Configurar la Delegación de Prefijos IPv6 en Sophos Firewall

Con Delegación de Prefijos IPv6, un Sophos Firewall puede obtener un prefijo IPv6 del proveedor y usarlo para abastecer redes internas. Esto es especialmente relevante cuando la conexión a Internet no proporciona una red IPv6 estática fija, sino que el proveedor delega el prefijo mediante DHCPv6.

La vía rápida tiene tres partes: en la interfaz WAN, seleccione DHCP > Manual > DHCP only y active DHCP prefix delegation. En la interfaz interna, seleccione Delegated, elija la WAN como Upstream interface y active Router advertisement. Después, compruebe el prefijo realmente asignado, el direccionamiento de los clientes y el tráfico de prueba permitido.

En entornos IPv4, a menudo se piensa en NAT, redes privadas y redirección de puertos. Con IPv6 es diferente: los clientes pueden recibir direcciones IPv6 públicas, y el firewall controla el acceso mediante enrutamiento, anuncios de enrutador, parámetros DHCPv6 y reglas de firewall. Por eso, la Delegación de Prefijos debe planificarse conscientemente y no solo activarse como una opción adicional de interfaz.

Antes del diseño, Compatibilidad y límites de IPv6 en Sophos Firewall con SFOS 22 muestra qué funciones de interfaces, routing, VPN, reglas, DNS, actualizaciones y certificados admiten realmente IPv6. Prefix Delegation solo resuelve el direccionamiento y no sustituye esta comprobación end-to-end.

Para los fundamentos sobre interfaces, zonas y VLANs, primero consulte Configurar Zonas e Interfaces en Sophos Firewall. Si solo se trata de opciones DHCP clásicas para casos especiales de IPv4, el artículo Opciones DHCP en Sophos Firewall (SFOS) es más adecuado.

Cuándo es útil la Delegación de Prefijos

La Delegación de Prefijos es útil cuando el proveedor proporciona un prefijo IPv6 dinámicamente a través de la conexión WAN y el Sophos Firewall debe distribuir este prefijo a redes internas.

Escenarios típicos:

• Conexión a Internet de doble pila con IPv4 e IPv6.
• El proveedor entrega un prefijo IPv6 mediante Delegación de Prefijos DHCPv6.
• Los clientes internos deben usar IPv6 de forma nativa.
• Varias redes internas, como LAN, servidores, invitados o DMZ, deben recibir IPv6.
• DNS, registros y reglas de firewall deben considerar IPv6 conscientemente.

No todas las redes necesitan IPv6 de inmediato. Sin embargo, si IPv6 está activo en los clientes, debe controlarse adecuadamente a través del firewall, reglas y registros. Una configuración IPv6 a medias puede llevar a que los clientes prefieran IPv6, pero los errores se busquen en la solución de problemas de IPv4.

Requisitos previos

Antes de la configuración, se deben aclarar estos puntos:

• El proveedor admite la Delegación de Prefijos IPv6 en la conexión.
• La conexión utilizada para la Delegación de Prefijos no es PPPoE. Sophos Firewall tampoco admite PPPoE over IPv6.
• El diseño de WAN e interfaces tiene en cuenta las VLAN y los LAG existentes.
• Las zonas internas y las reglas de firewall están planificadas.
• Está claro si los clientes solo deben usar SLAAC o también necesitan parámetros DHCPv6 adicionales.
• El concepto de DNS y la evaluación de registros consideran IPv6.

