Sophos XGS em Nuvem Pública: Melhores Práticas de Arquitetura para AWS e Microsoft Azure
Garanta resiliência operacional e inspeção profunda de pacotes (DPI) em seus ambientes IaaS. Explore as diretrizes técnicas para provisionamento de clusters Active-Active, integração com Microsoft Entra ID e roteamento de tráfego crítico via interfaces XFRM.
Desenhar Topologia de Nuvem
Topologia Avançada e Modelos de Licenciamento Cloud
A implantação de firewalls virtuais (vNDW) difere estruturalmente de appliances físicos. A arquitetura exige integração nativa com os balanceadores de carga dos provedores de nuvem para garantir redundância (SLA) sem assimetria de tráfego.
Cluster de Alta Disponibilidade (HA)
| Topologia Suportada no Azure | Active-Active (Recomendado) via Azure Standard Load Balancer. O modo Active-Passive tradicional não é suportado de forma nativa sem scripts de automação. |
|---|---|
| Health Probes (Sondas de Integridade) | Necessário liberar as portas TCP 4444 e 3128 no Network Security Group (NSG) para que o Load Balancer valide o status das instâncias. |
| Túneis VPN Route-Based | Utilização de interfaces XFRM para terminação de VPN IPsec com sobreposição (overlay) entre On-Premise e a vNet do Azure. |
| Roteamento de Saída (Egress) | Todo o tráfego da subnet LAN (Backend) deve ser forçado a usar a interface PortA (LAN) do Sophos Firewall via User-Defined Routes (UDR). |
Gestão de Subscrições (BYOL vs PAYG)
| Bring Your Own License (BYOL) | Permite portabilidade de licenças adquiridas via SN Informática. Ideal para infraestruturas previsíveis e contratos de longo prazo (1, 3 ou 5 anos). |
|---|---|
| Pay As You Go (PAYG) | Faturamento por hora diretamente via Azure/AWS Billing. Contempla o pacote Xstream Protection completo. Não suporta adição do módulo Enhanced Plus Support. |
| Dimensionamento Recomendado | Mínimo de 2 vCPUs e 4GB de RAM (Ex: Standard_F2s_v2 no Azure). Para alto throughput, instâncias como Standard_F16s_v2 (16 vCPUs). |
| Autenticação Nuvens Híbridas | Integração validada com Microsoft Entra Domain Services para SSO e políticas baseadas em identidade. |
Guia de Provisionamento: Active-Active no Microsoft Azure
O fluxo de implantação para mitigação de falhas em zona (Availability Zones) requer configuração estrita da infraestrutura do Azure em conjunto com as instâncias XGS virtuais.
Deploy via Azure Marketplace
Inicie a implantação pelo template oficial da Sophos. Defina o tamanho da VM (ex: Standard_F4s_v2) garantindo suporte a múltiplos NICs. Especifique as subnets distintas para WAN (Frontend) e LAN (Backend) pertencentes à mesma vNet.
Configuração de Network Security Groups (NSG)
Associe um NSG à interface WAN do firewall. Para acesso administrativo seguro (HTTPS 4444 e SSH 22), restrinja o bloco CIDR de origem (Trusted Network) em vez de usar "Any (*)".
Ajuste dos Load Balancers (Interno e Externo)
O tráfego de entrada da internet atinge o Azure External Load Balancer, que repassa os pacotes baseados nos Health Probes (TCP 3389 para RDP interno, TCP 4444 para gerência). Crie regras de persistência de sessão atreladas ao IP de origem para evitar quebra de conexões stateful.
Ajuste de Re-key Timers para VPN IPsec
Ao conectar firewalls on-premise à nuvem (Route-Based VPN), evite falsos positivos no Sophos Central ajustando os re-key timers no Initiator (On-Premise) para valores inferiores aos configurados no Responder (Azure VPN Gateway).
Base de Conhecimento Técnico (FAQ)
Como o Sophos XGS opera em Alta Disponibilidade (HA) no Azure?
O Sophos XGS no Azure deve ser implantado no modo **Active-Active** utilizando o **Azure Standard Load Balancer**, que distribui o tráfego de entrada e saída baseado em sondas de integridade (Health Probes).
Ao contrário de appliances físicos onde há cabos de batimento cardíaco dedicados para HA Active-Passive, a arquitetura em nuvem depende da inteligência do balanceador do provedor de IaaS. Se um nó (firewall) parar de responder na porta TCP 4444, o Azure Load Balancer cessa o envio de tráfego para aquela instância, roteando as novas requisições para a instância paralela.
Qual a diferença entre os modelos de licenciamento BYOL e PAYG na nuvem?
No **BYOL (Bring Your Own License)**, você adquire a subscrição anual com o parceiro (SN Informática). No **PAYG (Pay As You Go)**, a cobrança é feita por hora diretamente na fatura da AWS/Azure, sem compromisso mínimo.
A escolha afeta a estrutura de suporte e custos de longo prazo. O modelo PAYG inclui os recursos do Xstream Protection, sendo ideal para workloads elásticos (ex: e-commerces em Black Friday). O BYOL é a opção recomendada para infraestruturas corporativas perenes, oferecendo maior controle financeiro e a possibilidade de atrelar a licença ao Suporte Enhanced Plus para SLA prioritário.
Como configurar uma VPN Route-Based entre On-Premise e a vNet do Azure?
Para VPNs baseadas em rota, você deve criar **interfaces XFRM** no Sophos Firewall on-premise e pareá-las com o **Virtual Network Gateway** do Azure utilizando o protocolo IPsec.
Essa abordagem elimina as limitações das VPNs baseadas em políticas estáticas, permitindo que protocolos de roteamento dinâmico (como OSPF e BGP) anunciem subnets de forma autônoma através dos túneis criptografados. É mandatório que os valores de Maximum Segment Size (MSS) nas interfaces XFRM coincidam com as especificações do gateway da nuvem.
Arquitetura Segura para sua Nuvem Pública
Fale com um Arquiteto de Soluções da SN Informática (Sophos Platinum Partner) para projetar a topologia ideal do seu Sophos XGS no Azure ou AWS.