Konfigurera och testa Sophos Firewall VLAN

En VLAN på Sophos Firewall är mer än ett VLAN ID. För att det nya nätverket verkligen ska fungera måste föräldragränssnitt, switchtaggning, zon, IP-adress, DHCP, DNS, Device Access, brandväggsregler och NAT matcha.

Artikeln beskriver det generiska Sophos-brandväggsflödet och viktiga operativa beslut kring segmentering, zon, DHCP, regler och testning. Om det handlar om en konkret implementering med UniFi-switchar så passar artikeln VLAN på Sophos Firewall och konfigurera UniFi-switch. För speciella bryggfall enligt SFOS 22 är Sophos Firewall Kontrollera Bridge-VLANs enligt SFOS 22 den bättre starten.

Kort svar

En VLAN skapas på Sophos Firewall under Network > Interfaces > Add interface > Add VLAN. Efter det behöver du vanligtvis:

• en lämplig zon
• en statisk IP-adress som en gateway
• DHCP server eller DHCP relä
• DNS design
• Device Access för lokala brandväggstjänster
• Brandväggsregler för Internet, interna nätverk eller servrar
• Loggning och ett kort acceptanstest

Endast när en testklient visar IP-adressen, gatewayen, DNS, tillåtna anslutningar, blockerade anslutningar och lämpliga loggposter godkänns VLAN.

När en VLAN är vettig

VLANs skiljer logiskt lager 2-nätverk från varandra. På Sophos Firewall används de ofta för att köra flera nätverk över samma fysiska upplänk eller en LAG.

Typiska tillämpningar:

• Separat klientnätverk och servernätverk
• Isolera gäst WLAN från intern LAN
• Sätt VoIP-telefoner i sitt eget nätverk
• Begränsa IoT, kameror eller skrivare
• Skapa ett hanteringsnätverk för administratörsdatorer, switchar och övervakning
• Dirigera DMZ eller servernätverk över en gemensam switchupplänk

En VLAN ersätter dock inte brandväggsregler. Det säkerställer teknisk separation på lager 2. Huruvida trafik tillåts mellan VLANs avgörs sedan av Sophos Firewall via zoner, routing, brandväggsregler, NAT och säkerhetspolicyer.

Planera VLAN arkitektur

Den viktigaste frågan är inte hur man skapar en VLAN. Den viktigare frågan är vilka säkerhetsområden ska det finnas i nätverket. Många problem uppstår eftersom VLANs skapas rent tekniskt: VLAN 10, VLAN 20, VLAN 30. Efter några månader vet ingen vilken kommunikation som ska tillåtas och varför vissa nätverk kopplades bort.

Vi rekommenderar att först planera VLANs utifrån risk, funktion och operativt ansvar. En bra startstruktur ser ofta ut så här:

• Hantering: Admin-datorer, switchar, åtkomstpunkter, övervakning och kontroller. Tillgång till administrativa gränssnitt bör vara mycket noggrant kontrollerad.
• Kunder: Arbetsstationsenheter, bärbara datorer och vanliga användarenheter. Detta är vanligtvis standardnätverket med internetåtkomst och riktade interna godkännanden.
• Server: Domänkontrollant, filserver och applikationsserver. Servrar bör inte vara direkt åtkomliga från alla klientnätverk.
• Gäster: Gäst WLAN och externa enheter. Detta nätverk behöver normalt bara internet och ingen tillgång till interna system.
• IoT och kameror: Kameror, skrivare, sensorer och byggnadsteknik. Många av dessa enheter har svaga uppdaterings- och säkerhetsmodeller.
• VoIP: Telefoner, PBX och SBC. Egna DHCP-alternativ, QoS och tydlig tillgänglighet är ofta till hjälp här.
• Säkerhetskopiering: Säkerhetskopieringsservrar, arkiv och oföränderlig lagring. Separation skyddar mot ransomware och rörelse i sidled.
• DMZ: Allmänt tillgängliga system eller omvända proxyservrar. Utsatta tjänster hör hemma i ett separat område.

