Konfiguracja Cellular WAN i test failover 4G/5G w Sophos Firewall

Cellular WAN na urządzeniu Sophos Firewall służy zazwyczaj jako łącze zapasowe. W lokalizacjach tymczasowych sieć komórkowa może być również łączem głównym, o ile pozwalają na to taryfa, zasięg, opóźnienia i ryzyko operacyjne. Aby po awarii połączenie 4G lub 5G rzeczywiście przejęło ruch, nie wystarczą poprawne ustawienia SIM i APN: test musi obejmować także monitorowanie bramy, reguły SD-WAN, reguły zapory oraz powrót do łącza głównego.

Niezawodna kolejność działań to: sprawdzenie sprzętu i taryfy, skonfigurowanie WWAN1, zdefiniowanie logiki failover, a następnie przetestowanie failover i failback przy użyciu rzeczywistego ruchu aplikacji.

Wymagania i planowanie

Przed rozpoczęciem konfiguracji potrzebne są:

• modem 4G/5G lub moduł Sophos zgodny z modelem zapory i wersją SFOS
• aktywna karta SIM z odpowiednią taryfą, kodem PIN i APN
• w razie potrzeby nazwa użytkownika i hasło operatora
• informacje o limicie danych, publicznym adresie IP lub CGNAT
• wystarczający zasięg i poprawnie podłączone anteny
• lista usług, które muszą nadal działać przez łącze zapasowe
• okno serwisowe, w którym można kontrolowanie odłączyć łącze główne

Długie lub niskiej jakości przewody antenowe mogą zniwelować korzyści z lepszego umiejscowienia anteny.

W przypadku starszego modemu USB oficjalna macierz zgodności USB dla SFOS 22 służy wyłącznie jako źródło historyczne. Macierz jest datowana na 2024-08-19, ma charakter orientacyjny, nie jest już aktualizowana i nie stanowi dopuszczenia nowego zakupu. Należy zapisać dokładnego producenta, model i operatora oraz Default ID zgłaszany przy pierwszym wykryciu i Modem ID zgłaszany przez funkcję modemową po przełączeniu trybu. Likely jest tylko wskazówką historyczną. Unlikely, urządzenie niewymienione lub niezgodność identyfikatorów oznacza brak walidacji. Not compatible oznacza odrzucenie urządzenia.

Sam wpis w macierzy nie wystarcza do odbioru modemu. W czasie pracy firewall musi go wykryć, utworzyć WWAN1, uzyskać oczekiwany adres IP i bramę, przenosić reprezentatywny ruch oraz przejść kontrolowany test failover i failback. Wyniki należy zapisać wraz z tożsamością urządzenia i identyfikatorami.

W przypadku modułów Sophos aktualne przypisanie jest bardziej precyzyjne: Sophos 5G module Gen.2 jest udokumentowany dla XGS 118/118w, 128/128w i 138/138w; urządzenia te wymagają co najmniej SFOS 20 MR2. Sophos 5G module Gen.1 jest wymieniony dla XGS 116/116w, 126/126w i 136/136w. Przed wyłączeniem urządzenia i instalacją trzeba więc sprawdzić zarówno generację modułu, jak i firewalla. Podane przez Sophos maksymalne wartości, do 4,5 Gbps pobierania i 660 Mbps wysyłania, opisują moduł radiowy, a nie gwarantowaną przepustowość end-to-end firewalla, operatora ani pojedynczej aplikacji.

Łącze komórkowe z ograniczonym pakietem danych nie powinno bez kontroli przejmować całego ruchu lokalizacji. Adres CGNAT lub inny adres bez publicznego dostępu uniemożliwia połączenia przychodzące do zapory. Tunel site-to-site IPsec może mimo to używać połączenia komórkowego jako strony inicjującej; NAT-T jest w Sophos Firewall zawsze aktywny, ale druga strona, tożsamości i trasa powrotna muszą być odpowiednio skonfigurowane.

Cellular WAN nie jest obsługiwany w żadnym trybie HA urządzeń Sophos Firewall i przed konfiguracją HA musi zostać wyłączony na obu urządzeniach. Jeśli HA i failover komórkowy są wymagane jednocześnie, potrzebna jest oddzielna architektura WAN. Więcej informacji zawiera artykuł Warianty i obsługa klastra HA Sophos Firewall.

