IPv6 Router Advertisement op Sophos Firewall configureren

Een IPv6-client kan een adres hebben en toch geen werkend netwerk. Op Sophos Firewall levert Router Advertisement, kortweg RA, de prefix, standaardrouter en informatie over de vraag of SLAAC of DHCPv6 verantwoordelijk is voor aanvullende waarden. DHCPv6 alleen levert geen standaardgateway.

De meest voorkomende fout is daarom niet een onjuist leasebereik, maar een ongeschikte combinatie van RA-prefix, flags en DHCPv6-rol. Een eenvoudig SLAAC-netwerk heeft normaal alleen een aangekondigde /64 met Autonomous nodig. Als een DHCPv6-server adressen moet uitdelen, is ook Managed flag nodig. Other flag verwijst clients naar aanvullende DHCPv6-parameters, zoals DNS of Domain Name.

⚠️ Een onjuist Router Advertisement kan adressen of de standaardrouter in het volledige Layer 2-segment wijzigen. Documenteer bestaande RA-bronnen, IPv6-prefixen en beheerstoegang voordat u opslaat. Test de wijziging eerst in een pilot-VLAN met een echte client.

Router Advertisement in acht stappen

1. Leg de bedoelde IPv6-/64, het clientsegment en de gewenste rollen van SLAAC en DHCPv6 vast.
2. Controleer of een router al RA-berichten verzendt of Prefix Delegation automatisch een RA-configuratie heeft gemaakt.
3. Open Network > IPv6 router advertisement en selecteer Add.
4. Selecteer de IPv6-geschikte fysieke interface, LAG, VLAN of bridge-interface van het clientsegment.
5. Stel de minimale en maximale advertisement-intervallen passend voor de omgeving in.
6. Activeer Managed flag, Other flag en Default gateway alleen volgens het geplande clientmodel.
7. Voeg de /64 toe met On-link, Autonomous, Preferred lifetime en Valid lifetime.
8. Sla op en controleer met een nieuwe clientrun RS, RA, adres, standaardgateway, DNS en echt IPv6-applicatieverkeer.

Een zichtbare RA-vermelding bewijst nog geen succes. Alleen de client toont of het besturingssysteem, de prefix, DHCPv6 en de standaardroute hetzelfde plan uitvoeren.

SLAAC, DHCPv6 en de twee flags begrijpen

Bij SLAAC vormt de client zijn globale IPv6-adres uit de aangekondigde prefix en zijn interface-id. De prefix moet hiervoor Autonomous toestaan. De firewall kondigt via RA ook de standaardrouter aan wanneer Default gateway is geactiveerd.

Managed flag betekent dat clients hun IPv6-adres van een DHCPv6-server moeten ontvangen. Sophos vermeldt uitdrukkelijk dat deze flag alleen mag worden gebruikt als een DHCPv6-server beschikbaar is. De volledige serverprocedure staat in Een DHCPv6-server op Sophos Firewall instellen en testen.

Other flag verwijst clients naar DHCPv6 voor aanvullende netwerkparameters. Dit kunnen DNS-servers, Domain Name, NIS, NISP, SIP, SNTP en BCMS zijn. De flag levert deze waarden niet zelf; DHCPv6 moet ze daadwerkelijk leveren en de client moet ze ondersteunen.

Afhankelijk van het besturingssysteem kan een client meerdere adressen maken of flags anders interpreteren. De gewenste combinatie moet daarom worden gecontroleerd met de clientplatforms die daadwerkelijk worden gebruikt en mag niet alleen uit het WebAdmin-formulier worden afgeleid.

Automatische RA met Prefix Delegation

Wanneer op een interne interface IPv6 prefix delegation wordt geselecteerd, maakt SFOS automatisch een Router Advertisement. De automatisch toegewezen prefix van deze RA-server kan niet worden gewijzigd. Maak een extra RA-server met de gewenste prefix als nog een prefix moet worden aangekondigd.

De automatische creatie is handig, maar mag niet worden gemist. Controleer vóór een handmatige RA-vermelding onder Network > IPv6 router advertisement welke configuratie al bestaat. IPv6 Prefix Delegation op Sophos Firewall configureren beschrijft de volledige procedure voor provider, WAN en gedelegeerde interface.