Detta är inte ett stelbent schema. Ett litet kontor behöver inte nödvändigtvis tio VLANs. En miljö med flera platser, servrar, WLANs, kameror, backupsystem och extern åtkomst bör dock inte lägga allt i en stor LAN.

Klassificera mikrosegmentering realistiskt

Mikrosegmentering betyder inte att varje enskild enhet behöver sin egen VLAN. I praktiken är den bättre starten vanligtvis ren makrosegmentering: klienter, servrar, hantering, gäster, IoT, backup och DMZ separeras. Särskilt kritiska system kan då segmenteras finare.

Exempel på finare segmentering:

• Placera domänkontrollanten i sitt eget serverundernät.
• Gör säkerhetskopieringssystem endast tillgängliga från ett fåtal källor.
• Tillåt kameranätverk endast för NVR eller VMS.
• Gör skrivare endast tillgängliga via skrivarservrar eller definierade klientnätverk.
• Open Management-VLAN endast för administratörsenheter och övervakning.

Det viktiga är att varje ytterligare separation också genererar driftskostnader. Det behövs regler, loggar, tester, dokumentation och någon för att upprätthålla undantagen. Bra segmentering är inte så komplicerat som möjligt, utan snarare begriplig och verifierbar.

Förberedelse för ZTNA och moderna åtkomster

En ren VLAN-struktur hjälper också senare med ZTNA, VPN, SASE eller andra åtkomstkoncept. Om interna applikationer redan finns i tydliga server- eller applikationsnätverk kan åtkomst publiceras mer specifikt och du behöver inte släppa en komplett platt LAN.

Följande är särskilt användbart för ZTNA:

• Applikationsservrar finns i kända servernätverk.
• Hanteringsåtkomst är separerad från normal klienttrafik.
• DNS names and internal routes are clearly documented.
• Brandväggsregler visar vilka användare eller platsgrupper som kräver vilka mål.
• Gamla filt LAN to LAN eller Any to Any regler håller på att demonteras.

Om Sophos ZTNA används senare kan du komma igång via Planera och skapa Sophos ZTNA gateway. VLAN planering är inte ett nödvändigt krav för detta, men det gör senare operationer mycket renare.

Vilken viele VLANs behöver man?

Det finns inget fast korrekt nummer. Du bör ha VLANs och du kommer inte att kunna göra någonting.

Din egen VLAN är vanligtvis vettig om minst en av dessa punkter gäller:

• Nätverket behöver andra brandväggsregler. Då bör en egen zon eller åtminstone ett eget VLAN-objekt planeras.
• Device Access borde se annorlunda ut. En separat zon är ofta renare.
• DHCP alternativen skiljer sig, till exempel för VoIP, PXE eller gästnätverk.
• Trafiken bör loggas, övervakas eller utvärderas separat.
• Enheterna har en väsentligt annorlunda risk, till exempel IoT, gäster, backup eller hantering.
• Det finns andra personer som är ansvariga eller sin egen driftprocess.

Men du bör inte omedelbart tvinga in varje litet specialämne till en ny VLAN. Om två klientnätverk får exakt samma regler, samma webbpolicy och samma Device Access kan det räcka med en gemensam zon med tydliga nätverksobjekt.

Planera i förväg

Innan du sätter på den bör VLAN dokumenteras kort. Detta behöver inte vara en stor nätverksplan, men de viktigaste värdena bör vara tydliga.

