Konfiguracja i testowanie WLAN bezpośrednio w Sophos Firewall

Sieć WLAN zarządzaną bezpośrednio w Sophos Firewall tworzy się w Wireless > Wireless networks. Samo utworzenie SSID jednak nie wystarcza: wybrany tryb ruchu określa, czy klienci otrzymają własną sieć, znajdą się w sieci LAN punktu dostępowego, czy zostaną dołączeni mostem do sieci VLAN. Następnie konfiguracje DHCP, reguł zapory, NAT oraz przypisania do punktu dostępowego muszą być ze sobą zgodne.

⚠️ Ważne: Ta instrukcja dotyczy wyłącznie sprzętu WLAN zarządzanego bezpośrednio przez Sophos Firewall. Punktami dostępowymi AP6 nie można zarządzać przez SFOS. W przypadku wielu urządzeń AP6 przewidzianym i zalecanym sposobem zarządzania jest Sophos Central; pojedynczy AP6 można alternatywnie skonfigurować za pomocą jego lokalnego interfejsu. Dlatego funkcja Wireless zarządzana przez zaporę ma obecnie zastosowanie przede wszystkim w istniejących instalacjach APX, w zintegrowanym LocalWiFi modeli desktopowych W oraz z obsługiwanymi modułami Wi-Fi w urządzeniach Sophos Firewall lub SD-RED. Firmware urządzeń APX zarządzanych przez SFOS jest udostępniany poprzez aktualizacje wzorców zapory i instalowany świadomie.

W tej instrukcji wykorzystano sieć WLAN dla gości z trybem Separate zone. Jest to zrozumiały przykład, ponieważ sieć klientów, reguły i dozwolone cele można jednoznacznie oddzielić od wewnętrznej sieci LAN.

Jeśli sieć Wi-Fi 802.1X korzysta z RADIUS, a firewall ma rozpoznawać użytkowników bez dodatkowego captive portalu, RADIUS SSO z accountingiem opisuje oddzielną ścieżkę accountingu, wymagany Framed-IP-Address i test w Live users.

Skrócona procedura:

1. Przygotować Wireless Protection i strefę punktu dostępowego w Wireless > Wireless settings.
2. Zaakceptować punkt dostępowy w Wireless > Access points.
3. Utworzyć SSID, zabezpieczenia i sieć klientów w Wireless > Wireless networks.
4. Uzupełnić DHCP, regułę zapory i NAT w Network > DHCP oraz Rules and policies.
5. Przypisać Wireless Network do punktu dostępowego i za pomocą klienta testowego sprawdzić IP, DNS, Rule ID oraz niepożądany dostęp do sieci wewnętrznych.

Czy ta instrukcja pasuje do punktu dostępowego?

SFOS 22 może zarządzać punktami dostępowymi serii APX do zastosowań wewnętrznych, zintegrowaną siecią WLAN zgodnej zapory XGS oraz zgodnymi modułami rozszerzeń Wi-Fi w urządzeniach Sophos Firewall lub SD-RED. W przypadku zewnętrznych urządzeń APX dotyczy to modeli APX 120, APX 320, APX 530 i APX 740. Model zewnętrzny APX 320X i starsza seria AP nie są zarządzane bezpośrednio przez aktualną zaporę Sophos Firewall.

AP6 nie należy do tej procedury. AP6 konfiguruje się przez Sophos Central, a pojedyncze urządzenie również za pomocą jego lokalnego interfejsu. Dla wariantu Central odpowiednie są wymagania Sophos Central Wireless.

Lokalna funkcja Wireless jest częścią Sophos Firewall Base License. Dodatkowo potrzebny jest zgodny punkt dostępowy. Seria APX jest już jednak End-of-Sale i osiągnie End-of-Life 31 grudnia 2027 r. Ta instrukcja pomaga więc przede wszystkim bezpiecznie eksploatować istniejące instalacje APX. W przypadku nowej platformy WLAN należy uwzględnić End-of-Life serii APX i AP6 jako jej następcę albo zaplanować inne aktualne systemy WLAN.

Aby połączyć istniejący APX bez Ethernetu przez przewodowy APX, konfiguracja i test Wireless Mesh na Sophos Firewall opisują root AP, kanał, ukryty backhaul i kontrolowaną walidację.

