Configurar e verificar uma WAN PPPoE na Sophos Firewall

O PPPoE deve ser configurado na Sophos Firewall quando um modem ou ONT colocado a montante encaminha a ligação de forma transparente em modo bridge ou passthrough. A firewall estabelece então a ligação ao operador e recebe o endereço WAN atribuído.

Se o equipamento do operador estabelecer a sessão PPPoE, a Sophos Firewall colocada atrás dele recebe normalmente um endereço WAN estático ou atribuído por DHCP. Se ambos os equipamentos efetuarem NAT, ocorre um Double NAT. Nesta configuração, uma ligação PPPoE adicional na firewall é geralmente desnecessária e pode ser recusada como uma segunda sessão.

⚠️ Antes da alteração, deve estar claro qual equipamento estabelece a sessão PPPoE. Uma ligação simultânea através do equipamento do operador e da firewall só faz sentido se o operador suportar expressamente várias sessões. A alteração requer acesso de administrador local ou independente, pois uma definição incorreta interrompe imediatamente a ligação à Internet.

Recolher os dados do operador antes de começar

Os seguintes valores devem estar disponíveis antes da janela de manutenção:

• Nome de utilizador PPPoE e, se aplicável, palavra-passe
• Modo bridge ou passthrough do modem ou ONT
• ID de VLAN opcional do operador
• Nome opcional do Access Concentrator ou do serviço
• Requisito de um endereço IP dinâmico, fixo ou preferencial
• Requisitos de DNS e particularidades conhecidas sobre MTU ou reconexão
• Número de sessões PPPoE permitidas e informações sobre CGNAT

O nome de utilizador é obrigatório. A necessidade de uma palavra-passe depende do operador e do respetivo método de autenticação. O WebAdmin aceita um máximo de 50 carateres para o nome de utilizador. Se o login do operador for mais comprido, esta situação deve ser esclarecida com o Sophos Support antes da alteração.

A preparação também deve incluir uma cópia de segurança da configuração atual, uma janela de manutenção e um plano de reversão. Numa alteração remota, o único acesso de administração não pode passar precisamente pela porta WAN que está a ser reconfigurada.

Configurar a interface PPPoE

O exemplo seguinte utiliza Port2 para uma ligação com um ONT em modo bridge. O operador exige um nome de utilizador, uma palavra-passe e a VLAN 7, mas não uma Preferred IP nem um nome de serviço. A VLAN 7 é apenas um exemplo e não deve ser aplicada a uma ligação real sem verificação.

1. Abrir Network > Interfaces.
2. Abrir o menu da porta WAN prevista e selecionar Edit interface.
3. Definir um nome claro, como WAN-PPPoE, e a zona WAN.
4. Ativar IPv4 e selecionar PPPoE como IP assignment.
5. Em Username, introduzir, por exemplo, firma@example.net. Preencher o campo Password com o valor do operador apenas se a ligação exigir uma palavra-passe.
6. Deixar Preferred IP vazio se o operador não tiver especificado um endereço PPPoE fixo.
7. Atribuir um Gateway name claro, como gw-pppoe. Introduzir um IP de gateway apenas se o operador indicar um valor concreto.
8. Deixar Access concentrator/service name vazio, salvo se o operador exigir um nome exato.
9. Manter LCP echo interval em 20 segundos e LCP failure em 3.
10. Ativar uma reconexão programada apenas se o operador ou a operação o exigir.
11. Se o operador exigir uma VLAN para PPPoE, escolher uma das variantes descritas na secção seguinte.
12. Guardar e, em seguida, verificar a interface, o gateway, o DNS e o tráfego real de um cliente.

Uma Preferred IP é apenas um pedido ao operador. Mesmo que seja introduzido um endereço, o servidor PPPoE pode atribuir um IP diferente. Para garantir um endereço fixo, o operador tem de disponibilizar o serviço adequado.

Um nome de Access Concentrator ou de serviço limita a ligação a um ponto correspondente. Um valor inventado ou escrito incorretamente pode impedir a ligação logo na fase de discovery. Por isso, o campo deve permanecer vazio se o operador não tiver fornecido expressamente um valor.

Implementar corretamente a VLAN do operador

Uma VLAN do operador pode ser configurada de duas formas. Ambos os métodos são válidos, mas não podem ser combinados para a mesma ligação.

Variante 1: definição VDSL na porta PPPoE física

O PPPoE é configurado diretamente na porta WAN física. Em DSL settings, ativa-se VDSL e introduz-se o ID de VLAN do operador. O SFOS efetua assim o processamento de VLAN necessário para a sessão PPPoE.

A designação VDSL não significa que a firewall substitua um modem DSL ou ONT. O equipamento colocado a montante continua responsável pela linha física e pela sincronização.

