Wer eine Sophos SD-RED einrichtet, muss vorab den Betriebsmodus festlegen. Dieser bestimmt, woher die Clients ihre IP-Adresse bekommen, welcher Traffic durch den Tunnel läuft und über welches Gateway die Geräte am Standort ins Internet gehen.
Falsch gewählt, sorgt der Modus dafür, dass DHCP nicht greift, Anwendungen hängen, Internet unerklärlich langsam wird oder Firewall-Regeln ins Leere laufen. Da alle abhängigen Einstellungen vom Modus abgeleitet werden, sollte die Entscheidung vor dem ersten Gerät am Standort fallen.
Sophos dokumentiert die technischen Details in der Firewall-Administratorhilfe. Dieser Artikel beschreibt, welcher Modus zu welchem Standort passt, wo die häufigsten Fehler liegen und was vor dem Rollout geklärt sein sollte.
Key Takeaways: SD-RED Betriebsmodi
- Standard/Unified schickt alles durch die Zentrale. Einfach, aber die Leitung muss das tragen.
- Standard/Split lässt Internet lokal und schickt nur bestimmte Netze durch den Tunnel. Funktioniert gut, solange die Netzliste vollständig ist.
- Transparent/Split greift in ein bestehendes Netz ein. Flexibel, aber DHCP Option 234 und sauberes Routing sind Pflicht.
- Keiner der Modi ersetzt Firewall-Regeln. Tunnel steht heißt nicht Zugriff erlaubt.
- RED 15, RED 15w und RED 50 sind End-of-Life. Bei der Migration auf SD-RED 20 oder SD-RED 60 den Modus gleich mit hinterfragen.
Die drei Betriebsmodi von Sophos REDs im Überblick
Bei der Inbetriebnahme von Sophos Remote Ethernet Devices stehen drei Betriebsmodi zur Wahl.
- Standard/Unified leitet sämtlichen Traffic der Außenstelle durch den Tunnel zur zentralen Sophos Firewall. Die Zentrale liefert DHCP, kontrolliert den Internetzugang und wendet alle Regeln an. Für den Standort bedeutet das null lokale Netzwerklogik, alles kommt von oben.
- Standard/Split schickt nur Traffic zu definierten Zielnetzen durch den Tunnel. Internet und alles andere nutzt das lokale Gateway. DHCP kommt trotzdem von der zentralen Firewall.
- Transparent/Split greift in ein bestehendes Netz ein, ohne es umzubauen. DHCP bleibt lokal, Gateway bleibt lokal, nur bestimmte Routen gehen durch den Tunnel. Flexibel, aber mit der höchsten Anforderung an die Vorbereitung.
| Frage | Standard/Unified | Standard/Split | Transparent/Split |
|---|---|---|---|
| Woher kommt DHCP? | Zentrale Firewall | Zentrale Firewall | Lokaler DHCP-Server |
| Was geht durch den Tunnel? | Alles | Nur die Split-Netze | Nur die Split-Netze |
| Wie surfen die Clients? | Über die Zentrale | Über das lokale Gateway | Über das lokale Gateway |
| Komplexität | Niedrig | Mittel | Hoch |
Standard/Unified: Die Außenstelle als verlängertes LAN
Im Standard/Unified-Modus baut die SD-RED den Tunnel auf und die zentrale Firewall übernimmt alles andere. Sie verteilt IP-Adressen per DHCP, ist das Default Gateway, filtert den Webverkehr und wendet sämtliche Firewall-Regeln an. Am Standort selbst passiert netzwerktechnisch nichts außer dem Tunnel.
Der Modus eignet sich für kleine Standorte ohne IT-Personal vor Ort. Eine Zahnarztpraxis mit drei PCs und einem Kartenleser, ein Homeoffice-Arbeitsplatz, der ins Firmennetz angebunden werden soll, oder eine Beratungsstelle mit einer Handvoll Geräten.
Allerdings läuft im Unified-Modus auch der gesamte Internetverkehr über den Tunnel und die zentrale Leitung. Teams-Calls, Windows-Updates, Cloud-Backups und Browser-Traffic addieren sich. Bei einem Standort fällt das selten auf, bei zehn Standorten gleichzeitig kann die Zentrale zum Flaschenhals werden. Die Bandbreite der zentralen Internetleitung muss den zusätzlichen Traffic aller Unified-Standorte tragen können.
Standard/Split: Zentrale Netze ja, Internet nein
Standard/Split teilt den Traffic. Verbindungen zu Netzen, die als Split-Ziel definiert sind, laufen durch den Tunnel. Alles andere geht über das lokale Gateway ins Internet. DHCP kommt weiterhin von der zentralen Firewall, aber das Default Gateway der Clients zeigt lokal.
