Configurare la delegazione del prefisso IPv6 su Sophos Firewall

Con IPv6 Prefix Delegation, un Sophos Firewall può ottenere un prefisso IPv6 dal provider e utilizzarlo per alimentare le reti interne. Questo è particolarmente rilevante quando la connessione Internet non fornisce una rete IPv6 statica fissa, ma il provider delega il prefisso tramite DHCPv6.

La procedura rapida si compone di tre parti: sull’interfaccia WAN selezionare DHCP > Manual > DHCP only e attivare DHCP prefix delegation. Sull’interfaccia interna selezionare Delegated, scegliere la WAN come Upstream interface e attivare Router advertisement. Verificare quindi il prefisso effettivamente assegnato, l’indirizzamento dei client e il traffico di test consentito.

Negli ambienti IPv4 si pensa spesso in termini di NAT, reti private e inoltro delle porte. Con IPv6 è diverso: i client possono ricevere indirizzi IPv6 pubblici e il firewall controlla l’accesso tramite routing, annuncio del router, parametri DHCPv6 e regole del firewall. Proprio per questo, la delegazione del prefisso dovrebbe essere pianificata consapevolmente e non solo attivata come opzione aggiuntiva dell’interfaccia.

Prima del design, Supporto IPv6 e limiti in Sophos Firewall con SFOS 22 mostra quali funzioni di interfaccia, routing, VPN, regole, DNS, aggiornamento e certificati supportano realmente IPv6. Prefix Delegation risolve solo l’indirizzamento e non sostituisce questa verifica end-to-end.

Per le basi su interfacce, zone e VLAN, consultare prima Configurare zone e interfacce su Sophos Firewall. Se si tratta solo di opzioni DHCP classiche per casi speciali IPv4, l’articolo migliore è Opzioni DHCP su Sophos Firewall (SFOS).

Quando è utile la delegazione del prefisso

La delegazione del prefisso è utile quando il provider fornisce un prefisso IPv6 dinamico tramite la connessione WAN e Sophos Firewall deve distribuire questo prefisso alle reti interne.

Scenari tipici:

• Connessione Internet dual-stack con IPv4 e IPv6.
• Il provider fornisce un prefisso IPv6 tramite DHCPv6 Prefix Delegation.
• I client interni devono utilizzare IPv6 nativamente.
• Diverse reti interne, ad esempio LAN, server, ospiti o DMZ, devono ricevere IPv6.
• DNS, logging e regole del firewall devono considerare consapevolmente IPv6.

Non tutte le reti necessitano immediatamente di IPv6. Tuttavia, se IPv6 è attivo sui client, dovrebbe essere controllato correttamente tramite firewall, regole e log. Una configurazione IPv6 parziale può portare i client a preferire IPv6, ma gli errori vengono cercati nel troubleshooting IPv4.

Prerequisiti

Prima della configurazione, è necessario chiarire questi punti:

• Il provider supporta la delegazione del prefisso IPv6 sulla connessione.
• La connessione WAN non utilizza PPPoE per la delegazione del prefisso.
• Il design WAN e delle interfacce tiene conto delle VLAN e dei LAG esistenti.
• Le zone interne e le regole del firewall sono pianificate.
• È chiaro se i client devono utilizzare solo SLAAC o necessitano anche di parametri DHCPv6.
• La progettazione DNS e l’analisi dei log considerano IPv6.

⚠️ Sophos Firewall non supporta PPPoE over IPv6; la delegazione del prefisso non è possibile tramite PPPoE. Per le VLAN, le guide Sophos relative a SFOS 22 e 23 contengono indicazioni discordanti: la guida alla delegazione del prefisso esclude la delegazione del prefisso su qualsiasi interfaccia su cui sia configurata una VLAN. Separatamente, la guida alle interfacce fisiche vieta di modificare il metodo di assegnazione di una simile interfaccia parent da Static a DHCP o Delegated. La guida alle VLAN descrive tuttavia esplicitamente DHCP prefix delegation e Delegated sulle interfacce VLAN. Questa indicazione non permette di ridurre la restrizione generale sulla delegazione del prefisso al solo cambio del metodo di assegnazione dell’interfaccia parent. Occorre quindi valutare i design VLAN in base al percorso effettivo di upstream, parent e provider; le opzioni VLAN documentate non costituiscono un’approvazione generalizzata di ogni topologia. Le interfacce LAG non supportano DHCP Prefix Delegation.

