Escolher o modo de funcionamento correto do Sophos RED

O modo de funcionamento de uma Sophos SD-RED não é uma opção secundária. Determina quem fornece DHCP e gateway no local remoto, que tráfego atravessa o túnel RED, se o acesso à internet é inspecionado centralmente e o que continua a funcionar quando o túnel falha. Um túnel Site-to-Site RED entre duas Sophos Firewall é outro design e não utiliza estes quatro modos de funcionamento.

Para novas filiais geridas centralmente, Standard/Unified é normalmente o ponto de partida mais claro. Standard/Split poupa largura de banda no túnel, mas retira o tráfego de internet local do controlo central. Transparent/Split integra a RED numa rede existente. Manual/Split é um projeto especial de cablagem e routing para autonomia da internet local, não um modo rápido comum.

O modo de funcionamento deve ser decidido antes de configurar DHCP, VLANs, regras de firewall e o rollout. Uma alteração posterior muda o caminho dos dados e exige uma janela de manutenção com testes funcionais controlados.

Este guia aplica-se ao SFOS 22.0 e aos modelos SD-RED 20 e SD-RED 60 suportados por esta versão. RED 15/15w e RED 50 deixaram de estabelecer ligação a partir do SFOS 20.0 MR1. As interfaces Firewall RED legacy entre UTM e SFOS têm de ser substituídas e eliminadas antes da atualização para SFOS 22.0; caso contrário, atualização, restauro e importação ficam bloqueados. A partir do SFOS 21.0 MR2 e 21.5 MR1, os hosts de sistema RED recebem automaticamente uma máscara /32. Em Hosts and services > IP host, abra Usage para cada host de sistema RED e, quando antes se pretendia abranger toda a sub-rede da interface, substitua-o nas regras e rotas dependentes pelo host IP ou de rede correto. Por isso, estas verificações de migração devem fazer parte do plano de alteração antes de uma migração de hardware ou da firewall.

Os quatro modos RED em resumo

Este resumo ajuda na escolha inicial, mas não substitui a análise do comportamento em caso de falha, das VLANs e da segurança. Em particular, Split não significa automaticamente fail-open e Transparent não significa automaticamente que as tags VLAN são encaminhadas.

Standard/Unified: Tudo através da central

Em Standard/Unified, a Sophos Firewall fornece DHCP e gateway predefinido através da interface RED. A SD-RED encaminha todo o tráfego pelo túnel encriptado, incluindo o tráfego de internet da filial.

Isto proporciona o maior controlo central. Regras de firewall, Web Policies, IPS, Application Control, relatórios e acesso central à internet podem ser aplicados de forma consistente na sede. Ao mesmo tempo, aumentam as exigências sobre o túnel e a ligação WAN central, porque o tráfego normal de internet da filial também percorre duas vezes o caminho entre os locais.

Se o túnel RED falhar, os clientes não perdem apenas o acesso às redes internas. Como o gateway está na Sophos Firewall do outro lado do túnel, normalmente também perdem o acesso à internet. Standard/Unified é adequado quando a segurança central é mais importante do que manter a internet local durante uma falha do túnel.

Quando Standard/Unified é adequado

• Todo o tráfego do local deve ser inspecionado e registado centralmente.
• DHCP, encaminhamento DNS, regras e acesso à internet devem convergir na Sophos Firewall.
• A capacidade WAN central é suficiente para o tráfego de internet adicional da filial.
• Uma falha do túnel pode colocar o local offline de forma controlada, ou existe um segundo uplink RED já testado.
• É necessário transportar VLANs através de uma SD-RED 60.

Standard/Split: Redes centrais através do túnel

Com Standard/Split, a Sophos Firewall continua a ser o servidor DHCP e o gateway predefinido da rede fornecida pela RED. Apenas as redes de destino introduzidas em Split networks atravessam o túnel. Os outros destinos, normalmente a internet, saem do local através da ligação WAN local da RED.

