Opciones DHCP de Sophos Firewall (SFOS)

Las opciones DHCP son necesarias en el Sophos Firewall cuando los clientes necesitan más que una dirección IP, puerta de enlace y DNS al iniciar. Casos típicos son PXE, WDS, Thin Clients, teléfonos VoIP o entornos RED antiguos, donde un código de opción y tipo de dato específico deben coincidir exactamente.

Las versiones actuales de Sophos Firewall soportan opciones DHCP directamente en WebAdmin. Por lo tanto, para la mayoría de los entornos ya no es necesaria la configuración SSH o CLI. Sin embargo, los ejemplos de CLI siguen siendo importantes, ya que los runbooks antiguos, casos especiales y la resolución de problemas a menudo utilizan esta sintaxis.

Qué son las opciones DHCP

DHCP no solo distribuye una dirección IP. Junto con el arrendamiento, el servidor DHCP puede pasar información adicional al cliente. Para esto existen las opciones DHCP. Ejemplos típicos son servidores DNS, puerta de enlace, servidor TFTP, nombre de archivo de arranque, parámetros específicos del proveedor o valores para Thin Clients y teléfonos.

En el Sophos Firewall, las opciones DHCP siempre pertenecen al servidor DHCP o al ámbito que emite el arrendamiento. Esto es importante: si un cliente recibe su dirección de otro servidor DHCP, la opción debe configurarse allí. Si el Sophos Firewall solo actúa como un relé DHCP, reenvía las solicitudes DHCP, pero no es el lugar donde se mantiene la opción para ese ámbito.

Para IPv6, DHCP no siempre se trata de la misma manera que IPv4. Si un proveedor delega un prefijo IPv6, los anuncios de enrutador, los parámetros DHCPv6 y las reglas de firewall van juntos. El proceso se describe en Configurar delegación de prefijos IPv6 en Sophos Firewall.

En la práctica, antes de la configuración se deben aclarar tres cosas:

• ¿Qué servidor DHCP distribuye realmente el arrendamiento?
• ¿En qué ámbito o en qué interfaz se encuentra el cliente?
• ¿Qué códigos de opción, tipos de datos y valores requiere el fabricante del sistema objetivo?

Requisitos

• Sophos Firewall con servidor DHCPv4 activado
• Acceso a Network > DHCP
• Un ámbito DHCP en la interfaz adecuada
• Los códigos de opción DHCP y valores necesarios del fabricante o sistema objetivo
• Para CLI: acceso SSH permitido al Sophos Firewall

Antes de realizar cambios, se debe verificar brevemente el ámbito afectado. Las opciones DHCP solo funcionan de manera confiable si se establecen en el servidor DHCP correcto, en la red correcta y con el tipo de dato correcto.

• Servidor DHCP: Sophos Firewall debe emitir el lease directamente. Con DHCP Relay, las opciones normalmente pertenecen al servidor DHCP central.
• Scope e interfaz: Un cliente en el VLAN incorrecto o en otra interfaz no verá la opción, aunque esté guardada correctamente.
• Código de opción y tipo de dato: Muchos errores aparecen porque un cliente espera string, ipaddress, array-of o un valor de fabricante de una forma distinta a la configurada.
• Cliente de prueba: Un dispositivo conocido en la red afectada permite ver si la opción llega realmente en el DHCP offer o ACK.
• Ventana de cambio: PXE, teléfonos y thin clients pueden verse afectados inmediatamente al cambiar el lease. Por eso las modificaciones deben probarse de forma controlada.

Si la opción es relevante para dispositivos productivos, debe estar claro de antemano cómo eliminarla o restablecerla al valor anterior. Esto es especialmente importante para opciones de arranque, servidores de aprovisionamiento y opciones de proveedor específicas del fabricante.

1. Crear o verificar el servidor DHCP

Para que se distribuyan las opciones DHCP, primero se necesita un servidor DHCPv4 en Sophos Firewall. La configuración básica completa del rango, la puerta de enlace, DNS, el tiempo de concesión y las pruebas se describe en Configurar Sophos Firewall como servidor DHCP. A continuación, el servidor se edita en Network > DHCP.