Comprendere l’obiettivo

Con la delegazione del prefisso, accadono diverse cose in sequenza:

1. Il firewall richiede un indirizzo IPv6 e un prefisso delegato dal provider sull’interfaccia WAN.
2. Il provider assegna un indirizzo IPv6 all’interfaccia WAN e un prefisso al firewall.
3. Il firewall delega da questo prefisso una rete IPv6 a un’interfaccia interna, ad esempio LAN o DMZ.
4. L’interfaccia interna distribuisce informazioni IPv6 ai client tramite annuncio del router.
5. Facoltativamente, un server DHCPv6 fornisce parametri aggiuntivi, come i server DNS.

È importante la distribuzione dei ruoli: l’annuncio del router assicura che i client apprendano il loro prefisso IPv6 e il gateway predefinito. DHCPv6 può fornire informazioni aggiuntive. Le regole del firewall continuano a decidere quale traffico è consentito.

Preparare l’interfaccia WAN

Il primo passo è l’interfaccia WAN. Qui, Sophos Firewall richiede il prefisso IPv6 dal provider.

Scegliere il metodo IPv6 dell’interfaccia fisica

Per le interfacce fisiche, i metodi disponibili dipendono dal ruolo:

• WAN: Static o DHCP.
• Interfaccia interna: Static, DHCP o Delegated.

Static assegna un indirizzo IPv6 statico all’interfaccia; si configurano indirizzo, prefisso, Gateway name e Gateway IP address. DHCP consente di ottenere un indirizzo e altri parametri da un server DHCPv6; sulla WAN può anche richiedere un prefisso al provider tramite DHCP prefix delegation. Delegated utilizza il prefisso ricevuto dalla WAN per indirizzare le interfacce interne. La procedura seguente, con WAN DHCP > Manual > DHCP only e interfaccia interna Delegated, descrive questo specifico percorso di delegazione, non tutti i metodi di configurazione IPv6.

Con DHCP, il campo Mode permette di scegliere:

• Auto: l’indirizzo IPv6 viene assegnato automaticamente all’interfaccia secondo il metodo di configurazione utilizzato, DHCP only o Stateless.
• Manual: si seleziona esplicitamente DHCP only oppure Stateless. Con DHCP only, il firewall applica all’interfaccia sia l’indirizzo sia gli altri parametri forniti dal server DHCPv6. Con Stateless, il firewall configura l’indirizzo della propria interfaccia tramite SLAAC secondo i flag Managed (M) Address Configuration e Other (O) Configuration nel Router Advertisement ricevuto. Selezionando Accept other configuration from DHCP, si ottengono gli altri parametri dal server DHCPv6.

Queste opzioni riguardano il firewall che riceve la configurazione per la propria interfaccia. Non vanno confuse con Router advertisement sull’interfaccia interna, dove il firewall invia RA ai client. Con Mode > Manual > Stateless non è possibile impostare Gateway IP address.

Percorso del menu:

Network > Interfaces

Procedura:

1. Modificare l’interfaccia WAN interessata.
2. Aprire IPv6 configuration.
3. Selezionare DHCP.
4. Selezionare Manual.
5. Attivare DHCP only.
6. Attivare DHCP prefix delegation.
7. Facoltativamente, configurare Preferred delegated prefix, se il provider e il proprio design di rete lo consentono. Su un’interfaccia WAN fisica la lunghezza può variare da /48 a /64; su una VLAN WAN sono disponibili /48, /52, /56 e /60.
8. Attivare facoltativamente DHCP rapid commit solo se Rapid Commit è attivato anche sul server DHCPv6 del provider: il solo supporto della funzione non basta. L’opzione usa due messaggi, Solicit e Reply, invece dei quattro messaggi Solicit, Advertise, Request e Reply, rendendo più rapida la configurazione.
9. Per questa configurazione Manual > DHCP only sulla WAN fisica, compilare Gateway name e Gateway IP address in base alla connessione del provider. Su una VLAN WAN, invece, Gateway IP mostra l’indirizzo del gateway configurato.
10. Selezionare Save, quindi Update interface.

