Konfigurera och verifiera ett PPPoE-WAN på Sophos Firewall

PPPoE ska konfigureras på Sophos Firewall när ett modem eller en ONT framför brandväggen vidarebefordrar anslutningen transparent i brygg- eller passthrough-läge. Brandväggen upprättar då anslutningen till operatören och får den tilldelade WAN-adressen.

Om operatörens enhet upprättar PPPoE-sessionen får Sophos Firewall bakom den normalt en statisk eller DHCP-tilldelad WAN-adress. Om båda enheterna utför NAT uppstår Double NAT. En extra PPPoE-uppringning på brandväggen är vanligtvis onödig i den här konfigurationen och kan nekas som en andra session.

⚠️ Före ändringen måste det vara tydligt vilken enhet som upprättar PPPoE-sessionen. Samtidig uppringning från operatörens enhet och brandväggen är bara meningsfull om operatören uttryckligen stöder flera sessioner. För ändringen krävs lokal eller oberoende administratörsåtkomst, eftersom en felaktig inställning omedelbart bryter internetanslutningen.

Samla in operatörsuppgifterna innan du börjar

Följande värden bör finnas tillgängliga före underhållsfönstret:

• PPPoE-användarnamn och lösenord eller operatörens exakta autentiseringskrav
• Brygg- eller passthrough-läge för modemet eller ONT-enheten
• Valfritt VLAN-ID från operatören
• Valfritt namn på Access Concentrator eller tjänsten
• Krav på dynamisk, fast eller önskad IP-adress
• DNS-krav och kända särskilda förhållanden för MTU eller återanslutning
• Antal tillåtna PPPoE-sessioner och information om CGNAT

Sophos-hjälpen anger PPPoE-kontots användarnamn och lösenord. Bekräfta avvikande operatörskrav före underhållsfönstret; utgå inte från att ett tomt lösenord stöds. WebAdmin accepterar högst 50 tecken i användarnamnet. En längre inloggning måste klargöras med Sophos Support före ändringen.

Förberedelserna bör även omfatta en aktuell konfigurationssäkerhetskopia, ett underhållsfönster och en återställningsplan. Vid en fjärrändring får den enda hanteringsåtkomsten inte gå via just den WAN-port som konfigureras om.

Konfigurera PPPoE-gränssnittet

Följande exempel använder Port2 för en anslutning med en ONT i bryggläge. Operatören kräver användarnamn, lösenord och VLAN 7, men ingen Preferred IP och inget tjänstenamn. VLAN 7 är bara ett exempel och får inte användas för en verklig anslutning utan kontroll.

1. Öppna Network > Interfaces.
2. Öppna menyn för den avsedda WAN-porten och välj Edit interface.
3. Ange ett tydligt namn, till exempel WAN-PPPoE, och zonen WAN.
4. Aktivera IPv4 och välj PPPoE som IP assignment.
5. Ange exempelvis firma@example.net under Username och motsvarande operatörsvärde under Password. Kopiera inte verkliga inloggningsuppgifter till skärmbilder eller ärenden.
6. Lämna Preferred IP tomt om operatören inte har angett en fast PPPoE-adress.
7. Ange ett tydligt Gateway name, till exempel gw-pppoe, och fyll i operatörens obligatoriska Gateway IP address för ett fysiskt PPPoE-gränssnitt. På ett PPPoE-VLAN visar fältet i stället den konfigurerade gatewayadressen.
8. Lämna Access concentrator/service name tomt om operatören inte kräver ett exakt namn.
9. Behåll LCP echo interval på 20 sekunder och LCP failure på 3.
10. Aktivera endast en schemalagd återanslutning om operatören eller driften kräver det.
11. Om operatören kräver ett VLAN för PPPoE väljer du en av varianterna som beskrivs i nästa avsnitt.
12. Spara och kontrollera därefter gränssnitt, gateway, DNS och verklig klienttrafik.

