Sophos Firewall als DHCP-server configureren

Sophos Firewall kan IPv4-adressen, de gateway, DNS-servers en andere netwerkinstellingen rechtstreeks aan clients distribueren. Maak hiervoor onder Network > DHCP een server voor de clientinterface aan, definieer het adresbereik en controleer daarna of de client een passende lease ontvangt.

Korte procedure: Open Network > DHCP > Server > Add, selecteer de interface en het adresbereik, gebruik het IP-adres van de interface als gateway, kies de DNS-instellingen bewust en sla de configuratie op. Controleer vervolgens onder System services > Services de service DHCP server en verifieer het toegewezen adres onder IPv4 lease.

Deze handleiding behandelt een DHCPv4-server voor clients in een rechtstreeks aangesloten netwerk. Als een centrale DHCP-server een ander subnet moet bedienen, is DHCP Relay op Sophos Firewall configureren en testen van toepassing. PXE, VoIP en leveranciersspecifieke waarden worden beschreven in DHCP-opties op Sophos Firewall configureren.

Voorbeeld en adresplanning

Het voorbeeld gebruikt een client-VLAN met de volgende waarden:

Interface: VLAN20 - 10.20.0.1/24
Dynamisch bereik: 10.20.0.100 tot 10.20.0.199
Gateway: 10.20.0.1
Statische toewijzing voor een printer: 10.20.0.20
Interne DNS-servers: 10.10.0.10 en 10.10.0.11
Domain Name: corp.example

Het dynamische bereik bevindt zich binnen het netwerk van de interface, maar bevat niet het netwerkadres, broadcastadres of de gateway. In dit voorbeeld blijven de adressen onder 10.20.0.100 gereserveerd voor infrastructuur en statische toewijzingen. Daardoor distribueert dit DHCP-bereik de gereserveerde adressen niet ook dynamisch. Deze scheiding voorkomt echter niet dat hetzelfde IP-adres handmatig op een ander apparaat wordt ingesteld.

Controleer vóór het activeren welke adressen al worden gebruikt door switches, accesspoints, printers of servers. Als in hetzelfde VLAN nog een andere DHCP-server actief is, moet eerst worden bepaald welke server voortaan verantwoordelijk is. Twee ongecoördineerde servers kunnen verschillende gateways of DNS-servers distribueren en wisselende foutbeelden veroorzaken.

De interface zelf moet al het juiste statische IP-adres hebben. Een VLAN-interface op Sophos Firewall configureren legt uit hoe interface, zone en VLAN samenwerken.

De DHCP-server configureren

Open Network > DHCP.
Klik onder Server op Add.
Voer een eenduidige naam in, zoals dhcp-vlan20-clients.
Selecteer onder Interface de clientinterface VLAN20 - 10.20.0.1.
Voeg onder Dynamic IP lease het bereik 10.20.0.100 tot 10.20.0.199 toe.
Gebruik het IP-adres van de interface 10.20.0.1 als Gateway.
Stel de DNS-servers, Domain Name en leasetijden passend bij het netwerk in.
Voeg indien nodig statische MAC-IP-toewijzingen toe.
Sla op met Save.

De geselecteerde interface bepaalt in welk netwerk de firewall op DHCP-aanvragen antwoordt. Het dynamische bereik moet daarom bij het subnet van deze interface passen. DHCP-servers zijn mogelijk op fysieke interfaces en op VLAN-, Wireless- en Bridge-interfaces, maar niet op een Interface Alias. Op een interface die al voor DHCP Relay wordt gebruikt, kan niet tegelijkertijd een DHCPv4-server worden geconfigureerd.

De juiste gateway en DNS kiezen

Voor een normaal clientnetwerk is het IP-adres van Sophos Firewall op deze interface de gateway. In het voorbeeld ontvangen de clients daarom 10.20.0.1.

Met Use device’s DNS settings distribueert de firewall zijn geconfigureerde DNS-servers aan de clients. Dit is geschikt als deze servers zowel openbare als vereiste interne namen kunnen omzetten. In een AD-omgeving worden doorgaans de interne DNS-servers opgegeven, zodat domeincontrollers, interne services en zoekdomeinen betrouwbaar werken. Openbare resolvers alleen zijn hiervoor meestal niet voldoende.

