Sophos Firewall: configurar Cellular WAN e testar failover 4G/5G

O Cellular WAN é normalmente utilizado numa Sophos Firewall como ligação de reserva. Em locais temporários, a rede móvel também pode ser a ligação principal, desde que o tarifário, a cobertura, a latência e o risco operacional sejam adequados. Para que o 4G ou 5G assuma realmente a ligação durante uma falha, não basta configurar corretamente o SIM e o APN: também é necessário testar a monitorização do gateway, as regras SD-WAN, as regras de firewall e o regresso à ligação principal.

A sequência fiável é: verificar o hardware e o tarifário, configurar WWAN1, definir a lógica de failover e depois testar o failover e o failback com tráfego real das aplicações.

Pré-requisitos e planeamento

Antes da configuração, é necessário dispor de:

• um modem 4G/5G ou módulo Sophos compatível com o modelo da firewall e a versão do SFOS
• um SIM ativo com tarifário, PIN e APN adequados
• nome de utilizador e palavra-passe do operador, se necessário
• informações sobre o volume de dados, endereço IP público ou CGNAT
• cobertura suficiente e antenas corretamente ligadas
• uma lista dos serviços que devem continuar a funcionar através da ligação de reserva
• uma janela de teste durante a qual a ligação principal possa falhar de forma controlada

Cabos de antena longos ou de má qualidade podem anular a vantagem de uma melhor posição da antena.

Para um modem USB antigo, utilize a matriz oficial de compatibilidade USB do SFOS 22 apenas como consulta histórica. A matriz tem a data 2024-08-19, é indicativa, já não é atualizada e não constitui aprovação para uma nova compra. Registe o fabricante, modelo e operador exatos, bem como o Default ID apresentado na deteção inicial e o Modem ID apresentado pela função de modem após a mudança de modo. Likely é apenas uma indicação histórica. Unlikely, um dispositivo não listado ou uma divergência de ID significa que não está validado. Not compatible exige rejeitar o dispositivo.

Não aceite um modem apenas com base na classificação da matriz. Em funcionamento, a firewall deve detetá-lo, criar WWAN1, obter o endereço IP e o gateway esperados, transportar tráfego representativo e concluir failover e failback controlados. Registe estes resultados com a identidade e os IDs do dispositivo.

Para os módulos da própria Sophos, a atribuição atual é mais específica: o Sophos 5G module Gen.2 está documentado para XGS 118/118w, 128/128w e 138/138w; estes equipamentos requerem pelo menos SFOS 20 MR2. O Sophos 5G module Gen.1 está listado para XGS 116/116w, 126/126w e 136/136w. Por isso, antes de desligar e instalar, devem verificar-se em conjunto as gerações do módulo e da firewall. Os valores máximos indicados pela Sophos, até 4,5 Gbps de download e 660 Mbps de upload, descrevem o módulo de rádio, não um débito end-to-end garantido pela firewall, pelo operador ou por uma única aplicação.

Um tarifário móvel limitado não deve assumir sem controlo todo o tráfego do local. Um endereço CGNAT ou outro endereço sem acesso público impede ligações de entrada à firewall. Um túnel IPsec entre locais pode, ainda assim, utilizar a ligação móvel como iniciador; o NAT-T está sempre ativo no Sophos Firewall, mas a contraparte, as identidades e a rota de retorno devem estar corretamente configuradas.

O Cellular WAN não é suportado em nenhum modo HA do Sophos Firewall e tem de ser desativado nos dois equipamentos antes de configurar HA. Se forem necessários simultaneamente HA e failover móvel, é necessária uma arquitetura WAN separada. Mais informações em Variantes e operação de clusters HA do Sophos Firewall.

As alterações de hardware e do SIM só devem ser efetuadas com a firewall desligada. O módulo 5G da Sophos não é hot-swappable.

