Konfiguracja i testowanie WLAN bezpośrednio w Sophos Firewall

Sieć WLAN zarządzaną bezpośrednio w Sophos Firewall tworzy się w Wireless > Wireless networks. Samo utworzenie SSID jednak nie wystarcza: wybrany tryb ruchu określa, czy klienci otrzymają własną sieć, znajdą się w sieci LAN punktu dostępowego, czy zostaną dołączeni mostem do sieci VLAN. Następnie konfiguracje DHCP, reguł zapory, NAT oraz przypisania do punktu dostępowego muszą być ze sobą zgodne.

⚠️ Ważne: Ta instrukcja dotyczy wyłącznie sprzętu WLAN zarządzanego bezpośrednio przez Sophos Firewall. Punktami dostępowymi AP6 nie można zarządzać przez SFOS. W przypadku wielu urządzeń AP6 przewidzianym i zalecanym sposobem zarządzania jest Sophos Central; pojedynczy AP6 można alternatywnie skonfigurować za pomocą jego lokalnego interfejsu. Dlatego funkcja Wireless zarządzana przez zaporę ma obecnie zastosowanie przede wszystkim w istniejących instalacjach APX, w zintegrowanym LocalWiFi modeli desktopowych W oraz z obsługiwanymi modułami Wi-Fi w urządzeniach Sophos Firewall lub SD-RED.

W tej instrukcji wykorzystano sieć WLAN dla gości z trybem Separate zone. Jest to zrozumiały przykład, ponieważ sieć klientów, reguły i dozwolone cele można jednoznacznie oddzielić od wewnętrznej sieci LAN.

Skrócona procedura:

1. Przygotować Wireless Protection i strefę punktu dostępowego w Wireless > Wireless settings.
2. Zaakceptować punkt dostępowy w Wireless > Access points.
3. Utworzyć SSID, zabezpieczenia i sieć klientów w Wireless > Wireless networks.
4. Uzupełnić DHCP, regułę zapory i NAT w Network > DHCP oraz Rules and policies.
5. Przypisać Wireless Network do punktu dostępowego i za pomocą klienta testowego sprawdzić IP, DNS, Rule ID oraz niepożądany dostęp do sieci wewnętrznych.

Czy ta instrukcja pasuje do punktu dostępowego?

SFOS 22 może zarządzać punktami dostępowymi serii APX do zastosowań wewnętrznych, zintegrowaną siecią WLAN zgodnej zapory XGS oraz zgodnymi modułami rozszerzeń Wi-Fi w urządzeniach Sophos Firewall lub SD-RED. W przypadku zewnętrznych urządzeń APX dotyczy to modeli APX 120, APX 320, APX 530 i APX 740. Model zewnętrzny APX 320X i starsza seria AP nie są zarządzane bezpośrednio przez aktualną zaporę Sophos Firewall.

AP6 nie należy do tej procedury. AP6 konfiguruje się przez Sophos Central, a pojedyncze urządzenie również za pomocą jego lokalnego interfejsu. Dla wariantu Central odpowiednie są wymagania Sophos Central Wireless.

Lokalna funkcja Wireless jest częścią Sophos Firewall Base License. Dodatkowo potrzebny jest zgodny punkt dostępowy. Seria APX jest już jednak End-of-Sale i osiągnie End-of-Life 31 grudnia 2027 r. Ta instrukcja pomaga więc przede wszystkim bezpiecznie eksploatować istniejące instalacje APX. W przypadku nowej platformy WLAN należy uwzględnić End-of-Life serii APX i AP6 jako jej następcę albo zaplanować inne aktualne systemy WLAN.

Wybór właściwego trybu Client traffic

Wybór w sekcji Client traffic jest ważniejszy niż nazwa SSID. Określa on, czy klienci znajdują się w tym samym lokalnym segmencie sieci na warstwie 2, kto przydziela adresy IP i jaki ruch w ogóle przechodzi przez zaporę.