Wybór właściwego trybu Client traffic

Wybór w sekcji Client traffic jest ważniejszy niż nazwa SSID. Określa on, czy klienci znajdują się w tym samym lokalnym segmencie sieci na warstwie 2, kto przydziela adresy IP i jaki ruch w ogóle przechodzi przez zaporę.

Separate zone

Separate zone tworzy własny interfejs Wireless z osobnym adresem IP oraz tunel VXLAN między punktem dostępowym a zaporą. Klienci otrzymują własną podsieć. Dzięki temu dostęp dla poszczególnych sieci WLAN można kontrolować za pomocą precyzyjnych reguł WiFi-to-WAN lub WiFi-to-LAN. Współdziałanie strefy, interfejsu i obiektu sieciowego wyjaśnia artykuł Strefy i interfejsy Sophos Firewall.

Ten tryb dobrze nadaje się dla gości, IoT lub innych sieci, które należy oddzielić od wewnętrznej sieci LAN. Hotspot z Captive Portal, hasłem dziennym lub kuponem również wymaga Separate zone. Pełny proces z definicją vouchera, portalem i automatyczną regułą opisano w artykule Konfiguracja hotspotu Sophos Firewall.

VXLAN zmniejsza użyteczną wartość MTU. Duże pakiety mogą przez to powodować fragmentację lub spadek wydajności. Nie należy więc profilaktycznie zmieniać MTU na arbitralną wartość. Najpierw sprawdza się, czy zawodzą tylko duże transfery albo czy pakiety TCP są przesyłane ponownie, czyli występują retransmisje. Kontrolowaną procedurę opisuje artykuł Sprawdzanie MTU i MSS w Sophos Firewall.

Bridge to AP LAN

Bridge to AP LAN umieszcza klientów WLAN w tej samej sieci co punkt dostępowy. Adresy klientów przydziela istniejący serwer DHCP tej sieci LAN. Jest to wygodne, ale nie zapewnia osobnej granicy sieciowej dla gości ani niezaufanych urządzeń.

Decydująca jest ścieżka danych: komunikacja w tej samej podsieci może odbywać się bezpośrednio między klientem, punktem dostępowym i przełącznikiem, całkowicie omijając Sophos Firewall. Reguła zapory w SFOS może kontrolować wyłącznie ruch rzeczywiście routowany przez zaporę.

Aby w zintegrowanej sieci WLAN dopuścić tylko znaną listę urządzeń, należy utworzyć listę adresów MAC w Hosts and services > MAC host. Następnie w sieci Wireless wybrać Allow list w Advanced settings > MAC filtering i przypisać tę listę. Hasło musi mieć od 8 do 63 znaków. Podczas weryfikacji należy połączyć jedno urządzenie znajdujące się na liście i jedno spoza niej.

Adres MAC można jednak podszyć. Allow list jest więc tylko dodatkowym filtrem dostępu i nie zastępuje WPA2 Personal z AES, obsługiwanej metody WPA3, silnego hasła ani właściwej segmentacji sieci.

Jeśli Bridge to AP LAN jest używany ze zintegrowanym LocalWiFi, sieć WLAN trzeba dodatkowo połączyć z przewodową siecią LAN. Właściwy sposób zależy od modelu XGS:

• Gen.1 – XGS 87w, 107w, 116w, 126w i 136w: W Network > Interfaces > Add interface > Add bridge tworzy się interfejs bridge. Interfejs Wireless otrzymuje tam strefę WiFi, a wybrany port Ethernet strefę LAN. W razie potrzeby do tego interfejsu bridge można dodać kolejne porty Ethernet.
• Gen.2 – XGS 88w, 108w, 118w i 128w: Interfejs Wireless nie może być członkiem fizycznego interfejsu bridge. Zamiast tego w Wireless > Access points > LocalWiFi > Advanced settings należy włączyć opcję Bridge to Ethernet, wybrać dokładnie jeden port Ethernet i ustawić strefę LAN.

