Supporto IPv6 e limiti in Sophos Firewall con SFOS 22
Sophos Firewall supporta IPv6 in SFOS 22 per le principali funzioni di rete, routing, VPN, regole, protezione e diagnostica. Un ambiente completamente IPv6-only non è però realistico in ogni situazione. Le regole WAF, la risoluzione IPv6 negli oggetti host FQDN, la funzione Let’s Encrypt integrata, Up2date, RED, l’accesso remoto IPsec, RIPng e il multicast hanno limiti documentati.
Prima di un rollout non basta quindi verificare che un’interfaccia riceva un indirizzo IPv6. È decisivo accertare che ogni funzione nel percorso end-to-end effettivo supporti IPv6. Quando manca una funzione necessaria, Dual Stack o un percorso IPv4 pianificato consapevolmente è in genere più sicuro di un’architettura IPv6-only forzata.
Questo articolo inquadra operativamente la matrice ufficiale del supporto IPv6 di SFOS 22. La configurazione dettagliata di Prefix Delegation, routing, VPN e regole resta negli articoli specialistici collegati.
Verificare un design IPv6 in sette passaggi
- Documentare build SFOS esatta, connessione del provider, prefisso e tutti i servizi necessari.
- Suddividere il percorso completo dal client o mittente alla destinazione nelle singole funzioni: interfaccia, indirizzamento, DNS, routing, regola, modulo di protezione, VPN, portale e percorso di aggiornamento.
- Confrontare ogni funzione con i limiti di SFOS 22 descritti in questo articolo.
- Definire un percorso IPv4 o di prodotto alternativo per le dipendenze non supportate. Non aggirare una funzione mancante con una regola ampia o
Any. - Configurare interfacce IPv6, Router Advertisement, route, oggetti e regole firewall separatamente da IPv4.
- Testare in sequenza indirizzo, Default Route, Neighbor Discovery, DNS, Route Lookup, Rule ID, Packet Capture e il servizio effettivo.
- Passare in produzione solo dopo test positivo e negativo riusciti; mantenere fino ad allora il fallback IPv4 e l’ordine precedente delle regole.
⚠️ Un segno di spunta nella matrice Sophos conferma il supporto del prodotto, non una configurazione completa né la parità funzionale con IPv4. Un ping IPv6 riuscito non dimostra DNS, policy, profilo di protezione, VPN o applicazione. Viceversa, una funzione documentata come non supportata non diventa disponibile tramite riavvii dei servizi, opzioni CLI nascoste o una regola firewall più ampia.
Cosa indica realmente la matrice di supporto
La pagina Sophos attuale è stata aggiornata l'8 gennaio 2026 e si applica alla guida di SFOS 22. Distingue le funzioni capaci di elaborare IPv6 da quelle ancora prive di supporto IPv6. Questo limite è più restrittivo dell’affermazione generale che il firewall supporti IPv6.
Quattro livelli devono restare separati:
- Indirizzamento: L’interfaccia dispone di un prefisso IPv6 e il client di un indirizzo corrispondente.
- Routing: I percorsi di andata e ritorno puntano alle interfacce e ai gateway previsti.
- Policy: Una regola IPv6 dedicata consente esattamente il traffico pianificato e registra il test.
- Servizio: VPN, WAF, proxy, posta elettronica, portale o funzione di aggiornamento supporta realmente il percorso IPv6.
Il funzionamento di un livello non dimostra quello successivo. Questa separazione evita che lo stato verde di un’interfaccia venga considerato prova di una funzione WAF o di aggiornamento non ancora supportata.
Rete e indirizzamento
Supportato
- indirizzi IPv6 statici su interfacce fisiche, bridge, alias, VLAN e LAG;
- DHCP Prefix Delegation;
- server, client e relay DHCPv6, oltre a lease dinamici e statici;
- Neighbor Discovery Protocol (NDP) e Router Advertisement;
- DNS Lookup e Reverse Name Lookup;
- tunnel IPv6 con 6in4, 6to4, 6rd e 4in6.
Non supportato o limitato
- IPv6 tramite Cellular WAN;
- IPv6 PPPoE;
- Dynamic DNS tramite IPv6;
- DNS64;
- Tunnel Broker;
- hardware RED e tunnel Firewall RED tra due Sophos Firewall;
- DHCP Prefix Delegation su un’interfaccia LAG.