Separate zone

Separate zone tworzy własny interfejs Wireless z osobnym adresem IP oraz tunel VXLAN między punktem dostępowym a zaporą. Klienci otrzymują własną podsieć. Dzięki temu dostęp dla poszczególnych sieci WLAN można kontrolować za pomocą precyzyjnych reguł WiFi-to-WAN lub WiFi-to-LAN. Współdziałanie strefy, interfejsu i obiektu sieciowego wyjaśnia artykuł Strefy i interfejsy Sophos Firewall.

Ten tryb dobrze nadaje się dla gości, IoT lub innych sieci, które należy oddzielić od wewnętrznej sieci LAN. Hotspot z Captive Portal, hasłem dziennym lub kuponem również wymaga Separate zone.

VXLAN zmniejsza użyteczną wartość MTU. Duże pakiety mogą przez to powodować fragmentację lub spadek wydajności. Nie należy więc profilaktycznie zmieniać MTU na arbitralną wartość. Najpierw sprawdza się, czy zawodzą tylko duże transfery albo czy pakiety TCP są przesyłane ponownie, czyli występują retransmisje. Kontrolowaną procedurę opisuje artykuł Sprawdzanie MTU i MSS w Sophos Firewall.

Bridge to AP LAN

Bridge to AP LAN umieszcza klientów WLAN w tej samej sieci co punkt dostępowy. Adresy klientów przydziela istniejący serwer DHCP tej sieci LAN. Jest to wygodne, ale nie zapewnia osobnej granicy sieciowej dla gości ani niezaufanych urządzeń.

Decydująca jest ścieżka danych: komunikacja w tej samej podsieci może odbywać się bezpośrednio między klientem, punktem dostępowym i przełącznikiem, całkowicie omijając Sophos Firewall. Reguła zapory w SFOS może kontrolować wyłącznie ruch rzeczywiście routowany przez zaporę.

W przypadku zintegrowanego LocalWiFi, zależnie od generacji XGS, może być dodatkowo wymagany interfejs Bridge albo opcja Bridge to Ethernet. Ten wariant należy więc wybierać tylko wtedy, gdy WLAN i przewodowa sieć LAN mają świadomie należeć do tego samego obszaru bezpieczeństwa.

Bridge to VLAN

Bridge to VLAN oddziela sieć zarządzającą punktu dostępowego od sieci VLAN klientów. Port przełącznika prowadzący do punktu dostępowego musi przenosić obie sieci jako trunk. W profilu WLAN pole Bridge to VLAN ID oznacza sieć VLAN klientów. Przy uwierzytelnianiu Enterprise identyfikator VLAN klienta może być określany statycznie albo przez RADIUS ze statyczną wartością rezerwową.

Punkt dostępowy powinien być początkowo połączony z zaporą przez co najmniej minutę za pośrednictwem domyślnej, nietagowanej sieci LAN, aby otrzymać konfigurację. Następnie w Wireless > Access points > AP > Advanced settings włącza się VLAN tagging i wprowadza AP VLAN ID dla sieci zarządzającej. Dopiero wtedy port przełącznika konfiguruje się jako trunk. Sieć VLAN zarządzania AP i sieć VLAN klientów mogą używać różnych identyfikatorów. Sophos zaleca, aby nie łączyć Separate zone i sieci WLAN opartych na VLAN na tym samym punkcie dostępowym. Tagowanie VLAN po stronie AP nie jest dostępne dla zintegrowanego LocalWiFi0.

Bridge to VLAN pozwala uniknąć ścieżki VXLAN i często lepiej nadaje się do większych, już prawidłowo segmentowanych środowisk WLAN. Również w tym przypadku ruch wewnątrz sieci VLAN klientów nie jest automatycznie kontrolowany przez SFOS.

Przygotowanie przykładowej sieci

W przykładzie użyto następujących wartości:

• Nazwa w SFOS: Guest WiFi
• niezmienna wartość Hardware name: GuestWiFi
• widoczna SSID: Company Guest
• Security mode: WPA2 Personal
• Client traffic: Separate zone
• Strefa: WiFi
• Sieć klientów: 10.30.40.0/24
• Interfejs i brama: 10.30.40.1
• Zakres DHCP: od 10.30.40.100 do 10.30.40.220
• Reguła zapory: WiFi_Guest_to_WAN

10.30.40.0/24 jest przykładem z prywatnej przestrzeni adresowej. Przed zastosowaniem należy wybrać wolną podsieć, która nie nakłada się na LAN, VPN, RED, VLAN ani sieć zdalnej lokalizacji. Pierwszy użyteczny adres 10.30.40.1 należy w przykładzie do interfejsu Wireless zapory i jest rozsyłany jako brama.

