Configurare IPv6 Router Advertisement su Sophos Firewall

Un client IPv6 può avere un indirizzo e non disporre comunque di una rete funzionante. Su Sophos Firewall, Router Advertisement, o RA, fornisce il prefisso, il router predefinito e l’indicazione se SLAAC o DHCPv6 è responsabile dei valori aggiuntivi. DHCPv6 da solo non fornisce un gateway predefinito.

L’errore più frequente non è quindi un intervallo di lease errato, ma una combinazione inadeguata di prefisso RA, flag e ruolo DHCPv6. Una semplice rete SLAAC normalmente richiede solo un /64 annunciato con Autonomous. Se un server DHCPv6 deve assegnare gli indirizzi, serve anche Managed flag. Other flag indirizza i client verso parametri DHCPv6 aggiuntivi, come DNS o Domain Name.

⚠️ Un Router Advertisement errato può modificare indirizzi o router predefinito nell’intero segmento Layer 2. Prima di salvare, documentare le fonti RA esistenti, i prefissi IPv6 e l’accesso di gestione. Testare prima la modifica in una VLAN pilota con un client reale.

Router Advertisement in otto passaggi

1. Definire il /64 IPv6 previsto, il segmento client e i ruoli desiderati di SLAAC e DHCPv6.
2. Verificare se un router invia già messaggi RA o se Prefix Delegation ha creato automaticamente una configurazione RA.
3. Aprire Network > IPv6 router advertisement e selezionare Add.
4. Selezionare l’interfaccia fisica, LAG, VLAN o bridge abilitata per IPv6 del segmento client.
5. Impostare gli intervalli minimo e massimo di advertisement adatti all’ambiente.
6. Attivare Managed flag, Other flag e Default gateway solo in base al modello client previsto.
7. Aggiungere il /64 con On-link, Autonomous, Preferred lifetime e Valid lifetime.
8. Salvare e usare un nuovo ciclo del client per controllare RS, RA, indirizzo, gateway predefinito, DNS e traffico applicativo IPv6 reale.

Una voce RA visibile non dimostra ancora il successo. Solo il client mostra se sistema operativo, prefisso, DHCPv6 e route predefinita applicano la stessa pianificazione.

Comprendere SLAAC, DHCPv6 e i due flag

Con SLAAC, il client forma il proprio indirizzo IPv6 globale dal prefisso annunciato e dal suo identificatore di interfaccia. Per questo il prefisso deve consentire Autonomous. Il firewall annuncia inoltre il router predefinito tramite RA quando Default gateway è attivo.

Managed flag indica che i client devono ottenere il proprio indirizzo IPv6 da un server DHCPv6. Sophos specifica espressamente di usare questo flag solo quando è disponibile un server DHCPv6. La procedura completa è descritta in Configurare e testare un server DHCPv6 su Sophos Firewall.

Other flag indirizza i client a DHCPv6 per parametri di rete aggiuntivi. Possono includere server DNS, Domain Name, NIS, NISP, SIP, SNTP e BCMS. Il flag non fornisce questi valori autonomamente: DHCPv6 deve effettivamente distribuirli e il client deve supportarli.

A seconda del sistema operativo, un client può creare più indirizzi o interpretare i flag in modo diverso. La combinazione desiderata deve quindi essere verificata con le piattaforme client realmente utilizzate, non dedotta soltanto dal modulo WebAdmin.

RA automatico con Prefix Delegation

Quando si seleziona IPv6 prefix delegation su un’interfaccia interna, SFOS crea automaticamente un Router Advertisement. Il prefisso assegnato automaticamente a questo server RA non può essere modificato. Per annunciare un prefisso aggiuntivo, creare un altro server RA con tale prefisso.

La creazione automatica è pratica, ma non deve essere trascurata. Prima di creare una voce RA manuale, verificare quale configurazione esiste già in Network > IPv6 router advertisement. Configurare IPv6 Prefix Delegation su Sophos Firewall descrive la procedura completa per provider, WAN e interfaccia delegata.

