Configurar e verificar um grupo de ligações SD-WAN no Sophos Fusion

Um grupo de ligações SD-WAN permite ao Sophos Fusion (anteriormente Sophos Central) criar ligações IPsec baseadas em rotas entre várias firewalls geridas. Isto evita grande parte da configuração repetida em topologias hub-and-spoke ou full mesh. O Sophos Fusion pode gerar túneis, interfaces XFRM, rotas, objetos de rede e, quando selecionada a opção, as regras de firewall correspondentes.

A automatização não substitui o planeamento da rede nem a validação. Um estado verde do grupo confirma principalmente que as firewalls participantes estão ativas. Não prova que um cliente específico consegue alcançar o destino remoto através da regra, rota e tratamento NAT esperados.

Percurso rápido para um grupo de ligações funcional

Verificar a função Admin ou Super Admin, a licença Central Orchestration, a gestão pelo Sophos Fusion e a pertença a um grupo de firewalls.
Documentar redes locais, endereços WAN, condições NAT, redundância e a topologia pretendida.
Garantir que os pools de endereços XFRM não se sobrepõem a nenhuma rede de produção.
Criar um grupo em My Products > Firewall Management > SD-WAN Connection Groups.
Selecionar as firewalls, os recursos partilhados, os serviços e, opcionalmente, a criação automática de regras de firewall.
Resolver individualmente cada conflito de rede e WAN detetado pelo Sophos Fusion.
Monitorizar Tasks Queue e o estado do grupo até todas as firewalls participantes terem sido processadas.
Verificar túneis, objetos Central_, endereços XFRM, rotas e regras em cada firewall.
Gerar tráfego bidirecional real e verificar Firewall Rule ID, rota, NAT e caminho de retorno.
Adicionar mais recursos ou firewalls apenas depois da validação bem-sucedida do primeiro âmbito.

⚠️ Não eliminar sem planeamento um grupo de ligações ativo nem anular o registo de uma firewall no Sophos Fusion durante o funcionamento normal. Ao anular o registo, o Sophos Fusion elimina o grupo de ligações associado e os túneis criados automaticamente. Esta alteração exige uma cópia de segurança atual, uma janela de manutenção e um caminho de recuperação documentado.

O que o Sophos Fusion cria automaticamente

Um grupo de ligações SD-WAN utiliza VPN IPsec baseada em rotas. Consoante a topologia, o Sophos Fusion cria as ligações e os objetos de configuração necessários nas firewalls participantes. Na configuração local, os objetos gerados automaticamente têm nomes com o prefixo Central_. Incluem ligações IPsec, interfaces XFRM, objetos de rede e rotas.

Numa topologia hub-and-spoke, os recursos partilhados ficam atrás da firewall hub. O hub responde como gateway remoto aos túneis iniciados pelos spokes. Os papéis decorrem dos recursos partilhados: a firewall que partilha um recurso é o responder.

Numa topologia full mesh, quando ambas as firewalls partilham recursos, o Sophos Fusion atribui o responder alfabeticamente pelo hostname. Se os hostnames forem iguais, utiliza a ordem alfabética dos IDs das firewalls. Isto pode permitir caminhos diretos, mas cria mais túneis e dependências. Os hostnames devem, por isso, ser estáveis e únicos; os papéis não são escolhidos livremente por túnel.

A opção de criar automaticamente regras de firewall é prática, mas não substitui a verificação das origens, destinos e serviços permitidos. Se a opção não for selecionada, as regras necessárias devem existir localmente ou na política de grupo Sophos Fusion responsável. Se for selecionada, é necessário verificar a ordem, o âmbito e o logging das regras geradas. Os princípios são explicados em Planear e criar regras de firewall no Sophos Firewall.

Planear a topologia e os valores de exemplo

O seguinte grupo de ligações de exemplo une três firewalls:

FW-HQ partilha a rede de servidores 10.10.0.0/16.
A rede da filial 10.20.0.0/16, atrás da FW-BE, deve aceder ao recurso partilhado.
A rede da filial 10.30.0.0/16, atrás da FW-ZH, também deve aceder ao mesmo recurso.
Inicialmente, apenas são necessários HTTPS e RDP para sistemas selecionados na rede de servidores.
O exemplo utiliza hub-and-spoke com FW-HQ como hub.

Estes nomes e redes são apenas valores de documentação. Devem ser substituídos pelos nomes reais das firewalls, recursos locais e serviços. O planeamento não se limita às sobreposições diretas entre os três locais. As redes remotas de cloud, parceiros, clientes VPN, RED e gestão também devem ser comparadas com os recursos e pools XFRM planeados.

