NAT64 op Sophos Firewall instellen met Direct Web Proxy

Een IPv6-only client kan via de Direct Web Proxy van Sophos Firewall een website bereiken die alleen een IPv4-adres heeft. SFOS lost de doelnaam in de proxy op en bouwt de volgende verbinding via IPv4 op. Daarvoor zijn twee firewallregels nodig: een IPv6-regel van de client naar de proxy en een IPv4-regel van de proxy naar het doel.

Dit is geen algemene layer 3-NAT64 voor willekeurige protocollen. Het werkt alleen voor HTTP- en HTTPS-verbindingen die browsers of toepassingen uitdrukkelijk naar de webproxy sturen. In deze procedure wordt geen normale NAT64-regel onder Rules and policies > NAT rules aangemaakt.

De volledige classificatie staat in IPv6-ondersteuning en beperkingen in Sophos Firewall met SFOS 22. SFOS ondersteunt dit proxygebaseerde NAT64-pad, maar vermeldt DNS64 als niet ondersteund; hierdoor ontstaat geen algemene overgang voor andere protocollen.

⚠️ De twee regels hebben verschillende taken. Voor IPv6-only endpoints horen de Web Policy en gebruikerskoppeling in de IPv6-regel. Application Control, IPS en andere beveiligingsfuncties voor de uitgaande IPv4-verbinding horen in de IPv4-regel. Eén brede regel maakt deze scheiding niet betrouwbaar zichtbaar.

NAT64 via de proxy in acht stappen

1. Een beheerde IPv6-only pilotclient en een gecontroleerd A-only webdoel kiezen.
2. IPv6-adres, DNS, proxy-FQDN en TCP-listener van de Direct Web Proxy controleren.
3. De basisconfiguratie voor Direct Web Proxy, Device Access en het PAC-bestand of browserbeleid voorbereiden.
4. In de IPv6-weergave een gelogde regel van het pilotnetwerk naar de proxypoort met doelzone WAN maken.
5. De Web Policy en indien nodig Match known users in deze IPv6-regel instellen.
6. In de IPv4-weergave een tweede gelogde regel van de proxy naar het IPv4-doel met HTTP/HTTPS maken.
7. Met een doel zonder AAAA-record testen en beide Firewall Rule IDs en de webfilterbeslissing controleren.
8. Pas na positieve en negatieve tests meer clients toevoegen; rollback, HA en SD-WAN afzonderlijk valideren.

Waarom twee firewallregels nodig zijn

Het datapad wisselt bij de proxy van IP-versie:

1. De client maakt via IPv6 verbinding met de proxylistener van de firewall.
2. De IPv6-regel beoordeelt client, gebruiker, doelnaam, proxypoort en Web Policy.
3. De proxy lost de aangevraagde hostnaam op.
4. Heeft het doel alleen een A-record, dan maakt de proxy een nieuwe IPv4-verbinding.
5. De IPv4-regel beoordeelt dit tweede segment en past bijvoorbeeld Application Control of IPS toe.

De tweede verbinding is niet meer het oorspronkelijke IPv6-pakket van de client. De IPv4-regel mag daarom niet worden ontworpen alsof het IPv6-adres van de client daar als bron moet verschijnen. Tegelijk bewijst alleen een geslaagde IPv6-regel nog niet dat de proxy het IPv4-doel werkelijk kan bereiken.

Sophos noemt deze opzet een NAT64-scenario. Anders dan bij een klassieke NAT64-gateway wordt echter geen IPv6-prefix naar willekeurige IPv4-doelen gerouteerd. Toepassingen zonder ondersteuning voor een expliciete proxy, UDP, ICMP en ander non-proxyverkeer worden met deze procedure niet vertaald.

Direct Web Proxy met een PAC-bestand instellen legt de algemene listener-, PAC-, Device Access- en rollbackconfiguratie uit. Dit artikel gaat uit van een werkend basispad via de proxy en voegt alleen de overgang van IPv6 naar IPv4 toe.

