Välj rätt driftläge för Sophos RED

Driftläget för en Sophos SD-RED är inte en oviktig detalj. Det avgör vem som tillhandahåller DHCP och gateway på fjärrkontoret, vilken trafik som går genom RED-tunneln, om internetåtkomst inspekteras centralt och vad som fortsätter fungera om tunneln går ner. En Site-to-Site RED-tunnel mellan två Sophos Firewall är en annan design och använder inte dessa fyra driftlägen.

För nya, centralt hanterade filialer är Standard/Unified oftast den tydligaste utgångspunkten. Standard/Split sparar tunnelbandbredd men tar lokal internettrafik utanför den centrala kontrollen. Transparent/Split integrerar RED i ett befintligt nätverk. Manual/Split är en särskild kabel- och routingdesign för lokal internetautonomi, inte ett vanligt snabbläge.

Bestäm driftläget innan DHCP, VLAN, brandväggsregler och utrullning konfigureras. En senare ändring påverkar datavägen och kräver ett underhållsfönster med kontrollerade funktionstester.

Guiden gäller SFOS 22.0 och modellerna SD-RED 20 och SD-RED 60 som stöds av denna version. RED 15/15w och RED 50 ansluter inte längre från och med SFOS 20.0 MR1. Äldre Firewall RED-interface mellan UTM och SFOS måste ersättas och tas bort före uppgradering till SFOS 22.0, annars blockeras uppgradering, återställning och import. Från SFOS 21.0 MR2 och 21.5 MR1 tilldelas RED-systemvärdar automatiskt masken /32. Öppna Usage för varje RED-systemvärd under Hosts and services > IP host och ersätt den i beroende regler och rutter med rätt IP- eller nätverksvärd där hela interfacets delnät tidigare avsågs. Ta därför med dessa migreringskontroller i ändringsplanen före en maskinvaru- eller brandväggsmigrering.

De fyra RED-lägena i korthet

Sammanfattningen hjälper vid det första valet, men ersätter inte en bedömning av avbrottsbeteende, VLAN och säkerhet. Split innebär särskilt inte automatiskt fail-open, och Transparent innebär inte automatiskt att VLAN-taggar skickas vidare.

Standard/Unified: Allt genom centralen

I Standard/Unified tillhandahåller Sophos Firewall DHCP och standardgateway via RED-gränssnittet. SD-RED skickar all trafik genom den krypterade tunneln, inklusive filialens internettrafik.

Det ger den högsta centrala kontrollen. Brandväggsregler, Web Policies, IPS, Application Control, rapportering och central internetåtkomst kan tillämpas konsekvent på huvudkontoret. Samtidigt ökar kraven på tunneln och den centrala WAN-anslutningen, eftersom även filialens vanliga internettrafik går två gånger över länken mellan platserna.

Om RED-tunneln går ner förlorar klienterna inte bara åtkomst till interna nätverk. Eftersom deras gateway finns på Sophos Firewall på andra sidan tunneln försvinner normalt även internetåtkomsten. Standard/Unified passar därför när central säkerhet är viktigare än lokalt internet under ett tunnelavbrott.

När Standard/Unified passar

• All trafik från platsen ska inspekteras och loggas centralt.
• DHCP, DNS-vidarebefordran, regler och internetåtkomst ska samlas på Sophos Firewall.
• Den centrala WAN-kapaciteten räcker för filialens extra internettrafik.
• Ett tunnelavbrott får kontrollerat koppla bort platsen, eller så finns en testad andra RED-uplink.
• VLAN ska transporteras genom en SD-RED 60.

Standard/Split: Centrala nät genom tunneln

Med Standard/Split förblir Sophos Firewall DHCP-server och standardgateway för nätverket som RED tillhandahåller. Endast målnäten under Split networks går genom tunneln. Andra mål, vanligtvis internet, lämnar platsen via RED-enhetens lokala WAN-anslutning.

Det avlastar tunneln och den centrala internetanslutningen. Motprestationen är en tydlig säkerhetsgräns: Sophos maskerar den lokala internettrafiken på RED, men den centrala brandväggen kan inte inspektera den med sina brandväggs-, webb- eller IPS-regler. Ur centralens perspektiv är denna väg inte vanlig vidarebefordrad internettrafik.

