummers en doelmodus.

De belangrijkste licentiepunten:

• Base Firewall: Voor HA is een Base Firewall-licentie vereist. Hardware-appliances hebben deze licentie standaard. Bij Virtual/Software-Appliances moet ze passend gelicentieerd zijn.
• Active-Passive Hardware: Alleen het Initial-Primary-apparaat heeft de productieve Subscriptions nodig. De Auxiliary Firewall ontvangt een kopie van de Subscriptions en kan na een failover traffic verwerken.
• Active-Active Hardware: Beide firewalls hebben eigen passende licenties nodig. De licentietypen moeten overeenkomen, vervaldatums mogen verschillen.
• Active-Passive Virtual/Software: Alleen de Primary heeft de benodigde licenties inclusief Base Firewall nodig.
• Active-Active Virtual/Software: Beide apparaten hebben een eigen Base Firewall-licentie en passende verdere beschermingslicenties nodig.
• Registratie Hardware: Beide hardware-apparaten moeten vóór de HA-configuratie in Sophos Central zijn geclaimd en hun licenties kunnen synchroniseren.
• Registratie Virtual/Software Active-Passive: Bij Active-Passive Virtual/Software wordt volgens Sophos alleen de Primary geclaimd.
• Sophos Central Management: Licentiesynchronisatie en claiming betekenen niet automatisch dat de firewalls ook via Sophos Central Firewall Management worden beheerd. Hiervoor is een passende extra Subscription nodig.
• RMA en support: Voor hardwarevervanging en Advance Replacement is de supportstatus belangrijk. Bij Active-Passive Hardware noemt Sophos Enhanced Plus Support op het Primary-apparaat als relevante voorwaarde voor Advance Hardware Replacement. Bij Active-Active moet de supportstatus op beide apparaten passen.

Belangrijk: Bij Active-Passive is de Initial Primary bijzonder belangrijk, omdat dit apparaat de licentie voor het cluster houdt. In de HA-weergave staat bij het betreffende apparaat dat het de licentie voor het cluster houdt. Bij twijfel moet je het apparaat in het bedrijfsboek duidelijk documenteren.

Als licenties in Active-Active niet overeenkomen, stopt load balancing maximaal drie dagen. Als de afwijking daarna nog bestaat, schakelt de firewall HA uit. Bij de eerste configuratie wordt Active-Active met niet-passende licenties niet geactiveerd.

De Initial Primary moet de licenties minstens eenmaal binnen 90 dagen synchroniseren. Bij hardware stoppen anders de betreffende beschermingsabonnementen; Base Firewall en Enhanced Support blijven actief. Bij Virtual/Software wordt de Base Firewall-licentie gedeactiveerd, HA uitgeschakeld en worden verdere beschermingsfuncties inactief. Online gelicentieerde clusters hebben daarvoor DNS, een correcte systeemtijd, routing en internettoegang tot de Sophos-licentiediensten nodig. Geïsoleerde clusters gebruiken in plaats daarvan de gedocumenteerde handmatige Air-Gap-licentieworkflow.

Voor de bedrijfsvoering moet je minstens documenteren:

• welk apparaat de Initial Primary is
• welke serienummers of appliance-ID’s bij het cluster horen
• welke licenties op welk apparaat actief zijn
• wanneer de licenties voor het laatst zijn gesynchroniseerd
• welke supportniveau voor RMA of Advance Replacement aanwezig is
• wie licentiewijzigingen, verlengingen en RMA-processen goedkeurt

Netwerkvereisten

• HA-Link: Toegewijde verbinding tussen beide firewalls, idealiter direct met Ethernet-kabel.
• HA-Link-zone: DMZ-zone met geactiveerde SSH voor de zone.
• HA-Link-IP-adressen: Statische IP-adressen in hetzelfde subnet, maar verschillende adressen.
• HA-Link-kwaliteit: Hoge bandbreedte, lage latency, geen pakketverlies.
• Switches: RSTP activeren op switches die met firewall-poorten zijn verbonden.
• Monitored Ports: Alleen poorten bewaken die echt aangesloten en kritiek zijn.
• Cellular WAN: Voor HA uitschakelen.
• Peer Admin Port: Apart plannen, zodat de Auxiliary Firewall bereikbaar blijft.
• Interface-adressen: Active-Active vereist statische IP-adressen op alle interfaces. Active-Passive staat DHCP of PPPoE toe, maar voor deze verbindingen is er geen sessiefailover.

