Configurar e verificar uma SD-WAN Connection Group no Sophos Fusion

Uma SD-WAN Connection Group permite ao Sophos Fusion (anteriormente Sophos Central) criar ligações IPsec baseadas em rotas entre várias firewalls geridas. Isto evita grande parte da configuração repetida em topologias hub-and-spoke ou full mesh. O Sophos Fusion pode gerar túneis, interfaces XFRM, rotas, objetos de rede e, quando selecionada a opção, as regras de firewall correspondentes.

A automatização não substitui o planeamento da rede nem a validação. Um estado verde do grupo confirma principalmente que as firewalls participantes estão ativas. Não prova que um cliente específico consegue alcançar o destino remoto através da regra, rota e tratamento NAT esperados.

Percurso rápido para um grupo de ligações funcional

Verificar a função Admin ou Super Admin, SFOS 20.0 ou posterior, a licença Central Orchestration, a gestão pelo Sophos Fusion e a pertença de todas as firewalls a um grupo; em AWS ou Azure, utilizar BYOL em vez de PAYG.
Documentar redes locais, endereços WAN, condições NAT, redundância e a topologia pretendida.
Garantir que os pools de endereços XFRM não se sobrepõem a nenhuma rede de produção.
Criar um grupo em My Products > Firewall Management > SD-WAN Connection Groups.
Selecionar as firewalls, os recursos partilhados, os serviços e, opcionalmente, a criação automática de regras de firewall.
Resolver individualmente cada conflito de rede e WAN detetado pelo Sophos Fusion.
Monitorizar Tasks Queue e o estado do grupo até todas as firewalls participantes terem sido processadas.
Verificar túneis, objetos Central_, endereços XFRM, rotas e regras em cada firewall.
Gerar tráfego bidirecional real e verificar Firewall Rule ID, rota, NAT e caminho de retorno.
Adicionar mais recursos ou firewalls apenas depois da validação bem-sucedida do primeiro âmbito.

⚠️ Não eliminar sem planeamento um grupo de ligações ativo nem anular o registo de uma firewall no Sophos Fusion durante o funcionamento normal. Ao anular o registo, o Sophos Fusion elimina o grupo de ligações associado e os túneis criados automaticamente. Esta alteração exige uma cópia de segurança atual, uma janela de manutenção e um caminho de recuperação documentado.

O que o Sophos Fusion cria automaticamente

Um grupo de ligações SD-WAN utiliza VPN IPsec baseada em rotas. Consoante a topologia, o Sophos Fusion cria as ligações e os objetos de configuração necessários nas firewalls participantes. Na configuração local, os objetos gerados automaticamente têm nomes com o prefixo Central_. Incluem ligações IPsec, interfaces XFRM, objetos de rede e rotas.

Numa topologia Hub-and-Spoke, os recursos partilhados ficam atrás da firewall hub. Normalmente, o hub responde como remote gateway aos túneis iniciados pelos spokes. Isto é adequado, por exemplo, para uma sede com redes de servidores e várias filiais. Os papéis decorrem normalmente dos recursos partilhados: a firewall que disponibiliza um recurso é o responder. Existe uma exceção para um endereço WAN dinâmico com wildcard override: nesse caso, a firewall que disponibiliza o recurso continua a ser initiator; os requisitos estão na secção Resolver conflitos de rede e WAN.

Numa topologia Full Mesh, quando ambas as firewalls partilham recursos, o Sophos Fusion atribui o responder alfabeticamente pelo hostname. Se os hostnames forem iguais, utiliza a ordem alfabética dos IDs das firewalls. Isto pode permitir caminhos diretos, mas cria mais túneis e dependências. Os hostnames devem, por isso, ser estáveis e únicos; os papéis não são escolhidos livremente por túnel.

A opção de criar automaticamente regras de firewall é prática, mas não substitui a verificação das origens, destinos e serviços permitidos. Se a opção não for selecionada, as regras necessárias devem existir localmente ou na política de grupo Sophos Fusion responsável. Se for selecionada, é necessário verificar a ordem, o âmbito e o logging das regras geradas. Os princípios são explicados em Planear e criar regras de firewall no Sophos Firewall.