Dla istniejących urządzeń APX bezpieczną i zgodną podstawą jest WPA2 Personal z AES. Długie, unikatowe hasło należy przechowywać w menedżerze haseł, a nie w zgłoszeniach ani na zrzutach ekranu. W SFOS 22 Sophos dokumentuje tryby WPA3 tylko dla zintegrowanej sieci WLAN modeli XGS 88w, 108w, 118w i 128w. Dlatego nie należy planować WPA3 dla APX.

Konfiguracja sieci WLAN zarządzanej przez SFOS

1. Zezwolenie na połączenie punktu dostępowego

W przypadku zewnętrznego APX sieć zarządzająca i sieć klientów WLAN to dwie różne rzeczy. Punkt dostępowy pobiera własny adres zarządzający przez DHCP z sieci, do której jest podłączony. Późniejsi klienci WLAN otrzymują natomiast adresy z zaplanowanej wcześniej sieci 10.30.40.0/24.

1. Otworzyć Wireless > Wireless settings.
2. Włączyć Enable wireless protection.
3. W polu Allowed zone wybrać strefę, przez którą punkt dostępowy dociera do zapory, na przykład LAN.
4. Upewnić się, że punkt dostępowy otrzymuje przez DHCP adres, bramę i DNS.
5. Sprawdzić, czy port 2712 między punktem dostępowym a zaporą nie jest blokowany przez przełącznik, ACL ani urządzenie pośrednie.
6. Otworzyć Wireless > Access points i zaakceptować punkt dostępowy w stanie pending przyciskiem Accept.
7. Dla aktywnego punktu dostępowego ustawić prawidłową wartość Country. Od niej zależą kanały dopuszczone przepisami. Po zmianie Country urządzenia APX zapisać ustawienie, a następnie w kontrolowany sposób ponownie uruchomić punkt dostępowy, aby zastosować nową listę kanałów.

Wybór w Allowed zone dotyczy ścieżki zarządzania punktu dostępowego, a nie późniejszej strefy klientów WLAN. Jeżeli punkt dostępowy jest nadal zarejestrowany na innej zaporze Sophos Firewall lub w Sophos Central, należy go najpierw tam usunąć. Jeśli nie jest to możliwe, należy przywrócić go do ustawień fabrycznych.

2. Tworzenie Wireless Network

W Wireless > Wireless networks > Add wprowadza się wartości z przykładu:

1. Name: Guest WiFi
2. Hardware name: GuestWiFi
3. SSID: Company Guest
4. Security mode: WPA2 Personal
5. Passphrase: długie, unikatowe hasło
6. Client traffic: Separate zone
7. Zone: WiFi
8. IP address: 10.30.40.1
9. Netmask: /24

Wartość Hardware name może mieć maksymalnie dziesięć znaków obejmujących litery, cyfry i znaki podkreślenia, a później nie można jej zmienić. Name oraz SSID można natomiast dostosować do własnej konwencji nazewnictwa.

W Advanced settings dla przykładowej sieci gościnnej właściwe są następujące decyzje:

• Encryption: AES
• Frequency band: tylko pasma obsługiwane przez używany model i jego moduły radiowe
• Client isolation: włączyć, jeśli bezpośrednie połączenia między gośćmi są niepożądane
• Hide SSID: pozostawić wyłączone
• Fast transition: nie jest obsługiwane przez APX
• Time-based access: używać wyłącznie ze świadomie zaplanowanym oknem serwisowym

Client isolation blokuje tylko bezpośrednią komunikację między klientami tej samej SSID w tym samym module radiowym. Nie zastępuje separacji za pomocą stref, VLAN i reguł zapory między wieloma punktami dostępowymi lub modułami radiowymi. Ukryta SSID również nie jest zabezpieczeniem, lecz jedynie wyłącza widoczne wyświetlanie nazwy sieci.

