Sophos Firewall: konfigurera Cellular WAN och testa 4G/5G-failover

Cellular WAN används oftast som reservanslutning i en Sophos Firewall. På tillfälliga platser kan mobilnätet även vara huvudanslutning om abonnemang, täckning, latens och driftsrisk är lämpliga. För att 4G eller 5G verkligen ska ta över vid ett avbrott räcker det inte att SIM och APN är korrekta: även gateway-övervakning, SD-WAN-regler, brandväggsregler och återgången till huvudanslutningen måste ingå i testet.

Den tillförlitliga ordningen är: kontrollera maskinvara och abonnemang, konfigurera WWAN1, fastställ failover-logiken och testa sedan failover och failback med verklig applikationstrafik.

Förutsättningar och planering

Före konfigurationen behövs:

• ett 4G/5G-modem eller en Sophos-modul som är kompatibel med brandväggsmodellen och SFOS-versionen
• ett aktivt SIM-kort med lämpligt abonnemang, PIN och APN
• operatörens användarnamn och lösenord vid behov
• information om datamängd, offentlig IP-adress eller CGNAT
• tillräcklig täckning och korrekt anslutna antenner
• en lista över tjänster som måste fortsätta fungera via reservanslutningen
• ett testfönster där huvudanslutningen kan brytas kontrollerat

Långa eller dåliga antennkablar kan upphäva fördelen med en bättre antennplacering.

För ett äldre USB-modem ska den officiella USB-kompatibilitetsmatrisen för SFOS 22 endast användas som historisk uppslagskälla. Matrisen är daterad 2024-08-19, är vägledande, uppdateras inte längre och är inget godkännande för ett nyinköp. Dokumentera exakt tillverkare, modell och operatör samt den Default ID som visas vid första identifieringen och den Modem ID som modemfunktionen visar efter lägesväxlingen. Likely är endast en historisk indikation. Unlikely, en enhet som saknas i listan eller avvikande ID innebär att enheten inte är validerad. Not compatible innebär att enheten ska avvisas.

Godkänn inte ett modem enbart utifrån matrisens klassning. Vid acceptanstest i drift måste brandväggen identifiera det, skapa WWAN1, få förväntad IP-adress och gateway, överföra representativ trafik och genomföra kontrollerad failover och failback. Dokumentera resultaten tillsammans med enhetens identitet och ID:n.

För Sophos egna moduler är den aktuella tilldelningen mer specifik: Sophos 5G module Gen.2 är dokumenterad för XGS 118/118w, 128/128w och 138/138w; dessa enheter kräver minst SFOS 20 MR2. Sophos 5G module Gen.1 anges för XGS 116/116w, 126/126w och 136/136w. Kontrollera därför både modul- och brandväggsgeneration innan enheten stängs av och modulen installeras. De maxvärden som Sophos anger, upp till 4,5 Gbps nedladdning och 660 Mbps uppladdning, beskriver radiomodulen och inte en garanterad end-to-end-kapacitet från brandväggen, operatören eller en enskild applikation.

Ett begränsat mobilabonnemang bör inte okontrollerat ta över all trafik på platsen. En CGNAT-adress eller annan adress som inte är offentligt åtkomlig förhindrar inkommande anslutningar till brandväggen. En IPsec-tunnel mellan platser kan ändå använda mobilanslutningen som initiator. NAT-T är alltid aktiverat i Sophos Firewall, men motparten, identiteterna och returvägen måste vara korrekt konfigurerade.

Cellular WAN stöds inte i något HA-läge i Sophos Firewall och måste stängas av på båda enheterna före HA-konfigurationen. Om både HA och mobil failover krävs behövs en separat WAN-design. Läs mer i Varianter och drift av Sophos Firewall HA-kluster.

Ändra endast maskinvara och SIM-kort när brandväggen är avstängd. Sophos 5G-modul är inte hot-swappable.

Konfigurera Cellular WAN

Förbered modem och SIM-kort

Kontrollera SIM-status, PIN, APN och operatörsprofil före brandväggskonfigurationen. Företags-, konsument- och IoT-abonnemang kan använda olika APN. Anslut alla antenner korrekt och placera dem så att anslutningen inte bara har täckning utan även är stabil.

