Een DHCPv6-server op Sophos Firewall configureren en testen

Een DHCPv6-server op Sophos Firewall distribueert IPv6-adressen en netwerkparameters aan clients. De configuratie begint onder Network > DHCP > Add > IPv6. Anders dan bij DHCPv4 levert de server alleen echter geen volledig clientnetwerk: clients leren de standaard IPv6-gateway via Router Advertisement op Sophos Firewall, niet via DHCPv6.

Korte procedure: Controleer eerst het IPv6-prefix en Router Advertisement, kies daarna de interface en een dynamisch bereik in dezelfde /64, stel Preferred time lager in dan Valid time, kies DNS bewust en test met een echte client. Een statische toewijzing gebruikt de DUID van de client en niet simpelweg het MAC-adres.

⚠️ Sophos Firewall kan niet tegelijk een DHCPv6-server en DHCPv6-relay uitvoeren. Vóór activering moet duidelijk zijn welke dienst de omgeving verzorgt. Een IPv6-prefix of zichtbare lease bewijst bovendien geen standaardgateway, werkend DNS of toegestaan applicatieverkeer.

Router Advertisement en DHCPv6 scheiden

Bij IPv4 levert DHCP normaal gesproken het adres, subnetmasker en de standaardgateway samen. IPv6 verdeelt deze taken. Router Advertisement, kortweg RA, kondigt het prefix en de router aan. DHCPv6 kan een adres uit een beheerd bereik leveren, evenals DNS-servers en andere opties.

Daarom moeten drie lagen samenwerken:

• De interface heeft het geplande IPv6-prefix.
• Router Advertisement signaleert het geplande clientgedrag en levert de standaardrouter.
• DHCPv6 distribueert het passende leasebereik en de vereiste aanvullende waarden.

Als de provider een dynamisch prefix aan de firewall delegeert, begint de planning bij IPv6 Prefix Delegation op Sophos Firewall configureren. IPv6-ondersteuning van Sophos Firewall in SFOS 22 legt de algemene productgrenzen voor interfaces, routing, VPN, regels en DNS uit.

Het voorbeeldnetwerk plannen

Het volgende labnetwerk gebruikt het voor documentatie gereserveerde IPv6-bereik 2001:db8::/32. Deze waarden werken niet als productieadressen op internet en moeten worden vervangen door het werkelijke statische of gedelegeerde prefix:

• Clientinterface: VLAN20 - 2001:db8:20::1/64
• Dynamisch bereik: 2001:db8:20::100 tot 2001:db8:20::1ff
• Statische toewijzing: 2001:db8:20::20
• Interne DNS-server: 2001:db8:10::53
• Voorbeeldnaam: dhcpv6-vlan20-clients

De interface en het dynamische bereik bevinden zich in dezelfde /64. Bestaande statische adressen voor de firewall, servers en infrastructuur mogen niet binnen het dynamische bereik vallen. Inventariseer vóór activering bestaande Router Advertisements, DHCPv6-servers en relay-agents in het segment, zodat clients geen tegenstrijdige informatie ontvangen.

De DHCPv6-server configureren

1. Klik onder Network > DHCP op Add en vervolgens op IPv6.
2. Voer dhcpv6-vlan20-clients in als Name.
3. Selecteer onder Interface VLAN20 - 2001:db8:20::1.
4. Laat Accept client request via relay uitgeschakeld voor rechtstreeks aangesloten clients.
5. Voeg onder Dynamic IP lease het bereik 2001:db8:20::100 tot 2001:db8:20::1ff toe.
6. Stel Preferred time en Valid time in volgens de levenscyclus van het prefix en de clients.
7. Voer als DNS server de geplande interne DNS-server in of kies bewust Use device’s DNS settings.
8. Voeg alleen vereiste DHCP options en statische DUID-toewijzingen toe.
9. Sla op met Save.

Het gekozen bereik moet bij het clientsubnet passen. Voor clients achter een relay hoort het bereik bij het subnet van de relay-interface. Schakel Accept client request via relay alleen in wanneer de server werkelijk aanvragen van een gecontroleerde DHCPv6-relay-agent accepteert.

Volgens Sophos toont het DHCPv6-configuratiebestand geen wijziging wanneer Accept client request via relay wordt geselecteerd voor een DHCPv6-server op een fysieke interface met een gedelegeerd IPv6-prefix. Beoordeel dit speciale geval niet alleen aan de hand van het bestand; topologie, relaypad, lease en pakketstroom moeten samen kloppen.

