Configurar e verificar uma WAN PPPoE na Sophos Firewall

O PPPoE deve ser configurado na Sophos Firewall quando um modem ou ONT colocado a montante encaminha a ligação de forma transparente em modo bridge ou passthrough. A firewall estabelece então a ligação ao operador e recebe o endereço WAN atribuído.

Se o equipamento do operador estabelecer a sessão PPPoE, a Sophos Firewall colocada atrás dele recebe normalmente um endereço WAN estático ou atribuído por DHCP. Se ambos os equipamentos efetuarem NAT, ocorre um Double NAT. Nesta configuração, uma ligação PPPoE adicional na firewall é geralmente desnecessária e pode ser recusada como uma segunda sessão.

⚠️ Antes da alteração, deve estar claro qual equipamento estabelece a sessão PPPoE. Uma ligação simultânea através do equipamento do operador e da firewall só faz sentido se o operador suportar expressamente várias sessões. A alteração requer acesso de administrador local ou independente, pois uma definição incorreta interrompe imediatamente a ligação à Internet.

Recolher os dados do operador antes de começar

Os seguintes valores devem estar disponíveis antes da janela de manutenção:

• Nome de utilizador e palavra-passe PPPoE, ou requisito exato de autenticação do operador
• Modo bridge ou passthrough do modem ou ONT
• ID de VLAN opcional do operador
• Nome opcional do Access Concentrator ou do serviço
• Requisito de um endereço IP dinâmico, fixo ou preferencial
• Requisitos de DNS e particularidades conhecidas sobre MTU ou reconexão
• Número de sessões PPPoE permitidas e informações sobre CGNAT

A ajuda da Sophos especifica o nome de utilizador e a palavra-passe da conta PPPoE. Qualquer requisito diferente do operador deve ser confirmado antes da janela de manutenção; não se deve presumir que uma palavra-passe vazia é suportada. O WebAdmin aceita até 50 carateres no nome. Um login mais comprido deve ser esclarecido com o Sophos Support antes da alteração.

A preparação também deve incluir uma cópia de segurança da configuração atual, uma janela de manutenção e um plano de reversão. Numa alteração remota, o único acesso de administração não pode passar precisamente pela porta WAN que está a ser reconfigurada.

Configurar a interface PPPoE

O exemplo seguinte utiliza Port2 para uma ligação com um ONT em modo bridge. O operador exige um nome de utilizador, uma palavra-passe e a VLAN 7, mas não uma Preferred IP nem um nome de serviço. A VLAN 7 é apenas um exemplo e não deve ser aplicada a uma ligação real sem verificação.

1. Abrir Network > Interfaces.
2. Abrir o menu da porta WAN prevista e selecionar Edit interface.
3. Definir um nome claro, como WAN-PPPoE, e a zona WAN.
4. Ativar IPv4 e selecionar PPPoE como IP assignment.
5. Em Username, introduzir, por exemplo, firma@example.net e em Password o valor correspondente do operador. Não copiar credenciais reais para capturas ou tickets.
6. Deixar Preferred IP vazio se o operador não tiver especificado um endereço PPPoE fixo.
7. Atribuir um Gateway name claro, como gw-pppoe, e introduzir a Gateway IP address exigida pelo operador para uma interface PPPoE física. Numa VLAN PPPoE, este campo mostra antes o endereço de gateway configurado.
8. Deixar Access concentrator/service name vazio, salvo se o operador exigir um nome exato.
9. Manter LCP echo interval em 20 segundos e LCP failure em 3.
10. Ativar uma reconexão programada apenas se o operador ou a operação o exigir.
11. Se o operador exigir uma VLAN para PPPoE, escolher uma das variantes descritas na secção seguinte.
12. Guardar e, em seguida, verificar a interface, o gateway, o DNS e o tráfego real de um cliente.