Isto alivia o túnel e a ligação central à internet. Em contrapartida, existe um limite de segurança claro: a Sophos mascara o tráfego de internet local na RED, mas a firewall central não o pode inspecionar com as suas regras de firewall, web ou IPS. Para a central, este caminho não é tráfego de internet encaminhado normalmente.

Em Split networks são usadas redes IP. Os objetos de host FQDN não são suportados aqui. Os frames já marcados com VLAN também não pertencem ao caminho de dados de Standard/Split. Apenas a rede DHCP fornecida diretamente pela RED obtém acesso local à internet neste modo.

Standard/Split também não é um projeto fail-open geral. Se o túnel falhar, a documentação da Sophos indica que os clientes da rede fornecida pela firewall perdem tanto os destinos centrais como o acesso à internet. Se a internet local tiver de funcionar independentemente do túnel, é necessário planear e testar outro projeto.

Quando Standard/Split é adequado

• A filial necessita apenas de algumas redes claramente definidas na central.
• O breakout local para internet é intencional e pode ficar fora das políticas Sophos centrais.
• A Sophos Firewall pode gerir a rede remota por DHCP.
• Não é necessário tagging VLAN através do túnel RED.
• O caminho de falha foi testado e não é confundido com Manual/Split.

Transparent/Split: RED na rede existente

Transparent/Split é adequado para locais remotos onde router, DHCP, DNS e gateway predefinido já existem e devem permanecer. A RED funciona de forma transparente na rede Layer 2 existente. Apenas as redes ou os domínios split configurados são direcionados pelo túnel para a central.

Este modo evita alterar o gateway dos clientes. No entanto, a resolução de problemas torna-se mais exigente: DHCP, DNS e o caminho normal da internet continuam na rede local, enquanto destinos selecionados são desviados através da RED. Os testes devem mostrar separadamente que caminho permanece local e qual entra realmente no túnel.

Transparent/Split não transporta frames marcados com VLAN. Um uplink de failover 3G/4G também não está disponível neste modo. Para um módulo wireless, o servidor DHCP remoto tem de transmitir ao access point a opção DHCP 234 com o endereço IP da interface RED no local da firewall; não se trata do endereço do AP, de um endereço da filial nem do endereço público da firewall.

Quando Transparent/Split é adequado

• O router existente deve continuar a fornecer DHCP, DNS e gateway predefinido.
• Apenas redes ou domínios centrais selecionados devem ser acessíveis através da RED.
• A RED pode ser integrada corretamente inline na rede existente.
• O local não necessita de tags VLAN através deste caminho RED.
• O tráfego local e o tráfego no túnel podem ser verificados separadamente com Packet Capture e testes a destinos reais.

Manual/Split: Gateway local com rotas estáticas

Numa SD-RED, Manual/Split descreve principalmente um projeto de rede criado deliberadamente de forma manual. Os lados WAN e LAN da RED são integrados na infraestrutura existente para que o router continue a ser o gateway predefinido. Esse router recebe rotas estáticas para a RED destinadas às redes centrais.

A vantagem é a autonomia local: o acesso normal à internet pode continuar mesmo que o túnel RED ou a própria RED falhe. A desvantagem é o trabalho adicional de planeamento. Caminhos de retorno, rotas estáticas, comportamento ARP e cablagem física têm de estar corretos. Um next hop incorreto pode desviar o tráfego central do túnel ou encaminhá-lo para um beco sem saída durante uma falha.

A Sophos descreve para este fim uma implementação física manual e uma configuração RED baseada no esquema Standard/Unified, enquanto o gateway existente e as rotas estáticas determinam a divisão. Por isso, o nome não deve ser tratado como um interruptor independente e autoexplicativo.

Manual/Split pertence apenas a um projeto documentado com:

• um gateway local alternativo
• rotas estáticas para cada rede de destino central
• um caminho de retorno verificado a partir da central
• acesso de gestão independente
• testes com túnel ativo, túnel desligado e RED desligada

Opções Layer 2 e de expansão

Utilizar várias RED numa rede bridge partilhada

Um Bridged RED setup não é um quinto modo de funcionamento. Nesta arquitetura, pelo menos duas interfaces RED existentes são agrupadas numa bridge na Sophos Firewall. As redes RED remotas passam a comportar-se como uma LAN partilhada, enquanto as regras de firewall podem continuar a limitar o tráfego entre as localizações RED.