Voorbeeld en te vervangen waarden

De procedure gebruikt een kleine pilot:

• IPv6-only client: CLIENT6-PROXY-01
• Pilotnetwerk: 2001:db8:20:30::/64
• IPv6-adres van de firewall in het clientnetwerk: 2001:db8:20:30::1
• Proxy-FQDN: fw01.corp.example
• Proxypoort: TCP 3128
• Gecontroleerd A-only doel: v4-test.corp.example
• Gedocumenteerd doeladres: 192.0.2.80
• IPv6-regel: LAN6_DirectProxy_to_IPv4
• IPv4-regel: Proxy_IPv4_Egress_Pilot
• Web Policy: Web_Standard_IPv6_Pilot

2001:db8::/32, 192.0.2.0/24 en .example zijn documentatiebereiken. Ze werken niet als productieadressen en moeten worden vervangen door de IPv6-prefix van de organisatie, het werkelijke firewalladres en een gecontroleerde DNS-naam. De pilotclient moet echt alleen IPv6 gebruiken; een parallel actief IPv4-pad zou de test ongeldig maken.

Het testdoel heeft een A-record nodig, maar geen AAAA-record. Een kleine eigen webserver of een gecontroleerde virtuele testhost is hiervoor het meest geschikt. Een willekeurige openbare website is ongeschikt, omdat de beheerder op elk moment IPv6 kan activeren of DNS-antwoorden kan wijzigen.

IPv6 Prefix Delegation configureren legt uit hoe WAN-prefix, Router Advertisement en DHCPv6 samenwerken. NAT64 herstelt geen ontbrekende IPv6-adressering in het clientnetwerk.

De vereisten controleren

Voor de regels moeten vier afzonderlijke basisfuncties werken:

• De client heeft een geldig IPv6-adres, een default route en werkende DNS.
• fw01.corp.example levert in het clientnetwerk het bedoelde AAAA-antwoord van de firewall.
• Direct Web Proxy luistert onder Web > General settings > Web proxy configuration op de gedocumenteerde poort, in dit voorbeeld 3128.
• De firewall heeft een werkend IPv4-WAN-pad naar het doel.

Onder Administration > Device access moet Web proxy bereikbaar zijn voor de concrete clientbron en het bedoelde firewalladres. Een brede vrijgave voor de volledige LAN- of Wi-Fi-zone is voor een pilot niet nodig. De proxygrens blijft belangrijk: een toegelaten client kan via dit pad lokale HTTP/HTTPS-diensten van de firewall bereiken. De beheerdoelen worden daarom, zoals in het basisartikel beschreven, uitdrukkelijk negatief getest.

De client ontvangt proxy-FQDN en poort via een beheerd browserbeleid, een instelling van het besturingssysteem of een PAC-bestand. De FQDN moet vanaf de IPv6-only client via IPv6 bereikbaar zijn. Een IPv6-only client kan een proxyadres dat alleen een A-record heeft niet als eerste hop gebruiken.

Bestaande firewallregels, Web Policies, authenticatie, TLS Inspection en SD-WAN Routes documenteren. De twee pilotregels zo hoog plaatsen dat ze vóór een algemenere overeenkomende regel worden beoordeeld, zonder bestaande beveiligingsregels ongecontroleerd te passeren.

De IPv6-regel naar de proxy maken

Onder Rules and policies > Firewall rules eerst IPv6 selecteren en via Add firewall rule > New firewall rule een regel maken:

• Rule name: LAN6_DirectProxy_to_IPv4
• Action: Accept
• Log firewall traffic: ingeschakeld
• Source zones: LAN
• Source networks and devices: IPv6-pilotnetwerk of afzonderlijke pilotclient
• Destination zones: WAN
• Destination networks: gecontroleerd FQDN-doel of voor de latere uitrol de bewust geplande doelverzameling
• Services: eigen TCP-service voor 3128
• Match known users: alleen met al werkende authenticatie en de bedoelde gebruikers of groepen
• Web filtering > Web policy: Web_Standard_IPv6_Pilot

De doelzone WAN lijkt eerst ongebruikelijk, omdat de client technisch verbinding maakt met een firewalladres. Sophos vereist echter WAN of Any om het verkeer aan de proxycomponent over te dragen. Volgens de fabrikant geldt dit zelfs als de uiteindelijke webserver in LAN of DMZ staat. De doelzone wordt daarom niet op basis van een aanname naar de fysieke serverzone gewijzigd.

