Een DHCPv6-server op Sophos Firewall configureren en testen

Een DHCPv6-server op Sophos Firewall distribueert IPv6-adressen en netwerkparameters aan clients. De configuratie begint onder Network > DHCP > Add > IPv6. Anders dan bij DHCPv4 levert de server alleen echter geen volledig clientnetwerk: clients leren de standaard IPv6-gateway via Router Advertisement op Sophos Firewall, niet via DHCPv6.

Korte procedure: Controleer eerst het IPv6-prefix en Router Advertisement, kies daarna de interface en een dynamisch bereik in dezelfde /64, stel Preferred time lager in dan Valid time, kies DNS bewust en test met een echte client. Een statische toewijzing gebruikt de DUID van de client en niet simpelweg het MAC-adres.

⚠️ Sophos Firewall kan niet tegelijk een DHCPv6-server en DHCPv6-relay uitvoeren. Vóór activering moet duidelijk zijn welke dienst de omgeving verzorgt. Een IPv6-prefix of zichtbare lease bewijst bovendien geen standaardgateway, werkend DNS of toegestaan applicatieverkeer.

Router Advertisement en DHCPv6 scheiden

Bij IPv4 levert DHCP normaal gesproken het adres, subnetmasker en de standaardgateway samen. IPv6 verdeelt deze taken. Router Advertisement, kortweg RA, kondigt het prefix en de router aan. DHCPv6 kan een adres uit een beheerd bereik leveren, evenals DNS-servers en andere opties.

Daarom moeten drie lagen samenwerken:

• De interface heeft het geplande IPv6-prefix.
• Router Advertisement signaleert het geplande clientgedrag en levert de standaardrouter.
• DHCPv6 distribueert het passende leasebereik en de vereiste aanvullende waarden.

De bedrijfsmodus wordt niet alleen in het DHCPv6-venster gekozen, maar wordt bepaald door de RA-velden onder Network > IPv6 router advertisement:

• Stateless/SLAAC: Schakel Autonomous in voor het aangekondigde /64 en laat Managed flag uit. De client vormt zelf een adres. Als DHCPv6 alleen aanvullende waarden zoals DNS moet leveren, schakel dan ook Other flag in en zorg dat een bereikbare DHCPv6-server precies die waarden levert.
• Stateful DHCPv6: Schakel Managed flag in zodat de DHCPv6-server het adres toewijst. Default gateway blijft een RA-functie. Als de client uitsluitend het beheerde adres moet gebruiken, laat dan Autonomous uit; anders kan de client ook een SLAAC-adres vormen.
• Gemengd gebruik: Managed flag en Autonomous zijn beide ingeschakeld. Kies dit alleen als meerdere adressen per client de bedoeling zijn en het gedrag met elk gebruikt clientbesturingssysteem is getest.

Other flag levert zelf geen DNS of adres. De vlag vertelt de client alleen aanvullende parameters via DHCPv6 op te vragen. Ook Managed flag vereist een bereikbare DHCPv6-server. Schakel in alle drie de modellen Default gateway bewust in het RA-venster in en stel de tijd in seconden in als de firewall de standaardrouter moet zijn.

Als de provider een dynamisch prefix aan de firewall delegeert, begint de planning bij IPv6 Prefix Delegation op Sophos Firewall configureren. IPv6-ondersteuning van Sophos Firewall in SFOS 22 legt de algemene productgrenzen voor interfaces, routing, VPN, regels en DNS uit.

Het voorbeeldnetwerk plannen

De volgende procedure configureert een stateful DHCPv6-server die adressen toewijst. De optie DHCPv6 server op de interne interface onder Network > Interfaces > IPv6 configuration > Delegated heeft een ander doel: deze levert aanvullende parameters zoals DNS, maar geen IPv6-adressen. Bij SLAAC met stateless DHCPv6 wordt daarom geen adreslease verwacht en geldt dit dynamische bereik niet als succescriterium. Documenteer vóór wijzigingen de eerdere RA-status, DHCPv6- of relayrol en clientwaarden voor het terugdraaien.

