Configurar e verificar um grupo de ligações SD-WAN no Sophos Central

Um grupo de ligações SD-WAN permite ao Sophos Central criar ligações IPsec baseadas em rotas entre várias firewalls geridas. Isto evita grande parte da configuração repetida em topologias hub-and-spoke ou full mesh. O Central pode gerar túneis, interfaces XFRM, rotas, objetos de rede e, quando selecionada a opção, as regras de firewall correspondentes.

A automatização não substitui o planeamento da rede nem a validação. Um estado verde do grupo confirma principalmente que as firewalls participantes estão ativas. Não prova que um cliente específico consegue alcançar o destino remoto através da regra, rota e tratamento NAT esperados.

Percurso rápido para um grupo de ligações funcional

Verificar a licença Central Orchestration, a gestão pelo Central e a pertença ao grupo de firewalls de cada equipamento.
Documentar redes locais, endereços WAN, condições NAT, redundância e a topologia pretendida.
Garantir que os pools de endereços XFRM não se sobrepõem a nenhuma rede de produção.
Criar um grupo em My Products > Firewall Management > SD-WAN Connection Groups.
Selecionar as firewalls, os recursos partilhados, os serviços e, opcionalmente, a criação automática de regras de firewall.
Resolver individualmente cada conflito de rede e WAN detetado pelo Central.
Monitorizar Tasks Queue e o estado do grupo até todas as firewalls participantes terem sido processadas.
Verificar túneis, objetos Central_, endereços XFRM, rotas e regras em cada firewall.
Gerar tráfego bidirecional real e verificar Firewall Rule ID, rota, NAT e caminho de retorno.
Adicionar mais recursos ou firewalls apenas depois da validação bem-sucedida do primeiro âmbito.

⚠️ Não eliminar sem planeamento um grupo de ligações ativo nem anular o registo de uma firewall no Central durante o funcionamento normal. Ao anular o registo, o Sophos Central elimina o grupo de ligações associado e os túneis criados automaticamente. Esta alteração exige uma cópia de segurança atual, uma janela de manutenção e um caminho de recuperação documentado.

O que o Central cria automaticamente

Um grupo de ligações SD-WAN utiliza VPN IPsec baseada em rotas. Consoante a topologia, o Sophos Central cria as ligações e os objetos de configuração necessários nas firewalls participantes. Na configuração local, os objetos gerados automaticamente têm nomes com o prefixo Central_. Incluem ligações IPsec, interfaces XFRM, objetos de rede e rotas.

Numa topologia hub-and-spoke, os recursos partilhados ficam atrás da firewall hub. O hub responde como gateway remoto aos túneis iniciados pelos spokes. Este desenho adequa-se, por exemplo, a uma sede com redes de servidores e várias filiais.

Numa topologia full mesh, o Central liga cada firewall a todos os restantes membros do grupo. Isto pode encurtar os caminhos diretos entre locais, mas cria significativamente mais túneis e dependências. Antes da escolha, deve determinar-se se todos os locais precisam realmente de comunicar diretamente com todos os outros.

A opção de criar automaticamente regras de firewall é prática, mas não substitui a verificação das origens, destinos e serviços permitidos. Se a opção não for selecionada, as regras necessárias devem existir localmente ou na política de grupo Central responsável. Se for selecionada, é necessário verificar a ordem, o âmbito e o logging das regras geradas. Os princípios são explicados em Planear e criar regras de firewall no Sophos Firewall.

Planear a topologia e os valores de exemplo

O seguinte grupo de ligações de exemplo une três firewalls:

FW-HQ partilha a rede de servidores 10.10.0.0/16.
FW-BE partilha a rede da filial 10.20.0.0/16.
FW-ZH partilha a rede da filial 10.30.0.0/16.
Inicialmente, apenas são necessários HTTPS e RDP para sistemas selecionados na rede de servidores.
O exemplo utiliza hub-and-spoke com FW-HQ como hub.