W przypadku zintegrowanej sieci WLAN możliwość równoczesnej pracy w dwóch pasmach zależy od sprzętu. XGS 87w i 107w nadają tylko w paśmie 2.4 GHz albo 5 GHz. Modele XGS 116w, 126w i 136w wymagają drugiego modułu radiowego do obsługi obu pasm. Modele XGS 88w, 108w, 118w i 128w mogą równocześnie używać obu pasm bez dodatkowego modułu.

Po włączeniu harmonogramu Wireless SFOS uruchamia ponownie hostapd. Powoduje to krótkie rozłączenie wszystkich klientów WLAN danego punktu dostępowego, a nie tylko klientów tej SSID. Urządzenia powinny połączyć się ponownie automatycznie.

3. Dodanie DHCP dla sieci klientów

Dla Separate zone nie jest automatycznie tworzony kompletny serwer DHCP dla klientów. W Network > DHCP > Server > Add tworzy się więc na przykład następującą konfigurację:

• Name: dhcp-wifi-guest
• Interface: Guest WiFi
• Dynamic IP lease: od 10.30.40.100 do 10.30.40.220
• Subnet mask: /24
• Gateway: Use interface IP as gateway
• DNS server: zgodny z własną architekturą DNS
• Conflict detection: włączone

Zakres celowo rozpoczyna się powyżej adresu interfejsu i pozostawia miejsce na adresy zarezerwowane. W często zmieniającej się sieci WLAN dla gości krótszy czas dzierżawy może być bardziej odpowiedni niż w stabilnej sieci biurowej. Bardzo krótkie dzierżawy powodują jednak niepotrzebnie wiele odnowień.

Wybór rozsyłanych serwerów DNS jest decyzją z zakresu bezpieczeństwa i eksploatacji. Wewnętrzne serwery DNS usługi AD nie powinny być udostępniane gościom tylko dla wygody. Pełne planowanie i kontrolę dzierżaw opisuje artykuł Konfiguracja Sophos Firewall jako serwera DHCP.

4. Sprawdzenie reguły zapory, NAT i usług lokalnych

W Rules and policies > Firewall rules > Add firewall rule > New firewall rule tworzy się regułę dla wymaganego dostępu do Internetu. Pełny formularz, kolejność reguł i Security Features wyjaśnia artykuł Reguły Sophos Firewall.

• Rule name: WiFi_Guest_to_WAN
• Action: Accept
• Log firewall traffic: włączone
• Source zones: WiFi
• Source networks and devices: obiekt sieciowy dla 10.30.40.0/24
• Destination zones: WAN
• Destination networks: Any
• Services: tylko usługi wymagane dla sieci WLAN dla gości
• Security features: odpowiednie polityki Web, Application i IPS zależnie od licencji i przeznaczenia

Czytelny obiekt sieciowy, taki jak net_WiFi_Guest, sprawia, że reguła jest bardziej restrykcyjna i zrozumiała niż Source networks: Any. Wybór Services zależy od tego, czy DNS i NTP są używane lokalnie na zaporze, czy bezpośrednio zewnętrznie. Ogólne zezwolenie Any jest wygodne, ale utrudnia późniejszą kontrolę.

Dodatkowo reguła NAT musi tłumaczyć ruch wychodzący na adres WAN. Istniejąca domyślna reguła SNAT z MASQ często obejmuje już nowe sieci wewnętrzne. Należy to jednak sprawdzić w konkretnym zestawie reguł, zamiast profilaktycznie tworzyć drugą regułę NAT. Zależność tę wyjaśnia artykuł Zrozumienie NAT w Sophos Firewall.

Reguła WiFi-to-WAN nie blokuje automatycznie dostępu dozwolonego przez istniejące szerokie reguły WiFi-to-LAN lub Any. Dlatego należy sprawdzić całą kolejność reguł pod kątem dostępu do sieci wewnętrznych. Jeśli klienci tej samej sieci Separate-Zone mają komunikować się ze sobą przez wiele punktów dostępowych, potrzebna jest dodatkowa reguła WiFi-to-WiFi. W sieci WLAN dla gości taką komunikację należy dopuszczać wyłącznie świadomie.

