Konfiguracja i testowanie interfejsu bridge w Sophos Firewall
Interfejs bridge łączy kilka interfejsów fizycznych lub wirtualnych w warstwie 2. Pozwala to wstawić Sophos Firewall transparentnie w istniejącą ścieżkę albo świadomie zbudować routowany gateway bridge. Główna decyzja zapada przed utworzeniem: czy bridge ma tylko przekazywać frames, czy też posiadać adres IP i samodzielnie routować?
⚠️ Błędna konfiguracja bridge może spowodować pętlę warstwy 2, broadcast storm lub utratę dostępu administracyjnego. Przed podłączeniem potrzebne są backup, okno serwisowe, niezależny dostęp administracyjny i jasna droga odzyskiwania. Nadmiarowe ścieżki warstwy 2 włącza się dopiero po wyjaśnieniu STP i projektu HA.
Tryb transparentny lub routowany
Transparentny bridge bez adresu IP przekazuje frames między members. Może łączyć sieci bez działania jako gateway. Pasuje do kontrolowanych migracji lub ścieżki inline, w której istniejąca architektura IP ma pozostać bez zmian.
Routowany bridge z adresem IP jest włączany przez Enable routing on this bridge pair. Adres IP bridge może wtedy działać jako gateway lub lokalny endpoint firewalla. Filtrowanie VLAN na bridge dotyczy wyłącznie ruchu bridged, a nie ruchu routowanego.
W obsługiwanych modelach XGS stała sprzętowa para portów bridge może dodatkowo działać jako ścieżka Fail-to-Wire. Skonfiguruj i przetestuj LAN Bypass w kontrolowany sposób, aby poznać granicę modeli, parę FTW, ruch bez inspekcji podczas awarii i powrót do chronionej pracy. Dwa dowolne members bridge nie uzyskują tej funkcji sprzętowej.
Bridge nie jest uniwersalnym zamiennikiem osobnego interfejsu WAN lub VPN. Sophos nie obsługuje na interfejsach bridge funkcji Dynamic DNS, DHCP client, PPPoE ani IPsec VPN. Dla nowych segmentowanych sieci VLAN-y i routing są często prostsze w obsłudze. Strefy i interfejsy w Sophos Firewall wyjaśniają wybór między alias, bridge, LAG, VLAN, XFRM i RED.
Planowanie przykładu i members
Przykład transparentnie łączy Port3 i Port4. Oba porty znajdują się w tej samej zaplanowanej ścieżce warstwy 2, a bridge nie otrzymuje adresu IP. Są to wartości przykładowe zastępowane prawdziwym okablowaniem, strefami i strategią zarządzania.
SFOS pozwala na maksymalnie 64 members. Mogą nimi być interfejsy fizyczne, RED, LAG oraz interfejsy VLAN na interfejsie fizycznym, RED lub LAG. Każdy member należy wcześniej sprawdzić pod kątem istniejących adresów IP, VLAN-ów, DHCP, NAT, reguł, routingu i dostępu administracyjnego.
Strefy members nadal mają znaczenie dla reguł firewalla. Bridge nie zezwala automatycznie na ruch. Jeśli oba members znajdują się na przykład w LAN, wymagany przepływ może nadal potrzebować odpowiedniej reguły LAN-to-LAN.
Zaawansowane ustawienia bridge w Device Console
Standardowa konfiguracja bridge pozostaje w WebAdmin. Device Console udostępnia dodatkowo trzy globalne lub niskopoziomowe mechanizmy. Przed ich użyciem należy zabezpieczyć nazwę bridge, hardware name, members, ID portów, tablicę MAC, ścieżkę administracyjną i bieżący stan CLI. Te komendy nie zastępują brakujących reguł zapory ani nierozstrzygniętego projektu Layer 2.
Obsługa nieznanego nieroutowalnego ruchu
bypass-firewall-policy dotyczy nieroutowalnego ruchu bridge, do którego nie jest stosowana żadna Security Policy. SFOS rozróżnia dynamic i static. Najpierw należy odczytać bieżący stan obu kategorii:
system bridge bypass-firewall-policy unknown-network-traffic show dynamic
system bridge bypass-firewall-policy unknown-network-traffic show static
Dostępne działania to allow i drop. allow ma znaczenie dla bezpieczeństwa, ponieważ taki ruch może być jawnie przekazywany bez firewall policy. Pomoc SFOS 22 nie podaje wartości domyślnej ani dokładnego rozróżnienia między dynamic i static. Nie należy więc zmieniać żadnej kategorii na podstawie przypuszczenia. Jeśli Sophos Support zaleci zmianę, w tej samej składni zastępuje się show przez allow lub drop, a następnie sprawdza stan, Packet Capture oraz pozytywny i negatywny przepływ testowy.
