Realizar um Teste de Velocidade da Internet no Sophos Firewall via SSH

Um download executado diretamente no Advanced Shell responde a uma pergunta claramente delimitada: qual taxa de download o próprio Sophos Firewall alcança pelo caminho WAN atual? Isso permite distinguir uma conexão lenta com a Internet de problemas na rede do cliente, WLAN, VPN ou em uma política de segurança.

O teste não é um teste end-to-end completo. O tráfego gerado pelo firewall não percorre o mesmo caminho de um cliente atrás do firewall. Para uma medição controlada entre dois endpoints, o iPerf atrás do Sophos Firewall é mais adequado; o artigo sobre dados de desempenho do Sophos Firewall explica os valores do datasheet e o impacto das funções de segurança ativadas.

Antes do teste de velocidade

O teste requer acesso SSH, DNS funcional e um período não crítico. Para uma verificação rápida, está disponível um arquivo de 100 MB; em conexões rápidas, o arquivo de 1 GB normalmente fornece uma média mais estável. Ambos os downloads podem saturar temporariamente a conexão e não devem ser iniciados durante backups, picos de VoIP, testes de failover ou outros trabalhos de manutenção.

O SSH é liberado em Administration > Device access pela Local service ACL ou, de forma mais específica, por uma Local service ACL exception rule. O acesso deve ser permitido apenas a partir de uma rede administrativa confiável e, após o trabalho, novamente limitado ao mínimo necessário. O login é descrito em Conectar ao Sophos Firewall via SSH. O Sophos Firewall encerra sessões SSH inativas após 15 minutos.

⚠️ Não iniciar se o caminho WAN ativo ou o impacto operacional não estiverem claros. Em caso de carga de CPU inesperadamente alta, interrupções ou gateway incorreto, cancelar o download com Ctrl+C. O caminho de saída /dev/null usado abaixo não armazena um arquivo de teste no firewall.

Verificar o caminho WAN com várias conexões

O download é tráfego gerado pelo sistema. Portanto, uma rota SD-WAN para clientes não determina automaticamente o seu caminho. No 4 Device Console, este comando somente de leitura mostra se rotas SD-WAN correspondentes também podem ser aplicadas ao tráfego gerado pelo sistema:

show routing sd-wan-policy-route system-generate-traffic

Se a opção estiver ativada, uma rota SD-WAN correspondente poderá influenciar o caminho do download. Se estiver desativada, o firewall usará suas decisões normais de roteamento e WAN. O comando ainda não comprova qual gateway o download individual realmente utiliza. Também é necessário verificar os gateways ativos em Network > WAN link manager e o status e as rotas correspondentes em Routing > SD-WAN routes.

Um ping com interface ou sourceip também é apenas uma indicação para esse teste ICMP; o download HTTPS posterior ainda pode ser roteado de forma diferente. SD-WAN Routing, Reply Packet e System Traffic explica essas relações. Nenhuma opção de roteamento deve ser alterada especificamente para o teste de velocidade.

Realizar o teste de velocidade da Internet via SSH

1. Verificar o shell e a ferramenta de download

Após o login via SSH como admin, abrir 5 Device Management > 3 Advanced Shell no menu principal da CLI. A Sophos documenta o acesso a esse shell, mas não garante curl como interface do SFOS. Primeiro, sem fazer download, verificar se a ferramenta está disponível no firmware instalado:

curl --version

Se a saída mostrar uma versão e os protocolos compatíveis, continuar. Se o shell retornar curl: not found ou um erro de opção, não tentar instalar pacotes nem alterar o sistema de arquivos do firewall. Usar um teste em um cliente ou o procedimento iPerf vinculado e acionar o Sophos Support se necessário.

A própria solicitação curl verifica DNS e HTTPS. Com --fail, um erro HTTP gera um status de saída diferente de zero; nesse caso, o indicador de progresso sozinho não é uma medição válida.

2. Medir o download sem armazenar um arquivo

Advanced Shell é um shell Linux com acesso profundo ao sistema. O comando a seguir baixa os dados, mas os descarta por meio de /dev/null. Assim, a gravação de um arquivo grande não influencia o resultado e não é necessário limpar o armazenamento.

