IPv6 Router Advertisement op Sophos Firewall configureren

Een IPv6-client kan een adres hebben en toch geen werkend netwerk. Op Sophos Firewall levert Router Advertisement, kortweg RA, de prefix, standaardrouter en informatie over de vraag of SLAAC of DHCPv6 verantwoordelijk is voor aanvullende waarden. DHCPv6 alleen levert geen standaardgateway.

De meest voorkomende fout is daarom niet een onjuist leasebereik, maar een ongeschikte combinatie van RA-prefix, flags en DHCPv6-rol. Een eenvoudig SLAAC-netwerk heeft normaal alleen een aangekondigde /64 met Autonomous nodig. Als een DHCPv6-server adressen moet uitdelen, is ook Managed flag nodig. Other flag verwijst clients naar aanvullende DHCPv6-parameters, zoals DNS of Domain Name.

⚠️ Een onjuist Router Advertisement kan adressen of de standaardrouter in het volledige Layer 2-segment wijzigen. Documenteer bestaande RA-bronnen, IPv6-prefixen en beheerstoegang voordat u opslaat. Test de wijziging eerst in een pilot-VLAN met een echte client.

Router Advertisement in acht stappen

1. Leg de bedoelde IPv6-/64, het clientsegment en de gewenste rollen van SLAAC en DHCPv6 vast.
2. Controleer of een router al RA-berichten verzendt of Prefix Delegation automatisch een RA-configuratie heeft gemaakt.
3. Open Network > IPv6 router advertisement en selecteer Add.
4. Selecteer de IPv6-geschikte fysieke interface, LAG, VLAN of bridge-interface van het clientsegment.
5. Stel de minimale en maximale advertisement-intervallen passend voor de omgeving in.
6. Activeer Managed flag, Other flag en Default gateway alleen volgens het geplande clientmodel.
7. Voeg de /64 toe met On-link, Autonomous, Preferred lifetime en Valid lifetime.
8. Sla op en controleer met een nieuwe clientrun RS, RA, adres, standaardgateway, DNS en echt IPv6-applicatieverkeer.

Een zichtbare RA-vermelding bewijst nog geen succes. Alleen de client toont of het besturingssysteem, de prefix, DHCPv6 en de standaardroute hetzelfde plan uitvoeren.

SLAAC, DHCPv6 en de twee flags begrijpen

Bij SLAAC vormt de client zijn globale IPv6-adres uit de aangekondigde prefix en zijn interface-id. De prefix moet hiervoor Autonomous toestaan. De firewall kondigt via RA ook de standaardrouter aan wanneer Default gateway is geactiveerd.

Managed flag betekent dat clients hun IPv6-adres van een DHCPv6-server moeten ontvangen. Sophos vermeldt uitdrukkelijk dat deze flag alleen mag worden gebruikt als een DHCPv6-server beschikbaar is. De volledige serverprocedure staat in Een DHCPv6-server op Sophos Firewall instellen en testen.

Other flag verwijst clients naar DHCPv6 voor aanvullende netwerkparameters. Dit kunnen DNS-servers, Domain Name, NIS, NISP, SIP, SNTP en BCMS zijn. De flag levert deze waarden niet zelf; DHCPv6 moet ze daadwerkelijk leveren en de client moet ze ondersteunen.

Afhankelijk van het besturingssysteem kan een client meerdere adressen maken of flags anders interpreteren. De gewenste combinatie moet daarom worden gecontroleerd met de clientplatforms die daadwerkelijk worden gebruikt en mag niet alleen uit het WebAdmin-formulier worden afgeleid.