Det räcker ofta med ett kompakt planeringsset:

• VLAN Namn: till exempel Clients
• VLAN ID: till exempel 100
• Subnät: till exempel 10.100.0.0/24
• Gateway på Sophos Firewall: till exempel 10.100.0.1
• Föräldragränssnitt: till exempel Port3 eller LAG1
• Zon: till exempel Client, LAN, Guest, Server eller DMZ
• DHCP: Sophos Firewall, DHCP relä eller extern server
• DNS: Brandvägg, intern DNS-server eller avsiktligt annan design
• Syfte: till exempel arbetsstationsklienter med internetåtkomst

Zonen är särskilt viktig. Den här inställningen påverkar senare brandväggsregler, Device Access, webbpolicyer, IPS, loggar och felsökning. Sophos Firewall Konfigurera zoner och gränssnitt är lämplig för grundläggande zonplanering.

ID:t VLAN måste vara inom det giltiga intervallet 1 till 4094. Samma VLAN ID kan inte skapas flera gånger på samma fysiska överordnade gränssnitt. I produktiva nätverk bör ID:t inte bara tilldelas tekniskt, utan bör även namnges med switchkonfigurationen, WLAN-SSID, DHCP-Scope, dokumentation och övervakning. Om VLAN 100 heter Clients på brandväggen, men Office på switchen och LAN-neu på DHCP, blir felsökningen onödigt mödosam.

Understand parent interface and switch tagging

Föräldragränssnittet är den fysiska porten, bryggan eller LAG på vilken Sophos Firewall tar emot de taggade VLAN-paketen. VLAN ID på Sophos Firewall måste matcha exakt vad switchen skickar på den här länken.

Typiska mönster:

• Fysisk port som trunk: En switch upplänk transporterar flera VLANs taggade till brandväggen.
• LAG som en trunk: Flera fysiska portar bildar en LAG, på vilken det finns flera VLAN-gränssnitt.
• RED-gränssnitt: VLANs kan också schemaläggas på lämpliga RED-gränssnitt om platsläget och switchsidan är kompatibla.
• Åtkomstport utan VLAN-tagg: En terminalenhet hänger omärkt i en VLAN. Taggning sker på switchen, inte på klienten.
• Brygga med VLANs: Specialfodral som bör kontrolleras noggrant, speciellt för migrering eller transparent design.

Om en vanlig klientdator är direkt ansluten till en switchport skickar den normalt otaggade. Switchen mappar sedan denna port till en VLAN. Sophos Firewall ser bara VLAN på upplänken när switchen transporterar den VLAN taggade till brandväggen.

Enskilda portar eller VLAN trunk över LAG?

Teoretiskt kan du använda din egen fysiska brandväggsport per VLAN. Detta är förståeligt för mycket små installationer, men skalas dåligt. Portar blir knappa, kablarna blir förvirrande och ändringar av zoner, switchar eller HA blir tråkigare senare.

I produktiva miljöer är en båldesign vanligtvis renare:

1. Sophos Firewall är ansluten till en eller flera kärnomkopplare.
2. En fysisk port eller en LAG transporterar flera taggade VLANs.
3. På brandväggen skapas separata VLAN-gränssnitt på detta överordnade gränssnitt för varje VLAN.
4. Brandväggen förblir standardgatewayen för VLANs och beslutar om routing och säkerhetspolicyer.

Vår föredragna variant är ofta en LAG med två snabba upplänkar, till exempel 2x SFP+, så länge brandväggen och switcharna stödjer detta. VLANs körs sedan på den som taggade gränssnitt. Detta ger inte automatiskt dubbelt så hög hastighet för en enda session, men det ger mer redundans, fler reserver och en renare design än många enskilda kopparportar per VLAN.

De viktigaste varianterna:

• En brandväggsport per VLAN: lätt att förstå och kan implementeras med lite kunskap om VLAN. Men den skalar dåligt, kräver många portar och gör snabbt kablaget förvirrande.
• En trunkport med VLANs: enkel, ren och med få kablar. Emellertid förblir den individuella upplänken en enda felpunkt.
• LAG med VLAN trunk: redundant, ren och lätt skalbar. Switchen och brandväggen måste ha korrekt stöd för LAG eller LACP.
• Routing på kärnswitch: mycket presterande i stora nätverk. Brandväggen ser dock inte längre helt intern öst-västtrafik.