In Preferred delegated prefix, l’indirizzo del prefisso è facoltativo, mentre la lunghezza è obbligatoria. Il provider può accettare la richiesta o delegare un prefisso diverso. Se in seguito si modifica l’indirizzo o la lunghezza richiesti, il firewall aggiorna la richiesta solo dopo la rimozione del lease DHCP o l’unbind dell’interfaccia WAN. Questa interruzione va pianificata, anziché limitarsi a salvare la modifica durante il normale esercizio.

In pratica, è consigliabile chiarire prima con il provider:

• Quale lunghezza del prefisso viene delegata, ad esempio /56, /60 o /64?
• Il prefisso è stabile o può cambiare?
• È necessario richiedere un valore specifico?
• Ci sono restrizioni nei setup Bridge, PPPoE o Router-Modem?

Configurare l’interfaccia interna

Dopo l’interfaccia WAN, un’interfaccia interna viene alimentata con il prefisso delegato.

Percorso del menu:

Network > Interfaces

Procedura:

1. Modificare l’interfaccia interna, ad esempio LAN o DMZ.
2. Aprire IPv6 configuration.
3. Selezionare Delegated.
4. Sotto Upstream interface, selezionare l’interfaccia WAN configurata con assegnazione IPv6 DHCP e DHCP prefix delegation attivato. Il firewall assegna automaticamente un indirizzo IPv6 e un prefisso all’interfaccia interna.
5. Verificare l’indirizzo e il prefisso IPv6 che appaiono nel campo IPv6/prefix.
6. Attivare Router advertisement per annunciare il prefisso ai client. L’opzione è facoltativa nel modulo Delegated, ma viene utilizzata in questa procedura per distribuire le informazioni IPv6 alla rete interna.
7. Facoltativamente, attivare DHCPv6 server se i client devono ricevere parametri aggiuntivi. In modalità Delegated, l’opzione fornisce parametri come DNS, ma non indirizzi IPv6.
8. Selezionare Save, quindi Update interface.

Nel modulo Delegated delle interfacce fisiche, i campi Gateway name e Gateway IP sono indicati come da compilare se Zone è impostata su WAN. Questa indicazione condizionale sui campi non estende i metodi disponibili per ruolo: per la WAN fisica restano Static e DHCP, mentre Delegated è previsto per le interfacce interne. Non va quindi utilizzata come istruzione per configurare genericamente una WAN fisica in modalità Delegated.

Secondo la documentazione, Sophos consente di modificare l’indirizzo IPv6 nel campo IPv6/prefix, ma non la lunghezza del prefisso. Questo è importante quando si pianificano più reti interne: un /64 delegato offre una sola rete client /64 distinta. Un prefisso del provider più corto, come /56, offre spazio per più reti /64; fanno fede i prefissi effettivamente visualizzati da SFOS, che non vanno dedotti da un esempio.

Inquadrare correttamente i design VLAN e LAG

Molte reti di produzione utilizzano VLAN per client, server, ospiti e gestione. Per la delegazione del prefisso occorre leggere insieme tre indicazioni distinte contenute nelle guide Sophos relative a SFOS 22 e 23:

• La guida alla delegazione del prefisso vieta la delegazione del prefisso su qualsiasi interfaccia su cui sia configurata una VLAN. Questa indicazione ha una portata più ampia di una restrizione sul cambio del metodo di assegnazione.
• La guida alle interfacce fisiche vieta separatamente di modificare in un secondo momento il metodo di assegnazione di un’interfaccia parent con sottointerfacce VLAN già configurate da Static a DHCP o Delegated.
• La guida alle VLAN descrive esplicitamente DHCP prefix delegation per ottenere un prefisso dal provider e IPv6 configuration > Delegated per una VLAN interna. Come upstream richiede un’interfaccia WAN con assegnazione IPv6 DHCP e DHCP prefix delegation attivato.
• Le interfacce LAG non supportano DHCP Prefix Delegation.

