Wybór właściwego trybu pracy Sophos RED

Tryb pracy urządzenia Sophos SD-RED nie jest mało istotną opcją. Określa, kto zapewnia DHCP i bramę w lokalizacji zdalnej, jaki ruch przechodzi przez tunel RED, czy dostęp do internetu jest kontrolowany centralnie oraz co działa dalej po awarii tunelu. Tunel Site-to-Site RED między dwiema Sophos Firewall jest inną architekturą i nie korzysta z tych czterech trybów pracy.

Dla nowych, centralnie zarządzanych oddziałów Standard/Unified jest zwykle najbardziej przejrzystym punktem wyjścia. Standard/Split oszczędza przepustowość tunelu, ale wyłącza lokalny ruch internetowy spod centralnej kontroli. Transparent/Split integruje RED z istniejącą siecią. Manual/Split to specjalny projekt okablowania i routingu zapewniający lokalną autonomię internetową, a nie zwykły tryb szybkiej konfiguracji.

Tryb pracy należy wybrać przed konfiguracją DHCP, sieci VLAN, reguł zapory i wdrożeniem. Późniejsza zmiana modyfikuje ścieżkę danych i wymaga okna serwisowego oraz kontrolowanych testów funkcjonalnych.

Poradnik dotyczy SFOS 22.0 oraz obsługiwanych w tej wersji modeli SD-RED 20 i SD-RED 60. Urządzenia RED 15/15w i RED 50 nie łączą się od SFOS 20.0 MR1. Starsze interfejsy Firewall RED między UTM i SFOS trzeba zastąpić i usunąć przed aktualizacją do SFOS 22.0; w przeciwnym razie aktualizacja, odtwarzanie i import są blokowane. Od SFOS 21.0 MR2 i 21.5 MR1 hosty systemowe RED automatycznie otrzymują maskę /32. W Hosts and services > IP host trzeba otworzyć Usage dla każdego hosta systemowego RED i — jeśli wcześniej chodziło o całą podsieć interfejsu — zastąpić go w zależnych regułach i trasach właściwym hostem IP lub sieci. Te kontrole migracji należy więc uwzględnić w planie zmiany przed migracją sprzętu lub zapory.

Cztery tryby RED w skrócie

To zestawienie pomaga w pierwszym wyborze, ale nie zastępuje oceny zachowania podczas awarii, sieci VLAN i bezpieczeństwa. Split nie oznacza automatycznie trybu fail-open, a Transparent nie oznacza automatycznie przekazywania tagów VLAN.

Standard/Unified: Wszystko przez centralę

W trybie Standard/Unified Sophos Firewall zapewnia DHCP i bramę domyślną przez interfejs RED. SD-RED przekazuje cały ruch przez szyfrowany tunel, w tym ruch internetowy oddziału.

Zapewnia to najwyższy poziom centralnej kontroli. Reguły zapory, Web Policies, IPS, Application Control, raportowanie i centralne wyjście do internetu mogą być spójnie stosowane w centrali. Jednocześnie rosną wymagania wobec tunelu i centralnego łącza WAN, ponieważ zwykły ruch internetowy oddziału również dwukrotnie przechodzi trasę między lokalizacjami.

Jeśli tunel RED przestanie działać, klienci tracą nie tylko dostęp do sieci wewnętrznych. Ponieważ ich brama znajduje się na Sophos Firewall po drugiej stronie tunelu, zwykle przestaje działać również internet. Standard/Unified jest zatem odpowiedni, gdy centralne bezpieczeństwo jest ważniejsze niż lokalny internet podczas awarii tunelu.

Kiedy pasuje Standard/Unified

• Cały ruch lokalizacji ma być centralnie kontrolowany i rejestrowany.
• DHCP, przekazywanie DNS, reguły i dostęp do internetu mają działać przez Sophos Firewall.
• Centralna przepustowość WAN wystarcza dla dodatkowego ruchu internetowego oddziału.
• Awaria tunelu może kontrolowanie odłączyć lokalizację albo dostępne jest przetestowane drugie łącze RED.
• Sieci VLAN mają być transportowane przez SD-RED 60.