Ten przełącznik nie jest ani LAN Bypass, ani stateful firewall bypass rule. Nie aktywuje ścieżki fail-to-wire i nie wyłącza znanego połączenia ze Stateful Inspection.
Statyczne wpisy MAC ustawiaj tylko celowo
Bridge forwarding table zwykle uczy się adresów MAC dynamicznie i na tej podstawie wybiera port do przekazywania ramek. static-entry może trwale powiązać adres MAC z bridge, interfejsem i portem. Oficjalny szablon komendy to:
system bridge static-entry [add | delete | show] [interface] {interface ID} [bridge name] [Port] {PortID} [macaddr] {MAC Address} [priority] [dynamic | static]
Nawiasy opisują składnię i nie są kopiowane do komendy. Przed add należy sprawdzić rzeczywiste ID za pomocą show, uzupełniania Tab i mapowania w WebAdmin. Błędny lub nieaktualny wpis statyczny może kierować ramki do niewłaściwego portu albo uniemożliwić dostęp do celu. W celu rollback usuwa się dokładnie udokumentowany wpis za pomocą delete. Następnie ponownie muszą działać uczenie MAC, ścieżka w obu kierunkach i dostęp administracyjny.
Nie traktuj limitu members jako celu skalowania
Bieżący limit wewnętrzny pokazuje:
system bridge max_bridge_members show
Device Console akceptuje wartości max_bridge_members od 2 do 256 i udostępnia również reset:
system bridge max_bridge_members set limit <2-256>
system bridge max_bridge_members reset
Nie należy utożsamiać tego z opublikowanym limitem WebAdmin. Sophos nadal podaje maksymalnie 64 members dla jednego bridge. Większy zakres CLI nie jest więc obsługiwanym celem projektu bridge z 256 interfejsami. Zmienia się go tylko dla potwierdzonego wyjątku i po uzgodnieniu z Sophos Support. Ponieważ pomoc nie określa wartości domyślnej po reset, wcześniej należy zapisać, czy stan początkowy był wartością niestandardową, czy defaultem. Rollback przywraca dokładnie ten stan.
Dodawanie bridge w WebAdmin
- Otworzyć Network > Interfaces > Add interface > Add bridge.
- Wprowadzić opisowy Name o długości do 58 znaków, na przykład
Bridge_Inline. - Ustawić niezmienny Hardware name o długości do 10 liter, cyfr i
_, na przykładbrinline. Nazwy systemowe, takie jakall,ipsec0,xfrm,Port,eth,WLANczyHalink, są zarezerwowane. - Włączyć Enable routing on this bridge pair tylko wtedy, gdy bridge ma świadomie otrzymać adres IP i routować.
- Dodać przygotowane Member interfaces oraz ich strefy.
- Dla routowanego bridge skonfigurować IPv4 lub IPv6 oraz planowany gateway dla members WAN.
- Sprawdzić ustawienia VLAN, ARP, STP, MTU, MSS i EtherType.
- Wybrać Save, a potem sprawdzić link, reguły i rzeczywisty przepływ.
Wyświetlaną nazwę można później zmienić. Hardware name pozostaje niezmienny i przed zapisem powinien być zgodny z konwencją nazewnictwa.
Zrozumienie filtrów VLAN i EtherType
Po włączeniu Filter VLANs przekazywane są tylko VLAN-y wpisane w Permitted VLAN ID or ID range. Możliwe są zakresy, takie jak 20-35. Jeśli filtr jest aktywny, a lista pozostaje pusta, SFOS odrzuca cały tagged ruch VLAN; ruch untagged pozostaje bez zmian.
Filtr działa tylko na frames bridged. Nie jest regułą firewalla dla ruchu routowanego. Zależny od wersji przypadek ze starymi konfiguracjami system vlan-tag opisano w Sprawdzanie Bridge-VLAN po SFOS 22.
Filter Ethernet frames pozwala ograniczyć EtherTypes. Bez dozwolonych wartości odrzucane są wszystkie frames z wyjątkiem zawsze dozwolonych typów ARP, IPv4, IPv6, 8021Q i EXTE. Inne typy dodaje się jako czterocyfrowe identyfikatory szesnastkowe, na przykład 809B, 8138, 8863 lub 8864. Takie zezwolenia dodaje się tylko dla konkretnego wymagania protokołu.
