Netzwerkport 'bridged' wenn UTM aus (Looping wenn 2 Ports mit einem Switch verbunden sind)

Question

Hallo Leute, 
 
 wir hatten jetzt 2 Mal das Problem (bei SG210 und SG230), dass in einer Konfiguration mit 2 Newtzwerkports an einem Switch dieser nach dem Herunterfahren der UTM keine Pakete mehr transportierte. Wir haben das analysiert und festgestellt, dass die Netzwerkports nach dem Herunterfahren der UTM quasi kurzgeschlossen sind. Wenn Du also 2 Ports an einem Switch hast, dann ist es nach dem Aussachalten der UTM genauso, als ob du ein Netzwerkkabel mit beiden Enden in den Switch steckst... 
 Kann da jemand was dazu sagen? Ist das als normal anzusehen, dass die Ports wenn die UTM aus ist, 'bridged' sind? 
 
 Gru&szlig; 
 Joerg

DouglasFoster · Accepted Answer

I think you have discovered the bypass ports, which are intended for your data to allow some data to pass when the unit fails or loses power. I believe the bypass pairs are a0-a1 and a2-a3. 
 This link tells how to disable them. 
 https://community.sophos.com/kb/en-us/127940

Janbo Noerskau · Answer

Hallo J&ouml;rg 
 Das Br&uuml;cken der jeweils zwei Ports ist genau Dein Problem. 
 Das hat Sophos bei den Rack-Size UTMs seit der letzten Revision eingef&uuml;hrt (ab SG210 bis SG450). 
 Du siehst die gebr&uuml;ckten Ports "Bypass-Paare" jeweils auf dem Bild der Frontansicht 
 https://www.sophos.com/de-de/medialibrary/PDFs/factsheets/sophos-sg-series-appliances-brna.pdf 
 
 E0 ist immer mit E1 gebr&uuml;ckt und E2 immer mit E3. 
 Dies f&uuml;hrt nicht nur zu Loops wenn Du die Box ausschaltest, sondern auch, wenn Du diese neu startest (wenn Du also mal Effekte im Netzwerk hattest - wie alle Telefone starten neu - kennst Du jetzt eventuell den Grund ;-)). 
 Bei der XG-Firewall ist es meines Wissens genau anders herum -> das Bypassing ist deaktiviert und muss zur Nutzung aktiviert werden. 
 Wir haben uns aber angew&ouml;hnt, die Ports E1 und E2 deshalb &uuml;berhaupt nicht zu verwenden. 
 Denn seitens Sophos konnte uns niemand sagen, wie sich das Netzwerk verh&auml;lt, wenn ich im Cluster eine kaputte Box tausche (RMA-Fall) und ich diese dann in Werkseinstellung (vorher nicht drauf angemeldet/ irgend etwas konfiguriert) in das bestehende Netzwerk stecke -> hier wird es sicher dann auch erst einmal einen Loop geben. Das Abschalten der Bypass-Funktion im Betriebssystem ist also nur die halbe Mite, wenn man HA nutzt. Hier hat wohn beim Design dieses Hardware-Features nicht jeder im Team mitgedacht - wir haben uns schon sehr dar&uuml;ber ge&auml;rgert. 
 Bei der XG w&auml;re das vollkommen egal, weil man einen Slave eh erst auf das HA vorbereiten muss -> da hat allerdings auch niemand im Team gesagt: Schauen wir doch mal die Astaro (SG) an und nehmen wir uns daran ein Beispiel... 
 LG, Janbo