Standard/Split: Sieci centralne przez tunel

W trybie Standard/Split Sophos Firewall pozostaje serwerem DHCP i bramą domyślną dla sieci dostarczanej przez RED. Tylko sieci docelowe wpisane w Split networks przechodzą przez tunel. Inne cele, zwykle internet, opuszczają lokalizację przez lokalne łącze WAN urządzenia RED.

Odciąża to tunel i centralne łącze internetowe. Ceną jest wyraźna granica bezpieczeństwa: Sophos maskuje lokalny ruch internetowy na RED, ale centralna zapora nie może kontrolować go swoimi regułami firewall, web ani IPS. Z perspektywy centrali ścieżka ta nie jest zwykłym przekazywanym ruchem internetowym.

W Split networks używane są sieci IP. Obiekty hosta FQDN nie są tutaj obsługiwane. Ramki z istniejącymi tagami VLAN również nie należą do ścieżki danych Standard/Split. Tylko sieć DHCP dostarczana bezpośrednio przez RED uzyskuje w tym trybie lokalny dostęp do internetu.

Standard/Split nie jest też ogólnym projektem fail-open. Jeśli tunel ulegnie awarii, dokumentacja Sophos wskazuje, że klienci sieci dostarczanej przez zaporę tracą zarówno cele centralne, jak i internet. Jeśli lokalny internet ma działać niezależnie od tunelu, trzeba zaplanować i przetestować inny projekt.

Kiedy pasuje Standard/Split

• Oddział potrzebuje tylko kilku jasno zdefiniowanych sieci w centrali.
• Lokalne wyjście do internetu jest zamierzone i może pozostać poza centralnymi politykami Sophos.
• Sophos Firewall może zarządzać siecią zdalną przez DHCP.
• Tagowanie VLAN przez tunel RED nie jest potrzebne.
• Ścieżka awaryjna została przetestowana i nie jest mylona z Manual/Split.

Transparent/Split: RED w istniejącej sieci

Transparent/Split pasuje do lokalizacji, w których router, DHCP, DNS i brama domyślna już istnieją i mają pozostać bez zmian. RED działa transparentnie w istniejącej sieci Layer 2. Tylko skonfigurowane sieci lub domeny split są kierowane tunelem do centrali.

Tryb ten pozwala uniknąć zmiany bramy na klientach. Diagnostyka jest jednak bardziej wymagająca: DHCP, DNS i zwykła ścieżka internetowa pozostają częścią sieci lokalnej, podczas gdy wybrane cele są przekierowywane przez RED. Test musi więc oddzielnie wykazać, która ścieżka pozostaje lokalna, a która rzeczywiście trafia do tunelu.

Transparent/Split nie transportuje ramek z tagami VLAN. W tym trybie nie jest również dostępne zapasowe łącze 3G/4G. W przypadku modułu bezprzewodowego zdalny serwer DHCP musi przekazać punktowi dostępowemu opcję DHCP 234 zawierającą adres IP interfejsu RED w lokalizacji zapory; nie jest to adres AP, adres w oddziale ani publiczny adres zapory.

Kiedy pasuje Transparent/Split

• Istniejący router ma nadal zapewniać DHCP, DNS i bramę domyślną.
• Tylko wybrane sieci lub domeny centralne mają być dostępne przez RED.
• RED można poprawnie włączyć inline do istniejącej sieci.
• Lokalizacja nie wymaga tagów VLAN w tej ścieżce RED.
• Ruch lokalny i tunelowany można sprawdzić oddzielnie przez Packet Capture i rzeczywiste testy docelowe.