De HA-Link verwerkt geen normaal client- of serververkeer. Hij is alleen relevant voor heartbeats, status, sessiesynchronisatie, configuratiesynchronisatie en Active-Active-verdeling. Toch is hij extreem kritisch. Als de HA-Link uitvalt, kunnen beide firewalls denken dat ze de primaire zijn. Precies dit split-brain-scenario moet je vermijden.

De Peer Admin Port is een afzonderlijke beheerstoegang tot de Auxiliary Firewall. De beheerpoorten van beide apparaten moeten in hetzelfde subnet liggen, maar verschillende IP-adressen gebruiken. QuickHA gebruikt hiervoor automatisch de interface waarover de huidige WebAdmin-sessie loopt. Na de HA-opbouw is de Auxiliary alleen via het Peer-Admin-adres vanuit een passend netwerk bereikbaar.

Poorten en interfaces

• Dedicated HA link: Dient voor heartbeat, status, configuratie- en sessiesynchronisatie. Direct verbinden of via een zeer betrouwbare switch voeren. Niet voor productief traffic gebruiken.
• Monitored ports: Bewaken kritieke productieve links. WAN, belangrijke DMZ- of core-uplinks bewaken, maar geen ongebruikte poorten selecteren.
• Peer Admin Port: Geeft toegang tot de Auxiliary WebAdmin. Apart plannen en documenteren; de client moet in het juiste subnet liggen.
• Productieinterfaces: LAN, WAN, DMZ, VLAN’s en LAG’s op beide firewalls identiek bekabelen en gelijkwaardig ontwerpen.

Als Dedicated HA link zijn fysieke interfaces, VLAN’s of LAG’s mogelijk. Bridge-interfaces en alias-IP-adressen kunnen niet als toegewijde HA-Link worden gebruikt. QuickHA kan maximaal vier niet-gebonden fysieke interfaces samenvoegen tot een HA redundant link; bij een reeds geconfigureerde LAG moeten de parent-interfaces op beide appliances gelijk zijn opgebouwd.

Belangrijk: de Dedicated HA link en een Monitored Port mogen niet hetzelfde interface zijn. Als een interface al in een productieve configuratie wordt gebruikt en toch als HA-Link wordt geselecteerd, kan de firewall afhankelijke interfaceconfiguraties wijzigen of verwijderen. Daarom moet de HA-Link vooraf vrij en gedocumenteerd zijn.

Netwerkontwerp

Beide firewalls moeten bij een storing dezelfde netwerkpositie kunnen overnemen. Productieinterfaces, VLAN-trunks, LAG’s, switchpoorten en providerverbindingen worden daarom aan beide zijden gelijkwaardig bekabeld. WAN-redundantie, SD-WAN en providerfailover blijven afzonderlijke taken; HA vervangt ze niet.

• Verbind de Dedicated HA link zo mogelijk rechtstreeks. Via switches moet het pad stabiel, latentiearm en zonder pakketverlies zijn.
• Activeer RSTP op de betrokken switches en configureer VLAN’s, trunks en LAG’s aan beide zijden identiek.
• Bewaak alleen permanent aangesloten WAN-, core- of DMZ-uplinks. Een bewust niet-aangesloten Monitored Port veroorzaakt anders een failover.
• VLAN’s en LAG’s zijn mogelijk, maar moeten op beide nodes dezelfde parent-interfaces gebruiken. Bridge Mode werkt, maar is complexer te troubleshooten dan Gateway Mode.
• Test VPN-, RED- en remote-scenario’s afzonderlijk, omdat niet elke sessie transparant wordt overgenomen.
• Beperk beheerstoegang en Device Access bewust. Zie Sophos Firewall toegang beveiligen: Device Access correct configureren.

Voor Active-Active moet bovendien duidelijk zijn welk knelpunt door het werkelijk verdeelbare TCP-verkeer wordt verlicht. Als licenties, diensten en troubleshooting op beide nodes niet zijn geregeld, blijft Active-Passive de betere keuze.

Let op: bij een split-brain achten beide firewalls zichzelf verantwoordelijk. Dat kan dubbele IP- en MAC-adressen en productie-uitval veroorzaken. Als de HA-Link uitvalt, bepaal dan eerst welke node actief moet blijven en schakel de andere gecontroleerd uit of koppel die los van het productienetwerk.

Installatie voorbereiden

Voor de HA-installatie moet je niet in het productienetwerk improviseren. Deze voorbereiding bespaart later veel tijd.

