Configurar e testar Wi-Fi diretamente na Sophos Firewall

Uma rede Wi-Fi gerida diretamente na Sophos Firewall é criada em Wireless > Wireless networks. No entanto, o SSID, por si só, não é suficiente: o modo de tráfego escolhido determina se os clientes recebem uma rede própria, ficam na LAN do AP ou são ligados em bridge a uma VLAN. Em seguida, o DHCP, as regras de firewall, o NAT e a atribuição a um ponto de acesso têm de estar em sintonia.

⚠️ Importante: Este guia aplica-se apenas a hardware Wi-Fi gerido diretamente pela Sophos Firewall. Os pontos de acesso AP6 não podem ser geridos através do SFOS. Para vários AP6, o Sophos Central é a forma de gestão prevista e recomendada; em alternativa, um único AP6 pode ser configurado através da respetiva interface local. Por conseguinte, atualmente o Firewall-managed Wireless é relevante sobretudo para instalações APX existentes, o LocalWiFi integrado nos modelos W de secretária e os módulos Wi-Fi compatíveis na Sophos Firewall ou no SD-RED.

Este guia utiliza uma rede Wi-Fi para convidados com Separate zone. É um exemplo fácil de compreender, porque permite separar claramente da LAN interna a rede de clientes, as regras e os destinos permitidos.

Procedimento resumido:

Preparar a Wireless Protection e a zona do AP em Wireless > Wireless settings.
Aceitar o ponto de acesso em Wireless > Access points.
Criar o SSID, a segurança e a rede de clientes em Wireless > Wireless networks.
Adicionar o DHCP, a regra de firewall e o NAT em Network > DHCP e Rules and policies.
Atribuir a Wireless Network ao AP e verificar, com um cliente de teste, o endereço IP, o DNS, a Rule ID e os acessos internos indesejados.

Este guia é adequado para o ponto de acesso?

O SFOS 22 pode gerir pontos de acesso interiores da série APX, o Wi-Fi integrado de uma firewall XGS compatível e módulos de expansão Wi-Fi compatíveis na Sophos Firewall ou no SD-RED. Para dispositivos APX externos, isto inclui APX 120, APX 320, APX 530 e APX 740. O modelo exterior APX 320X e a antiga série AP não são geridos diretamente por uma Sophos Firewall atual.

O AP6 não faz parte deste procedimento. O AP6 é configurado através do Sophos Central ou, no caso de um único dispositivo, através da respetiva interface local. Para a variante Central, consulte os requisitos do Sophos Central Wireless.

A função Wireless local faz parte da Sophos Firewall Base License. É necessário adquirir separadamente um ponto de acesso compatível. No entanto, o APX já se encontra em End-of-Sale e atinge o seu End-of-Life em 31 de dezembro de 2027. Por conseguinte, este guia destina-se sobretudo a ajudar a operar em segurança instalações APX existentes. Para uma nova plataforma Wi-Fi, deve considerar-se o End-of-Life do APX e o AP6 como sucessor ou outros sistemas Wi-Fi atuais.

Escolher o modo Client traffic correto

A decisão em Client traffic é mais importante do que o nome do SSID. Determina se os clientes se encontram no mesmo segmento de rede local de camada 2, quem distribui os endereços IP e que tráfego passa efetivamente pela firewall.

Separate zone

Separate zone cria uma interface Wireless própria com endereço IP próprio e um túnel VXLAN entre o ponto de acesso e a firewall. Os clientes recebem uma sub-rede própria. Desta forma, é possível controlar os acessos de cada rede Wi-Fi através de regras específicas de WiFi para WAN ou de WiFi para LAN. Zonas e interfaces da Sophos Firewall explica como a zona, a interface e o objeto de rede funcionam em conjunto.

Este modo é adequado para convidados, IoT ou outras redes que devam estar separadas da LAN interna. Um hotspot com Captive Portal, palavra-passe diária ou voucher também requer Separate zone.

O VXLAN reduz a MTU utilizável. Os pacotes grandes podem, por isso, causar fragmentação ou perdas de desempenho. A MTU não deve ser alterada preventivamente para um valor genérico. Primeiro, deve verificar-se se apenas as transferências grandes falham ou se os pacotes TCP são transmitidos novamente de forma repetida, os chamados Retransmits; Verificar MTU e MSS na Sophos Firewall explica o procedimento controlado.