No exemplo, a VLAN 7 é definida na porta PPPoE. Depois disso, não se pode criar na mesma ligação uma VLAN 7 manual adicional com uma segunda configuração PPPoE.

Variante 2: PPPoE numa VLAN WAN manual

Em Network > Interfaces > Add interface > Add VLAN, começa-se por criar uma VLAN na porta física do operador. Esta VLAN recebe a zona WAN, o ID de VLAN do operador e PPPoE como atribuição IPv4. As credenciais são introduzidas nesta interface VLAN.

Esta configuração é útil quando a interface VLAN deve ficar expressamente visível e ter um nome separado no desenho das interfaces. Configurar VLAN na Sophos Firewall explica os fundamentos da parent interface e da marcação VLAN.

Se já existir uma VLAN configurada numa interface física, o SFOS não pode simplesmente alterar a atribuição IP dessa interface física de Static para PPPoE ou DHCP. Nesse caso, é necessário verificar primeiro o desenho existente das interfaces e VLAN.

Compreender o LCP e a reconexão

Os ecos LCP verificam se o peer PPP continua a responder. Com os valores predefinidos, a firewall envia uma verificação a cada 20 segundos e considera a sessão inacessível após 3 respostas em falta.

Estes valores são um ponto de partida adequado. Um intervalo mais curto deteta falhas mais cedo, mas pode causar reconexões desnecessárias numa linha instável. Por isso, o LCP só deve ser alterado devido a um requisito do operador ou a um problema documentado. Desmarcar a definição não desativa o LCP, mas repõe os valores predefinidos.

Schedule time for reconnect desliga a sessão PPPoE a uma hora definida e volta a estabelecê-la. Esta opção pode ajudar quando o operador impõe uma desconexão periódica, mas não é uma função geral de reparação. As ligações ativas são interrompidas e, com uma atribuição dinâmica, o endereço IP público pode mudar. Por isso, uma reconexão necessária deve ser programada fora do horário de produção.

Validar toda a ligação

Um endereço WAN atribuído, por si só, não prova que os clientes conseguem utilizar a Internet. Depois de guardar, devem verificar-se os níveis envolvidos pela seguinte ordem.

Interface e gateway

Em Network > Interfaces, a interface PPPoE tem de estar ligada e ter recebido um endereço IP. O gateway físico associado aparece automaticamente em Network > WAN link manager.

Um novo gateway WAN está Active por predefinição. Com várias ligações à Internet, pode por isso participar imediatamente no balanceamento de carga. Se a nova ligação PPPoE se destinar apenas a reserva, o gateway deve ser configurado diretamente como Backup e depois testado de forma controlada. O procedimento completo encontra-se em Configurar e testar o failover WAN.

DNS

Em Network > DNS, pode utilizar-se Obtain DNS from PPPoE ou configurar deliberadamente um DNS estático. A opção Test name lookup permite verificar diretamente a resolução.

Com várias ligações PPPoE, não se deve assumir uma ordem não documentada dos servidores DNS recebidos. Servidores DNS escolhidos deliberadamente e testes separados permitem um desenho Multi-WAN previsível.

Regra de firewall, NAT e teste de cliente

O tráfego de LAN para WAN requer uma regra de firewall adequada e, normalmente, masquerading ou SNAT. Compreender o NAT na Sophos Firewall explica a relação entre estes componentes.

Em seguida, devem ser testadas pelo menos as seguintes funções a partir de um cliente:

1. Acessibilidade de um endereço IP externo.
2. Resolução de um nome DNS.
3. Acesso a uma página HTTPS.
4. Uma aplicação importante para a operação.
5. Uma entrada de log com a regra de firewall e a interface WAN esperadas.

Um ping bem-sucedido não é suficiente. O DNS, HTTPS, NAT ou uma aplicação podem continuar a falhar, mesmo que pequenos pacotes ICMP funcionem.

Reverter uma alteração malsucedida

Se não for estabelecida uma sessão PPPoE, a alteração deve ser revertida através do acesso de administrador independente: repor o equipamento do operador no modo de funcionamento anteriormente documentado, voltar a definir na interface WAN o endereço estático ou atribuído por DHCP anterior e ativar o caminho anterior de gateway e DNS. Depois, verificar novamente a interface, o gateway, o DNS e um teste real de cliente. Só se deve continuar a trabalhar no PPPoE quando o caminho anterior voltar a funcionar.