Als clients het IP-adres van de firewall als DNS-server ontvangen, kan Sophos Firewall aanvragen voor specifieke interne zones doorsturen naar de verantwoordelijke servers. Dit scenario wordt beschreven in DNS Request Routes op Sophos Firewall configureren. Als DHCP daarentegen rechtstreeks de adressen van andere DNS-servers distribueert, bereiken de aanvragen van de clients de Request Routes van de firewall niet.

Passende leasetijden instellen

Default lease time is de reguliere leasetijd die aan de client wordt verstrekt. Max lease time is de bovengrens; na het verstrijken daarvan moet de client een nieuwe aanvraag naar de DHCP-server sturen. Beide waarden worden in minuten opgegeven.

Langere leases zijn zinvol in stabiele kantoor- of apparaatnetwerken, omdat de clients daar zelden veranderen. In gast-, trainings- of sterk wisselende draadloze netwerken voorkomt een kortere lease dat apparaten die niet meer verbonden zijn het bereik lang bezet houden.

Zeer korte leases veroorzaken daarentegen onnodig veel vernieuwingen. Er bestaat daarom geen algemeen ideale waarde; bepalend zijn de grootte van het bereik en hoe vaak de clients veranderen.

Conflict detection controleert een adres voordat het wordt toegewezen en helpt IP-adressen te herkennen die al in gebruik zijn. De functie is vooral nuttig als er nog handmatig geconfigureerde apparaten of een oudere, niet volledig gedocumenteerde adressering aanwezig zijn.

Een statische IP-MAC-toewijzing maken

Een statische toewijzing zorgt ervoor dat een bepaald apparaat via DHCP altijd hetzelfde adres ontvangt. Dit is zinvol voor printers, accesspoints of andere apparaten die bereikbaar moeten blijven, maar nog steeds centraal geconfigureerde waarden zoals gateway en DNS moeten ontvangen.

Voer onder Static IP MAC mapping de hostnaam, het MAC-adres en het gewenste IP-adres in. In het voorbeeld ontvangt de printer met zijn werkelijke MAC-adres altijd 10.20.0.20. Dit adres ligt bewust buiten het dynamische bereik.

Een DHCP-toewijzing is niet hetzelfde als een IP-adres dat handmatig op het apparaat is geconfigureerd: het apparaat blijft een DHCP-client, maar de firewall reserveert de passende lease. Als een notebook of smartphone een privé- of willekeurig draadloos MAC-adres gebruikt, moet de toewijzing overeenkomen met het MAC-adres dat het apparaat daadwerkelijk in dit draadloze netwerk gebruikt.

Alleen wanneer hetzelfde MAC-adres in meerdere DHCP-serverconfiguraties wordt gekoppeld, vereist Sophos een globale toewijzing. Voer hiervoor na de SSH-aanmelding deze twee opdrachten uit in de Device Console:

system dhcp conf-generation-method new
system dhcp static-entry-scope global

De instelling geldt voor alle DHCP-serverconfiguraties. Voor normale, eenmalige toewijzingen is deze niet nodig en daarom moet de instelling alleen voor dit scenario met meerdere scopes worden gewijzigd.

De service controleren en de lease testen

Controleer na het opslaan onder System services > Services of DHCP server actief is. Als de service is gestopt, start deze dan daar.

Verbind vervolgens een gecontroleerde testclient met het juiste VLAN. In Windows kan als volgt een nieuwe lease worden aangevraagd en gecontroleerd:

ipconfig /release
ipconfig /renew
ipconfig /all

⚠️ ipconfig /release verbreekt de huidige IPv4-verbinding. Voer de opdracht niet via precies deze externe verbinding uit als er geen alternatieve toegang beschikbaar is.

De client moet een adres van 10.20.0.100 tot 10.20.0.199, de gateway 10.20.0.1 en de geplande DNS-servers ontvangen. Onder Network > DHCP > IPv4 lease toont de firewall het toegewezen adres met begin- en eindtijd, MAC-adres en hostnaam.

