IPv6 Prefix Delegation configureren op Sophos Firewall

Met IPv6 Prefix Delegation kan een Sophos Firewall een IPv6-prefix van de provider verkrijgen en daarmee interne netwerken bedienen. Dit is vooral relevant wanneer de internetverbinding geen vast statisch IPv6-netwerk levert, maar de provider het prefix via DHCPv6 delegeert.

De snelle route bestaat uit drie delen: selecteer op de WAN-interface DHCP > Manual > DHCP only en schakel DHCP prefix delegation in. Selecteer op de interne interface Delegated, kies de WAN als Upstream interface en schakel Router advertisement in. Controleer daarna het werkelijk toegewezen prefix, de clientadressering en het toegestane testverkeer.

In IPv4-omgevingen denkt men vaak in NAT, privé-netwerken en poortdoorschakelingen. Bij IPv6 is dat anders: clients kunnen openbare IPv6-adressen ontvangen, en de firewall beheert de toegang via routing, Router Advertisement, DHCPv6-parameters en firewallregels. Daarom moet Prefix Delegation bewust worden gepland en niet alleen als extra interface-optie worden geactiveerd.

Vóór het ontwerp laat IPv6-ondersteuning en beperkingen in Sophos Firewall met SFOS 22 zien welke interface-, routing-, VPN-, regel-, DNS-, update- en certificaatfuncties IPv6 daadwerkelijk ondersteunen. Prefix Delegation lost alleen de adressering op en vervangt deze end-to-end-controle niet.

Voor de basisprincipes van interfaces, zones en VLAN’s is het eerst handig om Sophos Firewall zones en interfaces configureren te bekijken. Als het alleen gaat om klassieke DHCP-opties voor IPv4-bijzondere gevallen, is Sophos Firewall DHCP-opties (SFOS) het betere artikel.

Wanneer Prefix Delegation zinvol is

Prefix Delegation is zinvol wanneer de provider een IPv6-prefix dynamisch via de WAN-verbinding levert en de Sophos Firewall dit prefix aan interne netwerken moet verdelen.

Typische scenario’s:

• Dual-stack internetverbinding met IPv4 en IPv6.
• De provider levert een IPv6-prefix via DHCPv6 Prefix Delegation.
• Interne clients moeten IPv6 native gebruiken.
• Meerdere interne netwerken, zoals LAN, server, gasten of DMZ, moeten IPv6 ontvangen.
• DNS, logging en firewallregels moeten bewust rekening houden met IPv6.

Niet elk netwerk heeft onmiddellijk IPv6 nodig. Maar als IPv6 op clients actief is, moet het netjes worden gecontroleerd via firewall, regels en logs. Een half geconfigureerde IPv6-setup kan anders ertoe leiden dat clients IPv6 verkiezen, maar fouten worden gezocht in IPv4-probleemoplossing.

Vereisten

Voor de configuratie moet men deze punten verduidelijken:

• De provider ondersteunt IPv6 Prefix Delegation op de verbinding.
• De WAN-verbinding gebruikt geen PPPoE-over-IPv6-scenario voor Prefix Delegation.
• Het WAN- en interfaceontwerp houdt rekening met bestaande VLAN’s en LAG’s.
• De interne zones en firewallregels zijn gepland.
• Het is duidelijk of clients alleen SLAAC moeten gebruiken of ook DHCPv6-parameters nodig hebben.
• DNS-concept en loganalyse houden rekening met IPv6.

⚠️ Drie beperkingen moeten afzonderlijk worden gelezen: Prefix Delegation werkt niet via PPPoE over IPv6. Een fysieke parent-interface waarop al VLAN’s zijn geconfigureerd, kan niet van Static naar DHCP of Delegated worden omgezet. De VLAN-interface zelf kan in SFOS 22 wel Delegated gebruiken. LAG-interfaces ondersteunen geen DHCP Prefix Delegation.

Doelbeeld begrijpen

Bij Prefix Delegation gebeuren er meerdere dingen achter elkaar:

1. De firewall vraagt op de WAN-interface een IPv6-adres en een gedelegeerd prefix van de provider aan.
2. De provider wijst de WAN-interface een IPv6-adres en de firewall een prefix toe.
3. De firewall delegeert uit dit prefix een IPv6-netwerk aan een interne interface, bijvoorbeeld LAN of DMZ.
4. De interne interface verspreidt IPv6-informatie aan clients via Router Advertisement.
5. Optioneel levert een DHCPv6-server aanvullende parameters, zoals DNS-servers.

Belangrijk is de rolverdeling: Router Advertisement zorgt ervoor dat clients hun IPv6-prefix en het standaard gateway leren. DHCPv6 kan aanvullende informatie leveren. Firewallregels beslissen nog steeds welke verkeer is toegestaan.

