Sophos XG firewall za terminátorem Cetin

Sophos XG firewall za terminátorem Cetin
« kdy: 02. 07. 2023, 16:11:05 »
Dobrý den,

už nějakou chvilku mám doma přípojku od O2 s využitím dual-bondingu, tudíž při zřizování této přípojky jsem také obdržel terminátor. Do nynějška jsem měl za terminátorem Mikrotik RB, který se k ISP připojoval pomocí PPPoE (viz. odkaz).

Nyní jsem se rozhodl, že síť trochu vylepším a, že přímo za terminátor dám Sophos XG Firewall. Proto jsem koupil Intel Nuc (a jednu USB síťovou kartu navíc) na který jsem nainstaloval Windows Server 2022 a Sophos jsem rozjel ve VM v Hyper-V (do budoucna mám v plánu ještě rozjet PiHole a RProxy).

V Hyper-V jsem tedy vytvořil dva external switche (WAN a LAN), kdy jsem ke každému přiřadil jednu síťovou kartu. K samotnému VM Sophosu jsem tedy přiřadil dva interfacy, kdy pak každý má přístup k jednomu virtuálnímu switchi (WAN a LAN).
Sophos jako takový oba dva interfacy detekuje, takže přichází úkol v Sophosu jeden interface nastavit jako WAN přívod přes PPPoE včetně VDSL, ačkoliv údaje k připojení vyplňuji dle tabulky O2 (viz. odkaz výše), tak Sophos se nedokáže k ISP připojit (neustále píše "connecting", ale ani po nějaké době se nepřipojí).

Napadají mě různé důvody, viz. následující:
1) Terminátor detekuje MAC adresu a v tabulce povolených zařízení má jenom MAC adresu původního Mikrotik RB, tak jsem zkusil v Sophosu nastavit na WAN interface stejnou MAC adresu jako byla na původním Mikrotiku. Bohužel nepomohlo.
2) V Hyper-V je možné nastavit na interfacy nastavit VLAN identification, napadlo mě tedy na interface, který VM Sophosu využívá pro WAN nastavit VLAN ID na 848 (chtěná VLAN O2). Také nepomohlo.

Pokud máte nějakou zkušenost či nápad, čím by to mohlo být, tak budu rád za každou radu.


Re:Sophos XG firewall za terminátorem Cetin
« Odpověď #1 kdy: 02. 07. 2023, 21:33:36 »
Terminátor žádný whitelist pro MAC adresy neřeší. Jedinou podmínkou je, aby to PPPOE bylo zabalené uvnitř VLAN 848. Vzhledem k tomu, že pppoe-session jede přímo na L2, tak bych asi Hyper-V nastavil do takové podoby, aby bral otagované rámce z virtuálu a ty jen přeposlal na fyzický interface a nemachinoval s provozem tak, že by tam ten vlan tag přidával - vidím v tom možnou potíž, protože mi to nepřijde jako moc běžná a testovaná varianta. Avšak Hyper-V neznám, tak je možné, že je to v pohodě.

Džan

Re:Sophos XG firewall za terminátorem Cetin
« Odpověď #2 kdy: 03. 07. 2023, 10:38:15 »
V Hyper-V nastavíš té síťovce VLAN identification na 848, v Sophosu už žádnou VLAN nenastavuješ a jen nad WAN interfacem vytvoříš PPPoE interface.
Funguje mi to takto u OPNsense, předpokládám že u Sophosu to bude podobné.

Re:Sophos XG firewall za terminátorem Cetin
« Odpověď #3 kdy: 07. 07. 2023, 20:59:02 »
V Hyper-V nastavíš té síťovce VLAN identification na 848, v Sophosu už žádnou VLAN nenastavuješ a jen nad WAN interfacem vytvoříš PPPoE interface.
Funguje mi to takto u OPNsense, předpokládám že u Sophosu to bude podobné.

Super, moc děkuji! Funguje.