Kontrollera gränssnittet

Network > Cellular WAN
Network > Interfaces

Följ denna ordning vid den första installationen av en Sophos 5G-modul:

1. Stäng av brandväggen under det överenskomna underhållsfönstret, sätt operatörens SIM-kort i modulens SIM-plats och installera därefter modulen i brandväggen. Starta brandväggen först därefter; avstängningen avbryter även dess övriga tjänster.
2. Aktivera Cellular WAN under Network > Cellular WAN och vänta tills modulen identifieras. Om menyn saknas, kontrollera proceduren för CLI-aktivering nedan. Connected bekräftar anslutningen till modulen, ännu inte en applikations internetåtkomst.
3. Klicka på WWAN1 under Network > Interfaces. Öppna Show recommended configuration och välj Load recommended configuration. Ange därefter bekräftad APN, Username och Password vid behov samt PIN för ett PIN-skyddat SIM-kort; klicka på Save.
4. Om anslutningen är frånkopplad, välj Connect under Network > Cellular WAN. Kontrollera status, IP-adress och gateway och testa ett verkligt dataflöde innan modulen används för failover. Om förväntad adress eller gateway saknas, kontrollera först SIM, APN och modemloggar.

Brandväggen skapar automatiskt gränssnittet WWAN1 i WAN-zonen. Befintliga WAN-regler gäller därför även för detta gränssnitt. Dessutom skapas det dynamiska hostobjektet ##WWAN1. Grunderna beskrivs i Konfigurera zoner och gränssnitt i Sophos Firewall.

För 5G-moduler är endast Network adapter (DHCP) tillgängligt under IP assignment. Dial-up (PPP) förblir inaktiverat. Om WWAN1 inte visas, kontrollera först maskinvaruidentifieringen och loggarna innan APN eller routing ändras.

Under General settings går det att ändra visningsnamnet, men inte maskinvarunamnet. Beroende på modem visar brandväggen även Connect mode, Reconnect tries, Modem port, Phone number, Username, Password, SIM card PIN code och APN samt valfria DHCP connect command och DHCP disconnect command och en Initialization string. Dessa värden kommer från operatören eller den godkända modemprofilen och ska inte kopieras från exempel. Med Always under Reconnect tries försöker brandväggen återansluta utan en fast gräns för antalet försök.

För MTU och MSS är Assignment type: Automatic standard. Använd endast Manual under ett kontrollerat fragmenterings- eller TCP-test när värdena som hämtats automatiskt från operatören bevisligen inte fungerar. Testa därefter verkliga applikationer, Packet Capture och failover igen; en lägre MTU är inte i sig ett bevis på framgång.

Tolka fältvärden säkert

Name tillåter högst 58 tecken. Exempelvis är Mobile-Backup ett valfritt visningsnamn; WWAN1 förblir det oföränderliga namnet under Hardware. Delsystemen använder visningsnamnet. Under Gateway settings identifierar Gateway name gatewayen, och Gateway IP är gatewayens adress, inte gränssnittets egen adress. Adresserna kommer från operatörens konfiguration eller tilldelning, inte från andras exempel.

APN identifierar önskat Packet Data Network (PDN) eller mobilnät. Initialization string styr modemfunktioner; ordningen avgör deras prioritet. Använd endast bekräftade operatörs-/modeminställningar och dokumentera befintliga värden före ändringar. MTU och MSS anges i byte: MTU beskriver maximal paketstorlek, MSS storleken på TCP-nyttolasten. Efter ett misslyckat manuellt test, återställ tidigare Assignment type och dokumenterade värden, klicka på Save och testa applikationerna igen.

XML-API: skilj åtgärder från enhetsinställningar

Cellular WAN-API-referenserna för SFOS 22 och 23 skiljer i exemplet mellan CellularWAN och CellularWANSettings: CellularWAN anger värdena Enable/Disable/Query/Set för Action, kopplar SerialPort och ATCommand till frågor och DisconnectOnSystemDown med on/off till inställning av beteendet vid avstängning. Query är därför inte automatiskt en riskfri statusfråga: ett AT-kommando kan ändra modemet och måste vara godkänt av tillverkaren eller supporten för det aktuella modemet. CellularWANSettings innehåller däremot enhets- och anslutningskonfigurationen, exempelvis IP-tilldelning, anslutningsläge, återanslutningsförsök, modemport, operatörsåtkomst, APN, initialiserings- och DHCP-kommandon samt gateway, MTU och MSS. Dessa parametrar konfigureras inte genom en modemreset. Hämta även fortsättningsvis operatörs- och modemspecifika värden endast från den bekräftade profilen och ändra dem via de UI-/CLI-metoder som beskrivs ovan; referensexemplet styrker varken generella standardvärden eller stöd vid körning på den egna enheten.