Zewnętrzny APX nie wymaga tego dodatkowego interfejsu bridge LocalWiFi. Podczas wymiany sprzętu fizycznego interfejsu bridge Wireless z Gen.1 nie można też przenieść bez zmian na Gen.2. Wymagane przygotowanie opisuje artykuł Backup i przywracanie Sophos Firewall.

Bridge to AP LAN należy wybierać tylko wtedy, gdy WLAN i przewodowa sieć LAN mają świadomie należeć do tego samego obszaru bezpieczeństwa.

Bridge to VLAN

Bridge to VLAN oddziela sieć zarządzającą punktu dostępowego od sieci VLAN klientów. Port przełącznika prowadzący do punktu dostępowego musi przenosić obie sieci jako trunk. W profilu WLAN pole Bridge to VLAN ID oznacza sieć VLAN klientów. Przy uwierzytelnianiu Enterprise identyfikator VLAN klienta może być określany statycznie albo przez RADIUS ze statyczną wartością rezerwową.

Punkt dostępowy powinien być początkowo połączony z zaporą przez co najmniej minutę za pośrednictwem domyślnej, nietagowanej sieci LAN, aby otrzymać konfigurację. Następnie w Wireless > Access points > AP > Advanced settings włącza się VLAN tagging i wprowadza AP VLAN ID dla sieci zarządzającej. Dopiero wtedy port przełącznika konfiguruje się jako trunk. Sieć VLAN zarządzania AP i sieć VLAN klientów mogą używać różnych identyfikatorów. Sophos zaleca, aby nie łączyć Separate zone i sieci WLAN opartych na VLAN na tym samym punkcie dostępowym. Tagowanie VLAN po stronie AP nie jest dostępne dla zintegrowanego LocalWiFi0.

Po włączeniu tej opcji punkt dostępowy przez 60 sekund próbuje uzyskać adres z DHCP w skonfigurowanej sieci VLAN zarządzania. Jeśli nie otrzyma odpowiedzi, wraca do DHCP w nietagowanej sieci LAN. Jest to przydatna ścieżka odzyskiwania, ale nie kryterium sukcesu: VLAN, trunk i DHCP należy poprawić tak, aby punkt dostępowy rzeczywiście działał przez zaplanowaną sieć VLAN zarządzania. W trybie Bridge to VLAN SFOS automatycznie tworzy interfejs VLAN i odpowiadające mu reguły firewalla. Obiekty te trzeba sprawdzić, ponieważ każdy punkt dostępowy tworzy osobny interfejs backendowy dla każdej strefy, a projekt z wieloma punktami dostępowymi i strefami może szybko się rozrosnąć.

Bridge to VLAN pozwala uniknąć ścieżki VXLAN i często lepiej nadaje się do większych, już prawidłowo segmentowanych środowisk WLAN. Również w tym przypadku ruch wewnątrz sieci VLAN klientów nie jest automatycznie kontrolowany przez SFOS.

Przygotowanie przykładowej sieci

W przykładzie użyto następujących wartości:

• Nazwa w SFOS: Guest WiFi
• niezmienna wartość Hardware name: GuestWiFi
• widoczna SSID: Company Guest
• Security mode: WPA2 Personal
• Client traffic: Separate zone
• Strefa: WiFi
• Sieć klientów: 10.30.40.0/24
• Interfejs i brama: 10.30.40.1
• Zakres DHCP: od 10.30.40.100 do 10.30.40.220
• Reguła zapory: WiFi_Guest_to_WAN

10.30.40.0/24 jest przykładem z prywatnej przestrzeni adresowej. Przed zastosowaniem należy wybrać wolną podsieć, która nie nakłada się na LAN, VPN, RED, VLAN ani sieć zdalnej lokalizacji. Pierwszy użyteczny adres 10.30.40.1 należy w przykładzie do interfejsu Wireless zapory i jest rozsyłany jako brama.

Dla istniejących urządzeń APX bezpieczną i zgodną podstawą jest WPA2 Personal z AES. Długie, unikatowe hasło należy przechowywać w menedżerze haseł, a nie w zgłoszeniach ani na zrzutach ekranu. W SFOS 22 Sophos dokumentuje tryby WPA3 tylko dla zintegrowanej sieci WLAN modeli XGS 88w, 108w, 118w i 128w. Dlatego nie należy planować WPA3 dla APX.