Het adresmodel bewust kiezen

De drie opties hebben verschillende taken: Managed flag en Other flag staan in de RA-header, terwijl Autonomous bij elke aangekondigde prefix hoort. Default gateway is opnieuw onafhankelijk. Daarmee zijn deze gangbare modellen mogelijk:

• Alleen SLAAC: Schakel Autonomous en Default gateway in en laat Managed flag uit. Laat Other flag uit als de client geen aanvullende waarden via DHCPv6 moet ophalen.
• SLAAC plus stateless DHCPv6: Schakel Autonomous, Default gateway en Other flag in en laat Managed flag uit. SLAAC maakt het adres; DHCPv6 levert bijvoorbeeld DNS.
• Stateful DHCPv6: Schakel Managed flag en Default gateway in en zorg dat een DHCPv6-server bereikbaar is. Laat Autonomous uit als de client niet ook een SLAAC-adres moet maken; schakel Other flag in voor aanvullende DHCPv6-parameters.
• Co-existentie: Als Autonomous en Managed flag actief zijn, kunnen clients SLAAC en DHCPv6 parallel gebruiken. Kies dit alleen als meerdere adressen de bedoeling zijn en de gebruikte besturingssystemen zijn gecontroleerd.

Het gedocumenteerde RA-formulier van SFOS 22 bevat geen veld voor RDNSS of DNSSL. Plan daarom Other flag en een DHCPv6-server samen om DNS via deze Sophos-procedure te distribueren. Dit verandert een statische clientconfiguratie niet.

Automatische RA met Prefix Delegation

Wanneer op een interne interface IPv6 prefix delegation wordt geselecteerd, maakt SFOS automatisch een Router Advertisement. De automatisch toegewezen prefix van deze RA-server kan niet worden gewijzigd. Maak een extra RA-server met de gewenste prefix als nog een prefix moet worden aangekondigd.

De automatische creatie is handig, maar mag niet worden gemist. In de release notes van SFOS 21.5 GA staat bovendien dat RA en de DHCPv6-server standaard zijn ingeschakeld voor DHCP Prefix Delegation. Controleer vóór een handmatige RA-vermelding op de interne interface en onder Network > IPv6 router advertisement welke configuraties op het betreffende SFOS 22-systeem daadwerkelijk bestaan en actief zijn. IPv6 Prefix Delegation op Sophos Firewall configureren beschrijft de volledige procedure voor provider, WAN en gedelegeerde interface.

Voor het adresmodel is één onderscheid belangrijk: volgens de SFOS 22-help levert de optie DHCPv6 server van een interne interface in de modus Delegated alleen aanvullende parameters zoals DNS en geen IPv6-adressen. Voor stateful DHCPv6 is in plaats daarvan onder Network > DHCP een afzonderlijke server nodig die adressen toewijst.

Het voorbeeldnetwerk plannen

Het volgende voorbeeld gebruikt 2001:db8::/32, een bereik dat voor documentatie is gereserveerd. Het is niet bedoeld voor productieve internetcommunicatie en wordt vervangen door de werkelijk toegewezen prefix:

• Clientsegment: VLAN20
• Firewalladres: 2001:db8:20::1/64
• Aangekondigde prefix: 2001:db8:20::/64
• Bedrijfsmodus: SLAAC met standaardgateway
• DHCPv6: alleen voor aanvullende DNS-parameters, indien nodig
• Testclient: een beheerd apparaat in VLAN20

Prefix, interfaceadres en clientsegment moeten bij elkaar horen. Een RA-configuratie die uit een ander VLAN is gekopieerd, kan clients een formeel geldig adres geven dat in de lokale routing niet bruikbaar is.

Router Advertisement configureren

Interface en intervallen selecteren

Selecteer onder Network > IPv6 router advertisement > Add eerst de clientinterface. SFOS staat een IPv6-geschikte fysieke interface, LAG, VLAN of bridge-interface toe. Selecteer niet alleen een WAN- of transitinterface omdat de providerprefix daar binnenkomt; het Layer 2-clientsegment is bepalend.

Min advertisement interval en Max advertisement interval bepalen de tijd tussen ongevraagde RA-berichten. Als het maximale interval negen seconden of meer bedraagt, vereist SFOS dat het minimum 75 procent van het maximum is. Er bestaat geen universele ideale waarde: wijzigingen beïnvloeden detectietijd en berichtdichtheid en worden daarom alleen uitgevoerd met een gedocumenteerde uitgangswaarde en een clienttest.

