Configurare e verificare Dynamic DNS su Sophos Firewall

In Network > Dynamic DNS > Add si associa un nome host del provider DDNS all’interfaccia WAN corrispondente. Se Sophos Firewall dispone direttamente dell’indirizzo IPv4 pubblico, si seleziona Use port IP. Se utilizza un indirizzo WAN privato dietro un router, si seleziona NATed public IP.

Dynamic DNS aggiorna soltanto il record DNS. Non apre porte e non crea regole NAT o firewall. Per rendere raggiungibile un server interno dietro il firewall, occorre completare correttamente anche i passaggi descritti in Pubblicare un server tramite DNAT.

Configurare Dynamic DNS

È necessario disporre in precedenza di un nome host registrato presso il provider, ad esempio vpn.example.net, e di credenziali di aggiornamento valide. Il firewall deve poter risolvere i nomi DNS e raggiungere Internet e il provider. Dynamic DNS non funziona quindi in un ambiente air gap.

Aprire Network > Dynamic DNS e fare clic su Add.
In Hostname, inserire il nome creato presso il provider, ad esempio vpn.example.net.
Selezionare l’Interface WAN corrispondente, ad esempio Port2 - WAN.
In IPv4 address, selezionare Use port IP o NATed public IP.
Selezionare il Service provider.
Inserire Login name e Password oppure la chiave di aggiornamento specifica del provider.
Salvare con Save e controllare lo stato.

La finestra di dialogo SFOS attuale offre DynDNS, DynAccess, EasyDNS, ZoneEdit, Google DDNS, Namecheap, DNS-O-Matic, No-IP, FreeDNS e Cloudflare. Il precedente servizio Sophos myfirewall.co è stato dismesso. Se un provider non richiede un nome utente, Sophos indica di inserire il dominio come Login name. Per FreeDNS, la password in SFOS non può superare i 15 caratteri.

Use port IP o NATed public IP

Use port IP: L’interfaccia WAN selezionata dispone direttamente dell’indirizzo IPv4 pubblico.
NATed public IP: L’interfaccia WAN ha un indirizzo privato e un router a monte esegue il NAT. Per determinare l’indirizzo pubblico, il firewall deve inoltre poter raggiungere checkip.cyberoam.com tramite TCP 80.

Le interfacce bridge non supportano Dynamic DNS. Se le interfacce WAN vengono modificate o sostituite, occorre controllare le dipendenze in Object usage e quindi verificare la voce DDNS. Utilizzare correttamente zone e interfacce spiega le altre limitazioni delle interfacce.

Collegare Cloudflare in modo sicuro

Il provider Cloudflare integrato richiede l’indirizzo e-mail dell’account e la Global API Key. La documentazione Sophos attuale non indica un token API limitato come credenziale compatibile.

Cloudflare classifica la Global API Key come legacy: dispone degli stessi permessi dell’utente e accede alle sue risorse. Per l’integrazione SFOS si dovrebbe quindi utilizzare un utente Cloudflare separato, limitato alla zona necessaria e al ruolo DNS. La chiave non deve apparire in screenshot o ticket. Se la policy di sicurezza non consente una Global API Key, occorre utilizzare un updater esterno con un token API limitato oppure un altro provider supportato.

Per le VPN e gli altri servizi che collegano i client direttamente all’indirizzo IP pubblico del firewall, il record Cloudflare deve essere impostato su DNS only. Se il proxy è stato attivato intenzionalmente, la query DNS restituisce invece indirizzi anycast di Cloudflare; in questo caso, l’IP di origine DDNS deve essere controllato nella dashboard Cloudflare.

Verificare la risoluzione DDNS e il servizio

SFOS controlla ogni cinque minuti se l’indirizzo IP pubblico è cambiato. Dopo il salvataggio, verificare innanzitutto in Network > Dynamic DNS che lo stato e l’indirizzo IP aggiornato siano plausibili.

Successivamente, interrogare il nome host tramite un resolver esterno alla cache DNS locale. Su Linux e macOS:

dig @1.1.1.1 vpn.example.net A +short

Su Windows:

nslookup vpn.example.net 1.1.1.1

La risposta deve corrispondere all’indirizzo IPv4 pubblico previsto. Subito dopo una modifica, un resolver può ancora restituire il vecchio indirizzo a causa del TTL e della cache DNS.

Infine, verificare il servizio effettivo da un’altra rete, ad esempio tramite una connessione mobile. Una risposta DNS corretta conferma soltanto la risoluzione del nome, non la raggiungibilità del servizio.

Multi-WAN, HA e CGNAT

Dopo un failover WAN o HA, controllare sempre lo stato DDNS, la risposta DNS esterna e il servizio.

Multi-WAN: Ogni voce DDNS è associata a un’interfaccia selezionata. Non si deve presumere che un singolo nome host segua automaticamente il gateway attivo. Per i servizi pubblicati, pianificare un nome host distinto per ogni WAN.
HA: I log di troubleshooting non vengono sincronizzati tra i nodi. Configurare High Availability su Sophos Firewall spiega il test di failover completo.
CGNAT: NATed public IP può pubblicare l’indirizzo condiviso del provider, ma non rende il firewall raggiungibile da Internet. A tale scopo è necessario, ad esempio, un vero indirizzo IPv4 pubblico, un record AAAA gestito separatamente con una configurazione IPv6 adeguata del firewall e del servizio oppure un tunnel o un servizio relay stabilito dall’interno. Il DDNS SFOS descritto qui aggiorna solo IPv4.

Risolvere i problemi

In Log Viewer, selezionare Events e System, quindi cercare il componente DDNS. I valori tecnici dei campi sono log_type=Event, log_subtype=System e log_component=DDNS; i campi rilevanti sono Status, Message e Failure reason. Anche l’opzione 4 Device Console mostra le voci più recenti:

show logs ddc.log lines 100

Per un’analisi in tempo reale, utilizzare il comando seguente in Device Management > Advanced Shell nel menu SSH e terminarlo con Ctrl+C:

tail -f /log/ddc.log

I comandi e l’associazione con ddc.log sono documentati per SFOS 22, ma non sono stati eseguiti su un firewall di un cliente per questo articolo. Altri file di log e metodi di accesso sono elencati in Log dei servizi Sophos Firewall.

Invalid Configuration or bad authorization: Controllare il nome host, il provider e le credenziali. Cloudflare richiede l’indirizzo e-mail dell’account e la Global API Key.
Invalid IP: Controllare l’interfaccia e la selezione Use port IP o NATed public IP.
DNS Error o Connect Failed: Controllare il DNS, la Default Route, l’accesso a Internet e la raggiungibilità del provider. Per NATed public IP, verificare anche la connettività al servizio di controllo IP indicato sopra.
Invalid Response o Reported Abuse: Controllare lo stato del provider, l’account, eventuali blocchi e i limiti del provider.
Success, ma IP errato: Confrontare la dashboard del provider, l’interfaccia selezionata, l’opzione IP e la risposta DNS esterna.
Il FQDN è corretto, ma il servizio non è raggiungibile: Controllare il port forwarding a monte, la regola DNAT, la regola firewall e la configurazione della VPN o del servizio interessato.

Se Cloudflare DDNS non funziona più soltanto dopo l’aggiornamento a SFOS 22.0 MR1, installare SFOS 22.0 MR2 Build 546 o una versione successiva e ripetere il test. Sophos corregge NC-180219 in questa versione; i dettagli sono disponibili nell’articolo su SFOS 22 MR2.