Lo más importante es:

• El servidor DHCP está asignado a una interfaz.
• El ámbito coincide con la red en la que se encuentran los clientes.
• Los servidores DNS, puerta de enlace y tiempo de arrendamiento están configurados correctamente.
• El nombre DHCP no contiene espacios innecesarios o caracteres especiales.
• Los casos especiales de PXE, VoIP, Thin Client o RED están documentados de antemano.

El nombre DHCP es especialmente relevante para los comandos CLI. Si el nombre contiene espacios o caracteres especiales, los comandos y runbooks posteriores serán innecesariamente propensos a errores. Nombres comprensibles como DHCP_Server_Avanet_LAN, Home_Scope o DHCP_VoIP son más fáciles en la práctica.

2. Configurar opciones DHCP en WebAdmin

La ruta completa de SFOS 22 para un ámbito nuevo es Network > DHCP > Server > Add. Para un ámbito existente, abre allí la acción de edición. La sección DHCP options se encuentra dentro del formulario del servidor.

1. Abre Network > DHCP y edita el servidor DHCPv4 correcto en Server.
2. Anota todas las filas existentes en DHCP options, incluidas la opción, el código, el tipo y el valor. Esta es la referencia para la reversión.
3. Selecciona una opción predefinida de la lista o añade una opción personalizada.
4. Para una opción personalizada, completa Code, Type y Value.
5. Selecciona Save.
6. Renueva la concesión de un cliente de prueba controlado y comprueba la opción recibida.

SFOS 22 distingue entre:

• Opciones predefinidas: Lista de opciones DHCP ofrecidas por SFOS con sus valores predeterminados. La asignación oficial incluye tipos como String, IP address, Boolean, One-byte numeric value, Two-byte numeric value, Four-byte numeric value y varios tipos de matrices.
• Code: Número de la opción personalizada o del fabricante. Debe obtenerse de la documentación actual del cliente o del registro de IANA.
• Type: Tipo de dato con el que se codifica Value, por ejemplo IP address, String, Boolean o uno de los tipos numéricos y de matrices disponibles en la lista.
• Value: Valor concreto que debe recibir el cliente, por ejemplo una dirección IP, un nombre de host, una ruta o un puerto.

Los valores correctos generalmente los proporciona el fabricante del sistema objetivo. Que SFOS guarde un valor sin mostrar un error no demuestra que el cliente interprete su código, tipo y contenido como se pretende.

Para comprobar la referencia, la ayuda de SFOS 23 separa las opciones DHCPv4 en Appendix A y las opciones DHCPv6 en Appendix B. Ambas tablas distinguen Data type, Data format y Data value (example) e indican la RFC correspondiente. Por tanto, el tipo de dato por sí solo no basta: el formato del valor también debe corresponder a la opción. Los valores de ejemplo no son ajustes obligatorios para la propia red. No se deben trasladar sin cambios los códigos y valores de opciones DHCPv4 a DHCPv6; hay que comprobar la correspondencia específica para DHCPv6. La ampliación de las tablas de referencia no demuestra que una opción se haya introducido por primera vez en SFOS 23.

Preparar el cambio y la reversión

Antes de Save, se anota cada fila afectada con opción, código, tipo y valor anterior. Primero se prueba en un único scope controlado. Si falla, se edita el mismo servidor DHCPv4, se elimina solo la fila nueva o se restablece el valor anotado y se guarda. Después se renueva otra vez el lease del cliente de prueba y se comprueba en el DHCP Offer o ACK que vuelve a entregarse el estado inicial. No se debe eliminar precipitadamente una definición global mediante CLI, ya que otro servidor DHCP podría seguir utilizándola.

3. Casos de uso típicos

Las opciones DHCP se necesitan generalmente cuando un cliente requiere información adicional al iniciar. Los casos comunes son PXE, WDS, Thin Clients, teléfonos VoIP, puntos de acceso o escenarios heredados individuales.

PXE y WDS

Para entornos PXE o WDS, a menudo se utilizan las opciones 66 y 67:

• 66 se refiere al servidor TFTP o de implementación.
• 67 contiene el nombre del archivo de arranque.