A bridge é criada em Network > Interfaces > Add interface > Add bridge. Define-se um nome claro e a interface bridge e, depois, selecionam-se as interfaces RED necessárias com as respetivas zonas como Member interfaces. O plano de endereçamento, a responsabilidade pelo DHCP e todos os membros da bridge têm de ser coordenados antecipadamente; vários servidores DHCP não coordenados ou endereços IP duplicados passariam a atuar na mesma rede Layer 2.

Recomendamos esta arquitetura apenas quando várias filiais necessitam realmente do mesmo domínio de broadcast. Para localizações normalmente separadas, as redes RED encaminhadas são mais fáceis de isolar, monitorizar e alterar de forma independente. Depois de guardar, devem ser verificados DHCP, ARP, o tráfego entre localizações, a regra de firewall responsável e um tráfego bloqueado intencionalmente. Um túnel RED verde confirma os túneis individuais, mas não a bridge nem as respetivas regras.

Um segundo uplink e uma segunda firewall não são modos

A configuração RED pode incluir ainda um segundo endpoint de firewall e, consoante o modelo e o modo, um segundo uplink. Estas opções complementam o caminho escolhido, mas não o substituem.

Um segundo endpoint de firewall pode ser usado para failover ou balanceamento de carga. Um segundo uplink pode proteger o estabelecimento do túnel. Quando ambos os uplinks estão definidos como Static, os endereços IP dos respetivos servidores DNS têm de ser diferentes; não são necessários fornecedores DNS diferentes. A RED verifica a entrada de rota do primeiro uplink para a resolução DNS. Se esse gateway não responder, considera o IP do servidor DNS inacessível e não volta a tentar o mesmo endereço IP através do segundo uplink.

Os testes devem permanecer separados:

1. Primeiro, o modo RED selecionado deve funcionar corretamente através do uplink principal.
2. Depois testa-se um failover controlado do uplink.
3. Em seguida verificam-se novamente o estado RED, DHCP, os destinos centrais e o caminho da internet.
4. Em ambientes HA, acrescenta-se um teste separado de failover da firewall; o túnel RED precisa de tempo para se restabelecer após a mudança de função.

Um estado verde do túnel não comprova, por si só, o caminho correto da internet nem o funcionamento das políticas de segurança.

VLANs e modos das portas LAN na SD-RED 60

A SD-RED 60 pode transportar VLANs através do túnel, mas apenas em Standard/Unified. Além disso, cada porta LAN define como a RED trata os frames marcados e não marcados.

• Tagged: Apenas as VLANs configuradas são encaminhadas com tag. VLANs não configuradas e frames sem tag são descartados. Podem ser introduzidas até 64 VLAN ID por porta.
• Untagged, drop tagged: Os frames sem tag são atribuídos à VLAN configurada; os frames já marcados são descartados. Isto corresponde a uma porta de acesso controlada.
• Disabled: A porta LAN descarta o tráfego.
• Untagged: Os frames sem tag recebem a VLAN ID configurada, enquanto os frames já marcados são encaminhados sem alterações. Só é possível uma configuração VLAN por porta. Trata-se de uma porta híbrida, não de um trunk livremente configurável; as VLANs permitidas continuam a ter de ser controladas no switch ligado e na firewall.

A Sophos Firewall precisa de uma interface VLAN correspondente na interface RED para cada VLAN utilizada. VLAN ID, rede IP, DHCP, modo da porta RED e configuração do switch têm de corresponder exatamente. O procedimento completo encontra-se em Configurar e testar uma VLAN na Sophos Firewall.