Konfiguracja sieci WLAN zarządzanej przez SFOS

1. Zezwolenie na połączenie punktu dostępowego

W przypadku zewnętrznego APX sieć zarządzająca i sieć klientów WLAN to dwie różne rzeczy. Punkt dostępowy pobiera własny adres zarządzający przez DHCP z sieci, do której jest podłączony. Późniejsi klienci WLAN otrzymują natomiast adresy z zaplanowanej wcześniej sieci 10.30.40.0/24.

1. Otworzyć Wireless > Wireless settings.
2. Włączyć Enable wireless protection.
3. W polu Allowed zone wybrać strefę, przez którą punkt dostępowy dociera do zapory, na przykład LAN.
4. Upewnić się, że punkt dostępowy otrzymuje przez DHCP adres, bramę i DNS.
5. Sprawdzić, czy port 2712 między punktem dostępowym a zaporą nie jest blokowany przez przełącznik, ACL ani urządzenie pośrednie.
6. Otworzyć Wireless > Access points i zaakceptować punkt dostępowy w stanie pending przyciskiem Accept.
7. Dla aktywnego punktu dostępowego ustawić prawidłową wartość Country. Od niej zależą kanały dopuszczone przepisami. Po zmianie Country urządzenia APX zapisać ustawienie, a następnie w kontrolowany sposób ponownie uruchomić punkt dostępowy, aby zastosować nową listę kanałów.

Wybór w Allowed zone dotyczy ścieżki zarządzania punktu dostępowego, a nie późniejszej strefy klientów WLAN. Jeżeli punkt dostępowy jest nadal zarejestrowany na innej zaporze Sophos Firewall lub w Sophos Central, należy go najpierw tam usunąć. Jeśli nie jest to możliwe, należy przywrócić go do ustawień fabrycznych.

Połączenie sterujące na porcie 2712 pomiędzy firewallem i punktem dostępowym jest szyfrowane za pomocą AES. Zezwolenie na ten port nie zastępuje jednak ograniczenia sieci zarządzania AP do strefy, która rzeczywiście go potrzebuje.

2. Tworzenie Wireless Network

W Wireless > Wireless networks > Add wprowadza się wartości z przykładu:

1. Name: Guest WiFi
2. Hardware name: GuestWiFi
3. SSID: Company Guest
4. Security mode: WPA2 Personal
5. Passphrase: długie, unikatowe hasło
6. Client traffic: Separate zone
7. Zone: WiFi
8. IP address: 10.30.40.1
9. Netmask: /24

Wartość Hardware name może mieć maksymalnie dziesięć znaków obejmujących litery, cyfry i znaki podkreślenia, a później nie można jej zmienić. Name obsługuje do 58 znaków, a SSID od 1 do 32 drukowalnych znaków ASCII. Obie wartości można dostosować do własnej konwencji nazewnictwa.

W Advanced settings dla przykładowej sieci gościnnej właściwe są następujące decyzje:

• Encryption: AES
• Frequency band: tylko pasma obsługiwane przez używany model i jego moduły radiowe
• Client isolation: włączyć, jeśli bezpośrednie połączenia między gośćmi są niepożądane
• Hide SSID: pozostawić wyłączone
• Fast transition: nie jest obsługiwane przez APX
• Time-based access: używać wyłącznie ze świadomie zaplanowanym oknem serwisowym

Client isolation blokuje tylko bezpośrednią komunikację między klientami tej samej SSID w tym samym module radiowym. Nie zastępuje separacji za pomocą stref, VLAN i reguł zapory między wieloma punktami dostępowymi lub modułami radiowymi. Ukryta SSID również nie jest zabezpieczeniem, lecz jedynie wyłącza widoczne wyświetlanie nazwy sieci.

W przypadku zintegrowanej sieci WLAN możliwość równoczesnej pracy w dwóch pasmach zależy od sprzętu. XGS 87w i 107w nadają tylko w paśmie 2.4 GHz albo 5 GHz. Modele XGS 116w, 126w i 136w wymagają drugiego modułu radiowego do obsługi obu pasm. Modele XGS 88w, 108w, 118w i 128w mogą równocześnie używać obu pasm bez dodatkowego modułu.