Configurar o Cellular WAN

Preparar o modem e o SIM

O estado do SIM, o PIN, o APN e o perfil do operador devem ser esclarecidos antes da configuração da firewall. Os tarifários empresariais, de consumo e IoT podem utilizar APNs diferentes. Ligar corretamente todas as antenas e posicioná-las de modo a obter não apenas cobertura, mas uma ligação estável.

Verificar a interface

Network > Cellular WAN
Network > Interfaces

Para a primeira instalação de um módulo Sophos 5G, seguir esta ordem:

1. Na janela de manutenção acordada, desligar a firewall, inserir o SIM do operador na ranhura do módulo e instalar depois o módulo na firewall. Só então voltar a ligar a firewall; o encerramento também interrompe os restantes serviços.
2. Em Network > Cellular WAN, ativar Cellular WAN e aguardar a deteção do módulo. Se o menu não aparecer, verificar o procedimento de ativação CLI abaixo. Connected confirma a ligação ao módulo, mas ainda não o acesso de uma aplicação à Internet.
3. Em Network > Interfaces, clicar em WWAN1. Abrir Show recommended configuration e selecionar Load recommended configuration. Introduzir depois o APN confirmado, Username e Password se necessários e o PIN de um SIM protegido por PIN; clicar em Save.
4. Se a ligação estiver desligada, selecionar Connect em Network > Cellular WAN. Verificar o estado, o endereço IP e o gateway e testar um fluxo de dados real antes de utilizar o módulo para failover. Se faltar o endereço ou gateway esperado, verificar primeiro o SIM, o APN e os logs do modem.

A firewall cria automaticamente a interface WWAN1 na zona WAN; por isso, as regras WAN existentes também se aplicam a esta interface. É também criado o host dinâmico ##WWAN1. Os fundamentos são explicados em Configurar zonas e interfaces no Sophos Firewall.

Para módulos 5G, apenas Network adapter (DHCP) está disponível em IP assignment. Dial-up (PPP) permanece desativado. Se WWAN1 não aparecer, verificar primeiro a deteção do hardware e os logs antes de alterar o APN ou o routing.

Em General settings pode alterar-se o nome apresentado, mas não o nome do hardware. Consoante o modem, a firewall também mostra Connect mode, Reconnect tries, Modem port, Phone number, Username, Password, SIM card PIN code e APN, além de DHCP connect command e DHCP disconnect command opcionais e uma Initialization string. Estes valores provêm do operador ou do perfil de modem aprovado e não devem ser copiados de exemplos. Com Always em Reconnect tries, a firewall tenta restabelecer a ligação sem um limite fixo de tentativas.

Para MTU e MSS, Assignment type: Automatic é a predefinição. Manual só deve ser utilizado num teste controlado de fragmentação ou TCP quando se demonstrar que os valores obtidos automaticamente do operador não funcionam. Depois, devem voltar a testar-se aplicações reais, Packet Capture e failover; uma MTU mais baixa, por si só, não comprova o sucesso.

Interpretar os campos com segurança

Name permite no máximo 58 caracteres. Por exemplo, Mobile-Backup é um nome apresentado de livre escolha; WWAN1 continua a ser o nome indicado em Hardware, que não pode ser alterado. Os subsistemas utilizam o nome apresentado. Em Gateway settings, Gateway name identifica o gateway e Gateway IP é o endereço do gateway, não o da própria interface. Os endereços provêm da configuração ou atribuição do operador, não de exemplos de terceiros.

O APN identifica a Packet Data Network (PDN) ou rede móvel pretendida. Initialization string controla funções do modem; a sequência determina a sua prioridade. Utilizar apenas definições confirmadas do operador/modem e registar os valores existentes antes de alterações. MTU e MSS são expressos em bytes: MTU descreve o tamanho máximo do pacote, MSS o tamanho dos dados úteis TCP. Após um teste manual sem sucesso, repor o Assignment type anterior e os valores registados, clicar em Save e voltar a testar as aplicações.