Även för identitet och tilldelning måste referensen läsas ordagrant: kommentaren i exemplet anger att InterfaceName är skrivskyddat, men elementet heter Name. Detta innebär varken att elementet ska byta namn eller att det är tillåtet att skriva maskinvaruidentiteten. ConnectionStatus beskriver observerad modemanslutning med Connected/Disconnected; uppräkningen bevisar inte att en anslutning upprättas genom att skriva till fältet. För AssignmentType för tilldelning av MTU/MSS visar exemplet Automatic/Manual, medan parametertabellen anger Manual/Autometic. Korrigera inte motsägelsen mellan Automatic och Autometic utan att ange det, och härled inte ett körbart API-värde för automatisk tilldelning ur den. UI-inställningen som beskrivs ovan är separat från detta; före API-automatisering måste de motsägelsefulla råvärdena och skrivbarheten klarläggas för den aktuella SFOS-versionen.

Fastställ gateway och SD-WAN

Network > WAN link manager
Routing > SD-WAN profiles
Routing > SD-WAN routes

Den allmänna betydelsen av Active, Backup, ANY/ALL, Failover rules och failback beskrivs i Konfigurera och testa WAN-failover i Sophos Firewall. Här tillkommer de särskilda förutsättningarna för mobilanslutningen.

För enkel Internet-failover, klicka på Edit för WWAN-gatewayen i WAN link manager och välj Type: Backup. Nya gateways är aktiva som standard och skulle annars delta i lastbalanseringen. Ange under Activate this gateway om reservanslutningen ska ta över när valfri aktiv gateway fallerar (ANY) eller först när alla aktiva gateways fallerar (ALL). Manually aktiverar den inte automatiskt; Type måste ändras till Active i konfigurationen.

Under Action on failback fastställs vad som händer när huvudanslutningen återkommer: antingen fortsätter befintliga sessioner via WWAN fram till timeout medan bara nya anslutningar återgår till huvudanslutningen, eller så etableras alla anslutningar på nytt via den återställda anslutningen. Det andra alternativet kan avbryta aktiva sessioner. För SD-WAN-rutter gäller Serve all connections through restored gateway dock endast när WAN link load balance har valts som primär gateway. Om en aktiv WAN-länk är primär SD-WAN-gateway dirigeras endast nya anslutningar via den återställda gatewayen; om en WAN-reservlänk är primär gateway återetableras anslutningarna och fortsätter att routas via den reservlänken.

Selektiva rutter, SLA-kontroller eller olika behandling av tjänster konfigureras via SD-WAN-profiler och -rutter. Konfigurationen beskrivs i detalj i Konfigurera en SD-WAN-rutt i Sophos Firewall.

Health Checks kan använda Ping eller TCP. En SD-WAN-profil stöder upp till två Probe Targets. Det andra målet används som reserv om det första inte svarar. Kritiska applikationer bör prioriteras vid failover, medan dataintensiva tjänster som inte behövs bör begränsas.

För en WWAN-gateway skapar Sophos automatiskt en failover-regel till 8.8.8.8 utöver kontrollen av den tilldelade gateway-IP-adressen. Anslutningen kan därmed fortfarande kontrolleras om operatören inte tillåter Ping till gateway-adressen. Kontrollera ändå att detta mål är förenligt med den egna Security Policy.

Om svarspaket eller trafik som genereras av brandväggen tar en annan väg hjälper Kontrollera SD-WAN-routing för Reply Packets och System Traffic.

Kontrollera signal och failover

Styr Cellular WAN via Device Console

system cellular_wan visar inte bara status. Cellular WAN är inaktiverat som standard. UI-instruktionerna beskriver aktivering med en omkopplare, medan CLI-referensen kräver CLI-aktivering för WebAdmin-menyn och övriga kommandon. Detta innebär inte ett extra CLI-steg för varje redan aktiverad installation. Kontrollera det faktiska tillståndet på installerad build. Om menyn saknas vid en planerad första konfiguration, aktivera funktionen under Option 4: Device Console och kontrollera den därefter:

system cellular_wan enable
system cellular_wan show

disable inaktiverar funktionen igen. Använd endast kommandot när WWAN1 varken bär aktiv trafik eller utgör en nödvändig reservväg:

system cellular_wan disable

Sophos dokumenterar följande kombinerade kommandomall för modemstart och beteendet vid avstängning:

system cellular_wan set modem-setup-delay <0-15> disconnect-on-systemdown [on|off]

Ersätt platshållarna med verkliga värden. modem-setup-delay är en väntetid från 0 till 15 sekunder och standardvärdet är 0. disconnect-on-systemdown har standardvärdet off. Dokumentera det aktuella tillståndet med show före en ändring. En längre väntetid eller frånkoppling vid avstängning är ingen generell stabilitetsoptimering, utan används bara för ett verifierat modem- eller avstängningsbeteende.