⚠️ Sophos Firewall no admite PPPoE over IPv6; la Delegación de Prefijos no es posible sobre PPPoE. En cuanto a las VLAN, las guías de Sophos para SFOS 22 y 23 contienen afirmaciones distintas: la guía de Delegación de Prefijos excluye esta función en cualquier interfaz que tenga una VLAN configurada. Por separado, la guía de interfaces físicas prohíbe cambiar una interfaz principal de este tipo de Static a DHCP o Delegated. Sin embargo, la guía de VLAN describe expresamente DHCP prefix delegation y Delegated en interfaces VLAN. Esto no permite reducir la restricción general de PD al cambio del método de asignación de la interfaz principal. Por tanto, los diseños VLAN deben evaluarse según la ruta real de la interfaz upstream, la interfaz principal y la conexión del proveedor; las opciones VLAN documentadas no constituyen una aprobación general de cualquier topología. Las interfaces LAG no admiten DHCP Prefix Delegation.

Comprender la imagen objetivo

Con la Delegación de Prefijos, ocurren varias cosas en secuencia:

1. El firewall solicita una dirección IPv6 y un prefijo delegado del proveedor en la interfaz WAN.
2. El proveedor asigna una dirección IPv6 a la interfaz WAN y un prefijo al firewall.
3. El firewall delega una red IPv6 de este prefijo a una interfaz interna, como LAN o DMZ.
4. La interfaz interna distribuye información IPv6 a los clientes mediante anuncios de enrutador.
5. Opcionalmente, un servidor DHCPv6 proporciona parámetros adicionales, como servidores DNS.

Es importante la distribución de roles: los anuncios de enrutador aseguran que los clientes aprendan su prefijo IPv6 y la puerta de enlace predeterminada. DHCPv6 puede proporcionar información complementaria. Las reglas de firewall siguen decidiendo qué tráfico está permitido.

Preparar la interfaz WAN

El primer paso es la interfaz WAN. Aquí, el Sophos Firewall solicita el prefijo IPv6 al proveedor.

Elegir el método IPv6 de la interfaz física

En interfaces físicas, una WAN admite Static o DHCP; una interfaz interna admite Static, DHCP o Delegated. Static permite configurar una dirección IPv6 fija y su prefijo, además de Gateway name y Gateway IP address. La receta de este artículo, DHCP en la WAN y Delegated en la interfaz interna, es una vía concreta para la Delegación de Prefijos, no una lista de todos los métodos de configuración IPv6.

Al seleccionar DHCP, Mode ofrece estas alternativas para configurar la dirección de la propia interfaz del firewall:

• Auto: asigna automáticamente la dirección IPv6 según el método de configuración utilizado, que puede ser DHCP only o Stateless.
• Manual > DHCP only: permite elegir explícitamente DHCPv6; el firewall aplica a su interfaz tanto la dirección como los demás parámetros suministrados por el servidor DHCPv6.
• Manual > Stateless: permite elegir explícitamente SLAAC; el firewall configura la dirección de su interfaz según los flags Managed (M) Address Configuration y Other (O) Configuration del Router Advertisement recibido. Accept other configuration from DHCP permite obtener los demás parámetros del servidor DHCPv6.

Estas alternativas describen cómo el firewall recibe su propia configuración. No deben confundirse con Router advertisement en la interfaz interna, donde el firewall envía anuncios a los clientes. Con Manual > Stateless, no se puede establecer Gateway IP address.

Ruta de menú:

Network > Interfaces

Procedimiento:

1. Editar la interfaz WAN afectada.
2. Abrir IPv6 configuration.
3. Seleccionar DHCP.
4. Seleccionar Manual.
5. Activar DHCP only.
6. Encender DHCP prefix delegation.
7. Opcionalmente, configurar Preferred delegated prefix, si el proveedor y el diseño de la red lo permiten. En una interfaz WAN física, la longitud puede estar entre /48 y /64; en una VLAN WAN se puede elegir /48, /52, /56 o /60.
8. Activar opcionalmente DHCP rapid commit solo si Rapid Commit también está activado en el servidor DHCPv6 del proveedor; no basta con que el servidor lo admita. Esta opción acelera la configuración mediante dos mensajes (Solicit, Reply) en lugar de cuatro (Solicit, Advertise, Request, Reply).
9. En esta configuración Manual > DHCP only de la WAN física, introducir Gateway name y Gateway IP address de acuerdo con la conexión del proveedor. En una VLAN WAN con DHCP, Gateway IP muestra la dirección IPv6 del gateway configurado.
10. Seleccionar Save y después Update interface.