Po włączeniu harmonogramu Wireless SFOS uruchamia ponownie hostapd. Powoduje to krótkie rozłączenie wszystkich klientów WLAN danego punktu dostępowego, a nie tylko klientów tej SSID. Urządzenia powinny połączyć się ponownie automatycznie.

Oddzielna weryfikacja sieci Enterprise Wi-Fi i RADIUS

Dla sieci Wireless z 802.1X serwer RADIUS wybiera się w Wireless > Wireless settings. Punkt dostępowy nie komunikuje się bezpośrednio z serwerem RADIUS: do komunikacji z zaporą podczas Authentication używa portu 414, a podczas Accounting portu 417. Następnie zapora przekazuje Accounting do skonfigurowanego portu RADIUS, zwykle 1813.

Accounting musi być aktywny na serwerze RADIUS; ten proces Wireless nie obsługuje Interim Accounting Updates. Secondary RADIUS server nie powinien być planowany jako ogólny failover: urządzenia APX i urządzenia z Wi-Fi mogą korzystać tylko z podstawowego serwera RADIUS, a zapory XGS nie obsługują dodatkowego serwera RADIUS w tym procesie.

Jeśli serwer RADIUS znajduje się za tunelem IPsec, ruch systemowy generowany przez zaporę może wymagać ukierunkowanego przypisania Source NAT. Nie należy stosować poleceń powłoki bez wcześniejszej weryfikacji. Najpierw trzeba potwierdzić adres źródłowy, tunel, ścieżkę powrotną i logi RADIUS; bezpieczny proces SFOS 22 dla sys-traffic-nat opisano w artykule Ukierunkowane trasowanie ruchu systemowego przez IPsec.

3. Dodanie DHCP dla sieci klientów

Dla Separate zone nie jest automatycznie tworzony kompletny serwer DHCP dla klientów. W Network > DHCP > Server > Add tworzy się więc na przykład następującą konfigurację:

• Name: dhcp-wifi-guest
• Interface: Guest WiFi
• Dynamic IP lease: od 10.30.40.100 do 10.30.40.220
• Subnet mask: /24
• Gateway: Use interface IP as gateway
• DNS server: zgodny z własną architekturą DNS
• Conflict detection: włączone

Zakres celowo rozpoczyna się powyżej adresu interfejsu i pozostawia miejsce na adresy zarezerwowane. W często zmieniającej się sieci WLAN dla gości krótszy czas dzierżawy może być bardziej odpowiedni niż w stabilnej sieci biurowej. Bardzo krótkie dzierżawy powodują jednak niepotrzebnie wiele odnowień.

Wybór rozsyłanych serwerów DNS jest decyzją z zakresu bezpieczeństwa i eksploatacji. Wewnętrzne serwery DNS usługi AD nie powinny być udostępniane gościom tylko dla wygody. Pełne planowanie i kontrolę dzierżaw opisuje artykuł Konfiguracja Sophos Firewall jako serwera DHCP.

4. Sprawdzenie reguły zapory, NAT i usług lokalnych

W Rules and policies > Firewall rules > Add firewall rule > New firewall rule tworzy się regułę dla wymaganego dostępu do Internetu. Pełny formularz, kolejność reguł i Security Features wyjaśnia artykuł Reguły Sophos Firewall.

• Rule name: WiFi_Guest_to_WAN
• Action: Accept
• Log firewall traffic: włączone
• Source zones: WiFi
• Source networks and devices: obiekt sieciowy dla 10.30.40.0/24
• Destination zones: WAN
• Destination networks: Any
• Services: tylko usługi wymagane dla sieci WLAN dla gości
• Security features: odpowiednie polityki Web, Application i IPS zależnie od licencji i przeznaczenia

Czytelny obiekt sieciowy, taki jak net_WiFi_Guest, sprawia, że reguła jest bardziej restrykcyjna i zrozumiała niż Source networks: Any. Wybór Services zależy od tego, czy DNS i NTP są używane lokalnie na zaporze, czy bezpośrednio zewnętrznie. Ogólne zezwolenie Any jest wygodne, ale utrudnia późniejszą kontrolę.