För många små och medelstora nätverk är Brandvägg som standardgateway för VLANs det bättre säkerhetsbeslutet. Intern trafik mellan VLANs körs sedan via Sophos Firewall och kan styras med brandväggsregler, IPS, webbpolicyer, loggning och senare säkerhetsfunktioner. Routing på kärnomkopplaren kan vara användbart om mycket hög intern öst-västgenomströmning krävs. Men då måste man medvetet acceptera att brandväggen inte längre ser varje intern kommunikation.

Som en tumregel:

• Säkerhetsorienterad och tydlig: VLAN gateways på Sophos Firewall.
• Mycket hög intern prestanda: Kontrollera routing på kärnswitchen, men lägg till säkerhetszoner och ACL:er rent.
• Nya installationer: Led VLANs till brandväggen via trunk eller LAG, slösa inte en enda port per VLAN.
• Små platser: En enda trunkport kan räcka om redundans inte krävs.

Vanliga missuppfattningar:

• VLAN skapas på brandväggen, men switchens upplänk transporterar den inte.
• VLAN är taggad på åtkomstporten, även om klienten förväntar sig att den inte är taggad.
• ID:t VLAN matchar inte på switchen och brandväggen.
• VLAN skapades på fel överordnat gränssnitt.
• Föräldergränssnittet finns i normalt transportsätt för stammar.
• En VLAN har redan skapats på det överordnade gränssnittet, varefter den fysiska porten spontant bör ändras till DHCP eller PPPoE. Sådana ändringar måste planeras i förväg eftersom Sophos inte tillåter att IP-tilldelningen av ett statiskt fysiskt gränssnitt godtyckligt ändras till DHCP eller PPPoE efter VLAN-konfiguration.

Skapa VLAN gränssnitt

Menysökväg:

Network > Interfaces > Add interface > Add VLAN

Procedur:

1. Tilldela Namn, till exempel Clients VLAN 100.
2. Välj det överordnade gränssnittet som Gränssnitt, till exempel Port3 eller LAG1.
3. Välj Nätverkszon medvetet.
4. Ange VLAN ID, till exempel 100.
5. Under IPv4-konfiguration använder du vanligtvis Static.
6. Ange IP-adressen och nätmasken, till exempel 10.100.0.1/24.
7. Spara.

För interna VLANs är brandväggens IP vanligtvis klienternas standardgateway. Om ett annat system dirigerar eller brandväggen bara ser vissa nätverk måste denna design dokumenteras explicit. Annars kommer du att söka efter brandväggsregler senare, även om klienten inte använder Sophos Firewall som en gateway.

Efter att du har sparat bör du öppna det överordnade gränssnittet under Network > Interfaces eller använda filtret VLAN. Sophos visar VLAN-gränssnitt under det överordnade gränssnittet och även i vyn VLAN. Det automatiskt genererade maskinvarunamnet är baserat på Parent Interface och VLAN ID; Det beskrivande gränssnittsnamnet är dock särskilt viktigt för driften eftersom det visas i andra inställningar, loggar och regler.

Ett lämpligt nätverksobjekt bör också skapas för brandväggsregler:

Hosts and services > IP host

Exempel:

• Namn: NET_Client_VLAN100
• IP-version: IPv4
• Typ: Network
• IP-adress: 10.100.0.0
• Subnät: /24

Sådana objekt gör regler, loggsökningar och efterföljande recensioner mycket tydligare än råa IP-intervall i varje enskild regel.

Konfigurera DHCP och DNS

Efter VLAN-gränssnittet krävs ett beslut för att tilldela adresser.