En Preferred delegated prefix, la dirección del prefijo es opcional, pero la longitud es obligatoria. El proveedor puede aceptar la solicitud o delegar otro prefijo. Si más adelante cambia la dirección o la longitud solicitadas, el firewall solo actualiza la solicitud después de eliminar el lease DHCP o desvincular la interfaz WAN. Planifique esta interrupción en lugar de limitarse a guardar el cambio durante el funcionamiento normal.

En la práctica, primero se debe aclarar con el proveedor:

• ¿Qué longitud de prefijo se delega, por ejemplo, /56, /60 o /64?
• ¿El prefijo es estable o puede cambiar?
• ¿Se debe solicitar un valor específico?
• ¿Existen restricciones en configuraciones de puente, PPPoE o módem-router?

Configurar la interfaz interna

Después de la interfaz WAN, se abastece una interfaz interna con el prefijo delegado.

Ruta de menú:

Network > Interfaces

Procedimiento:

1. Editar la interfaz interna, por ejemplo, LAN o DMZ.
2. Abrir IPv6 configuration.
3. Seleccionar Delegated.
4. En Upstream interface, seleccionar la WAN que tiene IPv6 configuration > DHCP y DHCP prefix delegation activado. El firewall asigna automáticamente una dirección IPv6 y un prefijo a la interfaz interna.
5. Verificar la dirección y el prefijo asignados que aparecen en IPv6/prefix.
6. Activar Router advertisement.
7. Opcionalmente, activar DHCPv6 server si los clientes deben recibir parámetros adicionales. En este modo Delegated, la opción proporciona parámetros como DNS, pero no direcciones IPv6.
8. Seleccionar Save y después Update interface.

Router advertisement es una opción del modo Delegated para que el firewall actúe como servidor RA; esta receta la activa para anunciar el prefijo a los clientes.

La descripción de los campos Delegated de una interfaz física también indica introducir Gateway name y Gateway IP si Zone es WAN. Es una condición de esos campos, no una recomendación de usar Delegated en una WAN física: la matriz de métodos sigue indicando Static/DHCP para WAN y Static/DHCP/Delegated para interfaces internas. En el procedimiento anterior, la interfaz delegada es interna.

Según la documentación de Sophos, se permite ajustar la dirección IPv6 en el campo IPv6/prefix, pero no la longitud del prefijo. Esto importa al planificar varias redes internas: un /64 delegado solo proporciona una red de clientes /64 distinta. Un prefijo del proveedor más corto, como /56, ofrece espacio para varias redes /64; los prefijos que SFOS muestre realmente son la referencia y no deben deducirse de un ejemplo.

Clasificar correctamente los diseños VLAN y LAG

Muchas redes de producción utilizan VLAN para clientes, servidores, invitados y gestión. Para la Delegación de Prefijos, es necesario considerar conjuntamente tres afirmaciones independientes de las guías de Sophos para SFOS 22 y 23:

• La guía de Delegación de Prefijos prohíbe esta función en cualquier interfaz que tenga una VLAN configurada. Esta afirmación tiene un alcance más amplio que una restricción sobre el cambio del método de asignación.
• La guía de interfaces físicas prohíbe, por separado, cambiar posteriormente una interfaz principal con subinterfaces VLAN ya configuradas de Static a DHCP o Delegated.
• La guía de VLAN describe expresamente DHCP prefix delegation para obtener un prefijo del proveedor e IPv6 configuration > Delegated para una VLAN interna. Como upstream, exige una interfaz WAN con asignación IPv6 DHCP y DHCP prefix delegation activado.
• Las interfaces LAG no admiten DHCP Prefix Delegation.