Si el cliente alcanza el servidor pero no arranca, el problema a menudo no está en el firewall, sino en una ruta de archivo incorrecta, un tipo de dato inadecuado o un archivo de arquitectura inapropiado. Los clientes UEFI y BIOS a menudo requieren archivos de arranque diferentes.

Importante en versiones actuales de SFOS: Next-server y Boot file son campos de opciones de arranque propios dentro del servidor DHCPv4. Desde SFOS 20.0 MR1 ya no se tratan automáticamente solo como opciones DHCP 66 y 67. Si un dispositivo espera explícitamente la opción 66 o 67, estos valores deben mantenerse conscientemente en DHCP options y no solo en los campos de opciones de arranque.

Al actualizar a SFOS 20.0 MR1 o posterior, los valores existentes de Next-server y Boot file se conservan como opciones de arranque y también como opciones DHCP 66 y 67. Después de una migración conviene comprobar si los valores existen dos veces y si el cliente evalúa la variante esperada.

SFOS acepta una dirección IP o un FQDN en Next-server, pero no una URL. Boot file requiere la ruta completa, incluido el nombre del archivo. Ambos valores deben coincidir con el servidor de arranque realmente utilizado y con la arquitectura del cliente.

Thin Clients

Los Thin Clients requieren, según el fabricante, opciones para el servidor de gestión, servidor de imágenes o parámetros de conexión. En runbooks antiguos se encuentran, por ejemplo:

• 161 para el servidor
• 192 para un puerto o parámetros adicionales

Si estos códigos son correctos depende del fabricante y del modelo de Thin Client utilizado. Por lo tanto, no se deben adoptar ciegamente, sino siempre verificar contra la documentación del fabricante.

Teléfonos IP Avaya como ejemplo concreto del fabricante

La ayuda de SFOS 22 muestra las opciones 176 y 252 como valores de tipo String para teléfonos Avaya. Las direcciones IP y el puerto indicados son solo valores de documentación y deben sustituirse por los servidores reales de comunicación, TFTP y HTTP del entorno:

Option 176, String: MCIPADD=192.168.30.99,MCPORT=1719,TFTPSRVR=192.168.30.201
Option 252, String: ConfigHttpSrvr=192.168.30.102

Después de renovar la concesión, se comprueba en el DHCP Offer o ACK que el cliente recibe exactamente estas cadenas. A continuación, los logs del teléfono y de los servidores deben confirmar que el dispositivo utiliza realmente los servicios previstos. Este ejemplo no es una configuración universal de Avaya.

Casos especiales de RED antiguos

En entornos antiguos, hubo casos en los que un Sophos RED 15w no reconocía correctamente el punto de acceso integrado. Para ello, a veces se utilizaba una opción DHCP específica del fabricante, por ejemplo, con el código de opción 234 y un valor como 10.10.10.12.

Esto no es un estándar general para instalaciones modernas de SD-RED. Sin embargo, como ejemplo heredado, sigue siendo útil porque muestra cómo definir códigos de opción propios y vincularlos a un servidor DHCP.

Para diseños RED actuales, el artículo Configurar y solucionar problemas de Sophos SD-RED es más útil. Si se trata de diseños de interfaz, VLAN, puente o RED, también ayuda Planificar y configurar zonas e interfaces de Sophos Firewall.

4. Entender correctamente DHCP Relay

Con DHCP Relay, Sophos Firewall reenvía las solicitudes de clientes a un servidor situado en otra red. Por eso, las opciones DHCP se configuran en el servidor que concede el lease, no en el firewall que actúa como relé.

Configurar y probar DHCP Relay en Sophos Firewall explica la selección de interfaz, varios servidores, redes locales e IPsec policy-based y route-based con valores de ejemplo, reglas, comandos y Packet Capture.

5. Usar la CLI de forma controlada

SFOS 22 sigue documentando ambos pasos de CLI: definir una opción con system dhcp dhcp-options add y vincularla a un servidor DHCP con system dhcp dhcp-options binding add. El resumen actual de Device Console presenta el comando de forma abreviada; la guía oficial de Avaya muestra la sintaxis completa. WebAdmin sigue siendo la opción más clara para nuevas configuraciones estándar, mientras que la CLI resulta útil sobre todo para runbooks existentes, casos de soporte y migraciones controladas.