• DHCP till Sophos Firewall: lämplig för enkla platser, klient-, gäst-, IoT- eller VoIP-nätverk.
• DHCP Relä: användbar för central Windows DHCP server eller befintlig DHCP infrastruktur.
• Extern DHCP-server i VLAN: Speciellt fall när en server är ansvarig direkt i VLAN.
• Statiska IP-adresser: lämplig för små server-, hanterings- eller infrastrukturnätverk.

DHCP på Sophos Firewall skapas under Nätverk > DHCP. Gränssnitt, räckvidd, gateway, DNS-server och sökdomän är viktiga. Specialalternativ som PXE, VoIP eller tillverkarspecifika värden beskrivs i Sophos Firewall DHCP Konfigurera alternativ.

Sophos Firewall kan konfigurera DHCP servrar och DHCP reläer på fysiska och virtuella gränssnitt som VLANs, trådlösa nätverk och bryggor. Det här är inte rätt plats på aliasgränssnitt. Om DHCP planeras över VPN rutter, måste det också kontrolleras om den specifika VPN designen stöder DHCP relä; Detta är inte automatiskt fallet med ruttbaserade VPNs.

När du designar DNS, bör du tydligt bestämma om klienter använder Sophos Firewall som en DNS speditör eller direkt fråga interna DNS servrar. När brandväggen fungerar som en DNS vidarebefordrare, måste interna domäner ofta vidarebefordras till rätt DNS servrar via DNS Request Routes på Sophos Firewall.

Kontrollera Device Access

Device Access styr lokala tjänster för Sophos Firewall. Detta är inte samma sak som en brandväggsregel mellan VLANs.

Typiska exempel:

• Klienter bör använda brandväggen som en DNS-server: tillåt DNS för zonen.
• Felsökning bör tillåta ping på brandväggen: aktivera medvetet Ping/Ping6.
• Normala klient-, gäst- eller IoT VLANs ska inte ha WebAdmin eller SSH åtkomst.
• Hanteringsåtkomst bör köras via ditt eget administratörsnätverk eller lokal tjänst ACL Exception Rules.

Den exakta processen finns i Sophos Firewall Säker åtkomst: konfigurera Device Access korrekt.

Lägg till brandväggsregler och NAT

En ny VLAN behöver då lämpliga brandväggsregler. Utan en regel kan en klient få en IP-adress, men inte automatiskt på Internet eller andra interna nätverk.

En enkel första internetregel kan se ut så här:

• Regelnamn: Clients_to_WAN
• Källzoner: Client eller LAN
• Källnätverk: VLAN nätverk, till exempel 10.100.0.0/24
• Destinationszoner: WAN
• Destinationsnätverk: Any
• Tjänster: tjänster som krävs medvetet, inte automatiskt Any
• Logg brandväggstrafik: aktiverad

Separata regler bör skapas för intern åtkomst. En gäst, IoT eller kamera VLAN ska inte tillåtas till servern eller hanteringsnätverket över hela linjen. Regelplanering beskrivs mer i detalj i Sophos Firewall-Förstå och säkert konfigurera regler.

NAT är inte nödvändigt för varje VLAN trafik. För normal Internetåtkomst används ofta den befintliga MASQ- eller SNAT-regeln. Mellan interna VLANs är NAT vanligtvis felaktig eftersom målsystem då inte längre ser den verkliga klientens IP. Klassificeringen är i NAT förstå Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Acceptanstest

En VLAN är inte komplett förrän paketflödet har bevisats. En enda ping räcker inte.

Användbar testprocedur:

1. Anslut testklienten till den avsedda switchporten eller SSID.
2. Kontrollera om klienten får en IP-adress från rätt VLAN.
3. Kontrollera gateway, DNS-server och sökdomän.
4. Pinga brandväggs-IP i VLAN om ping är tillåtet.
5. Testa DNS upplösning för interna och externa namn.
6. Testa tillåten internetåtkomst.
7. Testa tillåten intern åtkomst, om sådan finns.
8. Testa avsiktligt inte tillåten intern åtkomst och kontrollera blocket i Log Viewer.
9. I Log Viewer markera Rule ID, källzon, destinationszon och NAT ID.
10. Om det är oklart, använd Packet capture på VLAN-gränssnittet.