Planear a topologia e os valores de exemplo

O seguinte grupo de ligações de exemplo une três firewalls:

FW-HQ partilha a rede de servidores 10.10.0.0/16.
Atrás da FW-BE fica a rede da filial 10.20.0.0/16, que deve aceder ao recurso partilhado.
Atrás da FW-ZH fica a rede da filial 10.30.0.0/16, que também deve aceder ao mesmo recurso.
Inicialmente, apenas são necessários HTTPS e RDP para sistemas selecionados na rede de servidores.
O exemplo utiliza hub-and-spoke com FW-HQ como hub.

Estes nomes e redes são apenas valores de documentação. Devem ser substituídos pelos nomes reais das firewalls, recursos locais e serviços. O planeamento não se limita às sobreposições diretas entre os três locais. As redes remotas de cloud, parceiros, clientes VPN, RED e gestão também devem ser comparadas com os recursos e pools XFRM planeados.

Compreender os pools de endereços XFRM

O Sophos Fusion utiliza redes /30 para as interfaces XFRM. Se não for configurado um pool próprio, o Sophos Fusion utiliza por predefinição 10.252.0.0/15 e 10.254.0.0/16. Se algum destes intervalos já existir no ambiente, deve escolher-se um pool personalizado livre antes de criar o primeiro grupo. Podem adicionar-se vários pools; quando um se esgota, o Sophos Fusion utiliza o seguinte.

A definição encontra-se em:

My Products > Firewall Management > SD-WAN Connection Groups > Add IP Pool

Uma alteração do pool afeta apenas novos grupos de ligações. Os grupos existentes mantêm os endereços XFRM atribuídos. Por isso, mudar o pool não é uma reparação retroativa para um grupo de produção.

Requisitos antes da criação

O processo de Orchestration aqui descrito exige SFOS 20.0 ou posterior, gestão pelo Sophos Fusion e uma licença Central Orchestration válida em todas as firewalls participantes. O mínimo anterior SFOS 18.5 MR1 não constitui aprovação dessa versão para este processo. Para Sophos Firewall em AWS ou Azure, é suportado BYOL (Bring Your Own License); PAYG (Pay As You Go) não é suportado para SD-WAN Orchestration. Antes de adicionar uma firewall cloud, verifique, por isso, o modelo de implementação e licenciamento, não apenas a versão SFOS.

O Sophos Fusion exige a função Admin ou Super Admin para criar o grupo de firewalls necessário e aceder à respetiva policy. Cada grupo de ligações requer pelo menos duas firewalls já pertencentes a um grupo Sophos Fusion. Uma firewall registada, mas não atribuída a um grupo, não pode ser adicionada.

Antes da criação, verificar também:

endereço IP público ou FQDN acessível para cada caminho WAN
NAT a montante e o papel de iniciador ou responder resultante
recursos locais únicos e sem sobreposição
redes XFRM livres
ligações WAN ativas e gateways de backup planeados
serviços permitidos entre os locais
configurações locais existentes de IPsec, routing, NAT e SD-WAN
acesso de gestão independente e uma cópia de segurança atual da configuração

Configurar uma VPN IPsec site-to-site no Sophos Firewall explica a estrutura de uma ligação individual baseada em rotas. Num grupo de ligações, o Sophos Fusion executa muitos destes passos, mas os requisitos subjacentes de routing, regras e caminho de retorno permanecem iguais.

Criar o grupo de ligações no Sophos Fusion

Selecionar firewalls e recursos

O processo começa em:

My Products > Firewall Management > SD-WAN Connection Groups > Create Connection Group

É atribuído ao grupo um nome inequívoco, por exemplo HQ-Branches, e opcionalmente uma descrição. Selecionam-se depois pelo menos duas firewalls. Para cada uma, define-se como Shared resources o endereço IP ou intervalo de rede disponível para os outros locais. No exemplo, apenas FW-HQ partilha a rede de servidores, determinando os papéis hub-and-spoke.