Pianificare la rete di esempio

L’esempio seguente utilizza 2001:db8::/32, un intervallo riservato alla documentazione. Non è destinato alla comunicazione internet di produzione e deve essere sostituito con il prefisso effettivamente assegnato:

• Segmento client: VLAN20
• Indirizzo del firewall: 2001:db8:20::1/64
• Prefisso annunciato: 2001:db8:20::/64
• Modalità operativa: SLAAC con gateway predefinito
• DHCPv6: solo per parametri DNS aggiuntivi, se necessari
• Client di test: un dispositivo gestito in VLAN20

Prefisso, indirizzo dell’interfaccia e segmento client devono essere coerenti. Una configurazione RA copiata da un’altra VLAN può assegnare ai client un indirizzo formalmente valido che non funziona nel routing locale.

Configurare Router Advertisement

Selezionare interfaccia e intervalli

In Network > IPv6 router advertisement > Add, selezionare prima l’interfaccia client. SFOS consente un’interfaccia fisica, LAG, VLAN o bridge abilitata per IPv6. Non scegliere un’interfaccia WAN o di transito soltanto perché vi arriva il prefisso del provider; è determinante il segmento client Layer 2.

Min advertisement interval e Max advertisement interval determinano la distanza tra i messaggi RA non sollecitati. Se l’intervallo massimo è di nove secondi o più, SFOS richiede che il minimo sia il 75 per cento del massimo. Non esiste un valore ideale universale: le modifiche influenzano tempo di rilevamento e densità dei messaggi e vanno quindi eseguite solo con un valore iniziale documentato e un test client.

Impostare flag e gateway predefinito

Per l’esempio SLAAC, Managed flag rimane disattivato. Attivare Other flag solo se un server DHCPv6 raggiungibile fornisce effettivamente valori aggiuntivi. Default gateway rende il firewall il router predefinito annunciato; il tempo associato è espresso in secondi.

Un flag attivo non dimostra il funzionamento. Se è impostato Managed flag, ma nessun server DHCPv6 risponde, la configurazione degli indirizzi rimane incompleta. Se Default gateway è disattivato, il client può formare un indirizzo globale, ma non riceve una route predefinita da questo RA.

Inserire prefisso e lifetime

Inserire 2001:db8:20::/64 nella configurazione Prefix Advertisement. On-link indica al client che le destinazioni in questo prefisso sono raggiungibili sul segmento locale senza un altro router. Autonomous consente la creazione automatica dell’indirizzo tramite SLAAC.

Preferred lifetime indica in minuti per quanto tempo un indirizzo è preferito per le nuove connessioni. In seguito diventa deprecated, ma può continuare a essere usato per comunicazioni esistenti. Valid lifetime indica per quanto tempo rimane complessivamente valido. Dopo la scadenza non può più inviare o ricevere. SFOS richiede quindi una Valid lifetime almeno pari alla Preferred lifetime.

Con prefissi dinamici del provider, questi tempi non devono essere pianificati come se il prefisso rimanesse invariato per sempre. Un cambio di prefisso deve essere testato con un nuovo ciclo client e con connessioni esistenti e nuove.

Gestire consapevolmente MTU e parametri Neighbor

I campi avanzati controllano le informazioni per IPv6 Neighbor Discovery:

• Link MTU annuncia la dimensione massima dei pacchetti. Con 0, l’interfaccia non annuncia informazioni MTU.
• Reachable time determina per quanto tempo un client considera raggiungibile un neighbor confermato.
• Retransmit time determina l’attesa prima di un’altra Neighbor Solicitation.
• Hop limit limita il numero di hop dei router; ogni router riduce il valore.

Non usare questi valori come controlli generali di ottimizzazione delle prestazioni. Una modifica di MTU o neighbor richiede un sintomo concreto, un valore iniziale registrato e nuovi test con pacchetti grandi, Neighbor Discovery e applicazioni reali.

