Konfigurera och testa VLAN på Sophos Firewall

En VLAN på Sophos Firewall är mer än ett VLAN ID. För att det nya nätverket verkligen ska fungera måste föräldragränssnitt, switchtaggning, zon, IP-adress, DHCP, DNS, Device Access, brandväggsregler och NAT matcha.

Artikeln beskriver det generiska Sophos-brandväggsflödet och viktiga operativa beslut kring segmentering, zon, DHCP, regler och testning. Om det handlar om en konkret implementering med UniFi-switchar så passar artikeln VLAN på Sophos Firewall och konfigurera UniFi-switch. För speciella bryggfall enligt SFOS 22 är Sophos Firewall Kontrollera Bridge-VLANs enligt SFOS 22 den bättre starten.

Kort svar

En VLAN skapas på Sophos Firewall under Network > Interfaces > Add interface > Add VLAN. Efter det behöver du vanligtvis:

• en lämplig zon
• en statisk IP-adress som en gateway
• DHCP server eller DHCP relä
• DNS design
• Device Access för lokala brandväggstjänster
• Brandväggsregler för Internet, interna nätverk eller servrar
• Loggning och ett kort acceptanstest

Endast när en testklient visar IP-adressen, gatewayen, DNS, tillåtna anslutningar, blockerade anslutningar och lämpliga loggposter godkänns VLAN.

När en VLAN är vettig

VLANs skiljer logiskt lager 2-nätverk från varandra. På Sophos Firewall används de ofta för att köra flera nätverk över samma fysiska upplänk eller en LAG.

Typiska tillämpningar:

• Separat klientnätverk och servernätverk
• Isolera gäst WLAN från intern LAN
• Sätt VoIP-telefoner i sitt eget nätverk
• Begränsa IoT, kameror eller skrivare
• Skapa ett hanteringsnätverk för administratörsdatorer, switchar och övervakning
• Dirigera DMZ eller servernätverk över en gemensam switchupplänk

En VLAN ersätter dock inte brandväggsregler. Det säkerställer teknisk separation på lager 2. Huruvida trafik tillåts mellan VLANs avgörs sedan av Sophos Firewall via zoner, routing, brandväggsregler, NAT och säkerhetspolicyer.

Ett VLAN kan sträcka sig över flera switchar. Trafik mellan enheter i samma VLAN vidarebefordras genom switcharna inom det lager 2-nätet och passerar normalt inte VLAN:ets gateway. Även när Sophos Firewall är standardgateway inspekterar den därför inte automatiskt kommunikationen inom samma VLAN. Trafik mellan olika VLAN behöver en lager 3-väg genom en router, lager 3-switch eller brandvägg.

Planera VLAN arkitektur

Den viktigaste frågan är inte hur man skapar en VLAN. Den viktigare frågan är vilka säkerhetsområden ska det finnas i nätverket. Många problem uppstår eftersom VLANs skapas rent tekniskt: VLAN 10, VLAN 20, VLAN 30. Efter några månader vet ingen vilken kommunikation som ska tillåtas och varför vissa nätverk kopplades bort.

Vi rekommenderar att först planera VLANs utifrån risk, funktion och operativt ansvar. En bra startstruktur ser ofta ut så här:

• Hantering: Admin-datorer, switchar, åtkomstpunkter, övervakning och kontroller. Tillgång till administrativa gränssnitt bör vara mycket noggrant kontrollerad.
• Kunder: Arbetsstationsenheter, bärbara datorer och vanliga användarenheter. Detta är vanligtvis standardnätverket med internetåtkomst och riktade interna godkännanden.
• Server: Domänkontrollant, filserver och applikationsserver. Servrar bör inte vara direkt åtkomliga från alla klientnätverk.
• Gäster: Gäst WLAN och externa enheter. Detta nätverk behöver normalt bara internet och ingen tillgång till interna system.
• IoT och kameror: Kameror, skrivare, sensorer och byggnadsteknik. Många av dessa enheter har svaga uppdaterings- och säkerhetsmodeller.
• VoIP: Telefoner, PBX och SBC. Egna DHCP-alternativ, QoS och tydlig tillgänglighet är ofta till hjälp här.
• Säkerhetskopiering: Säkerhetskopieringsservrar, arkiv och oföränderlig lagring. Separation skyddar mot ransomware och rörelse i sidled.
• DMZ: Allmänt tillgängliga system eller omvända proxyservrar. Utsatta tjänster hör hemma i ett separat område.