Uma Preferred IP é apenas um pedido ao operador. Mesmo que seja introduzido um endereço, o servidor PPPoE pode atribuir um IP diferente. Para garantir um endereço fixo, o operador tem de disponibilizar o serviço adequado.

Um nome de Access Concentrator ou de serviço limita a ligação a um ponto correspondente. Um valor inventado ou escrito incorretamente pode impedir a ligação logo na fase de discovery. Por isso, o campo deve permanecer vazio se o operador não tiver fornecido expressamente um valor.

Implementar corretamente a VLAN do operador

Uma VLAN do operador pode ser configurada de duas formas. Ambos os métodos são válidos, mas não podem ser combinados para a mesma ligação.

Variante 1: definição VDSL na porta PPPoE física

O PPPoE é configurado diretamente na porta WAN física. Em DSL settings, ativa-se VDSL e introduz-se o ID de VLAN do operador. O SFOS efetua assim o processamento de VLAN necessário para a sessão PPPoE.

A designação VDSL não significa que a firewall substitua um modem DSL ou ONT. O equipamento colocado a montante continua responsável pela linha física e pela sincronização.

No exemplo, a VLAN 7 é definida na porta PPPoE. Depois disso, não se pode criar na mesma ligação uma VLAN 7 manual adicional com uma segunda configuração PPPoE.

Variante 2: PPPoE numa VLAN WAN manual

Em Network > Interfaces > Add interface > Add VLAN, começa-se por criar uma VLAN na porta física do operador. Esta VLAN recebe a zona WAN, o ID de VLAN do operador e PPPoE como atribuição IPv4. As credenciais são introduzidas nesta interface VLAN.

Esta configuração é útil quando a interface VLAN deve ficar expressamente visível e ter um nome separado no desenho das interfaces. Configurar VLAN na Sophos Firewall explica os fundamentos da parent interface e da marcação VLAN.

Se já existir uma VLAN numa interface física, o SFOS não pode simplesmente alterar a atribuição IP de Static para PPPoE ou DHCP. Primeiro é necessário verificar o desenho. A alteração também pode afetar configurações dependentes de DNS, gateway, SD-WAN, hosts de interface, VLAN e Dynamic DNS. Off preserva a configuração; eliminar uma interface virtual pode remover regras e objetos dependentes.

Compreender o LCP e a reconexão

Os ecos LCP verificam se o peer PPP continua a responder. Com os valores predefinidos, a firewall envia uma verificação a cada 20 segundos e considera a sessão inacessível após 3 respostas em falta.

Estes valores são um ponto de partida adequado. Um intervalo mais curto deteta falhas mais cedo, mas pode causar reconexões desnecessárias numa linha instável. Por isso, o LCP só deve ser alterado devido a um requisito do operador ou a um problema documentado. Desmarcar a definição não desativa o LCP, mas repõe os valores predefinidos.

Schedule time for reconnect desliga a sessão PPPoE a uma hora definida e volta a estabelecê-la. Esta opção pode ajudar quando o operador impõe uma desconexão periódica, mas não é uma função geral de reparação. As ligações ativas são interrompidas e, com uma atribuição dinâmica, o endereço IP público pode mudar. Por isso, uma reconexão necessária deve ser programada fora do horário de produção.

Validar toda a ligação

Um endereço WAN atribuído, por si só, não prova que os clientes conseguem utilizar a Internet. Depois de guardar, devem verificar-se os níveis envolvidos pela seguinte ordem.

Interface e gateway

Em Network > Interfaces, a interface PPPoE tem de mostrar Connected e um endereço atribuído. Connecting indica que ainda está a obter um endereço; Disconnected, que o endereço foi libertado. O gateway WAN físico associado aparece automaticamente em Network > WAN link manager.

Um novo gateway WAN está Active por predefinição. Com várias ligações à Internet, pode por isso participar imediatamente no balanceamento de carga. Se a nova ligação PPPoE se destinar apenas a reserva, o gateway deve ser configurado diretamente como Backup e depois testado de forma controlada. O procedimento completo encontra-se em Configurar e testar o failover WAN.