Sprzęt i kartę SIM należy zmieniać wyłącznie przy wyłączonej zaporze. Moduł Sophos 5G nie jest hot-swappable.

Konfiguracja Cellular WAN

Przygotowanie modemu i karty SIM

Przed konfiguracją zapory należy ustalić stan karty SIM, kod PIN, APN i profil operatora. Taryfy biznesowe, konsumenckie i IoT mogą korzystać z różnych APN. Anteny należy w pełni podłączyć i ustawić tak, aby uzyskać nie tylko zasięg sieci, lecz także stabilne połączenie.

Sprawdzanie interfejsu

Network > Cellular WAN
Network > Interfaces

Należy włączyć Cellular WAN i sprawdzić, czy widoczne są stan modemu, adres IP oraz brama. W przypadku modułu 5G najpierw należy użyć Show recommended configuration i Load recommended configuration, a następnie zapisać APN, opcjonalne dane dostępowe i kod PIN karty SIM.

Zapora automatycznie tworzy interfejs WWAN1 w strefie WAN, dlatego istniejące reguły WAN obowiązują również dla tego interfejsu. Tworzony jest także dynamiczny host ##WWAN1. Podstawy opisano w artykule Konfiguracja stref i interfejsów w Sophos Firewall.

Dla modułów 5G w sekcji IP assignment dostępna jest tylko opcja Network adapter (DHCP). Opcja Dial-up (PPP) pozostaje wyłączona. Jeśli WWAN1 się nie pojawia, przed zmianą APN lub routingu należy najpierw sprawdzić wykrywanie sprzętu i logi.

W General settings można zmienić nazwę wyświetlaną, ale nie nazwę sprzętową. Zależnie od modemu firewall pokazuje również Connect mode, Reconnect tries, Modem port, Phone number, Username, Password, SIM card PIN code i APN, a także opcjonalne DHCP connect/disconnect commands oraz Initialization string. Wartości te pochodzą od operatora lub z zatwierdzonego profilu modemu i nie należy kopiować ich z przykładów. Ustawienie Always w Reconnect tries powoduje ponawianie połączenia bez stałego limitu prób.

Dla MTU i MSS ustawieniem domyślnym jest Assignment type: Automatic. Opcję Manual stosuje się tylko podczas kontrolowanego testu fragmentacji lub TCP, gdy automatycznie pobrane od operatora wartości w sposób potwierdzony nie działają. Następnie trzeba ponownie sprawdzić rzeczywiste aplikacje, Packet Capture i failover; samo obniżenie MTU nie jest dowodem powodzenia.

Ustalanie bramy i SD-WAN

Network > WAN link manager
Routing > SD-WAN profiles
Routing > SD-WAN routes

Ogólne znaczenie ustawień Active, Backup, ANY/ALL, Failover rules i failback opisano w artykule Konfiguracja i test failover WAN w Sophos Firewall. Tutaj dochodzą do tego szczególne wymagania ścieżki komórkowej.

Aby skonfigurować prosty failover dostępu do Internetu, w WAN link manager należy kliknąć Edit przy bramie WWAN i wybrać Type: Backup. Nowe bramy są domyślnie aktywne i w przeciwnym razie uczestniczyłyby w Load Balancing. W Activate this gateway należy określić, czy łącze zapasowe ma przejąć ruch po awarii dowolnej aktywnej bramy (ANY), czy dopiero po awarii wszystkich aktywnych bram (ALL). Opcja Manually nie aktywuje bramy automatycznie; trzeba zmienić Type na Active w konfiguracji.

W Action on failback określa się zachowanie po powrocie łącza głównego: istniejące sesje mogą działać przez WWAN do upływu limitu czasu, podczas gdy tylko nowe połączenia ponownie korzystają z łącza głównego, albo wszystkie połączenia mogą zostać zestawione ponownie przez przywrócone łącze. Drugi wariant może przerwać aktywne sesje. W trasach SD-WAN opcja Serve all connections through restored gateway ma jednak zastosowanie tylko wtedy, gdy jako bramę główną wybrano WAN link load balance. Jeśli główną bramą SD-WAN jest aktywne łącze WAN, tylko nowe połączenia są kierowane przez przywróconą bramę; jeśli jest nią zapasowe łącze WAN, połączenia są zestawiane ponownie i nadal kierowane przez to łącze zapasowe.