Flags en standaardgateway instellen

Voor het SLAAC-voorbeeld blijft Managed flag uit. Activeer Other flag alleen als een bereikbare DHCPv6-server daadwerkelijk aanvullende waarden levert. Default gateway maakt de firewall tot de aangekondigde standaardrouter; de bijbehorende tijd wordt in seconden opgegeven.

Een geactiveerde flag bewijst geen werking. Als Managed flag is ingesteld, maar geen DHCPv6-server antwoordt, blijft de adresconfiguratie onvolledig. Als Default gateway uit staat, kan een client wel een globaal adres vormen, maar ontvangt hij geen standaardroute uit deze RA.

Prefix en lifetimes invoeren

Volgens Sophos kan een RA nul of meer prefixopties bevatten. De standaardrouter, M/O-flags en aangekondigde prefix zijn dus afzonderlijke keuzes: een RA zonder prefix kan nog routerinformatie leveren, maar maakt geen SLAAC-adres voor dit segment.

Voer voor dit voorbeeld 2001:db8:20::/64 in de Prefix Advertisement-configuratie in. Het veld verwacht exact één /64; verdeel een grotere gedelegeerde providerprefix eerst in geschikte /64-clientnetwerken. On-link vertelt de client dat bestemmingen binnen deze prefix zonder een andere router op het lokale segment bereikbaar zijn. Autonomous staat automatische adresvorming via SLAAC toe.

Preferred lifetime geeft in minuten aan hoe lang een adres de voorkeur heeft voor nieuwe verbindingen. Daarna wordt het deprecated, maar het kan voor bestaande communicatie worden gebruikt. Valid lifetime geeft aan hoe lang het adres in totaal geldig blijft. Na het verlopen kan het niet meer verzenden of ontvangen. SFOS vereist daarom een Valid lifetime die minstens even groot is als de Preferred lifetime.

Bij dynamische providerprefixen mogen deze tijden niet worden gepland alsof de prefix gegarandeerd gelijk blijft. Een prefixwijziging moet worden getest met een nieuwe clientrun en met zowel bestaande als nieuwe verbindingen.

MTU en Neighbor-parameters bewust behandelen

De geavanceerde velden regelen informatie voor IPv6 Neighbor Discovery:

• Link MTU kondigt de maximale pakketgrootte aan. Bij 0 kondigt de interface geen MTU-informatie aan.
• Reachable time bepaalt hoe lang een client een bevestigde neighbor als bereikbaar beschouwt.
• Retransmit time bepaalt de wachttijd vóór een nieuwe Neighbor Solicitation.
• Hop limit beperkt het aantal routerhops; elke router verlaagt de waarde.

Gebruik deze waarden niet als algemene prestatie-instellingen. Een MTU- of neighborwijziging vereist een concreet symptoom, een vastgelegde uitgangswaarde en nieuwe tests met grote pakketten, Neighbor Discovery en echte applicaties.

RA en clientgedrag controleren

Verbind na het opslaan de pilotclient opnieuw of vernieuw zijn IPv6-configuratie gecontroleerd. Een packet capture met het BPF-filter icmp6 moet de Router Solicitation van de client als ICMPv6 Type 133 en de Router Advertisement van de firewall als Type 134 tonen. Type 135 is een Neighbor Solicitation en mag tijdens de analyse niet met RS worden verward.

Controleer daarna de lagen afzonderlijk:

1. De RA komt op de verwachte interface en van de verwachte router.
2. Prefix, On-link, Autonomous en flags komen overeen met het plan.
3. De client heeft het verwachte globale IPv6-adres en een standaardgateway.
4. Als Managed flag of Other flag actief is, levert DHCPv6 de bedoelde waarden.
5. Interne en externe DNS-namen worden via de geplande servers opgelost.
6. Een echte IPv6-flow komt overeen met de verwachte Firewall Rule ID en de negatieve test blijft geblokkeerd.