Dostęp do samej zapory nie jest kontrolowany przez zwykłą regułę zapory. SFOS domyślnie zezwala na HTTPS i SSH ze strefy WiFi. Dlatego dla sieci WLAN dla gości w Administration > Device access należy usunąć zaznaczenia WiFi przy HTTPS, SSH i wszystkich innych niepotrzebnych usługach lokalnych. DNS pozostaje dozwolony tylko wtedy, gdy klienci rzeczywiście używają zapory jako resolvera. Podstawy opisuje artykuł Device Access i Local Service ACL.

5. Przypisanie WLAN do punktu dostępowego

Zapisana Wireless Network nie jest jeszcze rozgłaszana przez żaden punkt dostępowy:

1. Otworzyć Wireless > Access points.
2. Otworzyć aktywny punkt dostępowy przez jego nazwę albo Edit.
3. Sprawdzić prawidłową wartość Country.
4. W sekcji Wireless networks kliknąć Add new item.
5. Wybrać Guest WiFi, zatwierdzić przyciskiem Apply i kliknąć Save.

Przy wielu punktach dostępowych bardziej przejrzysta jest grupa w Wireless > Access point groups. Pozwala to spójnie przypisywać SSID, zamiast zarządzać nimi inaczej na każdym punkcie dostępowym. Do jednego punktu dostępowego można przypisać maksymalnie osiem Wireless Networks.

Kontrolowane testowanie WLAN

Odbiór konfiguracji nie powinien kończyć się na stwierdzeniu „SSID jest widoczna”. Za pomocą klienta testowego sprawdza się, czy rzeczywiście używane są zaplanowane sieć i reguły:

1. Punkt dostępowy musi być aktywny w Wireless > Access points. Interfejs Wireless w Network > Interfaces pozostaje w stanie Unplugged, dopóki żaden punkt dostępowy nie jest połączony z tą Wireless Network.
2. Połączyć się z Company Guest i sprawdzić punkt dostępowy, SSID, częstotliwość oraz sygnał w Wireless > Wireless client list.
3. W Network > DHCP > IPv4 lease sprawdzić, czy klient otrzymał adres z zakresu od 10.30.40.100 do 10.30.40.220.
4. Na kliencie sprawdzić adres IP, bramę i DNS. W systemie Windows pomagają:

ipconfig /all
nslookup example.com

5. Przetestować dozwolone połączenie z Internetem oraz celowo niedozwolony cel wewnętrzny.
6. W Log Viewer filtrować według adresu IP klienta i sprawdzić oczekiwane Firewall Rule ID oraz NAT Rule ID.

Sukces nie oznacza tylko dostępu do Internetu. Klient musi używać prawidłowej bramy i przewidzianych serwerów DNS, być odseparowany od niedozwolonych celów wewnętrznych oraz przechodzić dokładnie przez oczekiwane reguły zapory i NAT. Ogólną procedurę opisuje artykuł Prawidłowe testowanie reguł zapory.

Lokalizowanie typowych błędów

SSID nie jest wyświetlana

Najpierw sprawdzić, czy Wireless Protection jest włączona, strefa zarządzania punktem dostępowym znajduje się w Allowed zone, a punkt dostępowy w Wireless > Access points ma stan active, a nie pending lub inactive. Następnie sprawdzić Country, przypisaną Wireless Network, Frequency band oraz ewentualny harmonogram.

Zapisana sieć bez przypisania do punktu dostępowego nie jest rozgłaszana. W przypadku zintegrowanej sieci WLAN ograniczenia modelu dotyczące pasm radiowych albo nieobsługiwany starszy tryb szyfrowania mogą dodatkowo uniemożliwić powiązanie profilu z LocalWiFi0.

Interfejs Separate zone pozostaje Unplugged

Stan Unplugged jest prawidłowy, dopóki żaden punkt dostępowy nie jest połączony lub Wireless Network nie jest przypisana do AP. Jeśli stan utrzymuje się mimo aktywnego APX i prawidłowego przypisania, trzeba sprawdzić ścieżkę zarządzania punktem dostępowym.