Detta är inte ett stelbent schema. Ett litet kontor behöver inte nödvändigtvis tio VLANs. En miljö med flera platser, servrar, WLANs, kameror, backupsystem och extern åtkomst bör dock inte lägga allt i en stor LAN.

Klassificera mikrosegmentering realistiskt

Mikrosegmentering betyder inte att varje enskild enhet behöver sin egen VLAN. I praktiken är den bättre starten vanligtvis ren makrosegmentering: klienter, servrar, hantering, gäster, IoT, backup och DMZ separeras. Särskilt kritiska system kan då segmenteras finare.

Exempel på finare segmentering:

• Placera domänkontrollanten i sitt eget serverundernät.
• Gör säkerhetskopieringssystem endast tillgängliga från ett fåtal källor.
• Tillåt kameranätverk endast för NVR eller VMS.
• Gör skrivare endast tillgängliga via skrivarservrar eller definierade klientnätverk.
• Open Management-VLAN endast för administratörsenheter och övervakning.

Det viktiga är att varje ytterligare separation också genererar driftskostnader. Det behövs regler, loggar, tester, dokumentation och någon för att upprätthålla undantagen. Bra segmentering är inte så komplicerat som möjligt, utan snarare begriplig och verifierbar.

Förberedelse för ZTNA och moderna åtkomster

En ren VLAN-struktur hjälper också senare med ZTNA, VPN, SASE eller andra åtkomstkoncept. Om interna applikationer redan finns i tydliga server- eller applikationsnätverk kan åtkomst publiceras mer specifikt och du behöver inte släppa en komplett platt LAN.

Följande är särskilt användbart för ZTNA:

• Applikationsservrar finns i kända servernätverk.
• Hanteringsåtkomst är separerad från normal klienttrafik.
• DNS-namn och interna rutter är tydligt dokumenterade.
• Brandväggsregler visar vilka användare eller platsgrupper som kräver vilka mål.
• Gamla filt LAN to LAN eller Any to Any regler håller på att demonteras.

Om Sophos ZTNA används senare kan du komma igång via Planera och skapa Sophos ZTNA gateway. VLAN planering är inte ett nödvändigt krav för detta, men det gör senare operationer mycket renare.

Hur många VLAN behövs?

Det finns inget fast rätt antal. Skapa VLAN där det behövs ett separat säkerhetsbeslut.

Din egen VLAN är vanligtvis vettig om minst en av dessa punkter gäller:

• Nätverket behöver andra brandväggsregler. Då bör en egen zon eller åtminstone ett eget VLAN-objekt planeras.
• Device Access borde se annorlunda ut. En separat zon är ofta renare.
• DHCP alternativen skiljer sig, till exempel för VoIP, PXE eller gästnätverk.
• Trafiken bör loggas, övervakas eller utvärderas separat.
• Enheterna har en väsentligt annorlunda risk, till exempel IoT, gäster, backup eller hantering.
• Det finns andra personer som är ansvariga eller sin egen driftprocess.

Men du bör inte omedelbart tvinga in varje litet specialämne till en ny VLAN. Om två klientnätverk får exakt samma regler, samma webbpolicy och samma Device Access kan det räcka med en gemensam zon med tydliga nätverksobjekt.

Planera i förväg

Innan du sätter på den bör VLAN dokumenteras kort. Detta behöver inte vara en stor nätverksplan, men de viktigaste värdena bör vara tydliga.

