IPv6 Prefix Delegation configureren op Sophos Firewall

Met IPv6 Prefix Delegation kan een Sophos Firewall een IPv6-prefix van de provider verkrijgen en daarmee interne netwerken bedienen. Dit is vooral relevant wanneer de internetverbinding geen vast statisch IPv6-netwerk levert, maar de provider het prefix via DHCPv6 delegeert.

In IPv4-omgevingen denkt men vaak in NAT, privé-netwerken en poortdoorschakelingen. Bij IPv6 is dat anders: clients kunnen openbare IPv6-adressen ontvangen, en de firewall beheert de toegang via routing, Router Advertisement, DHCPv6-parameters en firewallregels. Daarom moet Prefix Delegation bewust worden gepland en niet alleen als extra interface-optie worden geactiveerd.

Vóór het ontwerp laat IPv6-ondersteuning en beperkingen in Sophos Firewall met SFOS 22 zien welke interface-, routing-, VPN-, regel-, DNS-, update- en certificaatfuncties IPv6 daadwerkelijk ondersteunen. Prefix Delegation lost alleen de adressering op en vervangt deze end-to-end-controle niet.

Voor de basisprincipes van interfaces, zones en VLAN’s is het eerst handig om Sophos Firewall zones en interfaces configureren te bekijken. Als het alleen gaat om klassieke DHCP-opties voor IPv4-bijzondere gevallen, is Sophos Firewall DHCP-opties (SFOS) het betere artikel.

Wanneer Prefix Delegation zinvol is

Prefix Delegation is zinvol wanneer de provider een IPv6-prefix dynamisch via de WAN-verbinding levert en de Sophos Firewall dit prefix aan interne netwerken moet verdelen.

Typische scenario’s:

• Dual-stack internetverbinding met IPv4 en IPv6.
• De provider levert een IPv6-prefix via DHCPv6 Prefix Delegation.
• Interne clients moeten IPv6 native gebruiken.
• Meerdere interne netwerken, zoals LAN, server, gasten of DMZ, moeten IPv6 ontvangen.
• DNS, logging en firewallregels moeten bewust rekening houden met IPv6.

Niet elk netwerk heeft onmiddellijk IPv6 nodig. Maar als IPv6 op clients actief is, moet het netjes worden gecontroleerd via firewall, regels en logs. Een half geconfigureerde IPv6-setup kan anders ertoe leiden dat clients IPv6 verkiezen, maar fouten worden gezocht in IPv4-probleemoplossing.

Vereisten

Voor de configuratie moet men deze punten verduidelijken:

• De provider ondersteunt IPv6 Prefix Delegation op de verbinding.
• De WAN-verbinding gebruikt geen PPPoE-over-IPv6-scenario voor Prefix Delegation.
• Het WAN- en interfaceontwerp houdt rekening met bestaande VLAN’s en LAG’s.
• De interne zones en firewallregels zijn gepland.
• Het is duidelijk of clients alleen SLAAC moeten gebruiken of ook DHCPv6-parameters nodig hebben.
• DNS-concept en loganalyse houden rekening met IPv6.

⚠️ Drie beperkingen moeten afzonderlijk worden gelezen: Prefix Delegation werkt niet via PPPoE over IPv6. Een fysieke parent-interface waarop al VLAN’s zijn geconfigureerd, kan niet van Static naar DHCP of Delegated worden omgezet. De VLAN-interface zelf kan in SFOS 22 wel Delegated gebruiken. LAG-interfaces ondersteunen geen DHCP Prefix Delegation.

Doelbeeld begrijpen

Bij Prefix Delegation gebeuren er meerdere dingen achter elkaar:

1. De firewall vraagt op de WAN-interface een IPv6-adres en een gedelegeerd prefix van de provider aan.
2. De provider wijst de WAN-interface een IPv6-adres en de firewall een prefix toe.
3. De firewall delegeert uit dit prefix een IPv6-netwerk aan een interne interface, bijvoorbeeld LAN of DMZ.
4. De interne interface verspreidt IPv6-informatie aan clients via Router Advertisement.
5. Optioneel levert een DHCPv6-server aanvullende parameters, zoals DNS-servers.

Belangrijk is de rolverdeling: Router Advertisement zorgt ervoor dat clients hun IPv6-prefix en het standaard gateway leren. DHCPv6 kan aanvullende informatie leveren. Firewallregels beslissen nog steeds welke verkeer is toegestaan.

