Configurare e testare un server DHCPv6 su Sophos Firewall

Un server DHCPv6 su Sophos Firewall distribuisce indirizzi IPv6 e parametri di rete ai client. La configurazione inizia in Network > DHCP > Add > IPv6. Diversamente da DHCPv4, tuttavia, il solo server non fornisce una rete client completa: i client apprendono il gateway IPv6 predefinito tramite Router Advertisement su Sophos Firewall, non tramite DHCPv6.

Procedura rapida: Controllare prima il prefisso IPv6 e Router Advertisement, quindi scegliere l’interfaccia e un intervallo dinamico nello stesso /64, impostare Preferred time a un valore inferiore a Valid time, selezionare consapevolmente il DNS e testare con un client reale. Un’assegnazione statica utilizza il DUID del client, non semplicemente il suo indirizzo MAC.

⚠️ Sophos Firewall non può eseguire contemporaneamente un server DHCPv6 e un DHCPv6 Relay. Prima dell’attivazione deve essere chiaro quale servizio fornisce la rete. Un prefisso IPv6 o un lease visibile non dimostra inoltre né la presenza di un gateway, né il funzionamento del DNS, né l’autorizzazione del traffico applicativo.

Separare Router Advertisement da DHCPv6

Con IPv4, DHCP fornisce normalmente insieme indirizzo, subnet mask e gateway. IPv6 separa questi compiti. Router Advertisement, o RA, annuncia il prefisso e il router. DHCPv6 può fornire un indirizzo da un intervallo gestito, oltre a server DNS e altre opzioni.

Devono quindi coincidere tre livelli:

• L’interfaccia dispone del prefisso IPv6 previsto.
• Router Advertisement segnala il comportamento client pianificato e fornisce il router predefinito.
• DHCPv6 distribuisce l’intervallo di lease adatto e i valori aggiuntivi necessari.

Se il provider delega un prefisso dinamico al firewall, la pianificazione inizia da Configurare IPv6 Prefix Delegation su Sophos Firewall. Supporto IPv6 di Sophos Firewall in SFOS 22 spiega i limiti generali per interfacce, routing, VPN, regole e DNS.

Pianificare la rete di esempio

La seguente rete di laboratorio utilizza l’intervallo IPv6 2001:db8::/32, riservato alla documentazione. Questi valori non funzionano come indirizzi Internet di produzione e devono essere sostituiti con il prefisso statico o delegato effettivo:

• Interfaccia client: VLAN20 - 2001:db8:20::1/64
• Intervallo dinamico: 2001:db8:20::100 a 2001:db8:20::1ff
• Assegnazione statica: 2001:db8:20::20
• Server DNS interno: 2001:db8:10::53
• Nome di esempio: dhcpv6-vlan20-clients

L’interfaccia e l’intervallo dinamico appartengono allo stesso /64. Gli indirizzi statici esistenti del firewall, dei server e dell’infrastruttura non devono ricadere nell’intervallo dinamico. Prima dell’attivazione si individuano i Router Advertisement, i server DHCPv6 e gli agenti relay presenti nel segmento, così che i client non ricevano informazioni in conflitto.

Configurare il server DHCPv6

1. In Network > DHCP, fare clic su Add, quindi su IPv6.
2. Inserire dhcpv6-vlan20-clients come Name.
3. In Interface, selezionare VLAN20 - 2001:db8:20::1.
4. Lasciare Accept client request via relay disattivato per i client connessi direttamente.
5. In Dynamic IP lease, aggiungere l’intervallo 2001:db8:20::100 a 2001:db8:20::1ff.
6. Impostare Preferred time e Valid time in base al ciclo di vita del prefisso e dei client.
7. Come DNS server, inserire il server DNS interno previsto oppure selezionare consapevolmente Use device’s DNS settings.
8. Aggiungere solo le DHCP options e le assegnazioni DUID statiche necessarie.
9. Salvare con Save.

L’intervallo scelto deve corrispondere alla sottorete dei client. Per i client dietro un relay, l’intervallo appartiene alla sottorete dell’interfaccia relay. Accept client request via relay si attiva solo se il server accetta davvero le richieste di un agente DHCPv6 Relay verificato.

