IPv6 Prefix Delegation configureren op Sophos Firewall

Met IPv6 Prefix Delegation kan een Sophos Firewall een IPv6-prefix van de provider verkrijgen en daarmee interne netwerken bedienen. Dit is vooral relevant wanneer de internetverbinding geen vast statisch IPv6-netwerk levert, maar de provider het prefix via DHCPv6 delegeert.

De snelle route bestaat uit drie delen: selecteer op de WAN-interface DHCP > Manual > DHCP only en schakel DHCP prefix delegation in. Selecteer op de interne interface Delegated, kies de WAN als Upstream interface en schakel Router advertisement in. Controleer daarna het werkelijk toegewezen prefix, de clientadressering en het toegestane testverkeer.

In IPv4-omgevingen denkt men vaak in NAT, privé-netwerken en poortdoorschakelingen. Bij IPv6 is dat anders: clients kunnen openbare IPv6-adressen ontvangen, en de firewall beheert de toegang via routing, Router Advertisement, DHCPv6-parameters en firewallregels. Daarom moet Prefix Delegation bewust worden gepland en niet alleen als extra interface-optie worden geactiveerd.

Vóór het ontwerp laat IPv6-ondersteuning en beperkingen in Sophos Firewall met SFOS 22 zien welke interface-, routing-, VPN-, regel-, DNS-, update- en certificaatfuncties IPv6 daadwerkelijk ondersteunen. Prefix Delegation lost alleen de adressering op en vervangt deze end-to-end-controle niet.

Voor de basisprincipes van interfaces, zones en VLAN’s is het eerst handig om Sophos Firewall zones en interfaces configureren te bekijken. Als het alleen gaat om klassieke DHCP-opties voor IPv4-bijzondere gevallen, is Sophos Firewall DHCP-opties (SFOS) het betere artikel.

Wanneer Prefix Delegation zinvol is

Prefix Delegation is zinvol wanneer de provider een IPv6-prefix dynamisch via de WAN-verbinding levert en de Sophos Firewall dit prefix aan interne netwerken moet verdelen.

Typische scenario’s:

• Dual-stack internetverbinding met IPv4 en IPv6.
• De provider levert een IPv6-prefix via DHCPv6 Prefix Delegation.
• Interne clients moeten IPv6 native gebruiken.
• Meerdere interne netwerken, zoals LAN, server, gasten of DMZ, moeten IPv6 ontvangen.
• DNS, logging en firewallregels moeten bewust rekening houden met IPv6.

Niet elk netwerk heeft onmiddellijk IPv6 nodig. Maar als IPv6 op clients actief is, moet het netjes worden gecontroleerd via firewall, regels en logs. Een half geconfigureerde IPv6-setup kan anders ertoe leiden dat clients IPv6 verkiezen, maar fouten worden gezocht in IPv4-probleemoplossing.

Vereisten

Voor de configuratie moet men deze punten verduidelijken:

• De provider ondersteunt IPv6 Prefix Delegation op de verbinding.
• De WAN-interface gebruikt geen PPPoE: Prefix Delegation via PPPoE is niet ondersteund. Sophos Firewall ondersteunt evenmin PPPoE over IPv6.
• Het WAN- en interfaceontwerp houdt rekening met bestaande VLAN’s en LAG’s.
• De interne zones en firewallregels zijn gepland.
• Het is duidelijk of clients alleen SLAAC moeten gebruiken of ook DHCPv6-parameters nodig hebben.
• DNS-concept en loganalyse houden rekening met IPv6.

⚠️ Sophos Firewall ondersteunt geen PPPoE over IPv6; Prefix Delegation is niet mogelijk via PPPoE. Voor VLAN’s bevatten de Sophos-handleidingen voor SFOS 22 en 23 verschillende uitspraken: de Prefix Delegation-handleiding sluit Prefix Delegation uit op elke interface waarop een VLAN is geconfigureerd. Los daarvan verbiedt de handleiding voor fysieke interfaces het wijzigen van de toewijzingsmethode van zo’n parent-interface van Static naar DHCP of Delegated. De VLAN-handleiding beschrijft echter uitdrukkelijk DHCP prefix delegation en Delegated op VLAN-interfaces. De brede PD-beperking kan op basis daarvan niet worden teruggebracht tot alleen het wijzigen van de toewijzingsmethode van de parent-interface. Beoordeel VLAN-ontwerpen daarom aan de hand van het werkelijke upstream-, parent- en providerpad; de gedocumenteerde VLAN-opties betekenen niet dat elke topologie zonder meer wordt ondersteund. LAG-interfaces ondersteunen geen DHCP Prefix Delegation.

