Configurar e testar um IP alias na Sophos Firewall

Um IP alias associa um endereço IPv4 ou IPv6 adicional a uma interface física existente da Sophos Firewall. É útil quando um fornecedor disponibiliza vários endereços públicos através da mesma ligação WAN ou quando uma interface interna precisa de servir uma segunda sub-rede durante uma migração.

A distinção importante é que um alias não é uma segunda ligação à Internet, uma zona própria nem um caminho de gateway independente. O endereço utiliza a mesma interface física principal. Por isso, o routing, as regras de firewall, NAT e Device Access têm de continuar alinhados com o design existente da interface.

⚠️ Antes de adicionar um IP alias público, documentar um backup atual, uma ligação administrativa independente, a atribuição do fornecedor, o estado ARP original e as regras de firewall e NAT planeadas. Um endereço adicional não publica por si só um servidor, mas pode tornar acessíveis serviços locais da firewall segundo as regras de Device Access da zona principal.

O exemplo utiliza IPv4 numa interface WAN. O SFOS também suporta aliases IPv6 quando a versão IP corresponde à interface principal. No entanto, Neighbor Discovery de IPv6 e NAT66 não fazem parte deste exemplo concreto.

IP alias em oito passos

1. Confirmar que o fornecedor ou a rede interna disponibiliza realmente o endereço adicional através da mesma interface física.
2. Documentar a interface principal, a versão IP, o endereço, a máscara de sub-rede e a finalidade.
3. Verificar Device Access, as regras existentes e um caminho de gestão independente.
4. Associar o endereço à interface principal em Network > Interfaces > Add interface > Add alias.
5. Se necessário para regras e NAT, criar um IP Host com um nome claro e exatamente este endereço.
6. Configurar DNAT ou SNAT apenas para o fluxo previsto; tratar o tráfego do sistema separadamente.
7. Verificar o caminho do fornecedor, ARP, Firewall Rule ID, NAT Rule ID e ambos os sentidos com uma nova ligação.
8. Testar o equipamento de substituição, o failover de HA e o rollback numa janela de manutenção com o mesmo fluxo.

Quando um IP alias é adequado

Um IP alias é adequado quando vários endereços têm de utilizar o mesmo caminho físico de camada 2 e o mesmo gateway. Casos típicos:

• vários endereços IPv4 públicos numa ligação WAN estática;
• um endereço público próprio para DNAT, WAF ou um serviço de correio;
• um endereço de origem fixo para tráfego encaminhado selecionado;
• uma segunda sub-rede interna no mesmo segmento físico durante uma migração controlada;
• vários endereços do fornecedor na mesma sub-rede, para os quais interfaces WAN separadas causariam problemas de ARP.

Várias interfaces WAN na mesma sub-rede não são uma alternativa adequada. A Sophos alerta que os gateways podem ficar inacessíveis devido a problemas de ARP e indica um alias ou LAG como formas de interface apropriadas. Zonas e interfaces na Sophos Firewall explica a escolha básica entre portas físicas, VLAN, LAG, bridge e XFRM.

Um alias não é adequado quando é necessária uma segunda ligação, um gateway próprio, um estado de ligação independente, outra zona de segurança ou failover real. Para isso é necessário um design dedicado de interface, VLAN, LAG, WAN ou routing.

Se a firewall não deve possuir localmente um endereço IPv4 adicional, mas apenas responder em seu nome ao pedido ARP num segmento diretamente ligado, trata-se de outro design. Configurar Proxy ARP na Sophos Firewall explica a decisão e o procedimento de CLI e teste estritamente limitado.

Exemplo e valores a substituir

O exemplo publica um serviço HTTPS interno através de um segundo endereço público:

• Interface principal: Port2
• Zona principal: WAN
• Endereço principal: 203.0.113.9/29
• Gateway do fornecedor: 203.0.113.14
• IP alias: 203.0.113.10/29
• Objeto host do alias: WAN_ALIAS_APP_203.0.113.10
• Servidor interno: APP-DMZ_10.20.40.20
• IP do servidor: 10.20.40.20
• Serviço: HTTPS
• Host de teste externo: 198.51.100.25

203.0.113.0/24 e 198.51.100.0/24 estão reservados para documentação. Na configuração de produção, devem ser substituídos pelos endereços atribuídos pelo fornecedor e por um host de teste externo autorizado.