För djupare modemfelsökning finns också en fråga via serieporten och QMI-omkopplaren:

system cellular_wan query serialport <portnummer> ATcommand <AT-kommando>
system cellular_wan qmi-mode [enable|disable]

query skickar ett giltigt modemspecifikt AT-kommando direkt till den valda porten. Ett felaktigt kommando kan ändra registrering, radioläge eller anslutning och ska därför bara användas i ett dokumenterat flöde från tillverkaren eller Support. CLI-omkopplaren qmi-mode gäller endast Sierra-modem; QMI stöds redan för modem som inte är från Sierra. Ändra inte detta på chans. Efter varje ändring kontrolleras show, WebAdmin-status, modem- och nätverksloggar samt ett verkligt dataflöde. Rollback återställer de tidigare dokumenterade värdena.

Signalstatus via CLI

Efter SSH-inloggningen visar följande kommando under Option 4: Device Console konfiguration samt status för SIM, anslutning och signal:

system cellular_wan show

Kommandot fanns redan tidigare. Från och med SFOS 22.0 GA kan det även användas för att kontrollera signalstyrkan. Sophos publicerar inga allmängiltiga gränsvärden. Jämför därför värden under normal drift, efter antennändringar och under aktiv failover. Kraftigt varierande värden pekar i första hand på radiolänken, antennen, operatören, modulen eller SIM-kortet, men utesluter inte samtidiga routingfel.

⚠️ Tillåt endast SSH från betrodda administrationsnät. Läs före användning Anslut till Sophos Firewall via SSH och kontrollera åtkomstskyddet via Device Access och Local Service ACL.

Testa failover och failback

Säkerställ före testet att det finns en aktuell konfigurationsbackup, dokumentera primär- och reservvägen, informera berörda personer och öppna Log Viewer och övervakningen. Aktivera dessutom de lokala SD-WAN-loggarna under System services > Log settings när SD-WAN används.

1. Kontrollera i utgångsläget huvudgatewayen, WWAN-gatewayen, den SD-WAN-rutt som används och dataräknarna.
2. Generera relevant testtrafik, till exempel DNS, HTTPS, RDP, VPN och en viktig verksamhetsapplikation.
3. Inaktivera huvudanslutningen kontrollerat eller låt avsiktligt dess Health Check misslyckas.
4. Kontrollera i WAN link manager eller under Routing > SD-WAN routes att WWAN1 tar över.
5. Kontrollera modulen SD-WAN och de brandväggsregler som matchas i Log Viewer.
6. Kontrollera Status, IP address, Gateway IP, Bytes uploaded, Bytes downloaded och Time duration under Network > Cellular WAN.
7. Testa DNS, HTTPS, RDP, VPN och de valda verksamhetsapplikationerna igen via WWAN1.
8. Återställ huvudanslutningen och kontrollera returvägen. Det konfigurerade failback-beteendet måste träda i kraft i WAN link manager. Med SD-WAN beror återgången dessutom på strategi och SLA.
9. Kontrollera slutligen gateway, anslutningar och applikationer igen via primärvägen.

Ett lyckat Ping-test visar endast att målet kan nås, inte att de tjänster som behövs fungerar. Policy Tester tar dessutom inte hänsyn till SD-WAN-rutter och bekräftar därför inte den använda vägen. För brandväggsregler, loggar och Packet Capture är ändå Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture till hjälp.

Avgränsa fel

• Modemet eller WWAN1 saknas: jämför först fysisk tillverkare/modell och identifierade Default/Modem ID med den dokumenterade identiteten. Kontrollera därefter strömförsörjning, USB-port och -anslutning samt firmware. modemd.log visar när WWAN-USB-enheter ansluts eller tas bort, syslog.log visar USB-, modem- och PPP-händelser och networkd.log visar den modemrelaterade nätverkskonfigurationen. Eskalera till Sophos, modemtillverkaren eller operatören med identitet, ID:n och relevanta loggutdrag; byt en enhet som avviker, är klassad Not compatible eller inte klarar acceptanstest i drift.
• SIM-kortet ansluter inte: kontrollera PIN, APN, operatörsprofil, SIM-spärr och täckning. Bekräfta APN med operatören i stället för att gissa.
• Gatewayen är aktiv, men trafik saknas: kontrollera den gateway och SD-WAN-rutt som används, brandväggsregel, NAT, DNS och returväg. dgd.log innehåller händelser för WAN-gateways och link failover. SD-WAN Health Checks och ruttbyten finns i modulen SD-WAN i Log Viewer.
• Applikationerna är instabila: mobilnät ger ofta högre latens, paketförlust och variationer. Testa verkliga applikationer och mät vid behov genomströmningen med iPerf mellan två endpoints. Kontrollera även MTU och MSS vid VPN- eller fragmenteringsproblem.
• VPN fungerar endast via huvudanslutningen: inkommande anslutningar är inte direkt möjliga med CGNAT. Kontrollera att mobilsidan initierar tunneln, att motparten accepterar dynamiska adresser eller lämpliga identiteter och att returvägen är korrekt.