Bridge to AP LAN

Bridge to AP LAN coloca os clientes Wi-Fi na mesma rede que o ponto de acesso. Um servidor DHCP existente nessa LAN distribui os endereços dos clientes. É prático, mas não oferece um limite de rede separado para convidados ou dispositivos não seguros.

O percurso dos dados é decisivo: a comunicação dentro da mesma sub-rede pode passar diretamente entre o cliente, o AP e o switch, contornando completamente a Sophos Firewall. Uma regra de firewall no SFOS só pode controlar o tráfego que é efetivamente encaminhado através da firewall.

Com o LocalWiFi integrado, dependendo da geração XGS, é ainda necessária uma interface bridge ou Bridge to Ethernet. Por conseguinte, esta variante só deve ser escolhida se a rede Wi-Fi e a LAN com fios formarem intencionalmente a mesma zona de segurança.

Bridge to VLAN

Bridge to VLAN separa a rede de gestão do ponto de acesso da VLAN dos clientes. A porta do switch ligada ao AP tem de transportar ambas as redes como trunk. No perfil Wi-Fi, Bridge to VLAN ID identifica a VLAN dos clientes; com autenticação Enterprise, esta ID de VLAN dos clientes pode ser definida de forma estática ou através de RADIUS com fallback estático.

O AP deve ser inicialmente ligado à firewall durante pelo menos um minuto através da LAN padrão sem tagging, para receber a respetiva configuração. Em seguida, ativa-se VLAN tagging em Wireless > Access points > AP > Advanced settings e introduz-se a AP VLAN ID para a rede de gestão. Só então se altera a porta do switch para trunk. A VLAN de gestão do AP e a VLAN dos clientes podem utilizar IDs diferentes. A Sophos recomenda que não se misturem Separate zone e redes Wi-Fi VLAN no mesmo AP. O tagging de VLAN no próprio AP não está disponível para o LocalWiFi0 integrado.

Bridge to VLAN evita o percurso VXLAN e é frequentemente mais adequado para ambientes Wi-Fi de maiores dimensões que já estejam devidamente segmentados. Também neste caso se aplica o seguinte: o tráfego dentro da VLAN dos clientes não é inspecionado automaticamente pelo SFOS.

Preparar a rede de exemplo

O exemplo utiliza estes valores:

Nome no SFOS: Guest WiFi
Hardware name imutável: GuestWiFi
SSID visível: Company Guest
Security mode: WPA2 Personal
Client traffic: Separate zone
Zone: WiFi
Rede de clientes: 10.30.40.0/24
Interface e gateway: 10.30.40.1
Intervalo DHCP: 10.30.40.100 a 10.30.40.220
Regra de firewall: WiFi_Guest_to_WAN

10.30.40.0/24 é um exemplo do espaço de endereços privados. Antes de o utilizar, deve escolher-se uma sub-rede livre que não se sobreponha a uma LAN, VPN, RED, VLAN ou localização remota. No exemplo, o primeiro endereço utilizável, 10.30.40.1, pertence à interface Wireless da firewall e é distribuído como gateway.

Para dispositivos APX existentes, WPA2 Personal com AES é a base segura e compatível. Uma palavra-passe longa e única deve ser guardada no gestor de palavras-passe, não em tickets nem em capturas de ecrã. No SFOS 22, a Sophos documenta os modos WPA3 apenas para o Wi-Fi integrado dos modelos XGS 88w, 108w, 118w e 128w; por isso, não se deve planear a utilização de WPA3 com APX.

Configurar uma rede Wi-Fi gerida pelo SFOS

1. Permitir a ligação do ponto de acesso

Num APX externo, a rede de gestão e a rede de clientes Wi-Fi são duas coisas distintas. O AP obtém o seu próprio endereço de gestão por DHCP a partir da rede ligada. Os clientes Wi-Fi posteriores, por outro lado, recebem endereços da rede planeada acima, 10.30.40.0/24.