Minimaal moeten de volgende controles slagen:

De client ontvangt een adres uit het juiste bereik.
Gateway en DNS-servers komen overeen met de planning.
De gateway is bereikbaar.
Interne en externe namen worden omgezet.
De client kan alleen de netwerken en services bereiken die door zijn firewallregel zijn toegestaan.

Geen of een onjuist adres ontvangen

Als de client geen lease ontvangt, controleer dan eerst de interface, het VLAN en de servicestatus. De volgende fouten komen bijzonder vaak voor:

Onjuiste interface: De DHCP-server is niet aan de interface van het clientnetwerk toegewezen.
Het VLAN bereikt de firewall niet: De switch-uplink staat het getagde VLAN niet toe of de clientpoort is onjuist toegewezen.
Het adresbereik past niet: Het begin- of eindadres ligt buiten het subnet van de interface.
Het bereik is uitgeput: Vergelijk het aantal en de duur van de bezette leases met de grootte van het geconfigureerde bereik. De leaselijst toont toegewezen adressen, maar geen afzonderlijke lijst met vrije adressen.
Een andere DHCP-server antwoordt: De client ontvangt een adres, maar een onjuiste gateway of onjuiste DNS-servers.
DHCP Relay is vereist: De client bevindt zich niet in het rechtstreeks aangesloten netwerk van de server.
De statische toewijzing wordt niet toegepast: Het ingevoerde MAC-adres komt niet overeen met het MAC-adres dat de client daadwerkelijk gebruikt.

Met een packet capture met het filter port 67 or port 68 is te zien of Discover, Offer, Request en ACK worden uitgewisseld en welke server antwoordt. Packet Capture in Sophos Firewall WebAdmin gebruiken beschrijft de bediening.

Als een Discover de firewall bereikt maar er geen Offer volgt, controleer dan ook de status van dhcpd en het logbestand dhcpd.log. De passende opdrachten en logpaden staan in Sophos Firewall-services en -logs via de CLI controleren.

Als de client een correct IP-adres ontvangt, maar geen namen kan omzetten, controleer dan eerst de DNS-adressen die via DHCP zijn gedistribueerd. Als deze onjuist zijn of ontbreken, ligt de fout nog steeds in de DHCP-configuratie. Als ze correct zijn, controleer dan vervolgens de interne naamomzetting en de netwerktoegang tot de DNS-server.

Een bestaande DHCP-server vervangen

Activeer bij een migratie de nieuwe DHCP-server niet zomaar naast de oude. Actieve clients behouden hun bestaande lease; de nieuwe server kent deze toewijzingen niet en kan een adres aanbieden dat nog in gebruik is.

Ga voor een gecontroleerde omschakeling als volgt te werk:

Documenteer het bereik, de opties, statische toewijzingen en actieve leases van de bestaande server.
Verkort de leasetijd op de oude server ruim van tevoren en wacht totdat de actieve clients hun lease met de kortere waarde hebben vernieuwd.
Stop de bestaande server en activeer de nieuwe server eerst met een tijdelijk bereik dat niet overlapt.
Vernieuw de leases op meerdere verschillende clients en controleer de gateway, DNS en bereikbaarheid.
Activeer het definitieve bereik nadat de oude leases zijn verlopen en herstel de normale leasetijd.

Conflict detection is nuttig bij een migratie, maar vervangt deze planning niet. De functie controleert een adres voordat het wordt toegewezen, maar houdt geen gedeelde leasedatabase bij met de oude server.

Houd voor een veilige terugval de gedocumenteerde oude configuratie beschikbaar voor herstel. Als de nieuwe server onjuiste waarden distribueert, stop deze dan, activeer de vorige server gecontroleerd opnieuw en vraag op meerdere testclients nieuwe leases aan.

Speciale waarden zoals PXE-bootservers, VoIP-controllers of leveranciersopties moeten vóór de omschakeling afzonderlijk worden vergeleken. Ze maken niet automatisch deel uit van de normale distributie van adres, gateway en DNS.