Secondo Sophos, quando si seleziona Accept client request via relay per un server DHCPv6 su un’interfaccia fisica con prefisso IPv6 delegato, il file di configurazione DHCPv6 non mostra alcuna modifica. Questo caso speciale non va valutato solo dal file: topologia, percorso relay, lease e flusso dei pacchetti devono essere coerenti.

Comprendere Preferred time e Valid time

Preferred time indica in minuti per quanto tempo un indirizzo conserva lo stato preferito per le nuove connessioni. Successivamente passa allo stato deprecated. Le connessioni esistenti possono continuare a utilizzarlo, mentre quelle nuove dovrebbero scegliere un indirizzo ancora preferito.

Valid time determina per quanto tempo l’indirizzo rimane complessivamente valido. Dopo questo periodo il client non deve più utilizzarlo. SFOS richiede quindi che Preferred time sia inferiore a Valid time.

Non esiste un valore ideale universale. Con prefissi dinamici delegati dal provider, i tempi DHCPv6 non devono presupporre che il prefisso rimanga sempre invariato. Tempi più lunghi possono essere utili nelle reti interne stabili. Migrazioni o prefissi che cambiano spesso richiedono valori più brevi, ma comunque realistici per l’esercizio, e un test di rinnovo controllato.

Distribuire il DNS consapevolmente

Con Use device’s DNS settings, il firewall fornisce ai client i propri server DNS configurati. Questa scelta è adatta solo se tali server risolvono correttamente i nomi interni ed esterni per la rete client. In alternativa si inseriscono gli indirizzi IPv6 reali dei server DNS previsti.

Un lease corretto senza risoluzione dei nomi funzionante non rappresenta un successo DHCPv6 complessivo. Dopo il controllo dell’indirizzo si eseguono un test DNS interno e uno esterno. Configurare DNS Request Routes su Sophos Firewall rimane rilevante per zone interne e Split DNS.

Gestire opzioni DHCPv6 personalizzate in Device Console

Device Console gestisce un’opzione DHCPv6 personalizzata in due fasi. L’opzione viene prima definita globalmente e poi associata a un server DHCPv6 selezionato per nome. Prima di una modifica, questi comandi mostrano le definizioni esistenti e le associazioni del server di destinazione:

system dhcpv6 dhcpv6-options list
system dhcpv6 dhcpv6-options binding show dhcpname <nome-server-DHCPv6>

La guida di SFOS 22 accetta sintatticamente valori da 1 a 65535 per optioncode. Questo non significa che ogni codice sia supportato da SFOS o interpretato dal client. La relativa tabella Sophos elenca i codici 21, 22, 24 e da 27 a 34. Prima di creare la definizione si verificano insieme codice, tipo di dato, RFC e supporto del client.

⚠️ La guida online mostra solo una grammatica abbreviata e non spiega completamente i valori e i tipi di dati necessari per creare un’opzione. Sul firewall interessato si usa il completamento con Tab dopo system dhcpv6 dhcpv6-options add e system dhcpv6 dhcpv6-options binding add. Un comando proveniente da una build SFOS diversa non viene copiato senza verifica.

Dopo l’associazione si esegue nuovamente binding show, quindi un client di prova rinnova il lease. La cattura dei pacchetti deve mostrare l’opzione prevista con il valore corretto nella risposta del server. Per il rollback si rimuove prima l’associazione e solo in seguito una definizione globale non più utilizzata. Poiché la sintassi di eliminazione pubblicata da Sophos indica solo dhcpname, viene trattata come un’azione a livello di server e non viene mai eseguita senza aver prima registrato le associazioni esistenti.

Creare un’assegnazione DUID statica

DHCPv6 identifica un client tramite il suo DHCP Unique Identifier, o DUID. In Static IP DUID mapping, l’indirizzo IPv6 viene quindi associato al DUID effettivo del client. Un indirizzo MAC letto dallo chassis non è un sostituto affidabile.

Prima si lascia che il client di test ottenga un lease dinamico e si individua il suo DUID nel client, nella vista dei lease o in una cattura pacchetti. Poi si inserisce l’indirizzo statico 2001:db8:20::20 al di fuori dell’intervallo dinamico. Dopo una nuova richiesta di lease, proprio quel client deve ricevere l’indirizzo previsto.

