Port-Nummerierung in Sophos XG Home auf Sophos Appliances

By Andreas Walker 21 Mai, 2022

Sophos XG Appliances mit SFP-Dual-Personality-Ports (z.B. Sophos XG 105 Rev. 3) haben eine vom Aufdruck an der Appliance abweichende Port-Nummerierung. Diese wird in der Appliance-Spezifischen SFOS-Firmware korrigiert. Bei der installation von Sophos Home resp. eines anderen Firewall-OS (z.B. OPNsense oder PFsense) erfolgt diese Korrektur logischerweise nicht.

Sophos XG 105 Rev. 3

Wer einmal Sophos XG Home auf einer neueren Sophos XG 105 Rev. 3 Appliance installiert hat, wird bemerkt haben, dass das auf der Appliance als Port 2 markierte Port nach dem Abschluss der Installation einfach down geht. Zudem wird über den als Port 1 markierten Port kein DCHP-Lease vergeben.

Nach etwas Probieren habe ich dann bemerkt, dass am Port 4 der Appliance per DHCP eine IP-Adresse aus dem 172.16.16.0/24 Subnetz zugeteilt wird. Dies liegt daran, dass Sophos XG Home im Gegensatz zur nativen Installation die Interfaces strikt nach der PCI-Kennung nummeriert. Dabei hat der Shared SFP- / Gigabit-Port die PCI-ID pci0:1:0:0, wird daher als «Port 1» erkannt und als standardmässiges LAN interface verwendet.

Auch andere Firewall-Betriebssysteme wie z.B. OPNsense unterliegen diesem Problem. Die Ports werden abweichend von der Beschriftung an der Hardware zugewiesen.

Dies ergibt folgende Portnummerierung in Sophos XG Home resp. OPNsense:

Port-Nummerierung der Sophos XG 105 Rev.3 Appliance in Sophos XG Home resp. OPNsense
Port-Nummerierung der Sophos XG 105 Rev.3 Appliance in Sophos XG Home resp. OPNsense

Native SFOS-Installationen korrigieren dies über angepasste Port-Mappings in der Appliance-Spezifischen Firmware.

Andere Sophos XG Appliances

Gemäss meinem aktuellen Wissensstand betrifft dieses Problem bloss die neueren Sophos XG Appliances mit gesharten SFP-Ports. Es scheint so, als würden die Ports mehr oder minder strikt von Links nach Rechts durchnummeriert.

Methode zum Erkennen von abweichenden Port-Nummerierungen

Ein gutes Werkzeug zum erkennen von Port-Mappings ist OPNsense. Dieses lässt sich als LiveSystem von einem USB-Stick booten. Danach lässt sich in der Shell beobachten welche Interfaces UP & Down gehen.

Der Nachfolgende Konsolen-Mittschnitt auf einer OPNsense-Instanz auf einer Sophos XG 105 Rev. 3 zeigt, wie die Gigabit-Interfaces 1-4 in der Reihenfolge der Beschriftung auf der Appliance verunden werden. Die Interface ID ist Gelb hervorgehoben:

root@OPNsense:~ # 
igb1: link state changed to UP
igb2: link state changed to UP
igb3: link state changed to UP
igb0: link state changed to UP

Es ist zu beachten, dass die Interface-Nummerierung unter BSD mit 0 beginnt. Daher entspricht das Interface «igb0» dem Port 1 in Sophos XG Home.

Weiterführende Links

Quelle

Andreas Walker absolvierte eine Ausbildung in der Gastronomie und arbeitete fast 15 Jahre in dieser Branche. Neben seiner Tätigkeit in der Gastronomie baute er eine kleine IT-Firma auf und betreute in seiner Freizeit kleine KUMs bei IT-Projekten. Mit der Zeit rutschte er auch in die IT seines Arbeitgebers und betreute die Standort-IT eines Businesshotels der International tätigen Hotelkette IHG. Im Sommer 2019 schloss er die Höhere Fachschule Informatik ab. Seit dem Frühling 2019 arbeitet Andreas Walker bei einem lokalen IT-Provider im Kanton Glarus als System Engineer und betreut dort vor allem KMU-Kunden.