Preferred time en Valid time begrijpen

Preferred time geeft in minuten aan hoelang een adres de voorkeursstatus voor nieuwe verbindingen behoudt. Daarna wordt het deprecated. Bestaande verbindingen mogen het blijven gebruiken, maar nieuwe verbindingen moeten een adres kiezen dat nog preferred is.

Valid time bepaalt hoelang het adres in totaal geldig blijft. Daarna mag de client het niet meer gebruiken. SFOS vereist daarom dat Preferred time lager is dan Valid time.

Er bestaat geen universele ideale waarde. Bij dynamisch gedelegeerde providerprefixen mogen DHCPv6-tijden niet veronderstellen dat het prefix gegarandeerd ongewijzigd blijft. Langere tijden kunnen nuttig zijn in stabiele interne netwerken. Migraties of vaak wisselende prefixen vragen kortere, maar operationeel nog realistische waarden en een gecontroleerde vernieuwingstest.

DNS bewust distribueren

Met Use device’s DNS settings geeft de firewall zijn geconfigureerde DNS-servers door aan de clients. Dit past alleen wanneer deze servers interne en externe namen voor het clientnetwerk correct kunnen oplossen. Als alternatief worden de werkelijke IPv6-adressen van de bedoelde DNS-servers ingevoerd.

Een geslaagde lease zonder werkende naamomzetting is geen volledig DHCPv6-succes. Na de adrescontrole volgt daarom een interne en een externe DNS-test. DNS Request Routes op Sophos Firewall configureren blijft relevant voor interne zones en Split DNS.

Eigen DHCPv6-opties beheren in Device Console

Device Console beheert een eigen DHCPv6-optie in twee stappen. De optie wordt eerst globaal gedefinieerd en daarna gekoppeld aan een DHCPv6-server die op naam is geselecteerd. Voor een wijziging tonen deze opdrachten de bestaande definities en de koppelingen van de doelserver:

system dhcpv6 dhcpv6-options list
system dhcpv6 dhcpv6-options binding show dhcpname <DHCPv6-servernaam>

De SFOS 22-help accepteert syntactisch waarden van 1 tot 65535 voor optioncode. Dit betekent niet dat elke code door SFOS wordt ondersteund of door de client wordt verwerkt. De bijbehorende Sophos-tabel vermeldt de codes 21, 22, 24 en 27 tot 34. Controleer daarom vóór het aanmaken samen de optiecode, het gegevenstype, de RFC en de clientondersteuning.

⚠️ De online help toont alleen een verkorte opdrachtgrammatica en legt de waarden en gegevenstypen die voor het aanmaken nodig zijn niet volledig uit. Gebruik op de betreffende firewall Tab-aanvulling na system dhcpv6 dhcpv6-options add en system dhcpv6 dhcpv6-options binding add. Neem een opdracht uit een andere SFOS-build niet blind over.

Voer na het koppelen opnieuw binding show uit en vernieuw daarna de lease op een testclient. De packet capture moet de verwachte optie met de juiste waarde in het serverantwoord tonen. Verwijder bij een rollback eerst de koppeling en pas daarna een globale definitie die niet meer wordt gebruikt. Omdat de door Sophos gepubliceerde verwijderingssyntax voor een koppeling alleen dhcpname noemt, wordt dit als een actie op serverniveau behandeld en nooit uitgevoerd zonder eerst de bestaande koppelingen vast te leggen.

Een statische DUID-toewijzing maken

DHCPv6 identificeert een client via de DHCP Unique Identifier, kortweg DUID. Onder Static IP DUID mapping wordt het IPv6-adres daarom toegewezen aan de werkelijke DUID van de client. Een van het chassis afgelezen MAC-adres is geen betrouwbare vervanging.

Laat de testclient eerst een dynamische lease ophalen en bepaal de DUID via de client, leaseweergave of packet capture. Voer daarna het statische adres 2001:db8:20::20 buiten het dynamische bereik in. Na een nieuwe leaseaanvraag moet precies deze client het geplande adres ontvangen.

Na een wijziging van het besturingssysteem, een nieuw gegenereerde DUID of het klonen van een systeem uit een template kan de toewijzing niet meer bij de client passen. Verbreed dan niet de firewallregel, maar controleer eerst de DUID die werkelijk wordt verzonden.