DNS

Em Network > DNS, pode utilizar-se Obtain DNS from PPPoE ou configurar deliberadamente um DNS estático. A opção Test name lookup permite verificar diretamente a resolução.

Com várias ligações PPPoE, não se deve assumir uma ordem não documentada dos servidores DNS recebidos. Servidores DNS escolhidos deliberadamente e testes separados permitem um desenho Multi-WAN previsível.

Regra de firewall, NAT e teste de cliente

O tráfego de LAN para WAN requer uma regra de firewall adequada e, normalmente, masquerading ou SNAT. Compreender o NAT na Sophos Firewall explica a relação entre estes componentes.

Em seguida, devem ser testadas pelo menos as seguintes funções a partir de um cliente:

1. Acessibilidade de um endereço IP externo.
2. Resolução de um nome DNS.
3. Acesso a uma página HTTPS.
4. Uma aplicação importante para a operação.
5. Uma entrada de log com a regra de firewall e a interface WAN esperadas.

Um ping bem-sucedido não é suficiente. O DNS, HTTPS, NAT ou uma aplicação podem continuar a falhar, mesmo que pequenos pacotes ICMP funcionem.

Se o Log Viewer não mostrar claramente onde termina o caminho, aplicar em Diagnostics > Packet capture um filtro restrito ao IP e protocolo do cliente. Nos pacotes encaminhados, In interface, Out interface, Rule ID, NAT ID, Status e Gateway ID devem corresponder ao caminho planeado. A vista só prova o que foi capturado; o buffer está limitado a 2048 KB e para quando enche, salvo se a substituição circular estiver ativa.

Reverter uma alteração malsucedida

Se não for estabelecida a sessão, usar o acesso independente para repor o estado anterior documentado. Numa VLAN PPPoE adicionada, definir primeiro Off para conservar a configuração para análise. Depois, repor o equipamento do operador e o caminho WAN estático ou DHCP anterior com gateway e DNS. Se a porta física foi alterada, restaurar os valores registados. Não eliminar a VLAN precipitadamente: remover uma interface virtual pode apagar regras e outras configurações dependentes. Continuar apenas depois de o caminho antigo passar novamente todos os testes.

Delimitar sistematicamente os erros de PPPoE

Primeiro, verificam-se a linha e a configuração; só depois a MTU ou outros valores especiais:

1. Verificar o estado da ligação, a sincronização do modem ou ONT, a cablagem e o modo bridge/passthrough.
2. Comparar a VLAN do operador com os dados do contrato e garantir que não foi definida simultaneamente pela opção VDSL e por uma VLAN manual.
3. Verificar exatamente o nome de utilizador, a palavra-passe opcional e a utilização de maiúsculas e minúsculas.
4. Limpar Preferred IP e o nome do Access Concentrator ou do serviço se o operador não tiver indicado expressamente estes valores.
5. Guardar e verificar se a interface recebe um endereço IP e um gateway.
6. Testar primeiro o DNS com Test name lookup e depois a partir de um cliente.
7. Verificar a regra de firewall, o NAT e o Log Viewer.

Para um diagnóstico mais aprofundado em 5. Device Management > 3. Advanced Shell, observar primeiro os eventos das interfaces:

tail -f /log/networkd.log

O ficheiro networkd.log mostra eventos de interfaces físicas e virtuais. O gateway WAN e possíveis eventos de failover são registados em dgd.log:

tail -f /log/dgd.log

A saída em curso é interrompida com Ctrl+C. Podem ser apresentadas mensagens de sistema adicionais em 4. Device Console através de um comando só de leitura:

system diagnostics show syslog

A correspondência oficial associa networkd.log às interfaces físicas e virtuais e dgd.log aos eventos WAN, de gateway e failover. system diagnostics show syslog mostra mensagens adicionais, mas não fornece automaticamente uma causa PPPoE completa. Registar mensagem, hora, interface, versão e nova tentativa. Se não bastar, capturar o teste reproduzível com um filtro restrito; Logs de serviços da Sophos Firewall explica os restantes ficheiros.

