Konfiguracja i sprawdzanie łącza WAN PPPoE w Sophos Firewall

PPPoE należy skonfigurować na Sophos Firewall, gdy znajdujący się przed nią modem lub terminal ONT przekazuje połączenie w sposób przezroczysty w trybie bridge albo passthrough. Zapora nawiązuje wtedy połączenie z operatorem i otrzymuje przypisany adres WAN.

Jeśli sesję PPPoE nawiązuje urządzenie operatora, znajdująca się za nim Sophos Firewall otrzymuje zwykle statyczny lub przydzielony przez DHCP adres WAN. Gdy oba urządzenia wykonują NAT, powstaje podwójny NAT. Dodatkowe połączenie PPPoE z zapory jest w takiej konfiguracji zazwyczaj zbędne i może zostać odrzucone jako druga sesja.

⚠️ Przed zmianą musi być jasne, które urządzenie nawiązuje sesję PPPoE. Równoczesne połączenie z urządzenia operatora i zapory ma sens tylko wtedy, gdy operator wyraźnie obsługuje wiele sesji. Zmiana wymaga lokalnego lub niezależnego dostępu administracyjnego, ponieważ nieprawidłowe ustawienie natychmiast przerywa połączenie z Internetem.

Przed rozpoczęciem zbierz dane operatora

Przed rozpoczęciem okna serwisowego powinny być dostępne następujące informacje:

• Nazwa użytkownika PPPoE i ewentualnie hasło
• Tryb bridge lub passthrough modemu albo terminala ONT
• Opcjonalny identyfikator VLAN operatora
• Opcjonalna nazwa Access Concentrator lub usługi
• Wymaganie dotyczące dynamicznego, stałego lub preferowanego adresu IP
• Wymagania DNS oraz znane szczegóły dotyczące MTU lub ponownego łączenia
• Liczba dozwolonych sesji PPPoE i informacje o CGNAT

Nazwa użytkownika jest wymagana. To, czy potrzebne jest również hasło, zależy od operatora i używanej metody uwierzytelniania. WebAdmin akceptuje nazwy użytkownika o maksymalnej długości 50 znaków. Jeśli login operatora jest dłuższy, przed zmianą należy wyjaśnić tę kwestię z Sophos Support.

Przygotowanie powinno również obejmować aktualną kopię zapasową konfiguracji, okno serwisowe i plan wycofania zmiany. W przypadku zmiany zdalnej jedyny dostęp administracyjny nie może korzystać dokładnie z tego portu WAN, który jest ponownie konfigurowany.

Skonfiguruj interfejs PPPoE

W poniższym przykładzie użyto Port2 dla łącza z terminalem ONT w trybie bridge. Operator wymaga nazwy użytkownika, hasła i sieci VLAN 7, ale nie wymaga Preferred IP ani nazwy usługi. VLAN 7 jest tylko przykładem i nie należy stosować go na rzeczywistym łączu bez weryfikacji.

1. Otwórz Network > Interfaces.
2. Otwórz menu przewidzianego portu WAN i wybierz Edit interface.
3. Ustaw jednoznaczną nazwę, na przykład WAN-PPPoE, oraz strefę WAN.
4. Włącz IPv4 i wybierz PPPoE jako IP assignment.
5. W polu Username wpisz na przykład firma@example.net. Pole Password wypełnij wartością od operatora tylko wtedy, gdy łącze wymaga hasła.
6. Pozostaw Preferred IP puste, jeśli operator nie określił stałego adresu PPPoE.
7. Nadaj zrozumiałą Gateway name, na przykład gw-pppoe. Adres IP bramy wprowadź tylko wtedy, gdy operator podaje konkretną wartość.
8. Pozostaw Access concentrator/service name puste, chyba że operator wymaga dokładnej nazwy.
9. Pozostaw LCP echo interval na 20 sekund, a LCP failure na 3.
10. Zaplanowane ponowne łączenie włącz tylko wtedy, gdy wymaga tego operator lub sposób eksploatacji.
11. Jeśli operator wymaga sieci VLAN dla PPPoE, wybierz jeden z wariantów opisanych w następnej sekcji.
12. Zapisz konfigurację, a następnie sprawdź interfejs, bramę, DNS i rzeczywisty ruch klienta.