Name kan ändras senare och tillåter högst 58 tecken; gränsen gäller gränssnittets namn, inte Username. Hardware anger den valda fysiska porten och kan inte ändras i det här formuläret.

Hjälpen för fysisk PPPoE-konfiguration anger även en IPv4-adress för gränssnittet och en valfri ändring av nätmasken före Preferred IP. Den förklarar dock varken fältens roll i förhållande till den förhandlade PPPoE-adressen eller lämpliga värden. Härled ingen adress eller nätmask från exemplet och likställ inte fälten med Preferred IP; klargör oklara krav med operatören eller Sophos Support före ändringen.

Under Advanced settings > Interface settings behåller Use default MAC address standard-MAC-adressen. Override default MAC address gör det möjligt att ange en annan MAC-adress; en fabriksåterställning återställer standard-MAC-adressen. Detta är en valfri inställning, inte ett allmänt PPPoE-krav eller en rekommendation att klona en MAC-adress.

En Preferred IP är bara en begäran till operatören. Även om en adress anges kan PPPoE-servern tilldela en annan IP-adress. För en garanterad fast adress måste operatören tillhandahålla rätt tjänst.

Ett Access concentrator/service name begränsar uppkopplingen: Brandväggen startar endast sessioner med en Access Concentrator som kan tillhandahålla den angivna tjänsten. Ett påhittat eller felstavat värde kan förhindra anslutningen. Därför ska fältet lämnas tomt så länge leverantören inte uttryckligen anger ett värde.

Implementera operatörens VLAN korrekt

Ett operatörs-VLAN kan konfigureras på två sätt. Båda metoderna är giltiga, men de får inte kombineras för samma anslutning.

Variant 1: VDSL-inställning på den fysiska PPPoE-porten

PPPoE konfigureras direkt på den fysiska WAN-porten. Under DSL settings aktiveras VDSL och operatörens VLAN-ID anges. SFOS skapar då automatiskt VLAN-et för PPPoE-anslutningen; ett extra manuellt skapat VLAN behövs inte för den här varianten.

Benämningen VDSL innebär inte att brandväggen ersätter ett DSL-modem eller en ONT. Enheten framför brandväggen ansvarar fortfarande för den fysiska ledningen och synkroniseringen.

I exemplet ställs VLAN 7 in på PPPoE-porten. Därefter får inget extra manuellt VLAN 7 med en andra PPPoE-konfiguration skapas på samma anslutning.

Variant 2: PPPoE på ett manuellt WAN-VLAN

Under Network > Interfaces > Add interface > Add VLAN skapar du först ett VLAN på operatörens fysiska port. Tilldela detta VLAN zonen WAN, operatörens VLAN-ID och PPPoE som IPv4-tilldelning. Ange inloggningsuppgifterna på detta VLAN-gränssnitt.

Den här konfigurationen är användbar när VLAN-gränssnittet uttryckligen ska vara synligt och ha ett separat namn i gränssnittsdesignen. Konfigurera VLAN på Sophos Firewall förklarar grunderna för parent interface och VLAN-taggning.

Om ett VLAN redan är konfigurerat på ett fysiskt gränssnitt är det inte tillåtet att ändra dess IPv4-tilldelning från Static till PPPoE eller DHCP. Kontrollera först designen. Ändringar kan även påverka beroende konfiguration för DNS, gateway, SD-WAN, gränssnittsvärdar, VLAN och Dynamic DNS. Off bevarar konfigurationen, medan borttagning av ett virtuellt gränssnitt även kan ta bort beroende regler och objekt.

Förstå LCP och återanslutning

LCP-ekon kontrollerar om PPP-motparten fortfarande svarar. Med standardvärdena skickar brandväggen en kontroll var 20:e sekund och bedömer sessionen som oåtkomlig efter 3 uteblivna svar.