Manual/Split: Lokalna brama z trasami statycznymi

W przypadku SD-RED Manual/Split opisuje przede wszystkim świadomie zbudowany ręcznie projekt sieci. Strony WAN i LAN urządzenia RED są integrowane z istniejącą infrastrukturą tak, aby dotychczasowy router pozostał bramą domyślną. Router otrzymuje statyczne trasy do RED dla sieci centralnych.

Zaletą jest lokalna autonomia: zwykły dostęp do internetu może działać dalej nawet po awarii tunelu RED lub samego urządzenia RED. Wadą jest dodatkowa praca projektowa. Ścieżki powrotne, trasy statyczne, zachowanie ARP i fizyczne okablowanie muszą być prawidłowe. Błędny next hop może skierować ruch centralny poza tunel lub w ślepą uliczkę podczas awarii.

Sophos opisuje w tym celu ręczne wdrożenie fizyczne oraz konfigurację RED opartą na schemacie Standard/Unified, natomiast istniejąca brama i trasy statyczne określają podział. Nazwy tej nie należy więc traktować jako niezależnego, oczywistego przełącznika.

Manual/Split powinien być stosowany tylko w udokumentowanym projekcie z:

• alternatywną lokalną bramą
• trasami statycznymi dla każdej centralnej sieci docelowej
• zweryfikowaną ścieżką powrotną z centrali
• niezależnym dostępem administracyjnym
• testami przy aktywnym tunelu, rozłączonym tunelu i wyłączonym RED

Opcje Layer 2 i rozbudowy

Używanie wielu urządzeń RED jako wspólnej sieci bridge

Bridged RED setup nie jest piątym trybem pracy. W tej architekturze co najmniej dwa istniejące interfejsy RED łączy się w bridge na Sophos Firewall. Zdalne sieci RED zachowują się wtedy jak jedna wspólna sieć LAN, a reguły zapory nadal mogą ograniczać ruch między lokalizacjami RED.

Bridge tworzy się w Network > Interfaces > Add interface > Add bridge. Należy określić jednoznaczną nazwę i interfejs bridge, a następnie wybrać wymagane interfejsy RED wraz z ich strefami jako Member interfaces. Plan adresacji, odpowiedzialność za DHCP i wszyscy członkowie bridge muszą być wcześniej uzgodnieni; wiele nieskoordynowanych serwerów DHCP lub zduplikowane adresy IP działałyby wówczas w tej samej sieci Layer 2.

Zalecamy ten projekt tylko wtedy, gdy kilka oddziałów rzeczywiście potrzebuje tej samej domeny rozgłoszeniowej. W typowych, oddzielnych lokalizacjach routowane sieci RED łatwiej izolować, monitorować i niezależnie modyfikować. Po zapisaniu należy sprawdzić DHCP, ARP, ruch między lokalizacjami, właściwą regułę zapory oraz celowo zablokowany ruch. Zielony tunel RED potwierdza poszczególne tunele, ale nie bridge ani jego reguły.

Drugie łącze i druga zapora nie są trybami pracy

Konfiguracja RED może dodatkowo zawierać drugi endpoint zapory oraz, zależnie od modelu i trybu, drugie łącze. Opcje te uzupełniają wybraną ścieżkę, ale jej nie zastępują.

Drugi endpoint zapory może służyć do failover lub równoważenia obciążenia. Drugie łącze może zabezpieczać zestawianie tunelu. Jeśli oba łącza są ustawione na Static, adresy IP ich serwerów DNS muszą być różne; różni dostawcy DNS nie są wymagani. RED sprawdza wpis trasy pierwszego łącza na potrzeby rozwiązywania DNS. Jeśli jego brama nie odpowiada, uznaje adres IP serwera DNS za nieosiągalny i nie ponawia próby połączenia z tym samym adresem IP przez drugie łącze.

Testy muszą pozostać oddzielne:

1. Najpierw wybrany tryb RED musi działać prawidłowo przez podstawowe łącze.
2. Następnie testowany jest kontrolowany failover łącza.
3. Potem ponownie sprawdza się stan RED, DHCP, cele centralne i ścieżkę internetową.
4. W środowiskach HA dochodzi osobny test failover zapory; tunel RED potrzebuje czasu na ponowne zestawienie po zmianie roli.

