Sophos Firewall als DHCP-Server einrichten

Die Sophos Firewall kann IPv4-Adressen, Gateway, DNS-Server und weitere Netzwerkeinstellungen direkt an Clients verteilen. Dazu legt man unter Network > DHCP einen Server für das Client-Interface an, definiert den Adressbereich und prüft danach, ob der Client eine passende Lease erhält.

Kurzablauf: Network > DHCP > Server > Add öffnen, Interface und Adressbereich wählen, die Interface-IP als Gateway verwenden, DNS bewusst festlegen und speichern. Anschliessend unter System services > Services den Dienst DHCP server prüfen und die vergebene Adresse unter IPv4 lease kontrollieren.

Diese Anleitung behandelt einen DHCPv4-Server für Clients im direkt angeschlossenen Netz. Wenn ein zentraler DHCP-Server ein anderes Subnetz versorgen soll, passt Sophos Firewall DHCP Relay einrichten und testen. PXE, VoIP und herstellerspezifische Werte sind unter DHCP-Optionen auf Sophos Firewall konfigurieren beschrieben.

Beispiel und Adressplanung

Das Beispiel verwendet ein Client-VLAN mit diesen Werten:

Interface: VLAN20 - 10.20.0.1/24
Dynamischer Bereich: 10.20.0.100 bis 10.20.0.199
Gateway: 10.20.0.1
Statische Zuordnung für einen Drucker: 10.20.0.20
Interne DNS-Server: 10.10.0.10 und 10.10.0.11
Domain Name: corp.example

Der dynamische Bereich liegt innerhalb des Interface-Netzes, enthält aber weder die Netzwerkadresse, die Broadcast-Adresse noch das Gateway. Die Adressen unterhalb von 10.20.0.100 bleiben im Beispiel für Infrastruktur und statische Zuordnungen reserviert. Damit verteilt dieser DHCP-Bereich die reservierten Adressen nicht zusätzlich dynamisch. Vor einem anderen Gerät, auf dem dieselbe IP-Adresse manuell eingetragen wurde, schützt diese Trennung jedoch nicht.

Vor dem Aktivieren sollte man prüfen, welche Adressen bereits von Switches, Access Points, Druckern oder Servern verwendet werden. Läuft im selben VLAN noch ein anderer DHCP-Server, muss zuerst geklärt werden, welcher Server künftig zuständig ist. Zwei unkoordinierte Server können unterschiedliche Gateways oder DNS-Server verteilen und führen zu wechselnden Fehlerbildern.

Das Interface selbst muss bereits die richtige statische IP-Adresse besitzen. Wie Interface, Zone und VLAN zusammenspielen, erklärt Sophos Firewall VLAN-Interface konfigurieren.

DHCP-Server konfigurieren

Network > DHCP öffnen.
Unter Server auf Add klicken.
Einen eindeutigen Namen wie dhcp-vlan20-clients eintragen.
Unter Interface das Client-Interface VLAN20 - 10.20.0.1 wählen.
Unter Dynamic IP lease den Bereich 10.20.0.100 bis 10.20.0.199 hinzufügen.
Die Interface-IP 10.20.0.1 als Gateway verwenden.
DNS-Server, Domain Name und Lease-Zeiten passend zum Netz festlegen.
Falls benötigt, statische MAC-IP-Zuordnungen ergänzen.
Mit Save speichern.

Das gewählte Interface bestimmt, in welchem Netz die Firewall auf DHCP-Anfragen antwortet. Der dynamische Bereich muss deshalb zum Subnetz dieses Interfaces passen. DHCP-Server sind auf physischen Interfaces sowie auf VLAN-, Wireless- und Bridge-Interfaces möglich, nicht aber auf einem Interface Alias. Auf einem Interface, das bereits als DHCP Relay verwendet wird, kann nicht gleichzeitig ein DHCPv4-Server eingerichtet werden.

Gateway und DNS richtig wählen

Für ein normales Client-Netz ist die IP-Adresse der Sophos Firewall auf diesem Interface das Gateway. Im Beispiel erhalten die Clients deshalb 10.20.0.1.

Bei Use device’s DNS settings verteilt die Firewall ihre konfigurierten DNS-Server an die Clients. Das ist passend, wenn diese Server sowohl öffentliche als auch benötigte interne Namen auflösen können. In einer AD-Umgebung trägt man in der Regel die internen DNS-Server ein, damit Domain Controller, interne Dienste und Suchdomains zuverlässig funktionieren. Öffentliche Resolver allein reichen dafür meist nicht aus.