W SFOS 21.5 MR1 Build 261 problem może wystąpić, gdy adres IP zapory używany przez sieć zarządzania APX jest skonfigurowany jako alias zamiast bezpośrednio na interfejsie nadrzędnym (NC-175920). SFOS nie może wtedy utworzyć tunelu VXLAN dla Separate zone. Obejście polega na przeniesieniu APX do sieci zarządzania, której adres IP zapory jest skonfigurowany bezpośrednio na interfejsie nadrzędnym. Nie należy usuwać adresu alias bez wcześniejszego potwierdzenia przyczyny.

Zmiana przerywa sieci Wi-Fi rozgłaszane przez punkt dostępowy. Dlatego najpierw trzeba sprawdzić DHCP, bramę, Allowed zone i port 2712 w sieci docelowej, a zmianę przeprowadzić w oknie serwisowym. Następnie należy sprawdzić stan AP, przypisanie sieci Wi-Fi, stan interfejsu i połączenie klienta testowego. Sophos nie podaje wersji z poprawką, więc w innych wersjach SFOS sam stan Unplugged nie potwierdza tego problemu.

Klient nie otrzymuje adresu IP

W trybie Separate zone serwer DHCP musi działać na utworzonym interfejsie Wireless, a zakres musi pasować do sieci interfejsu. W trybie Bridge to AP LAN odpowiada natomiast serwer DHCP sieci LAN punktu dostępowego. W trybie Bridge to VLAN wspólnie sprawdza się trunk przełącznika, identyfikator VLAN i serwer DHCP osiągalny w sieci VLAN klientów.

Nie wolno mylić DHCP zarządzania punktem dostępowym z DHCP klientów: punkt dostępowy może być online, mimo że dla klientów WLAN nie działa jeszcze żaden serwer DHCP.

Klient ma adres IP, ale nie ma dostępu do Internetu

W takim przypadku DHCP i połączenie radiowe już działają, a problem znajduje się dalej na ścieżce, przy właściwej polityce. Następnie sprawdza się bramę i DNS, regułę WiFi-to-WAN, kolejność reguł, logowanie oraz odpowiednią regułę MASQ/SNAT. Log Viewer pokazuje, czy dopasowano oczekiwane Firewall Rule ID, czy też niejawna reguła #0 odrzuca ruch.

Jeśli klient ma dostęp do Internetu, ale jednocześnie do systemów wewnętrznych, nie jest to sukces w przypadku sieci WLAN dla gości. Prawdopodobnie działają istniejące reguły WiFi-to-LAN, Any albo zbyt szerokie reguły sieciowe.

Połączenie punktu dostępowego lub komunikacja klientów pozostaje niejasna

Ruch zapory pojawia się niezawodnie w Log Viewer tylko wtedy, gdy aktywne są zarówno Log firewall traffic w regule, jak i typ logu zapory w System services > Log settings > Local reporting. Same zdarzenia Wireless nie są tam dostępne jako zwykły lokalny typ logu Wireless. W System services > Log settings można je wysyłać do Sophos Central lub serwera Syslog.

W celu głębszej diagnostyki Sophos dokumentuje awed.log dla komunikacji między zaporą i APX, wc_remote.log dla klientów Wireless oraz hostapd.log dla LocalWiFi. Artykuł Sprawdzanie usług i logów Sophos Firewall przez CLI wyjaśnia, jak odczytywać takie logi bez niekontrolowanego ponownego uruchamiania usługi.

Duże transfery są powolne lub przerywane

Jeżeli problem dotyczy tylko większych pakietów lub dłuższych transferów, przyczyną może być enkapsulacja VXLAN trybu Separate zone. Nie istnieje jeden uniwersalny rozmiar MTU. Najpierw dokumentuje się Rule ID, ścieżkę danych, retransmisje i odtwarzalny test aplikacji. Dopiero po potwierdzeniu problemu MTU/MSS wprowadza się kontrolowaną zmianę i powtarza ten sam test.