Det räcker ofta med ett kompakt planeringsset:

• VLAN Namn: till exempel Clients
• VLAN ID: till exempel 100
• Subnät: till exempel 10.100.0.0/24
• Gateway på Sophos Firewall: till exempel 10.100.0.1
• Föräldragränssnitt: till exempel Port3 eller LAG1
• Zon: till exempel Client, LAN, Guest, Server eller DMZ
• DHCP: Sophos Firewall, DHCP relä eller extern server
• DNS: Brandvägg, intern DNS-server eller avsiktligt annan design
• Syfte: till exempel arbetsstationsklienter med internetåtkomst

Zonen är särskilt viktig. Den här inställningen påverkar senare brandväggsregler, Device Access, webbpolicyer, IPS, loggar och felsökning. Sophos Firewall Konfigurera zoner och gränssnitt är lämplig för grundläggande zonplanering.

ID:t VLAN måste vara inom det giltiga intervallet 1 till 4094. Samma VLAN ID kan inte skapas flera gånger på samma fysiska överordnade gränssnitt. I produktiva nätverk bör ID:t inte bara tilldelas tekniskt, utan bör även namnges med switchkonfigurationen, WLAN-SSID, DHCP-Scope, dokumentation och övervakning. Om VLAN 100 heter Clients på brandväggen, men Office på switchen och LAN-neu på DHCP, blir felsökningen onödigt mödosam.

För en XGS Appliance anger Sophos ingen fast gräns för antalet VLAN-gränssnitt per fysiskt gränssnitt. Det gör inte en obegränsad trunk till en bra design. Sophos rekommenderar att många VLAN fördelas över flera gränssnitt för bättre prestanda och hanterbarhet. Ta hänsyn till belastning, modell, redundans och om trafikvägen fortfarande är begriplig under ett avbrott.

Förstå parent interface och switchtaggning

Föräldragränssnittet är den fysiska porten, bryggan eller LAG på vilken Sophos Firewall tar emot de taggade VLAN-paketen. VLAN ID på Sophos Firewall måste matcha exakt vad switchen skickar på den här länken.

Typiska mönster:

• Fysisk port som trunk: En switch upplänk transporterar flera VLANs taggade till brandväggen.
• LAG som en trunk: Flera fysiska portar bildar en LAG, på vilken det finns flera VLAN-gränssnitt.
• RED-gränssnitt: VLAN genom en SD-RED 60 kräver Standard/Unified och lämpliga LAN-portlägen. Välj rätt driftläge för Sophos RED förklarar gränserna.
• Åtkomstport utan VLAN-tagg: En terminalenhet hänger omärkt i en VLAN. Taggning sker på switchen, inte på klienten.
• Brygga med VLANs: Specialfodral som bör kontrolleras noggrant, speciellt för migrering eller transparent design.

Om en vanlig klientdator är direkt ansluten till en switchport skickar den normalt otaggade. Switchen mappar sedan denna port till en VLAN. Sophos Firewall ser bara VLAN på upplänken när switchen transporterar den VLAN taggade till brandväggen.

Enskilda portar eller VLAN trunk över LAG?

Teoretiskt kan du använda din egen fysiska brandväggsport per VLAN. Detta är förståeligt för mycket små installationer, men skalas dåligt. Portar blir knappa, kablarna blir förvirrande och ändringar av zoner, switchar eller HA blir tråkigare senare.

I produktiva miljöer är en båldesign vanligtvis renare:

1. Sophos Firewall är ansluten till en eller flera kärnomkopplare.
2. En fysisk port eller en LAG transporterar flera taggade VLANs.
3. På brandväggen skapas separata VLAN-gränssnitt på detta överordnade gränssnitt för varje VLAN.
4. Brandväggen förblir standardgatewayen för VLANs och beslutar om routing och säkerhetspolicyer.