Os recursos devem ser escolhidos com o menor âmbito possível. Em vez de partilhar toda a rede da sede, uma rede de servidores ou aplicações é frequentemente suficiente. Também não se deve selecionar preventivamente Any para os serviços quando apenas são necessárias algumas aplicações.

O Sophos Fusion pode criar opcionalmente regras de firewall. As opções incluem também utilizadores autenticados e Security Heartbeat. Antes de guardar, documenta-se se as regras são geradas automaticamente ou geridas separadamente. Assim, mais tarde permanece claro se uma regra ausente é um erro ou uma decisão de desenho.

Resolver conflitos de rede e WAN

O Sophos Fusion verifica se existem conflitos nos recursos e ligações WAN selecionados. Um conflito não significa automaticamente que uma rede esteja errada. Significa que o Sophos Fusion não consegue gerar uma ligação inequívoca sem uma decisão adicional.

Consoante o resultado, as decisões disponíveis incluem, por exemplo:

desativar para esta ligação uma sub-rede sobreposta
associar à sub-rede um endereço NAT único
definir um objeto de rede adicional
selecionar a ligação WAN adequada
selecionar um gateway de backup
substituir o endereço detetado pelo Sophos Fusion

Na firewall que disponibiliza o recurso, o assistente apenas permite ativar ou desativar a rede, não atribuir NAT. Para continuar a disponibilizar a rede sobreposta, é necessário corrigir primeiro o conflito de endereçamento nessa firewall ou no desenho da rede. Ativar a rede não resolve, por si só, a sobreposição. Na firewall que acede ao recurso, pode utilizar-se a opção NAT para resolver o conflito. Antes de guardar, verifique para cada rede sobreposta qual a firewall que a disponibiliza, qual lhe acede e se a medida escolhida elimina efetivamente o conflito. Se a rede for excluída, não ficará disponível através desta Connection Group.

Cada decisão altera o caminho de dados resultante. Por isso, os endereços NAT, as substituições WAN e as redes desativadas são registados num plano de endereçamento e routing, em vez de serem apenas configurados até o estado ficar verde.

Um wildcard * em Public IP or FQDN for selected WAN link só é permitido quando a firewall remote gateway é o responder e executa pelo menos SFOS 20.0. Uma firewall que disponibiliza recursos com endereço WAN dinâmico e wildcard override continua a ser Initiator e utiliza o perfil IPsec Central_DefaultBranchOffice. O peer tem de funcionar como Responder e executar SFOS 20.0 ou posterior. Neste caso, partilhar recursos não torna, por si só, a firewall dinâmica num responder.

Antes de definir *, documente para cada caminho WAN a firewall local dinâmica, o seu papel de initiator e o peer responder acessível, incluindo a versão SFOS. Após a implementação, verifique nas ligações IPsec geradas se os papéis, o perfil e a atribuição WAN correspondem ao plano e teste o acesso aos recursos com tráfego real da aplicação. O wildcard não deve ocultar uma situação WAN ou NAT por esclarecer. O initiator, a acessibilidade pública e a identidade do peer têm de continuar inequívocos; não altere indiscriminadamente os perfis gerados centralmente na configuração local.

Guardar o grupo e monitorizar as tarefas

Depois de guardar, o Sophos Fusion cria as tarefas necessárias para todas as firewalls participantes. Durante o processo, mantém-se aberta a sessão administrativa existente em pelo menos uma firewall. No Sophos Fusion, verificam-se o estado e os detalhes do grupo de ligações, assim como:

My Products > Firewall Management > Tasks Queue

Os estados Pending, Failed ou Partial Success não devem ser simplesmente ignorados. Documentam-se a firewall, a entidade, o erro e a hora e comparam-se com a configuração local. Verificar Sophos Fusion Firewall Tasks Queue explica em detalhe Retry, Skip, Force Sync e a validação local.

Após a conclusão das tarefas, verifique também o estado do túnel: GOOD significa que o túnel VPN está estabelecido; DOWN, que não está estabelecido ou perdeu a ligação. UNKNOWN significa que não chegaram informações de heartbeat há cerca de cinco minutos e, por isso, o Sophos Fusion não consegue determinar o estado do túnel. Não é uma falha de túnel comprovada nem uma validação bem-sucedida. Para a entrada em produção, os túneis esperados têm de indicar GOOD e passar nas verificações locais abaixo.