Het volgende labnetwerk gebruikt het volgens RFC 3849 voor documentatie gereserveerde IPv6-bereik 2001:db8::/32. Deze waarden werken niet als productieadressen op internet en moeten worden vervangen door het werkelijke statische of gedelegeerde prefix:

• Clientinterface: VLAN20 - 2001:db8:20::1/64
• Dynamisch bereik: 2001:db8:20::100 tot 2001:db8:20::1ff
• Statische toewijzing: 2001:db8:20::20
• Interne DNS-server: 2001:db8:10::53
• Voorbeeldnaam: dhcpv6-vlan20-clients

De interface en het dynamische bereik bevinden zich in dezelfde /64. Bestaande statische adressen voor de firewall, servers en infrastructuur mogen niet binnen het dynamische bereik vallen. Inventariseer vóór activering bestaande Router Advertisements, DHCPv6-servers en relay-agents in het segment, zodat clients geen tegenstrijdige informatie ontvangen.

Voor een gecontroleerde pilot met een stabiel prefix zijn 720 minuten Preferred time en 1440 minuten Valid time een aanpasbaar tijdsvoorbeeld. Dit zijn geen SFOS-standaardwaarden: door de halve en hele dag blijven vernieuwing en verloop tijdens de pilot waarneembaar. Pas beide waarden in productie aan de geldigheid van het prefix, de afwezigheid van clients en de gewenste tijd voor hernummering aan; Preferred time moet altijd lager blijven dan Valid time.

De DHCPv6-server configureren

1. Klik onder Network > DHCP op Add en vervolgens op IPv6.
2. Voer dhcpv6-vlan20-clients in als Name.
3. Selecteer onder Interface VLAN20 - 2001:db8:20::1.
4. Laat Accept client request via relay uitgeschakeld voor rechtstreeks aangesloten clients.
5. Voeg onder Dynamic IP lease het bereik 2001:db8:20::100 tot 2001:db8:20::1ff toe.
6. Stel Preferred time en Valid time in volgens de levenscyclus van het prefix en de clients.
7. Voer als DNS server de geplande interne DNS-server in of kies bewust Use device’s DNS settings.
8. Voeg alleen vereiste DHCP options en statische DUID-toewijzingen toe.
9. Sla op met Save.

Gebruik voor DHCPv6 een interface die in SFOS door zowel DHCP als IPv6 wordt ondersteund: een fysieke interface met IPv6, een VLAN, een LAG of een bridge, maar geen interface-alias. De firewall luistert op de gekozen interface naar DHCP-aanvragen. Het gekozen bereik moet bij het clientsubnet passen. Voor clients achter een relay hoort het bereik bij het subnet van de relay-interface. Schakel Accept client request via relay alleen in wanneer de server werkelijk aanvragen van een gecontroleerde DHCPv6-relay-agent accepteert.

Volgens Sophos toont het DHCPv6-configuratiebestand geen wijziging wanneer Accept client request via relay wordt geselecteerd voor een DHCPv6-server op een fysieke interface met een gedelegeerd IPv6-prefix. Beoordeel dit speciale geval niet alleen aan de hand van het bestand; topologie, relaypad, lease en pakketstroom moeten samen kloppen.

Preferred time en Valid time begrijpen

Preferred time geeft in minuten aan hoelang een adres de voorkeursstatus voor nieuwe verbindingen behoudt. Daarna wordt het deprecated. Bestaande verbindingen mogen het blijven gebruiken, maar nieuwe verbindingen moeten een adres kiezen dat nog preferred is.

Valid time bepaalt hoelang het adres in totaal geldig blijft. Daarna mag de client het niet meer gebruiken. SFOS vereist daarom dat Preferred time lager is dan Valid time.

Er bestaat geen universele ideale waarde. Bij dynamisch gedelegeerde providerprefixen mogen DHCPv6-tijden niet veronderstellen dat het prefix gegarandeerd ongewijzigd blijft. Langere tijden kunnen nuttig zijn in stabiele interne netwerken. Migraties of vaak wisselende prefixen vragen kortere, maar operationeel nog realistische waarden en een gecontroleerde vernieuwingstest.

DNS bewust distribueren

Met Use device’s DNS settings geeft de firewall zijn geconfigureerde DNS-servers door aan de clients. Dit past alleen wanneer deze servers interne en externe namen voor het clientnetwerk correct kunnen oplossen. Als alternatief worden de werkelijke IPv6-adressen van de bedoelde DNS-servers ingevoerd.