WAN-interface voorbereiden

De eerste stap is de WAN-interface. Hier vraagt de Sophos Firewall het IPv6-prefix van de provider aan.

Menupad:

Network > Interfaces

Stappen:

1. Bewerk de betreffende WAN-interface.
2. Open IPv6 configuration.
3. Selecteer DHCP.
4. Selecteer Manual.
5. Activeer DHCP only.
6. Schakel DHCP prefix delegation in.
7. Optioneel Preferred delegated prefix configureren, als de provider en het eigen netwerkontwerp dat toestaan. Op een fysieke WAN-interface kan de prefixlengte tussen /48 en /64 liggen; op een WAN-VLAN zijn /48, /52, /56 en /60 beschikbaar.
8. DHCP rapid commit alleen optioneel activeren wanneer de DHCPv6-server van de provider Rapid Commit eveneens ondersteunt.
9. Stel de gateway-naam en gateway-IP in die passen bij de providerverbinding.
10. Opslaan en interface bijwerken.

Bij Preferred delegated prefix moet men voorzichtig zijn. De provider kan het gewenste prefix leveren, maar hoeft dat niet te doen. Als het prefix of de prefixlengte later wordt gewijzigd, kan het nodig zijn om de DHCP-lease te verwijderen of de WAN-interface opnieuw te binden, zodat de firewall het prefix bijwerkt.

In de praktijk moet men hier eerst met de provider overleggen:

• Welke prefixlengte wordt gedelegeerd, bijvoorbeeld /56, /60 of /64?
• Is het prefix stabiel of kan het veranderen?
• Moet een specifieke waarde worden aangevraagd?
• Zijn er beperkingen bij bridge-, PPPoE- of router-modem-opstellingen?

Intern interface configureren

Na de WAN-interface wordt een interne interface voorzien van het gedelegeerde prefix.

Menupad:

Network > Interfaces

Stappen:

1. Bewerk de interne interface, bijvoorbeeld LAN of DMZ.
2. Open IPv6 configuration.
3. Selecteer Delegated.
4. Kies onder Upstream interface de WAN-interface die Prefix Delegation gebruikt.
5. Controleer welk IPv6-prefix verschijnt in het veld IPv6/prefix.
6. Activeer Router advertisement.
7. Optioneel DHCPv6 server activeren, als clients aanvullende parameters moeten ontvangen.
8. Opslaan en interface bijwerken.

Volgens de documentatie staat Sophos toe dat het IPv6-adres in het veld IPv6/prefix wordt aangepast, maar niet de prefixlengte. Dit is belangrijk als men meerdere interne netwerken plant. Het provider-prefix moet groot genoeg zijn om meerdere interne segmenten zinvol te kunnen bedienen.

VLAN- en LAG-ontwerp correct beoordelen

Veel productieve netwerken gebruiken VLAN’s voor clients, servers, gasten en beheer. De Sophos-documentatie maakt daarbij onderscheid tussen de parent-interface en de VLAN-interface:

• Een VLAN-interface kan onder IPv6 configuration > Delegated een prefix van een upstream-interface ontvangen.
• Een fysieke interface met reeds geconfigureerde VLAN-subinterfaces kan niet achteraf van Static naar DHCP of Delegated worden omgezet.
• Een VLAN-interface in de WAN-zone kan via DHCP een prefix bij de provider aanvragen, als het providerontwerp dit ondersteunt.
• LAG-interfaces ondersteunen geen DHCP Prefix Delegation.

Daarom moet men niet algemeen van VLAN’s afzien, maar het werkelijke upstream- en parent-pad controleren:

• Welke interface vraagt het prefix bij de provider aan?
• Heeft deze parent-interface al VLAN-subinterfaces?
• Is de provider-uplink zelf een VLAN en levert deze DHCPv6 Prefix Delegation?
• Wordt een LAG als upstream gebruikt, terwijl die functie daar niet wordt ondersteund?
• Wordt statisch IPv6 door de provider aangeboden?
• Is het gedelegeerde prefix groot genoeg voor alle geplande interne /64-netwerken?

Voor de basisprincipes van VLAN’s helpt VLAN configureren op Sophos Firewall en UniFi Switch. Het artikel legt voornamelijk IPv4 uit, maar de zone-, trunk- en regelplanning is ook voor IPv6 relevant.