Estes nomes e redes são apenas valores de documentação. Devem ser substituídos pelos nomes reais das firewalls, recursos locais e serviços. O planeamento não se limita às sobreposições diretas entre os três locais. As redes remotas de cloud, parceiros, clientes VPN, RED e gestão também devem ser comparadas com os recursos e pools XFRM planeados.

Compreender os pools de endereços XFRM

O Central utiliza redes /30 para as interfaces XFRM. Se não for configurado um pool próprio, o Sophos Central utiliza por predefinição 10.252.0.0/15 e 10.254.0.0/16. Se algum destes intervalos já existir no ambiente, deve escolher-se um pool personalizado livre antes de criar o primeiro grupo.

A definição encontra-se em:

My Products > Firewall Management > SD-WAN Connection Groups > Add IP Pool

Uma alteração do pool afeta apenas novos grupos de ligações. Os grupos existentes mantêm os endereços XFRM atribuídos. Por isso, mudar o pool não é uma reparação retroativa para um grupo de produção.

Requisitos antes da criação

Todas as firewalls participantes requerem gestão pelo Central e a licença Central Orchestration adequada. Também têm de pertencer previamente a um grupo de firewalls no Sophos Central. Uma firewall que esteja apenas registada, mas não atribuída a um grupo de firewalls Central, não estará disponível para o grupo de ligações conforme esperado.

Antes da criação, verificar também:

endereço IP público ou FQDN acessível para cada caminho WAN
NAT a montante e o papel de iniciador ou responder resultante
recursos locais únicos e sem sobreposição
redes XFRM livres
ligações WAN ativas e gateways de backup planeados
serviços permitidos entre os locais
configurações locais existentes de IPsec, routing, NAT e SD-WAN
acesso de gestão independente e uma cópia de segurança atual da configuração

Configurar uma VPN IPsec site-to-site no Sophos Firewall explica a estrutura de uma ligação individual baseada em rotas. Num grupo de ligações, o Central executa muitos destes passos, mas os requisitos subjacentes de routing, regras e caminho de retorno permanecem iguais.

Criar o grupo de ligações no Sophos Central

Selecionar firewalls e recursos

O processo começa em:

My Products > Firewall Management > SD-WAN Connection Groups > Create Connection Group

Primeiro, atribui-se ao grupo um nome inequívoco, por exemplo HQ-Branches, e selecionam-se as firewalls participantes e a topologia. Para cada firewall, definem-se como Shared resources as redes locais ou hosts que ficarão disponíveis para os outros locais.

Os recursos devem ser escolhidos com o menor âmbito possível. Em vez de partilhar toda a rede da sede, uma rede de servidores ou aplicações é frequentemente suficiente. Também não se deve selecionar preventivamente Any para os serviços quando apenas são necessárias algumas aplicações.

O Central pode criar opcionalmente regras de firewall. As opções incluem também utilizadores autenticados e Security Heartbeat. Antes de guardar, documenta-se se as regras são geradas automaticamente ou geridas separadamente. Assim, mais tarde permanece claro se uma regra ausente é um erro ou uma decisão de desenho.

Resolver conflitos de rede e WAN

O Central verifica se existem conflitos nos recursos e ligações WAN selecionados. Um conflito não significa automaticamente que uma rede esteja errada. Significa que o Central não consegue gerar uma ligação inequívoca sem uma decisão adicional.

Consoante o resultado, as decisões disponíveis incluem, por exemplo:

desativar para esta ligação uma sub-rede sobreposta
associar à sub-rede um endereço NAT único
definir um objeto de rede adicional
selecionar a ligação WAN adequada
selecionar um gateway de backup
substituir o endereço detetado pelo Central

Cada decisão altera o caminho de dados resultante. Por isso, os endereços NAT, as substituições WAN e as redes desativadas são registados num plano de endereçamento e routing, em vez de serem apenas configurados até o estado ficar verde.

Um wildcard * como endereço público ou FQDN é adequado apenas para o lado remote gateway que funciona como responder. Não deve ser utilizado para ocultar uma situação WAN ou NAT por esclarecer. O iniciador, DNS, acessibilidade pública e identidade do peer têm de continuar inequívocos.