Planear separadamente o comportamento wireless

Antes de configurar um módulo wireless, tem de existir uma interface RED com um endereço IP, e a resolução DNS tem de funcionar nessa interface específica. Um módulo wireless opcional da SD-RED 20 ou 60 pode usar três caminhos de dados diferentes:

• Separate zone: O tráfego wireless chega à firewall através de VXLAN, independentemente do modo RED. A Sophos Firewall tem de permitir explicitamente o tráfego da zona separada para a interface RED; isto não implica uma autorização geral para a WAN.
• Bridge to AP LAN: A rede wireless é ligada à LAN local do access point.
• Bridge to VLAN: A rede wireless é atribuída a uma VLAN; o comportamento exato depende do modo RED e da configuração VLAN.

Em Standard/Unified e Standard/Split, tem de estar ativo um servidor DHCP corretamente configurado na interface RED. No cenário wireless documentado de Transparent/Split, a rede remota fornece DHCP e DNS, e a interface RED tem de obter o seu endereço IP do servidor DHCP remoto. Esse servidor tem de fornecer a opção 234 com o endereço IP da interface RED no local da firewall. Sem esta opção, o valor de recurso documentado é 1.2.3.4: é uma indicação de diagnóstico de que falta a opção, não um endereço a configurar em produção. Por isso, as definições wireless, o modo da porta LAN e o modo RED devem ser validados como um único projeto, não como três menus independentes.

Bridge to VLAN não transforma um modo split em transporte VLAN geral. Em Standard/Split, os clientes wireless alcançam hosts locais com a mesma tag e, se existir na interface RED, a interface VLAN no endpoint do túnel. Não alcançam as redes split configuradas, porque a RED só as encaminha para pacotes sem tag. Em Transparent/Split, a mesma VLAN estende-se localmente pelas portas LAN 1–4 e pela porta WAN; as redes split continuam inacessíveis por este caminho wireless.

Configurar e testar o modo com segurança

Pré-requisitos e campos exatos

Primeiro, ativar o serviço em System services > RED. Depois, criar ou editar o equipamento em Network > Interfaces > Add interface > Add RED. Os campos principais são RED ID, Unlock code, Firewall IP/hostname, Device deployment, Uplink connection, RED operation mode, RED IP, Zone, Configure DHCP, RED DHCP range e, nos modos split, Split network.

No deployment automático, a RED tem de iniciar pelo menos uma vez numa rede com DHCP e acesso à internet para descarregar a configuração. Um uplink estático exige deployment manual por pen USB. O caminho deve permitir TCP 3400, UDP 3410 e NTP 123: a configuração e o canal de controlo usam TCP 3400 e o túnel de dados Layer 2 usa UDP 3410. Sem um endereço WAN por DHCP, o equipamento reinicia repetidamente durante o deployment automático.

Recomendamos uma zona dedicada do tipo LAN ou DMZ em vez da zona LAN geral. Se a alteração de RED IP mover a interface RED para uma sub-rede que já não contém o RED DHCP range existente, o SFOS desativa o servidor DHCP da RED. Esta dependência deve ficar registada no plano de alteração.

Alinhar routing, regras de firewall e NAT com o modo

Criar regras em Rules and policies > Firewall rules apenas entre a zona RED e as zonas de destino necessárias. Usar Any para redes e serviços só num teste funcional com tempo limitado; em produção, restringir origens, destinos e serviços ao necessário. Em Standard/Unified, uma regra RED-to-LAN não substitui uma regra RED-to-WAN; o caminho central para a internet também exige uma regra SNAT adequada.

Em Standard/Split, a própria RED mascara o tráfego de internet local com o respetivo endereço público. Este caminho não aparece na firewall central e não necessita aí de uma regra WAN SNAT. O tráfego central no túnel precisa, porém, de rotas de ida e volta corretas e regras correspondentes; as regras NAT existentes não devem traduzir involuntariamente as redes de origem ou destino. Em Manual/Split, testar como um par as rotas estáticas no gateway da filial e o caminho de retorno na central.