Het voorbeeldnetwerk plannen

Het volgende voorbeeld gebruikt 2001:db8::/32, een bereik dat voor documentatie is gereserveerd. Het is niet bedoeld voor productieve internetcommunicatie en wordt vervangen door de werkelijk toegewezen prefix:

• Clientsegment: VLAN20
• Firewalladres: 2001:db8:20::1/64
• Aangekondigde prefix: 2001:db8:20::/64
• Bedrijfsmodus: SLAAC met standaardgateway
• DHCPv6: alleen voor aanvullende DNS-parameters, indien nodig
• Testclient: een beheerd apparaat in VLAN20

Prefix, interfaceadres en clientsegment moeten bij elkaar horen. Een RA-configuratie die uit een ander VLAN is gekopieerd, kan clients een formeel geldig adres geven dat in de lokale routing niet bruikbaar is.

Router Advertisement configureren

Interface en intervallen selecteren

Selecteer onder Network > IPv6 router advertisement > Add eerst de clientinterface. SFOS staat een IPv6-geschikte fysieke interface, LAG, VLAN of bridge-interface toe. Selecteer niet alleen een WAN- of transitinterface omdat de providerprefix daar binnenkomt; het Layer 2-clientsegment is bepalend.

Min advertisement interval en Max advertisement interval bepalen de tijd tussen ongevraagde RA-berichten. Als het maximale interval negen seconden of meer bedraagt, vereist SFOS dat het minimum 75 procent van het maximum is. Er bestaat geen universele ideale waarde: wijzigingen beïnvloeden detectietijd en berichtdichtheid en worden daarom alleen uitgevoerd met een gedocumenteerde uitgangswaarde en een clienttest.

Flags en standaardgateway instellen

Voor het SLAAC-voorbeeld blijft Managed flag uit. Activeer Other flag alleen als een bereikbare DHCPv6-server daadwerkelijk aanvullende waarden levert. Default gateway maakt de firewall tot de aangekondigde standaardrouter; de bijbehorende tijd wordt in seconden opgegeven.

Een geactiveerde flag bewijst geen werking. Als Managed flag is ingesteld, maar geen DHCPv6-server antwoordt, blijft de adresconfiguratie onvolledig. Als Default gateway uit staat, kan een client wel een globaal adres vormen, maar ontvangt hij geen standaardroute uit deze RA.

Prefix en lifetimes invoeren

Voer 2001:db8:20::/64 in de Prefix Advertisement-configuratie in. On-link vertelt de client dat bestemmingen binnen deze prefix zonder een andere router op het lokale segment bereikbaar zijn. Autonomous staat automatische adresvorming via SLAAC toe.

Preferred lifetime geeft in minuten aan hoe lang een adres de voorkeur heeft voor nieuwe verbindingen. Daarna wordt het deprecated, maar het kan voor bestaande communicatie worden gebruikt. Valid lifetime geeft aan hoe lang het adres in totaal geldig blijft. Na het verlopen kan het niet meer verzenden of ontvangen. SFOS vereist daarom een Valid lifetime die minstens even groot is als de Preferred lifetime.

Bij dynamische providerprefixen mogen deze tijden niet worden gepland alsof de prefix gegarandeerd gelijk blijft. Een prefixwijziging moet worden getest met een nieuwe clientrun en met zowel bestaande als nieuwe verbindingen.

MTU en Neighbor-parameters bewust behandelen

De geavanceerde velden regelen informatie voor IPv6 Neighbor Discovery:

• Link MTU kondigt de maximale pakketgrootte aan. Bij 0 kondigt de interface geen MTU-informatie aan.
• Reachable time bepaalt hoe lang een client een bevestigde neighbor als bereikbaar beschouwt.
• Retransmit time bepaalt de wachttijd vóór een nieuwe Neighbor Solicitation.
• Hop limit beperkt het aantal routerhops; elke router verlaagt de waarde.

Gebruik deze waarden niet als algemene prestatie-instellingen. Een MTU- of neighborwijziging vereist een concreet symptoom, een vastgelegde uitgangswaarde en nieuwe tests met grote pakketten, Neighbor Discovery en echte applicaties.