Een geslaagde lease zonder werkende naamomzetting is geen volledig DHCPv6-succes. Na de adrescontrole volgt daarom een interne en een externe DNS-test. DNS Request Routes op Sophos Firewall configureren blijft relevant voor interne zones en Split DNS.

Eigen DHCPv6-opties beheren in Device Console

Device Console beheert een eigen DHCPv6-optie in twee stappen. De optie wordt eerst globaal gedefinieerd en daarna gekoppeld aan een DHCPv6-server die op naam is geselecteerd. Voor een wijziging tonen deze opdrachten de bestaande definities en de koppelingen van de doelserver:

system dhcpv6 dhcpv6-options list
system dhcpv6 dhcpv6-options binding show dhcpname <DHCPv6-servernaam>

De SFOS 22-help accepteert syntactisch waarden van 1 tot 65535 voor optioncode. Dit betekent niet dat elke code door SFOS wordt ondersteund of door de client wordt verwerkt. De bijbehorende Sophos-tabel vermeldt de codes 21, 22, 24 en 27 tot 34. Controleer daarom vóór het aanmaken samen de optiecode, het gegevenstype, de RFC en de clientondersteuning.

⚠️ De online help toont alleen een verkorte opdrachtgrammatica en legt de waarden en gegevenstypen die voor het aanmaken nodig zijn niet volledig uit. Gebruik op de betreffende firewall Tab-aanvulling na system dhcpv6 dhcpv6-options add en system dhcpv6 dhcpv6-options binding add. Neem een opdracht uit een andere SFOS-build niet blind over.

Voer na het koppelen opnieuw binding show uit en vernieuw daarna de lease op een testclient. De packet capture moet de verwachte optie met de juiste waarde in het serverantwoord tonen. Verwijder bij een rollback eerst de koppeling en pas daarna een globale definitie die niet meer wordt gebruikt. Omdat de door Sophos gepubliceerde verwijderingssyntax voor een koppeling alleen dhcpname noemt, wordt dit als een actie op serverniveau behandeld en nooit uitgevoerd zonder eerst de bestaande koppelingen vast te leggen.

Een statische DUID-toewijzing maken

DHCPv6 identificeert een client via de DHCP Unique Identifier, kortweg DUID. Onder Static IP DUID mapping wordt het IPv6-adres daarom toegewezen aan de werkelijke DUID van de client. Een van het chassis afgelezen MAC-adres is geen betrouwbare vervanging.

Laat de testclient eerst een dynamische lease ophalen en bepaal de DUID via de client, leaseweergave of packet capture. Voer daarna het statische adres 2001:db8:20::20 buiten het dynamische bereik in. Na een nieuwe leaseaanvraag moet precies deze client het geplande adres ontvangen.

Na een wijziging van het besturingssysteem, een nieuw gegenereerde DUID of het klonen van een systeem uit een template kan de toewijzing niet meer bij de client passen. Verbreed dan niet de firewallregel, maar controleer eerst de DUID die werkelijk wordt verzonden.

De lease en het datapad testen

Verbind na het opslaan een gecontroleerde client opnieuw met het geplande VLAN of vernieuw de IPv6-configuratie. Bij stateful DHCPv6 moet het verwachte adres bij de juiste client verschijnen onder Network > DHCP > IPv6 lease. Controleer bij SLAAC met stateless DHCPv6 in plaats daarvan het SLAAC-adres van de client en Information-request en Reply met de geplande aanvullende waarden in de packet capture; een ontbrekende DHCPv6-adreslease is in deze modus geen fout.

Test daarna elke laag afzonderlijk:

1. Bij stateful DHCPv6 ontvangt de client een adres uit het geplande bereik of het statische DUID-adres; bij SLAAC hoort het zelf gevormde adres bij het aangekondigde prefix.
2. De client heeft een standaard IPv6-gateway uit Router Advertisement.
3. De geplande DNS-servers zijn zichtbaar en zetten interne en externe namen om.
4. De client bereikt het firewalladres en een bewust gekozen IPv6-testdoel.
5. Log Viewer toont de verwachte IPv6-firewallregel voor het applicatieverkeer.
6. Een negatieve test bevestigt dat niet-toegestane IPv6-services geblokkeerd blijven.

Een IPv4-regel staat IPv6 niet automatisch toe. Plan de vereiste zonegebaseerde regels afzonderlijk en valideer ze met de Rule ID en echt verkeer. Sophos Firewall-regels configureren legt de procedure uit.

