Configurare Sophos Firewall come server DHCP

Sophos Firewall può distribuire direttamente ai client indirizzi IPv4, gateway, server DNS e altre impostazioni di rete. A tale scopo si crea un server per l’interfaccia client in Network > DHCP, si definisce l’intervallo di indirizzi e si verifica quindi che il client riceva un lease corretto.

Procedura rapida: aprire Network > DHCP > Server > Add, selezionare l’interfaccia e l’intervallo di indirizzi, utilizzare l’indirizzo IP dell’interfaccia come gateway, definire consapevolmente i DNS e salvare. Verificare quindi il servizio DHCP server in System services > Services e controllare l’indirizzo assegnato in IPv4 lease.

Questa guida tratta un server DHCPv4 per client nella rete direttamente collegata. Se un server DHCP centrale deve servire un’altra sottorete, consultare Configurare e testare DHCP Relay su Sophos Firewall. PXE, VoIP e valori specifici del produttore sono descritti in Configurare le opzioni DHCP su Sophos Firewall.

Esempio e pianificazione degli indirizzi

L’esempio utilizza una VLAN client con i valori seguenti:

Interfaccia: VLAN20 - 10.20.0.1/24
Intervallo dinamico: da 10.20.0.100 a 10.20.0.199
Gateway: 10.20.0.1
Mapping statico per una stampante: 10.20.0.20
Server DNS interni: 10.10.0.10 e 10.10.0.11
Domain Name: corp.example

L’intervallo dinamico si trova nella rete dell’interfaccia, ma non include né l’indirizzo di rete, né l’indirizzo di broadcast, né il gateway. Nell’esempio, gli indirizzi inferiori a 10.20.0.100 rimangono riservati all’infrastruttura e ai mapping statici. Questo impedisce all’intervallo DHCP di assegnare dinamicamente anche gli indirizzi riservati. La separazione non protegge però da un altro dispositivo sul quale sia stato configurato manualmente lo stesso indirizzo IP.

Prima dell’attivazione occorre verificare quali indirizzi sono già utilizzati da switch, access point, stampanti o server. Se nella stessa VLAN è ancora attivo un altro server DHCP, bisogna prima stabilire quale server sarà responsabile in futuro. Due server non coordinati possono distribuire gateway o server DNS differenti e causare problemi intermittenti.

L’interfaccia deve già disporre dell’indirizzo IP statico corretto. L’interazione tra interfaccia, zona e VLAN è descritta in Configurare un’interfaccia VLAN su Sophos Firewall.

Configurare il server DHCP

Aprire Network > DHCP.
In Server, fare clic su Add.
Inserire un nome univoco, ad esempio dhcp-vlan20-clients.
In Interface, selezionare l’interfaccia client VLAN20 - 10.20.0.1.
In Dynamic IP lease, aggiungere l’intervallo da 10.20.0.100 a 10.20.0.199.
Utilizzare l’indirizzo IP dell’interfaccia 10.20.0.1 come Gateway.
Definire server DNS, Domain Name e durate dei lease in base alla rete.
Se necessario, aggiungere mapping statici MAC-IP.
Salvare con Save.

L’interfaccia selezionata determina la rete sulla quale il firewall risponde alle richieste DHCP. L’intervallo dinamico deve quindi appartenere alla sottorete di questa interfaccia. I server DHCP possono essere configurati su interfacce fisiche e su interfacce VLAN, Wireless e Bridge, ma non su un Interface Alias. Non è possibile configurare contemporaneamente un server DHCPv4 su un’interfaccia già utilizzata come DHCP Relay.

Scegliere correttamente gateway e DNS

In una normale rete client, il gateway è l’indirizzo IP di Sophos Firewall su questa interfaccia. Nell’esempio, i client ricevono quindi 10.20.0.1.