I Split networks används IP-nätverk. FQDN-värdobjekt stöds inte här. Redan VLAN-taggade ramar hör inte heller till datavägen för Standard/Split. Endast DHCP-nätverket som tillhandahålls direkt av RED får lokal internetåtkomst i detta läge.

Standard/Split är inte heller en generell fail-open-design. Om tunneln går ner anger Sophos dokumentation att klienterna i nätverket som brandväggen tillhandahåller förlorar både centrala mål och internetåtkomst. Om lokalt internet måste fungera oberoende av tunneln krävs en annan planerad och testad design.

När Standard/Split passar

• Filialen behöver bara några få tydligt definierade nätverk på centralen.
• Lokalt internetutsläpp är avsiktligt och får ligga utanför centrala Sophos-policyer.
• Sophos Firewall kan hantera fjärrnätverket via DHCP.
• VLAN-taggning genom RED-tunneln behövs inte.
• Avbrottsvägen har testats och förväxlas inte med Manual/Split.

Transparent/Split: RED i det befintliga nätverket

Transparent/Split passar fjärrplatser där router, DHCP, DNS och standardgateway redan finns och ska vara kvar. RED arbetar transparent i det befintliga Layer 2-nätverket. Endast konfigurerade split-nät eller split-domäner leds genom tunneln till centralen.

Läget undviker en gatewayändring för klienterna. Felsökningen blir däremot mer krävande: DHCP, DNS och den normala internetvägen tillhör fortfarande det lokala nätverket, medan valda mål styrs om via RED. Testet måste därför separat visa vilken väg som förblir lokal och vilken som faktiskt går in i tunneln.

Transparent/Split transporterar inga VLAN-taggade ramar. En 3G/4G-failoveruplink är inte heller tillgänglig i detta läge. För en trådlös modul måste DHCP-servern på fjärrplatsen skicka DHCP-alternativ 234 med RED-gränssnittets IP-adress på brandväggens plats till accesspunkten; det är inte AP-adressen, en adress på filialen eller brandväggens publika adress.

När Transparent/Split passar

• Den befintliga routern ska fortsätta tillhandahålla DHCP, DNS och standardgateway.
• Endast valda centrala nätverk eller domäner ska nås via RED.
• RED kan integreras korrekt inline i det befintliga nätverket.
• Platsen behöver inga VLAN-taggar via denna RED-dataväg.
• Lokal och tunnlad trafik kan kontrolleras separat med Packet Capture och verkliga måltester.

Manual/Split: Lokal gateway med statiska rutter

För en SD-RED beskriver Manual/Split främst en medvetet manuellt uppbyggd nätverksdesign. RED-enhetens WAN- och LAN-sidor integreras i den befintliga infrastrukturen så att den befintliga routern förblir standardgateway. Routern får statiska rutter via RED till de centrala nätverken.

Fördelen är lokal autonomi: vanlig internetåtkomst kan fortsätta även om RED-tunneln eller själva RED-enheten går ner. Nackdelen är extra planering. Returvägar, statiska rutter, ARP-beteende och fysisk kabeldragning måste stämma exakt. Ett felaktigt next hop kan leda central trafik förbi tunneln eller till en återvändsgränd vid ett avbrott.

Sophos beskriver för detta en manuell fysisk driftsättning och en RED-konfiguration baserad på Standard/Unified-schemat, medan den befintliga gatewayen och statiska rutter avgör uppdelningen. Benämningen ska därför inte behandlas som en oberoende, självförklarande omkopplare.

Manual/Split hör endast hemma i en dokumenterad design med:

• en alternativ lokal gateway
• statiska rutter för varje centralt målnät
• en verifierad returväg från centralen
• oberoende hanteringsåtkomst
• tester med aktiv tunnel, frånkopplad tunnel och avstängd RED

Layer 2- och utbyggnadsalternativ

Använd flera RED-enheter som ett gemensamt bryggnätverk

En Bridged RED setup är inte ett femte driftläge. I denna design sammanförs minst två befintliga RED-interface i en brygga på Sophos Firewall. De fjärranslutna RED-nätverken fungerar då som ett gemensamt LAN, medan brandväggsregler fortfarande kan begränsa trafiken mellan RED-platserna.