Voorbereiding van beide firewalls

• Beide firewalls op dezelfde SFOS-versie inclusief build brengen.
• Licentie- en registratiestatus controleren.
• Cellular WAN uitschakelen.
• Zorgen dat de modellen compatibel zijn.
• Flexi Port-uitrusting controleren.
• Interfaces en switchpoorten documenteren.
• HA-Link-poort vaststellen.
• HA-Link direct bekabelen of het switchpad controleren.
• Voor de HA-Link DMZ-zone en SSH-toegang plannen.
• Admin-toegang tot beide apparaten documenteren.
• Back-up van de bestaande configuratie maken.
• Als LINCE nodig is, stel de modus vóór HA op beide apparaten gelijk in.

FIPS volgt een andere volgorde dan LINCE. De FIPS 140-3-modus wordt eerst op de standalone Primary geactiveerd, wat een factory reset uitvoert; tijdens de daaropvolgende HA-setup activeert Sophos FIPS automatisch op de Auxiliary.

Back-ups zijn bij HA niet optioneel. Voor de installatie, voor firmware-updates en voor grotere interface-wijzigingen moet een back-up aanwezig zijn. De basisprincipes staan in Sophos Firewall back-up maken of herstellen.

Vóór de klik op Initiate HA moet daarnaast worden gecontroleerd:

• Admin-Ports in hetzelfde subnet, maar met verschillende IPs: Anders kan HA niet netjes worden opgebouwd of is de Auxiliary later niet bereikbaar.
• Dedicated HA link zonder productieve afhankelijkheden: HA kan interface-IP-adressen en afhankelijke configuraties wijzigen.
• Monitored Ports op beide apparaten verbonden: Een niet-verbonden Monitored Port kan de cluster verhinderen of direct failover activeren.
• Cluster ID eenduidig: Meerdere HA-clusters in hetzelfde Layer-2-gebied hebben verschillende virtuele MACs nodig.
• Back-up, SSMK en firmware-build gedocumenteerd: Bij restore, RMA of reimage moet de cluster reproduceerbaar zijn.

LINCE vóór HA vastleggen

Sinds SFOS 21.5 MR1 kan LINCE na het opzetten van een HA-cluster niet meer worden in- of uitgeschakeld. Als de certificering nodig is, voer je de volgende opdracht in de Device Console uit op beide nog zelfstandige firewalls.

Waarschuwing: Zorg vooraf voor een alternatieve beheerroute via WebAdmin of de lokale console. De opdracht activeert LINCE, start de SSH-dienst opnieuw en verbreekt bestaande SSH-sessies.

system certification lince enable

Controleer daarna op beide apparaten de LINCE-status en bouw pas dan HA op. Bij een restore moeten back-up en doelcluster dezelfde LINCE-status hebben.

QuickHA of Interactive mode

• QuickHA: Standaardgeval. Snel, robuust en voor de meeste Active-Passive- en Active-Active-installaties voldoende.
• Interactive mode: Zinvol als Admin Ports, HA-Link-adressen, Cluster ID, Monitored Ports en detailwaarden vóór de opbouw bewust moeten worden opgegeven.

QuickHA vraagt eerst alleen om rol, nodenaam, passphrase en Dedicated HA link. De passphrase moet 10 tot 20 tekens lang zijn en minstens één hoofdletter, één kleine letter, één cijfer en één speciaal teken bevatten. Ze wordt eenmaal gebruikt om SSH-sleutels te genereren en daarna verwijderd. Bij vervanging van een apparaat moet HA daarom worden uitgeschakeld en opnieuw geconfigureerd.

De hier beschreven stappen zijn gebaseerd op de officiële Sophos-HA-configuratie, maar zijn bewust als praktijkgerichte admin-checklist geformuleerd. Voor productieve wijzigingen moet je niet alleen de wizard doorlopen, maar rollen, HA-Link, admin-toegang, back-up, licentiestatus en terugweg vooraf documenteren.

HA instellen

Active-Passive met QuickHA

1. Primary Firewall voorbereiden

1. Aanmelden op de toekomstige primaire firewall in WebAdmin.
2. Ga naar System services > High availability.
3. Kies als modus Primary (active-passive).
4. Gebruik QuickHA.
5. Optioneel een nodenaam toewijzen, bijvoorbeeld FW01.
6. Een HA-passphrase van 10 tot 20 tekens met hoofdletter, kleine letter, cijfer en speciaal teken instellen.
7. De passphrase veilig opslaan, omdat deze zo meteen op de hulpfirewall nodig is.
8. De Dedicated HA link selecteren.
9. Initiate HA starten.