Con Use device’s DNS settings, il firewall distribuisce ai client i propri server DNS configurati. Questa scelta è adatta se tali server possono risolvere sia i nomi pubblici sia quelli interni necessari. In un ambiente AD, di norma si inseriscono i server DNS interni affinché Domain Controller, servizi interni e domini di ricerca funzionino in modo affidabile. I soli resolver pubblici in genere non sono sufficienti.

Se i client ricevono come server DNS l’indirizzo IP del firewall, Sophos Firewall può inoltrare le richieste per determinate zone interne ai server competenti. Questo caso è descritto in Configurare le DNS Request Routes su Sophos Firewall. Se invece il DHCP distribuisce direttamente gli indirizzi di altri server DNS, le richieste dei client non raggiungono le Request Routes del firewall.

Impostare durate dei lease adeguate

Default lease time è la normale durata del lease assegnata al client. Max lease time è il limite massimo; alla sua scadenza, il client deve inviare una nuova richiesta al server DHCP. Entrambi i valori sono espressi in minuti.

Nelle reti aziendali o di dispositivi stabili sono utili lease più lunghi, perché la composizione cambia raramente. Nelle reti guest, di formazione o WLAN con un ricambio elevato, un lease più breve impedisce ai dispositivi non più connessi di occupare a lungo l’intervallo.

Lease molto brevi generano invece un numero inutilmente elevato di rinnovi. Non esiste quindi un valore ideale universale: sono determinanti la dimensione dell’intervallo e la frequenza con cui cambiano i client.

Conflict detection controlla un indirizzo prima dell’assegnazione e aiuta a individuare indirizzi IP già in uso. La funzione è particolarmente utile quando sono ancora presenti dispositivi configurati manualmente o una gestione degli indirizzi precedente non completamente documentata.

Creare un mapping statico IP-MAC

Un mapping statico garantisce che un determinato dispositivo riceva sempre lo stesso indirizzo tramite DHCP. È utile per stampanti, access point o altri dispositivi che devono rimanere raggiungibili, ma continuare a ricevere centralmente valori come gateway e DNS.

In Static IP MAC mapping si inseriscono hostname, indirizzo MAC e indirizzo IP desiderato. Nell’esempio, la stampante con il suo indirizzo MAC effettivo riceve sempre 10.20.0.20. Questo indirizzo si trova intenzionalmente al di fuori dell’intervallo dinamico.

Un mapping DHCP non equivale a un indirizzo IP configurato manualmente sul dispositivo: il dispositivo rimane un client DHCP, mentre il firewall riserva il lease corrispondente. Se un notebook o uno smartphone utilizza un indirizzo MAC WLAN privato o casuale, il mapping deve corrispondere all’indirizzo MAC effettivamente utilizzato dal dispositivo in quella WLAN.

Solo se lo stesso indirizzo MAC è associato in più configurazioni di server DHCP, Sophos richiede un’assegnazione globale. Dopo l’accesso SSH, eseguire questi due comandi nella Device Console:

system dhcp conf-generation-method new
system dhcp static-entry-scope global

L’impostazione riguarda tutte le configurazioni dei server DHCP. Non è necessaria per normali mapping singoli e deve quindi essere modificata solo per questo caso con più scope.

Verificare il servizio e testare il lease

Dopo il salvataggio, verificare in System services > Services che DHCP server sia in esecuzione. Se il servizio è arrestato, avviarlo da questa sezione.

Collegare quindi un client di test controllato alla VLAN corretta. In Windows è possibile richiedere e verificare un nuovo lease nel modo seguente:

ipconfig /release
ipconfig /renew
ipconfig /all

⚠️ ipconfig /release interrompe la connessione IPv4 corrente. Non eseguire il comando tramite quella stessa connessione remota se non è disponibile un accesso alternativo.

Il client deve ricevere un indirizzo compreso tra 10.20.0.100 e 10.20.0.199, il gateway 10.20.0.1 e i server DNS previsti. In Network > DHCP > IPv4 lease, il firewall mostra l’indirizzo assegnato con data e ora di inizio e fine, indirizzo MAC e hostname.