L’ambito di applicazione della restrizione generale sulla delegazione del prefisso e delle opzioni VLAN esplicitamente descritte rimane quindi non chiarito in modo univoco nella documentazione. La restrizione sull’interfaccia parent definisce un limite concreto, ma non dimostra che l’indicazione più ampia si riferisca soltanto a questo cambio del metodo di assegnazione. Non ne deriva né un’approvazione generalizzata né un divieto generalizzato di tutti i design VLAN. Prima dell’implementazione, occorre verificare il percorso effettivo di upstream e parent e, se l’idoneità della topologia specifica non è chiara, chiarirne il supporto con Sophos e con il provider:

• Quale interfaccia richiede il prefisso al provider?
• Questa interfaccia parent trasporta già sottointerfacce VLAN?
• L’uplink del provider è una VLAN e fornisce lì DHCPv6 Prefix Delegation?
• Viene utilizzato un LAG non supportato come upstream?
• Il provider offre IPv6 statico?
• Il prefisso delegato è abbastanza grande per tutte le reti interne /64 pianificate?

Per le basi VLAN, consultare Configurare VLAN su Sophos Firewall e UniFi Switch. L’articolo spiega principalmente IPv4, ma la pianificazione delle zone, dei trunk e delle regole è rilevante anche per IPv6.

Verificare l’annuncio del router

Quando la delegazione del prefisso è attivata sull’interfaccia interna, Sophos Firewall crea automaticamente un annuncio del router per questa interfaccia. Configurare IPv6 Router Advertisement su Sophos Firewall spiega Managed flag, Other flag, On-link, Autonomous, i lifetime e l’assegnazione automatica del prefisso che non può essere modificata.

Percorso del menu:

Network > IPv6 router advertisement

Qui si dovrebbe verificare:

• Aprire il server RA creato automaticamente per l’interfaccia interna delegata e verificare i dettagli di Prefix advertisement configuration.
• Viene annunciato il prefisso previsto?
• I flag RA corrispondono al comportamento pianificato del client?
• Attivare facoltativamente Other flag se i client devono ottenere parametri aggiuntivi dal server DHCPv6.

Dopo la verifica e le eventuali modifiche consentite, selezionare Save.

La configurazione dell’annuncio del prefisso del server RA generato automaticamente non può essere modificata. Se si desidera annunciare un altro prefisso, è necessario creare un proprio server RA.

Per la maggior parte degli ambienti, vale la pena verificare prima se i client ricevono correttamente indirizzi IPv6 con il RA generato automaticamente, prima di aggiungere server RA aggiuntivi o configurazioni speciali.

Usare DHCPv6 solo per lo scopo giusto

DHCPv6 non è lo stesso di DHCPv4. In molti design IPv6, i client ricevono il loro indirizzo tramite SLAAC e informazioni aggiuntive tramite DHCPv6. Pertanto, prima di attivarlo, è necessario chiarire cosa deve fare DHCPv6.

Se Sophos Firewall deve distribuire direttamente indirizzi o parametri aggiuntivi, Configurare e testare un server DHCPv6 su Sophos Firewall spiega intervallo di lease, DUID, tempi di validità e verifica RA separata.

Parametri DHCPv6 tipici sono:

• Server DNS.
• Dominio di ricerca DNS.
• Altre opzioni DHCPv6, se un client ne ha realmente bisogno.

Se i client ricevono un indirizzo IPv6 ma non possono risolvere i nomi, non è automaticamente colpa della delegazione del prefisso. Spesso manca il server DNS appropriato, la combinazione RA/DHCPv6 è poco chiara o il client utilizza un percorso DNS diverso da quello previsto.

Per domini interni e scenari di Split-DNS, rimane rilevante Configurare le rotte delle richieste DNS su Sophos Firewall. IPv6 non cambia la domanda fondamentale su quale server DNS sia responsabile per quale dominio.