Efter det antal obesvarade ekoförfrågningar som anges under LCP failure kopplar brandväggen faktiskt ned PPPoE-anslutningen; den markerar inte bara sessionen som oåtkomlig.

Dessa värden är en lämplig utgångspunkt. Ett kortare intervall upptäcker fel tidigare, men kan orsaka onödiga återanslutningar på en instabil linje. LCP bör därför endast justeras på grund av ett operatörskrav eller ett dokumenterat felmönster. Om inställningen avmarkeras inaktiveras inte LCP, utan standardvärdena återställs.

Schedule time for reconnect kopplar ned PPPoE-sessionen vid en angiven tidpunkt och upprättar den på nytt. Det kan hjälpa om operatören har en regelbunden tvingad frånkoppling, men det är ingen allmän reparationsfunktion. Pågående anslutningar bryts och vid dynamisk tilldelning kan den offentliga IP-adressen ändras. En nödvändig återanslutning bör därför schemaläggas utanför produktionstid.

Även en statisk eller önskad PPPoE-adress kan ha en begränsad giltighetstid, precis som en dynamisk adress. När den löper ut kopplas PPPoE-anslutningen ned och upprättas på nytt. Då kan en dynamisk adress tilldelas i stället för Preferred IP. Kontrollera efter en sådan återanslutning den faktiskt tilldelade adressen och inkommande tjänster som är beroende av den igen.

Verifiera hela anslutningen

En tilldelad WAN-adress i sig bevisar inte att klienterna kan använda internet. Efter att du har sparat ska de berörda lagren kontrolleras i följande ordning.

Gränssnitt och gateway

Under Network > Interfaces måste PPPoE-gränssnittet visa Connected och en tilldelad adress. Connecting betyder att en adress fortfarande hämtas; Disconnected att den har frigjorts. Den tillhörande fysiska WAN-gatewayen visas automatiskt under Network > WAN link manager.

En ny WAN-gateway är som standard Active. Om det finns flera internetanslutningar kan den därför omedelbart delta i lastbalanseringen. Om den nya PPPoE-anslutningen endast ska fungera som reserv måste gatewayen konfigureras direkt som Backup och därefter testas kontrollerat. Hela proceduren beskrivs i Konfigurera och testa WAN-failover.

DNS

Under Network > DNS kan du använda Obtain DNS from PPPoE eller medvetet konfigurera statisk DNS. Med Test name lookup kan namnuppslagningen kontrolleras direkt.

Vid flera PPPoE-anslutningar ska du inte utgå från en odokumenterad ordning för de mottagna DNS-servrarna. Medvetet valda DNS-servrar och separata tester ger en förutsägbar Multi-WAN-design.

Brandväggsregel, NAT och klienttest

För trafik från LAN till WAN krävs en lämplig brandväggsregel och i regel masquerading eller SNAT. Förstå NAT på Sophos Firewall förklarar sambanden.

Kontrollera sedan minst följande funktioner från en testklient:

1. Åtkomst till en extern IP-adress.
2. Uppslagning av ett DNS-namn.
3. Öppning av en HTTPS-sida.
4. En applikation som är viktig för verksamheten.
5. En loggpost med den förväntade brandväggsregeln och WAN-gränssnittet.

Ett lyckat ping räcker inte. DNS, HTTPS, NAT eller en applikation kan fortfarande misslyckas trots att små ICMP-paket fungerar.

Om Log Viewer inte tydligt visar var sökvägen slutar använder du under Diagnostics > Packet capture ett snävt filter på klient-IP och protokoll. För vidarebefordrade paket måste In interface, Out interface, Rule ID, NAT ID, Status och Gateway ID stämma med den avsedda sökvägen. Vyn bevisar bara vad som fångades; bufferten är begränsad till 2048 KB och stannar när den är full om inte cirkulär överskrivning är aktiverad.