Dodatkowo reguła NAT musi tłumaczyć ruch wychodzący na adres WAN. Istniejąca domyślna reguła SNAT z MASQ często obejmuje już nowe sieci wewnętrzne. Należy to jednak sprawdzić w konkretnym zestawie reguł, zamiast profilaktycznie tworzyć drugą regułę NAT. Zależność tę wyjaśnia artykuł Zrozumienie NAT w Sophos Firewall.

Reguła WiFi-to-WAN nie blokuje automatycznie dostępu dozwolonego przez istniejące szerokie reguły WiFi-to-LAN lub Any. Dlatego należy sprawdzić całą kolejność reguł pod kątem dostępu do sieci wewnętrznych. Jeśli klienci tej samej sieci Separate-Zone mają komunikować się ze sobą przez wiele punktów dostępowych, potrzebna jest dodatkowa reguła WiFi-to-WiFi. W sieci WLAN dla gości taką komunikację należy dopuszczać wyłącznie świadomie.

Dostęp do samej zapory nie jest kontrolowany przez zwykłą regułę zapory. SFOS domyślnie zezwala na HTTPS i SSH ze strefy WiFi. Dlatego dla sieci WLAN dla gości w Administration > Device access należy usunąć zaznaczenia WiFi przy HTTPS, SSH i wszystkich innych niepotrzebnych usługach lokalnych. DNS pozostaje dozwolony tylko wtedy, gdy klienci rzeczywiście używają zapory jako resolvera. Podstawy opisuje artykuł Device Access i Local Service ACL.

5. Przypisanie WLAN do punktu dostępowego

Zapisana Wireless Network nie jest jeszcze rozgłaszana przez żaden punkt dostępowy:

1. Otworzyć Wireless > Access points.
2. Otworzyć aktywny punkt dostępowy przez jego nazwę albo Edit.
3. Sprawdzić prawidłową wartość Country.
4. W sekcji Wireless networks kliknąć Add new item.
5. Wybrać Guest WiFi, zatwierdzić przyciskiem Apply i kliknąć Save.

Przy wielu punktach dostępowych bardziej przejrzysta jest grupa w Wireless > Access point groups. Pozwala to spójnie przypisywać SSID, zamiast zarządzać nimi inaczej na każdym punkcie dostępowym. Do jednego punktu dostępowego można przypisać maksymalnie osiem Wireless Networks.

Grupę tworzy się w Wireless > Access point groups > Add, podając nazwę, Wireless networks, opcjonalne VLAN tagging oraz należące do niej Access points. Przed zapisaniem trzeba sprawdzić, czy przypisanie VLAN rzeczywiście pasuje do wszystkich wybranych punktów dostępowych.

⚠️ Wpływ operacyjny: Wyłączenie grupy punktów dostępowych powoduje, że wszystkie należące do niej punkty dostępowe przestają rozgłaszać przypisane sieci WLAN. Zmianę grupy należy więc zaplanować w oknie serwisowym z udokumentowaną listą punktów dostępowych i SSID.

Świadoma zmiana parametrów radiowych i grup punktów dostępowych

W Wireless > Access points > AP > Advanced settings kanał, Dyn chan, TX power i Channel width wpływają nie tylko na jednego klienta testowego. Dynamiczna zmiana kanału może wymusić ponowne połączenie aktywnych klientów. Szersze kanały mogą zwiększyć przepustowość w środowisku o małej gęstości, ale dodatkowe nakładanie się kanałów może ją obniżyć przy dużej gęstości. SFOS domyślnie używa 20 MHz w paśmie 2,4 GHz i 40 MHz w paśmie 5 GHz. Moc nadawania i szerokość kanału należy więc mierzyć dla konkretnej lokalizacji, a nie po prostu ustawiać na maksimum.

Turn on Spanning Tree Protocol (STP) chroni sieci mostkowane przed pętlami warstwy 2 i wynikającymi z nich burzami broadcastowymi. STP nie należy traktować jako przełącznika wydajności. Po zmianie trzeba sprawdzić co najmniej dwa rzeczywiste klienty, roaming, DHCP, DNS i dłuższy transfer; przy automatycznym wyborze kanału także czas zmiany i ponowne poprawne połączenie klientów.