Dieser Modus eignet sich, wenn die Außenstelle zentrale Server und Fachanwendungen über den gesicherten Tunnel erreichen soll, Internet aber lokal bleiben kann. Microsoft 365, Videokonferenzen und allgemeiner Web-Traffic belasten die zentrale Leitung nicht, der Standort reagiert schneller und die IT behält trotzdem die Kontrolle über den Zugriff auf interne Ressourcen.
Was diesen Modus in Projekten trotzdem regelmäßig stolpern lässt, ist die Netzliste. Wer nur das Servernetz einträgt und vergisst, dass der Domänencontroller in einem anderen Subnetz steht, der DNS-Server woanders läuft, der Druckserver zentral hängt und die Lizenzaktivierung einen bestimmten Host braucht, der bekommt am Montagmorgen nach dem Rollout Tickets. Die Netzliste muss den tatsächlichen Kommunikationsbedarf abbilden, nicht nur „das Servernetz".
Transparent/Split: Wenn schon ein Netz da ist
Transparent/Split ist für Standorte gedacht, an denen bereits ein funktionierendes Netzwerk mit eigenem DHCP, Router und Gateway existiert. Typische Beispiele sind Schulstandorte mit Access Points, Druckern und einem Verwaltungssegment, kommunale Außenstellen mit gewachsener Infrastruktur oder Standorte, bei denen ein Umbau auf Standard/Unified oder Split zu aufwendig wäre.
Die SD-RED klinkt sich in das bestehende Netz ein und routet nur bestimmte Zielnetze durch den Tunnel. DHCP bleibt beim lokalen Server, das Gateway bleibt lokal, das Netz sieht für die Clients fast unverändert aus. Fast, weil ein Detail stimmen muss: Sophos verlangt im Transparent/Split-Modus, dass der lokale DHCP-Server DHCP Option 234 ausliefert. Diese Option enthält die IP-Adresse des RED-Interfaces auf der Firewall-Seite und sorgt dafür, dass die Clients wissen, wohin sie den Traffic für die Split-Netze schicken sollen.
Fehlt diese Option, greift ein Fallback. Der funktioniert im Labor, führt aber im produktiven Netz gerne zu Routing-Problemen, die sich schlecht debuggen lassen, weil alles „irgendwie geht", aber nicht so wie geplant. Transparent/Split sollte deshalb nur gewählt werden, wenn jemand vor Ort oder remote DHCP-Optionen konfigurieren und im Fehlerfall analysieren kann. Für Standorte ohne technisches Personal ist Standard/Unified oder Standard/Split fast immer die stabilere Wahl.
DHCP, Routing und Firewall-Regeln werden nicht über den Betriebsmodus konfiguriert
Der Betriebsmodus legt den Traffic-Weg fest, konfiguriert aber keine Firewall-Regeln. Ein stehender Tunnel bedeutet nicht, dass die Clients irgendetwas erreichen können. Dafür braucht es Regeln zwischen der RED-Zone und LAN, WAN, VPN oder den sonstigen Zonen auf der Sophos Firewall.
Häufig wird die SD-RED eingerichtet, der Tunnel kommt hoch und Ping auf die Firewall funktioniert. Am nächsten Tag meldet die Filiale, dass Outlook nicht synchronisiert, der Drucker nicht druckt und das Fachverfahren einen Timeout wirft. In fast allen Fällen fehlen Firewall-Regeln oder NAT-Einträge.
DHCP, NAT und Webfilter je nach SD-RED Betriebsmodus
Die folgende Tabelle zeigt, was je nach Modus manuell konfiguriert werden muss.
| Was eingerichtet werden muss | Standard/Unified | Standard/Split | Transparent/Split |
|---|---|---|---|
| DHCP | Auf dem RED-Interface der zentralen Firewall | Auf dem RED-Interface der zentralen Firewall | Bleibt lokal, DHCP Option 234 konfigurieren |
| Firewall-Regeln | RED-Zone ↔ LAN, RED-Zone → WAN | RED-Zone ↔ LAN (für Split-Netze) | RED-Zone ↔ LAN (für Split-Netze), lokales Routing prüfen |
| NAT | Masquerade für Internet über die Zentrale | Nur für Tunnel-Traffic relevant | Nur für Tunnel-Traffic relevant |
| Webfilter | Zentral anwendbar | Nur für Tunnel-Traffic, lokal nicht | Nur für Tunnel-Traffic, lokal nicht |
WLAN und VLANs hinter der SD-RED
Wenn hinter der SD-RED WLAN, VLANs oder getrennte Gerätegruppen betrieben werden, verändert sich das Zonendesign. Ein Gäste-WLAN hinter einer SD-RED braucht andere Regeln als ein reines Verwaltungsnetz. Das sollte zusammen mit der WLAN-Planung und dem Firewall-Zonenkonzept betrachtet werden, nicht nachträglich.