Trasy selektywne, testy SLA lub różne traktowanie usług konfiguruje się za pomocą profili i tras SD-WAN. Szczegółową procedurę opisano w artykule Konfiguracja trasy SD-WAN w Sophos Firewall.

Health Checks mogą używać protokołu Ping lub TCP. Profil SD-WAN obsługuje maksymalnie dwa Probe Targets; drugi cel służy jako cel zastępczy, gdy pierwszy nie odpowiada. Podczas failover należy priorytetyzować aplikacje krytyczne i ograniczać zbędne usługi zużywające dużo danych.

Dla bramy WWAN Sophos automatycznie tworzy regułę failover do 8.8.8.8 oprócz sprawdzania przydzielonego adresu IP bramy. Pozwala to nadal sprawdzać połączenie, gdy operator nie zezwala na Ping do adresu bramy. Należy jednak zweryfikować, czy ten cel jest zgodny z własną polityką bezpieczeństwa.

Jeśli pakiety odpowiedzi lub ruch generowany przez zaporę korzystają z innej trasy, pomocny jest artykuł Sprawdzanie routingu SD-WAN dla Reply Packets i System Traffic.

Sprawdzanie sygnału i failover

Sterowanie Cellular WAN w Device Console

system cellular_wan nie służy wyłącznie do wyświetlania stanu. Cellular WAN jest domyślnie wyłączony. Trzeba go włączyć w Device Console, zanim zadziałają pozostałe polecenia Cellular WAN i menu pojawi się w WebAdmin:

system cellular_wan enable
system cellular_wan show

disable ponownie wyłącza tę funkcję. Tego polecenia używa się tylko wtedy, gdy WWAN1 nie przenosi aktywnego ruchu i nie jest wymaganym łączem zapasowym:

system cellular_wan disable

Sophos dokumentuje następujący wspólny szablon polecenia dla uruchamiania modemu i zachowania podczas wyłączania systemu:

system cellular_wan set modem-setup-delay <0-15> disconnect-on-systemdown [on|off]

Symbole zastępcze należy zastąpić rzeczywistymi wartościami. modem-setup-delay oznacza opóźnienie od 0 do 15 sekund, domyślnie 0. Domyślną wartością disconnect-on-systemdown jest off. Przed zmianą należy zapisać bieżący stan za pomocą show. Dłuższe opóźnienie ani rozłączanie przy wyłączaniu nie jest ogólną optymalizacją stabilności. Parametry te stosuje się tylko dla potwierdzonego zachowania modemu lub procedury wyłączania.

Do głębszej diagnostyki modemu dostępne są również zapytanie przez port szeregowy i przełącznik QMI:

system cellular_wan query serialport <numer-portu> ATcommand <polecenie-AT>
system cellular_wan qmi-mode [enable|disable]

query wysyła prawidłowe, specyficzne dla modemu polecenie AT bezpośrednio do wybranego portu. Błędne polecenie może zmienić rejestrację, tryb radiowy lub połączenie, dlatego należy go używać wyłącznie w udokumentowanej procedurze producenta lub Support. Przełącznik CLI qmi-mode dotyczy tylko modemów Sierra; modemy innych producentów już obsługują QMI. Nie należy przełączać go metodą prób. Po każdej zmianie trzeba sprawdzić show, stan w WebAdmin, logi modemu i sieci oraz rzeczywisty przepływ danych. Rollback przywraca wcześniej zapisane wartości.

Stan sygnału w CLI

Po zalogowaniu przez SSH, w Option 4: Device Console, poniższe polecenie wyświetla konfigurację oraz stan karty SIM, połączenia i sygnału:

system cellular_wan show

Polecenie istniało już wcześniej; od SFOS 22.0 GA pozwala również sprawdzać siłę sygnału. Sophos nie publikuje uniwersalnych wartości granicznych. Należy więc porównywać wartości podczas normalnej pracy, po zmianie anten oraz podczas aktywnego failover. Duże wahania wskazują przede wszystkim na tor radiowy, antenę, operatora, moduł lub kartę SIM, ale nie wykluczają równoczesnych błędów routingu.

⚠️ Dostęp SSH należy zezwalać wyłącznie z zaufanych sieci administracyjnych. Przed użyciem należy sprawdzić Łączenie z Sophos Firewall przez SSH oraz zabezpieczenie dostępu za pomocą Device Access i Local Service ACL.