Guardar o grupo e monitorizar as tarefas

Depois de guardar, o Central cria as tarefas necessárias para todas as firewalls participantes. Durante o processo, mantém-se aberta a sessão administrativa existente em pelo menos uma firewall. No Central, verificam-se o estado e os detalhes do grupo de ligações, assim como:

My Products > Firewall Management > Tasks Queue

Os estados Pending, Failed ou Partial Success não devem ser simplesmente ignorados. Documentam-se a firewall, a entidade, o erro e a hora e comparam-se com a configuração local. Verificar Sophos Central Firewall Tasks Queue explica em detalhe Retry, Skip, Force Sync e a validação local.

Verificar localmente a configuração gerada

Após uma tarefa Central bem-sucedida, abrir separadamente cada firewall participante e verificar:

Em Site-to-site VPN > IPsec, as ligações Central esperadas estão ativas.
Em Network > Interfaces, as interfaces XFRM têm endereços /30 únicos do pool planeado.
Em Routing, as rotas geradas apontam para a interface XFRM esperada.
Os objetos de rede, host e serviço com Central_ correspondem aos recursos partilhados.
As regras de firewall criadas automática ou separadamente permitem apenas as origens, destinos e serviços planeados.
O NAT aplica-se apenas onde foi escolhido deliberadamente para resolver um conflito.
Com vários caminhos WAN, o estado do gateway e do SD-WAN corresponde à seleção primária e de backup planeada.

O Central gere os objetos gerados. As alterações locais manuais a objetos Central_ podem ser substituídas por uma alteração posterior do grupo ou causar inconsistências. As alterações devem, por isso, ser feitas no desenho do grupo de ligações ou na política Central responsável.

Validar com tráfego real

Na primeira validação, executa-se pelo menos um teste real para cada caminho de recurso partilhado. No exemplo, um cliente de 10.20.0.0/16 liga-se por HTTPS a um servidor explicitamente permitido em 10.10.0.0/16; em seguida, realiza-se um teste a partir de 10.30.0.0/16.

Em ambos os lados, verificar:

IKE e Child SA ativas
Firewall Rule ID correta
interfaces de entrada e saída no Packet Capture
endereços de origem e destino esperados após qualquer tradução NAT deliberada
caminho de ida e retorno
resultado da aplicação, não apenas um ping

Um túnel ou estado de grupo verde é apenas um resultado intermédio. Testar uma regra do Sophos Firewall explica a validação completa com Log Viewer, Policy Test e Packet Capture.

Adicionar perfis SD-WAN e resiliência

O Central pode utilizar perfis SD-WAN para grupos de ligações quando as firewalls e interfaces XFRM participantes cumprem os requisitos. Um perfil define como vários gateways são avaliados e utilizados. Não substitui uma rota correta nem uma ligação VPN individual funcional.

Antes de ativar um perfil, testar separadamente cada caminho WAN e de túnel. Depois, utilizar tráfego real para confirmar que as novas ligações seguem o caminho primário planeado e mudam para o backup durante uma interrupção planeada. Os health checks devem consultar um alvo que represente de forma útil o caminho end-to-end necessário.

A lógica de routing local, os valores SLA e a validação do failover são descritos em Configurar uma rota SD-WAN no Sophos Firewall. O Central simplifica a distribuição, mas não altera o significado de gateway, route precedence, NAT ou comportamento das sessões.

Resolver problemas por sintoma

Não é possível selecionar uma firewall

Verificar o registo no Central, a licença válida ou a autorização Orchestration e a pertença a um grupo de firewalls Central. Depois, verificar se uma tarefa de grupo ou sincronização em aberto está a bloquear a alteração.

Uma tarefa falhou ou teve apenas sucesso parcial

Não recriar imediatamente o grupo. Primeiro, guardar os detalhes da tarefa e a configuração local parcial. As causas frequentes incluem conflitos de objetos ou redes, firewalls inacessíveis, restrições de licença ou uma política de grupo que não pôde ser aplicada integralmente. Repetir apenas depois de corrigir a causa.