Verificare le regole del firewall e l’accesso ai dispositivi

Il traffico IPv6 richiede regole del firewall adeguate. Verificare che le regole esistenti usino oggetti di origine e destinazione compatibili con IPv6 e i servizi necessari; una regola che contiene solo oggetti di rete IPv4 non copre il nuovo percorso IPv6.

Prima dell’approvazione, è necessario verificare:

• Esistono regole per la zona di origine e la zona di destinazione interessate?
• Il traffico IPv6 viene registrato dove è necessario per il troubleshooting o la conformità?
• DNS, NTP, Web e applicazioni necessarie sono consentiti?
• Le connessioni in entrata da Internet sono ancora bloccate consapevolmente o consentite in modo mirato?
• Esistono regole separate per le zone client, server, ospiti e gestione?

Con IPv6, è particolarmente importante evitare che i client interni siano raggiungibili direttamente e senza controllo da Internet. Gli indirizzi IPv6 pubblici non significano che le connessioni in entrata debbano essere consentite. Le regole del firewall rimangono il confine centrale.

Anche Device Access deve essere considerato. Se i client interni devono utilizzare il firewall come server DNS, DNS deve essere consentito per la zona appropriata. I servizi di gestione come WebAdmin o SSH non dovrebbero diventare più accessibili con una nuova configurazione IPv6. L’hardening dei servizi firewall locali è descritto in Device Access e Local Service ACL su Sophos Firewall.

Test dopo la configurazione

Dopo l’implementazione, non si dovrebbe solo verificare se un client ha ricevuto un indirizzo IPv6. È fondamentale che l’intero percorso funzioni in modo controllato.

Test significativi:

1. L’interfaccia WAN mostra un indirizzo IPv6 e un prefisso delegato.
2. L’interfaccia interna mostra un prefisso IPv6 delegato.
3. Sotto Network > IPv6 router advertisement è visibile il server RA automatico.
4. Il client di test riceve un indirizzo IPv6 dal prefisso previsto.
5. Il client di test ha un gateway predefinito IPv6.
6. La risoluzione DNS funziona per nomi interni ed esterni.
7. HTTPS verso una destinazione nota compatibile con IPv6 funziona; usare il ping IPv6 solo se è noto che la destinazione risponde a ICMPv6.
8. Il Log Viewer mostra la regola del firewall appropriata per il traffico di test.
9. Un test IPv6 in entrata da Internet è consentito solo se esiste consapevolmente una regola.

Per connessioni singole, aiuta Testare la regola del firewall con Log Viewer, Policy Test e Packet Capture. In SFOS 22, Policy Tester non supporta IPv6: per questo percorso usare Log Viewer, Route Lookup, Packet Capture e il traffico di test reale. Se si tratta di problemi di base con l’interfaccia o DNS, si dovrebbe prima verificare lo stato dell’interfaccia, l’annuncio del router e la configurazione DNS.

Per un’analisi più approfondita, Sophos associa tre log di servizio alle funzioni coinvolte:

• networkd.log per le interfacce fisiche e virtuali,
• dhcpd6.log per il server DHCPv6,
• radvd.log per IPv6 Router Advertisement.

Questa associazione non implica che ogni file debba contenere uno specifico messaggio di errore. Per una correlazione affidabile, annotare l’ora, l’interfaccia e il prefisso mostrato prima e dopo il problema, quindi confrontare questi dati con le voci dei log pertinenti.

Ripristinare la modifica in modo controllato

Prima della modifica, annotare l’assegnazione IPv6 precedente, l’indirizzo o prefisso, i valori del gateway e le impostazioni RA/DHCPv6 di entrambe le interfacce. Se il collaudo non riesce, aprire Network > Interfaces, ripristinare esattamente questi valori su entrambe le interfacce e selezionare ogni volta Save e Update interface. Ricontrollare indirizzamento, gateway predefinito, DNS e il traffico che funzionava in precedenza. Senza una configurazione iniziale documentata, non inventare valori sostitutivi.

