Configurar LAN Bypass e Fail-to-Wire na Sophos Firewall
LAN Bypass, também chamado Fail-to-Wire (FTW), liga diretamente um par de portas físicas previsto para esse fim quando ocorre uma falha de energia ou de hardware. O caminho pode permanecer disponível e a Sophos Firewall retoma automaticamente o funcionamento normal quando a energia regressa.
O limite é claro: durante o bypass, todo o tráfego passa sem inspeção. Regras de firewall, IPS, Web Protection, Application Control, análise antimalware e logs não são aplicados. FTW privilegia a conectividade em detrimento da proteção e não é uma opção de performance.
⚠️ Testar apenas numa janela de manutenção planeada, com o risco documentado, monitorização externa e o regresso ao funcionamento protegido verificado.
Requisitos e limites
A Sophos documenta a função para modelos XGS Appliance 2xxx e superiores, por exemplo XGS 2100, em modo bridge. Modelos XGS Appliance menores, firewalls virtuais e instâncias cloud não têm este hardware.
As portas formam pares FTW fixos de hardware. Adicionar duas interfaces quaisquer a uma bridge não é suficiente. Confirmar o par no appliance, no Hardware Guide ou na documentação do modelo. Dependendo do appliance, pode ser ativado um ou ambos os pares de bypass. lanbypass está em off por predefinição.
Antes da ativação, devem estar confirmados o par, caminho LAN/WAN, acesso de gestão independente, backup, responsável, regra normal e uma janela que aceite temporariamente tráfego sem inspeção.
Não é uma regra Stateful Firewall Bypass, que funciona por software, nem um cluster HA, no qual um segundo nó mantém a proteção.
Interação com HA e STP
A ajuda do SFOS 22 sobre bridge mode confirma HA em Bridge Interfaces num deployment criado com o setup assistant. Ao mesmo tempo, a referência de Bridge Interface indica que não é possível ativar STP em nenhum Bridge Interface enquanto HA estiver ativo. Estas páginas e a documentação de LAN Bypass não fornecem um procedimento HA/FTW conjunto nem estabelecem como um evento HA interage com o bypass de hardware. Não se deve deduzir suporte, ordem de ativação ou cablagem a partir das funções isoladas. Antes de as combinar, solicitar à Sophos um design e procedimento de teste específicos do modelo que distingam, para cada nó, o failover HA protegido de um caminho FTW desprotegido. O exemplo Port1/Port2 da KBA não é um esquema HA universal.
Planear o par de portas e a bridge
O exemplo documentado utiliza o nome Fail to Wire, hardware XGS, descrição LAN Bypass, Port1, Port2, as zonas LAN e WAN e uma bridge routed. O endereço estático é 192.168.1.151/24 (255.255.255.0); o objeto de gateway GW aponta para 192.168.1.1. Estes valores mostram todos os campos, mas não constituem um esquema universal de cablagem ou endereçamento. O par de hardware e o design real da rede são determinantes.
Documentar a porta do switch ou fornecedor, velocidade, duplex, VLAN, endereçamento, gateway, dependências MAC e zonas. O par só transporta o que ambos os lados conseguem trocar nas camadas 1 e 2 sem uma firewall ativa.
A bridge pode ser transparente sem IP ou routed. FTW não cria gateway, regra ou NAT. Configurar e testar uma Bridge Interface explica members, STP, VLAN e risco de gestão.
Configurar a bridge e o funcionamento protegido
Em Network > Interfaces > Add interface > Add bridge:
- Definir Name e o Hardware name imutável e adicionar o par FTW confirmado com as zonas planeadas.
- Ativar Enable routing on this bridge pair apenas para uma bridge routed e introduzir IP, netmask e gateway reais.
- Guardar, confirmar Add Bridge e ligar corretamente o par. Como verificação imediata na UI, a nova bridge deve depois aparecer na lista Network Interfaces.
- Criar uma regra restrita e com logging para o funcionamento normal.
- Testar tráfego permitido e deliberadamente negado, Rule ID, NAT, IPS e caminho de retorno.
Durante um bypass sem energia, a regra não pode controlar pacotes. Um teste normal não comprova FTW e um teste FTW não comprova a regra de proteção.
Ativar LAN Bypass na Device Console
Após um login SSH seguro, abrir 4. Device Console:
show lanbypass
Antes de qualquer teste temporário, guardar no registo da alteração o valor exato anterior do interruptor, on ou off, como estado inicial. Utilizar um registo de configuração fiável ou uma consulta de estado suportada para o modelo e a versão do SFOS; as referências do SFOS 22/23 sobre set lanbypass não documentam a saída de show lanbypass. Se não for possível estabelecer o estado inicial de forma fiável, contactar o Sophos Support antes da alteração. A predefinição off não substitui este estado inicial. Executar apenas o comando adequado para ativar ou desativar, não ambos em sequência:
set lanbypass on
set lanbypass off
Voltar a consultar o estado após cada alteração. on não comprova que a cablagem ou o par de hardware estejam corretos.