API XML: separar ações e definições do dispositivo

As referências da API Cellular WAN para SFOS 22 e 23 separam, no exemplo, CellularWAN de CellularWANSettings: CellularWAN apresenta os valores Enable/Disable/Query/Set para Action, associa SerialPort e ATCommand à consulta e DisconnectOnSystemDown com on/off à definição do comportamento durante o encerramento. Por isso, Query não é necessariamente uma consulta de estado sem risco: um comando AT pode alterar o modem e tem de ser aprovado pelo fabricante ou pelo suporte para o modem em questão. Em contrapartida, CellularWANSettings contém a configuração do dispositivo e da ligação, incluindo atribuição de IP, modo de ligação, tentativas de restabelecimento da ligação, porta do modem, acesso ao operador, APN, comandos de inicialização e DHCP, bem como gateway, MTU e MSS. Estes parâmetros não são configurados através de um reinício do modem. Continuar a utilizar os valores dependentes do operador e do modem apenas a partir do perfil confirmado e alterá-los através dos procedimentos UI/CLI descritos acima; o exemplo da referência não comprova predefinições gerais nem suporte em funcionamento no próprio dispositivo.

Também no que respeita à identidade e à atribuição, a referência deve ser lida literalmente: o comentário do exemplo identifica InterfaceName como read-only, mas o elemento chama-se Name. Isto não implica renomear o elemento nem autoriza a escrita da identidade do hardware. ConnectionStatus descreve a conectividade observada do modem com Connected/Disconnected; a listagem não comprova que escrever neste campo estabeleça uma ligação. Para AssignmentType, relativo à atribuição de MTU/MSS, o exemplo apresenta Automatic/Manual, enquanto a tabela de parâmetros indica Manual/Autometic. Não corrigir silenciosamente esta contradição entre Automatic e Autometic nem deduzir dela um valor de atribuição automática executável na API. A definição da UI descrita acima permanece separada desta questão; antes de automatizar através da API, é necessário esclarecer os valores literais contraditórios e a possibilidade de escrita para a versão específica do SFOS.

Definir o gateway e o SD-WAN

Network > WAN link manager
Routing > SD-WAN profiles
Routing > SD-WAN routes

O significado geral de Active, Backup, ANY/ALL, Failover rules e failback é explicado em Configurar e testar o failover WAN no Sophos Firewall. Nesta secção são abordadas adicionalmente as particularidades da ligação móvel.

Para um failover simples da Internet, clicar em Edit no gateway WWAN em WAN link manager e selecionar Type: Backup. Os novos gateways estão ativos por predefinição e, caso contrário, participariam no balanceamento de carga. Em Activate this gateway, definir se a ligação de reserva deve assumir o tráfego quando falhar qualquer gateway ativo (ANY) ou apenas quando falharem todos (ALL). Manually não o ativa automaticamente; é necessário alterar Type para Active na configuração.

Em Action on failback, define-se o que acontece quando a ligação principal regressa: as sessões existentes podem continuar através de WWAN até ao timeout, enquanto apenas as novas ligações voltam a utilizar a ligação principal, ou todas as ligações podem ser restabelecidas através da ligação recuperada. A segunda opção pode interromper sessões ativas. Contudo, nas rotas SD-WAN, Serve all connections through restored gateway só se aplica quando WAN link load balance está selecionado como gateway principal. Se um link WAN ativo for o gateway SD-WAN principal, apenas as novas ligações são encaminhadas pelo gateway restabelecido; se um link WAN de reserva for o gateway principal, as ligações são restabelecidas e continuam encaminhadas por esse link de reserva.

As rotas seletivas, as verificações de SLA e o tratamento diferenciado dos serviços são configurados através de perfis e rotas SD-WAN. A configuração é descrita em detalhe em Configurar uma rota SD-WAN no Sophos Firewall.