Doelbeeld begrijpen

Bij Prefix Delegation gebeuren er meerdere dingen achter elkaar:

1. De firewall vraagt op de WAN-interface een IPv6-adres en een gedelegeerd prefix van de provider aan.
2. De provider wijst de WAN-interface een IPv6-adres en de firewall een prefix toe.
3. De firewall delegeert uit dit prefix een IPv6-netwerk aan een interne interface, bijvoorbeeld LAN of DMZ.
4. De interne interface verspreidt IPv6-informatie aan clients via Router Advertisement.
5. Optioneel levert een DHCPv6-server aanvullende parameters, zoals DNS-servers.

Belangrijk is de rolverdeling: Router Advertisement zorgt ervoor dat clients hun IPv6-prefix en het standaard gateway leren. DHCPv6 kan aanvullende informatie leveren. Firewallregels beslissen nog steeds welk verkeer is toegestaan.

WAN-interface voorbereiden

De eerste stap is de WAN-interface. Hier vraagt de Sophos Firewall het IPv6-prefix van de provider aan.

IPv6-toewijzing en ontvangstmodus kiezen

Op fysieke interfaces zijn onder IPv6 configuration de volgende methoden beschikbaar:

• WAN: Static of DHCP.
• Intern: Static, DHCP of Delegated.

Met Static stelt men het IPv6-adres, prefix, Gateway name en Gateway IP address handmatig in. De combinatie DHCP op WAN en Delegated intern is de Prefix Delegation-route van dit artikel, niet de volledige lijst van IPv6-toewijzingsmethoden.

Bij DHCP bepaalt Mode hoe de firewallinterface zelf een adres ontvangt:

• Auto wijst het interfaceadres automatisch toe volgens de gebruikte configuratiemethode: DHCP only of Stateless.
• Manual laat men expliciet DHCP only of Stateless kiezen. Met DHCP only past de firewall zowel het adres als de overige door de DHCPv6-server geleverde parameters toe op de firewallinterface.
• Met Manual > Stateless configureert de firewall zijn eigen interfaceadres via Stateless Address Auto-Configuration (SLAAC), volgens de Managed (M) Address Configuration- en Other (O) Configuration-vlaggen in het ontvangen Router Advertisement. Met Accept other configuration from DHCP kan men overige parameters via DHCPv6 ontvangen.

Dit is de ontvangstkant van de firewallinterface. Het is een andere rol dan Router advertisement op een interne interface, waarbij de firewall zelf RA-berichten naar endpointclients verstuurt. Bij Manual > Stateless kan men geen Gateway IP address instellen. De gateway-instructie hieronder hoort bij de gekozen Manual > DHCP only-route.

Menupad:

Network > Interfaces

Stappen:

1. Bewerk de betreffende WAN-interface.
2. Open IPv6 configuration.
3. Selecteer DHCP.
4. Selecteer Manual.
5. Activeer DHCP only.
6. Schakel DHCP prefix delegation in.
7. Optioneel Preferred delegated prefix configureren, als de provider en het eigen netwerkontwerp dat toestaan. Op een fysieke WAN-interface kan de prefixlengte tussen /48 en /64 liggen; op een WAN-VLAN zijn /48, /52, /56 en /60 beschikbaar.
8. Activeer DHCP rapid commit optioneel, maar alleen als Rapid Commit ook op de DHCPv6-server van de provider is ingeschakeld. Alleen ondersteuning door de server is niet voldoende. Deze optie gebruikt twee berichten (Solicit, Reply) in plaats van vier (Solicit, Advertise, Request, Reply) en maakt de configuratie sneller.
9. Vul voor deze Manual > DHCP only-configuratie Gateway name en Gateway IP address in met de waarden voor de providerverbinding. Op een WAN-VLAN toont Gateway IP daarentegen het geconfigureerde gatewayadres.
10. Klik op Save en daarna op Update interface.

