Port-Nummerierung in Sophos XG Home auf Sophos Appliances
Sophos XG Appliances mit SFP-Dual-Personality-Ports (z.B. Sophos XG 105 Rev. 3) haben eine vom Aufdruck an der Appliance abweichende Port-Nummerierung. Diese wird in der Appliance-Spezifischen SFOS-Firmware korrigiert. Bei der installation von Sophos Home resp. eines anderen Firewall-OS (z.B. OPNsense oder PFsense) erfolgt diese Korrektur logischerweise nicht.
Sophos XG 105 Rev. 3
Wer einmal Sophos XG Home auf einer neueren Sophos XG 105 Rev. 3 Appliance installiert hat, wird bemerkt haben, dass das auf der Appliance als Port 2 markierte Port nach dem Abschluss der Installation einfach down geht. Zudem wird über den als Port 1 markierten Port kein DCHP-Lease vergeben.
Nach etwas Probieren habe ich dann bemerkt, dass am Port 4 der Appliance per DHCP eine IP-Adresse aus dem 172.16.16.0/24 Subnetz zugeteilt wird. Dies liegt daran, dass Sophos XG Home im Gegensatz zur nativen Installation die Interfaces strikt nach der PCI-Kennung nummeriert. Dabei hat der Shared SFP- / Gigabit-Port die PCI-ID pci0:1:0:0, wird daher als «Port 1» erkannt und als standardmässiges LAN interface verwendet.
Auch andere Firewall-Betriebssysteme wie z.B. OPNsense unterliegen diesem Problem. Die Ports werden abweichend von der Beschriftung an der Hardware zugewiesen.
Dies ergibt folgende Portnummerierung in Sophos XG Home resp. OPNsense:
Native SFOS-Installationen korrigieren dies über angepasste Port-Mappings in der Appliance-Spezifischen Firmware.
Andere Sophos XG Appliances
Gemäss meinem aktuellen Wissensstand betrifft dieses Problem bloss die neueren Sophos XG Appliances mit gesharten SFP-Ports. Es scheint so, als würden die Ports mehr oder minder strikt von Links nach Rechts durchnummeriert.
Methode zum Erkennen von abweichenden Port-Nummerierungen
Ein gutes Werkzeug zum erkennen von Port-Mappings ist OPNsense. Dieses lässt sich als LiveSystem von einem USB-Stick booten. Danach lässt sich in der Shell beobachten welche Interfaces UP & Down gehen.
Der Nachfolgende Konsolen-Mittschnitt auf einer OPNsense-Instanz auf einer Sophos XG 105 Rev. 3 zeigt, wie die Gigabit-Interfaces 1-4 in der Reihenfolge der Beschriftung auf der Appliance verunden werden. Die Interface ID ist Gelb hervorgehoben:
root@OPNsense:~ #
igb1: link state changed to UP
igb2: link state changed to UP
igb3: link state changed to UP
igb0: link state changed to UPEs ist zu beachten, dass die Interface-Nummerierung unter BSD mit 0 beginnt. Daher entspricht das Interface «igb0» dem Port 1 in Sophos XG Home.