Por tanto, el alcance de la restricción general de PD y de las opciones VLAN que sí se describen en la documentación no queda claramente resuelto. La restricción de la interfaz principal establece un límite concreto, pero no demuestra que la afirmación general se refiera únicamente a ese cambio del método de asignación. De ello no se desprende ni una aprobación general ni una prohibición general de todos los diseños VLAN. Antes de la implementación, se debe comprobar la ruta real de la interfaz upstream y de la interfaz principal y, si no está clara la idoneidad de la topología concreta, aclarar su compatibilidad con Sophos y el proveedor:

• ¿Qué interfaz solicita el prefijo al proveedor?
• ¿Esta interfaz principal ya transporta subinterfaces VLAN?
• ¿El enlace del proveedor es una VLAN y entrega allí DHCPv6 Prefix Delegation?
• ¿Se utiliza un LAG como upstream no compatible?
• ¿El proveedor ofrece IPv6 estático?
• ¿El prefijo delegado es suficientemente grande para todas las redes internas /64 previstas?

Para los fundamentos de VLAN, consulte Configurar VLAN en Sophos Firewall y UniFi Switch. Aunque el artículo se centra principalmente en IPv4, la planificación de zonas, troncales y reglas también es relevante para IPv6.

Verificar anuncios de enrutador

Cuando se activa la Delegación de Prefijos en la interfaz interna, el Sophos Firewall crea automáticamente un anuncio de enrutador para esta interfaz. Configurar IPv6 Router Advertisement en Sophos Firewall explica Managed flag, Other flag, On-link, Autonomous, los lifetimes y la asignación automática de prefijo que no se puede modificar.

Ruta de menú:

Network > IPv6 router advertisement

Allí se debe verificar:

• ¿Existe un servidor RA creado automáticamente para la interfaz interna?
• ¿Se anuncia el prefijo esperado?
• ¿Los flags de RA coinciden con el comportamiento planificado del cliente?
• ¿Se debe establecer el Other flag para que DHCPv6 proporcione parámetros adicionales?

Abra el servidor RA creado automáticamente para la interfaz delegada y confirme los detalles de Prefix advertisement configuration. Esta configuración no se puede cambiar. Si se debe anunciar un prefijo adicional, se debe crear manualmente un servidor RA separado y configurarlo para anunciar ese prefijo. Opcionalmente, active Other flag si el servidor DHCPv6 debe suministrar parámetros adicionales. Seleccione Save después de ajustar los campos permitidos.

Para la mayoría de los entornos, se aplica: primero verifique si los clientes reciben direcciones IPv6 correctamente con el RA generado automáticamente antes de agregar servidores RA adicionales o configuraciones especiales.

Usar DHCPv6 solo para el propósito correcto

DHCPv6 no es lo mismo que DHCPv4. En muchos diseños IPv6, los clientes obtienen su dirección a través de SLAAC y la información adicional a través de DHCPv6. Por lo tanto, antes de la activación, se debe aclarar qué debe lograr DHCPv6.

Si Sophos Firewall debe distribuir por sí mismo direcciones o parámetros adicionales, Configurar y probar un servidor DHCPv6 en Sophos Firewall explica el rango de leases, DUID, tiempos de validez y la comprobación separada de RA.

Parámetros típicos de DHCPv6 son:

• Servidores DNS.
• Dominio de búsqueda DNS.
• Otras opciones DHCPv6, si un cliente realmente las necesita.

Si los clientes obtienen una dirección IPv6 pero no pueden resolver nombres, no significa automáticamente que la Delegación de Prefijos sea incorrecta. A menudo falta el servidor DNS adecuado, la combinación RA/DHCPv6 es confusa o el cliente utiliza una ruta DNS diferente a la esperada.

Para dominios internos y escenarios de DNS dividido, sigue siendo relevante Configurar Rutas de Solicitud DNS en Sophos Firewall. IPv6 no cambia la pregunta fundamental de qué servidor DNS es responsable de qué dominio.