Bij Preferred delegated prefix is het prefixadres optioneel, maar de prefixlengte verplicht. De provider kan het verzoek honoreren of een ander prefix delegeren. Als het gevraagde adres of de lengte later wordt gewijzigd, werkt de firewall het verzoek pas bij nadat de DHCP-lease is verwijderd of de WAN-interface is ontkoppeld. Plan deze onderbreking in plaats van de wijziging tijdens normaal bedrijf alleen op te slaan.

In de praktijk moet men hier eerst met de provider overleggen:

• Welke prefixlengte wordt gedelegeerd, bijvoorbeeld /56, /60 of /64?
• Is het prefix stabiel of kan het veranderen?
• Moet een specifieke waarde worden aangevraagd?
• Zijn er beperkingen bij bridge-, PPPoE- of router-modem-opstellingen?

Intern interface configureren

Na de WAN-interface wordt een interne interface voorzien van het gedelegeerde prefix.

Menupad:

Network > Interfaces

Stappen:

1. Bewerk de interne interface, bijvoorbeeld LAN of DMZ.
2. Open IPv6 configuration.
3. Selecteer Delegated.
4. Kies onder Upstream interface de WAN-interface waarop IPv6 configuration > DHCP en DHCP prefix delegation zijn ingeschakeld.
5. Controleer het automatisch toegewezen IPv6-adres en prefix in het veld IPv6/prefix.
6. Activeer Router advertisement.
7. Optioneel DHCPv6 server activeren als clients aanvullende parameters moeten ontvangen. In deze Delegated-modus levert de optie parameters zoals DNS, maar geen IPv6-adressen.
8. Klik op Save en daarna op Update interface.

Router advertisement is een optionele instelling waarmee de firewall als RA-server optreedt; in deze procedure wordt die ingeschakeld om het prefix aan interne clients aan te kondigen.

De beschrijving van de Delegated-velden voor fysieke interfaces noemt ook Gateway name en Gateway IP: deze moeten worden ingevuld als Zone op WAN staat. Dit is een voorwaardelijke veldinstructie, geen algemene aanbeveling om Delegated op WAN te gebruiken. De gedocumenteerde rolverdeling blijft Static of DHCP voor fysieke WAN-interfaces en Static, DHCP of Delegated voor fysieke interne interfaces.

Volgens de documentatie staat Sophos toe dat het IPv6-adres in het veld IPv6/prefix wordt aangepast, maar niet de prefixlengte. Dit is belangrijk bij meerdere interne netwerken: een gedelegeerde /64 levert slechts één afzonderlijk /64-clientnetwerk. Een korter providerprefix zoals /56 biedt adresruimte voor meerdere /64-netwerken; de prefixes die SFOS werkelijk toont zijn leidend en mogen niet uit een voorbeeld worden afgeleid.

VLAN- en LAG-ontwerp correct beoordelen

Veel productienetwerken gebruiken VLAN’s voor clients, servers, gasten en beheer. Voor Prefix Delegation moet men drie afzonderlijke uitspraken uit de Sophos-handleidingen voor SFOS 22 en 23 naast elkaar lezen:

• De Prefix Delegation-handleiding verbiedt Prefix Delegation op elke interface waarop een VLAN is geconfigureerd. Deze uitspraak is breder dan een beperking op het wijzigen van de toewijzingsmethode.
• De handleiding voor fysieke interfaces verbiedt afzonderlijk het achteraf wijzigen van de toewijzingsmethode van een parent-interface met al geconfigureerde VLAN-subinterfaces van Static naar DHCP of Delegated.
• De VLAN-handleiding beschrijft uitdrukkelijk DHCP prefix delegation voor het verkrijgen van een providerprefix en IPv6 configuration > Delegated voor een intern VLAN. Als upstream vereist deze een WAN-interface met IPv6-toewijzing DHCP en ingeschakelde DHCP prefix delegation.
• LAG-interfaces ondersteunen geen DHCP Prefix Delegation.