A máscara /29 é apenas um exemplo realista. Não deve ser copiada se o fornecedor disponibilizar um bloco roteado, um único endereço /32 ou outro tamanho de rede. São determinantes a documentação do fornecedor, o modelo de ARP ou routing e a versão IP utilizada na interface principal.

Adicionar o alias à interface física

Em Network > Interfaces, o endereço é associado diretamente à interface existente:

1. Selecionar Add interface > Add alias.
2. Em Physical interface, selecionar Port2 ou a interface principal real.
3. Definir IP version como IPv4.
4. Em IPv4/Netmask, introduzir 203.0.113.10 e a máscara confirmada pelo fornecedor.
5. Guardar com Save.

O endereço adicional aparece depois na interface principal. Se existirem mais de três aliases, o SFOS mostra inicialmente apenas os três primeiros. É possível deslocar a área de endereços visível para consultar as entradas adicionais.

Um alias não pode ser ativado ou desativado independentemente. Se a interface física principal for desativada ou perder a ligação, os respetivos endereços alias também ficam inacessíveis. Inversamente, guardar um alias não cria uma nova entrada de gateway nem uma rota própria.

O formulário Add alias não possui um campo de zona próprio. Por isso, a zona da interface principal continua a ser relevante para os serviços locais da firewall. Antes de adicionar um IP alias público, verificar em Administration > Device access quais os serviços acessíveis a partir de WAN e utilizar uma Local Service ACL Exception restrita para origens de gestão fixas. SSO ou MFA não justificam um acesso amplo ao WebAdmin.

Utilizar o alias em regras e NAT

O alias associado e um IP Host desempenham funções diferentes:

• O alias torna o endereço localmente presente na interface física.
• O IP Host torna o mesmo endereço claramente selecionável nos campos das regras e de NAT.

Um objeto host por si só não associa um endereço à interface. Inversamente, um alias por si só não publica um servidor nem permite tráfego encaminhado. Utilizar corretamente IP Hosts e serviços explica em detalhe os limites destes objetos.

Publicar um serviço de entrada com DNAT

Para o exemplo, é criado em Hosts and services > IP host o objeto WAN_ALIAS_APP_203.0.113.10 do tipo IP com o endereço 203.0.113.10. Em seguida, são criadas uma regra DNAT restrita e uma regra de firewall correspondente:

• Original source: redes externas autorizadas ou conscientemente Any
• Original destination: WAN_ALIAS_APP_203.0.113.10
• Original service: HTTPS
• Translated destination (DNAT): APP-DMZ_10.20.40.20
• Translated service (PAT): Original
• Inbound interface: Port2 ou a entrada efetivamente confirmada
• Translated source (SNAT): normalmente Original
• Log firewall traffic: ativado

A regra de firewall permite o mesmo serviço externo de WAN para a zona do servidor interno e utiliza como Destination network o endereço alias público de Original destination. A origem, o serviço e as funções de proteção são limitados tanto quanto possível. A configuração completa com posição da regra, loopback e hardening encontra-se em Publicar um servidor com DNAT.

Enviar tráfego encaminhado através do IP alias

Se apenas um servidor interno específico deve aparecer externamente como 203.0.113.10, é criada uma regra SNAT própria exatamente para esse fluxo. Translated source (SNAT) utiliza então o IP Host do endereço alias. A origem, o destino, o serviço e as interfaces mantêm-se tão restritos quanto o caso de utilização permitir.

A regra NAT não substitui uma regra de firewall. Além disso, as regras NAT só são avaliadas para o primeiro pacote de uma nova ligação. Após uma alteração, é necessário abrir uma nova ligação; uma sessão existente não comprova o novo caminho NAT. NAT na Sophos Firewall explica o processamento de SNAT, DNAT e PAT.