WAN-interface voorbereiden

De eerste stap is de WAN-interface. Hier vraagt de Sophos Firewall het IPv6-prefix van de provider aan.

Menupad:

Network > Interfaces

Stappen:

1. Bewerk de betreffende WAN-interface.
2. Open IPv6 configuration.
3. Selecteer DHCP.
4. Selecteer Manual.
5. Activeer DHCP only.
6. Schakel DHCP prefix delegation in.
7. Optioneel Preferred delegated prefix configureren, als de provider en het eigen netwerkontwerp dat toestaan. Op een fysieke WAN-interface kan de prefixlengte tussen /48 en /64 liggen; op een WAN-VLAN zijn /48, /52, /56 en /60 beschikbaar.
8. DHCP rapid commit alleen optioneel activeren wanneer de DHCPv6-server van de provider Rapid Commit eveneens ondersteunt.
9. Stel de gateway-naam en gateway-IP in die passen bij de providerverbinding.
10. Opslaan en interface bijwerken.

Bij Preferred delegated prefix is het prefixadres optioneel, maar de prefixlengte verplicht. De provider kan het verzoek honoreren of een ander prefix delegeren. Als het gevraagde adres of de lengte later wordt gewijzigd, werkt de firewall het verzoek pas bij nadat de DHCP-lease is verwijderd of de WAN-interface is ontkoppeld. Plan deze onderbreking in plaats van de wijziging tijdens normaal bedrijf alleen op te slaan.

In de praktijk moet men hier eerst met de provider overleggen:

• Welke prefixlengte wordt gedelegeerd, bijvoorbeeld /56, /60 of /64?
• Is het prefix stabiel of kan het veranderen?
• Moet een specifieke waarde worden aangevraagd?
• Zijn er beperkingen bij bridge-, PPPoE- of router-modem-opstellingen?

Intern interface configureren

Na de WAN-interface wordt een interne interface voorzien van het gedelegeerde prefix.

Menupad:

Network > Interfaces

Stappen:

1. Bewerk de interne interface, bijvoorbeeld LAN of DMZ.
2. Open IPv6 configuration.
3. Selecteer Delegated.
4. Kies onder Upstream interface de WAN-interface die Prefix Delegation gebruikt.
5. Controleer welk IPv6-prefix verschijnt in het veld IPv6/prefix.
6. Activeer Router advertisement.
7. Optioneel DHCPv6 server activeren als clients aanvullende parameters moeten ontvangen. In deze Delegated-modus levert de optie parameters zoals DNS, maar geen IPv6-adressen.
8. Opslaan en interface bijwerken.

Volgens de documentatie staat Sophos toe dat het IPv6-adres in het veld IPv6/prefix wordt aangepast, maar niet de prefixlengte. Dit is belangrijk bij meerdere interne netwerken: een gedelegeerde /64 levert slechts één afzonderlijk /64-clientnetwerk. Een korter providerprefix zoals /56 biedt adresruimte voor meerdere /64-netwerken; de prefixes die SFOS werkelijk toont zijn leidend en mogen niet uit een voorbeeld worden afgeleid.

VLAN- en LAG-ontwerp correct beoordelen

Veel productieve netwerken gebruiken VLAN’s voor clients, servers, gasten en beheer. De Sophos-documentatie maakt daarbij onderscheid tussen de parent-interface en de VLAN-interface:

• Een VLAN-interface kan onder IPv6 configuration > Delegated een prefix van een upstream-interface ontvangen.
• Een fysieke interface met reeds geconfigureerde VLAN-subinterfaces kan niet achteraf van Static naar DHCP of Delegated worden omgezet.
• Een VLAN-interface in de WAN-zone kan via DHCP een prefix bij de provider aanvragen, als het providerontwerp dit ondersteunt.
• LAG-interfaces ondersteunen geen DHCP Prefix Delegation.

Daarom moet men niet algemeen van VLAN’s afzien, maar het werkelijke upstream- en parent-pad controleren:

• Welke interface vraagt het prefix bij de provider aan?
• Heeft deze parent-interface al VLAN-subinterfaces?
• Is de provider-uplink zelf een VLAN en levert deze DHCPv6 Prefix Delegation?
• Wordt een LAG als upstream gebruikt, terwijl die functie daar niet wordt ondersteund?
• Wordt statisch IPv6 door de provider aangeboden?
• Is het gedelegeerde prefix groot genoeg voor alle geplande interne /64-netwerken?

Voor de basisprincipes van VLAN’s helpt VLAN configureren op Sophos Firewall en UniFi Switch. Het artikel legt voornamelijk IPv4 uit, maar de zone-, trunk- en regelplanning is ook voor IPv6 relevant.