De reikwijdte van de brede PD-beperking en de expliciet beschreven VLAN-opties is daarmee in de documentatie niet eenduidig opgehelderd. De parent-beperking verklaart een concrete grens, maar bewijst niet dat de brede uitspraak alleen betrekking heeft op deze wijziging van de toewijzingsmethode. Hieruit volgt noch dat alle VLAN-ontwerpen zonder meer worden ondersteund, noch dat ze allemaal verboden zijn. Controleer vóór de implementatie het werkelijke upstream- en parent-pad en stem bij onduidelijkheid over de geschiktheid van de concrete topologie met Sophos en de provider af of deze wordt ondersteund:

• Welke interface vraagt het prefix bij de provider aan?
• Heeft deze parent-interface al VLAN-subinterfaces?
• Is de provider-uplink zelf een VLAN en levert deze DHCPv6 Prefix Delegation?
• Wordt een LAG als upstream gebruikt, terwijl die functie daar niet wordt ondersteund?
• Wordt statisch IPv6 door de provider aangeboden?
• Is het gedelegeerde prefix groot genoeg voor alle geplande interne /64-netwerken?

Voor de basisprincipes van VLAN’s helpt VLAN configureren op Sophos Firewall en UniFi Switch. Het artikel legt voornamelijk IPv4 uit, maar de zone-, trunk- en regelplanning is ook voor IPv6 relevant.

Router Advertisement controleren

Wanneer Prefix Delegation op de interne interface wordt geactiveerd, maakt de Sophos Firewall automatisch een Router Advertisement voor deze interface aan. IPv6 Router Advertisement op Sophos Firewall configureren verklaart Managed flag, Other flag, On-link, Autonomous, lifetimes en de automatische prefix-toewijzing die niet kan worden gewijzigd.

Menupad:

Network > IPv6 router advertisement

Daar moet men controleren:

• Is er een automatisch aangemaakte RA-server voor de interne interface?
• Wordt het verwachte prefix aangekondigd?
• Passen de RA-vlaggen bij het geplande clientgedrag?
• Moet de Other flag worden ingesteld, zodat DHCPv6 aanvullende parameters levert?

De Prefix advertisement configuration van de automatisch gegenereerde RA-server kan niet worden gewijzigd. Als er daarnaast een ander prefix moet worden aangekondigd, moet een eigen RA-server worden aangemaakt.

Open de automatisch aangemaakte RA-server voor de gedelegeerde interface en controleer de Prefix advertisement configuration. Schakel optioneel Other flag in als een DHCPv6-server aanvullende parameters moet leveren en klik op Save.

Voor de meeste omgevingen geldt: Eerst controleren of clients met de automatisch gegenereerde RA netjes IPv6-adressen ontvangen, voordat extra RA-servers of speciale configuraties worden toegevoegd.

DHCPv6 alleen voor het juiste doel gebruiken

DHCPv6 is niet hetzelfde als DHCPv4. In veel IPv6-ontwerpen ontvangen clients hun adres via SLAAC en aanvullende informatie via DHCPv6. Daarom moet men voor de activering verduidelijken wat DHCPv6 moet doen.

Als Sophos Firewall zelf adressen of aanvullende parameters moet distribueren, behandelt Een DHCPv6-server op Sophos Firewall configureren en testen het leasebereik, DUID, geldigheidstijden en de afzonderlijke RA-validatie.

Typische DHCPv6-parameters zijn:

• DNS-servers.
• DNS-zoekdomein.
• Andere DHCPv6-opties, als een client ze echt nodig heeft.

Als clients een IPv6-adres krijgen, maar geen namen kunnen oplossen, is niet automatisch Prefix Delegation fout. Vaak ontbreekt dan de juiste DNS-server, is de RA-/DHCPv6-combinatie onduidelijk of gebruikt de client een ander DNS-pad dan verwacht.