Delimitar sistematicamente os erros de PPPoE

Primeiro, verificam-se a linha e a configuração; só depois a MTU ou outros valores especiais:

1. Verificar o estado da ligação, a sincronização do modem ou ONT, a cablagem e o modo bridge/passthrough.
2. Comparar a VLAN do operador com os dados do contrato e garantir que não foi definida simultaneamente pela opção VDSL e por uma VLAN manual.
3. Verificar exatamente o nome de utilizador, a palavra-passe opcional e a utilização de maiúsculas e minúsculas.
4. Limpar Preferred IP e o nome do Access Concentrator ou do serviço se o operador não tiver indicado expressamente estes valores.
5. Guardar e verificar se a interface recebe um endereço IP e um gateway.
6. Testar primeiro o DNS com Test name lookup e depois a partir de um cliente.
7. Verificar a regra de firewall, o NAT e o Log Viewer.

Para um diagnóstico mais aprofundado em 5. Device Management > 3. Advanced Shell, observar primeiro os eventos das interfaces:

tail -f /log/networkd.log

O ficheiro networkd.log mostra eventos de interfaces físicas e virtuais. O gateway WAN e possíveis eventos de failover são registados em dgd.log:

tail -f /log/dgd.log

A saída em curso é interrompida com Ctrl+C. Podem ser apresentadas mensagens de sistema adicionais em 4. Device Console através de um comando só de leitura:

system diagnostics show syslog

As mensagens de pppd na saída podem revelar erros de discovery, autenticação ou sessão. A mensagem de erro exata deve ser documentada juntamente com a hora, a interface, a versão do firmware e uma nova tentativa de ligação. Logs de serviços da Sophos Firewall explica a análise de outros ficheiros.

Padrões típicos:

• Nenhum peer PPPoE encontrado: verificar a ligação, o modo bridge/passthrough, a VLAN do operador e o nome de serviço opcional.
• Autenticação recusada: verificar as credenciais, o número de carateres, a conta do operador e o número de sessões permitido.
• A sessão é estabelecida e volta a cair: analisar a linha, os eventos do operador, o LCP e a reconexão programada.
• Existe um endereço WAN, mas não há Internet: verificar o gateway, o DNS, a regra de firewall, o NAT e o routing.
• Apenas os pacotes grandes ou o tráfego VPN falham: analisar MTU/MSS apenas depois de um teste reproduzível.

Não alterar MTU e MSS de forma generalizada

O PPPoE adiciona overhead. No entanto, isso não significa que todas as ligações tenham de ser configuradas manualmente com uma MTU de 1492 ou um MSS de 1452. Os valores predefinidos funcionam em muitos ambientes, e VLAN, VPN ou tecnologias adicionais do operador alteram o caminho real.

Uma alteração só é útil se, por exemplo, os pacotes pequenos funcionarem, as transferências HTTPS grandes bloquearem ou os packet captures mostrarem repetidamente problemas de fragmentação. Verificar MTU e MSS na Sophos Firewall explica a medição e o cálculo.

Multi-WAN, Dynamic DNS e HA

Uma ligação PPPoE estabelecida comporta-se no WAN Link Manager como outro gateway WAN físico. No entanto, durante uma reconexão ou failover, o endereço público e todas as ligações associadas podem mudar. Isto afeta especialmente IPsec, DNAT, allowlists externas e Remote Access. Para endereços dinâmicos, Dynamic DNS na Sophos Firewall ajuda, mas não substitui o teste dos serviços de entrada.

Se o operador atribuir apenas um endereço CGNAT privado ou partilhado, a firewall normalmente não fica diretamente acessível a partir da Internet. O Dynamic DNS apenas atualiza o nome e não elimina o CGNAT. Os serviços de entrada requerem um endereço público ou encaminhado pelo operador.

O PPPoE é permitido num cluster HA Active-Passive, mas a sessão PPPoE existente não é transferida durante o failover. O novo Primary tem de a estabelecer novamente. O Active-Active exige endereços IP estáticos em todas as interfaces e, por isso, não suporta PPPoE. O desenho físico da ligação do operador deve também garantir que ambos os appliances conseguem aceder à ligação depois de uma mudança de funções. Variantes HA da Sophos Firewall explica outras limitações.

O IPv6 é uma decisão separada do operador. Se a ligação disponibilizar Prefix Delegation, IPv6 Prefix Delegation na Sophos Firewall mostra a configuração separada.

Excluir erros específicos da versão

O SFOS 22.0 MR2 Build 546 corrige vários problemas de PPPoE existentes em GA e MR1, incluindo Policy Test através de PPPoE, sincronização de licenças em HA Active-Passive e fraco desempenho de upload causado por uma fila TX demasiado curta. O MR2 também corrige um erro em que os túneis IPsec com um alias IP numa WAN PPPoE eram estabelecidos, mas não transmitiam tráfego.

Se um destes sintomas ocorrer numa versão mais antiga do SFOS 22, deve planear-se primeiro uma atualização controlada para uma Maintenance Release atualmente suportada. A verificação de atualização do SFOS 22 descreve a preparação. Soluções antigas, como a desativação generalizada da aceleração IPsec, não devem fazer parte de uma nova configuração padrão.

FAQ