Sam zielony stan tunelu nie dowodzi ani prawidłowej ścieżki internetowej, ani działania polityk bezpieczeństwa.

Sieci VLAN i tryby portów LAN w SD-RED 60

SD-RED 60 może transportować sieci VLAN przez tunel, ale tylko w Standard/Unified. Dodatkowo każdy port LAN określa, jak RED obsługuje ramki tagowane i nietagowane.

• Tagged: Przekazywane są tylko skonfigurowane sieci VLAN z tagami. Nieskonfigurowane sieci VLAN i ramki bez tagów są odrzucane. Na port można wprowadzić do 64 VLAN ID.
• Untagged, drop tagged: Ramki bez tagów są przypisywane do skonfigurowanej sieci VLAN, a ramki już tagowane są odrzucane. Odpowiada to kontrolowanemu portowi access.
• Disabled: Port LAN odrzuca ruch.
• Untagged: Ramki bez tagów otrzymują skonfigurowany VLAN ID, a ramki już tagowane są przekazywane bez zmian. Dla jednego portu możliwa jest tylko jedna konfiguracja VLAN. Jest to port hybrydowy, a nie dowolnie konfigurowany trunk; dozwolone sieci VLAN nadal trzeba kontrolować na podłączonym switchu i na zaporze.

Dla każdej używanej sieci VLAN Sophos Firewall wymaga pasującego interfejsu VLAN na interfejsie RED. VLAN ID, sieć IP, DHCP, tryb portu RED i konfiguracja przełącznika muszą być dokładnie zgodne. Pełną procedurę opisuje Konfiguracja i testowanie VLAN na Sophos Firewall.

Osobno zaplanować działanie sieci bezprzewodowej

Przed konfiguracją modułu bezprzewodowego musi istnieć interfejs RED z adresem IP, a rozwiązywanie DNS musi działać na tym konkretnym interfejsie. Opcjonalny moduł bezprzewodowy SD-RED 20 lub 60 może korzystać z trzech różnych ścieżek danych:

• Separate zone: Ruch bezprzewodowy dociera do zapory przez VXLAN niezależnie od trybu RED. Sophos Firewall musi jawnie zezwalać na ruch oddzielnej strefy dla interfejsu RED; nie oznacza to ogólnego zezwolenia na ruch do WAN.
• Bridge to AP LAN: Sieć bezprzewodowa jest mostkowana z lokalną siecią LAN punktu dostępowego.
• Bridge to VLAN: Sieć bezprzewodowa jest przypisywana do VLAN; dokładne zachowanie zależy od trybu RED i konfiguracji VLAN.

W Standard/Unified i Standard/Split na interfejsie RED musi działać prawidłowo skonfigurowany serwer DHCP. W udokumentowanym scenariuszu bezprzewodowym Transparent/Split zdalna sieć zapewnia DHCP i DNS, a interfejs RED musi otrzymać swój adres IP od zdalnego serwera DHCP. Ten serwer musi dostarczać opcję 234 zawierającą adres IP interfejsu RED w lokalizacji zapory. Bez tej opcji udokumentowaną wartością zastępczą jest 1.2.3.4: to wskazówka diagnostyczna dotycząca brakującej opcji, a nie adres do skonfigurowania w środowisku produkcyjnym. Ustawienia bezprzewodowe, tryb portu LAN i tryb RED należy więc odbierać jako jeden projekt, a nie trzy niezależne listy.

Bridge to VLAN nie zmienia trybu split w ogólny transport VLAN. W Standard/Split klienci bezprzewodowi osiągają lokalne hosty z tym samym tagiem oraz, jeśli istnieje na interfejsie RED, interfejs VLAN na końcu tunelu. Nie osiągają skonfigurowanych sieci split, ponieważ RED routuje je tylko dla pakietów bez tagów. W Transparent/Split ten sam VLAN działa lokalnie przez porty LAN 1–4 i port WAN; sieci split pozostają niedostępne tą ścieżką bezprzewodową.