Bryggan skapas under Network > Interfaces > Add interface > Add bridge. Ange ett tydligt namn och bryggans interface och välj sedan nödvändiga RED-interface med deras zoner som Member interfaces. Adressplanen, DHCP-ansvaret och alla bryggmedlemmar måste samordnas i förväg; flera osamordnade DHCP-servrar eller dubbla IP-adresser skulle annars arbeta i samma Layer 2-nätverk.

Vi rekommenderar denna design endast när flera filialer verkligen behöver samma broadcastdomän. För normalt åtskilda platser är routade RED-nätverk enklare att isolera, övervaka och ändra oberoende av varandra. Efter att konfigurationen sparats ska DHCP, ARP, trafik mellan platser, ansvarig brandväggsregel och avsiktligt blockerad trafik testas. En grön RED-tunnel bekräftar de enskilda tunnlarna, men inte bryggan eller dess regler.

En andra uplink och en andra brandvägg är inga driftlägen

RED-konfigurationen kan dessutom innehålla en andra brandväggsendpoint och, beroende på modell och läge, en andra uplink. Dessa alternativ kompletterar den valda vägen; de ersätter den inte.

En andra brandväggsendpoint kan användas för failover eller lastbalansering. En andra uplink kan säkra tunneluppbyggnaden. När båda uplinkarna är inställda på Static måste IP-adresserna för deras DNS-servrar skilja sig åt; olika DNS-leverantörer krävs inte. RED kontrollerar den första uplinkens routingpost för DNS-uppslagning. Om den gatewayen inte svarar betraktar RED DNS-serverns IP som oåtkomlig och försöker inte nå samma IP-adress igen via den andra uplinken.

Testerna måste hållas åtskilda:

1. Det valda RED-läget måste först fungera korrekt via den primära uplinken.
2. Därefter testas en kontrollerad uplinkfailover.
3. Sedan kontrolleras RED-status, DHCP, centrala mål och internetvägen igen.
4. I HA-miljöer tillkommer ett separat brandväggsfailovertest; RED-tunneln behöver tid för att återupprättas efter rollbytet.

En grön tunnelstatus ensam bevisar varken rätt internetväg eller fungerande säkerhetspolicyer.

VLAN och LAN-portlägen på SD-RED 60

SD-RED 60 kan transportera VLAN genom tunneln, men endast i Standard/Unified. Dessutom definieras per LAN-port hur RED hanterar taggade och otaggade ramar.

• Tagged: Endast konfigurerade VLAN vidarebefordras med tagg. Okonfigurerade VLAN och otaggade ramar kasseras. Upp till 64 VLAN ID kan anges per port.
• Untagged, drop tagged: Otaggade ramar tilldelas konfigurerat VLAN; redan taggade ramar kasseras. Det motsvarar en kontrollerad accessport.
• Disabled: LAN-porten kasserar trafik.
• Untagged: Otaggade ramar får konfigurerat VLAN-ID, medan redan taggade ramar vidarebefordras oförändrade. Endast en VLAN-konfiguration är möjlig per port. Detta är en hybridport, inte en fritt konfigurerbar trunk; tillåtna VLAN måste fortfarande styras på den anslutna switchen och på brandväggen.

Sophos Firewall behöver ett motsvarande VLAN-gränssnitt på RED-gränssnittet för varje VLAN som används. VLAN ID, IP-nät, DHCP, RED-portläge och switchkonfiguration måste stämma exakt. Hela förfarandet finns i Konfigurera och testa VLAN på Sophos Firewall.

Planera trådlöst beteende separat

Innan en trådlös modul konfigureras måste det finnas ett RED-gränssnitt med en IP-adress, och DNS-uppslagning måste fungera på just det gränssnittet. En trådlös tillvalsmodul för SD-RED 20 eller 60 kan använda tre olika datavägar:

• Separate zone: Trådlös trafik når brandväggen via VXLAN oberoende av RED-läge. Sophos Firewall måste uttryckligen tillåta trafik från den separata zonen för RED-gränssnittet; detta innebär inte ett generellt tillstånd för trafik till WAN.
• Bridge to AP LAN: Det trådlösa nätverket bryggas till accesspunktens lokala LAN.
• Bridge to VLAN: Det trådlösa nätverket tilldelas ett VLAN; det exakta beteendet beror på RED-läge och VLAN-konfiguration.