Återställ efter en misslyckad ändring

Om ingen session upprättas återställer du det dokumenterade tidigare tillståndet via oberoende administratörsåtkomst. Ställ först ett tillagt PPPoE-VLAN på Off så att konfigurationen bevaras för analys. Återställ sedan operatörsenheten och den tidigare statiska eller DHCP-baserade WAN-sökvägen med gateway och DNS. Om den fysiska porten ändrades återställer du de noterade värdena. Ta inte bort VLAN-et för snabbt: ett virtuellt gränssnitt kan ta med sig beroende regler och konfiguration. Fortsätt först när den gamla sökvägen klarar samtliga kontroller igen.

Den interaktiva konsolmenyn 1. Network Configuration > Interface Configuration ersätter inte PPPoE-konfigurationen: där går det inte att konfigurera PPPoE, DHCP eller VLAN. Den dokumenterade återställningsvägen för IPv4 i den menyn gäller statiska värden i gatewayläge. För val av lämplig återställningsväg och kontroll av administratörsåtkomst, routing och beroenden gäller begränsningarna under Ändra zoner och gränssnitt på ett säkert sätt.

Avgränsa PPPoE-fel systematiskt

Kontrollera först linjen och konfigurationen, och därefter MTU eller andra specialvärden:

1. Kontrollera länkstatus, synkronisering för modem eller ONT, kablage och brygg-/passthrough-läge.
2. Jämför operatörens VLAN med avtalsuppgifterna och kontrollera att det inte har angetts både via VDSL-alternativet och ett manuellt VLAN.
3. Jämför användarnamn, lösenord och användningen av stora och små bokstäver exakt med operatörens bekräftade uppgifter. Avvikande autentiseringskrav måste vara klargjorda innan anslutningen upprättas; lösenordet är inte generellt valfritt.
4. Rensa Preferred IP samt namnet på Access Concentrator eller tjänsten om operatören inte uttryckligen har angett dessa värden.
5. Spara och kontrollera om gränssnittet får en IP-adress och en gateway.
6. Testa DNS först med Test name lookup och därefter från en klient.
7. Kontrollera brandväggsregeln, NAT och Log Viewer.

Vid länkfel eller oväntat låg prestanda bör även Advanced settings > Port settings för den fysiska porten kontrolleras. Link mode anger hastighet och duplex; tillgängliga alternativ beror på appliance-modellen. Auto-negotiation for media type aktiverar eller inaktiverar automatisk förhandling av hastighet och duplex. Inställningar som inte stämmer med en router eller switch kan orsaka fel, kollisioner, frånkopplingar, högre latens eller långsamma överföringar. Jämför båda ändarna i stället för att generellt låsa hastighet eller duplex.

För en djupare diagnos i 5. Device Management > 3. Advanced Shell ska du först övervaka gränssnittshändelserna:

tail -f /log/networkd.log

networkd.log visar händelser för fysiska och virtuella gränssnitt. WAN-gatewayen och möjliga failover-händelser finns i dgd.log:

tail -f /log/dgd.log

Avsluta den löpande utmatningen med Ctrl+C. Ytterligare systemmeddelanden kan visas i 4. Device Console med ett skrivskyddat kommando:

system diagnostics show syslog

Den officiella loggmappningen kopplar networkd.log till fysiska och virtuella gränssnitt och dgd.log till WAN-länk-, gateway- och failoverhändelser. system diagnostics show syslog visar ytterligare systemmeddelanden men ger inte automatiskt en fullständig PPPoE-orsak. Notera meddelande, tid, gränssnitt, version och ett nytt försök. Om det inte räcker fångar du det reproducerbara testet med ett snävt filter; Sophos Firewall-serviceloggar beskriver övriga filer.