Geen lease of onvolledige IPv6-configuratie

De client ontvangt geen DHCPv6-adres

Vergelijk eerst het interfaceprefix, de DHCPv6-serverstatus en het dynamische bereik. Controleer daarna of de client in deze bedrijfsmodus een beheerd DHCPv6-adres aanvraagt en of in het segment een andere server of relay actief is.

Een packet capture met dit BPF-filter toont client- en serverberichten via UDP 546 en 547:

udp port 546 or udp port 547

Bij een normale stateful adrestoewijzing verzendt de client Solicit, antwoordt de server met Advertise en volgen Request en Reply. Met Rapid Commit kan stateful DHCPv6 in plaats daarvan direct op Solicit antwoorden met Reply. Stateless DHCPv6 gebruikt Information-request en Reply voor aanvullende waarden en maakt daarbij geen DHCPv6-lease aan. Clients ontvangen DHCPv6 op UDP-poort 546; servers en relay-agents op UDP-poort 547.

Zijn clientberichten zichtbaar maar volgt geen antwoord, controleer dan de serverconfiguratie en dhcpd6.log. Is helemaal geen clientbericht zichtbaar, dan zijn de RA-modus, het clientgedrag, het VLAN of het lokale netwerkpad waarschijnlijker. Packet Capture in Sophos Firewall WebAdmin gebruiken legt de capturevelden uit.

Controleer het RA-pad afzonderlijk om te zien of de client een Router Solicitation (ICMPv6-type 133) verzendt en de firewall met een Router Advertisement (type 134) antwoordt. radvd.log hoort bij de Router Advertisement-service en dhcpd6.log bij de DHCPv6-server. Zo wordt een ontbrekende RA niet ten onrechte behandeld door het leasebereik te wijzigen.

De client heeft een adres, maar geen standaardgateway

DHCPv6 distribueert geen standaardgateway. Dit symptoom leidt daarom rechtstreeks naar Router Advertisement, de interface en het clientsegment. Een tweede DHCPv6-server toevoegen of leasetijden wijzigen herstelt de ontbrekende routerinformatie niet.

DNS of opties ontbreken

Controleer eerst wat de client in zijn DHCPv6-bericht aanvraagt en wat de firewall werkelijk antwoordt. Controleer vervolgens gegevenstype, waarde en gebruikte DHCPv6-server. Een item uit DHCP-opties op Sophos Firewall mag niet blind van DHCPv4 naar DHCPv6 worden gekopieerd; optiecode, RFC en clientondersteuning moeten bij DHCPv6 passen.

Het statische adres wordt niet toegewezen

Vergelijk de verzonden DUID met Static IP DUID mapping. Als deze niet overeenkomen, kan de firewall de toewijzing niet toepassen. Als ze wel overeenkomen, controleer dan het adresbereik, dubbele servers en de nieuwe leaseaanvraag.

Relay en server conflicteren

Een DHCPv6-server en DHCPv6-relay kunnen niet tegelijk actief zijn op Sophos Firewall. Als een centrale externe server is bedoeld, mag de lokale DHCPv6-server niet parallel als vermeende fallback worden gebruikt. DHCP Relay op Sophos Firewall configureren legt het relaypad uit.

Het bestand dhcpd6.log en andere netwerklogs staan beschreven in Sophos Firewall-services en logs via CLI controleren. Eén logitem vervangt de leaseweergave, packet capture en clienttest niet.

De wijziging terugdraaien

Documenteer vóór productieactivering de eerdere RA-status, DHCPv6- of relayrol en bestaande clientconfiguratie. Schakel voor de rollback eerst alleen de nieuwe DHCPv6-server uit, zet RA-instellingen die tijdens de implementatie zijn gewijzigd terug naar de gedocumenteerde waarden en herstel de eerdere relay- of adresseringslogica. Zo blijft de serverconfiguratie beschikbaar voor controle of heractivering.

Vernieuw daarna de clientconfiguratie en test adres, standaardgateway, DNS en een echt IPv6-datapad opnieuw. Verwijder de uitgeschakelde server pas wanneer de eerdere situatie stabiel werkt en de nieuwe configuratie niet meer nodig is. Laat de oude en nieuwe servers tijdens dit proces niet ongecoördineerd tegelijk actief zijn.

Veelgestelde vragen