Voor interne domeinen en split-DNS-scenario’s blijft DNS Request Routes configureren op Sophos Firewall relevant. IPv6 verandert niet de basisvraag welke DNS-server voor welk domein verantwoordelijk is.

Firewallregels en Device Access controleren

IPv6-verkeer heeft passende firewallregels nodig. Controleer bestaande regels op IPv6-geschikte bron- en doelobjecten en op de benodigde services; een regel met alleen IPv4-netwerkobjecten dekt het nieuwe IPv6-pad niet.

Voor de vrijgave moet men controleren:

• Zijn er regels voor de betreffende Source zone en Destination zone?
• Wordt IPv6-verkeer gelogd waar het nodig is voor probleemoplossing of compliance?
• Zijn DNS, NTP, web en benodigde applicaties toegestaan?
• Zijn inkomende verbindingen vanuit het internet nog steeds bewust geblokkeerd of gericht toegestaan?
• Zijn er gescheiden regels voor client-, server-, gasten- en beheerzones?

Bij IPv6 moet men vooral vermijden dat interne clients ongecontroleerd direct vanuit het internet bereikbaar zijn. Openbare IPv6-adressen betekenen niet dat inkomende verbindingen toegestaan moeten zijn. De firewallregels blijven de centrale grens.

Ook Device Access moet worden overwogen. Als interne clients de firewall als DNS-server willen gebruiken, moet DNS voor de juiste zone zijn toegestaan. Beheerdiensten zoals WebAdmin of SSH mogen daarentegen niet breder toegankelijk worden door een nieuwe IPv6-configuratie. De hardening van lokale firewall-diensten is beschreven in Device Access en Local Service ACL op Sophos Firewall.

Tests na de configuratie

Na de implementatie moet men niet alleen controleren of een client een IPv6-adres heeft ontvangen. Belangrijk is of het hele pad gecontroleerd werkt.

Zinvolle tests:

1. WAN-interface toont een IPv6-adres en een gedelegeerd prefix.
2. Interne interface toont een gedelegeerd IPv6-prefix.
3. Onder Network > IPv6 router advertisement is de automatische RA-server zichtbaar.
4. Testclient ontvangt een IPv6-adres uit het verwachte prefix.
5. Testclient heeft een IPv6-standaardgateway.
6. DNS-resolutie werkt voor interne en externe namen.
7. HTTPS naar een bekend IPv6-geschikt doel werkt; gebruik IPv6-ping alleen als bekend is dat het doel ICMPv6 beantwoordt.
8. Log Viewer toont de juiste firewallregel voor het testverkeer.
9. Een inkomende IPv6-test vanuit het internet is alleen toegestaan als daarvoor bewust een regel bestaat.

Voor afzonderlijke verbindingen helpt Firewall-regel testen met Log Viewer, Policy Test en Packet Capture. Policy Tester ondersteunt geen IPv6; gebruik voor dit pad Log Viewer, Route Lookup, Packet Capture en werkelijk testverkeer. Als het gaat om fundamentele interface- of DNS-problemen, moet men eerst de interface-status, Router Advertisement en DNS-configuratie controleren.

Voor diepere foutanalyse koppelt Sophos drie service-logs aan de betrokken functies:

• networkd.log voor fysieke en virtuele interfaces,
• dhcpd6.log voor de DHCPv6-server,
• radvd.log voor IPv6 Router Advertisement.

Deze koppeling betekent niet dat elk bestand een specifieke foutmelding moet bevatten. Noteer voor een betrouwbare correlatie de tijd, de interface en het prefix dat voor en na de storing wordt getoond, en vergelijk die gegevens met de relevante logregels.

De wijziging gecontroleerd terugdraaien

Noteer vóór de wijziging de vorige IPv6-toewijzing, het adres of prefix, de gatewaywaarden en de RA-/DHCPv6-instellingen van beide interfaces. Als de acceptatietest mislukt, gaat u naar Network > Interfaces, herstelt u exact die waarden op beide interfaces en kiest u telkens Save en Update interface. Controleer opnieuw de interfaceadressering, standaardgateway, DNS en het verkeer dat eerder werkte. Raad geen vervangende waarden zonder gedocumenteerde uitgangssituatie.