La Device Console solo debe considerarse si:

• un artículo antiguo o runbook ya se basa en comandos CLI
• se deben probar opciones de proveedor inusuales
• se desea ver exactamente qué enlaces están almacenados internamente en caso de soporte
• se ha heredado un entorno de una versión muy antigua de SFOS
• se debe replicar o verificar un comando en una documentación

Si debes usar una sintaxis confirmada para la versión instalada, consulta primero Conectar SSH con Sophos Firewall. Después de iniciar sesión, usa 4. Device Console, no Advanced Shell. Antes de cambiar nada, guarda la configuración actual de la interfaz web y los bindings existentes.

Principio básico de CLI: definir y vincular opción

En la configuración CLI hay dos pasos:

1. Se define la opción DHCP.
2. La opción se vincula a un servidor DHCP y se le asigna un valor.

Primero se define la opción:

system dhcp dhcp-options add optioncode optionname optiontype

Los marcadores de posición significan:

• optioncode: código numérico de opción DHCP
• optionname: nombre libremente elegido de la opción
• optiontype: tipo de dato, por ejemplo, ipaddress o string

Ejemplo de una dirección IP como opción DHCP:

system dhcp dhcp-options add optioncode 234 optionname dhcp_magic_ip optiontype ipaddress

Luego se vincula la opción a un servidor DHCP:

system dhcp dhcp-options binding add dhcpname optionname(234) value

Los marcadores de posición significan:

• dhcpname: nombre del servidor DHCP de la configuración de Sophos Firewall
• optionname(234): nombre de la opción previamente definida, incluido el código de opción entre paréntesis
• value: valor que se distribuirá a los clientes

Ejemplo:

system dhcp dhcp-options binding add dhcpname dhcp_red_avanet optionname dhcp_magic_ip(234) value 10.10.10.12

6. Ejemplos de CLI

La sintaxis para definir y vincular opciones está documentada oficialmente en la guía actual de Avaya para SFOS 22. En cambio, los valores de Thin Client, WDS y RED que aparecen a continuación son ejemplos específicos de cada entorno: antes de utilizarlos, se deben contrastar el código de opción, el tipo de dato y el contenido con la documentación actual del fabricante.

Servidor Thin Client

Con esta opción se informa a un Thin Client en qué servidor se encuentra la imagen o el componente de gestión:

system dhcp dhcp-options add optioncode 161 optionname ThinClientServer optiontype ipaddress
system dhcp dhcp-options binding add dhcpname DHCP_Server_Avanet_LAN optionname ThinClientServer(161) value '10.10.10.12'

Si además se necesita un puerto, se puede establecer como cadena:

system dhcp dhcp-options add optioncode 192 optionname ThinClientServerPort optiontype string
system dhcp dhcp-options binding add dhcpname DHCP_Server_Avanet_LAN optionname ThinClientServerPort(192) value '443'

WDS y PXE

Un valor de opción DHCP para el servidor WDS o TFTP se puede establecer así:

system dhcp dhcp-options binding add dhcpname Home_Scope optionname TFTP_Server_Name(66) value 172.16.16.11

El nombre del archivo de arranque para el entorno previo se proporciona como opción 67:

system dhcp dhcp-options binding add dhcpname Home_Scope optionname Bootfile_Name(67) value \boot\x64\wdsnbp.com

Con entorno previo se refiere al entorno de arranque con el que un cliente inicia durante la instalación o recuperación. Dependiendo del entorno, la ruta necesaria puede variar, especialmente en clientes UEFI, BIOS, de 32 bits y de 64 bits.

Mostrar opciones existentes

Antes de realizar cambios, se deben mostrar las opciones existentes:

system dhcp dhcp-options list

La guía oficial de SFOS 22 indica que, para DHCPv4, el firewall admite objetos de opción del 1 al 255, pero este comando CLI solo muestra las opciones del 1 al 76. Para los códigos, tipos y codificación, las referencias autorizadas siguen siendo Appendix A, el registro de IANA y la documentación del cliente o fabricante.

Mostrar enlaces de un servidor DHCP:

system dhcp dhcp-options binding show dhcpname DHCP_Server_Avanet_LAN

Aunque el resumen actual incluye la acción delete, la eliminación global no es una reversión segura por defecto: otros servidores DHCP podrían usar la definición. Para un solo scope, se restablece el estado anterior anotado en WebAdmin.