Erhalten die Clients die Firewall-IP als DNS-Server, kann die Sophos Firewall Anfragen für bestimmte interne Zonen an die zuständigen Server weiterleiten. Dieser Fall ist unter DNS Request Routes auf Sophos Firewall konfigurieren beschrieben. Verteilt DHCP dagegen direkt die Adressen anderer DNS-Server, erreichen die Client-Anfragen die Request Routes der Firewall nicht.

Lease-Zeiten passend setzen

Default lease time ist die regulär an den Client ausgegebene Lease-Zeit. Max lease time ist die Obergrenze; nach deren Ablauf muss der Client eine neue Anfrage an den DHCP-Server senden. Beide Werte werden in Minuten angegeben.

In stabilen Büro- oder Gerätenetzen sind längere Leases sinnvoll, weil sich der Bestand selten ändert. In Gäste-, Schulungs- oder stark wechselnden WLAN-Netzen verhindert eine kürzere Lease, dass nicht mehr verbundene Geräte den Bereich lange belegen.

Sehr kurze Leases erzeugen dagegen unnötig viele Erneuerungen. Entscheidend ist deshalb nicht ein allgemeiner Idealwert, sondern wie gross der Bereich ist und wie häufig die Clients wechseln.

Conflict detection prüft eine Adresse vor der Vergabe und hilft, bereits verwendete IP-Adressen zu erkennen. Die Funktion ist besonders nützlich, wenn noch manuell konfigurierte Geräte oder eine ältere, nicht vollständig dokumentierte Adressierung vorhanden sind.

Statische IP-MAC-Zuordnung anlegen

Eine statische Zuordnung sorgt dafür, dass ein bestimmtes Gerät immer dieselbe Adresse per DHCP erhält. Das ist für Drucker, Access Points oder andere Geräte sinnvoll, die erreichbar bleiben sollen, aber weiterhin zentral konfigurierte Werte wie Gateway und DNS beziehen sollen.

Unter Static IP MAC mapping trägt man Hostname, MAC-Adresse und die gewünschte IP-Adresse ein. Im Beispiel erhält der Drucker mit seiner tatsächlichen MAC-Adresse immer 10.20.0.20. Diese Adresse liegt bewusst ausserhalb des dynamischen Bereichs.

Eine DHCP-Zuordnung ist nicht dasselbe wie eine manuell am Gerät konfigurierte IP-Adresse: Das Gerät bleibt DHCP-Client, die Firewall reserviert jedoch die passende Lease. Verwendet ein Notebook oder Smartphone eine private beziehungsweise zufällige WLAN-MAC-Adresse, muss die Zuordnung zu der MAC-Adresse passen, die das Gerät in diesem WLAN tatsächlich verwendet.

Nur wenn dieselbe MAC-Adresse in mehreren DHCP-Serverkonfigurationen gebunden wird, verlangt Sophos eine globale Zuordnung. Dazu führt man nach dem SSH-Login in der Device Console diese beiden Befehle aus:

system dhcp conf-generation-method new
system dhcp static-entry-scope global

Die Einstellung betrifft alle DHCP-Serverkonfigurationen. Sie ist für normale, einmalige Zuordnungen nicht erforderlich und sollte deshalb nur für diesen Mehrfach-Scope-Fall geändert werden.

Dienst prüfen und Lease testen

Nach dem Speichern prüft man unter System services > Services, ob DHCP server läuft. Falls der Dienst gestoppt ist, wird er dort gestartet.

Danach verbindet man einen kontrollierten Testclient mit dem richtigen VLAN. Unter Windows kann eine neue Lease so angefordert und geprüft werden:

ipconfig /release
ipconfig /renew
ipconfig /all

⚠️ ipconfig /release trennt die aktuelle IPv4-Verbindung. Den Befehl nicht über genau diese Remote-Verbindung ausführen, wenn kein alternativer Zugriff vorhanden ist.

Der Client sollte eine Adresse aus 10.20.0.100 bis 10.20.0.199, das Gateway 10.20.0.1 und die vorgesehenen DNS-Server erhalten. Unter Network > DHCP > IPv4 lease zeigt die Firewall die vergebene Adresse mit Start- und Endzeit, MAC-Adresse und Hostname.