Vår föredragna variant är ofta en LAG med två snabba upplänkar, till exempel 2x SFP+, så länge brandväggen och switcharna stödjer detta. VLANs körs sedan på den som taggade gränssnitt. Detta ger inte automatiskt dubbelt så hög hastighet för en enda session, men det ger mer redundans, fler reserver och en renare design än många enskilda kopparportar per VLAN.

De viktigaste varianterna:

• En brandväggsport per VLAN: lätt att förstå och kan implementeras med lite kunskap om VLAN. Men den skalar dåligt, kräver många portar och gör snabbt kablaget förvirrande.
• En trunkport med VLANs: enkel, ren och med få kablar. Emellertid förblir den individuella upplänken en enda felpunkt.
• LAG med VLAN trunk: redundant, ren och lätt skalbar. Switchen och brandväggen måste ha korrekt stöd för LAG eller LACP.
• Routing på kärnswitch: mycket presterande i stora nätverk. Brandväggen ser dock inte längre helt intern öst-västtrafik.

För många små och medelstora nätverk är Brandvägg som standardgateway för VLANs det bättre säkerhetsbeslutet. Intern trafik mellan VLANs körs sedan via Sophos Firewall och kan styras med brandväggsregler, IPS, webbpolicyer, loggning och senare säkerhetsfunktioner. Routing på kärnomkopplaren kan vara användbart om mycket hög intern öst-västgenomströmning krävs. Men då måste man medvetet acceptera att brandväggen inte längre ser varje intern kommunikation.

Som en tumregel:

• Säkerhetsorienterad och tydlig: VLAN gateways på Sophos Firewall.
• Mycket hög intern prestanda: Kontrollera routing på kärnswitchen, men lägg till säkerhetszoner och ACL:er rent.
• Nya installationer: Led VLANs till brandväggen via trunk eller LAG, slösa inte en enda port per VLAN.
• Små platser: En enda trunkport kan räcka om redundans inte krävs.

Vanliga missuppfattningar:

• VLAN skapas på brandväggen, men switchens upplänk transporterar den inte.
• VLAN är taggad på åtkomstporten, även om klienten förväntar sig att den inte är taggad.
• ID:t VLAN matchar inte på switchen och brandväggen.
• VLAN skapades på fel överordnat gränssnitt.
• Det överordnade gränssnittet användes som en vanlig accessport i stället för som en trunk.
• En VLAN har redan skapats på det överordnade gränssnittet, varefter den fysiska porten spontant bör ändras till DHCP eller PPPoE. Sådana ändringar måste planeras i förväg eftersom Sophos inte tillåter att IP-tilldelningen av ett statiskt fysiskt gränssnitt godtyckligt ändras till DHCP eller PPPoE efter VLAN-konfiguration.

Skapa VLAN gränssnitt

Menysökväg:

Network > Interfaces > Add interface > Add VLAN

Procedur:

1. Ange ett Name med högst 58 tecken, till exempel Clients VLAN 100. Namnet kan ändras senare och visas i andra inställningar.
2. Välj det överordnade gränssnittet som Gränssnitt, till exempel Port3 eller LAG1.
3. Välj Zone utifrån VLAN:ets roll.
4. Ange VLAN ID, till exempel 100.
5. Under IPv4-konfiguration använder du vanligtvis Static.
6. Ange IP-adressen och nätmasken, till exempel 10.100.0.1/24.
7. Spara.

För interna VLANs är brandväggens IP vanligtvis klienternas standardgateway. Om ett annat system dirigerar eller brandväggen bara ser vissa nätverk måste denna design dokumenteras explicit. Annars kommer du att söka efter brandväggsregler senare, även om klienten inte använder Sophos Firewall som en gateway.

Efter att du har sparat bör du öppna det överordnade gränssnittet under Network > Interfaces eller använda filtret VLAN. Sophos visar VLAN-gränssnitt under det överordnade gränssnittet och även i vyn VLAN. Det automatiskt genererade maskinvarunamnet är baserat på Parent Interface och VLAN ID; Det beskrivande gränssnittsnamnet är dock särskilt viktigt för driften eftersom det visas i andra inställningar, loggar och regler.