Bezpieczna konfiguracja i test trybu

Wymagania wstępne i dokładne pola

Najpierw włączyć usługę w System services > RED, a następnie utworzyć lub edytować urządzenie w Network > Interfaces > Add interface > Add RED. Najważniejsze pola to RED ID, Unlock code, Firewall IP/hostname, Device deployment, Uplink connection, RED operation mode, RED IP, Zone, Configure DHCP, RED DHCP range oraz, w trybach split, Split network.

Przy wdrożeniu automatycznym RED musi co najmniej raz uruchomić się w sieci z DHCP i internetem, aby pobrać konfigurację. Statyczny uplink wymaga ręcznego wdrożenia z pamięci USB. Trasa musi zezwalać na TCP 3400, UDP 3410 i NTP 123: konfiguracja i kanał sterujący korzystają z TCP 3400, a tunel danych Layer 2 z UDP 3410. Bez adresu WAN z DHCP urządzenie przy wdrożeniu automatycznym wielokrotnie się restartuje.

Zalecamy oddzielną strefę typu LAN lub DMZ zamiast ogólnej strefy LAN. Jeśli zmiana RED IP przeniesie interfejs RED do podsieci, która nie obejmuje już istniejącego RED DHCP range, SFOS wyłączy serwer DHCP RED. Tę zależność trzeba zapisać w planie zmiany.

Dostosowanie routingu, reguł zapory i NAT do trybu

W Rules and policies > Firewall rules należy tworzyć reguły między strefą RED a wyłącznie potrzebnymi strefami docelowymi. Any dla sieci i usług nadaje się tylko do ograniczonego czasowo testu; reguły produkcyjne trzeba zawęzić do wymaganych źródeł, celów i usług. W Standard/Unified reguła RED-to-LAN nie zastępuje reguły RED-to-WAN; centralna ścieżka internetowa wymaga też odpowiedniej reguły SNAT.

W Standard/Split RED sam maskuje lokalny ruch internetowy swoim adresem publicznym. Ścieżka ta nie pojawia się na centralnej zaporze i nie wymaga tam reguły WAN SNAT. Ruch tunelowany do centrali potrzebuje natomiast poprawnych tras w obu kierunkach i pasujących reguł; istniejące reguły NAT nie mogą niezamierzenie tłumaczyć jego sieci źródłowych lub docelowych. W Manual/Split statyczne trasy na bramie oddziału i trasę powrotną w centrali należy testować jako jedną parę.

Zmiana trybu z zachowaniem drogi powrotnej

Przed zmianą zapisać pełną konfigurację RED, RED IP, strefę, zakres i opcje DHCP, sieci split, trasy statyczne, reguły zapory i NAT, interfejsy VLAN, tryby portów LAN oraz niezależny dostęp administracyjny. Zachować też ostatnią działającą konfigurację routera i portów przełącznika. Zmieniać jedną warstwę naraz: najpierw tryb i sieć RED, potem DHCP, routing i reguły, a na końcu VLAN lub sieć bezprzewodową.

Jeśli odbiór się nie powiedzie, nie należy wprowadzać kolejnych równoległych zmian. Przywrócić RED operation mode, RED IP, strefę, DHCP i sieci split do zapisanych wartości, odtworzyć wcześniejsze trasy i reguły oraz odnowić dzierżawę klienta testowego. Wycofanie jest zakończone dopiero wtedy, gdy brama, DNS, cel centralny, ścieżka internetowa i Rule ID ponownie odpowiadają stanowi początkowemu. Manual/Split wymaga też przywrócenia pierwotnego okablowania.