Alterar o modo com um rollback que preserva o estado

Antes da alteração, registar a configuração RED completa, RED IP, zona, intervalo e opções DHCP, redes split, rotas estáticas, regras de firewall e NAT, interfaces VLAN, modos das portas LAN e um caminho de gestão independente. Guardar também a última configuração funcional do router e das portas do switch envolvidas. Alterar uma camada de cada vez: primeiro modo e rede RED, depois DHCP, routing e regras e, por fim, VLAN ou wireless.

Se a validação falhar, não introduzir mais alterações em paralelo. Repor RED operation mode, RED IP, zona, DHCP e redes split nos valores registados, restaurar as rotas e regras anteriores e renovar a lease num cliente de teste. O rollback só termina quando gateway, DNS, destino central, caminho da internet e Rule ID voltarem a corresponder ao estado inicial. Manual/Split também exige restaurar a cablagem original.

O procedimento prático com provisioning, LEDs, regras, desempenho e resolução de problemas encontra-se em Configurar e resolver problemas da Sophos SD-RED. O modo exige ainda a validação do caminho real:

1. Um cliente recebe o endereço IP esperado, os servidores DNS e o gateway correto.
2. Uma rede de destino definida na central está acessível.
3. Log Viewer ou Packet Capture mostra a Firewall Rule ID esperada e o caminho RED.
4. Um teste de internet mostra a saída pública esperada, central ou local.
5. Uma aplicação permitida e outra bloqueada confirmam onde a política de segurança é realmente aplicada.
6. VLANs e redes wireless são testadas individualmente, não apenas com um ping geral.
7. Uma falha planeada do túnel ou uplink confirma o comportamento documentado.

Se o túnel estiver verde mas o caminho continuar pouco claro, Utilizar corretamente Packet Capture na Sophos Firewall pode ajudar. Em locais de produção, não se devem alterar simultaneamente o modo, DHCP, VLANs e regras de firewall. Caso contrário, será difícil atribuir uma falha a uma camada específica.

Resolver problemas pelo caminho dos dados

• A RED reinicia repetidamente ou não estabelece o túnel: verificar primeiro DHCP na WAN, DNS e internet na filial; depois TCP 3400, UDP 3410 e sincronização NTP 123. Num deployment manual offline, uma hora incorreta pode impedir o handshake TLS.
• O túnel está verde, mas não passa tráfego: procurar a Firewall Rule ID esperada no Log Viewer e verificar rotas e regras NAT para o par origem/destino exato. Na Advanced Shell, a captura só de leitura documentada pela Sophos tcpdump -ni any port 3410 mostra se o tráfego RED chega à firewall. Não comprova que uma regra permita o tráfego nem que os dados sigam o caminho correto; depois deve executar-se Packet Capture com filtro de cliente e destino.
• Só falham destinos split: confirmar que a rede de destino completa está em Split network. Hosts FQDN não são suportados. Em Transparent/Split, testar separadamente o DNS local ou split DNS.
• Só falha tráfego VLAN: verificar primeiro o modo. A SD-RED 60 só transporta VLANs no túnel em Standard/Unified. Depois comparar VLAN ID, interface VLAN na interface RED, modo da porta LAN, tagging do switch, DHCP e regra específica da VLAN.
• Ocorreu um failover HA: o SFOS documenta um atraso de reconexão que varia consoante o número de interfaces e outras definições. Aguardar que o túnel seja restabelecido e repetir o teste completo sem alterar simultaneamente os parâmetros RED.

Equívocos comuns

Split não significa automaticamente internet durante uma falha do túnel

Standard/Split usa breakout local para internet, mas os clientes continuam dependentes da rede RED fornecida pela firewall. A Sophos também documenta nesse caso a perda do acesso à internet quando o túnel falha. Manual/Split é o projeto separado para um gateway local existente.

Transparent não significa passthrough Layer 2 arbitrário

Transparent/Split integra a RED numa rede existente, mas não transporta frames marcados com VLAN por este caminho. DHCP, DNS e as opções wireless também têm de ser planeados conscientemente.

Um túnel verde não comprova que o modo está correto

O estado do túnel confirma a ligação à firewall. Apenas testes de DHCP, routing, internet, regras e falhas mostram se o modo selecionado corresponde ao projeto pretendido.