Abrir Wireless > Wireless settings.
Ativar Enable wireless protection.
Em Allowed zone, selecionar a zona através da qual o AP alcança a firewall, por exemplo LAN.
Certificar-se de que o AP recebe um endereço, gateway e DNS por DHCP.
Verificar se a porta 2712 entre o AP e a firewall não está bloqueada por um switch, uma ACL ou um dispositivo intermédio.
Abrir Wireless > Access points e aceitar um AP pending com Accept.
Definir o Country correto no AP ativo. É esta definição que determina os canais legalmente permitidos. Se o Country de um APX for alterado, deve guardar-se a definição e reiniciar depois o ponto de acesso de forma controlada, para aplicar a nova lista de canais.

A seleção em Allowed zone refere-se ao percurso de gestão do ponto de acesso, não à zona posterior dos clientes Wi-Fi. Se o AP ainda estiver registado noutra Sophos Firewall ou no Sophos Central, terá de ser primeiro eliminado nesse local. Se tal não for possível, terá de ser reposto para as definições de fábrica.

2. Criar a Wireless Network

Em Wireless > Wireless networks > Add, introduzem-se os valores do exemplo:

Name: Guest WiFi
Hardware name: GuestWiFi
SSID: Company Guest
Security mode: WPA2 Personal
Passphrase: uma palavra-passe longa e única
Client traffic: Separate zone
Zone: WiFi
IP address: 10.30.40.1
Netmask: /24

O Hardware name pode ter, no máximo, dez caracteres compostos por letras, números e sublinhados e não pode ser alterado posteriormente. O Name e o SSID, por outro lado, podem ser adaptados à convenção de nomes da organização.

Em Advanced settings, estas opções são adequadas para o exemplo de convidados:

Encryption: AES
Frequency band: apenas as bandas suportadas pelo modelo utilizado e pelos respetivos módulos de rádio
Client isolation: ativar se não forem pretendidas ligações diretas entre convidados
Hide SSID: deixar desativado
Fast transition: não é suportado pelo APX
Time-based access: utilizar apenas com uma janela de manutenção planeada

Client isolation bloqueia apenas a comunicação direta entre clientes do mesmo SSID e no mesmo rádio. Não substitui a separação através de zonas, VLAN e regras de firewall entre vários AP ou módulos de rádio. Um SSID oculto também não é um controlo de segurança; apenas impede a apresentação visível do nome da rede.

Com Wi-Fi integrado, a operação simultânea em banda dupla depende do hardware. XGS 87w e 107w transmitem apenas em 2.4 GHz ou 5 GHz. XGS 116w, 126w e 136w necessitam de um segundo módulo de rádio para utilizar ambas as bandas. XGS 88w, 108w, 118w e 128w podem utilizar ambas as bandas em simultâneo sem um módulo adicional.

Ao ativar uma programação Wireless, o SFOS reinicia o hostapd. Isto desliga brevemente todos os clientes Wi-Fi do ponto de acesso afetado, não apenas os clientes desse SSID. Os dispositivos deverão voltar a ligar-se automaticamente.

3. Adicionar DHCP para a rede de clientes

Para Separate zone, não é fornecido automaticamente um servidor DHCP completo para os clientes. Por isso, em Network > DHCP > Server > Add, cria-se, por exemplo, esta configuração:

Name: dhcp-wifi-guest
Interface: Guest WiFi
Dynamic IP lease: 10.30.40.100 a 10.30.40.220
Subnet mask: /24
Gateway: Use interface IP as gateway
DNS server: adequado à arquitetura DNS da organização
Conflict detection: ativado

O intervalo começa intencionalmente acima do endereço IP da interface e deixa espaço para endereços reservados. Numa rede Wi-Fi para convidados com muita rotatividade, uma concessão mais curta do que numa rede de escritório estável pode ser útil. Concessões extremamente curtas, por outro lado, geram renovações desnecessárias.

A escolha dos servidores DNS distribuídos é uma decisão de segurança e operação. Os servidores DNS internos do AD não devem ser disponibilizados aos convidados apenas por conveniência. Configurar a Sophos Firewall como servidor DHCP explica o planeamento completo e a verificação das concessões.

4. Verificar a regra de firewall, o NAT e os serviços locais

Em Rules and policies > Firewall rules > Add firewall rule > New firewall rule, cria-se uma regra para o acesso pretendido à Internet. O formulário completo, a ordem das regras e as Security Features são explicados no artigo sobre regras da Sophos Firewall.