Preferred IP jest tylko żądaniem skierowanym do operatora. Nawet po wpisaniu adresu serwer PPPoE może przydzielić inny adres IP. Aby otrzymać gwarantowany stały adres, operator musi udostępniać odpowiednią usługę.

Nazwa Access Concentrator lub usługi ogranicza połączenie do pasującego punktu końcowego. Zmyślona lub błędnie wpisana wartość może uniemożliwić połączenie już w fazie discovery. Dlatego pole powinno pozostać puste, jeśli operator nie podał go wyraźnie.

Prawidłowo skonfiguruj sieć VLAN operatora

Sieć VLAN operatora można skonfigurować na dwa sposoby. Obie metody są poprawne, ale nie wolno łączyć ich dla tego samego łącza.

Wariant 1: ustawienie VDSL na fizycznym porcie PPPoE

PPPoE jest konfigurowane bezpośrednio na fizycznym porcie WAN. W sekcji DSL settings włącz VDSL i wpisz identyfikator VLAN operatora. SFOS wykona wtedy obsługę sieci VLAN niezbędną dla sesji PPPoE.

Określenie VDSL nie oznacza, że zapora zastępuje modem DSL lub terminal ONT. Urządzenie znajdujące się przed zaporą nadal odpowiada za fizyczne łącze i synchronizację.

W przykładzie na porcie PPPoE ustawiana jest sieć VLAN 7. Na tym samym łączu nie wolno następnie tworzyć dodatkowej ręcznej sieci VLAN 7 z drugą konfiguracją PPPoE.

Wariant 2: PPPoE na ręcznie utworzonej sieci VLAN WAN

W sekcji Network > Interfaces > Add interface > Add VLAN najpierw utwórz sieć VLAN na fizycznym porcie operatora. Przypisz tej sieci VLAN strefę WAN, identyfikator VLAN operatora oraz PPPoE jako przypisanie IPv4. Dane logowania wprowadź na tym interfejsie VLAN.

Taka konfiguracja jest przydatna, gdy interfejs VLAN ma być wyraźnie widoczny i osobno nazwany w projekcie interfejsów. Artykuł Konfiguracja sieci VLAN w Sophos Firewall wyjaśnia podstawy interfejsu nadrzędnego i tagowania VLAN.

Jeśli na interfejsie fizycznym jest już skonfigurowana sieć VLAN, SFOS nie może po prostu zmienić przypisania IP tego interfejsu fizycznego ze Static na PPPoE lub DHCP. Najpierw należy wtedy sprawdzić istniejący projekt interfejsów i sieci VLAN.

Zrozumienie LCP i ponownego łączenia

Komunikaty echo LCP sprawdzają, czy węzeł PPP nadal odpowiada. Przy wartościach domyślnych zapora wysyła sprawdzenie co 20 sekund i uznaje sesję za nieosiągalną po 3 brakujących odpowiedziach.

Te wartości stanowią rozsądny punkt wyjścia. Krótszy interwał szybciej wykrywa błędy, ale na niestabilnym łączu może powodować niepotrzebne ponowne połączenia. Dlatego LCP należy zmieniać tylko w wyniku wymagania operatora lub udokumentowanego problemu. Wyłączenie tego ustawienia nie dezaktywuje LCP, lecz przywraca wartości domyślne.

Schedule time for reconnect rozłącza sesję PPPoE o określonej porze i nawiązuje ją ponownie. Może to pomóc, gdy operator regularnie wymusza rozłączenie, ale nie jest to ogólna funkcja naprawcza. Trwające połączenia zostają przerwane, a przy przydziale dynamicznym publiczny adres IP może się zmienić. Wymagane ponowne łączenie należy więc planować poza godzinami produkcyjnymi.

Sprawdź całe połączenie

Sam przydzielony adres WAN nie dowodzi jeszcze, że klienci mogą korzystać z Internetu. Po zapisaniu sprawdź poszczególne warstwy w następującej kolejności.

Interfejs i brama

W sekcji Network > Interfaces interfejs PPPoE musi być połączony i mieć przypisany adres IP. Powiązana brama fizyczna pojawi się automatycznie w sekcji Network > WAN link manager.