För att ändra ett befintligt VLAN öppnar du Network > Interfaces > VLAN, menyn för det aktuella VLAN:et och väljer Edit interface. Spara ändringarna med Save och kontrollera sedan de berörda anslutningarna igen. Se till att det finns en oberoende administrativ åtkomstväg innan du ändrar gateway, zon eller överordnat gränssnitt.

IPv4-tilldelning för interna VLAN och WAN-VLAN

Static är nästan alltid rätt val för ett internt VLAN eftersom klienterna behöver en stabil standardgateway. När zonen WAN väljs kräver SFOS även Gateway name och, vid statisk tilldelning, Gateway IP address.

Ett WAN-VLAN kan i stället använda DHCP eller PPPoE under IPv4 configuration. Med DHCP visar SFOS adress, nätmask och gateway från operatören. PPPoE kräver minst Username och Password. Preferred IP är bara ett önskemål; servern kan tilldela en annan adress. Ange Access concentrator/service name endast om operatören kräver det.

Ändra LCP echo interval eller LCP failure endast när mätningar eller operatörens krav motiverar det. Att avmarkera rutan stänger inte av LCP, utan återställer 20 sekunder och 3 obesvarade förfrågningar. Lägg Schedule time for reconnect i ett underhållsfönster, eftersom operatören kan ge en dynamisk adress efter återanslutningen. Kontrollera därefter gateway, publik adress, DNS, NAT och en verklig internetanslutning.

Med PPPoE visar IPv4/netmask den IPv4-adress och nätmask som operatören har tilldelat; Gateway IP address visar den konfigurerade gatewayens IP-adress. Detta är visningsfält, inte fält för statisk inmatning. Access concentrator/service name begränsar anslutningar till accesskoncentratorer som kan tillhandahålla den angivna tjänsten. LCP echo interval anger intervallet mellan ekoförfrågningar som kontrollerar länken. Om förfrågningarna som anges av LCP failure förblir obesvarade kopplar SFOS ned PPPoE-anslutningen. Kontrollera först länken och operatören vid oväntade avbrott i stället för att bara höja gränsvärdet.

IPv6, prefix delegation och Router Advertisement

Under IPv6 configuration finns Static, DHCP och Delegated. Ett WAN-VLAN kan hämta sin IPv6-adress via DHCPv6. I läget Auto väljer SFOS metod, medan Manual skiljer mellan DHCP only och Stateless. Med Stateless följer adresskonfigurationen M- och O-flaggorna i mottagna router advertisements; Accept other configuration from DHCP kan hämta ytterligare värden, exempelvis DNS, via DHCPv6.

För Static under IPv6 configuration anger du den planerade IPv6-adressen och prefixet i IPv6/prefix. När Zone är WAN anger du även Gateway name och gatewayens IPv6-adress i Gateway IP address. Adress, prefix och gateway måste stämma med operatörens eller nätets adressplan.

För att distribuera ett prefix från operatören aktiveras DHCP prefix delegation på WAN-VLAN:et. Preferred delegated prefix accepterar prefixlängderna /48, /52, /56 och /60; operatören kan ändå delegera ett annat prefix. DHCP rapid commit förkortar endast utbytet om DHCPv6-servern också stöder Rapid Commit.

Prefixadressen i Preferred delegated prefix är valfri: den kan lämnas tom medan du anger en av de stödda prefixlängderna. För DHCP rapid commit räcker det inte att servern stöder funktionen: Rapid Commit måste även vara aktiverat på DHCPv6-servern. Vid IPv6-tilldelning med DHCP kräver zonen WAN också Gateway name; Gateway IP visar den konfigurerade gatewayens IPv6-adress.