Kontrolowane testowanie WLAN

Odbiór konfiguracji nie powinien kończyć się na stwierdzeniu „SSID jest widoczna”. Za pomocą klienta testowego sprawdza się, czy rzeczywiście używane są zaplanowane sieć i reguły:

1. Punkt dostępowy musi być aktywny w Wireless > Access points. Interfejs Wireless w Network > Interfaces pozostaje w stanie Unplugged, dopóki żaden punkt dostępowy nie jest połączony z tą Wireless Network.
2. Połączyć się z Company Guest i sprawdzić punkt dostępowy, SSID, częstotliwość oraz sygnał w Wireless > Wireless client list.
3. W Network > DHCP > IPv4 lease sprawdzić, czy klient otrzymał adres z zakresu od 10.30.40.100 do 10.30.40.220.
4. Na kliencie sprawdzić adres IP, bramę i DNS. W systemie Windows pomagają:

ipconfig /all
nslookup example.com

5. Przetestować dozwolone połączenie z Internetem oraz celowo niedozwolony cel wewnętrzny.
6. W Log Viewer filtrować według adresu IP klienta i sprawdzić oczekiwane Firewall Rule ID oraz NAT Rule ID.

Sukces nie oznacza tylko dostępu do Internetu. Klient musi używać prawidłowej bramy i przewidzianych serwerów DNS, być odseparowany od niedozwolonych celów wewnętrznych oraz przechodzić dokładnie przez oczekiwane reguły zapory i NAT. Ogólną procedurę opisuje artykuł Prawidłowe testowanie reguł zapory.

Kontrolowane skanowanie rogue access pointów

W Wireless > Rogue AP scan polecenie Scan now wyszukuje punkty dostępowe znajdujące się w zasięgu radiowym. Podczas skanowania połączenia aktywnych klientów Wi-Fi zostają na krótko przerwane. Dlatego skanowanie ręczne lub planowane powinno odbywać się w znanym oknie czasowym, a nie bez uprzedzenia podczas pracy produkcyjnej.

Wykryte urządzenia pojawiają się w Unrecognized access points i są świadomie oznaczane jako autoryzowane albo jako Rogue AP. Ta klasyfikacja nie zastępuje analizy incydentu: przed uznaniem obcej sieci Wi-Fi za urządzenie we własnej sieci LAN trzeba skorelować SSID, BSSID, kanał, sygnał, lokalizację i możliwy port przełącznika.

Dla cyklicznych skanów wybiera się harmonogram w General settings > Schedule system-triggered scan at. W przypadku LocalWiFi0 z aktywną opcją Bridge to Ethernet i siecią Wireless w trybie Bridge to AP LAN skan pokazuje tylko pobliskie sieci w tym samym paśmie częstotliwości co przypisana sieć Wireless. To ograniczenie produktu należy udokumentować podczas oceny wyniku.

Lokalizowanie typowych błędów

SSID nie jest wyświetlana

Najpierw sprawdzić, czy Wireless Protection jest włączona, strefa zarządzania punktem dostępowym znajduje się w Allowed zone, a punkt dostępowy w Wireless > Access points ma stan active, a nie pending lub inactive. Następnie sprawdzić Country, przypisaną Wireless Network, Frequency band oraz ewentualny harmonogram.

Zapisana sieć bez przypisania do punktu dostępowego nie jest rozgłaszana. W przypadku zintegrowanej sieci WLAN ograniczenia modelu dotyczące pasm radiowych albo nieobsługiwany starszy tryb szyfrowania mogą dodatkowo uniemożliwić powiązanie profilu z LocalWiFi0.

Interfejs Separate zone pozostaje Unplugged

Stan Unplugged jest prawidłowy, dopóki żaden punkt dostępowy nie jest połączony lub Wireless Network nie jest przypisana do AP. Jeśli stan utrzymuje się mimo aktywnego APX i prawidłowego przypisania, trzeba sprawdzić ścieżkę zarządzania punktem dostępowym.