För utvärderingen med Log Viewer, Policy Test och Packet Capture, passar Sophos Firewall testregel med Log Viewer, Policy Test och Packet Capture.

Typiska misstag

• VLAN tillåts inte på switchens upplänk: Klienten får ingen IP-adress eller når inte gatewayen. Kontrollera trunk eller taggad VLAN på switchen.
• Felaktigt föräldragränssnitt: Brandväggen ser inte trafiken. Jämför VLAN gränssnitt och fysiska kablar.
• VLAN ID finns redan på samma överordnade gränssnitt: Sophos Firewall tillåter inte samma VLAN ID två gånger på samma fysiska gränssnitt. Jag måste kontrollera att du är i VLAN-gränssnittsligan för att skapa i dubblett.
• Klientport tagged istället för untagged: Normala klienter hamnar inte i VLAN. Kontrollera accessporten eller Native-VLAN-profilen.
• DHCP saknas eller är felaktig DHCP svarar: Klienten får ingen IP-adress eller en felaktig IP-adress. Kontrollera DHCP leasingavtal och Packet Capture för UDP 67/68.
• Inget IP-värdobjekt för VLAN:-reglerna innehåller råa nätverk eller felaktiga objekt. Skapa en ren IP-värd under Hosts and services och använd den i regler.
• DNS Device Access saknas: IP-trafik fungerar, men namnupplösning gör det inte. Kontrollera Device Access och klient DNS.
• Fel zon valt: Regler eller policyer gäller inte som förväntat. Jämför regler för gränssnittszon och brandvägg.
• Brandväggsregel saknas: Klienten har en IP-adress, men trafiken är blockerad. Kontrollera Log Viewer och Rule ID.
• NAT mellan interna VLANs: Målsystem ser en felaktig käll-IP. Granska NAT regler och planera interna NAT undantag.

Om en regel inte stämmer överens ligger problemet ofta i zon, källnätverk, gateway eller switchtaggning. Artikeln Sophos Firewall-regeln gäller inte: kontrollera orsakerna hjälper till med distinktionen.

Driftskontroll

För produktiva VLANs bör inte bara den initiala konfigurationen vara korrekt. Det är avgörande att senare administratörer kan förstå varför VLAN existerar och vilka regler som hör till den.

Du bör dokumentera:

• VLAN ID, namn och subnät
• Föräldragränssnitt och switch upplänk
• automatiskt genererat maskinvarunamn och beskrivande gränssnittsnamn
• Zon och säkerhetssyfte
• IP-värdobjekt för brandväggsregler
• DHCP källa och DNS server
• tillåtna målzoner och tjänster
• NAT beslut
• ansvarig ägare
• Testklient eller testprocedur
• Datum för senaste regelkontroll

För större miljöer är en enkel åtkomstmatris också värt besväret. En sådan matris visar vilka VLANs som får prata med varandra och vilka som medvetet förblir åtskilda.

En enkel åtkomstmatris kan se ut så här:

• Clients to Internet: tillåtet med webbpolicy, DNS Protection och loggning.
• Kunder till server: endast definierade applikationsportar.
• Gäster till intern: blockerad.
• IoT till Internet: endast obligatoriska destinationer och portar.
• IoT till server: endast till NVR, skrivarserver eller hanteringssystem.
• Management to Infrastructure: tillåtet för administratörsloggar.
• Säkerhetskopiering till server: specifikt tillåtet, vilket kraftigt begränsar omvänd riktning.

Denna matris är ofta viktigare än själva listan VLAN. Detta förhindrar att allmänna regler skapas senare som faktiskt undergräver segmenteringen.

Vanliga frågor