Det interna VLAN:et använder därefter Delegated och det förberedda WAN-gränssnittet som Upstream interface. SFOS härleder VLAN:ets IPv6-adress och subnät från detta. Router advertisement ger klienterna adressinformation; den valfria DHCPv6 server levererar ytterligare parametrar som DNS, men inga IPv6-adresser i det här läget. Konfigurera IPv6 prefix delegation i Sophos Firewall beskriver hela flödet från operatör till subnät, medan IPv6 Router Advertisement i Sophos Firewall behandlar klientsidan.

I läget Delegated visar IPv6 address den tilldelade adressen med delegerat prefix, Subnet ID, Interface ID och prefixlängd. Denna uppbyggnad hjälper dig att kontrollera att VLAN:et använder förväntat prefix och rätt subnät. Om gränssnittet tilldelas zonen WAN anger du även Gateway name och IPv6-gatewayadressen i Gateway IP; ett vanligt internt VLAN använder inte denna WAN-inmatningsgren.

För ett VLAN med DHCPv6 begränsar DAD attempts antalet försök för Duplicate Address Detection. Under Allowed RA servers tillåts endast förväntade router-advertisementkällor med hjälp av deras MAC- eller IPv6-adress. Båda inställningarna hör till den dokumenterade IPv6-topologin och bör inte ändras på måfå eller öppnas brett.

DAD attempts räknar här de på varandra följande Neighbor Solicitation-meddelanden som skickas för Duplicate Address Detection av en preliminär adress, inte anslutningsförsök till operatören.

Ett lämpligt nätverksobjekt bör också skapas för brandväggsregler:

Hosts and services > IP host

Exempel:

• Namn: NET_Client_VLAN100
• IP-version: IPv4
• Typ: Network
• IP-adress: 10.100.0.0
• Subnät: /24

Sådana objekt gör regler, loggsökningar och efterföljande recensioner mycket tydligare än råa IP-intervall i varje enskild regel.

Konfigurera DHCP och DNS

Efter VLAN-gränssnittet krävs ett beslut för att tilldela adresser.

• DHCP till Sophos Firewall: lämplig för enkla platser, klient-, gäst-, IoT- eller VoIP-nätverk.
• DHCP Relä: användbar för central Windows DHCP server eller befintlig DHCP infrastruktur.
• Extern DHCP-server i VLAN: Speciellt fall när en server är ansvarig direkt i VLAN.
• Statiska IP-adresser: lämplig för små server-, hanterings- eller infrastrukturnätverk.

Hur adressintervall, gateway, DNS, leasetider och statiska tilldelningar planeras och testas beskrivs i Konfigurera Sophos Firewall som DHCP-server. Specialalternativ som PXE, VoIP eller tillverkarspecifika värden beskrivs i Konfigurera DHCP-alternativ på Sophos Firewall.

Sophos Firewall kan konfigurera DHCP servrar och DHCP reläer på fysiska och virtuella gränssnitt som VLANs, trådlösa nätverk och bryggor. Det här är inte rätt plats på aliasgränssnitt. Om DHCP planeras över VPN rutter, måste det också kontrolleras om den specifika VPN designen stöder DHCP relä; Detta är inte automatiskt fallet med ruttbaserade VPNs.

När du designar DNS, bör du tydligt bestämma om klienter använder Sophos Firewall som en DNS speditör eller direkt fråga interna DNS servrar. När brandväggen fungerar som en DNS vidarebefordrare, måste interna domäner ofta vidarebefordras till rätt DNS servrar via DNS Request Routes på Sophos Firewall.

Kontrollera Device Access

Device Access styr lokala tjänster för Sophos Firewall. Detta är inte samma sak som en brandväggsregel mellan VLANs.

Typiska exempel:

• Klienter bör använda brandväggen som en DNS-server: tillåt DNS för zonen.
• Felsökning bör tillåta ping på brandväggen: aktivera medvetet Ping/Ping6.
• Normala klient-, gäst- eller IoT VLANs ska inte ha WebAdmin eller SSH åtkomst.
• Hanteringsåtkomst bör köras via ditt eget administratörsnätverk eller lokal tjänst ACL Exception Rules.