Opmerkingen:

• Als QuickHA een ongebonden interface gebruikt, wijst Sophos deze interface toe aan de DMZ-zone en standaard het adres 169.254.192.1. SSH wordt automatisch voor de zone geactiveerd.
• De firewall verwijdert afhankelijke configuraties van de gekozen HA-Link-interface. Deze moet daarom vrij zijn van productieve afhankelijkheden.

2. Auxiliary Firewall voorbereiden

1. Aanmelden op de toekomstige hulpfirewall.
2. Ga naar System services > High availability.
3. Kies als rol Auxiliary.
4. Gebruik QuickHA.
5. Optioneel een nodenaam toewijzen, bijvoorbeeld FW02.
6. Dezelfde HA-passphrase invoeren.
7. Dezelfde HA-Link-poort als aan de primaire zijde selecteren.
8. Initiate HA starten.

Na de opbouw synchroniseert de primaire firewall de configuratie naar de hulpfirewall. Op de hulpfirewall worden veel lokale instellingen overschreven. Daarom moet de hulpfirewall voor de HA-installatie niet parallel als zelfstandige productieve firewall worden geconfigureerd.

3. Geavanceerde instellingen controleren

Na de clusteropbouw moet je niet zomaar wegklikken, maar de volgende punten controleren:

• HA-status van beide nodes
• Rol en status rechtsboven in WebAdmin
• Dedicated HA link
• Monitored Ports
• Peer Admin Port
• Preferred primary
• Keepalive-interval en pogingen
• Licentiehouder bij Active-Passive
• Sophos Central-registratie, indien gebruikt

4. Monitored Ports instellen

Monitored Ports bepalen of een interface-uitval een failover activeert. Typische kandidaten:

• WAN-uplink
• Core-LAN-uplink
• Belangrijke DMZ- of server-uplinks

Je moet geen poorten bewaken die soms bewust offline zijn, niet bekabeld zijn of alleen voor optionele scenario’s worden gebruikt. Een verkeerd ingestelde Monitored Port is een veelvoorkomende oorzaak van onverwachte failovers of een niet startend cluster.

Active-Active met QuickHA

Active-Active wordt op vergelijkbare wijze ingesteld, maar met een ander doel. Vooraf moeten beide firewalls passend gelicenseerd zijn.

De procedure is gelijk aan Active-Passive, maar op FW01 kies je Primary (active-active). Vooraf moeten beide apparaten zijn geclaimd, dezelfde SFOS-build gebruiken en passende licentietypen hebben; alle interfaces vereisen statische IP-adressen. Monitoring en troubleshooting moeten beide nodes omvatten en het relevante verkeer moet profiteren van de hierboven beschreven TCP-verdeling.

Na de installatie testen

Bij Active-Active moet meer worden getest dan alleen de HA-status:

• Worden verbindingen op beide nodes verdeeld?
• Zijn logs op beide apparaten zichtbaar?
• Werken VPN-verbindingen na een rolwisseling?
• Werken Web Protection, IPS, Application Control en relevante beveiligingsfuncties?
• Zijn er toepassingen die opvallen door asymmetrisch gedrag?
• Worden rapporten en waarschuwingen zoals verwacht gegenereerd?

Interactive mode

Interactive mode is zinvol als de automatische QuickHA-logica niet genoeg controle biedt.

Typische redenen:

• Vaste HA-Link-IP-adressen moeten worden gebruikt
• Peer Admin Port moet precies worden gedefinieerd
• Cluster ID moet bewust worden ingesteld
• Meerdere HA-clusters bestaan in dezelfde laag-2-omgeving
• Virtuele appliances moeten met bepaalde MAC-opties worden gebruikt
• Een zeer gecontroleerde uitrol is noodzakelijk

In Interactive mode wordt eerst de Auxiliary en daarna de Primary geconfigureerd. Zo verloopt de peer-detectie op de Primary niet terwijl de tweede node nog wordt voorbereid.

1. Auxiliary configureren

1. Ga op FW02 naar System services > High availability.
2. Kies Initial device role > Auxiliary en HA configuration mode > Interactive mode.
3. Stel de nodenaam en een passphrase volgens de bovenstaande regels in.
4. Selecteer de vrije DMZ-poort voor de Dedicated HA link. De firewall verwijdert bestaande afhankelijke configuratie van deze interface.
5. Sla de configuratie op en wacht op de bevestiging dat de Auxiliary-configuratie is toegepast.

