Selecionar e verificar SFP e SFP+ no Sophos Firewall

Se uma porta SFP permanecer em Unplugged, a ligação oscilar ou não atingir a velocidade esperada, a causa costuma estar antes da regra de firewall: o tipo de porta, o transceiver, a fibra, o equipamento do outro lado ou a negociação da ligação não são compatíveis entre si.

A verificação mais rápida segue esta ordem:

Determinar o modelo do appliance e a porta física: SFP, SFP+, QSFP ou Flexi Port.
Verificar a velocidade suportada e a compatibilidade do transceiver especificamente para essa porta.
Comparar o transceiver, a fibra ou o DAC e o módulo do equipamento do outro lado.
Em Network > Interfaces, verificar Link mode, Auto-negotiation e FEC.
Analisar a ligação e o módulo em modo de leitura com ethtool.
Substituir individualmente a fibra, o módulo e a porta do outro lado por componentes conhecidos e funcionais.
Só depois de existir uma ligação física estável, investigar VLAN, LAG, configuração IP, routing e regras de firewall.

Selecionar uma porta e um transceiver compatíveis

Distinguir SFP, SFP+ e Dual Rate

SFP corresponde normalmente a 1 GbE e SFP+ a 10 GbE. O sinal de adição é, por isso, relevante: um módulo 10G-SFP+ não funciona numa porta exclusivamente 1G-SFP. Por outro lado, nem todas as portas SFP+ suportam automaticamente módulos SFP de 1 Gbit/s.

Algumas portas SFP+ ou módulos Flexi Port são Dual Rate e suportam 1 e 10 GbE. No entanto, só se deve assumir esta capacidade para a porta específica quando o manual do modelo ou a matriz de compatibilidade a confirmam. Os appliances de maior dimensão também podem ter portas QSFP, QSFP+ ou breakout; também nestas, o modo da porta, o módulo e a velocidade têm de ser compatíveis.

A matriz atual de modelos e transceivers está disponível no Sophos Firewall Config Studio, em Backup-restore compatibility. Antes da aquisição ou de uma alteração, devem verificar-se o appliance, o módulo Flexi Port, o padrão da porta e o transceiver. Esta vista é mais adequada do que uma lista estática neste artigo, porque os modelos e módulos suportados podem ser atualizados.

Um transceiver de terceiros que não conste da lista pode funcionar tecnicamente, mas não fica por isso automaticamente testado ou suportado pela Sophos. Não existe um comando CLI genérico que desbloqueie um SFP incompatível. Para uplinks de produção, deve estar disponível um módulo testado e um módulo de substituição conhecido e funcional.

Comparar o percurso ótico e o equipamento do outro lado

Com fibra ótica, ambas as extremidades têm de utilizar o mesmo padrão de transmissão. Antes de inserir o módulo, devem verificar-se:

singlemode ou multimode
velocidade e padrão, por exemplo 1G-SX/LX ou 10G-SR/LR
comprimento de onda e distância suportada
conector e fibra de interligação adequada
em ligações com duas fibras, a polaridade TX/RX correta
em módulos BiDi, o par correspondente de comprimentos de onda
módulo compatível e parâmetros das portas coordenados com o equipamento do outro lado

Como orientação geral, SX e SR correspondem normalmente a ligações multimode curtas, enquanto LX e LR correspondem normalmente a ligações singlemode mais longas. No entanto, são sempre determinantes as especificações do transceiver concreto e do equipamento do outro lado.

Um exemplo típico de 10 Gbit/s para uma ligação curta consiste em transceivers 10G-SR compatíveis nas duas extremidades e fibra multimode adequada à distância. Um módulo 10G-LR numa extremidade e um módulo 10G-SR na outra não são compatíveis, apesar de terem a mesma velocidade.

Com DAC ou AOC, o tipo e o comprimento do cabo, o padrão da porta e ambos os equipamentos têm de ser suportados. Um cabo que encaixa mecanicamente não garante uma ligação.