Compreender os pools de endereços XFRM

O Sophos Fusion utiliza redes /30 para as interfaces XFRM. Se não for configurado um pool próprio, o Sophos Fusion utiliza por predefinição 10.252.0.0/15 e 10.254.0.0/16. Se algum destes intervalos já existir no ambiente, deve escolher-se um pool personalizado livre antes de criar o primeiro grupo. Podem adicionar-se vários pools; quando um se esgota, o Sophos Fusion utiliza o seguinte.

A definição encontra-se em:

My Products > Firewall Management > SD-WAN Connection Groups > Add IP Pool

Uma alteração do pool afeta apenas novos grupos de ligações. Os grupos existentes mantêm os endereços XFRM atribuídos. Por isso, mudar o pool não é uma reparação retroativa para um grupo de produção.

Requisitos antes da criação

Todas as firewalls participantes devem executar pelo menos SFOS 18.5 MR1, ser geridas pelo Sophos Fusion e ter uma licença Central Orchestration. O Sophos Fusion exige a função Admin ou Super Admin para criar o grupo de firewalls necessário e aceder à respetiva policy. Cada grupo de ligações requer pelo menos duas firewalls já pertencentes a um grupo Sophos Fusion. Uma firewall registada, mas não atribuída a um grupo, não pode ser adicionada.

Antes da criação, verificar também:

endereço IP público ou FQDN acessível para cada caminho WAN
NAT a montante e o papel de iniciador ou responder resultante
recursos locais únicos e sem sobreposição
redes XFRM livres
ligações WAN ativas e gateways de backup planeados
serviços permitidos entre os locais
configurações locais existentes de IPsec, routing, NAT e SD-WAN
acesso de gestão independente e uma cópia de segurança atual da configuração

Configurar uma VPN IPsec site-to-site no Sophos Firewall explica a estrutura de uma ligação individual baseada em rotas. Num grupo de ligações, o Sophos Fusion executa muitos destes passos, mas os requisitos subjacentes de routing, regras e caminho de retorno permanecem iguais.

Criar o grupo de ligações no Sophos Fusion

Selecionar firewalls e recursos

O processo começa em:

My Products > Firewall Management > SD-WAN Connection Groups > Create Connection Group

É atribuído ao grupo um nome inequívoco, por exemplo HQ-Branches, e opcionalmente uma descrição. Selecionam-se depois pelo menos duas firewalls. Para cada uma, define-se como Shared resources o endereço IP ou intervalo de rede disponível para os outros locais. No exemplo, apenas FW-HQ partilha a rede de servidores, determinando os papéis hub-and-spoke.

Os recursos devem ser escolhidos com o menor âmbito possível. Em vez de partilhar toda a rede da sede, uma rede de servidores ou aplicações é frequentemente suficiente. Também não se deve selecionar preventivamente Any para os serviços quando apenas são necessárias algumas aplicações.

O Sophos Fusion pode criar opcionalmente regras de firewall. As opções incluem também utilizadores autenticados e Security Heartbeat. Antes de guardar, documenta-se se as regras são geradas automaticamente ou geridas separadamente. Assim, mais tarde permanece claro se uma regra ausente é um erro ou uma decisão de desenho.

Resolver conflitos de rede e WAN

O Sophos Fusion verifica se existem conflitos nos recursos e ligações WAN selecionados. Um conflito não significa automaticamente que uma rede esteja errada. Significa que o Sophos Fusion não consegue gerar uma ligação inequívoca sem uma decisão adicional.

Consoante o resultado, as decisões disponíveis incluem, por exemplo:

desativar para esta ligação uma sub-rede sobreposta
associar à sub-rede um endereço NAT único
definir um objeto de rede adicional
selecionar a ligação WAN adequada
selecionar um gateway de backup
substituir o endereço detetado pelo Sophos Fusion

Cada decisão altera o caminho de dados resultante. Por isso, os endereços NAT, as substituições WAN e as redes desativadas são registados num plano de endereçamento e routing, em vez de serem apenas configurados até o estado ficar verde.

Um wildcard * em Public IP or FQDN for selected WAN link só é permitido quando a firewall remote gateway é o responder e executa SFOS 20.0 ou posterior. Não deve ocultar uma situação WAN ou NAT por esclarecer. O iniciador, a acessibilidade pública e a identidade do peer têm de continuar inequívocos.