W SFOS 21.5 MR1 Build 261 problem może wystąpić, gdy adres IP zapory używany przez sieć zarządzania APX jest skonfigurowany jako alias zamiast bezpośrednio na interfejsie nadrzędnym (NC-175920). SFOS nie może wtedy utworzyć tunelu VXLAN dla Separate zone. Obejście polega na przeniesieniu APX do sieci zarządzania, której adres IP zapory jest skonfigurowany bezpośrednio na interfejsie nadrzędnym. Nie należy usuwać adresu alias bez wcześniejszego potwierdzenia przyczyny.

Zmiana przerywa sieci Wi-Fi rozgłaszane przez punkt dostępowy. Dlatego najpierw trzeba sprawdzić DHCP, bramę, Allowed zone i port 2712 w sieci docelowej, a zmianę przeprowadzić w oknie serwisowym. Następnie należy sprawdzić stan AP, przypisanie sieci Wi-Fi, stan interfejsu i połączenie klienta testowego. Sophos nie podaje wersji z poprawką, więc w innych wersjach SFOS sam stan Unplugged nie potwierdza tego problemu.

Klient nie otrzymuje adresu IP

W trybie Separate zone serwer DHCP musi działać na utworzonym interfejsie Wireless, a zakres musi pasować do sieci interfejsu. W trybie Bridge to AP LAN odpowiada natomiast serwer DHCP sieci LAN punktu dostępowego. W trybie Bridge to VLAN wspólnie sprawdza się trunk przełącznika, identyfikator VLAN i serwer DHCP osiągalny w sieci VLAN klientów.

Nie wolno mylić DHCP zarządzania punktem dostępowym z DHCP klientów: punkt dostępowy może być online, mimo że dla klientów WLAN nie działa jeszcze żaden serwer DHCP.

Klient ma adres IP, ale nie ma dostępu do Internetu

W takim przypadku DHCP i połączenie radiowe już działają, a problem znajduje się dalej na ścieżce, przy właściwej polityce. Następnie sprawdza się bramę i DNS, regułę WiFi-to-WAN, kolejność reguł, logowanie oraz odpowiednią regułę MASQ/SNAT. Log Viewer pokazuje, czy dopasowano oczekiwane Firewall Rule ID, czy też niejawna reguła #0 odrzuca ruch.

Jeśli klient ma dostęp do Internetu, ale jednocześnie do systemów wewnętrznych, nie jest to sukces w przypadku sieci WLAN dla gości. Prawdopodobnie działają istniejące reguły WiFi-to-LAN, Any albo zbyt szerokie reguły sieciowe.

Połączenie punktu dostępowego lub komunikacja klientów pozostaje niejasna

Ruch zapory pojawia się niezawodnie w Log Viewer tylko wtedy, gdy aktywne są zarówno Log firewall traffic w regule, jak i typ logu zapory w System services > Log settings > Local reporting. Same zdarzenia Wireless nie są tam dostępne jako zwykły lokalny typ logu Wireless. W System services > Log settings można je wysyłać do Sophos Central lub serwera Syslog.

W celu głębszej diagnostyki Sophos dokumentuje awed.log dla komunikacji między zaporą i APX, wc_remote.log dla klientów Wireless oraz hostapd.log dla LocalWiFi. Artykuł Sprawdzanie usług i logów Sophos Firewall przez CLI wyjaśnia, jak odczytywać takie logi bez niekontrolowanego ponownego uruchamiania usługi.

W razie potrzeby log osiągalnego urządzenia APX można odczytać w Advanced Shell za pomocą awetool. Po wybraniu Connect to an AP polecenia logread i logread -f służą do kontroli tylko do odczytu. Dostępne również polecenie reboot rozłącza klientów i zmienia stan; należy go używać dopiero po zabezpieczeniu logów, w oknie serwisowym, a następnie sprawdzić stan AP, SSID, listę klientów i rzeczywisty ruch.

Duże transfery są powolne lub przerywane

Jeżeli problem dotyczy tylko większych pakietów lub dłuższych transferów, przyczyną może być enkapsulacja VXLAN trybu Separate zone. Nie istnieje jeden uniwersalny rozmiar MTU. Najpierw dokumentuje się Rule ID, ścieżkę danych, retransmisje i odtwarzalny test aplikacji. Dopiero po potwierdzeniu problemu MTU/MSS wprowadza się kontrolowaną zmianę i powtarza ten sam test.