Tratar separadamente o tráfego do sistema da firewall

O tráfego de DNS, autenticação, correio ou outro tráfego gerado pela própria firewall não segue automaticamente uma regra SNAT para clientes encaminhados. A Sophos documenta expressamente que as configurações de routing utilizam a interface principal. Se um fluxo específico e justificado de tráfego do sistema tiver de utilizar o IP alias como origem, é necessária uma configuração CLI separada.

Antes da alteração, registar o estado inicial na Device Console:

show advanced-firewall

O exemplo seguinte traduz apenas o tráfego do sistema através de Port2 para o destino individual 198.51.100.25, utilizando o IP alias 203.0.113.10:

set advanced-firewall sys-traffic-nat add destination 198.51.100.25 netmask 255.255.255.255 interface Port2 snatip 203.0.113.10

⚠️ Este comando altera o endereço de origem do tráfego da firewall. Não cria uma rota e não é um substituto geral para uma regra NAT. O destino, a máscara /32, a interface e o IP alias têm de corresponder à aplicação real. Após a alteração, testar exatamente o serviço afetado e voltar a verificar a entrada com show advanced-firewall.

Para o rollback, eliminar exatamente a mesma entrada com delete:

set advanced-firewall sys-traffic-nat delete destination 198.51.100.25 netmask 255.255.255.255 interface Port2 snatip 203.0.113.10

Máscaras mais amplas traduzem o tráfego para uma rede de destino completa. Só devem ser utilizadas quando este âmbito maior for intencional, documentado e testado.

Planear aliases de sub-redes diferentes

A Sophos permite vários endereços alias de sub-redes diferentes na mesma interface física, mas estabelece duas condições:

• A Sophos Firewall tem de ser o default gateway dos hosts internos.
• Os dispositivos upstream que funcionam como gateway para o tráfego da firewall têm de possuir um endereço adequado em cada sub-rede de alias utilizada.

Um alias não torna automaticamente funcional uma segunda sub-rede de extremo a extremo. O gateway dos hosts, os peers, a rota de retorno, ARP ou Neighbor Discovery, as regras de firewall e NAT também têm de estar corretos para essa sub-rede.

Para uma segmentação permanente, uma VLAN ou uma interface física própria é geralmente mais fácil de compreender. Um alias com várias sub-redes é mais adequado para uma transição planeada conscientemente ou para uma arquitetura do fornecedor na qual ambas as redes partilham realmente o mesmo caminho de camada 2.

DHCP Server e DHCP Relay não podem ser configurados num Interface Alias. Um alias também não é um Dedicated HA link válido. Estes requisitos devem utilizar uma interface física ou virtual suportada.

Validar o caminho de dados e ARP

A validação deve seguir a tarefa real e não apenas um ping:

1. Em Network > Interfaces, verificar a interface principal, o endereço alias, a máscara e o estado da ligação.
2. No dispositivo do fornecedor ou upstream, verificar se o IP alias está acessível através do endereço MAC ou neighbor esperado.
3. A partir de 198.51.100.25, abrir uma nova ligação HTTPS para o IP alias.
4. No Log Viewer, verificar Firewall Rule ID, NAT Rule ID, Source, Original destination e o destino traduzido esperados.
5. No Packet Capture integrado, comparar a entrada em Port2 com a saída para o servidor.
6. No servidor interno, confirmar que a ligação chega e que a resposta regressa através da Sophos Firewall.
7. Testar negativamente uma porta intencionalmente não permitida e uma origem não autorizada.
8. Em HA, repetir um failover controlado com uma nova ligação sem pressupor que uma sessão existente continua sem interrupção.

Um ping para o IP alias só é significativo se Ping estiver conscientemente permitido para a zona principal em Device Access. Para um serviço HTTPS publicado, o teste TCP e de aplicação real é uma melhor prova de sucesso. Packet Capture na Sophos Firewall explica filtros, comparação de interfaces e exportação.