Para um teste rápido, baixar o arquivo de 100 MB:

curl --location --fail --output /dev/null \
  --write-out '\nHTTP %{http_code} | %{size_download} bytes | %{speed_download} bytes/s\n' \
  https://www.avanet.io/100MB.bin

Em conexões rápidas, substituir somente a URL no mesmo comando por https://www.avanet.io/1GB.bin. --location segue redirecionamentos, --fail trata erros HTTP como falhas e --output /dev/null impede a criação de um arquivo local. No momento da publicação, os endpoints retornam 104857600 bytes para 100 MB e 1048576000 bytes para 1 GB.

O arquivo é fornecido pela Avanet e pela Cloudflare. Destino do teste, estado do cache, peering, roteamento e carga de CPU podem influenciar o resultado. Portanto, o valor é uma medição comparativa prática, e não um desempenho garantido do provedor ou do firewall.

3. Verificar o status e os bytes transferidos

Avaliar somente uma execução concluída sem erro do curl, com HTTP 200 e um valor de size_download igual ao indicado acima. Um valor menor indica uma interrupção; HTTP 000 geralmente aponta para um problema de DNS, conexão ou TLS. Outros códigos HTTP significam que o endpoint de teste não pode ser usado naquele momento. Nenhum arquivo de teste é criado. Para concluir, sair do Advanced Shell com exit e remover qualquer exceção de ACL SSH criada apenas para esse teste.

Interpretar corretamente o resultado

speed_download informa a taxa média de download em bytes por segundo. Para obter Mbit/s, multiplicar o valor por oito e dividir por um milhão. O indicador de progresso normal também mostra Average Speed; na captura existente, o valor é 107M.

O M nessa exibição de progresso é baseado em 1024 e corresponde a MiB/s. As conexões de Internet, por outro lado, são especificadas em Mbit/s decimais. Para o exemplo:

107 x 1048576 x 8 / 1000000 = 897.6 Mbit/s

107M corresponde, portanto, a aproximadamente 898 Mbit/s, e não a 856 Mbit/s. Overhead, comportamento do TCP, endpoint remoto, roteamento e utilização momentânea geralmente impedem uma correspondência exata com a velocidade contratada.

Uma única execução não constitui um diagnóstico confiável. Sempre que possível, várias medições devem ser realizadas com o mesmo destino, o mesmo caminho WAN e condições comparáveis. Para suporte ou documentação interna, este conjunto de dados é útil:

• Horário: por exemplo, 2026-06-21 10:15
• Firewall e firmware: por exemplo, XGS 2100, SFOS 22.0 MR1
• Arquivo de teste: 100MB.bin ou 1GB.bin
• Taxa medida: por exemplo, 107M, aproximadamente 898 Mbit/s
• Link WAN ativo: por exemplo, WAN1 Fiber
• Anormalidades: backup paralelo, failover, CPU alta ou Packet Capture ativo

O que o resultado significa

O download pelo firewall serve para delimitar a causa, não como prova conclusiva. A combinação com um teste no cliente mostra onde procurar em seguida:

• Firewall rápido, cliente lento: verificar cliente, WLAN, porta do switch, DNS, regra de firewall, NAT, IPS, Web Protection, Application Control e TLS Inspection. Log Viewer, Policy Test e Packet Capture e, se necessário, um Packet Capture direcionado ajudam.
• Firewall e cliente lentos: comparar status da WAN, Link Speed, duplex, erros e drops da interface, gateway ativo, falha do provedor, carga de CPU e um segundo destino de teste.
• Somente alguns aplicativos estão lentos: comparar DNS, Web Protection, Application Control, proxy, TLS Inspection e endpoint remoto.
• Somente a VPN está lenta: verificar protocolo VPN, roteamento e MTU e MSS.
• Somente o upload está lento: este procedimento de curl mede exclusivamente o download. Para upload ou ambas as direções, um teste iPerf controlado é mais adequado.
• Os valores oscilam durante um período prolongado: repetir medições comparáveis e, se necessário, monitorar o tráfego da interface com sFlow Monitoring.

Se a causa continuar incerta, verificar primeiro o fluxo do cliente afetado e a regra que realmente foi aplicada. Para análises mais aprofundadas, Solução de problemas do Sophos Firewall: serviços e logs mostra qual arquivo de log pertence ao respectivo serviço.

FAQ