Dopo una modifica del sistema operativo, la generazione di un nuovo DUID o la clonazione di un sistema da un template, l’assegnazione potrebbe non corrispondere più al client. In tal caso non si amplia la regola firewall, ma si controlla prima il DUID effettivamente inviato.

Testare il lease e il percorso dati

Dopo il salvataggio si riconnette un client controllato nella VLAN prevista o si rinnova la sua configurazione IPv6. In Network > DHCP > IPv6 lease deve comparire l’indirizzo atteso con il client corrispondente.

Quindi si verifica separatamente ogni livello:

1. Il client riceve un indirizzo dall’intervallo pianificato o l’indirizzo DUID statico.
2. Il client dispone di un gateway IPv6 predefinito fornito da Router Advertisement.
3. I server DNS previsti sono visibili e risolvono nomi interni ed esterni.
4. Il client raggiunge l’indirizzo del firewall e una destinazione IPv6 di test scelta consapevolmente.
5. Log Viewer mostra la regola firewall IPv6 prevista per il traffico applicativo.
6. Un test negativo conferma che i servizi IPv6 non autorizzati rimangono bloccati.

Una regola IPv4 non autorizza automaticamente IPv6. Le regole zonali necessarie vengono pianificate separatamente e validate con Rule ID e traffico reale. Configurare le regole di Sophos Firewall spiega la procedura.

Nessun lease o configurazione IPv6 incompleta

Il client non riceve un indirizzo DHCPv6

Prima si confrontano il prefisso dell’interfaccia, lo stato del server DHCPv6 e l’intervallo dinamico. Poi si controlla se il client richiede un indirizzo DHCPv6 gestito in questa modalità e se nel segmento è attivo un altro server o relay.

Una cattura pacchetti con questo filtro BPF mostra i messaggi di client e server tramite UDP 546 e 547:

udp port 546 or udp port 547

Se i messaggi del client sono visibili ma non segue alcuna risposta, si esaminano la configurazione del server e dhcpd6.log. Se non compare alcun messaggio del client, sono più probabili la modalità RA, il comportamento del client, la VLAN o il percorso di rete locale. Usare Packet Capture in Sophos Firewall WebAdmin spiega i campi della cattura.

Il client ha un indirizzo, ma non un gateway

DHCPv6 non distribuisce un gateway predefinito. Questo sintomo conduce quindi direttamente a Router Advertisement, all’interfaccia e al segmento client. Aggiungere un secondo server DHCPv6 o modificare i tempi di lease non ripristina l’informazione del router mancante.

Mancano DNS o opzioni

Prima si controlla ciò che il client richiede nel messaggio DHCPv6 e ciò che il firewall restituisce effettivamente. Poi si esaminano tipo di dato, valore e server DHCPv6 utilizzato. Una voce delle opzioni DHCP su Sophos Firewall non va copiata alla cieca da DHCPv4 a DHCPv6: codice opzione, RFC e supporto del client devono essere adatti a DHCPv6.

L’indirizzo statico non viene assegnato

Si confronta il DUID trasmesso con Static IP DUID mapping. Se non corrispondono, il firewall non può applicare l’assegnazione. Se corrispondono, si controllano l’intervallo di indirizzi, eventuali server duplicati e la nuova richiesta di lease.

Relay e server sono in conflitto

Un server DHCPv6 e un DHCPv6 Relay non possono essere attivi contemporaneamente su Sophos Firewall. Se è previsto un server esterno centrale, il server DHCPv6 locale non va eseguito in parallelo come presunto fallback. Configurare DHCP Relay su Sophos Firewall spiega il percorso relay.

Il file dhcpd6.log e gli altri log di rete sono descritti in Controllare servizi e log di Sophos Firewall tramite CLI. Una singola voce di log non sostituisce la vista dei lease, la cattura e il test del client.

Annullare la modifica

Prima dell’attivazione in produzione si documentano lo stato RA precedente, il ruolo DHCPv6 o relay e la configurazione client esistente. Per il rollback si disattiva o rimuove il nuovo server DHCPv6, si ripristina la precedente logica di relay o indirizzamento e si stabilisce una nuova connessione del client.

In seguito si verificano nuovamente indirizzo, gateway, DNS e un reale percorso dati IPv6. I server vecchio e nuovo non devono rimanere attivi in parallelo senza coordinamento solo per far sembrare più semplice il rollback.

Domande frequenti