Guardar o grupo e monitorizar as tarefas

Depois de guardar, o Sophos Fusion cria as tarefas necessárias para todas as firewalls participantes. Durante o processo, mantém-se aberta a sessão administrativa existente em pelo menos uma firewall. No Sophos Fusion, verificam-se o estado e os detalhes do grupo de ligações, assim como:

My Products > Firewall Management > Tasks Queue

Os estados Pending, Failed ou Partial Success não devem ser simplesmente ignorados. Documentam-se a firewall, a entidade, o erro e a hora e comparam-se com a configuração local. Verificar Sophos Fusion Firewall Tasks Queue explica em detalhe Retry, Skip, Force Sync e a validação local.

Verificar localmente a configuração gerada

Após uma tarefa Sophos Fusion bem-sucedida, abrir separadamente cada firewall participante e verificar:

Em Site-to-site VPN > IPsec, as ligações Sophos Fusion esperadas estão ativas.
Em Network > Interfaces, as interfaces XFRM têm endereços /30 únicos do pool planeado.
Em Routing, as rotas geradas apontam para a interface XFRM esperada.
Os objetos de rede, host e serviço com Central_ correspondem aos recursos partilhados.
As regras de firewall criadas automática ou separadamente permitem apenas as origens, destinos e serviços planeados.
O NAT aplica-se apenas onde foi escolhido deliberadamente para resolver um conflito.
Com vários caminhos WAN, o estado do gateway e do SD-WAN corresponde à seleção primária e de backup planeada.

Se um grupo contiver Shared resources e Participating networks, a firewall cria duas rotas SD-WAN semelhantes: uma para os recursos partilhados e outra para as redes participantes. É o comportamento de deployment esperado, não um duplicado a eliminar localmente sem investigação.

O Sophos Fusion gere os objetos gerados. As alterações locais manuais a objetos Central_ podem ser substituídas por uma alteração posterior do grupo ou causar inconsistências. As alterações devem, por isso, ser feitas no desenho do grupo de ligações ou na política Sophos Fusion responsável.

Validar com tráfego real

Na primeira validação, executa-se pelo menos um teste real para cada caminho de recurso partilhado. No exemplo, um cliente de 10.20.0.0/16 liga-se por HTTPS a um servidor explicitamente permitido em 10.10.0.0/16; em seguida, realiza-se um teste a partir de 10.30.0.0/16.

Em ambos os lados, verificar:

IKE e Child SA ativas
Firewall Rule ID correta
interfaces de entrada e saída no Packet Capture
endereços de origem e destino esperados após qualquer tradução NAT deliberada
caminho de ida e retorno
resultado da aplicação, não apenas um ping

Um túnel ou estado de grupo verde é apenas um resultado intermédio. Testar uma regra do Sophos Firewall explica a validação completa com Log Viewer, Policy Test e Packet Capture.

Adicionar perfis SD-WAN e resiliência

O Sophos Fusion suporta perfis SD-WAN para grupos de ligações a partir do SFOS 19.0. A estratégia de routing está disponível a partir do SFOS 19.5. O Sophos Fusion cria automaticamente o gateway do túnel VPN; seleciona-se como backup um gateway já existente na firewall. O perfil pode utilizar First available gateway ou Load balancing; o balanceamento oferece round-robin e vários tipos de persistência de sessão. Não substitui uma rota correta nem uma ligação VPN funcional.

O endereço XFRM tem de estar numa sub-rede /30. Caso contrário, o Sophos Fusion mostra Migrate e, durante a migração, atribui todos os endereços dos túneis a partir de 10.252.0.0/15 e 10.254.0.0/16. A migração e cada alteração de perfil mudam o caminho de dados: guardar primeiro um backup e acesso out-of-band, alterar um local ou caminho numa janela de manutenção, verificar as tarefas Sophos Fusion e a configuração local e só depois ampliar o rollout.

Antes de ativar um perfil, testar separadamente cada caminho WAN e de túnel. Os health checks usam Ping ou TCP e até dois probe targets atrás do gateway. Se um alvo for um IP público, a firewall de destino requer uma regra da zona VPN para a zona WAN. Se nenhum gateway cumprir o SLA personalizado, a firewall usa a estratégia First available gateway. Este comportamento deve ser verificado num teste de failover planeado.

A lógica de routing local, os valores SLA e a validação do failover são descritos em Configurar uma rota SD-WAN no Sophos Firewall. O Sophos Fusion simplifica a distribuição, mas não altera o significado de gateway, route precedence, NAT ou comportamento das sessões.

Resolver problemas por sintoma

Não é possível selecionar uma firewall

Verificar o registo no Sophos Fusion, a licença válida ou a autorização Orchestration e a pertença a um grupo de firewalls Sophos Fusion. Depois, verificar se uma tarefa de grupo ou sincronização em aberto está a bloquear a alteração.