Os Health Checks podem utilizar Ping ou TCP. Um perfil SD-WAN suporta até dois Probe Targets; o segundo destino serve como alternativa se o primeiro não responder. As aplicações críticas devem ter prioridade durante o failover e os serviços intensivos em dados que não sejam necessários devem ser limitados.

Para um gateway WWAN, a Sophos cria automaticamente uma regra de failover para 8.8.8.8, além da verificação do endereço IP do gateway atribuído. Assim, é possível continuar a verificar a ligação caso o operador não permita Ping para o endereço do gateway. Deve, ainda assim, confirmar-se se este destino cumpre a própria Security Policy.

Se os pacotes de resposta ou o tráfego gerado pela firewall utilizarem outro caminho, consultar Verificar o routing SD-WAN para Reply Packets e System Traffic.

Verificar o sinal e o failover

Controlar o Cellular WAN através da Device Console

system cellular_wan não se limita a apresentar o estado. O Cellular WAN está desativado por predefinição. As instruções da interface descrevem a ativação através de um interruptor, enquanto a referência CLI exige ativação CLI para o menu WebAdmin e os restantes comandos. Isto não estabelece um passo CLI adicional para todas as instalações já ativadas. Verificar o estado real na compilação instalada. Se o menu faltar durante uma primeira configuração planeada, ativar a função em Option 4: Device Console e verificar depois:

system cellular_wan enable
system cellular_wan show

disable volta a desativar a função. Este comando só deve ser utilizado quando WWAN1 não transporta tráfego ativo nem constitui um caminho de backup necessário:

system cellular_wan disable

A Sophos documenta o seguinte modelo de comando conjunto para o arranque do modem e o comportamento durante o encerramento:

system cellular_wan set modem-setup-delay <0-15> disconnect-on-systemdown [on|off]

Os marcadores são substituídos por valores reais. modem-setup-delay é uma espera de 0 a 15 segundos e tem o valor predefinido 0. disconnect-on-systemdown tem o valor predefinido off. Antes de uma alteração, regista-se o estado atual com show. Um atraso maior ou a desconexão durante o encerramento não é uma otimização geral de estabilidade. Estes parâmetros só são utilizados para um comportamento comprovado do modem ou do encerramento.

Para um diagnóstico mais profundo do modem estão também disponíveis uma consulta através da porta série e o interruptor QMI:

system cellular_wan query serialport <numero-da-porta> ATcommand <comando-AT>
system cellular_wan qmi-mode [enable|disable]

query envia diretamente para a porta selecionada um comando AT válido e específico do modem. Um comando incorreto pode alterar o registo, o modo de rádio ou a ligação, pelo que só deve ser utilizado num procedimento documentado pelo fabricante ou pelo Support. O interruptor CLI qmi-mode aplica-se apenas a modems Sierra; os modems que não são Sierra já suportam QMI. Não deve ser alterado por tentativa. Após cada alteração, verificam-se show, o estado no WebAdmin, os logs do modem e da rede, e um fluxo de dados real. O rollback repõe os valores registados anteriormente.

Estado do sinal através da CLI

Após iniciar sessão por SSH, em Option 4: Device Console, o comando seguinte apresenta a configuração e o estado do SIM, da ligação e do sinal:

system cellular_wan show

O comando já existia anteriormente; desde o SFOS 22.0 GA, também permite verificar a intensidade do sinal. A Sophos não publica valores-limite universalmente aplicáveis. Por isso, devem comparar-se os valores em funcionamento normal, após alterações nas antenas e durante um failover ativo. Valores muito instáveis apontam primeiro para o percurso de rádio, a antena, o operador, o módulo ou o SIM, mas não excluem problemas de routing simultâneos.

⚠️ Permitir SSH apenas a partir de redes de administração fidedignas. Antes da utilização, consultar Ligar ao Sophos Firewall por SSH e verificar a proteção do acesso através de Device Access e Local Service ACL.