Router Advertisement controleren

Wanneer Prefix Delegation op de interne interface wordt geactiveerd, maakt de Sophos Firewall automatisch een Router Advertisement voor deze interface aan. IPv6 Router Advertisement op Sophos Firewall configureren verklaart Managed flag, Other flag, On-link, Autonomous, lifetimes en de automatische prefix-toewijzing die niet kan worden gewijzigd.

Menupad:

Network > IPv6 router advertisement

Daar moet men controleren:

• Is er een automatisch aangemaakte RA-server voor de interne interface?
• Wordt het verwachte prefix aangekondigd?
• Passen de RA-vlaggen bij het geplande clientgedrag?
• Moet de Other flag worden ingesteld, zodat DHCPv6 aanvullende parameters levert?

De Prefix Advertisement Configuration van de automatisch gegenereerde RA-server kan niet worden gewijzigd. Als er daarnaast een ander prefix moet worden aangekondigd, moet een eigen RA-server worden aangemaakt.

Voor de meeste omgevingen geldt: Eerst controleren of clients met de automatisch gegenereerde RA netjes IPv6-adressen ontvangen, voordat extra RA-servers of speciale configuraties worden toegevoegd.

DHCPv6 alleen voor het juiste doel gebruiken

DHCPv6 is niet hetzelfde als DHCPv4. In veel IPv6-ontwerpen ontvangen clients hun adres via SLAAC en aanvullende informatie via DHCPv6. Daarom moet men voor de activering verduidelijken wat DHCPv6 moet doen.

Als Sophos Firewall zelf adressen of aanvullende parameters moet distribueren, behandelt Een DHCPv6-server op Sophos Firewall configureren en testen het leasebereik, DUID, geldigheidstijden en de afzonderlijke RA-validatie.

Typische DHCPv6-parameters zijn:

• DNS-servers.
• DNS-zoekdomein.
• Andere DHCPv6-opties, als een client ze echt nodig heeft.

Als clients een IPv6-adres krijgen, maar geen namen kunnen oplossen, is niet automatisch Prefix Delegation fout. Vaak ontbreekt dan de juiste DNS-server, is de RA-/DHCPv6-combinatie onduidelijk of gebruikt de client een ander DNS-pad dan verwacht.

Voor interne domeinen en split-DNS-scenario’s blijft DNS Request Routes configureren op Sophos Firewall relevant. IPv6 verandert niet de basisvraag welke DNS-server voor welk domein verantwoordelijk is.

Firewallregels en Device Access controleren

IPv6-verkeer heeft passende firewallregels nodig. Controleer bestaande regels op IPv6-geschikte bron- en doelobjecten en op de benodigde services; een regel met alleen IPv4-netwerkobjecten dekt het nieuwe IPv6-pad niet.

Voor de vrijgave moet men controleren:

• Zijn er regels voor de betreffende Source zone en Destination zone?
• Wordt IPv6-verkeer gelogd waar het nodig is voor probleemoplossing of compliance?
• Zijn DNS, NTP, web en benodigde applicaties toegestaan?
• Zijn inkomende verbindingen vanuit het internet nog steeds bewust geblokkeerd of gericht toegestaan?
• Zijn er gescheiden regels voor client-, server-, gasten- en beheerzones?

Bij IPv6 moet men vooral vermijden dat interne clients ongecontroleerd direct vanuit het internet bereikbaar zijn. Openbare IPv6-adressen betekenen niet dat inkomende verbindingen toegestaan moeten zijn. De firewallregels blijven de centrale grens.

Ook Device Access moet worden overwogen. Als interne clients de firewall als DNS-server willen gebruiken, moet DNS voor de juiste zone zijn toegestaan. Beheerdiensten zoals WebAdmin of SSH mogen daarentegen niet breder toegankelijk worden door een nieuwe IPv6-configuratie. De hardening van lokale firewall-diensten is beschreven in Device Access en Local Service ACL op Sophos Firewall.

Tests na de configuratie

Na de implementatie moet men niet alleen controleren of een client een IPv6-adres heeft ontvangen. Belangrijk is of het hele pad gecontroleerd werkt.

Zinvolle tests:

1. WAN-interface toont een IPv6-adres en een gedelegeerd prefix.
2. Interne interface toont een gedelegeerd IPv6-prefix.
3. Onder Network > IPv6 router advertisement is de automatische RA-server zichtbaar.
4. Testclient ontvangt een IPv6-adres uit het verwachte prefix.
5. Testclient heeft een IPv6-standaardgateway.
6. DNS-resolutie werkt voor interne en externe namen.
7. HTTPS naar een bekend IPv6-geschikt doel werkt; gebruik IPv6-ping alleen als bekend is dat het doel ICMPv6 beantwoordt.
8. Log Viewer toont de juiste firewallregel voor het testverkeer.
9. Een inkomende IPv6-test vanuit het internet is alleen toegestaan als daarvoor bewust een regel bestaat.