Rule name: WiFi_Guest_to_WAN
Action: Accept
Log firewall traffic: ativado
Source zones: WiFi
Source networks and devices: objeto de rede para 10.30.40.0/24
Destination zones: WAN
Destination networks: Any
Services: apenas os serviços necessários para a rede Wi-Fi de convidados
Security features: políticas Web, Application e IPS adequadas de acordo com a licença e a finalidade

Um objeto de rede descritivo como net_WiFi_Guest torna a regra mais restrita e compreensível do que Source networks: Any. A seleção dos serviços depende de o DNS e o NTP serem utilizados localmente na firewall ou diretamente no exterior. Uma autorização genérica com Any é prática, mas dificulta a verificação posterior.

Além disso, uma regra NAT tem de traduzir o tráfego de saída para o endereço WAN. A regra SNAT predefinida existente com MASQ já abrange frequentemente novas redes internas, mas isto deve ser verificado no conjunto de regras específico, em vez de se criar uma segunda regra NAT por precaução. Compreender o NAT na Sophos Firewall explica esta relação.

Uma regra de WiFi para WAN não impede automaticamente os acessos através de regras amplas de WiFi para LAN ou Any que já existam. Por isso, deve verificar-se toda a ordem das regras quanto a autorizações internas. Se os clientes da mesma rede do tipo Separate zone tiverem de comunicar entre si através de vários AP, é também necessária uma regra de WiFi para WiFi. Numa rede Wi-Fi para convidados, esta comunicação só deve ser permitida intencionalmente.

O acesso à própria firewall não é controlado pela regra de firewall normal. Por predefinição, o SFOS permite HTTPS e SSH a partir da zona WiFi. Por conseguinte, em Administration > Device access, devem remover-se, para uma rede Wi-Fi de convidados, as caixas de seleção WiFi de HTTPS, SSH e de todos os outros serviços locais desnecessários. O DNS só deve permanecer permitido se os clientes utilizarem efetivamente a firewall como resolver. Device Access e Local Service ACL explica os motivos.

5. Atribuir a rede Wi-Fi a um ponto de acesso

Uma Wireless Network guardada ainda não é transmitida por nenhum ponto de acesso:

Abrir Wireless > Access points.
Abrir o ponto de acesso ativo através do respetivo nome ou de Edit.
Verificar o Country correto.
Em Wireless networks, clicar em Add new item.
Selecionar Guest WiFi, confirmar com Apply e clicar em Save.

Com vários pontos de acesso, é mais claro utilizar um grupo em Wireless > Access point groups. Desta forma, os SSID são atribuídos de modo consistente e não são geridos de forma diferente em cada AP. É possível atribuir até oito Wireless Networks a um AP.

Testar a rede Wi-Fi de forma controlada

A validação não deve terminar em «o SSID está visível». Com um cliente de teste, deve verificar-se se a rede e as regras planeadas estão efetivamente a ser utilizadas:

Em Wireless > Access points, o AP tem de estar ativo. A interface Wireless permanece em Unplugged em Network > Interfaces enquanto não estiver ligado nenhum AP com esta Wireless Network.
Ligar a Company Guest e verificar o AP, o SSID, a frequência e o sinal em Wireless > Wireless client list.
Em Network > DHCP > IPv4 lease, verificar se o cliente recebeu um endereço entre 10.30.40.100 e 10.30.40.220.
Verificar o endereço IP, o gateway e o DNS no cliente. No Windows, estes comandos são úteis:

ipconfig /all
nslookup example.com

Testar uma ligação permitida à Internet e, intencionalmente, um destino interno não permitido.
No Log Viewer, filtrar pelo endereço IP do cliente e verificar os valores esperados de Firewall Rule ID e NAT Rule ID.

O sucesso não consiste apenas no acesso à Internet. O cliente tem de utilizar o gateway correto e os servidores DNS previstos, permanecer separado de destinos internos não autorizados e passar exatamente pelas regras de firewall e NAT esperadas. Testar corretamente as regras de firewall mostra o procedimento geral de verificação.

Identificar erros comuns

O SSID não é apresentado

Primeiro, deve verificar-se se a Wireless Protection está ativa, se a zona de gestão do AP consta de Allowed zone e se o ponto de acesso está active, em vez de pending ou inactive, em Wireless > Access points. Em seguida, verificam-se o Country, a Wireless Network atribuída, a Frequency band e uma possível programação.