Testowanie failover i failback

Przed testem należy zapewnić aktualną kopię zapasową konfiguracji, udokumentować trasę główną i zapasową, poinformować osoby, których test dotyczy, oraz otworzyć Log Viewer i monitoring. W przypadku SD-WAN należy dodatkowo włączyć lokalne logi SD-WAN w System services > Log settings.

1. W stanie początkowym należy sprawdzić bramę główną, bramę WWAN, używaną trasę SD-WAN i liczniki danych.
2. Należy wygenerować odpowiedni ruch testowy, na przykład DNS, HTTPS, RDP, VPN oraz ruch ważnej aplikacji biznesowej.
3. Należy kontrolowanie wyłączyć łącze główne lub celowo doprowadzić do niepowodzenia jego Health Check.
4. W WAN link manager lub Routing > SD-WAN routes należy sprawdzić, czy ruch przejmuje WWAN1.
5. W Log Viewer należy sprawdzić moduł SD-WAN oraz zastosowane reguły zapory.
6. W Network > Cellular WAN należy sprawdzić Status, IP address, Gateway IP, Bytes uploaded, Bytes downloaded oraz Time duration.
7. Należy ponownie przetestować DNS, HTTPS, RDP, VPN i wybrane aplikacje biznesowe przez WWAN1.
8. Należy przywrócić łącze główne i sprawdzić powrót ruchu. W WAN link manager musi zadziałać skonfigurowane zachowanie failback; w przypadku SD-WAN powrót zależy dodatkowo od strategii i SLA.
9. Na koniec należy ponownie sprawdzić bramę, połączenia i aplikacje przez trasę główną.

Udany Ping potwierdza jedynie osiągalność, a nie działanie wymaganych usług. Policy Tester nie uwzględnia też tras SD-WAN, dlatego nie potwierdza wykorzystanej ścieżki. Przy sprawdzaniu reguł zapory, logów i Packet Capture pomocny jest mimo to artykuł Testowanie reguły zapory za pomocą Log Viewer, Policy Test i Packet Capture.

Lokalizowanie błędów

• Brak modemu lub WWAN1: najpierw należy porównać fizycznego producenta/model oraz wykryte Default/Modem ID z zapisaną tożsamością. Następnie sprawdzić zasilanie, port i połączenie USB oraz firmware. modemd.log pokazuje podłączanie lub odłączanie urządzeń USB WWAN, syslog.log zdarzenia USB, modemu i PPP, a networkd.log konfigurację sieciową związaną z modemem. Do Sophos, producenta modemu lub operatora należy eskalować tożsamość, identyfikatory i odpowiednie fragmenty logów; urządzenie niezgodne, oznaczone Not compatible lub nieprzechodzące odbioru w czasie pracy trzeba wymienić.
• Karta SIM nie łączy się: należy sprawdzić PIN, APN, profil operatora, blokadę karty SIM i zasięg. APN trzeba potwierdzić u operatora, a nie zgadywać.
• Brama jest aktywna, ale ruch nie przechodzi: należy sprawdzić używaną bramę i trasę SD-WAN, regułę zapory, NAT, DNS oraz trasę powrotną. dgd.log zawiera zdarzenia dotyczące bram WAN i failover łączy; Health Checks SD-WAN i zmiany tras są widoczne w module SD-WAN narzędzia Log Viewer.
• Aplikacje działają niestabilnie: sieć komórkowa często ma większe opóźnienia, utratę pakietów i wahania. Należy testować rzeczywiste aplikacje, a w razie potrzeby zmierzyć przepustowość za pomocą iPerf między dwoma punktami końcowymi. W przypadku problemów z VPN lub fragmentacją należy dodatkowo sprawdzić MTU i MSS.
• VPN działa tylko przez łącze główne: w przypadku CGNAT bezpośrednie połączenia przychodzące nie są możliwe. Należy sprawdzić, czy strona komórkowa inicjuje tunel, druga strona akceptuje dynamiczne adresy lub odpowiednie tożsamości, a trasa powrotna jest poprawna.

Pliki logów i ich zastosowanie opisano w artykule Prawidłowe przypisywanie Service Logs Sophos Firewall.

Ponowne połączenie lub restart modemu w SFOS 23

W Network > Cellular WAN przycisk Connect nawiązuje połączenie modemu. Reset natomiast uruchamia modem ponownie i łączy go z firewallem. Istniejące ustawienia interfejsu WWAN i zależne konfiguracje zostają zachowane; nie jest to przywrócenie ustawień fabrycznych. Procedura ta jest udokumentowana dla SFOS 23, a nie jako funkcja SFOS 22.