Verificar localmente a configuração gerada

Após uma tarefa Sophos Fusion bem-sucedida, abrir separadamente cada firewall participante e verificar:

Em Site-to-site VPN > IPsec, as ligações Sophos Fusion esperadas estão ativas.
Em Network > Interfaces, as interfaces XFRM têm endereços /30 únicos do pool planeado.
Em Routing, as rotas geradas apontam para a interface XFRM esperada.
Os objetos de rede, host e serviço com Central_ correspondem aos recursos partilhados.
As regras de firewall criadas automática ou separadamente permitem apenas as origens, destinos e serviços planeados.
O NAT aplica-se apenas onde foi escolhido deliberadamente para resolver um conflito.
Com vários caminhos WAN, o estado do gateway e do SD-WAN corresponde à seleção primária e de backup planeada.

Se um grupo contiver Shared resources e Participating networks, a firewall cria duas rotas SD-WAN semelhantes: uma para os recursos partilhados e outra para as redes participantes. É o comportamento de deployment esperado, não um duplicado a eliminar localmente sem investigação.

O Sophos Fusion gere os objetos gerados. As alterações locais manuais a objetos Central_ podem ser substituídas por uma alteração posterior do grupo ou causar inconsistências. As alterações devem, por isso, ser feitas no desenho do grupo de ligações ou na política Sophos Fusion responsável.

Validar com tráfego real

Na primeira validação, executa-se pelo menos um teste real para cada caminho de recurso partilhado. No exemplo, um cliente de 10.20.0.0/16 liga-se por HTTPS a um servidor explicitamente permitido em 10.10.0.0/16; em seguida, realiza-se um teste a partir de 10.30.0.0/16.

Em ambos os lados, verificar:

IKE e Child SA ativas
Firewall Rule ID correta
interfaces de entrada e saída no Packet Capture
endereços de origem e destino esperados após qualquer tradução NAT deliberada
caminho de ida e retorno
resultado da aplicação, não apenas um ping

Um túnel ou estado de grupo verde é apenas um resultado intermédio. Testar uma regra do Sophos Firewall explica a validação completa com Log Viewer, Policy Test e Packet Capture.

Adicionar perfis SD-WAN e resiliência

As versões mínimas seguintes dizem respeito a funções individuais dos perfis e não substituem o requisito SFOS 20.0 ou posterior para o processo de Orchestration aqui descrito.

O Sophos Fusion suporta perfis SD-WAN para grupos de ligações a partir do SFOS 19.0. A estratégia de routing está disponível a partir do SFOS 19.5. O Sophos Fusion cria automaticamente o gateway do túnel VPN; seleciona-se como backup um gateway já existente na firewall. O perfil pode utilizar First available gateway ou Load balancing; o balanceamento oferece round-robin e vários tipos de persistência de sessão. Não substitui uma rota correta nem uma ligação VPN funcional.

O endereço XFRM tem de estar numa sub-rede /30. Caso contrário, o Sophos Fusion mostra Migrate e, durante a migração, atribui todos os endereços dos túneis a partir de 10.252.0.0/15 e 10.254.0.0/16. A migração e cada alteração de perfil mudam o caminho de dados: guardar primeiro um backup e acesso out-of-band, alterar um local ou caminho numa janela de manutenção, verificar as tarefas Sophos Fusion e a configuração local e só depois ampliar o rollout.

Antes de ativar um perfil, testar separadamente cada caminho WAN e de túnel. Depois, verificar com tráfego real se as novas ligações utilizam o caminho previsto e mudam conforme esperado numa falha planeada. Os health checks usam Ping ou TCP e até dois probe targets atrás do gateway. Se um alvo for um IP público, a firewall de destino requer uma regra da zona VPN para a zona WAN. Se nenhum gateway cumprir o SLA personalizado, a firewall usa a estratégia First available gateway. Este comportamento deve ser verificado num teste de failover planeado.