Verificar reglas de firewall y acceso al dispositivo

El tráfico IPv6 necesita reglas de firewall adecuadas. Revise si las reglas existentes usan objetos de origen y destino compatibles con IPv6 y los servicios necesarios; una regla que solo contiene objetos de red IPv4 no cubre la nueva ruta IPv6.

Antes de la liberación, se debe verificar:

• ¿Existen reglas para la zona de origen y la zona de destino afectadas?
• ¿Se registra el tráfico IPv6 donde es necesario para la solución de problemas o el cumplimiento?
• ¿Están permitidos DNS, NTP, web y aplicaciones necesarias?
• ¿Las conexiones entrantes desde Internet siguen bloqueadas conscientemente o permitidas específicamente?
• ¿Existen reglas separadas para zonas de clientes, servidores, invitados y gestión?

Con IPv6, se debe evitar especialmente que los clientes internos sean accesibles directamente desde Internet sin control. Las direcciones IPv6 públicas no significan que las conexiones entrantes deban estar permitidas. Las reglas de firewall siguen siendo la frontera central.

También se debe considerar Device Access. Si los clientes internos deben usar el firewall como servidor DNS, se debe permitir DNS para la zona adecuada. Los servicios de gestión como WebAdmin o SSH no deben ser más accesibles debido a una nueva configuración IPv6. El endurecimiento de los servicios de firewall locales se describe en Acceso al Dispositivo y ACL de Servicio Local en Sophos Firewall.

Pruebas después de la configuración

Después de la implementación, no solo se debe verificar si un cliente ha recibido alguna dirección IPv6. Lo crucial es si todo el camino funciona de manera controlada.

Pruebas útiles:

1. La interfaz WAN muestra una dirección IPv6 y un prefijo delegado.
2. La interfaz interna muestra un prefijo IPv6 delegado.
3. En Network > IPv6 router advertisement es visible el servidor RA automático.
4. El cliente de prueba recibe una dirección IPv6 del prefijo esperado.
5. El cliente de prueba tiene una puerta de enlace predeterminada IPv6.
6. La resolución DNS funciona para nombres internos y externos.
7. HTTPS funciona hacia un destino conocido compatible con IPv6; use ping IPv6 solo si se sabe que el destino responde a ICMPv6.
8. El Log Viewer muestra la regla de firewall adecuada para el tráfico de prueba.
9. Una prueba de IPv6 entrante desde Internet solo está permitida si existe una regla específica para ello.

Para conexiones individuales, ayuda Probar regla de firewall con Log Viewer, Policy Test y Packet Capture. Si se trata de problemas básicos de interfaz o DNS, primero se debe verificar el estado de la interfaz, el anuncio de enrutador y la configuración DNS.

Para un análisis más profundo, Sophos asigna tres registros de servicio a las funciones implicadas:

• networkd.log para interfaces físicas y virtuales,
• dhcpd6.log para el servidor DHCPv6,
• radvd.log para IPv6 Router Advertisement.

Esta asignación no significa que cada archivo deba contener un mensaje de error concreto. Para correlacionar los datos con fiabilidad, anote la hora, la interfaz y el prefijo mostrado antes y después del fallo, y compárelos con las entradas de los registros correspondientes.

Revertir el cambio de forma controlada

Antes del cambio, anote la asignación IPv6 anterior, la dirección o el prefijo, los valores del gateway y los ajustes RA/DHCPv6 de ambas interfaces. Si fallan las pruebas de aceptación, vaya a Network > Interfaces, restaure esos valores exactos en ambas interfaces y seleccione Save y Update interface en cada una. Vuelva a comprobar el direccionamiento, el gateway predeterminado, DNS y el tráfico que funcionaba antes. No improvise valores de sustitución sin un estado inicial documentado.

