Configurar y comprobar Dynamic DNS en Sophos Firewall

En Network > Dynamic DNS > Add se asocia un nombre de host del proveedor DDNS con la interfaz WAN correspondiente. Si Sophos Firewall tiene directamente la IPv4 pública, se selecciona Use port IP. Si tiene una dirección WAN privada detrás de un router, se selecciona NATed public IP.

Dynamic DNS solo actualiza el registro DNS. No abre puertos ni crea reglas NAT o de firewall. Para que un servidor interno detrás del firewall sea accesible, también deben completarse correctamente los pasos de Publicar un servidor mediante DNAT.

El mismo nombre de host también puede representar una dirección WAN IPv4 pública dinámica para una Sophos DNS Protection Location. Primero, la consulta externa del registro A descrita más abajo debe devolver la IPv4 WAN actual; después, se comprueba la asignación específica de la ubicación como se describe en Gestionar Sophos DNS Protection Locations de forma segura. El registro DDNS por sí solo no asigna ninguna Filtering Policy ni cambia la ruta DNS de los clientes.

Configurar Dynamic DNS

Primero se necesita un nombre de host registrado en el proveedor, como vpn.example.net, y credenciales de actualización válidas. El firewall debe poder resolver DNS y acceder a Internet y al proveedor. Por tanto, Dynamic DNS no funciona en un entorno aislado.

Abrir Network > Dynamic DNS y hacer clic en Add.
En Hostname, introducir el nombre creado en el proveedor, por ejemplo vpn.example.net. Utilizar la sintaxis de dominio y subdominios que exija el proveedor; el formato no es el mismo para todos. Antes de guardar, comprobar también sus requisitos para el nombre de inicio de sesión.
Seleccionar la Interface WAN correspondiente, por ejemplo Port2 - WAN.
En IPv4 address, seleccionar Use port IP o NATed public IP.
Seleccionar el Service provider.
Introducir el Login name y la Password o la clave de actualización específica del proveedor.
Guardar con Save y comprobar el estado.

El cuadro de diálogo actual de SFOS ofrece DynDNS, DynAccess, EasyDNS, ZoneEdit, Google DDNS, Namecheap, DNS-O-Matic, No-IP, FreeDNS y Cloudflare. El antiguo servicio de Sophos myfirewall.co ya no está disponible. Según el proveedor, Password no se refiere a la contraseña normal de la cuenta: DynDNS utiliza la Updater Client Key, mientras que ZoneEdit y EasyDNS utilizan un Dynamic Token. DynAccess, No-IP, DNS-O-Matic, Google DDNS y Namecheap utilizan nombre de usuario y contraseña. Si un proveedor no requiere nombre de usuario, Sophos indica que se introduzca el dominio como Login name. En FreeDNS, la contraseña de SFOS no puede superar los 15 caracteres; Cloudflare es la excepción y utiliza una dirección de correo electrónico y la Global API Key.

Antes del paso 6, preparar el nombre de host y las credenciales de actualización en la cuenta del proveedor:

DynDNS: En la cuenta DynDNS, My Services > DynDNS Pro > Add New Hostname permite crear un nombre de host con el dominio del proveedor elegido. La clave de actualización se encuentra en Account Settings > Updater Client Key. Si el campo está vacío, utilizar Generate Key. Atención: una clave recién generada sustituye las credenciales anteriores de los clientes de actualización DDNS existentes; también hay que proporcionarles la nueva clave. En SFOS, introducir el nombre de usuario de DynDNS como Login name y la clave como Password, no la contraseña de la cuenta.
ZoneEdit: En el panel de control de ZoneEdit, abrir DNS y seleccionar el icono de llave inglesa de DYN RECORDS. Definir HOST y TTL, hacer clic en ENABLE para DYN AUTHENTICATION TOKEN, continuar con NEXT y confirmar los cambios. En SFOS, utilizar el nombre de usuario de ZoneEdit y el token dinámico en lugar de la contraseña de la cuenta.
EasyDNS: En el panel de control de EasyDNS, abrir MANAGE > DNS SETTINGS > MODULAR EDITOR para el dominio y editar DYNAMIC RECORDS. Definir el nombre de host y el TTL, crear el Dynamic Authenticated Token con ENABLE, seleccionar NEXT y confirmar los cambios. El servicio contratado debe admitir Dynamic DNS. Si ya existe un registro A, confirmar su conversión solo si realmente debe pasar a ser dinámico. En SFOS, utilizar el nombre de usuario de EasyDNS y el token en lugar de la contraseña de la cuenta.
FreeDNS: Comprobar los nombres de host necesarios en subdominios de FreeDNS. Para SFOS siguen siendo válidas las credenciales indicadas arriba y el límite de 15 caracteres de la contraseña.

Las claves de actualización y los tokens, al igual que las contraseñas, no deben aparecer en capturas de pantalla ni en solicitudes de soporte.

Use port IP o NATed public IP

Use port IP: La propia interfaz WAN seleccionada tiene la dirección IPv4 pública.
NATed public IP: La interfaz WAN tiene una dirección privada y un router situado delante del firewall realiza NAT. Para determinar la dirección pública, el firewall también debe poder acceder a checkip.cyberoam.com mediante TCP 80.

Las interfaces bridge no admiten Dynamic DNS. Si se modifican o sustituyen interfaces WAN, deben revisarse las dependencias en Object usage y después comprobar la entrada DDNS. Usar correctamente zonas e interfaces explica otras limitaciones de las interfaces.