A lógica de routing local, os valores SLA e a validação do failover são descritos em Configurar uma rota SD-WAN no Sophos Firewall. O Sophos Fusion simplifica a distribuição, mas não altera o significado de gateway, route precedence, NAT ou comportamento das sessões.

Resolver problemas por sintoma

Não é possível selecionar uma firewall

Verificar o registo no Sophos Fusion, a licença válida ou a autorização Orchestration e a pertença a um grupo de firewalls Sophos Fusion. Depois, verificar se uma tarefa de grupo ou sincronização em aberto está a bloquear a alteração.

Uma tarefa falhou ou teve apenas sucesso parcial

Não recriar imediatamente o grupo. Primeiro, guardar os detalhes da tarefa e a configuração local parcial. As causas frequentes incluem conflitos de objetos ou redes, firewalls inacessíveis, restrições de licença ou uma política de grupo que não pôde ser aplicada integralmente. Repetir apenas depois de corrigir a causa.

O estado do túnel é UNKNOWN

Verifique primeiro a ligação ao Sophos Fusion, o heartbeat e o estado de sincronização das firewalls afetadas, bem como a Task Queue. Em paralelo, através do acesso de gestão independente, verifique o estado local do túnel em Site-to-site VPN > IPsec e execute o teste documentado da aplicação. Se o túnel local e o tráfego real funcionarem, falta inicialmente a comprovação central do estado; não elimine nem recrie o grupo apenas devido a UNKNOWN. Se a ligação também estiver afetada localmente, verifique a acessibilidade WAN, IKE/Child SA e o caminho de dados. Após restabelecer a transmissão do heartbeat, confirme novamente se o Sophos Fusion indica GOOD. Se UNKNOWN persistir apesar de uma ligação saudável, guarde o estado, as horas e os detalhes das tarefas para continuar o diagnóstico.

O túnel está ativo, mas falta tráfego da aplicação

Comparar os recursos partilhados, a seleção de serviços e a regra de firewall com o fluxo real. Depois, verificar a rota, a interface XFRM, NAT, route precedence e o caminho de retorno. Um ping só é significativo se ICMP estiver permitido e o destino deva responder.

Apenas um caminho WAN ou de backup funciona

Verificar o endereço público ou FQDN, NAT a montante, o papel do gateway, a ligação WAN e o gateway de backup. Num perfil SD-WAN, continuar com o alvo SLA e o estado do gateway. Um endereço wildcard ou túnel verde não deve ocultar a falta de acessibilidade end-to-end.

Uma alteração do pool não aparece no grupo

Isto é esperado para grupos de ligações existentes. Os novos pools IP são utilizados apenas por grupos criados posteriormente. Não eliminar e recriar um grupo de produção apenas para alterar o endereçamento; planear primeiro o impacto, o período de indisponibilidade e a reversão.

O Sophos Fusion está verde, mas a aplicação continua indisponível

O estado do grupo não é monitorização da aplicação. Verificar simultaneamente logs, Rule IDs, Packet Capture, routing e NAT em ambas as firewalls. Em HA ou processamento distribuído, utilizar o nó que processou o tráfego de teste.

Fazer alterações e reverter com segurança

Antes de uma alteração importante ao grupo, documentar a configuração do grupo de ligações, as firewalls participantes, os recursos partilhados, a atribuição WAN, o pool XFRM, as regras geradas automaticamente e um fluxo de teste funcional. Guardar também uma cópia de segurança atual da firewall.

Quando uma atualização recria objetos

Uma expansão acrescenta, em princípio, a configuração necessária; os túneis, rotas e regras de firewall existentes são mantidos enquanto os critérios da sua criação não forem afetados. Adicionar uma filial não implica, portanto, reconstruir automaticamente todas as ligações existentes. Porém, ao alterar as condições de regras de firewall, regras NAT ou rotas SD-WAN geridas centralmente, o Sophos Fusion remove e recria os objetos afetados. Isto inclui alterações a:

redes locais ou redes de origem permitidas;
Shared resources ou redes de destino;
serviços e portas;
condições de utilizador ou Security Heartbeat;
NAT para resolver sub-redes sobrepostas;
gateways de backup ou associação das rotas SD-WAN a gateways.