Nowa brama WAN jest domyślnie ustawiona jako Active. W przypadku kilku łączy internetowych może więc natychmiast uczestniczyć w równoważeniu obciążenia. Jeśli nowe łącze PPPoE ma służyć wyłącznie jako rezerwowe, skonfiguruj bramę bezpośrednio jako Backup, a następnie przeprowadź kontrolowany test. Pełna procedura znajduje się w artykule Konfiguracja i testowanie przełączania awaryjnego WAN.

DNS

W sekcji Network > DNS można użyć opcji Obtain DNS from PPPoE lub świadomie skonfigurować statyczny DNS. Opcja Test name lookup umożliwia bezpośrednie sprawdzenie rozwiązywania nazw.

Przy wielu połączeniach PPPoE nie należy zakładać nieudokumentowanej kolejności otrzymanych serwerów DNS. Świadomie wybrane serwery DNS i osobne testy zapewniają przewidywalny projekt Multi-WAN.

Reguła zapory, NAT i test klienta

Ruch LAN do WAN wymaga odpowiedniej reguły zapory i zazwyczaj masqueradingu lub SNAT. Artykuł Zrozumienie NAT w Sophos Firewall wyjaśnia zależności między tymi elementami.

Następnie z klienta testowego sprawdź co najmniej następujące funkcje:

1. Osiągalność zewnętrznego adresu IP.
2. Rozwiązywanie nazwy DNS.
3. Otwarcie strony HTTPS.
4. Aplikację ważną dla działalności.
5. Wpis w dzienniku z oczekiwaną regułą zapory i interfejsem WAN.

Udany ping nie wystarcza. DNS, HTTPS, NAT lub aplikacja mogą nadal nie działać, mimo że małe pakiety ICMP są przesyłane prawidłowo.

Wycofaj nieudaną zmianę

Jeśli sesja PPPoE nie zostanie nawiązana, wycofaj zmianę za pośrednictwem niezależnego dostępu administracyjnego: przywróć na urządzeniu operatora wcześniej udokumentowany tryb pracy, ustaw na interfejsie WAN poprzedni adres statyczny lub przydzielany przez DHCP oraz aktywuj poprzednią ścieżkę bramy i DNS. Następnie ponownie sprawdź interfejs, bramę, DNS i rzeczywisty test klienta. Kontynuuj pracę nad PPPoE dopiero wtedy, gdy poprzednia ścieżka znowu działa.

Systematyczne zawężanie błędów PPPoE

Najpierw sprawdź łącze i konfigurację, a dopiero potem MTU lub inne wartości specjalne:

1. Sprawdź stan łącza, synchronizację modemu lub terminala ONT, okablowanie oraz tryb bridge/passthrough.
2. Porównaj sieć VLAN operatora z danymi umowy i upewnij się, że nie została ustawiona jednocześnie przez opcję VDSL i ręcznie utworzoną sieć VLAN.
3. Dokładnie sprawdź nazwę użytkownika, opcjonalne hasło i wielkość liter.
4. Wyczyść Preferred IP oraz nazwę Access Concentrator lub usługi, jeśli operator nie określił wyraźnie tych wartości.
5. Zapisz konfigurację i sprawdź, czy interfejs otrzymuje adres IP i bramę.
6. Najpierw sprawdź DNS za pomocą Test name lookup, a następnie z klienta.
7. Sprawdź regułę zapory, NAT i Log Viewer.

Aby przeprowadzić dokładniejszą diagnostykę w 5. Device Management > 3. Advanced Shell, najpierw obserwuj zdarzenia interfejsu:

tail -f /log/networkd.log

Plik networkd.log pokazuje zdarzenia fizycznych i wirtualnych interfejsów. Brama WAN i możliwe zdarzenia przełączania awaryjnego są rejestrowane w pliku dgd.log:

tail -f /log/dgd.log

Bieżące wyjście zatrzymuje się za pomocą Ctrl+C. Dodatkowe komunikaty systemowe można wyświetlić w 4. Device Console za pomocą polecenia tylko do odczytu:

system diagnostics show syslog

Komunikaty pppd w danych wyjściowych mogą ujawnić błędy discovery, uwierzytelniania lub sesji. Dokładny komunikat o błędzie należy udokumentować wraz z godziną, interfejsem, wersją firmware i nową próbą połączenia. Artykuł Dzienniki usług Sophos Firewall wyjaśnia interpretację kolejnych plików.