Errores típicos

Los clientes no reciben una dirección IPv6

Primero verifique si la interfaz WAN realmente ha recibido un prefijo. Si no hay un prefijo visible allí, el problema generalmente radica en el proveedor, la interfaz WAN, los diseños PPPoE/puente o la solicitud de Delegación de Prefijos.

Si hay un prefijo en la WAN pero los clientes no reciben una dirección, se debe verificar la interfaz interna, el anuncio de enrutador y la red del cliente.

Los clientes tienen IPv6, pero no Internet

Entonces, la Delegación de Prefijos no es necesariamente el problema. Las causas comunes son:

• falta de una regla de firewall adecuada,
• DNS no funciona,
• el cliente prefiere IPv6, pero el sitio de destino o la ruta está interrumpida,
• interfaz interna incorrecta,
• RA o DHCPv6 proporciona parámetros incompletos,
• la ruta de retorno o el enrutamiento del proveedor no es adecuado.

Si la red de clientes es deliberadamente solo IPv6 y únicamente falta un destino web IPv4, necesita una transición separada. NAT64 con Direct Web Proxy muestra el procedimiento actual de SFOS con una regla IPv6 hacia el proxy y una regla IPv4 posterior hacia el destino. No sustituye un NAT64 general para otros protocolos.

DNS solo funciona parcialmente

Con IPv6, los problemas de DNS a menudo se ven tarde, ya que algunas aplicaciones cambian entre IPv4 e IPv6. Se debe probar por separado:

• resolución DNS externa,
• dominios internos,
• búsquedas inversas, si los registros o informes deben mostrar nombres,
• servidor DNS que el cliente realmente utiliza.

El prefijo cambia tras renovar el lease o reconectar

Si el proveedor asigna un prefijo dinámico, este puede cambiar. Entonces, las direcciones IPv6 estáticas, las entradas DNS manuales, las autorizaciones externas o las reglas de monitoreo pueden fallar.

Para servidores productivos, servicios publicados o redes de sitios complejas, se debe verificar si se necesita un prefijo de proveedor estable u otro diseño IPv6.

La interfaz VLAN no muestra Delegated

La guía de VLAN para SFOS 22 y 23 describe Delegated, mientras que la guía de Delegación de Prefijos señala la restricción más amplia sobre VLAN explicada anteriormente. La mera presencia de una opción no resuelve esta contradicción entre las fuentes. Si falta la opción o no se puede seleccionar la interfaz upstream, se deben comprobar la versión de firmware, la zona, la configuración IPv6 de la interfaz WAN y la interfaz principal. La interfaz upstream debe utilizar la asignación IPv6 DHCP y tener DHCP prefix delegation activado. Si ya hay una VLAN configurada en una interfaz física principal, su asignación IP no puede cambiarse posteriormente de Static a DHCP o Delegated. Si se utiliza un LAG como upstream, también se aplica la restricción documentada de que las interfaces LAG no admiten DHCP Prefix Delegation. Si sigue sin estar clara la idoneidad de la topología concreta, se debe aclarar con Sophos y el proveedor, en lugar de deducir una compatibilidad general a partir de la opción visible.

Lista de verificación operativa

• Documentada la longitud y estabilidad del prefijo del proveedor.
• Comprobadas las restricciones de interfaces principales, VLAN y LAG.
• La interfaz WAN recibe una dirección IPv6 y un prefijo delegado.
• La interfaz interna utiliza Delegated con la interfaz upstream correcta.
• El anuncio de enrutador está activo y visible.
• DHCPv6 solo está activado si se necesitan parámetros adicionales.
• Concepto DNS para nombres internos y externos verificado.
• Reglas de firewall para IPv6 creadas o confirmadas conscientemente.
• El acceso al dispositivo no se amplía innecesariamente con IPv6.
• El Log Viewer muestra el tráfico de prueba de manera comprensible.
• Se documentan los cambios en el prefijo o el proveedor.

FAQ