Testar failover e failback

Antes do teste, assegurar um backup atual da configuração, documentar os caminhos principal e de reserva, informar as pessoas afetadas e abrir o Log Viewer e a monitorização. Para SD-WAN, ativar também os logs locais de SD-WAN em System services > Log settings.

1. No estado inicial, verificar o gateway principal, o gateway WWAN, a rota SD-WAN utilizada e os contadores de dados.
2. Gerar tráfego de teste relevante, por exemplo DNS, HTTPS, RDP, VPN e uma aplicação empresarial importante.
3. Desativar a ligação principal de forma controlada ou fazer falhar deliberadamente o respetivo Health Check.
4. Em WAN link manager ou Routing > SD-WAN routes, verificar se WWAN1 assume a ligação.
5. No Log Viewer, verificar o módulo SD-WAN e as regras de firewall acionadas.
6. Em Network > Cellular WAN, verificar Status, IP address, Gateway IP, Bytes uploaded, Bytes downloaded e Time duration.
7. Voltar a testar DNS, HTTPS, RDP, VPN e as aplicações empresariais selecionadas através de WWAN1.
8. Restabelecer a ligação principal e verificar o caminho de retorno. No WAN link manager, deve ocorrer o comportamento de failback configurado; com SD-WAN, o regresso depende também da estratégia e do SLA.
9. Por fim, confirmar novamente o gateway, as ligações e as aplicações através do caminho principal.

Um Ping bem-sucedido comprova apenas a acessibilidade, não o funcionamento dos serviços necessários. Além disso, o Policy Tester não considera as rotas SD-WAN e, por isso, não comprova o caminho. Para verificar regras de firewall, logs e Packet Capture, continua a ser útil Testar regras de firewall com Log Viewer, Policy Test e Packet Capture.

Isolar erros

• O modem ou WWAN1 não aparece: compare primeiro o fabricante/modelo físico e os Default/Modem ID detetados com a identidade registada. Depois, verifique a alimentação, a porta e ligação USB e o firmware. modemd.log mostra a inserção ou remoção de dispositivos WWAN USB, syslog.log regista eventos USB, do modem e PPP, e networkd.log apresenta a configuração de rede relacionada com o modem. Escale para a Sophos, o fabricante do modem ou o operador com a identidade, os IDs e os excertos de log relevantes; substitua um dispositivo divergente, classificado como Not compatible ou que não passe a aceitação em funcionamento.
• O SIM não estabelece ligação: verificar o PIN, o APN, o perfil do operador, o bloqueio do SIM e a cobertura. Confirmar o APN com o operador em vez de o adivinhar.
• O gateway está ativo, mas não existe tráfego: verificar o gateway e a rota SD-WAN utilizados, a regra de firewall, NAT, DNS e o caminho de retorno. dgd.log contém eventos de gateways WAN e link failover; os SD-WAN Health Checks e as alterações de rota aparecem no módulo SD-WAN do Log Viewer.
• As aplicações estão instáveis: as ligações móveis apresentam frequentemente maior latência, perda de pacotes e variações. Testar aplicações reais e, se necessário, medir o throughput com iPerf entre dois endpoints. Em caso de problemas com VPN ou fragmentação, verificar também MTU e MSS.
• A VPN só funciona através da ligação principal: com CGNAT, as ligações de entrada não são diretamente possíveis. Verificar se o lado móvel inicia o túnel, se a contraparte aceita endereços dinâmicos ou identidades adequadas e se a rota de retorno está correta.

Os ficheiros de log e as respetivas funções são explicados em Identificar corretamente os Service Logs do Sophos Firewall.

Restabelecer a ligação ou reiniciar o modem no SFOS 23

Em Network > Cellular WAN, Connect estabelece a ligação do modem. Reset, por sua vez, reinicia o modem e volta a ligá-lo à firewall. As definições existentes da interface WWAN e as configurações dependentes são mantidas; não se trata de uma reposição das definições de fábrica. Este procedimento está documentado para SFOS 23, não como função do SFOS 22.