RA en clientgedrag controleren

Verbind na het opslaan de pilotclient opnieuw of vernieuw zijn IPv6-configuratie gecontroleerd. Een packet capture met het BPF-filter icmp6 moet de Router Solicitation van de client als ICMPv6 Type 133 en de Router Advertisement van de firewall als Type 134 tonen.

Controleer daarna de lagen afzonderlijk:

1. De RA komt op de verwachte interface en van de verwachte router.
2. Prefix, On-link, Autonomous en flags komen overeen met het plan.
3. De client heeft het verwachte globale IPv6-adres en een standaardgateway.
4. Als Managed flag of Other flag actief is, levert DHCPv6 de bedoelde waarden.
5. Interne en externe DNS-namen worden via de geplande servers opgelost.
6. Een echte IPv6-flow komt overeen met de verwachte Firewall Rule ID en de negatieve test blijft geblokkeerd.

Packet Capture in Sophos Firewall WebAdmin beschrijft de WebAdmin-capture en de velden. IPv6-ondersteuning en beperkingen van Sophos Firewall in SFOS 22 blijft relevant voor de algemene matrix van IPv6-regels, routing en VPN.

Fouten systematisch afbakenen

De client verzendt RS, maar de firewall antwoordt niet

Controleer de interface, het IPv6-adres, de RA-status en een eventueel bestaande automatische Prefix Delegation-configuratie. Correleer daarna radvd.log met het testtijdstip. Een serviceherstart is niet de eerste diagnosestap; configuratie, capture en log moeten eerst het ontbrekende antwoordpad aantonen.

RA komt aan, maar de client krijgt geen globaal adres

Vergelijk de aangekondigde /64, Autonomous en de daadwerkelijk ontvangen RA. Controleer bij een actieve Managed flag ook de DHCPv6-communicatie via UDP 546 en 547. Alleen een zichtbare RA bewijst geen volledige adrestoewijzing.

De client heeft een adres, maar geen standaardgateway

Controleer of Default gateway actief is en welke router lifetime in de RA aankomt. DHCPv6 kan deze ontbrekende standaardroute niet vervangen. Als meerdere Router Advertisements zichtbaar zijn, moet ook worden vastgesteld welke router de client werkelijk beïnvloedt.

Adres en gateway kloppen, maar DNS ontbreekt

Bij Other flag of een DHCPv6-model moet de DHCPv6-server de geplande DNS-waarden daadwerkelijk leveren. Vergelijk daarna clientaanvraag, serverantwoord en lokale resolverconfiguratie. Alleen het instellen van de flag maakt geen DNS-server.

IPv6 werkt slechts gedeeltelijk

Controleer eerst de route en het retourpad, daarna de IPv6-firewallregel en Rule ID. Vergelijk bij grote pakketten ook de werkelijk aangekondigde Link MTU met een capture en een applicatietest. IPv4-succes bewijst het afzonderlijke IPv6-datapad niet.

Prefix Delegation heeft een andere prefix gemaakt

De prefix van een RA-configuratie die automatisch door Prefix Delegation is gemaakt, kan niet handmatig worden vervangen. Controleer providerprefix, gedelegeerde interface en bestaande RA-vermelding samen. Een aanvullende prefix vereist een eigen RA-server en een volledig werkend routingpad.

Sophos Firewall-services en logs via CLI controleren deelt de relevante services en logbestanden in, waaronder radvd.log.

De wijziging terugdraaien

Schakel tijdens de rollback de nieuwe RA-vermelding uit of verwijder deze en herstel de eerder gedocumenteerde toestand. Behandel een automatisch door Prefix Delegation gemaakte configuratie niet als een onafhankelijke handmatige vermelding; controleer eerst de onderliggende interface- en delegatie-instelling.

Verbind de client daarna opnieuw en controleer de RA-bron, het adres, de standaardgateway, DNS en een echt IPv6-datapad nogmaals. Laat oude en nieuwe RA-bronnen niet ongecontroleerd parallel actief.

Veelgestelde vragen