⚠️ Segurança laser: Nunca se deve olhar diretamente para um transceiver ligado ou para uma extremidade de fibra aberta. As tampas de proteção só devem ser retiradas no momento da ligação e os conectores sujos devem ser limpos com ferramentas adequadas para fibra ótica.

Configurar a porta no SFOS

Editar a interface física em Network > Interfaces e abrir Advanced settings > Port settings. Dependendo do appliance, são apresentados:

Link mode: velocidade e duplex
Auto-negotiation for media type: negociação automática com o equipamento do outro lado
Forward Error Correction (FEC): correção de erros para portas rápidas suportadas
Show recommended settings: mostrar os valores recomendados para o modo de porta selecionado
Load recommended configuration: aplicar esses valores

Velocidade, duplex, Auto-negotiation e FEC têm de ser compatíveis nos dois lados. Uma incompatibilidade pode causar interrupções da ligação, erros, latência ou desempenho reduzido. Nas portas de 25, 50 e 100 Gbit/s, deve guardar-se primeiro o Link mode, voltar a abrir a interface e só depois carregar a configuração recomendada.

Nos módulos Flexi Port dos modelos XGS 2100, 2300, 3100 e 3300, todas as portas SFP+ do mesmo módulo têm de ser configuradas com a mesma velocidade. Esta limitação não se aplica genericamente a todas as portas SFP+ fixas nem a todos os modelos XGS.

⚠️ Uma alteração no uplink pode interromper imediatamente a ligação e, por consequência, o acesso ao WebAdmin. Para ligações WAN, core ou HA em produção, são necessários uma janela de manutenção, um acesso administrativo alternativo e o registo dos valores anteriores para reversão.

Depois de guardar, verificar o nome de hardware e o estado em Network > Interfaces. Connected confirma a ligação física, mas ainda não uma configuração correta de VLAN, LAG, IP ou política. A relação entre interface, zona e regras é explicada em Planear corretamente zonas e interfaces no Sophos Firewall.

Ler a ligação e o módulo através da CLI

Determinar o nome de hardware

Os comandos seguintes precisam do nome de hardware, não do nome de apresentação definido livremente. Este encontra-se em Network > Interfaces e pode ser, por exemplo, PortF1, PortA1 ou Port1.

Em alternativa, a Device Console apresenta as interfaces:

show network interfaces

Para utilizar ethtool, mudar para Device Management > Advanced Shell. As consolas e o acesso SSH são explicados em Gerir o Sophos Firewall por SSH.

Verificar ligação, velocidade e negociação

Exemplo para PortF1:

ethtool PortF1

O comando não efetua alterações. Uma saída abreviada pode, por exemplo, apresentar:

Speed: 10000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes

Neste exemplo, existe uma ligação física de 10 Gbit/s em full duplex. Ainda não fica confirmado se VLAN, configuração IP, routing e regras de firewall estão corretos. São especialmente relevantes:

Link detected: yes para uma ligação física detetada
a velocidade esperada, por exemplo Speed: 10000Mb/s
Duplex: Full
os modos de ligação suportados e atualmente utilizados
o estado de Auto-negotiation

Estes valores são indícios e têm de corresponder ao equipamento do outro lado. Link detected: yes ainda não comprova um percurso de dados funcional. Por outro lado, Speed: Unknown! não comprova por si só um transceiver avariado, porque o controlador e o tipo de porta podem influenciar a saída.

Se uma interface XGS 10G física ou baseada em LAG permanecer down com Auto-negotiation, o artigo Configurar e testar LAG com LACP descreve o erro NC-94073, ainda listado, e a solução alternativa manual oficial para 10 Gbit/s.

Ler dados do transceiver e valores óticos

O EEPROM do módulo pode ser lido da seguinte forma, desde que o módulo e o controlador o suportem:

ethtool -m PortF1

A saída pode mostrar, entre outros:

identificador e conector
tipo de transceiver e comprimento de onda
comprimento de fibra previsto
fabricante, part number e número de série
temperatura e tensão
potência ótica de transmissão e receção
limites de alarme e aviso

A potência RX e TX só deve ser avaliada em relação aos valores limite indicados pelo módulo específico ou pela respetiva ficha técnica. Limites genéricos em dBm seriam incorretos porque o padrão, a distância e a ótica variam.