Errori tipici

I client non ricevono un indirizzo IPv6

Verificare prima se l’interfaccia WAN ha effettivamente ricevuto un prefisso. Se non è visibile alcun prefisso, il problema è solitamente del provider, dell’interfaccia WAN, dei design PPPoE/Bridge o della richiesta di delegazione del prefisso.

Se è presente un prefisso sull’interfaccia WAN, ma i client non ricevono un indirizzo, si dovrebbe verificare l’interfaccia interna, l’annuncio del router e la rete client.

I client hanno IPv6, ma non Internet

In questo caso, la delegazione del prefisso non è necessariamente il problema. Cause comuni sono:

• nessuna regola del firewall appropriata,
• DNS non funziona,
• il client preferisce IPv6, ma il sito di destinazione o il percorso è interrotto,
• interfaccia interna errata,
• RA o DHCPv6 forniscono parametri incompleti,
• il percorso di ritorno o il routing del provider non è corretto.

Se la rete client è volutamente solo IPv6 e manca soltanto una destinazione web IPv4, serve una transizione separata. NAT64 con Direct Web Proxy mostra la procedura SFOS attuale con una regola IPv6 verso il proxy e una successiva regola IPv4 verso la destinazione. Non sostituisce un NAT64 generale per altri protocolli.

DNS funziona solo parzialmente

Con IPv6, i problemi DNS spesso si manifestano tardi, poiché alcune applicazioni passano tra IPv4 e IPv6. Si dovrebbe testare separatamente:

• risoluzione DNS esterna,
• domini interni,
• reverse lookups, se i log o i report devono mostrare i nomi,
• server DNS effettivamente utilizzato dal client.

Il prefisso cambia dopo il rinnovo del lease o una riconnessione

Se il provider assegna un prefisso dinamico, questo può cambiare. In tal caso, indirizzi IPv6 statici, voci DNS manuali, condivisioni esterne o regole di monitoraggio possono interrompersi.

Per server produttivi, servizi pubblicati o reti di siti complessi, si dovrebbe verificare se è necessario un prefisso del provider stabile o un altro design IPv6.

L’interfaccia VLAN non mostra Delegated

La guida alle VLAN per SFOS 22 e 23 descrive Delegated, mentre la guida alla delegazione del prefisso riporta la restrizione più ampia sulle VLAN illustrata sopra. La sola presenza dell’opzione nell’interfaccia non risolve questo conflitto nella documentazione. Se l’opzione manca o non è possibile selezionare l’interfaccia upstream, occorre controllare la versione del firmware, la zona, la configurazione IPv6 dell’interfaccia WAN e l’interfaccia parent. L’upstream deve utilizzare l’assegnazione IPv6 DHCP e avere DHCP prefix delegation attivato. Se su un’interfaccia fisica parent è già configurata una VLAN, il suo metodo di assegnazione IP non può essere modificato in un secondo momento da Static a DHCP o Delegated. Se l’upstream è un LAG, si applica inoltre la restrizione documentata secondo cui le interfacce LAG non supportano DHCP Prefix Delegation. Se l’idoneità della topologia specifica rimane incerta, occorre chiarirla con Sophos e con il provider, anziché dedurre un supporto generalizzato dalla sola presenza dell’opzione.

Lista di controllo operativa

• Documentata la lunghezza e la stabilità del prefisso del provider.
• Verificate le limitazioni di interfacce parent, VLAN e LAG.
• L’interfaccia WAN riceve un indirizzo IPv6 e un prefisso delegato.
• L’interfaccia interna utilizza Delegated con l’interfaccia upstream corretta.
• L’annuncio del router è attivo e visibile.
• DHCPv6 è attivato solo se sono necessari parametri aggiuntivi.
• Progettazione DNS per nomi interni ed esterni verificata.
• Regole del firewall per IPv6 create o confermate consapevolmente.
• Device Access non ampliato inutilmente tramite IPv6.
• Log Viewer mostra il traffico di test in modo tracciabile.
• Modifiche al prefisso o al provider documentate.

FAQ