2. Primary configureren

1. Kies op FW01 Primary (active-passive) of Primary (active-active) en Interactive mode.
2. Stel een unieke Cluster ID en de nodenaam in.
3. Voer de passphrase van FW02 in.
4. Geef dezelfde Dedicated HA link en het statische HA-Link-IP-adres van de Auxiliary op.
5. Selecteer de kritieke Monitored ports.
6. Geef onder Peer administration settings de managementinterface en een eigen IP-adres voor FW02 op.
7. Selecteer bij virtuele appliances zo nodig het door host of hypervisor toegewezen MAC-adres. Een latere wijziging veroorzaakt downtime.
8. Stel Preferred primary in en kies Initiate HA.

Wijzig na de opbouw de keepalive-waarden alleen als daar een gedocumenteerde reden voor is. Standaard verstuurt de firewall elke 250 milliseconden een heartbeat en beschouwt zij de peer na 16 ontbrekende heartbeats als onbereikbaar.

Cluster valideren

Na de installatie moet het HA-cluster systematisch worden gecontroleerd.

WebAdmin-controle

1. Aanmelden op de primaire firewall.
2. Rechtsboven de HA-status controleren.
3. Ga naar System services > High availability.
4. Rollen, status, serienummers en modus controleren.
5. Zorgen dat het cluster gesynchroniseerd is.
6. Bij Active-Passive controleren welk apparaat de licentie voor het cluster houdt.

CLI-controle

In de Device Console toont de volgende read-only opdracht rollen, status en synchronisatie van het cluster. De configuratie wordt niet gewijzigd:

system ha show details

Welk apparaat de licentiehoudende Initial Primary is, controleer je primair onder System services > High availability. In een gedocumenteerd supportgeval kan daarnaast de volgende interne read-only waarde in de Advanced Shell helpen:

nvram get "#li.master"

YES staat doorgaans voor de Initial Primary, NO voor de Auxiliary. Sophos documenteert deze interne Advanced-Shell-opdracht niet als reguliere beheerinterface; de HA-weergave blijft daarom de referentie.

Als de Shell-toegang nog niet is voorbereid, helpt de handleiding Sophos Firewall verbinden via SSH.

Functionele test

• Client vanuit het LAN naar het internet testen.
• Toegang tot interne servers testen.
• VPN testen.
• DNAT- of WAF-scenario’s testen.
• DNS en DHCP testen, als de firewall deze diensten levert.
• Logs in de Log Viewer controleren.
• HA-rolwisseling in een onderhoudsvenster testen.
• Daarna rollen, status en sessiegedrag documenteren.

Bediening en onderhoud

Voortdurende monitoring

Bewaak HA- en rollenstatus, Dedicated HA link, Monitored Ports, licenties, firmware, CPU, RAM, schijf en centrale diensten. Stuur waarschuwingen naar Sophos Central, e-mail of het bestaande monitoringsysteem.

Voor schijf- en hardwarethema’s moet je beide nodes afzonderlijk bekijken. Lokale rapporten, logbestanden en SSD-status kunnen verschillen. De artikelen Sophos Firewall opslagruimte controleren en rapporten beheren en Sophos Firewall SSD-status controleren met SMART passen hierbij.

Logs en rapporten

Elke node schrijft logs voor het verkeer dat hij verwerkt. Bij Active-Active moet je daarom beide apparaten controleren. Voor gezamenlijke analyse zijn Sophos Central Firewall Reporting of Syslog geschikt. De lokale bestanden worden uitgelegd in Sophos Firewall probleemoplossing: diensten en logs.

Runbook voor de HA-bediening

Documenteer in het bedrijfs-runbook minstens:

• Serienummer, locatie, rackpositie en rol van beide appliances.
• Dedicated HA link, Peer Admin Port, Cluster ID en Monitored Ports.
• Preferred primary en verwacht gedrag na failover.
• Licentiehouder, supportstatus en RMA-contactweg.
• Procedure en verantwoordelijkheid voor firmware-update, back-up, reimage, hardwarevervanging, logs en supportgevallen.

Als alleen de WebAdmin op een node vastloopt, is niet automatisch het hele HA-cluster defect. Dan moet je gericht controleren of een herstart van de WebAdmin GUI of een gecontroleerde service-herstart voldoende is voordat je failover of reboot activeert.