De lease en het datapad testen

Verbind na het opslaan een gecontroleerde client opnieuw met het geplande VLAN of vernieuw de IPv6-configuratie. Onder Network > DHCP > IPv6 lease moet het verwachte adres bij de juiste client verschijnen.

Test daarna elke laag afzonderlijk:

1. De client ontvangt een adres uit het geplande bereik of het statische DUID-adres.
2. De client heeft een standaard IPv6-gateway uit Router Advertisement.
3. De geplande DNS-servers zijn zichtbaar en zetten interne en externe namen om.
4. De client bereikt het firewalladres en een bewust gekozen IPv6-testdoel.
5. Log Viewer toont de verwachte IPv6-firewallregel voor het applicatieverkeer.
6. Een negatieve test bevestigt dat niet-toegestane IPv6-services geblokkeerd blijven.

Een IPv4-regel staat IPv6 niet automatisch toe. Plan de vereiste zonegebaseerde regels afzonderlijk en valideer ze met de Rule ID en echt verkeer. Sophos Firewall-regels configureren legt de procedure uit.

Geen lease of onvolledige IPv6-configuratie

De client ontvangt geen DHCPv6-adres

Vergelijk eerst het interfaceprefix, de DHCPv6-serverstatus en het dynamische bereik. Controleer daarna of de client in deze bedrijfsmodus een beheerd DHCPv6-adres aanvraagt en of in het segment een andere server of relay actief is.

Een packet capture met dit BPF-filter toont client- en serverberichten via UDP 546 en 547:

udp port 546 or udp port 547

Zijn clientberichten zichtbaar maar volgt geen antwoord, controleer dan de serverconfiguratie en dhcpd6.log. Is helemaal geen clientbericht zichtbaar, dan zijn de RA-modus, het clientgedrag, het VLAN of het lokale netwerkpad waarschijnlijker. Packet Capture in Sophos Firewall WebAdmin gebruiken legt de capturevelden uit.

De client heeft een adres, maar geen standaardgateway

DHCPv6 distribueert geen standaardgateway. Dit symptoom leidt daarom rechtstreeks naar Router Advertisement, de interface en het clientsegment. Een tweede DHCPv6-server toevoegen of leasetijden wijzigen herstelt de ontbrekende routerinformatie niet.

DNS of opties ontbreken

Controleer eerst wat de client in zijn DHCPv6-bericht aanvraagt en wat de firewall werkelijk antwoordt. Controleer vervolgens gegevenstype, waarde en gebruikte DHCPv6-server. Een item uit DHCP-opties op Sophos Firewall mag niet blind van DHCPv4 naar DHCPv6 worden gekopieerd; optiecode, RFC en clientondersteuning moeten bij DHCPv6 passen.

Het statische adres wordt niet toegewezen

Vergelijk de verzonden DUID met Static IP DUID mapping. Als deze niet overeenkomen, kan de firewall de toewijzing niet toepassen. Als ze wel overeenkomen, controleer dan het adresbereik, dubbele servers en de nieuwe leaseaanvraag.

Relay en server conflicteren

Een DHCPv6-server en DHCPv6-relay kunnen niet tegelijk actief zijn op Sophos Firewall. Als een centrale externe server is bedoeld, mag de lokale DHCPv6-server niet parallel als vermeende fallback worden gebruikt. DHCP Relay op Sophos Firewall configureren legt het relaypad uit.

Het bestand dhcpd6.log en andere netwerklogs staan beschreven in Sophos Firewall-services en logs via CLI controleren. Eén logitem vervangt de leaseweergave, packet capture en clienttest niet.

De wijziging terugdraaien

Documenteer vóór productieactivering de eerdere RA-status, DHCPv6- of relayrol en bestaande clientconfiguratie. Voor de rollback wordt de nieuwe DHCPv6-server uitgeschakeld of verwijderd, wordt de eerdere relay- of adresseringslogica hersteld en wordt een nieuwe clientverbinding opgebouwd.

Test daarna adres, standaardgateway, DNS en een echt IPv6-datapad opnieuw. Laat de oude en nieuwe servers niet ongecoördineerd parallel actief om de rollback alleen eenvoudiger te laten lijken.

Veelgestelde vragen