Loggfilerna och deras uppgifter beskrivs i Koppla Sophos Firewall Service Logs till rätt tjänst.

Återanslut eller starta om modemet i SFOS 23

Under Network > Cellular WAN upprättar Connect modemanslutningen. Reset startar däremot om modemet och återansluter det till brandväggen. Befintliga inställningar för WWAN-gränssnittet och beroende konfigurationer behålls; det är ingen fabriksåterställning. Den här proceduren är dokumenterad för SFOS 23, inte som en funktion i SFOS 22.

Reset är endast tillgängligt för 5G-modellerna från Quectel och Sierra Wireless, inte för andra modemmodeller eller USB-donglar. Kontrollera den exakta modellen innan en återställningsmetod väljs; enbart tillverkarnamnet eller stöd för 5G räcker inte.

⚠️ En modemomstart avbryter mobilanslutningen tillfälligt även om konfigurationen behålls. Säkerställ först en oberoende administrativ åtkomstväg. Om WWAN bär aktiv trafik eller är en nödvändig reserv, planera ett underhållsfönster. Avstängning av brandväggen för maskinvarualternativet nedan avbryter också dess övriga tjänster.

1. Dokumentera modellen, aktuell modemstatus, IP-adress och gateway samt relevanta modem- och nätverksloggar. Dokumentera WWAN1-inställningar och beroenden som gateway, SD-WAN-rutter, brandväggsregler och NAT-regler så att de kan jämföras efteråt.
2. 5G-modell som stöds i SFOS 23: Klicka på Reset under Network > Cellular WAN och kontrollera därefter att modemet identifieras igen och återansluter.
3. Modell utan stöd för Reset: Använd endast en modemspecifik AT-omstartsprocedur som dokumenterats av tillverkaren eller supporten. Försiktighetsåtgärden för query serialport ovan gäller fortfarande; gissa inte ett AT-kommando. Stäng som alternativ av brandväggen och koppla ur och återanslut modemet först när brandväggen är avstängd. Slå sedan på brandväggen och kontrollera identifiering och återanslutning. Koppla aldrig ur modemet medan brandväggen körs: det kan orsaka anslutningsproblem med Cellular WAN.
4. Kontrollera status, IP-adress och gateway under Network > Cellular WAN; jämför de behållna WWAN1-inställningarna med det dokumenterade tillståndet under Network > Interfaces. Kontrollera även beroende konfigurationer och representativ applikationstrafik. Utför det kontrollerade failover- och failbacktestet ovan när det är säkert för driften.

För tolkning av XML-API-svar lägger Cellular WAN-referensen för SFOS 23 till status 203 med Message.WWANResetSuccessfully för en reset som rapporteras som lyckad och 511 med Message.WWANResetFailed för en reset som rapporteras som misslyckad; båda kopplingarna saknas i SFOS 22-referensen. Det är statusvärden för XML-API:t, inte HTTP-statuskoder. Identifierarna är ordagranna meddelandenycklar i referensen, inte verifierad meddelandetext vid körning. De styrker varken en Reset-begäran eller ett ytterligare Action-värde: det oförändrade exemplet anger Enable/Disable/Query/Set. Utför kontrollerna i steg 4 även efter rapporterad framgång: status, IP-adress, gateway och verklig applikationstrafik måste stämma. Vid rapporterat fel, spara det faktiska svaret och relevanta loggar och eskalera efter de beskrivna kontrollerna i stället för att försöka starta om utan gräns.

Om anslutningen fortfarande saknas, skicka aktuella utdrag ur modemd.log, syslog.log och networkd.log tillsammans med modell, status och redan utförda steg till Sophos, modemtillverkaren eller operatören i stället för att upprepa omstarter på chans.

Drift

• Testa failover och failback minst kvartalsvis och efter relevanta ändringar av firmware eller routing.
• Övervaka gateway, SD-WAN-status, datamängd och kostnader.
• Dokumentera SIM, PIN, APN, abonnemang, antennplacering och jämförelser av signalvärden.
• Begränsa icke-kritisk trafik under failover.
• Utse ansvariga för larm, operatörsstörningar, SIM-spärr och återgång till normal drift.
• Dokumentera reservmaskinvara och supportväg.

FAQ