Wijzigingen aan het cluster

Wijzig regels, interfaces en policies alleen op de Primary. Voor wijzigingen aan interfaces, VLAN’s, LAG’s, zones, routing, NAT, VPN, Device Access of SD-WAN:

• Back-up maken.
• Onderhoudsvenster definiëren.
• HA-status controleren.
• Documentatie bijwerken.
• Rollback-pad vaststellen.
• Test daarna synchronisatie en verkeer.

Firmware-updates en back-ups

Firmware-updates in HA-omgevingen

Firmware-updates worden op de primaire firewall gestart. De apparaten worden achtereenvolgens bijgewerkt, en het cluster kan tijdens deze tijd van rol wisselen.

Typische procedure:

1. Update op de primaire firewall starten.
2. Hulpfirewall wordt bijgewerkt.
3. Hulpfirewall start opnieuw en neemt tijdelijk over.
4. Huidige primaire wordt bijgewerkt.
5. Huidige primaire start opnieuw.
6. Als Preferred primary actief is, kan een terugwisseling naar het voorkeursapparaat plaatsvinden.

Toch geldt: firmware-updates horen in een onderhoudsvenster. Ook al is het proces gericht op minimale downtime, kunnen enkele sessies, VPN-verbindingen of speciale toepassingen kort reageren.

Voorbereiding past bij Sophos Firewall firmware-update - voorbereiding en best practices.

Pattern-updates

Pattern-updates worden op de Primary geïnstalleerd en automatisch naar de Auxiliary gesynchroniseerd. Dit geldt ook voor omgevingen waarin updates gecontroleerd of offline worden geïnstalleerd.

Als een HA-cluster in een geïsoleerde omgeving wordt gebruikt, moet voor elke handmatige pattern- of licentie-update duidelijk zijn welk node de Initial Primary is en welk node momenteel de primaire is. De Air-Gap-procedure is beschreven in Sophos Firewall Air-Gap-licentieverlening en pattern-updates beheren.

Back-up en herstel

Back-up en herstel hebben in HA-omgevingen bijzonderheden:

• Back-ups moeten regelmatig en voor elke grote wijziging worden gemaakt.
• Herstel vindt plaats op de huidige primaire firewall.
• Na herstel worden beide firewalls uit Sophos Central gederegistreerd en moeten opnieuw worden geregistreerd.
• Herstel veroorzaakt herstart en downtime, geen normale failover.
• Als een back-up zonder HA-configuratie op een HA-cluster wordt hersteld, wordt HA uitgeschakeld en moet opnieuw worden opgebouwd.
• Bij ingeschakelde LINCE moeten back-up en doelcluster dezelfde LINCE-status hebben.

Als de cluster Sophos Central Synchronized Security gebruikt, moet het HA-paar vóór het retourneren van het apparaat in het RMA-proces uit Central-beheer worden verwijderd. Na de vervanging wordt de nieuwe HA-cluster opnieuw in Central geregistreerd. Dit voorkomt conflicten bij de synchronisatie van serienummers en licenties met het oude apparaat dat nog geregistreerd is.

Auxiliary vervangen na RMA

Bij vervanging of reimage van een node ontstaat een geplande onderbreking. De volgende procedures gelden voor Active-Passive; bij Active-Active moet het concrete proces met Sophos Support worden gepland.

1. Controleer model en hardware-revisie van het vervangende apparaat en installeer exact dezelfde firmware-build als op de gezonde Primary.
2. Claim het vervangende apparaat in Sophos Central en draag de licentie van het defecte Auxiliary-apparaat over.
3. Verplaats de kabels van het defecte naar het vervangende apparaat.
4. Schakel op de gezonde Primary HA uit onder System services > High availability.
5. Controleer in de Advanced Shell of msync is beëindigd:

service -S | grep msync

Verwacht wordt UNTOUCHED of STOPPED. De opdracht wijzigt niets; een andere status betekent dat HA nog niet opnieuw mag worden opgebouwd. Configureer daarna de gezonde Primary als Primary en het vervangende apparaat als Auxiliary.