La guida a Prefix Delegation descrive il percorso eseguibile dal prefisso del provider, attraverso l’interfaccia interna, fino a Router Advertisement e alle regole firewall: Configurare IPv6 Prefix Delegation su Sophos Firewall. Per prefissi statici resta valida la pianificazione di interfacce, VLAN e zone in Pianificare correttamente zone e interfacce di Sophos Firewall.
DNS64 e NAT64 non devono essere confusi. SFOS 22 indica DNS64 come non supportato. Il percorso NAT64 documentato da Sophos è invece fornito da Direct Web Proxy e solo per traffico proxy HTTP/HTTPS esplicito. Non è un gateway generale per i protocolli.
Routing e multicast
Supportato
- route unicast IPv6 statiche;
- route SD-WAN per IPv6;
- BGP IPv6 e OSPFv3;
- WAN Load Balancing;
- Upstream Proxy.
Non supportato
- RIPng;
- multicast IPv6 dinamico con Multicast Listener Discovery (MLD);
- route multicast IPv6 statiche.
Una route IPv4 non diventa automaticamente una route IPv6. Il procedimento per reti fisse è disponibile in Configurare route IPv4 e IPv6 statiche. OSPFv3 viene configurato separatamente da OSPFv2, mentre la Router ID resta in notazione IPv4. Il procedimento sicuro e l’assenza di autenticazione OSPFv3 sono descritti in Configurare e verificare OSPF su Sophos Firewall.
Gli articoli Avanet esistenti sul multicast statico e PIM-SM trattano IPv4. Dai relativi comandi e menu non si deve dedurre un procedimento MLD o multicast IPv6.
VPN
Supportato
- SSL VPN site-to-site;
- SSL VPN di accesso remoto;
- IPsec site-to-site.
Non supportato
- IPsec di accesso remoto tramite IPv6;
- L2TP VPN tramite IPv6;
- PPTP VPN tramite IPv6.
Per IPsec site-to-site, la connessione può utilizzare IPv4, IPv6 o Dual con una connessione route-based Any-to-Any. Dual richiede regole firewall IPv4 e IPv6 separate e un percorso di routing pianificato consapevolmente. La scelta completa del tipo di tunnel è descritta in Configurare una VPN IPsec site-to-site su Sophos Firewall.
L’affermazione SSL VPN di accesso remoto supporta IPv6 non significa che ogni risorsa, oggetto FQDN e percorso full-tunnel funzioni automaticamente in Dual Stack. Pool, risorse consentite, DNS, regole IPv6 e test reale del client restano punti di verifica distinti.
Regole, NAT e moduli di protezione
Supportato
- regole firewall IPv6 basate sulle zone;
- NAT66 e NAT64, con NAT64 disponibile solo in Proxy Mode;
- Server Load Balancing;
- SSL/TLS Inspection Rules;
- IPS, DoS Bypass Rules e Spoof Protection;
- Web Filtering, Application Filter e Malware Scanning;
- Zero-day Protection.
Non supportato
- regole WAF tramite IPv6;
- Wireless come percorso di protezione IPv6;
- la funzione indicata separatamente come Advanced protection nella matrice Sophos.
Una regola firewall IPv4 non consente traffico IPv6. In Rules and policies > Firewall rules si seleziona consapevolmente la versione IP e si valida la regola con Source, Destination, Service, Logging e Rule ID. I concetti di base sono descritti in Comprendere e configurare in sicurezza le regole di Sophos Firewall.
Per client IPv6-only con una destinazione web IPv4-only si utilizza il procedimento proxy separato NAT64 con Direct Web Proxy. Non traduce traffico non-proxy, UDP, ICMP o applicazioni senza supporto esplicito del proxy.
Posta elettronica, portali e amministrazione
Supportato
- SMTP MTA e SMTP Proxy;
- IMAP Proxy e POP Proxy;
- WebAdmin, User Portal e SSH;
- NTP e SNMP;
- Authentication Server.
Non supportato
- Quarantine Digest tramite IPv6.