Wann eine XGS am Standort mehr Sinn ergibt
Die SD-RED ist ein Tunnel-Endpunkt mit minimalem Aufwand vor Ort. Sobald ein Standort aber eigene Sicherheitsfunktionen braucht, eigene VLANs verwaltet, mehrere Internetleitungen nutzt, lokale TLS-Inspection oder IPS benötigt oder eigenständige VPN-Verbindungen aufbauen soll, reicht eine SD-RED nicht aus.
In solchen Fällen gehört eine Sophos XGS Firewall an den Standort. Die Standortvernetzung läuft dann über Site-to-Site-VPN statt RED-Tunnel, mit allen Firewall-Funktionen auf beiden Seiten.
Einen ausführlichen Vergleich beider Ansätze haben wir im Artikel Standortvernetzung mit Sophos zusammengestellt. Für die Dimensionierung einer Standort-Firewall hilft unser XGS Sizing Tool.
Legacy RED ablösen und den Modus gleich mitnehmen
RED 15, RED 15w und RED 50 sind End-of-Life. Sophos Firewall v20 war die letzte Version, die diese Geräte unterstützt hat. Wer noch welche im Einsatz hat, muss auf SD-RED 20, SD-RED 60 oder eine XGS am Standort wechseln.
Bei Migrationen wird häufig das neue Gerät bestellt und die alte Konfiguration 1:1 nachgebaut. Das verschenkt die Chance, den Modus an die heutige Realität anzupassen. Die Außenstelle sieht 2026 anders aus als 2019. Mehr Cloud, mehr Videokonferenzen, mehr Bandbreite lokal, vielleicht ein WLAN dazugekommen, vielleicht strengere Compliance-Anforderungen. Standard/Unified war vielleicht richtig, als die Filiale drei PCs hatte und kaum Cloud nutzte. Heute könnte Standard/Split die bessere Wahl sein.
| Altgerät | Nachfolger | Was bei der Migration mitprüfen |
|---|---|---|
| RED 15 / RED 15w | SD-RED 20 | Bandbreite, WLAN, DHCP, Split-Netze, Cloud-Anteil am Traffic |
| RED 50 | SD-RED 60 | Portbedarf, Segmentierung, Traffic-Profil, ob eine XGS sinnvoller wäre |
| Mehrere alte Standorte | SD-RED-Refresh oder XGS-Konzept | Modi standardisieren, Namensschema, Regelwerk, Monitoring vereinheitlichen |
Alles rund um Abkündigungen und Hardware-Lifecycle findet sich im Sophos Product Lifecycle. Für Migrationen mit mehreren Standorten unterstützen wir über Professional Services.
Fünf SD-RED Fehler, die wir regelmäßig sehen
1. Unified gewählt, ohne die Bandbreite zu rechnen
Zehn Standorte im Unified-Modus klingen überschaubar, bis alle gleichzeitig Teams nutzen, Updates ziehen und Cloud-Backups laufen. Dann wird die zentrale Leitung zum Engpass.
2. Split-Netze unvollständig
Häufigster Fehler nach einem Split-Rollout. Nur das Servernetz wird eingetragen, aber DNS liegt in einem anderen Subnetz, der Domänencontroller hat eine eigene Adresse, der Druckserver hängt zentral und die Lizenzaktivierung braucht einen bestimmten Host. Alle benötigten Netze vorher dokumentieren.
3. DHCP Option 234 vergessen
Betrifft nur Transparent/Split, aber dort zuverlässig. Ohne diese Option finden die Clients den Weg zu den Split-Netzen nur über Fallback-Mechanismen, die im Lab funktionieren und im produktiven Netz für rätselhafte Routing-Probleme sorgen.
4. Tunnel steht, Regeln fehlen
Ein grüner Tunnel und ein funktionierender Ping bedeuten nicht, dass die Clients Anwendungen erreichen. Ohne Firewall-Regeln zwischen RED-Zone und den relevanten Zonen geht kein produktiver Traffic durch. NAT und Webfilter müssen ebenfalls geprüft werden.
5. Alten Modus blind übernommen
Bei Migrationen von Legacy RED auf SD-RED wird der alte Modus oft 1:1 nachgebaut. Dabei hat sich der Standort längst verändert. Immer kurz innehalten und prüfen, ob Unified noch passt oder Split heute sinnvoller wäre.