Primary vervangen na RMA

1. Download op de gezonde Auxiliary een actuele back-up en deregistreer het apparaat uit Sophos Central.
2. Breng het vervangende apparaat op dezelfde firmware-build, claim het in Sophos Central en draag de licentie van de defecte Primary over.
3. Herstel de back-up op het vervangende apparaat.
4. Verplaats de kabels van de gezonde Auxiliary naar het vervangende apparaat. Vanaf dit moment verwerkt het vervangende apparaat het verkeer als zelfstandige firewall.
5. Zet de voormalige Auxiliary terug naar de fabrieksinstellingen, claim hem opnieuw in Sophos Central en sluit de geplande kabels aan.
6. Bouw HA opnieuw op met het vervangende apparaat als Primary en het teruggezette apparaat als Auxiliary.

Let op: back-up/restore, Factory Reset en kabelwissels veroorzaken downtime. Serienummers, Initial Primary, firmware-build, licentieoverdracht, Central-status en terugweg moeten vóór de start zijn gedocumenteerd.

Voor de technische herinstallatie past Sophos Firewall OS opnieuw installeren: reimage met USB-stick. Als er sprake is van een hardwaredefect of RMA-proces, moet ook Sophos hardwaredefect en RMA goed voorbereiden worden ingepland.

Probleemoplossing

Bij diepere foutbeelden moet je gestructureerd blijven: eerst status, HA-Link, Monitored Ports, firmwareversie en licentiestatus controleren, daarna pas speciale gevallen of fabrikantaanwijzingen raadplegen. Zo blijft duidelijk of er een echt HA-probleem is of dat licentie, interface, firmwareversie of monitoring de fout veroorzaken.

Belangrijke logs en diagnoseplaatsen

• HA-status: System services > High availability.
• Event Logs: Log viewer > System.
• Troubleshooting Logs: Monitor & Analyze > Logs > Troubleshooting logs of via SSH onder /log.
• HA-Details CLI: Zie de eenmalig beschreven CLI-controle onder Cluster valideren.
• Interface-problemen: show network interfaces, ifconfig, dmesg in passende diagnosegevallen.
• Licentiehouder: System services > High availability.

Voor de eerste analyse zijn deze bestanden bijzonder nuttig:

• ha.log: opbouwfouten, geslaagde HA-opbouw en statuswisselingen.
• ha_pair.log: peer-detectie in QuickHA.
• ha_tunnel.log: SSH-tunnel via de Dedicated HA link.
• msync.log: synchronisatie van de HA-configuratie.
• ctsyncd.log: synchronisatie van Conntrack-sessies.
• filesync.log: dienstspecifieke bestandssynchronisatie, bijvoorbeeld voor dynamische routes of DHCP.

Elke node bewaart alleen logs en rapporten van het verkeer dat hij zelf verwerkt. Voor de Auxiliary meld je je aan via het Peer-Admin-adres of lees je de logbestanden via SSH op die node.

Bij diepere analyses helpt vaak het artikel Sophos Firewall CLI probleemoplossing: belangrijke commando’s.

Typische HA-foutbeelden

• Cluster wordt niet gevormd, firmwareversie of build verschillend: Versie op beide apparaten controleren en beide firewalls op identieke SFOS-versie brengen.
• Cluster wordt niet gevormd, model of appliance past niet: Model en serienummer controleren. Voor hardware-HA alleen compatibele gelijke XGS-modellen gebruiken.
• HA could not be enabled: Dedicated HA link is mogelijk niet verbonden of de peer is niet bereikbaar. Poortstatus, kabel, switch en ping op de HA-Link-IP controleren, daarna bekabeling of HA-Link stabiliseren.
• HA-Link down: Kabel, switchpoort, VLAN of LAG kan defect zijn. Interface-status, speed/duplex, VLAN-trunk en LAG-leden controleren.
• Beide apparaten worden Standalone: De HA-Link is uitgevallen, split-brain-gevaar. Fysieke HA-Link-verbinding en switchpad controleren, een apparaat gecontroleerd uitschakelen, HA-Link repareren en daarna weer starten.
• Auxiliary WebAdmin niet bereikbaar: Peer Admin Port, subnet, route of Device Access passen niet. Admin-Port-IP en toegang vanuit het managementnet controleren.
• Validation failed for HA interface IP: Admin-Ports of HA-Link-adressen liggen niet in het verwachte subnet. IP-adressen en /log/syslog.log controleren en adressering corrigeren.
• Failover gebeurt onverwacht: Vaak is een Monitored Port uitgevallen of verkeerd geselecteerd. Monitored Ports en switchstatus controleren en alleen echt kritieke stabiele poorten bewaken. Als de getroffen node werkelijk opnieuw is gestart en niet alleen van rol is gewisseld, wordt de onverwachte herstart per node gecontroleerd.
• Failover gebeurt niet: De relevante poort wordt waarschijnlijk niet bewaakt. Kritieke WAN-, core- of DMZ-poorten als Monitored Ports invoeren.
• Active-Active verdeelt niet zoals verwacht: De trafficsoort wordt mogelijk niet load-balanced. Verbindingstype, protocol en logs van beide nodes controleren; bij onduidelijke winst Active-Passive gebruiken of ontwerp aanpassen.
• Logs lijken te ontbreken: Traffic werd mogelijk door de andere node verwerkt of logging is niet actief. Op beide nodes en in de Log Viewer controleren, logging in regels activeren en Central Reporting of syslog gebruiken.
• Reports verschillen: Lokale reports zijn nodegebonden. Reports van beide apparaten vergelijken of Sophos Central Firewall Reporting gebruiken.
• Licentieprobleem in Active-Active: Licentietypen komen mogelijk niet overeen. Licensing op beide firewalls controleren en licenties gelijkmaken.
• Problemen na firmware-update: Een node is niet correct bijgewerkt of de cluster is niet gesynchroniseerd. HA-status, firmwareversies en logs controleren; bij productieve clusters onderhoudsvenster gebruiken en Sophos Support betrekken.
• Flexi-Port-HA-Link werkt niet: Speed/duplex of Auto-Negotiation past niet. Interface Advanced settings op beide apparaten controleren en beide zijden gelijk configureren of vaste poort gebruiken.