Verificare RA e comportamento del client

Dopo il salvataggio, riconnettere il client pilota o rinnovarne in modo controllato la configurazione IPv6. Una cattura pacchetti con il filtro BPF icmp6 deve mostrare la Router Solicitation del client come ICMPv6 Type 133 e il Router Advertisement del firewall come Type 134.

Verificare quindi separatamente i livelli:

1. L’RA arriva sull’interfaccia prevista e dal router atteso.
2. Prefisso, On-link, Autonomous e flag corrispondono alla pianificazione.
3. Il client dispone dell’indirizzo IPv6 globale e del gateway predefinito previsti.
4. Se Managed flag o Other flag è attivo, DHCPv6 fornisce i valori previsti.
5. I nomi DNS interni ed esterni vengono risolti tramite i server pianificati.
6. Un flusso IPv6 reale corrisponde al Firewall Rule ID previsto e il test negativo rimane bloccato.

Packet Capture nel WebAdmin di Sophos Firewall descrive la cattura WebAdmin e i relativi campi. Supporto e limiti IPv6 di Sophos Firewall in SFOS 22 rimane rilevante per la matrice generale di regole, routing e VPN IPv6.

Circoscrivere sistematicamente gli errori

Il client invia RS, ma il firewall non risponde

Verificare interfaccia, indirizzo IPv6, stato RA ed eventuale configurazione automatica Prefix Delegation esistente. Correlare quindi radvd.log con l’ora del test. Il riavvio del servizio non è il primo passo diagnostico: configurazione, cattura e log devono prima dimostrare dove manca la risposta.

L’RA arriva, ma il client non riceve un indirizzo globale

Confrontare il /64 annunciato, Autonomous e l’RA effettivamente ricevuto. Se Managed flag è attivo, controllare anche la comunicazione DHCPv6 su UDP 546 e 547. Un RA visibile da solo non dimostra un’assegnazione completa dell’indirizzo.

Il client ha un indirizzo ma nessun gateway predefinito

Verificare se Default gateway è attivo e quale router lifetime arriva nell’RA. DHCPv6 non può sostituire questa route predefinita mancante. Se sono visibili più Router Advertisements, determinare inoltre quale router influenza effettivamente il client.

Indirizzo e gateway sono corretti, ma manca il DNS

Con Other flag o un modello DHCPv6, il server DHCPv6 deve fornire effettivamente i valori DNS previsti. Confrontare quindi richiesta del client, risposta del server e configurazione locale del resolver. La sola impostazione del flag non crea un server DNS.

IPv6 funziona solo in parte

Verificare prima route e percorso di ritorno, quindi la regola IPv6 e il Rule ID. Per pacchetti grandi, confrontare anche la Link MTU effettivamente annunciata con una cattura e un test applicativo. Il successo IPv4 non dimostra il funzionamento del percorso IPv6 separato.

Prefix Delegation ha creato un prefisso diverso

Il prefisso di una configurazione RA creata automaticamente da Prefix Delegation non può essere sostituito manualmente. Verificare insieme prefisso del provider, interfaccia delegata e voce RA esistente. Un prefisso aggiuntivo richiede un proprio server RA e un percorso di routing completamente funzionante.

Verificare servizi e log di Sophos Firewall tramite CLI elenca i servizi e i file di log pertinenti, incluso radvd.log.

Annullare la modifica

Durante il rollback, disattivare o rimuovere la nuova voce RA e ripristinare lo stato precedentemente documentato. Non trattare una configurazione creata automaticamente tramite Prefix Delegation come una voce manuale indipendente; controllare prima l’impostazione sottostante di interfaccia e delega.

Riconnettere quindi il client e verificare nuovamente fonte RA, indirizzo, gateway predefinito, DNS e un percorso IPv6 reale. Non lasciare attive in parallelo senza controllo le vecchie e le nuove fonti RA.

Domande frequenti