Uma rede guardada sem atribuição a um AP não é transmitida. No Wi-Fi integrado, as limitações do modelo relativas às bandas de rádio ou um modo de encriptação antigo não suportado também podem impedir que o perfil seja associado a LocalWiFi0.

A interface Separate zone permanece `Unplugged`

O estado Unplugged é normal enquanto nenhum ponto de acesso estiver ligado ou a Wireless Network não estiver atribuída a um AP. Se o estado persistir apesar de um APX ativo e de uma atribuição correta, deve verificar-se o caminho de gestão do ponto de acesso.

No SFOS 21.5 MR1 Build 261, isto pode ocorrer quando o endereço IP da firewall utilizado pela rede de gestão do APX está configurado como alias em vez de diretamente na interface principal (NC-175920). O SFOS não consegue então criar o túnel VXLAN para Separate zone. A solução consiste em mover o APX para uma rede de gestão cujo endereço IP da firewall esteja configurado diretamente na interface principal. O endereço IP alias não deve ser eliminado sem confirmar primeiro a causa.

A alteração interrompe as redes Wi-Fi transmitidas pelo AP. Por isso, devem verificar-se previamente o DHCP, o gateway, Allowed zone e a porta 2712 na rede de destino, e efetuar a alteração durante uma janela de manutenção. Depois, devem confirmar-se o estado do AP, a atribuição da rede Wi-Fi, o estado da interface e a ligação de um cliente de teste. A Sophos não indica uma versão corrigida; noutras versões do SFOS, o estado Unplugged por si só não comprova este problema.

O cliente não recebe um endereço IP

Com Separate zone, o servidor DHCP tem de estar na interface Wireless criada e o intervalo tem de corresponder à rede da interface. Com Bridge to AP LAN, responde o servidor DHCP da LAN do AP. Com Bridge to VLAN, devem verificar-se em conjunto o trunk do switch, a ID de VLAN e o servidor DHCP acessível na VLAN dos clientes.

O DHCP de gestão do AP e o DHCP dos clientes não devem ser confundidos: o AP pode estar online mesmo que ainda não exista um servidor DHCP funcional para os clientes Wi-Fi.

O cliente tem um endereço IP, mas não tem Internet

Nesse caso, o DHCP e a ligação Wi-Fi já funcionam e a verificação seguinte incide sobre a política propriamente dita. Em seguida, verificam-se o gateway e o DNS, a regra de WiFi para WAN, a ordem das regras, o logging e a regra MASQ/SNAT adequada. O Log Viewer mostra se foi utilizada a Firewall Rule ID prevista ou se a regra implícita #0 descartou o tráfego.

Se o cliente aceder à Internet, mas também a sistemas internos, isso não representa um resultado bem-sucedido para uma rede Wi-Fi de convidados. Neste caso, estão provavelmente a ser aplicadas regras de WiFi para LAN, Any ou regras de rede demasiado abrangentes.

A ligação do AP ou a comunicação dos clientes continua por esclarecer

O tráfego da firewall só aparece de forma fiável no Log Viewer se Log firewall traffic estiver ativado na regra e o tipo de log Firewall estiver ativo em System services > Log settings > Local reporting. Os próprios eventos Wireless não estão disponíveis nesse local como um tipo de log Wireless local normal; em System services > Log settings, podem ser enviados para o Sophos Central ou para um servidor syslog.

Para um diagnóstico mais aprofundado, a Sophos documenta o awed.log para a comunicação entre a firewall e o APX, o wc_remote.log para os clientes Wireless e o hostapd.log para o LocalWiFi. Verificar serviços e logs da Sophos Firewall através da CLI explica como ler estes logs sem reiniciar serviços de forma descontrolada.

As transferências grandes são lentas ou falham

Se apenas os pacotes maiores ou as transferências mais longas forem afetados, a encapsulação VXLAN de Separate zone pode desempenhar um papel. Não existe um valor de MTU universalmente válido. Primeiro, devem documentar-se a Rule ID, o percurso dos dados, os Retransmits e um teste de aplicação reproduzível. Só depois de comprovado um problema de MTU/MSS se deve efetuar uma alteração controlada e repetir o mesmo teste.