Procedure bij HA-Link-uitval

Als de toegewijde HA-Link uitvalt, is voorzichtigheid geboden. Beide firewalls kunnen elkaar niet meer zien. In het ongunstige geval zenden beide apparaten ARP/GARP en proberen ze de cluster-MAC voor zichzelf op te eisen.

Veilige procedure:

1. Netwerkstatus stabiliseren.
2. Beslissen welk apparaat actief moet blijven.
3. Het andere apparaat gecontroleerd uitschakelen of van het productienetwerk loskoppelen.
4. HA-Link-kabel, switchpoort, VLAN of LAG repareren.
5. Apparaat weer starten.
6. HA-status controleren.
7. Logs en rollen controleren.

Aanvullende CLI-commando’s

Naast de HA-statusquery onder Cluster valideren toont het volgende read-only commando in de Device Console

show network interfaces

de interface- en linkstatus. Voor de Dedicated HA link en aangesloten Monitored Ports worden UP-statussen verwacht.

Ga voor link-flaps via Device Management > Advanced Shell naar de shell en vervang PortE door de werkelijke interfacenaam:

dmesg | grep PortE

De uitvoer filtert kernelmeldingen voor deze interface. Herhaalde link-up/link-down-meldingen wijzen op problemen met kabel, transceiver, poort of onderhandeling. Het commando wijzigt niets, maar dmesg bevat alleen de huidige kernelbuffer en vervangt geen langetermijnanalyse van logs.

De volledige fysieke diagnose met ethtool, modulegegevens en bekende speciale gevallen wordt beschreven in SFP en SFP+ voor Sophos Firewall selecteren en controleren.

Sla vóór elke diepere ingreep eerst uitvoer en tijdstempels op. De commando’s zijn gecontroleerd aan de hand van de huidige Sophos-documentatie, maar niet uitgevoerd op de specifieke hardware van de klant.

Go-livechecklist

• Active-Passive of Active-Active met een gedocumenteerde reden gekozen.
• Modellen, Flexi Ports, SFOS-build, LINCE-status, claiming en licenties gecontroleerd.
• Back-up en rollbackpad beschikbaar.
• Dedicated HA link vrij, stabiel en zo direct mogelijk aangesloten.
• VLAN’s, LAG’s, switchpoorten en RSTP aan beide zijden consistent.
• Peer Admin-toegang tot de Auxiliary getest.
• Alleen stabiele, kritieke interfaces als Monitored Ports geselecteerd.
• Cluster ID, Initial Primary, Preferred primary en serienummers gedocumenteerd.
• WebAdmin, CLI-status en relevante logs gecontroleerd.
• LAN, internet, servers, VPN, DNAT/WAF, DNS en DHCP functioneel getest.
• Failover en terugschakeling in een onderhoudsvenster getest.
• Procedures voor monitoring, firmware, restore en RMA in het runbook vastgelegd.

FAQ

Officiële bronnen: Registratie en licenties · LINCE in HA-omgevingen · RMA in een Active-Passive-cluster · HA-FAQ