Typische fouten

Clients ontvangen geen IPv6-adres

Eerst controleren of de WAN-interface echt een prefix heeft ontvangen. Als daar geen prefix zichtbaar is, ligt het probleem meestal bij de provider, de WAN-interface, bij PPPoE-/bridge-ontwerpen of bij de prefix-delegatieaanvraag.

Als er een prefix op de WAN is, maar clients geen adres krijgen, moet men de interne interface, Router Advertisement en het clientnetwerk controleren.

Clients hebben IPv6, maar geen internet

Dan is Prefix Delegation in principe niet noodzakelijk het probleem. Veelvoorkomende oorzaken zijn:

• geen passende firewallregel,
• DNS werkt niet,
• client geeft de voorkeur aan IPv6, maar de doelpagina of het pad is verstoord,
• verkeerd intern interface,
• RA of DHCPv6 levert onvolledige parameters,
• retourpad of provider-routing past niet.

Als het clientnetwerk bewust IPv6-only is en alleen een IPv4-webdoel ontbreekt, is een aparte overgang nodig. NAT64 met Direct Web Proxy toont de huidige SFOS-procedure met een IPv6-regel naar de proxy en een daaropvolgende IPv4-regel naar het doel. Dit is geen algemene NAT64 voor andere protocollen.

DNS werkt slechts gedeeltelijk

Bij IPv6 ziet men DNS-problemen vaak pas laat, omdat sommige applicaties tussen IPv4 en IPv6 wisselen. Men moet apart testen:

• externe DNS-resolutie,
• interne domeinen,
• reverse-lookups, als logs of rapporten namen moeten weergeven,
• DNS-server die de client daadwerkelijk gebruikt.

Prefix verandert na leasevernieuwing of opnieuw verbinden

Als de provider een dynamisch prefix toewijst, kan het prefix veranderen. Dan kunnen statische IPv6-adressen, handmatige DNS-invoer, externe vrijgaven of monitoringregels breken.

Voor productieve servers, gepubliceerde diensten of complexe locatienetwerken moet men daarom controleren of een stabiel provider-prefix of een ander IPv6-ontwerp nodig is.

VLAN-interface toont Delegated niet

De VLAN-handleiding voor SFOS 22 en 23 beschrijft Delegated, terwijl de Prefix Delegation-handleiding de hierboven toegelichte bredere VLAN-beperking noemt. Een zichtbare optie alleen lost dit conflict in de documentatie niet op. Als de optie ontbreekt of de upstream-interface niet kan worden geselecteerd, controleer dan de firmwareversie, de zone, de IPv6-configuratie van de WAN-interface en de parent-interface. De upstream-interface moet IPv6-toewijzing DHCP gebruiken en DHCP prefix delegation moet zijn ingeschakeld. Als op een fysieke parent-interface al een VLAN is geconfigureerd, kan de IP-toewijzing daarvan niet achteraf van Static naar DHCP of Delegated worden gewijzigd. Bij een LAG als upstream geldt bovendien de gedocumenteerde beperking dat LAG-interfaces geen DHCP Prefix Delegation ondersteunen. Als de geschiktheid van de concrete topologie onduidelijk blijft, bespreek dit dan met Sophos en de provider in plaats van uit de zichtbare optie algemene ondersteuning af te leiden.

Operationele checklist

• Provider-prefixlengte en stabiliteit gedocumenteerd.
• Beperkingen van parent-, VLAN- en LAG-interfaces gecontroleerd.
• WAN-interface ontvangt IPv6-adres en gedelegeerd prefix.
• Interne interface gebruikt Delegated met de juiste upstream interface.
• Router Advertisement is actief en zichtbaar.
• DHCPv6 is alleen geactiveerd als aanvullende parameters nodig zijn.
• DNS-concept voor interne en externe namen gecontroleerd.
• Firewallregels voor IPv6 bewust gemaakt of bevestigd.
• Device Access niet onnodig uitgebreid door IPv6.
• Log Viewer toont testverkeer begrijpelijk.
• Wijzigingen aan prefix of provider worden gedocumenteerd.

FAQ