Packet Capture in Sophos Firewall WebAdmin beschrijft de WebAdmin-capture en de velden. IPv6-ondersteuning en beperkingen van Sophos Firewall in SFOS 22 blijft relevant voor de algemene matrix van IPv6-regels, routing en VPN.

Fouten systematisch afbakenen

De client verzendt RS, maar de firewall antwoordt niet

Controleer de interface, het IPv6-adres, de RA-status en een eventueel bestaande automatische Prefix Delegation-configuratie. Correleer daarna radvd.log met het testtijdstip. Een serviceherstart is niet de eerste diagnosestap; configuratie, capture en log moeten eerst het ontbrekende antwoordpad aantonen.

RA komt aan, maar de client krijgt geen globaal adres

Vergelijk de aangekondigde /64, Autonomous en de daadwerkelijk ontvangen RA. Controleer bij een actieve Managed flag ook de DHCPv6-communicatie via UDP 546 en 547. Alleen een zichtbare RA bewijst geen volledige adrestoewijzing.

De client heeft een adres, maar geen standaardgateway

Controleer of Default gateway actief is en welke router lifetime in de RA aankomt. DHCPv6 kan deze ontbrekende standaardroute niet vervangen. Als meerdere Router Advertisements zichtbaar zijn, koppel dan elke bron aan het bronadres en de inkomende interface. Allowed RA servers onder Network > Interfaces > [interface bewerken] > Advanced settings beperkt alleen van welke RA-servers de firewall zelf een stateless configuratie accepteert; het veld filtert geen RA-berichten voor andere clients in het Layer 2-segment.

Adres en gateway kloppen, maar DNS ontbreekt

Bij Other flag of een DHCPv6-model moet de DHCPv6-server de geplande DNS-waarden daadwerkelijk leveren. Vergelijk daarna clientaanvraag, serverantwoord en lokale resolverconfiguratie. Alleen het instellen van de flag maakt geen DNS-server.

IPv6 werkt slechts gedeeltelijk

Controleer eerst de route en het retourpad, daarna de IPv6-firewallregel en Rule ID. Vergelijk bij grote pakketten ook de werkelijk aangekondigde Link MTU met een capture en een applicatietest. IPv4-succes bewijst het afzonderlijke IPv6-datapad niet.

Prefix Delegation heeft een andere prefix gemaakt

De prefix van een RA-configuratie die automatisch door Prefix Delegation is gemaakt, kan niet handmatig worden vervangen. Controleer providerprefix, gedelegeerde interface en bestaande RA-vermelding samen. Een aanvullende prefix vereist een eigen RA-server en een volledig werkend routingpad.

Sophos Firewall-services en logs via CLI controleren deelt de relevante services en logbestanden in, waaronder radvd.log.

De wijziging terugdraaien

Leg voor een toestandsbehoudend herstelpad vóór de wijziging interface, status, intervallen, flags, standaardgatewaytijd, alle prefixopties, lifetimes en Advanced Settings vast. Verwijder een bestaande werkende RA-vermelding niet uit voorzorg.

Als de vorige RA-bron tijdens de test actief is gebleven, hoeft voor de rollback alleen de nieuwe handmatige vermelding te worden uitgeschakeld of verwijderd. Is de vorige bron vervangen, herstel die dan eerst met de gedocumenteerde waarden en schakel pas daarna de nieuwe vermelding uit, zodat er geen periode zonder de bedoelde router ontstaat. Behandel een automatisch door Prefix Delegation gemaakte configuratie niet als een onafhankelijke handmatige vermelding; zet de gedocumenteerde interface- en delegatie-instelling terug naar de vorige toestand.

Verbind de client daarna opnieuw en controleer de RA-bron, het adres, de standaardgateway, DNS en een echt IPv6-datapad nogmaals. Eerder ontvangen adressen en routes kunnen zichtbaar blijven totdat hun aangekondigde lifetimes zijn verstreken; laat oude en nieuwe RA-bronnen daarom niet ongecontroleerd parallel actief en controleer niet alleen de waarden die al op de client staan.

Veelgestelde vragen