Per verificare il funzionamento devono risultare corretti almeno questi punti:

Il client riceve un indirizzo dall’intervallo corretto.
Gateway e server DNS corrispondono alla pianificazione.
Il gateway è raggiungibile.
I nomi interni ed esterni vengono risolti.
Il client raggiunge solo le reti e i servizi consentiti dalla relativa regola firewall.

Il client non riceve alcun indirizzo o ne riceve uno errato

Se il client non riceve un lease, controllare prima l’interfaccia, la VLAN e lo stato del servizio. Questi sono poi gli errori più frequenti:

Interfaccia errata: il server DHCP non è associato all’interfaccia della rete client.
La VLAN non raggiunge il firewall: l’uplink dello switch non consente la VLAN tagged oppure la porta client è assegnata in modo errato.
Intervallo di indirizzi errato: l’indirizzo iniziale o finale non appartiene alla sottorete dell’interfaccia.
Intervallo esaurito: confrontare il numero e la durata dei lease occupati con la dimensione dell’intervallo configurato. L’elenco dei lease mostra gli indirizzi assegnati, ma non contiene un elenco separato degli indirizzi liberi.
Risponde un altro server DHCP: il client riceve un indirizzo, ma un gateway o server DNS errato.
È necessario DHCP Relay: il client non si trova nella rete direttamente collegata al server.
Il mapping statico non viene applicato: l’indirizzo MAC inserito non corrisponde a quello effettivamente utilizzato dal client.

Con un’acquisizione dei pacchetti filtrata su port 67 or port 68 si può verificare se vengono scambiati Discover, Offer, Request e ACK e quale server risponde. L’utilizzo dello strumento è descritto in Utilizzare Packet Capture nel WebAdmin di Sophos Firewall.

Se un Discover raggiunge il firewall ma non segue alcun Offer, controllare anche lo stato di dhcpd e il log dhcpd.log. I comandi e i percorsi dei log corrispondenti sono riportati in Controllare servizi e log di Sophos Firewall tramite CLI.

Se il client riceve un indirizzo IP corretto ma non riesce a risolvere i nomi, controllare prima gli indirizzi DNS distribuiti tramite DHCP. Se sono errati o assenti, il problema è ancora nella configurazione DHCP. Se sono corretti, verificare la risoluzione interna dei nomi e l’accesso di rete al server DNS.

Sostituire un server DHCP esistente

Durante una migrazione non si deve semplicemente attivare in aggiunta il nuovo server DHCP. I client attivi mantengono il lease precedente; il nuovo server non conosce queste assegnazioni e potrebbe offrire nuovamente un indirizzo ancora in uso.

Per effettuare una sostituzione controllata, procedere come segue:

Documentare l’intervallo, le opzioni, i mapping statici e i lease attivi del server esistente.
Ridurre per tempo la durata del lease sul vecchio server e attendere che i client attivi abbiano rinnovato il lease con il valore più breve.
Arrestare il server esistente e attivare inizialmente il nuovo server con un intervallo transitorio non sovrapposto.
Rinnovare il lease su più client diversi e verificare gateway, DNS e raggiungibilità.
Dopo la scadenza dei vecchi lease, attivare l’intervallo definitivo e ripristinare la normale durata del lease.

Conflict detection è utile durante una migrazione, ma non sostituisce questa pianificazione. La funzione controlla un indirizzo prima dell’assegnazione, ma non mantiene un database dei lease condiviso con il vecchio server.

Per garantire un rollback sicuro, mantenere ripristinabile la configurazione precedente documentata. Se il nuovo server distribuisce valori errati, arrestarlo, riattivare in modo controllato il server precedente e richiedere nuovamente il lease su più client di test.

Valori speciali come server di avvio PXE, controller VoIP o opzioni specifiche del produttore devono essere confrontati separatamente prima della sostituzione. Non fanno automaticamente parte della normale distribuzione di indirizzo, gateway e DNS.