Nem todos os módulos disponibilizam Digital Diagnostic Monitoring. Uma saída vazia ou Operation not supported significa apenas que os dados EEPROM ou de diagnóstico não estão disponíveis através deste controlador. Isto não comprova uma avaria. Por outro lado, dados de módulo legíveis também não comprovam uma ligação estável.

A saída pode conter o fabricante e números de série. Antes de uma captura de ecrã pública ou de um pedido de suporte, devem ocultar-se os dados do equipamento que não sejam necessários.

Procurar oscilações da ligação no buffer do kernel

Em interrupções curtas, uma pesquisa só de leitura na Advanced Shell pode ajudar:

dmesg | grep PortF1

Mensagens repetidas de link-up/link-down são compatíveis com problemas de fibra, módulo, equipamento do outro lado ou negociação. dmesg contém apenas o buffer atual do kernel e não substitui a monitorização de longo prazo.

Variantes que alteram o estado ou interrompem o funcionamento, como ethtool -s, ethtool -r ou alterações ao EEPROM, não fazem parte de um diagnóstico normal. Podem alterar a ligação, o acesso administrativo ou o estado do módulo.

Isolar uma ligação inexistente ou instável

Os resultados podem ser investigados da seguinte forma:

A interface permanece em Unplugged: verificar o tipo de porta, a velocidade suportada, a compatibilidade do módulo, o encaixe do transceiver, a fibra, a polaridade TX/RX e a porta do outro lado.
Os dados do módulo são legíveis, mas a ligação permanece down: garantir o mesmo padrão e a mesma velocidade nas duas extremidades; comparar Auto-negotiation e FEC. Depois, substituir individualmente a fibra e os módulos por componentes conhecidos e funcionais.
A ligação só fica up esporadicamente: limpar os conectores, verificar o raio de curvatura e a temperatura, comparar os valores RX/TX com os limites do módulo e procurar oscilações em dmesg.
A ligação está up, mas lenta ou com erros: verificar a velocidade e o duplex negociados, os contadores do switch, os valores óticos e o FEC. Avaliar primeiro o desempenho com um segundo equipamento de teste antes de considerar a firewall como causa.
A ligação está estável, mas não há tráfego: verificar agora a marcação VLAN, LAG, zona, endereço IP, gateway, routing e regras de firewall. Para VLAN, ajuda Configurar e testar VLAN no Sophos Firewall.

Deve substituir-se apenas um componente de cada vez e documentar o resultado. Assim, continua a ser possível identificar se a causa foi o módulo, a fibra, a porta da firewall ou o equipamento do outro lado.

Se um módulo compatível e uma fibra conhecida e funcional também não produzirem uma ligação estável numa porta corretamente configurada, devem guardar-se as saídas, os carimbos de data/hora, a versão SFOS, o modelo do appliance e os part numbers utilizados. O processo seguinte de suporte e RMA está descrito em Verificar um defeito técnico num appliance Sophos.

Swisscom XGS-PON-GBIC num XGS Rev. 2

A atual Sophos Known Issues List apresenta em NC-168210, para SFOS 21.5 GA Build 171, um caso suíço específico: o módulo Swisscom ALL-BM410-XGSPON-GBIC não é suportado nas portas SFP de 1 Gbit/s dos appliances XGS Rev. 2.

A Sophos indica uma porta SFP+ de 10 Gbit/s como alternativa, mas também assinala que o módulo não foi testado internamente nessa porta. Por isso, o funcionamento não é garantido. Para uma ligação de produção, o plano deve incluir compatibilidade da porta confirmada, uma janela de manutenção e uma ligação alternativa ao fornecedor.

O caso demonstra a diferença importante: um módulo pode eventualmente estabelecer uma ligação sem ser considerado uma combinação testada e suportada.