Uma tarefa falhou ou teve apenas sucesso parcial

Não recriar imediatamente o grupo. Primeiro, guardar os detalhes da tarefa e a configuração local parcial. As causas frequentes incluem conflitos de objetos ou redes, firewalls inacessíveis, restrições de licença ou uma política de grupo que não pôde ser aplicada integralmente. Repetir apenas depois de corrigir a causa.

O túnel está ativo, mas falta tráfego da aplicação

Comparar os recursos partilhados, a seleção de serviços e a regra de firewall com o fluxo real. Depois, verificar a rota, a interface XFRM, NAT, route precedence e o caminho de retorno. Um ping só é significativo se ICMP estiver permitido e o destino deva responder.

Apenas um caminho WAN ou de backup funciona

Verificar o endereço público ou FQDN, NAT a montante, o papel do gateway, a ligação WAN e o gateway de backup. Num perfil SD-WAN, continuar com o alvo SLA e o estado do gateway. Um endereço wildcard ou túnel verde não deve ocultar a falta de acessibilidade end-to-end.

Uma alteração do pool não aparece no grupo

Isto é esperado para grupos de ligações existentes. Os novos pools IP são utilizados apenas por grupos criados posteriormente. Não eliminar e recriar um grupo de produção apenas para alterar o endereçamento; planear primeiro o impacto, o período de indisponibilidade e a reversão.

O Sophos Fusion está verde, mas a aplicação continua indisponível

O estado do grupo não é monitorização da aplicação. Verificar simultaneamente logs, Rule IDs, Packet Capture, routing e NAT em ambas as firewalls. Em HA ou processamento distribuído, utilizar o nó que processou o tráfego de teste.

Fazer alterações e reverter com segurança

Antes de uma alteração importante ao grupo, documentar a configuração do grupo de ligações, as firewalls participantes, os recursos partilhados, a atribuição WAN, o pool XFRM, as regras geradas automaticamente e um fluxo de teste funcional. Guardar também uma cópia de segurança atual da firewall.

Se uma expansão falhar, não eliminar todo o grupo por reflexo. Reverter primeiro no assistente apenas o novo recurso, firewall ou alteração de perfil. Depois de terminarem as tarefas Sophos Fusion, verificar se túneis, rotas, regras e o fluxo de teste documentado voltaram a corresponder à referência. Só esse resultado confirma a reversão; guardar a alteração não basta.

Se o grupo de ligações tiver de ser totalmente removido, fazê-lo numa janela de manutenção. Devem estar preparados antecipadamente caminhos alternativos entre locais ou túneis geridos manualmente. Após a eliminação, verificar em cada firewall se os objetos Central_ associados foram removidos e se não ficaram regras, rotas ou dependências NAT órfãs.

Lista de verificação para entrada em produção

Todas as firewalls são geridas pelo Sophos Fusion, têm licença e estão atribuídas a um grupo de firewalls.
Os recursos, serviços, caminhos WAN e redes XFRM estão documentados e sem sobreposições.
Cada conflito detetado foi resolvido deliberadamente.
Todas as tarefas Sophos Fusion terminaram com um resultado documentado.
Os túneis, interfaces XFRM, rotas, regras e objetos Central_ foram verificados localmente.
Um teste real bidirecional da aplicação funciona em cada caminho entre locais.
Os caminhos primário e de backup foram testados numa janela de manutenção.
A cópia de segurança, o acesso de gestão e o caminho de recuperação estão documentados.

Perguntas frequentes

Um grupo de ligações substitui o conhecimento local de IPsec e routing?

Não. O Sophos Fusion automatiza a criação repetida, mas o caminho de dados continua a ser IPsec baseado em rotas, com interfaces XFRM, rotas, regras de firewall e eventualmente NAT. Estas camadas continuam a ter de ser compreendidas para troubleshooting e validação.

O que prova um estado verde no Sophos Fusion?

Verde significa que todas as firewalls do grupo estão ativas. Laranja significa que pelo menos uma está inativa e vermelho que todas estão inativas. Esta vista dos túneis não prova que todos os recursos estejam acessíveis através de todas as regras e aplicações. Continuam a ser necessários controlos locais e ligações de teste reais.

O que acontece ao anular o registo de uma firewall?

O Sophos Fusion elimina o grupo de ligações associado e os túneis que criou. Por isso, uma firewall não deve ser desregistada e registada novamente como medida rotineira de troubleshooting. Esta alteração pertence a uma janela de manutenção, com uma cópia de segurança e um caminho de substituição preparado.