Delimitar sistematicamente os erros

O alias está visível, mas não está acessível a partir do exterior

• Confirmar que o fornecedor disponibiliza realmente o endereço específico através de Port2.
• Comparar o IP, a máscara e a interface principal com a atribuição do fornecedor.
• Verificar a entrada ARP ou de neighbor no dispositivo upstream.
• Analisar Device Access apenas para acessos à própria firewall.
• Para serviços encaminhados, verificar Firewall Rule ID, NAT Rule ID e o caminho de retorno do servidor.

Após substituir uma firewall, o router upstream pode ainda manter o endereço MAC antigo para o IP alias. Neste caso, a Sophos indica que se limpe a cache do router ou se reinicie o router. Na prática, atualizar primeiro apenas a entrada ARP ou de neighbor afetada segundo o procedimento documentado do dispositivo upstream; um reinício completo deve ocorrer numa janela de manutenção.

O tráfego de saída continua a utilizar o endereço principal

Para tráfego encaminhado, verificar se a regra SNAT esperada corresponde a uma nova ligação. Source, Destination, Service, Inbound interface, Outbound interface e NAT Rule ID têm de coincidir.

Para o tráfego do sistema da firewall, uma regra SNAT normal não é a prova correta. Nesse caso, verificar a entrada sys-traffic-nat específica, a rota, o destino e o fluxo de pacotes real. Não adicionar uma tradução ampla com base numa suspeita.

Apenas a segunda sub-rede interna não funciona

Verificar se a Sophos Firewall é realmente o default gateway dos hosts afetados e se o dispositivo upstream possui um endereço adequado nessa sub-rede. Em seguida, verificar separadamente a rota de retorno, a máscara do host, ARP, a regra de firewall e NAT. Um alias visível não comprova estas dependências.

O túnel IPsec através de um alias está ativo, mas não transporta tráfego

Registar primeiro a versão e o build do SFOS, o modelo do appliance, a utilização de PPPoE, a associação do alias, IPsec Acceleration e o caminho real dos pacotes. O SFOS 22 possui casos especiais de alias e aceleração associados a versões específicas que não devem ser aplicados a qualquer problema de alias. O procedimento de diagnóstico delimitado encontra-se em Resolução de problemas de IPsec para interfaces alias.

Operação, equipamento de substituição e rollback

Os endereços alias devem ser documentados juntamente com a atribuição do fornecedor, DNS, certificados, NAT, regras de firewall e o serviço responsável. Antes de substituir uma firewall, os aliases públicos e a alteração esperada de ARP ou neighbor têm de fazer parte da validação.

Para um rollback:

1. Documentar as utilizações ativas do alias e do IP Host associado.
2. Retirar de forma controlada os serviços publicados de DNS, monitorização ou load balancing.
3. Desativar primeiro as regras de firewall e NAT associadas e confirmar a interrupção do fluxo previsto.
4. Eliminar qualquer entrada sys-traffic-nat com o comando delete exato.
5. Eliminar o alias e o objeto host apenas quando já não existir nenhuma dependência de produção.
6. Voltar a verificar a interface principal, o endereço principal, o gateway e os serviços não afetados.
7. Em HA, repetir a mesma validação após um failover planeado.

Um alias não pode ser utilizado como Dedicated HA link. HA na Sophos Firewall explica as interfaces, os endereços de administração do peer e os testes de failover necessários para um cluster.

Lista de verificação

• A atribuição do fornecedor, a interface principal, a versão IP, o endereço e a máscara estão confirmados.
• Estão disponíveis um backup e uma ligação administrativa independente.
• Device Access e Local Service ACL da zona principal foram verificados.
• O alias e o IP Host com o mesmo nome não são confundidos.
• As regras de firewall e NAT estão limitadas ao fluxo previsto.
• O tráfego do sistema só é traduzido separadamente quando existe uma necessidade justificada.
• Firewall Rule ID, NAT Rule ID, ARP e ambos os sentidos estão confirmados.
• Uma origem não autorizada e um serviço não permitido foram testados negativamente.
• O equipamento de substituição, o failover de HA e o rollback estão documentados.

Perguntas frequentes