Den exakta processen finns i Sophos Firewall Säker åtkomst: konfigurera Device Access korrekt.

Lägg till brandväggsregler och NAT

En ny VLAN behöver då lämpliga brandväggsregler. Utan en regel kan en klient få en IP-adress, men inte automatiskt på Internet eller andra interna nätverk.

Skapa en ny regel under Rules and policies > Add firewall rule > New firewall rule. Ange käll- och destinationszoner, nätverksobjekt och tjänster från din VLAN-plan och spara med Save.

VLAN-specifika brandväggsregler kan även kräva användarautentisering. Åtkomsten beror då inte bara på källnätet och zonen, utan även på den inloggade användaren eller användarens grupp. Ett VLAN i sig autentiserar inga användare: konfigurera lämplig autentisering och kontrollera den med både en behörig och en obehörig testanvändare.

En enkel första internetregel kan se ut så här:

• Regelnamn: Clients_to_WAN
• Källzoner: Client eller LAN
• Källnätverk: VLAN nätverk, till exempel 10.100.0.0/24
• Destinationszoner: WAN
• Destinationsnätverk: Any
• Tjänster: tjänster som krävs medvetet, inte automatiskt Any
• Logg brandväggstrafik: aktiverad

Separata regler bör skapas för intern åtkomst. En gäst, IoT eller kamera VLAN ska inte tillåtas till servern eller hanteringsnätverket över hela linjen. Regelplanering beskrivs mer i detalj i Sophos Firewall-Förstå och säkert konfigurera regler.

Det officiella exemplet placerar båda VLAN-näten som både källa och destination i en regel från LAN till LAN. Det fungerar i ett labb, men är oftast för brett i produktion. Använd hellre riktade regler, exempelvis Clients_to_Server_HTTPS från NET_Client_VLAN100 till ett enda serverobjekt och endast HTTPS. Lägg bara till den omvända regeln om system i servernätet faktiskt måste initiera anslutningar till klienterna. Då visar loggarna tydligt vilken riktning som var avsedd.

NAT är inte nödvändigt för varje VLAN trafik. För normal Internetåtkomst används ofta den befintliga MASQ- eller SNAT-regeln. Mellan interna VLANs är NAT vanligtvis felaktig eftersom målsystem då inte längre ser den verkliga klientens IP. Klassificeringen är i NAT förstå Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Acceptanstest

En VLAN är inte komplett förrän paketflödet har bevisats. En enda ping räcker inte.

Användbar testprocedur:

1. Anslut testklienten till den avsedda switchporten eller SSID.
2. Kontrollera om klienten får en IP-adress från rätt VLAN.
3. Kontrollera gateway, DNS-server och sökdomän.
4. Pinga brandväggs-IP i VLAN om ping är tillåtet.
5. Testa DNS upplösning för interna och externa namn.
6. Testa tillåten internetåtkomst.
7. Testa tillåten intern åtkomst, om sådan finns.
8. Testa avsiktligt inte tillåten intern åtkomst och kontrollera blocket i Log Viewer.
9. I Log Viewer markera Rule ID, källzon, destinationszon och NAT ID.
10. Om det är oklart, använd Packet capture på VLAN-gränssnittet.

För analys med Log Viewer, Policy Test och Packet Capture passar Testa Sophos Firewall-regler med Log Viewer, Policy Test och Packet Capture.