Padrões típicos:

• Nenhum peer PPPoE encontrado: verificar a ligação, o modo bridge/passthrough, a VLAN do operador e o nome de serviço opcional.
• Autenticação recusada: verificar as credenciais, o número de carateres, a conta do operador e o número de sessões permitido.
• A sessão é estabelecida e volta a cair: analisar a linha, os eventos do operador, o LCP e a reconexão programada.
• Existe um endereço WAN, mas não há Internet: verificar o gateway, o DNS, a regra de firewall, o NAT e o routing.
• Apenas os pacotes grandes ou o tráfego VPN falham: analisar MTU/MSS apenas depois de um teste reproduzível.

Não alterar MTU e MSS de forma generalizada

O PPPoE adiciona overhead. No entanto, isso não significa que todas as ligações tenham de ser configuradas manualmente com uma MTU de 1492 ou um MSS de 1452. Os valores predefinidos funcionam em muitos ambientes, e VLAN, VPN ou tecnologias adicionais do operador alteram o caminho real.

Uma alteração só é útil se, por exemplo, os pacotes pequenos funcionarem, as transferências HTTPS grandes bloquearem ou os packet captures mostrarem repetidamente problemas de fragmentação. Verificar MTU e MSS na Sophos Firewall explica a medição e o cálculo.

Multi-WAN, Dynamic DNS e HA

Uma ligação PPPoE estabelecida comporta-se no WAN Link Manager como outro gateway WAN físico. No entanto, durante uma reconexão ou failover, o endereço público e todas as ligações associadas podem mudar. Isto afeta especialmente IPsec, DNAT, allowlists externas e Remote Access. Para endereços dinâmicos, Dynamic DNS na Sophos Firewall ajuda, mas não substitui o teste dos serviços de entrada.

Se o operador atribuir apenas um endereço CGNAT privado ou partilhado, a firewall normalmente não fica diretamente acessível a partir da Internet. O Dynamic DNS apenas atualiza o nome e não elimina o CGNAT. Os serviços de entrada requerem um endereço público ou encaminhado pelo operador.

O PPPoE é permitido em HA Active-Passive, mas a Sophos indica que não ocorre session failover. O novo Primary tem de restabelecer a ligação. O link HA dedicado e ambas as portas de administração exigem endereços estáticos. Active-Active exige endereços estáticos em todas as interfaces e não suporta uma WAN PPPoE. O desenho físico deve dar acesso a ambos os appliances após a mudança de funções. Variantes HA da Sophos Firewall explica os restantes limites.

O IPv6 é uma decisão separada do operador. Se a ligação disponibilizar Prefix Delegation, IPv6 Prefix Delegation na Sophos Firewall mostra a configuração separada.

Excluir erros específicos da versão

O SFOS 22.0 MR1 Build 490 corrige problemas PPPoE específicos: NC-174437 no Policy Test por PPPoE, NC-173201 na sincronização de licenças em HA Active-Passive com PPPoE e NC-167806 em perdas de pacotes e upload lento com fila TX de comprimento 3. Sophos Known Issues também marca NC-181526 como resolvido no MR2 Build 546: no XGS Appliance, exceto XGS 88/88w, 108/108w, 118/118w e 128/128w, em GA e MR1 os túneis IPsec por um alias IP de uma WAN PPPoE podiam estabelecer-se sem transmitir tráfego com a aceleração IPsec ativa.

Se um destes sintomas ocorrer numa versão mais antiga do SFOS 22, deve planear-se primeiro uma atualização controlada para uma Maintenance Release atualmente suportada. A verificação de atualização do SFOS 22 descreve a preparação. Soluções antigas, como a desativação generalizada da aceleração IPsec, não devem fazer parte de uma nova configuração padrão.

FAQ