Conectar Cloudflare de forma segura

El proveedor Cloudflare integrado requiere la dirección de correo electrónico de la cuenta y la Global API Key. La documentación actual de Sophos no incluye los tokens de API restringidos como credenciales compatibles.

Cloudflare clasifica la Global API Key como heredada: tiene los mismos permisos que el usuario y acceso a sus recursos. Para la integración con SFOS debe utilizarse un usuario de Cloudflare independiente, limitado a la zona necesaria y al rol DNS. La clave no debe aparecer en capturas de pantalla ni en tickets. Si la política de seguridad no permite una Global API Key, debe utilizarse un actualizador externo con un token de API restringido u otro proveedor compatible.

Para VPN y otros servicios que conectan los clientes directamente con la IP pública del firewall, el registro de Cloudflare debe estar configurado como DNS only. Si el proxy se ha activado deliberadamente, la consulta DNS devuelve direcciones anycast de Cloudflare; en ese caso, la IP de origen de DDNS debe comprobarse en el panel de Cloudflare.

Comprobar la resolución DDNS y el servicio

SFOS comprueba cada cinco minutos si ha cambiado la dirección IP pública. Después de guardar, se comprueban en Network > Dynamic DNS las columnas Last updated IP, Last updated status, Last updated time y, si se produce un error, Failure reason. Last updated IP es la última dirección enviada al proveedor; solo una consulta DNS externa muestra qué dirección se publica realmente.

A continuación, se consulta el nombre de host mediante un resolver externo a la caché DNS local. En Linux y macOS:

dig @1.1.1.1 vpn.example.net A +short

En Windows:

nslookup vpn.example.net 1.1.1.1

La respuesta debe coincidir con la dirección IPv4 pública esperada. Inmediatamente después de un cambio, un resolver puede seguir devolviendo la dirección anterior debido al TTL y a la caché DNS.

Por último, se prueba el servicio real desde otra red, por ejemplo mediante una conexión móvil. Una respuesta DNS correcta solo confirma la resolución de nombres, no la accesibilidad del servicio.

Revertir un cambio

Si la entrada no funciona como se esperaba, se puede editar en Network > Dynamic DNS mediante Manage y restaurar la interfaz, la selección de IP, el proveedor y las credenciales anteriores. Si ya no se necesita DDNS, se elimina la entrada y se restaura manualmente en el proveedor el valor DNS deseado. Al eliminar la entrada solo se detienen las futuras actualizaciones DDNS; no se eliminan las reglas DNAT ni de firewall, ni se restaura automáticamente el registro DNS publicado por el proveedor. A continuación, se vuelven a comprobar la respuesta DNS externa y el servicio.

Multi-WAN, HA y CGNAT

Después de una conmutación por error de WAN o HA, deben comprobarse siempre el estado de DDNS, la respuesta DNS externa y el servicio.

Multi-WAN: Cada entrada DDNS está vinculada a una interfaz seleccionada. No se debe asumir que un único nombre de host sigue automáticamente al gateway activo. Para los servicios publicados, debe planificarse un nombre de host distinto para cada WAN.
HA: Los registros de diagnóstico no se sincronizan entre los nodos. Configurar High Availability en Sophos Firewall explica la prueba completa de conmutación por error.
CGNAT: NATed public IP puede publicar la dirección compartida del proveedor, pero no hace que el firewall sea accesible desde Internet. Para ello se necesita, por ejemplo, una dirección IPv4 pública real, un registro AAAA mantenido por separado con la configuración IPv6 adecuada del firewall y del servicio, o un túnel o servicio de relay iniciado desde el interior. El DDNS de SFOS descrito aquí solo actualiza IPv4.

Solucionar problemas

En Log Viewer, seleccionar Events y System y buscar el componente DDNS. Los valores técnicos de los campos son log_type=Event, log_subtype=System y log_component=DDNS; los campos relevantes son Status, Message y Failure reason. La opción 4 Device Console también muestra las últimas entradas:

show logs ddc.log lines 100

Para un análisis en directo, se puede utilizar el siguiente comando en Device Management > Advanced Shell del menú SSH y finalizarlo con Ctrl+C:

tail -f /log/ddc.log

Los comandos y la asociación con ddc.log están documentados para SFOS 22, pero no se ejecutaron en un firewall de cliente para este artículo. En Registros de servicio de Sophos Firewall se enumeran otros archivos de registro y métodos de acceso.

Invalid Configuration or bad authorization: Comprobar el nombre de host, el proveedor y las credenciales. Cloudflare requiere la dirección de correo electrónico de la cuenta y la Global API Key.
Invalid IP: Comprobar la interfaz y la selección Use port IP o NATed public IP.
DNS Error o Connect Failed: Comprobar DNS, la Default Route, el acceso a Internet y la accesibilidad del proveedor. Para NATed public IP, comprobar también la conectividad con el servicio de consulta de IP descrito anteriormente.
Invalid Response o Reported Abuse: Comprobar el estado del proveedor, la cuenta, los bloqueos y los límites del proveedor.
Success, pero IP incorrecta: Comparar el panel del proveedor, la interfaz seleccionada, la opción de IP y la respuesta DNS externa.
El FQDN es correcto, pero el servicio no está accesible: Comprobar el reenvío de puertos en el router situado delante del firewall, DNAT, la regla de firewall y la configuración de VPN o del servicio correspondiente.

Si Cloudflare DDNS falla únicamente desde la actualización a SFOS 22.0 MR1, debe actualizarse a SFOS 22.0 MR2 Build 546 o posterior y repetir la prueba. Sophos corrige NC-180219 en esta versión; los detalles se encuentran en el artículo sobre SFOS 22 MR2.