Il supporto IPv6 per WebAdmin o SSH non è una raccomandazione a esporre questi servizi a Internet. Device Access e Local Service ACL restano strettamente limitati alla rete di gestione o a reti sorgente note. Il pilot IPv6 deve inoltre confermare con un test negativo che le sorgenti di gestione non previste non ottengano accesso.
Diagnostica, oggetti, aggiornamenti e certificati
Supportato
- Current Activities per utenti e connessioni;
- Ping, Traceroute, Name Lookup, Route Lookup e Packet Capture;
- Syslog e Reporting;
- IPv6 IP Hosts;
- Traffic Shaping e QoS.
Non supportato o limitato
- Policy Tester per IPv6;
- Country Hosts per IPv6;
- risoluzione IPv6 negli oggetti host FQDN;
- Up2date Infrastructure tramite IPv6;
- funzione Let’s Encrypt integrata tramite IPv6.
Il limite FQDN riguarda l’oggetto host di SFOS: il firewall non risolve indirizzi IPv6 per questo oggetto. Ciò non significa che i client DNS o Name lookup non ricevano in generale risposte AAAA. Una destinazione IPv6 dinamica non deve però essere progettata con un oggetto host FQDN come se SFOS ne aggiornasse automaticamente gli indirizzi AAAA.
Anche il limite di Let’s Encrypt è specifico del prodotto. Non significa che ACME o i certificati siano generalmente IPv4-only. Significa che la funzione integrata di SFOS non deve essere pianificata come percorso IPv6. Per emissione, rinnovo e Up2date resta quindi necessario un percorso IPv4 funzionante finché Sophos documenta questi limiti.
Esempio di pilot Dual Stack controllato
L’esempio separa i valori produttivi da quelli da sostituire:
- prefisso del provider:
2001:db8:100::/48 - rete di test interna:
2001:db8:20:30::/64 - firewall nella rete di test:
2001:db8:20:30::1 - client pilota:
2001:db8:20:30::50 - destinazione di test controllata:
2001:db8:40:50::20 - il percorso di ritorno IPv4 per gestione, Up2date e Let’s Encrypt rimane inizialmente attivo.
2001:db8::/32 è un prefisso di documentazione e non viene instradato in produzione su Internet. Tutti gli indirizzi vengono sostituiti con il prefisso reale del provider e sistemi di test controllati. Il /64 è la rete di esempio pianificata per un normale segmento client; la suddivisione effettiva del prefisso dipende dalla delega del provider e dal piano di rete interno.
Prima del pilot devono essere definite queste decisioni:
- Quali funzioni utilizza il flusso specifico?
- Sono tutte elencate come supportate nella matrice SFOS?
- Esiste un fallback IPv4 per aggiornamenti, certificati e gestione?
- Quale regola IPv6 deve corrispondere e quale Rule ID è prevista?
- Quale connessione negativa deve restare bloccata?
- Come verranno testati DNS, percorso di ritorno e servizio applicativo effettivo?
Validare il percorso IPv6
Una validazione affidabile procede dal basso verso l’alto:
- Interfaccia: Verificare indirizzo IPv6 e prefisso previsti sulle interfacce WAN e interna.
- Client: Controllare indirizzo IPv6, Prefix Length e Default Route.
- Neighbor Discovery: In Network > Neighbors (ARP–NDP) verificare il neighbor IPv6 previsto e l’interfaccia corretta. L’interpretazione sicura è descritta in Controllare la cache neighbor ARP e NDP.
- DNS: Verificare separatamente le risposte A e AAAA. Un record A funzionante non dimostra il percorso IPv6.
- Routing: Utilizzare Diagnostics > Tools > Route lookup con l’indirizzo IPv6 reale della destinazione e documentare i percorsi di andata e ritorno.
- Policy: In Log Viewer confermare regola IPv6 prevista, Action e Firewall Rule ID. Poiché Policy Tester non supporta IPv6, sono più importanti Log Viewer, Route Lookup, Packet Capture e il flusso di test reale.
- Flusso dei pacchetti: Packet Capture deve mostrare ingresso e uscita sull’interfaccia prevista. Un pacchetto visibile in ingresso ma non inoltrato restringe il problema a routing, regola o modulo di protezione.