Voor afzonderlijke verbindingen helpt Firewall-regel testen met Log Viewer, Policy Test en Packet Capture. Als het gaat om fundamentele interface- of DNS-problemen, moet men eerst de interface-status, Router Advertisement en DNS-configuratie controleren.

Voor diepere foutanalyse koppelt Sophos drie service-logs aan de betrokken functies:

• networkd.log voor fysieke en virtuele interfaces,
• dhcpd6.log voor de DHCPv6-server,
• radvd.log voor IPv6 Router Advertisement.

Deze koppeling betekent niet dat elk bestand een specifieke foutmelding moet bevatten. Noteer voor een betrouwbare correlatie de tijd, de interface en het prefix dat voor en na de storing wordt getoond, en vergelijk die gegevens met de relevante logregels.

De wijziging gecontroleerd terugdraaien

Noteer vóór de wijziging de vorige IPv6-toewijzing, het adres of prefix, de gatewaywaarden en de RA-/DHCPv6-instellingen van beide interfaces. Als de acceptatietest mislukt, gaat u naar Network > Interfaces, herstelt u exact die waarden op beide interfaces en kiest u telkens Save en Update interface. Controleer opnieuw de interfaceadressering, standaardgateway, DNS en het verkeer dat eerder werkte. Raad geen vervangende waarden zonder gedocumenteerde uitgangssituatie.

Typische fouten

Clients ontvangen geen IPv6-adres

Eerst controleren of de WAN-interface echt een prefix heeft ontvangen. Als daar geen prefix zichtbaar is, ligt het probleem meestal bij de provider, de WAN-interface, bij PPPoE-/bridge-ontwerpen of bij de prefix-delegatieaanvraag.

Als er een prefix op de WAN is, maar clients geen adres krijgen, moet men de interne interface, Router Advertisement en het clientnetwerk controleren.

Clients hebben IPv6, maar geen internet

Dan is Prefix Delegation in principe niet noodzakelijk het probleem. Veelvoorkomende oorzaken zijn:

• geen passende firewallregel,
• DNS werkt niet,
• client geeft de voorkeur aan IPv6, maar de doelpagina of het pad is verstoord,
• verkeerd intern interface,
• RA of DHCPv6 levert onvolledige parameters,
• retourpad of provider-routing past niet.

Als het clientnetwerk bewust IPv6-only is en alleen een IPv4-webdoel ontbreekt, is een aparte overgang nodig. NAT64 met Direct Web Proxy toont de huidige SFOS-procedure met een IPv6-regel naar de proxy en een daaropvolgende IPv4-regel naar het doel. Dit is geen algemene NAT64 voor andere protocollen.

DNS werkt slechts gedeeltelijk

Bij IPv6 ziet men DNS-problemen vaak pas laat, omdat sommige applicaties tussen IPv4 en IPv6 wisselen. Men moet apart testen:

• externe DNS-resolutie,
• interne domeinen,
• reverse-lookups, als logs of rapporten namen moeten weergeven,
• DNS-server die de client daadwerkelijk gebruikt.

Prefix verandert na leasevernieuwing of opnieuw verbinden

Als de provider een dynamisch prefix toewijst, kan het prefix veranderen. Dan kunnen statische IPv6-adressen, handmatige DNS-invoer, externe vrijgaven of monitoringregels breken.

Voor productieve servers, gepubliceerde diensten of complexe locatienetwerken moet men daarom controleren of een stabiel provider-prefix of een ander IPv6-ontwerp nodig is.

VLAN-interface toont Delegated niet

SFOS 22 ondersteunt Delegated op VLAN-interfaces. Als de optie ontbreekt of de upstream-interface niet kan worden geselecteerd, moet men firmwareversie, zone, IPv6-configuratie van de WAN-interface en de parent-interface controleren. Als op een fysieke parent al een VLAN is geconfigureerd, kan de IP-toewijzing niet achteraf van Static naar DHCP of Delegated worden gewijzigd. Bij een LAG als upstream geldt bovendien de gedocumenteerde beperking dat LAG-interfaces geen DHCP Prefix Delegation ondersteunen.

Operationele checklist

• Provider-prefixlengte en stabiliteit gedocumenteerd.
• Beperkingen van parent-, VLAN- en LAG-interfaces gecontroleerd.
• WAN-interface ontvangt IPv6-adres en gedelegeerd prefix.
• Interne interface gebruikt Delegated met de juiste upstream interface.
• Router Advertisement is actief en zichtbaar.
• DHCPv6 is alleen geactiveerd als aanvullende parameters nodig zijn.
• DNS-concept voor interne en externe namen gecontroleerd.
• Firewallregels voor IPv6 bewust gemaakt of bevestigd.
• Device Access niet onnodig uitgebreid door IPv6.
• Log Viewer toont testverkeer begrijpelijk.
• Wijzigingen aan prefix of provider worden gedocumenteerd.

FAQ