Reset só está disponível para os modelos 5G da Quectel e Sierra Wireless, não para outros modelos de modem ou dongles USB. Verificar o modelo exato antes de escolher o método de recuperação; o nome do fabricante ou o suporte de 5G, por si só, não basta.

⚠️ Reiniciar o modem interrompe temporariamente a ligação móvel, mesmo que a configuração seja mantida. Assegurar primeiro uma via de acesso administrativo independente. Se WWAN transportar tráfego ativo ou constituir uma reserva necessária, acordar uma janela de manutenção. Desligar a firewall para a alternativa de hardware abaixo também interrompe os seus restantes serviços.

1. Registar o modelo, o estado atual do modem, o endereço IP, o gateway e os logs relevantes do modem e da rede. Documentar as definições de WWAN1 e as dependências, como o gateway, as rotas SD-WAN e as regras de firewall e NAT, para permitir a comparação posterior.
2. Modelo 5G suportado no SFOS 23: Em Network > Cellular WAN, clicar em Reset e verificar depois se o modem é novamente detetado e restabelece a ligação.
3. Modelo sem suporte de Reset: Utilizar apenas um procedimento de reinício AT específico do modem, documentado pelo fabricante ou pelo suporte. Continua a aplicar-se a precaução acima relativa a query serialport; não adivinhar comandos AT. Em alternativa, encerrar a firewall e só desligar e voltar a ligar o modem depois de a firewall estar desligada. Ligar depois a firewall e verificar a deteção e o restabelecimento da ligação. Nunca desligar o modem enquanto a firewall estiver em funcionamento: isso pode provocar problemas de ligação Cellular WAN.
4. Em Network > Cellular WAN, verificar o estado, o endereço IP e o gateway; em Network > Interfaces, comparar as definições mantidas de WWAN1 com o estado registado. Verificar também as configurações dependentes e tráfego representativo das aplicações. Quando for operacionalmente seguro, efetuar o teste controlado de failover e failback descrito acima.

Para interpretar as respostas da API XML, a referência Cellular WAN do SFOS 23 acrescenta o estado 203 com Message.WWANResetSuccessfully para um reinício indicado como bem-sucedido e 511 com Message.WWANResetFailed para um reinício indicado como falhado; ambas as correspondências estão ausentes da referência do SFOS 22. São valores de estado da API XML, não códigos de estado HTTP. Os identificadores são chaves de mensagem literais da referência, não o texto verificado de uma mensagem durante a execução. Não permitem deduzir um pedido Reset nem um valor adicional de Action: o exemplo inalterado apresenta Enable/Disable/Query/Set. Mesmo após a indicação de sucesso, efetuar as verificações do passo 4: o estado, o endereço IP, o gateway e o tráfego real das aplicações têm de estar corretos. Em caso de falha indicada, guardar a resposta efetiva e os logs relevantes e escalar após as verificações descritas, em vez de tentar reinícios sem limite.

Se a ligação continuar ausente, enviar à Sophos, ao fabricante do modem ou ao operador excertos atuais de modemd.log, syslog.log e networkd.log, juntamente com o modelo, o estado e os passos já realizados, em vez de reiniciar repetidamente por tentativa.

Operação

• Testar o failover e o failback pelo menos trimestralmente e após alterações relevantes de firmware ou routing.
• Monitorizar o gateway, o estado SD-WAN, o volume de dados e os custos.
• Documentar o SIM, PIN, APN, tarifário, posição das antenas e comparação dos valores de sinal.
• Limitar o tráfego não crítico durante o failover.
• Definir os responsáveis por alertas, falhas do operador, bloqueio do SIM e regresso ao funcionamento normal.
• Documentar o hardware de substituição e o canal de suporte.

FAQ