- Servizio: Testare positivamente HTTPS, VPN, SMTP, DNS o l’applicazione specifica; il solo ping non basta.
- Test negativo: Una sorgente IPv6 non autorizzata o un servizio non consentito rimane bloccato.
I comandi di sola lettura di Device Console per un percorso di esempio controllato sono:
ping6 2001:db8:40:50::20
traceroute6 2001:db8:40:50::20
dnslookup6 app.example.com
L’indirizzo di documentazione e .example non funzionano in produzione e vengono sostituiti con una destinazione controllata. Questi comandi verificano raggiungibilità, percorso e risoluzione dei nomi, ma non una specifica regola firewall né l’applicazione. Altri comandi di base sicuri sono descritti in Risolvere i problemi di Sophos Firewall con comandi di base.
Circoscrivere gli errori in base al sintomo
Il client non riceve un indirizzo IPv6 o una Default Route
Controllare prefisso del provider, assegnazione WAN, Delegated Interface, Router Advertisement, VLAN e segmento client. Non continuare a sperimentare Prefix Delegation su un LAG, perché Sophos esclude esplicitamente questa combinazione. Il funzionamento di IPv4 non dimostra un indirizzamento IPv6 corretto.
È presente un indirizzo IPv6, ma il servizio non funziona
Controllare prima risposta DNS, NDP, Route Lookup, regola IPv6, Rule ID e percorso di ritorno. Quindi analizzare il servizio. Non creare una regola ampia Any come sostituto della diagnosi. Se la funzione necessaria non è supportata nella matrice, spostare il percorso su IPv4 o su un’altra architettura.
L’oggetto host FQDN non contiene alcun indirizzo IPv6
È il limite documentato del prodotto. Gli oggetti host FQDN in SFOS non risolvono indirizzi IPv6. Un IPv6 IP Host statico può essere adatto a un indirizzo stabile gestito operativamente; per destinazioni dinamiche occorre rivalutare il design. Un oggetto di destinazione ampio non è un sostituto sicuro.
WAF, RED o l’accesso remoto IPsec deve funzionare tramite IPv6
Questi casi non sono supportati nella matrice attuale. Interrompere il rollout prima di ricostruire in produzione regole, certificati o tunnel. Mantenere IPv4 per tale funzione o scegliere un percorso di accesso separato e supportato.
Gli aggiornamenti o Let’s Encrypt falliscono in una rete IPv6-only
Secondo la matrice, Up2date Infrastructure e la funzione Let’s Encrypt integrata non sono supportati tramite IPv6. Ripristinare prima egress IPv4 previsto, DNS, routing e regole. Riavvii dei servizi e nuove richieste di certificato non correggono l’assenza di supporto del prodotto.
Rollback
- Disattivare le nuove regole IPv6 o ripristinare l’ordine precedente documentato.
- Rimuovere Router Advertisement, Delegated Interface o assegnazione IPv6 statica del pilot solo nella finestra di manutenzione pianificata.
- Mantenere o ripristinare route IPv4, risposte DNS e accessi di gestione precedenti.
- Rimuovere oggetti host IPv6 e regole di test temporanei solo dopo aver confermato il percorso di ritorno.
- Ricontrollare gestione IPv4, Up2date, rinnovo del certificato e servizio originale.
- Conservare ora dell’errore, build, interfaccia, Route Lookup, Rule ID e Packet Capture prima di aprire un caso di supporto per un percorso IPv6 ancora supportato.
Checklist
- Versione e build SFOS documentate.
- Ogni funzione necessaria verificata rispetto alla matrice di supporto IPv6 attuale.
- Le dipendenze non supportate dispongono di un percorso IPv4 o alternativo pianificato.
- Prefisso, segmenti
/64, Router Advertisement e DNS pianificati. - Regole IPv4 e IPv6 create e registrate separatamente.
- Device Access non è stato ampliato involontariamente tramite IPv6.
- NDP, Route Lookup, Rule ID, Packet Capture e servizio effettivo verificati.
- Test positivo e negativo superati.
- Up2date e Let’s Encrypt dispongono ancora di un percorso IPv4 funzionante.
- Rollback e accesso di gestione indipendente documentati.