ARP, STP, MTU i MAC aging
Permit ARP broadcast jest domyślnie aktywne. Bez broadcastów ARP bridge nie może utworzyć normalnej tabeli MAC przez ARP. Wyłączenie nie jest ogólną ochroną przed broadcastami, lecz wąską reakcją na potwierdzoną burzę rozgłoszeniową i wymaga odpowiednich statycznych wpisów w Neighbors (ARP–NDP).
Spanning Tree Protocol (STP) chroni przed pętlami warstwy 2 i może aktywować nadmiarową ścieżkę. Jednak STP nie można włączyć na interfejsach bridge, gdy HA jest aktywne. Projekt nie może jednocześnie polegać na niejasnym mechanizmie zapobiegania pętli oraz HA. STP max age domyślnie wynosi 20 sekund i zmienia się je tylko zgodnie z całą domeną STP.
MAC aging domyślnie usuwa nieaktywne adresy MAC po 300 sekundach. Krótsze wartości mogą pasować do sieci dynamicznych, a dłuższe do stabilnych. Zmiany opiera się na zachowaniu switcha i aplikacji, a nie na ogólnej poradzie dotyczącej wydajności.
Jeśli MTU bridge i members są różne, bridge dziedziczy niższą wartość. Member z MTU 1500 ogranicza więc także bridge skonfigurowany na 9000. Override MSS stosuje się wyłącznie przy potwierdzonym problemie TCP lub MTU. Sprawdzanie MTU i MSS w Sophos Firewall opisuje kontrolowany proces.
Reguły, NAT i web proxy
Ruch między members wymaga odpowiedniej reguły firewalla między zaangażowanymi strefami. Source, destination i service ogranicza się tak bardzo, jak to możliwe, a logging pozostaje włączony podczas weryfikacji. Reguły firewalla w Sophos Firewall wyjaśniają ogólne działanie.
Bridge bez adresu IP ma ważny warunek STOP: jeśli ruch trafi na regułę z web proxy filtering lub regułę NAT, SFOS może odrzucić pakiety bez wpisu w logu. Nie należy interpretować tego jako zwykłego drop w Log Viewer.
Jeśli reguła NAT jest nieunikniona, dla tego konkretnego bridge używa się Override source translation for specific outbound interfaces, ustawia Outbound interface na bridge i Translated source (SNAT) na Original. Szeroka zmiana NAT nie jest bezpiecznym testem. Web proxy filtering stosuje się na transparentnym bridge tylko wtedy, gdy projekt wyraźnie to przewiduje.
Kontrolowane testowanie bridge
Po zapisaniu control plane i ruch użytkowników testuje się oddzielnie:
- W Network > Interfaces porównać bridge, members, strefy, tryb IP i stan linku z planem.
- Potwierdzić oczekiwaną Firewall Rule ID jednym kontrolowanym przepływem.
- Porównać wejście i wyjście w Packet Capture; adresy MAC, tag VLAN i EtherType muszą odpowiadać projektowi.
- Przetestować dozwoloną usługę w obu kierunkach i negatywnie sprawdzić celowo zabronioną usługę.
- Przy STP aktywować nadmiarowe ścieżki pojedynczo tylko w oknie serwisowym oraz mierzyć topologię i failover.
- Przy HA po kontrolowanej zmianie roli ponownie sprawdzić bridge, members, uczenie MAC i aplikacje.
Dla dropów Bridge ACL należy włączyć Bridge ACLs w System services > Log settings > Firewall. W Log Viewer można następnie filtrować według Log component > Bridge ACLs oraz podtypów ARP broadcasts, EtherType filtering i VLAN filtering.
Jeśli datapath nadal jest niejasny, Packet Capture w Sophos Firewall pokazuje, jak łącznie odczytywać interfejs wejściowy i wyjściowy, Rule ID, status oraz reason.
Bezpieczny rollback
Przed usunięciem należy udokumentować Object Usage, reguły, NAT, VLAN-y, DHCP, route, hosts oraz dostęp administracyjny bridge i wszystkich members. Najpierw tworzy się ścieżkę zastępczą i testuje ją rzeczywistym ruchem. Dopiero potem usuwa się zależności produkcyjne, kasuje bridge i kontrolowanie przypisuje members do nowych ról.
Jeden udany ping nie jest wystarczającym dowodem rollback. Następnie trzeba ponownie sprawdzić gateway, DNS, zarządzanie, aplikacje produkcyjne, Firewall Rule ID i drogę powrotną.