Typiska mönster:

• Ingen PPPoE-motpart hittades: kontrollera länken, brygg-/passthrough-läget, operatörens VLAN och det valfria tjänstenamnet.
• Autentiseringen nekades: kontrollera inloggningsuppgifterna, teckenlängden, operatörskontot och antalet tillåtna sessioner.
• Sessionen upprättas och bryts sedan: bedöm linjen, operatörshändelser, LCP och den schemalagda återanslutningen.
• WAN-adress finns, men inget internet: kontrollera gateway, DNS, brandväggsregel, NAT och routing.
• Endast stora paket eller VPN-trafik misslyckas: undersök MTU/MSS först efter ett reproducerbart test.

Ändra inte MTU och MSS generellt

MTU står för Maximum Transmission Unit och beskriver den största nätverkspaketstorlek som kan överföras, i byte. MSS betyder Maximum Segment Size och beskriver mängden TCP-data per paket, i byte. Under Advanced settings > Interface settings anger Override MSS denna mängd TCP-data; MSS är inte storleken på hela nätverkspaketet.

PPPoE lägger till overhead. Det innebär dock inte att varje anslutning måste ställas in manuellt med en MTU på 1492 eller ett MSS på 1452. Standardvärden fungerar i många miljöer, och ytterligare VLAN, VPN eller operatörstekniker förändrar den faktiska sökvägen.

En justering är inte meningsfull förrän exempelvis små paket fungerar, stora HTTPS-överföringar fastnar eller packet captures upprepade gånger visar fragmenteringsproblem. Kontrollera MTU och MSS på Sophos Firewall beskriver mätningen och beräkningen.

Multi-WAN, Dynamic DNS och HA

En upprättad PPPoE-anslutning beter sig i WAN Link Manager som en annan fysisk WAN-gateway. Vid en återanslutning eller failover kan dock den offentliga adressen och alla anslutningar som är bundna till den ändras. Detta påverkar särskilt IPsec, DNAT, externa allowlists och Remote Access. För dynamiska adresser hjälper Dynamic DNS på Sophos Firewall, men det ersätter inte ett test av inkommande tjänster.

Om operatören endast tilldelar en privat eller delad CGNAT-adress är brandväggen normalt inte direkt åtkomlig från internet. Dynamic DNS uppdaterar bara namnet och tar inte bort CGNAT. För inkommande tjänster krävs en offentlig adress eller en adress som vidarebefordras av operatören.

PPPoE är tillåtet i Active-Passive HA, men Sophos anger att session failover inte sker. Den nya Primary måste därför återupprätta operatörsanslutningen. Den dedikerade HA-länken och båda administrationsportarna kräver statiska adresser. Active-Active kräver statiska adresser på alla gränssnitt och stöder därför inte ett PPPoE-WAN. Den fysiska designen måste ge båda appliances åtkomst efter ett rollbyte. Sophos Firewall HA-varianter beskriver övriga gränser.

IPv6 är ett separat operatörsbeslut. Om anslutningen tillhandahåller Prefix Delegation visar IPv6 Prefix Delegation på Sophos Firewall den separata konfigurationen.

Uteslut versionsberoende fel

SFOS 22.0 MR1 Build 490 åtgärdar specifika PPPoE-problem: NC-174437 för Policy Test via PPPoE, NC-173201 för licenssynkronisering i Active-Passive HA med PPPoE och NC-167806 för paketförlust och dålig uppladdning med TX-kölängd 3. Sophos Known Issues anger även NC-181526 som löst i MR2 Build 546: på XGS Appliance förutom XGS 88/88w, 108/108w, 118/118w och 128/128w kunde IPsec-tunnlar via ett alias-IP på ett PPPoE-WAN i GA och MR1 upprättas utan att överföra trafik när IPsec-acceleration var aktiv.

Om något av dessa symtom uppträder på en äldre SFOS 22-version bör först en kontrollerad uppdatering till en aktuell Maintenance Release som stöds planeras. SFOS 22-uppgraderingskontrollen beskriver förberedelserna. Äldre lösningar, som att generellt inaktivera IPsec-acceleration, hör inte hemma i en ny standardkonfiguration.

FAQ