Für die Funktionsprüfung sollten mindestens diese Punkte stimmen:

Der Client erhält eine Adresse aus dem richtigen Bereich.
Gateway und DNS-Server entsprechen der Planung.
Das Gateway ist erreichbar.
Interne und externe Namen werden aufgelöst.
Der Client erreicht nur die Netze und Dienste, die seine Firewall-Regel erlaubt.

Keine oder eine falsche Adresse erhalten

Wenn der Client keine Lease erhält, prüft man zuerst Interface, VLAN und Dienststatus. Danach sind diese Fehler besonders häufig:

Falsches Interface: Der DHCP-Server ist nicht dem Interface des Client-Netzes zugeordnet.
VLAN erreicht die Firewall nicht: Der Switch-Uplink erlaubt das VLAN nicht tagged oder der Client-Port ist falsch zugewiesen.
Adressbereich passt nicht: Start- oder Endadresse liegt ausserhalb des Interface-Subnetzes.
Bereich ist ausgeschöpft: Anzahl und Laufzeit der belegten Leases mit der Grösse des konfigurierten Bereichs vergleichen. Die Lease-Liste zeigt vergebene, aber keine eigene Liste freier Adressen.
Anderer DHCP-Server antwortet: Der Client erhält eine Adresse, aber ein falsches Gateway oder falsche DNS-Server.
DHCP Relay wäre nötig: Der Client befindet sich nicht im direkt angeschlossenen Netz des Servers.
Statische Zuordnung greift nicht: Die eingetragene MAC-Adresse entspricht nicht der MAC-Adresse, die der Client tatsächlich verwendet.

Mit einem Paketmitschnitt auf port 67 or port 68 sieht man, ob ein Discover, Offer, Request und ACK ausgetauscht werden und welcher Server antwortet. Die Bedienung ist unter Packet Capture im Sophos Firewall WebAdmin verwenden beschrieben.

Erreicht ein Discover die Firewall, aber es folgt kein Offer, prüft man zusätzlich den Status von dhcpd und das Log dhcpd.log. Die passenden Befehle und Logpfade stehen unter Sophos Firewall Services und Logs per CLI prüfen.

Erhält der Client eine korrekte IP-Adresse, kann aber keine Namen auflösen, prüft man zuerst die per DHCP verteilten DNS-Adressen. Sind sie falsch oder fehlen sie, liegt der Fehler weiterhin in der DHCP-Konfiguration. Stimmen sie, folgen die interne Namensauflösung und der Netzwerkzugriff zum DNS-Server.

Bestehenden DHCP-Server ablösen

Bei einer Migration sollte man den neuen DHCP-Server nicht einfach zusätzlich aktivieren. Aktive Clients behalten ihre bisherige Lease; der neue Server kennt diese Vergaben nicht und könnte eine noch verwendete Adresse erneut anbieten.

Für einen kontrollierten Wechsel geht man so vor:

Bereich, Optionen, statische Zuordnungen und aktive Leases des bisherigen Servers dokumentieren.
Die Lease-Zeit auf dem alten Server frühzeitig verkürzen und warten, bis die aktiven Clients ihre Lease mit dem kürzeren Wert erneuert haben.
Den bisherigen Server stoppen und den neuen Server zunächst mit einem nicht überlappenden Übergangsbereich aktivieren.
Mehrere unterschiedliche Clients erneuern und Gateway, DNS sowie Erreichbarkeit prüfen.
Nachdem die alten Leases abgelaufen sind, den endgültigen Bereich aktivieren und die normale Lease-Zeit wiederherstellen.

Conflict detection ist bei einer Migration hilfreich, aber kein Ersatz für diese Planung. Die Funktion prüft eine Adresse vor der Vergabe, führt jedoch keine gemeinsame Lease-Datenbank mit dem alten Server.

Für einen sicheren Rückweg lässt man die dokumentierte alte Konfiguration wiederherstellbar. Falls der neue Server falsche Werte verteilt, wird er gestoppt, der bisherige Server kontrolliert wieder aktiviert und die Lease an mehreren Testclients erneut angefordert.

Spezielle Werte wie PXE-Bootserver, VoIP-Controller oder Vendor-Optionen müssen vor der Umschaltung separat verglichen werden. Sie gehören nicht automatisch zur normalen Verteilung von Adresse, Gateway und DNS.