SD-RED-Checkliste: Vor dem Rollout klären
| Punkt | Warum | ☐ |
|---|---|---|
| Standorttyp verstanden | Filiale, Schule, Praxis, Homeoffice, Kommune: jeweils andere Anforderungen | ☐ |
| Traffic-Profil geschätzt | Cloud-Anteil, VoIP, Updates, Videokonferenzen bestimmen Unified vs. Split | ☐ |
| DHCP-Konzept klar | Zentral oder lokal? Bei Transparent/Split: Option 234 vorbereitet? | ☐ |
| Split-Netze vollständig | Inkl. DNS, DC, Druck, Lizenz, Monitoring | ☐ |
| Firewall-Zonen geplant | RED-Zone braucht Regeln zu LAN, WAN, VPN und weiteren Zonen | ☐ |
| NAT und Webfilter geprüft | Internet und Anwendungen funktionieren nur mit passenden Policies | ☐ |
| WLAN und VLANs bedacht | Access Points, Gästenetze und Segmentierung verändern das Zonendesign | ☐ |
| EoL-Geräte identifiziert | RED 15/15w und RED 50 nicht in neue Designs übernehmen | ☐ |
| Pilot gemacht | Mit echten Clients testen: Routing, DNS, Apps, Druck, Internet | ☐ |
Fazit: Den Modus vor dem Gerät wählen
Der SD-RED Betriebsmodus ist eine Architekturentscheidung. Standard/Unified für Standorte, die komplett über die Zentrale laufen sollen. Standard/Split für den Kompromiss zwischen zentralem Zugriff und lokalem Internet. Transparent/Split für bestehende Netze, die nicht umgebaut werden können oder sollen.
Die richtige Wahl hängt vom Standort ab, nicht vom Modus. Wer weiß, wie der Standort betrieben werden soll, wie viel Traffic lokal bleiben kann und ob jemand vor Ort Netzwerkthemen anfassen kann, hat die Entscheidung meistens schon getroffen.
Firewalls24 unterstützt bei Planung, Migration und Einrichtung von Sophos SD-RED und Standortvernetzung. Bei mehreren Standorten lohnt sich eine kurze Bestandsaufnahme vorab: Welche Standorte gibt es, was muss erreichbar sein, was soll lokal bleiben?
info FAQ: SD-RED Betriebsmodi arrow_drop_down
FAQ: SD-RED Betriebsmodi
Welche Betriebsmodi gibt es bei Sophos SD-RED?
Sophos unterscheidet drei Modi: Standard/Unified (gesamter Traffic durch die Zentrale), Standard/Split (nur definierte Netze durch den Tunnel, Internet lokal) und Transparent/Split (Integration in ein bestehendes Netz mit eigenem DHCP und Gateway).
Was passiert bei Standard/Unified mit dem Internet-Traffic?
Bei Standard/Unified läuft der gesamte Traffic der Außenstelle durch den RED-Tunnel zur zentralen Firewall, einschließlich aller Internetzugriffe. Die Zentrale kontrolliert Webfilter, Logging und Zugriffsregeln. Die Bandbreite der Zentrale muss dafür ausgelegt sein.
Was muss ich bei Standard/Split beachten?
Die Liste der Split-Netze muss vollständig sein. Neben dem Servernetz gehören DNS, Domänencontroller, Druckserver, Lizenzserver und alle weiteren Abhängigkeiten in die Liste. Unvollständige Netzlisten sind die häufigste Fehlerquelle bei diesem Modus.
Was ist DHCP Option 234 bei Transparent/Split?
Im Transparent/Split-Modus muss der lokale DHCP-Server DHCP Option 234 ausliefern. Sie enthält die IP-Adresse des RED-Interfaces auf der Firewall-Seite, damit die Clients den Weg zu den Split-Netzen finden. Ohne diese Option greift ein Fallback, der in produktiven Netzen oft zu unerwünschtem Routing führt.
Brauche ich trotz RED-Tunnel noch Firewall-Regeln?
Ja, immer. Der Tunnel stellt die verschlüsselte Verbindung her, erlaubt aber keinen Zugriff. Auf der Sophos Firewall müssen Regeln zwischen RED-Zone und LAN, WAN, VPN oder anderen Zonen konfiguriert werden. Auch NAT und Webfilter-Policies können nötig sein.
Kann ich RED 15 oder RED 50 noch weiterbetreiben?
Diese Modelle sind End-of-Life und werden ab neueren Sophos-Firewall-Versionen nicht mehr unterstützt. Für Migrationen stehen SD-RED 20 und SD-RED 60 bereit. Bei der Migration den Betriebsmodus gleich mit hinterfragen.
Wann ist eine XGS Firewall am Standort besser als eine SD-RED?
Sobald der Standort eigene Sicherheitsfunktionen, mehrere VLANs, lokale TLS-Inspection, mehrere Internetleitungen oder eigenständige VPN-Verbindungen braucht. Die SD-RED ist ein Tunnel-Endpunkt, die XGS eine vollwertige Firewall.