Praktyczny proces z provisioningiem, diodami LED, regułami, wydajnością i diagnostyką opisuje Konfiguracja i rozwiązywanie problemów Sophos SD-RED. Tryb wymaga dodatkowo odbioru rzeczywistej ścieżki:

1. Klient otrzymuje oczekiwany adres IP, serwery DNS i właściwą bramę.
2. Zdefiniowana sieć docelowa w centrali jest dostępna.
3. Log Viewer lub Packet Capture pokazuje oczekiwaną Firewall Rule ID i ścieżkę RED.
4. Test internetowy pokazuje oczekiwane publiczne wyjście, centralne lub lokalne.
5. Jedna dozwolona i jedna blokowana aplikacja potwierdzają, gdzie rzeczywiście działa polityka bezpieczeństwa.
6. Sieci VLAN i bezprzewodowe są testowane osobno, nie tylko ogólnym pingiem.
7. Planowana awaria tunelu lub łącza potwierdza udokumentowane zachowanie.

Jeśli tunel jest zielony, ale ścieżka pozostaje niejasna, pomaga Prawidłowe użycie Packet Capture na Sophos Firewall. W lokalizacjach produkcyjnych nie należy jednocześnie zmieniać trybu, DHCP, VLAN i reguł zapory. W przeciwnym razie trudno przypisać błąd do konkretnej warstwy.

Diagnostyka według ścieżki danych

• RED wielokrotnie się restartuje lub nie zestawia tunelu: najpierw sprawdzić DHCP na WAN, DNS i internet w oddziale, następnie TCP 3400, UDP 3410 i synchronizację NTP 123. Przy ręcznym wdrożeniu offline błędny czas może uniemożliwić handshake TLS.
• Tunel jest zielony, ale ruch nie przechodzi: odszukać oczekiwaną Firewall Rule ID w Log Viewer, a następnie sprawdzić trasy i reguły NAT dla konkretnej pary źródło/cel. W Advanced Shell udokumentowany przez Sophos, tylko odczytowy zapis tcpdump -ni any port 3410 pokazuje, czy ruch RED dociera do zapory. Nie potwierdza zezwalającej reguły ani prawidłowej ścieżki danych; potem należy wykonać Packet Capture z filtrem klienta i celu.
• Nie działają tylko cele split: upewnić się, że kompletna sieć docelowa znajduje się w Split network. Hosty FQDN nie są obsługiwane. W Transparent/Split osobno sprawdzić lokalny DNS lub split DNS.
• Nie działa tylko ruch VLAN: najpierw sprawdzić tryb. SD-RED 60 transportuje VLAN przez tunel tylko w Standard/Unified. Następnie porównać VLAN ID, interfejs VLAN na interfejsie RED, tryb portu LAN, tagowanie przełącznika, DHCP i regułę dla VLAN.
• Nastąpił failover HA: SFOS dokumentuje opóźnienie ponownego połączenia zależne od liczby interfejsów i innych ustawień. Poczekać na odbudowę tunelu i powtórzyć pełny test ścieżki bez równoczesnej zmiany parametrów RED.

Typowe błędne założenia

Split nie oznacza automatycznie internetu podczas awarii tunelu

Standard/Split używa lokalnego wyjścia do internetu, ale klienci nadal zależą od sieci RED dostarczanej przez zaporę. Sophos dokumentuje również utratę internetu w przypadku awarii tunelu. Manual/Split jest osobnym projektem dla istniejącej lokalnej bramy.

Transparent nie oznacza dowolnego passthrough Layer 2

Transparent/Split integruje RED z istniejącą siecią, ale nie transportuje tą ścieżką ramek z tagami VLAN. DHCP, DNS i opcje bezprzewodowe nadal trzeba świadomie zaplanować.

Zielony tunel nie potwierdza poprawności trybu

Stan tunelu potwierdza połączenie z zaporą. Dopiero testy DHCP, routingu, internetu, reguł i awarii pokazują, czy wybrany tryb odpowiada zamierzonemu projektowi.