I Standard/Unified och Standard/Split måste en korrekt konfigurerad DHCP-server köras på RED-gränssnittet. I det dokumenterade trådlösa scenariot med Transparent/Split tillhandahåller fjärrnätverket DHCP och DNS, och RED-gränssnittet måste få sin IP-adress från DHCP-servern på fjärrplatsen. Den servern måste tillhandahålla alternativ 234 med RED-gränssnittets IP-adress på brandväggens plats. Utan detta alternativ är 1.2.3.4 det dokumenterade reservvärdet: en diagnostisk ledtråd om det saknade alternativet, inte en adress att konfigurera i produktion. Trådlösa inställningar, LAN-portläge och RED-läge ska därför godkännas som en gemensam design, inte som tre oberoende menyer.

Bridge to VLAN gör inte ett split-läge till allmän VLAN-transport. I Standard/Split når trådlösa klienter lokala värdar med samma tagg och, om det finns på RED-interfacet, VLAN-interfacet vid tunnelns slutpunkt. De når inte konfigurerade split-nät eftersom RED endast routar dem för otaggade paket. I Transparent/Split sträcker sig samma VLAN lokalt över LAN-portarna 1–4 och WAN-porten; split-näten förblir oåtkomliga via denna trådlösa dataväg.

Konfigurera och testa driftläget säkert

Förutsättningar och exakta fält

Aktivera först tjänsten under System services > RED. Skapa eller redigera därefter enheten under Network > Interfaces > Add interface > Add RED. De viktigaste fälten är RED ID, Unlock code, Firewall IP/hostname, Device deployment, Uplink connection, RED operation mode, RED IP, Zone, Configure DHCP, RED DHCP range och, för split-lägen, Split network.

Vid automatisk driftsättning måste RED-enheten starta minst en gång i ett nät med DHCP och internetåtkomst för att hämta sin konfiguration. En statisk uplink kräver manuell driftsättning med USB-minne. Vägen måste tillåta TCP 3400, UDP 3410 och NTP 123: konfigurationen och kontrollkanalen använder TCP 3400, medan Layer 2-datatunneln använder UDP 3410. Utan WAN-adress via DHCP startar enheten om upprepade gånger vid automatisk driftsättning.

Vi rekommenderar en separat zon av typen LAN eller DMZ i stället för den allmänna LAN-zonen. Om en ändring av RED IP flyttar RED-interfacet till ett delnät som inte längre innehåller befintligt RED DHCP range, stänger SFOS av RED-enhetens DHCP-server. Dokumentera detta beroende i ändringsplanen.

Anpassa routing, brandväggsregler och NAT till läget

Skapa regler under Rules and policies > Firewall rules endast mellan RED-zonen och de målzoner som behövs. Använd Any för nät och tjänster endast under ett tidsbegränsat funktionstest; begränsa produktionsregler till de faktiska källorna, målen och tjänsterna. I Standard/Unified ersätter en RED-to-LAN-regel inte en RED-to-WAN-regel; den centrala internetvägen kräver också en matchande SNAT-regel.

I Standard/Split maskerar RED själv lokal internettrafik med sin publika adress. Vägen syns inte på den centrala brandväggen och behöver ingen central WAN-SNAT-regel. Centralt tunnlad trafik behöver däremot korrekta fram- och returvägar och matchande regler; befintliga NAT-regler får inte oavsiktligt översätta käll- eller målnäten. I Manual/Split ska de statiska rutterna på filialens gateway och returvägen på centralen testas som ett par.

Byt läge med en tillståndsbevarande återgång

Dokumentera före ändringen hela RED-konfigurationen, RED IP, zon, DHCP-intervall och alternativ, split-nät, statiska rutter, brandväggs- och NAT-regler, VLAN-interface, LAN-portlägen och en oberoende hanteringsväg. Spara även den senaste fungerande konfigurationen för berörd router och switchportar. Ändra en nivå i taget: först läge och RED-nät, därefter DHCP, routing och regler och sist VLAN eller trådlöst.