Typowe wzorce:

• Nie znaleziono węzła PPPoE: sprawdź łącze, tryb bridge/passthrough, sieć VLAN operatora i opcjonalną nazwę usługi.
• Uwierzytelnianie odrzucone: sprawdź dane logowania, długość znaków, konto operatora i dozwoloną liczbę sesji.
• Sesja zostaje nawiązana, a następnie przerwana: oceń łącze, zdarzenia operatora, LCP i zaplanowane ponowne łączenie.
• Adres WAN jest obecny, ale Internet nie działa: sprawdź bramę, DNS, regułę zapory, NAT i routing.
• Nie działają tylko duże pakiety lub ruch VPN: analizuj MTU/MSS dopiero po wykonaniu powtarzalnego testu.

Nie zmieniaj globalnie MTU i MSS

PPPoE wprowadza dodatkowy narzut. Nie oznacza to jednak, że każde połączenie trzeba ręcznie ustawić na MTU 1492 lub MSS 1452. Wartości domyślne działają w wielu środowiskach, a dodatkowe sieci VLAN, VPN lub technologie operatora zmieniają rzeczywistą ścieżkę.

Zmiana ma sens dopiero wtedy, gdy na przykład małe pakiety działają, duże transfery HTTPS zatrzymują się lub packet capture wielokrotnie pokazuje problemy z fragmentacją. Artykuł Sprawdzanie MTU i MSS w Sophos Firewall opisuje pomiar i obliczenia.

Multi-WAN, Dynamic DNS i HA

Nawiązane połączenie PPPoE zachowuje się w WAN Link Manager jak inna fizyczna brama WAN. Podczas ponownego łączenia lub przełączenia awaryjnego publiczny adres i wszystkie powiązane z nim połączenia mogą się jednak zmienić. Dotyczy to w szczególności IPsec, DNAT, zewnętrznych list dozwolonych i Remote Access. Przy adresach dynamicznych pomaga Dynamic DNS w Sophos Firewall, ale nie zastępuje testu usług przychodzących.

Jeśli operator przypisuje wyłącznie prywatny lub współdzielony adres CGNAT, zapora zwykle nie jest bezpośrednio dostępna z Internetu. Dynamic DNS tylko aktualizuje nazwę i nie usuwa CGNAT. Usługi przychodzące wymagają adresu publicznego lub przekierowanego przez operatora.

PPPoE jest dozwolone w klastrze HA Active-Passive, ale istniejąca sesja PPPoE nie jest przejmowana podczas przełączenia awaryjnego. Nowy Primary musi nawiązać ją ponownie. Active-Active wymaga statycznych adresów IP na wszystkich interfejsach i dlatego nie obsługuje PPPoE. Fizyczny projekt łącza operatora musi ponadto zapewniać obu urządzeniom dostęp do łącza po zmianie ról. Dalsze ograniczenia wyjaśnia artykuł Warianty HA Sophos Firewall.

IPv6 jest osobną decyzją operatora. Jeśli łącze zapewnia Prefix Delegation, artykuł IPv6 Prefix Delegation w Sophos Firewall przedstawia oddzielną konfigurację.

Wyklucz błędy zależne od wersji

SFOS 22.0 MR2 Build 546 usuwa kilka problemów PPPoE występujących w GA i MR1, w tym Policy Test przez PPPoE, synchronizację licencji w HA Active-Passive i niską wydajność wysyłania spowodowaną zbyt krótką kolejką TX. MR2 usuwa również błąd, w którym tunele IPsec z adresem alias IP na WAN PPPoE były zestawiane, ale nie przesyłały ruchu.

Jeśli jeden z tych objawów występuje w starszej wersji SFOS 22, należy najpierw zaplanować kontrolowaną aktualizację do obecnie obsługiwanej wersji Maintenance Release. Przygotowanie opisuje kontrola aktualizacji SFOS 22. Stare obejścia, takie jak globalne wyłączanie akceleracji IPsec, nie powinny być częścią nowej konfiguracji standardowej.

FAQ