Typiska misstag

• VLAN tillåts inte på switchens upplänk: Klienten får ingen IP-adress eller når inte gatewayen. Kontrollera trunk eller taggad VLAN på switchen.
• Felaktigt föräldragränssnitt: Brandväggen ser inte trafiken. Jämför VLAN gränssnitt och fysiska kablar.
• VLAN ID finns redan på samma överordnade gränssnitt: Sophos Firewall tillåter inte samma VLAN ID två gånger på samma fysiska gränssnitt. Kontrollera befintliga VLAN-gränssnitt i stället för att skapa en dubblett.
• Klientport tagged istället för untagged: Normala klienter hamnar inte i VLAN. Kontrollera accessporten eller Native-VLAN-profilen.
• DHCP saknas eller fel DHCP-server svarar: Klienten får ingen IP-adress eller en felaktig adress. Kontrollera DHCP-leases och Packet Capture för UDP 67/68.
• Inget IP-värdobjekt för VLAN:-reglerna innehåller råa nätverk eller felaktiga objekt. Skapa en ren IP-värd under Hosts and services och använd den i regler.
• DNS Device Access saknas: IP-trafik fungerar, men namnupplösning gör det inte. Kontrollera Device Access och klient DNS.
• Fel zon valt: Regler eller policyer gäller inte som förväntat. Jämför regler för gränssnittszon och brandvägg.
• Brandväggsregel saknas: Klienten har en IP-adress, men trafiken är blockerad. Kontrollera Log Viewer och Rule ID.
• NAT mellan interna VLANs: Målsystem ser en felaktig käll-IP. Granska NAT regler och planera interna NAT undantag.

Om en regel inte stämmer överens ligger problemet ofta i zon, källnätverk, gateway eller switchtaggning. Artikeln Sophos Firewall-regeln gäller inte: kontrollera orsakerna hjälper till med distinktionen.

Återställ ändringen

Ta inte bort VLAN-gränssnittet som första felsökningssteg. Återställ först den tidigare switchports- eller SSID-tilldelningen och kontrollera vilka DHCP-konfigurationer, regler, NAT-regler, rutter och objekt som använder VLAN:et. Då förblir den senast fungerande konfigurationen åtkomlig. Kontrollera en oberoende administrativ åtkomst före borttagningen och ta bort varje beroende eller tilldela det till ett annat gränssnitt.

Efter en kontrollerad migrering öppnar du Network > Interfaces > VLAN, gränssnittets meny och väljer Delete interface. Bekräfta sedan att VLAN:et inte längre behövs på trunken och att inga klienter får adresser från subnätet. Vid en misslyckad utrullning räcker det oftast att återställa port eller SSID, inaktivera de nya reglerna och låta gränssnittet finnas kvar tills orsaken är känd.

Driftskontroll

För produktiva VLANs bör inte bara den initiala konfigurationen vara korrekt. Det är avgörande att senare administratörer kan förstå varför VLAN existerar och vilka regler som hör till den.

Du bör dokumentera:

• VLAN ID, namn och subnät
• Föräldragränssnitt och switch upplänk
• automatiskt genererat maskinvarunamn och beskrivande gränssnittsnamn
• Zon och säkerhetssyfte
• IP-värdobjekt för brandväggsregler
• DHCP källa och DNS server
• tillåtna målzoner och tjänster
• NAT beslut
• ansvarig ägare
• Testklient eller testprocedur
• Datum för senaste regelkontroll

För större miljöer är en enkel åtkomstmatris också värt besväret. En sådan matris visar vilka VLANs som får prata med varandra och vilka som medvetet förblir åtskilda.

En enkel åtkomstmatris kan se ut så här:

• Clients to Internet: tillåtet med webbpolicy, DNS Protection och loggning.
• Kunder till server: endast definierade applikationsportar.
• Gäster till intern: blockerad.
• IoT till Internet: endast obligatoriska destinationer och portar.
• IoT till server: endast till NVR, skrivarserver eller hanteringssystem.
• Hantering till infrastruktur: tillåtet för administrationsprotokoll.
• Säkerhetskopiering till server: specifikt tillåtet, vilket kraftigt begränsar omvänd riktning.

Denna matris är ofta viktigare än själva listan VLAN. Detta förhindrar att allmänna regler skapas senare som faktiskt undergräver segmenteringen.

Vanliga frågor