Om acceptanstestet misslyckas ska inga fler parallella ändringar läggas till. Återställ RED operation mode, RED IP, zon, DHCP och split-nät till de dokumenterade värdena, återinför tidigare rutter och regler och förnya DHCP-lånet på en testklient. Återgången är klar först när gateway, DNS, centralt mål, internetväg och Rule ID åter matchar utgångsläget. Manual/Split kräver också att den ursprungliga kabeldragningen återställs.

Det praktiska arbetsflödet med provisioning, lysdioder, regler, prestanda och felsökning beskrivs i Konfigurera och felsök Sophos SD-RED. Driftläget kräver dessutom godkännande av den verkliga vägen:

1. En klient får förväntad IP-adress, DNS-servrar och rätt gateway.
2. Ett definierat målnät på centralen är nåbart.
3. Log Viewer eller Packet Capture visar förväntad Firewall Rule ID och RED-väg.
4. Ett internettest visar förväntad publik utgång, central eller lokal.
5. En tillåten och en blockerad applikation bekräftar var säkerhetspolicyn faktiskt tillämpas.
6. VLAN och trådlösa nätverk testas var för sig, inte bara med en allmän ping.
7. Ett planerat tunnel- eller uplinkavbrott bekräftar det dokumenterade beteendet.

Om tunneln är grön men vägen fortfarande är oklar hjälper Använd Packet Capture korrekt på Sophos Firewall. Ändra inte driftläge, DHCP, VLAN och brandväggsregler samtidigt på produktionsplatser. Annars blir det svårt att hänföra ett fel till ett visst lager.

Felsök efter dataväg

• RED startar om upprepade gånger eller bygger ingen tunnel: kontrollera först WAN-DHCP, DNS och internetåtkomst på filialen, därefter TCP 3400, UDP 3410 och tidssynkronisering via NTP 123. Vid manuell offlinedriftsättning kan fel tid stoppa TLS-handskakningen.
• Tunneln är grön men ingen trafik passerar: sök efter förväntad Firewall Rule ID i Log Viewer och kontrollera sedan rutter och NAT-regler för det exakta käll-/målparet. I Advanced Shell visar den skrivskyddade, av Sophos dokumenterade fångsten tcpdump -ni any port 3410 om RED-trafik når brandväggen. Den bevisar inte att en regel tillåter trafiken eller att nyttolasten följer rätt väg; fortsätt med Packet Capture filtrerad på klient och mål.
• Endast split-mål misslyckas: kontrollera att hela målnätet finns i Split network. FQDN-värdar stöds inte där. Testa lokalt DNS eller split DNS separat i Transparent/Split.
• Endast VLAN-trafik misslyckas: kontrollera läget först. SD-RED 60 transporterar VLAN genom tunneln endast i Standard/Unified. Jämför sedan VLAN ID, VLAN-interface på RED-interfacet, LAN-portläge, switchtaggning, DHCP och VLAN-specifik brandväggsregel.
• En HA-failover har inträffat: SFOS dokumenterar en återanslutningsfördröjning som varierar med antalet interface och andra inställningar. Vänta tills tunneln har återupprättats och upprepa hela vägtestet utan att samtidigt ändra RED-parametrar.

Vanliga missuppfattningar

Split innebär inte automatiskt internet vid tunnelavbrott

Standard/Split använder lokalt internetutsläpp, men klienterna är fortfarande beroende av RED-nätverket som brandväggen tillhandahåller. Sophos dokumenterar även där förlust av internetåtkomst om tunneln går ner. Manual/Split är den separata designen för en befintlig lokal gateway.

Transparent innebär inte godtycklig Layer 2-passthrough

Transparent/Split integrerar RED i ett befintligt nätverk men transporterar inte VLAN-taggade ramar via denna väg. DHCP, DNS och trådlösa alternativ måste fortfarande planeras medvetet.

En grön tunnel bevisar inte att driftläget är rätt

Tunnelstatus bekräftar anslutningen till brandväggen. Endast DHCP-, routing-, internet-, regel- och avbrottstester visar om valt läge motsvarar avsedd design.