Reset jest dostępny tylko dla modeli 5G Quectel i Sierra Wireless, nie dla innych modeli modemów ani adapterów USB. Przed wyborem sposobu przywrócenia połączenia należy sprawdzić dokładny model; sama nazwa producenta lub obsługa 5G nie wystarcza.

⚠️ Restart modemu tymczasowo przerywa połączenie komórkowe, mimo zachowania konfiguracji. Najpierw należy zapewnić niezależną ścieżkę dostępu administracyjnego. Jeśli WWAN przenosi aktywny ruch lub stanowi wymagane łącze zapasowe, należy uzgodnić okno serwisowe. Wyłączenie firewalla w opisanym poniżej wariancie sprzętowym przerywa również jego pozostałe usługi.

1. Zapisać model, bieżący stan modemu, adres IP, bramę oraz odpowiednie logi modemu i sieci. Udokumentować ustawienia WWAN1 i zależności, takie jak brama, trasy SD-WAN oraz reguły firewalla i NAT, aby móc je później porównać.
2. Obsługiwany model 5G w SFOS 23: W Network > Cellular WAN kliknąć Reset, a następnie sprawdzić ponowne wykrycie modemu i nawiązanie połączenia.
3. Model bez obsługi Reset: Stosować wyłącznie procedurę restartu AT właściwą dla modemu, udokumentowaną przez producenta lub wsparcie. Nadal obowiązuje ostrzeżenie dotyczące query serialport opisane wyżej; nie zgadywać poleceń AT. Alternatywnie wyłączyć firewall i dopiero po jego wyłączeniu odłączyć oraz ponownie podłączyć modem. Następnie włączyć firewall i sprawdzić wykrycie oraz ponowne połączenie. Nigdy nie odłączać modemu podczas pracy firewalla: może to spowodować problemy z połączeniem Cellular WAN.
4. W Network > Cellular WAN sprawdzić stan, adres IP i bramę; w Network > Interfaces porównać zachowane ustawienia WWAN1 z zapisanym stanem. Sprawdzić również zależne konfiguracje i reprezentatywny ruch aplikacji. Jeśli jest to bezpieczne operacyjnie, wykonać opisany wyżej kontrolowany test failover i failback.

Przy interpretowaniu odpowiedzi API XML należy uwzględnić, że dokumentacja Cellular WAN dla SFOS 23 dodaje status 203 z Message.WWANResetSuccessfully dla resetu zgłoszonego jako udany oraz 511 z Message.WWANResetFailed dla resetu zgłoszonego jako nieudany; obu powiązań brakuje w dokumentacji SFOS 22. Są to wartości statusu API XML, a nie kody statusu HTTP. Identyfikatory są dosłownymi kluczami komunikatów w dokumentacji, nie zweryfikowaną treścią komunikatu podczas działania urządzenia. Nie wynika z nich ani żądanie Reset, ani dodatkowa wartość Action: niezmieniony przykład zawiera Enable/Disable/Query/Set. Nawet po zgłoszeniu sukcesu wykonać kontrole z kroku 4: stan, adres IP, brama i rzeczywisty ruch aplikacji muszą być poprawne. Przy zgłoszonym błędzie zachować faktyczną odpowiedź oraz odpowiednie logi i eskalować po opisanych kontrolach, zamiast podejmować nieograniczone próby restartu.

Jeśli połączenie nadal nie działa, przekazać Sophos, producentowi modemu lub operatorowi aktualne fragmenty modemd.log, syslog.log i networkd.log, wraz z modelem, stanem i wykonanymi już krokami, zamiast wielokrotnie restartować modem metodą prób.

Eksploatacja

• Testować failover i failback co najmniej raz na kwartał oraz po istotnych zmianach firmware lub routingu.
• Monitorować bramę, stan SD-WAN, ilość danych i koszty.
• Dokumentować kartę SIM, PIN, APN, taryfę, położenie anten i porównanie parametrów sygnału.
• Ograniczać ruch niekrytyczny podczas failover.
• Wyznaczyć osoby odpowiedzialne za alarmy, awarię operatora, blokadę karty SIM i powrót do normalnej pracy.
• Udokumentować sprzęt zastępczy i ścieżkę wsparcia.

FAQ