7. Fuentes comunes de errores

Si una opción DHCP está guardada pero no funciona como se esperaba en el cliente, a menudo se debe a uno de estos puntos:

• El servidor DHCP incorrecto responde a la solicitud.
• Se editó el ámbito o la interfaz incorrecta.
• El tipo de dato no coincide con el valor esperado.
• La dirección IP, FQDN, puerto o ruta está mal escrita.
• La ruta del archivo de arranque no coincide con la arquitectura del cliente.
• El cliente espera una cadena, pero la opción se configuró como dirección IP.
• El fabricante utiliza opciones específicas del proveedor que requieren parámetros adicionales.
• El arrendamiento no se renovó después del cambio.
• Se utiliza relé DHCP aunque la opción se mantuvo en el Sophos Firewall.

Después de un cambio, se debe renovar el arrendamiento en el cliente de prueba y verificar si el cliente realmente recibe las opciones esperadas. Si el comportamiento sigue sin coincidir, una captura de paquetes suele ser más rápida que adivinar: en los paquetes DHCP se puede ver qué servidor responde y qué opciones se entregan realmente.

8. Probar el cambio

Después de guardar una opción DHCP, no se debe esperar simplemente a que el próximo cliente obtenga un nuevo arrendamiento en algún momento. Es mejor una prueba controlada con un dispositivo conocido en la red afectada.

Procedimiento recomendado:

1. Conectar el cliente de prueba en el VLAN o interfaz correcta.
2. Renovar el arrendamiento antiguo o reiniciar el cliente.
3. Verificar qué dirección DHCP, puerta de enlace, servidores DNS y opciones adicionales han llegado.
4. Probar el sistema objetivo, por ejemplo, arranque PXE, inicio WDS, registro de Thin Client o aprovisionamiento de teléfono.
5. Verificar en WebAdmin si el arrendamiento aparece en el ámbito DHCP esperado.
6. Si el resultado no es el esperado, usar Packet Capture para verificar qué servidor DHCP responde y qué opciones están incluidas en la oferta o ACK.

Para una captura estrecha, generalmente basta con un filtro en UDP 67 y 68 entre el cliente y el servidor DHCP. El uso de la herramienta WebAdmin se describe en Usar Sophos Firewall Packet Capture en WebAdmin.

En pruebas de PXE y WDS, también se debe documentar si el cliente de prueba utiliza BIOS o UEFI. Muchos problemas de arranque no se deben al DHCP en sí, sino a un archivo de arranque que no coincide con la arquitectura.

9. Solución de problemas según los síntomas

Si las opciones DHCP no funcionan, una revisión orientada a los síntomas a menudo ayuda más rápido que volver a crear la misma opción.

• El cliente no recibe una dirección IP: El servidor DHCP, VLAN, interfaz o relay no coinciden. Revisar la lista de leases, interfaz, VLAN y DHCP Relay.
• El cliente recibe IP, pero no la opción: Responde el scope incorrecto o el servidor DHCP incorrecto. Revisar DHCP offer o ACK con Packet Capture.
• PXE encuentra el servidor, pero no arranca: La opción 67, la ruta del archivo o la arquitectura no coinciden. Revisar bootfile BIOS/UEFI y logs TFTP/WDS.
• El thin client no conecta: Código de opción, tipo o valor de fabricante incorrecto. Comparar la documentación del fabricante con el valor entregado.
• El cambio se aplica más tarde: El cliente usa un lease antiguo. Renovar el lease, reiniciar el cliente o considerar el lease time.
• El comando CLI no funciona: Nombre DHCP, nombre de opción o notación entre paréntesis incorrectos. Revisar system dhcp dhcp-options list y la salida del binding.

Si en la captura responde otro servidor DHCP, primero se debe aclarar el diseño de la red. Dos servidores DHCP en el mismo dominio de difusión son una causa clásica de comportamiento cambiante. Para preguntas más complejas sobre VLAN, puente o interfaz, ayuda Planificar y configurar zonas e interfaces de Sophos Firewall.

Preguntas frecuentes