Por exemplo, mudar no desenho HQ-Branches existente a permissão HTTPS para outro serviço pode recriar as regras de acesso e rotas afetadas; não é apenas uma alteração da descrição. Antes de guardar, compare, por isso, as redes de origem, os destinos, os serviços e os caminhos afetados com o fluxo de teste anterior. Planeie alterações que recriam objetos numa janela de manutenção, admitindo uma possível interrupção; um túnel inalterado, por si só, não garante que o acesso continue adequado.

Guarde apenas uma alteração de Orchestration de cada vez. Enquanto o Sophos Fusion cria, atualiza ou elimina o grupo, não faça alterações paralelas às interfaces, WAN, LAN ou redes nas firewalls. Após a conclusão das tarefas, volte a verificar as regras Central_ recriadas, as associações NAT e as rotas nas firewalls afetadas, identifique a Firewall Rule ID atualmente utilizada e repita tanto o teste anterior como o teste da aplicação alterada. Se mudar a associação de gateways, teste também o caminho de backup. Corrigir ou eliminar localmente objetos Central_ não é um caminho de reversão: faça a alteração pretendida na Connection Group.

Reverter uma expansão ou remover o grupo

Se uma expansão falhar, não eliminar todo o grupo por reflexo. Reverter primeiro no assistente apenas o novo recurso, firewall ou alteração de perfil. Depois de terminarem as tarefas Sophos Fusion, verificar se túneis, rotas, regras e o fluxo de teste documentado voltaram a corresponder à referência. Só esse resultado confirma a reversão; guardar a alteração não basta.

Se o grupo de ligações tiver de ser totalmente removido, fazê-lo numa janela de manutenção. Devem estar preparados antecipadamente caminhos alternativos entre locais ou túneis geridos manualmente. Após a eliminação, verificar em cada firewall se os objetos Central_ associados foram removidos e se não ficaram regras, rotas ou dependências NAT órfãs.

Lista de verificação para entrada em produção

Todas as firewalls executam SFOS 20.0 ou posterior, são geridas pelo Sophos Fusion, têm licença e estão atribuídas a um grupo de firewalls; as firewalls AWS/Azure utilizam BYOL.
Os recursos, serviços, caminhos WAN e redes XFRM estão documentados e sem sobreposições.
Cada conflito detetado foi resolvido deliberadamente.
Todas as tarefas Sophos Fusion terminaram com um resultado documentado.
Os túneis esperados indicam GOOD; qualquer UNKNOWN foi esclarecido e não foi considerado um teste de túnel bem-sucedido.
Os túneis, interfaces XFRM, rotas, regras e objetos Central_ foram verificados localmente.
Um teste real bidirecional da aplicação funciona em cada caminho entre locais.
Os caminhos primário e de backup foram testados numa janela de manutenção.
A cópia de segurança, o acesso de gestão e o caminho de recuperação estão documentados.

Perguntas frequentes

Um grupo de ligações substitui o conhecimento local de IPsec e routing?

Não. O Sophos Fusion automatiza a criação repetida, mas o caminho de dados continua a ser IPsec baseado em rotas, com interfaces XFRM, rotas, regras de firewall e eventualmente NAT. Estas camadas continuam a ter de ser compreendidas para troubleshooting e validação.

O que prova um estado verde no Sophos Fusion?

Verde significa que todas as firewalls do grupo estão ativas. Laranja significa que pelo menos uma está inativa e vermelho que todas estão inativas. Esta vista dos túneis não prova que todos os recursos estejam acessíveis através de todas as regras e aplicações. Continuam a ser necessários controlos locais e ligações de teste reais.

O que acontece ao anular o registo de uma firewall?

O Sophos Fusion elimina o grupo de ligações associado e os túneis que criou. Por isso, uma firewall não deve ser desregistada e registada novamente como medida rotineira de troubleshooting. Esta alteração pertence a uma janela de manutenção, com uma cópia de segurança e um caminho de substituição preparado.