Router Advertisement controleren

Wanneer Prefix Delegation op de interne interface wordt geactiveerd, maakt de Sophos Firewall automatisch een Router Advertisement voor deze interface aan.

Menupad:

Network > IPv6 router advertisement

Daar moet men controleren:

• Is er een automatisch aangemaakte RA-server voor de interne interface?
• Wordt het verwachte prefix aangekondigd?
• Passen de RA-vlaggen bij het geplande clientgedrag?
• Moet de Other flag worden ingesteld, zodat DHCPv6 aanvullende parameters levert?

De Prefix Advertisement Configuration van de automatisch gegenereerde RA-server kan niet worden gewijzigd. Als er daarnaast een ander prefix moet worden aangekondigd, moet een eigen RA-server worden aangemaakt.

Voor de meeste omgevingen geldt: Eerst controleren of clients met de automatisch gegenereerde RA netjes IPv6-adressen ontvangen, voordat extra RA-servers of speciale configuraties worden toegevoegd.

DHCPv6 alleen voor het juiste doel gebruiken

DHCPv6 is niet hetzelfde als DHCPv4. In veel IPv6-ontwerpen ontvangen clients hun adres via SLAAC en aanvullende informatie via DHCPv6. Daarom moet men voor de activering verduidelijken wat DHCPv6 moet doen.

Typische DHCPv6-parameters zijn:

• DNS-servers.
• DNS-zoekdomein.
• Andere DHCPv6-opties, als een client ze echt nodig heeft.

Als clients een IPv6-adres krijgen, maar geen namen kunnen oplossen, is niet automatisch Prefix Delegation fout. Vaak ontbreekt dan de juiste DNS-server, is de RA-/DHCPv6-combinatie onduidelijk of gebruikt de client een ander DNS-pad dan verwacht.

Voor interne domeinen en split-DNS-scenario’s blijft DNS Request Routes configureren op Sophos Firewall relevant. IPv6 verandert niet de basisvraag welke DNS-server voor welk domein verantwoordelijk is.

Firewallregels en Device Access controleren

IPv6-verkeer heeft passende firewallregels nodig. Een bestaand IPv4-regelwerk is niet automatisch een volledig IPv6-veiligheidsconcept.

Voor de vrijgave moet men controleren:

• Zijn er regels voor de betreffende Source zone en Destination zone?
• Wordt IPv6-verkeer gelogd waar het nodig is voor probleemoplossing of compliance?
• Zijn DNS, NTP, web en benodigde applicaties toegestaan?
• Zijn inkomende verbindingen vanuit het internet nog steeds bewust geblokkeerd of gericht toegestaan?
• Zijn er gescheiden regels voor client-, server-, gasten- en beheerzones?

Bij IPv6 moet men vooral vermijden dat interne clients ongecontroleerd direct vanuit het internet bereikbaar zijn. Openbare IPv6-adressen betekenen niet dat inkomende verbindingen toegestaan moeten zijn. De firewallregels blijven de centrale grens.

Ook Device Access moet worden overwogen. Als interne clients de firewall als DNS-server willen gebruiken, moet DNS voor de juiste zone zijn toegestaan. Beheerdiensten zoals WebAdmin of SSH mogen daarentegen niet breder toegankelijk worden door een nieuwe IPv6-configuratie. De hardening van lokale firewall-diensten is beschreven in Device Access en Local Service ACL op Sophos Firewall.

Tests na de configuratie

Na de implementatie moet men niet alleen controleren of een client een IPv6-adres heeft ontvangen. Belangrijk is of het hele pad gecontroleerd werkt.

Zinvolle tests:

1. WAN-interface toont een IPv6-adres en een gedelegeerd prefix.
2. Interne interface toont een gedelegeerd IPv6-prefix.
3. Onder Network > IPv6 router advertisement is de automatische RA-server zichtbaar.
4. Testclient ontvangt een IPv6-adres uit het verwachte prefix.
5. Testclient heeft een IPv6-standaardgateway.
6. DNS-resolutie werkt voor interne en externe namen.
7. IPv6-ping of HTTPS naar een bekend extern doel werkt.
8. Log Viewer toont de juiste firewallregel voor de testverkeer.
9. Een inkomende IPv6-test vanuit het internet is alleen toegestaan als daarvoor bewust een regel bestaat.