O túnel está ativo, mas falta tráfego da aplicação

Comparar os recursos partilhados, a seleção de serviços e a regra de firewall com o fluxo real. Depois, verificar a rota, a interface XFRM, NAT, route precedence e o caminho de retorno. Um ping só é significativo se ICMP estiver permitido e o destino deva responder.

Apenas um caminho WAN ou de backup funciona

Verificar o endereço público ou FQDN, NAT a montante, o papel do gateway, a ligação WAN e o gateway de backup. Num perfil SD-WAN, continuar com o alvo SLA e o estado do gateway. Um endereço wildcard ou túnel verde não deve ocultar a falta de acessibilidade end-to-end.

Uma alteração do pool não aparece no grupo

Isto é esperado para grupos de ligações existentes. Os novos pools IP são utilizados apenas por grupos criados posteriormente. Não eliminar e recriar um grupo de produção apenas para alterar o endereçamento; planear primeiro o impacto, o período de indisponibilidade e a reversão.

O Central está verde, mas a aplicação continua indisponível

O estado do grupo não é monitorização da aplicação. Verificar simultaneamente logs, Rule IDs, Packet Capture, routing e NAT em ambas as firewalls. Em HA ou processamento distribuído, utilizar o nó que processou o tráfego de teste.

Fazer alterações e reverter com segurança

Antes de uma alteração importante ao grupo, documentar a configuração do grupo de ligações, as firewalls participantes, os recursos partilhados, a atribuição WAN, o pool XFRM, as regras geradas automaticamente e um fluxo de teste funcional. Guardar também uma cópia de segurança atual da firewall.

Se uma expansão falhar, não eliminar todo o grupo por reflexo. Remover primeiro apenas o recurso, firewall ou alteração de perfil recém-adicionado e verificar se o Central volta a distribuir integralmente a configuração anterior. Em seguida, repetir os testes locais de túneis, rotas, regras e tráfego.

Se o grupo de ligações tiver de ser totalmente removido, fazê-lo numa janela de manutenção. Devem estar preparados antecipadamente caminhos alternativos entre locais ou túneis geridos manualmente. Após a eliminação, verificar em cada firewall se os objetos Central_ associados foram removidos e se não ficaram regras, rotas ou dependências NAT órfãs.

Lista de verificação para entrada em produção

Todas as firewalls são geridas pelo Central, têm licença e estão atribuídas a um grupo de firewalls.
Os recursos, serviços, caminhos WAN e redes XFRM estão documentados e sem sobreposições.
Cada conflito detetado foi resolvido deliberadamente.
Todas as tarefas Central terminaram com um resultado documentado.
Os túneis, interfaces XFRM, rotas, regras e objetos Central_ foram verificados localmente.
Um teste real bidirecional da aplicação funciona em cada caminho entre locais.
Os caminhos primário e de backup foram testados numa janela de manutenção.
A cópia de segurança, o acesso de gestão e o caminho de recuperação estão documentados.

Perguntas frequentes

Um grupo de ligações substitui o conhecimento local de IPsec e routing?

Não. O Central automatiza a criação repetida, mas o caminho de dados continua a ser IPsec baseado em rotas, com interfaces XFRM, rotas, regras de firewall e eventualmente NAT. Estas camadas continuam a ter de ser compreendidas para troubleshooting e validação.

O que prova um estado verde no Sophos Central?

Mostra que as firewalls participantes estão ativas ou que o estado geral do grupo parece saudável. Não prova que todos os recursos estejam acessíveis através de todas as regras e aplicações. Continuam a ser necessários controlos locais e ligações de teste reais.

O que acontece ao anular o registo de uma firewall?

O Sophos Central elimina o grupo de ligações associado e os túneis que criou. Por isso, uma firewall não deve ser desregistada e registada novamente como medida rotineira de troubleshooting. Esta alteração pertence a uma janela de manutenção, com uma cópia de segurança e um caminho de substituição preparado.