RED デバイスの要件とトラフィックの動作

RED デバイスの要件とトラフィックの動作について説明します。

要件

お使いの ISP で以下のポートが許可されている必要があります。

TCP 3400
UDP 3410
NTP 123

SD-RED 60 における VLAN の動作

以下の表に、各種ポートでのトラフィック処理方法を示します。

モード	VLAN トラフィック	VLAN 以外のトラフィック
タグなし (ハイブリッドポート) (1つの VLAN 設定に対応)	転送済み: VLAN トラフィックは、変更されずに転送されます。	転送済み: VLAN 以外のトラフィックは、指定の VLAN でタグ付けされます。
タグなし、タグありを破棄 (アクセスポート) (1つの VLAN 設定に対応)	破棄: すべての VLAN トラフィックが破棄されます。	転送済み: VLAN 以外のトラフィックは、指定の VLAN でタグ付けされます。
タグあり (トランクポート) (複数の VLAN ID 設定に対応)	転送済み: 指定の VLAN に一致するトラフィックは転送され、一致しないトラフィックは破棄されます。	破棄: VLAN 以外のトラフィックは破棄されます。
無効	破棄	破棄

警告

SD-RED 60 では、標準/統合モードでのみ VLAN トラフィックにタグを付けられます。

SD-RED 60 で LAN のスイッチポートモードを VLAN に設定すると、は、タグ付きおよびタグなしのトラフィックは RED トンネルでカプセル化されます。つまり、リモートのスイッチポートで、本社の VLAN 分割を複製するように設定できます。

ヒント

RED デバイスの背後にある VLAN ゲストネットワークでローカルゲートウェイを使用する必要がある場合は、そのトラフィックを XGS シリーズデスクトップモデルにルーティングできます。

Wi‑Fi モジュールを搭載した RED

トラフィックは、動作モードとワイヤレストラフィックの種類に基づいて処理されます。Wi‑Fi 拡張モジュールを搭載した RED を設定するには、モードの要件を満たす必要があります。

Wi‑Fi 拡張モジュールを搭載した SD-RED をワイヤレスアクセスポイントとして設定した場合、DHCP オプション 234 を使用して Sophos Firewall と通信します。

要件

ワイヤレストラフィックに関して、以下の要件を満たす必要があります。

RED インターフェースが利用可能で、IP アドレスがあること。
RED インターフェース上で DNS を解決可能であること。
標準/統合モードおよび標準/分割モードの場合、RED インターフェース上で DHCP サーバーが動作していること。
透過/分割モードの場合、リモート DHCP サーバーが、DHCP オプション 234 (ファイアウォールサイト上の RED インターフェースの IP アドレス情報) を指定すること。(指定しない場合、1.2.3.4 が使用されます。)

RED 操作モード

RED の動作モードに基づき、トラフィックは次のように転送されます。

標準/統合モード：RED のすべてのトラフィックがファイアウォールに送信されます。
標準/分割モード：分割ネットワーク上のすべてのトラフィックがファイアウォールに送信されます。その他のトラフィックはすべて、リモート DHCP サーバーに指定されたデフォルトのゲートウェイに送信されます。これは通常、リモートサイトで RED が接続されているルーターとなります。
透過/分割モード：分割ネットワークのみがファイアウォール経由で到達できます。他のネットワークはすべて、リモートサイトのルーター経由でルーティングされます。また、リモートネットワークが DHCP と DNS を提供します。この場合、RED インターフェースはリモート DHCP サーバー経由で IP アドレスを取得する必要があります。

ワイヤレストラフィックの種類

ワイヤレストラフィックの種類ごとのワークフローは次のとおりです。

別ゾーン: 別ゾーンのネットワークからのすべてのトラフィックは VXLAN (Virtual Extensible LAN) プロトコルにより Sophos Firewall に送信されます。パケットは RED トンネルの通過中、暗号化されます。別ゾーンのネットワーク同士は、Sophos Firewall で相互接続されます。RED インターフェースに対して、別ゾーンのトラフィックを許可するように Sophos Firewall を設定する必要があります。
AP の LAN にブリッジ: RED 側の LAN ネットワークの SSID をブリッジ接続します。これには、LAN ポート 1～4 が含まれます。この SSID に接続しているクライアントは、ファイアウォールサイトの RED トンネルエンドポイントインターフェースに到達できます (ファイアウォールが RED ネットワークから RED インターフェースへのトラフィックを許可している場合)。
VLAN にブリッジ:
- 標準/統合: この SSID に接続しているクライアントからの全トラフィックに、設定に従って VLAN タグが付けられます。クライアントは、ファイアウォールサイトのトンネルエンドポイントインターフェースに加えて、LAN ポート 1～4 に接続している同じ VLAN タグを持つネットワークデバイスと、VLAN タグを持つインターフェースに到達できます。
- 標準/分割: クライアントは、RED 側にある同一の VLAN タグを持つすべてのホストに到達できます。また、ファイアウォールサイトの RED インターフェースに加えて、トンネルエンドポイントに到達できます (VLAN インターフェースが設定されている場合)。分割ネットワークはタグなしのパケット専用にルーティングされているため、到達できません。
- 透過/分割: クライアントは、RED の LAN ポート 1～4 と WAN ポートにおいて同一の VLAN タグを持つすべてのホストに到達することができます。分割ネットワークはタグなしのパケット専用にルーティングされているため、到達できません。