O valor predefinido documentado é off. set lanbypass on|off altera esse estado; depois de a alimentação ser restaurada, a firewall regressa automaticamente ao funcionamento normal. show lanbypass lê o estado e o exemplo acima mostra a configuração correspondente na UI.
Para um XGS 2300 com SFOS 19.5.3 MR-3 Build 652 está também documentada a seguinte ajuda da Advanced Shell. É apresentada apenas como referência; não executar as opções que alteram o estado sem instruções específicas do modelo do Sophos Support:
Usage: xgs-ftw [options] [<port>]
<port> Any port within FTW bump pair
Options:
-s, --status Get FTW status for the FTW bump pair (default)
-e, --enable-bypass Enable bypass on the FTW bump pair
-d, --disable-bypass Disable bypass on the FTW bump pair
-a, --arm Arm the FTW bump pair
-u, --unarm Unarm the FTW bump pair
-t, --timer {<seconds>|disable|reset} Arm/disable/reset watchdog timer
-h, --help Show this help message and exit
Esta saída de xgs-ftw -h documenta opções específicas do modelo para estado, bypass, arming e watchdog; <port> é uma porta dentro do par FTW. As opções que alteram o estado afetam diretamente o caminho de hardware e não são uma receita geral. Para problemas além de show lanbypass e do switch set documentado, registar o modelo, build do SFOS e estado e envolver o Sophos Support.
Testar Fail-to-Wire de forma controlada
O teste é disruptivo e só deve ser realizado se os sistemas afetados tolerarem uma breve interrupção do link e tráfego temporariamente desprotegido. Exige acesso out-of-band, contactos dos responsáveis pela rede e pelas aplicações e critérios de interrupção definidos previamente.
- Durante o funcionamento normal, testar ambos os sentidos e guardar Rule ID, policy e logs.
- Confirmar
show lanbypass, velocidade, duplex e link em ambas as portas. - Iniciar monitorização end-to-end externa.
- Interromper a alimentação de forma controlada durante a janela; pode ocorrer uma breve mudança de link ou ser necessário estabelecer novas ligações de cliente. Não se garante a continuidade das sessões.
- Confirmar a passagem pelo par físico. A inspeção e os logs da firewall devem estar ausentes.
- Restaurar a alimentação e aguardar que o SFOS e as interfaces estejam prontos.
- Criar um novo fluxo e verificar Rule ID, IPS ou Web Policy e logs.
- Testar tráfego deliberadamente negado para comprovar o regresso da proteção.
Começar com um pequeno fluxo piloto reconhecível, não com toda a carga de produção.
Isolar erros comuns
Não passa tráfego durante a falha
Verificar suporte do modelo, par FTW real, show lanbypass, cablagem, velocidade, duplex e trunks VLAN. Dois members arbitrários da bridge não criam FTW.
A bridge falha no funcionamento normal
Verificar members, zonas, modo IP, gateway, regra, NAT e filtros VLAN. LAN Bypass não corrige a bridge; Packet Capture e Rule ID mostram o caminho.
A proteção não regressa
Testar um serviço bloqueado e uma policy IPS ou Web, não apenas conectividade. Se os logs continuarem ausentes, verificar interfaces, bridge, correspondência da regra e serviços.
O bypass muda inesperadamente
Registar modelo, build, show lanbypass e hora. Não alterar arming ou watchdog através de xgs-ftw por tentativa e erro; entregar topologia e estado ao Sophos Support.
Rollback e operação
Após um teste temporário, incluindo um teste interrompido ou com resultado inesperado, restaurar primeiro a alimentação e aguardar que o appliance esteja acessível e o caminho normal protegido esteja pronto. Repor apenas o interruptor lanbypass alterado para o teste no estado inicial guardado: set lanbypass on se antes estava em on, ou set lanbypass off se antes estava em off. Nem aplicar off incondicionalmente nem inverter o valor do teste preserva o estado inicial. A recuperação automática quando a alimentação regressa não substitui esta reposição do interruptor. Repetir os testes normais positivo e negativo com Rule ID, policy de segurança e logs. Verificar a configuração apenas através de evidência suportada para o modelo e a versão; se o estado for incerto ou faltar proteção, parar o teste e envolver o Sophos Support.
A desativação permanente é uma decisão distinta: apenas se FTW deixar deliberadamente de fazer parte do design, testar primeiro o caminho normal e executar depois set lanbypass off. Verificar o estado através de um método suportado. Isto não remove a bridge; migrá-la ou removê-la separadamente apenas se necessário.
Documentar modelo, par FTW, destinos dos cabos, estado, último teste, responsável pelo risco e próxima data. Voltar a verificar após atualização de firmware, substituição de hardware ou alteração da cablagem.