Voor afzonderlijke verbindingen helpt Firewall-regel testen met Log Viewer, Policy Test en Packet Capture. Als het gaat om fundamentele interface- of DNS-problemen, moet men eerst de interface-status, Router Advertisement en DNS-configuratie controleren.

Voor diepere foutanalyse zijn drie service-logs bijzonder relevant:

• networkd.log voor fysieke en virtuele interfaces en prefix-/leasewijzigingen,
• dhcpd6.log voor de DHCPv6-server,
• radvd.log voor IPv6 Router Advertisement.

Een gedelegeerd prefix en een verlopen prefix-lease verschijnen bovendien als interface-events in Syslog. Bij een dynamisch provider-prefix moet men daarom het tijdstip van de prefixwijziging vergelijken met de interface-events en de clientadressering.

Typische fouten

Clients ontvangen geen IPv6-adres

Eerst controleren of de WAN-interface echt een prefix heeft ontvangen. Als daar geen prefix zichtbaar is, ligt het probleem meestal bij de provider, de WAN-interface, bij PPPoE-/bridge-ontwerpen of bij de prefix-delegatieaanvraag.

Als er een prefix op de WAN is, maar clients geen adres krijgen, moet men de interne interface, Router Advertisement en het clientnetwerk controleren.

Clients hebben IPv6, maar geen internet

Dan is Prefix Delegation in principe niet noodzakelijk het probleem. Veelvoorkomende oorzaken zijn:

• geen passende firewallregel,
• DNS werkt niet,
• client geeft de voorkeur aan IPv6, maar de doelpagina of het pad is verstoord,
• verkeerd intern interface,
• RA of DHCPv6 levert onvolledige parameters,
• retourpad of provider-routing past niet.

Als het clientnetwerk bewust IPv6-only is en alleen een IPv4-webdoel ontbreekt, is een aparte overgang nodig. NAT64 met Direct Web Proxy toont de huidige SFOS-procedure met een IPv6-regel naar de proxy en een daaropvolgende IPv4-regel naar het doel. Dit is geen algemene NAT64 voor andere protocollen.

DNS werkt slechts gedeeltelijk

Bij IPv6 ziet men DNS-problemen vaak pas laat, omdat sommige applicaties tussen IPv4 en IPv6 wisselen. Men moet apart testen:

• externe DNS-resolutie,
• interne domeinen,
• reverse-lookups, als logs of rapporten namen moeten weergeven,
• DNS-server die de client daadwerkelijk gebruikt.

Prefix verandert na providerwisseling of herstart

Als de provider een dynamisch prefix toewijst, kan het prefix veranderen. Dan kunnen statische IPv6-adressen, handmatige DNS-invoer, externe vrijgaven of monitoringregels breken.

Voor productieve servers, gepubliceerde diensten of complexe locatienetwerken moet men daarom controleren of een stabiel provider-prefix of een ander IPv6-ontwerp nodig is.

VLAN-interface toont Delegated niet

SFOS 22 ondersteunt Delegated op VLAN-interfaces. Als de optie ontbreekt of de upstream-interface niet kan worden geselecteerd, moet men firmwareversie, zone, IPv6-configuratie van de WAN-interface en de parent-interface controleren. Als op een fysieke parent al een VLAN is geconfigureerd, kan de IP-toewijzing niet achteraf van Static naar DHCP of Delegated worden gewijzigd. Bij een LAG als upstream geldt bovendien de gedocumenteerde beperking dat LAG-interfaces geen DHCP Prefix Delegation ondersteunen.

Operationele checklist

• Provider-prefixlengte en stabiliteit gedocumenteerd.
• Beperkingen van parent-, VLAN- en LAG-interfaces gecontroleerd.
• WAN-interface ontvangt IPv6-adres en gedelegeerd prefix.
• Interne interface gebruikt Delegated met de juiste upstream interface.
• Router Advertisement is actief en zichtbaar.
• DHCPv6 is alleen geactiveerd als aanvullende parameters nodig zijn.
• DNS-concept voor interne en externe namen gecontroleerd.
• Firewallregels voor IPv6 bewust gemaakt of bevestigd.
• Device Access niet onnodig uitgebreid door IPv6.
• Log Viewer toont testverkeer begrijpelijk.
• Wijzigingen aan prefix of provider worden gedocumenteerd.

FAQ