Sophos staat onder Services ook Any toe. De concrete listenerpoort is voor een pilot duidelijker en voorkomt een onnodig brede vrijgave. Als de Web proxy listening port verandert, moeten service, PAC-/browserinstelling, Device Access en tests allemaal dezelfde waarde gebruiken.

Voor IPv6-only endpoints worden gebruikers en groepen in deze IPv6-regel geconfigureerd. Ook de Web Policy geldt hier. De handleiding voor firewallregels legt volgorde, logging en gebruikerskoppeling uit; categorieën en acties worden in Web Protection Policies gepland.

De IPv4-regel van de proxy naar het doel maken

Daarna onder Rules and policies > Firewall rules naar IPv4 wisselen en de tweede regel maken:

• Rule name: Proxy_IPv4_Egress_Pilot
• Action: Accept
• Log firewall traffic: ingeschakeld
• Source zones: Any
• Source networks and devices: Any
• Destination zones: WAN
• Destination networks: eerst het gecontroleerde A-only doel, later alleen de werkelijk benodigde doelverzameling
• Services: HTTP en HTTPS, of de werkelijk benodigde doelpoorten
• Match known users: voor deze IPv6-only procedure niet gebruiken als vervanging voor de gebruikerskoppeling in de IPv6-regel
• Other security features: geplande Application Control-, IPS- en indien nodig Traffic Shaping-policy

Het officiële Sophos-voorbeeld gebruikt Any voor bronzone en bronnetwerk, omdat de proxy de IPv4-verbinding maakt. Deze waarden mogen niet ten onrechte door het IPv6-clientnetwerk worden vervangen. Houd de pilotregel in plaats daarvan nauw via doel en services en verifieer hem aan de hand van zijn Rule ID.

De Web Policy wordt niet naar deze IPv4-regel verplaatst. Ze hoort bij het eerste, gebruikersgerelateerde proxysegment. Application Control en IPS beveiligen daarentegen het segment tussen proxy en IPv4-doel. Een Traffic Shaping-policy in de IPv4-regel geldt voor deze egress; Sophos documenteert tegelijk dat Traffic Shaping niet geldt voor de directe verbinding tussen client en proxy.

Maak geen extra NAT64-regel. Het normale IPv4-WAN-pad van de firewall moet wel werken. Als een bestaande IPv4-regel deze proxy-egress al gecontroleerd afdekt, kan die na controle van Rule ID en policies in gebruik blijven; een tweede parallelle Any-regel zou dan slechter zijn dan een bewust gedocumenteerde bestaande regel.

Het echte IPv6-naar-IPv4-pad testen

Voorcontrole van DNS en listener

Op een Windows-pilotclient zijn de volgende alleen-lezencontroles nuttig:

Resolve-DnsName fw01.corp.example -Type AAAA
Resolve-DnsName v4-test.corp.example -Type A
Resolve-DnsName v4-test.corp.example -Type AAAA
Test-NetConnection fw01.corp.example -Port 3128

De proxy-FQDN moet het verwachte IPv6-adres opleveren. Het testdoel moet een A-record hebben; bij de AAAA-test wordt geen doeladres verwacht. Test-NetConnection bevestigt alleen de TCP-listener, niet de Web Policy, DNS-resolutie in de proxy of IPv4-egress.

Beide regels en beveiligingslagen valideren

1. Een nieuwe privébrowsersessie op de IPv6-only pilot openen.
2. De effectieve proxy of het geladen PAC-bestand controleren.
3. Het toegestane A-only doel openen.
4. Een door Web_Standard_IPv6_Pilot bewust geblokkeerd doel openen.
5. In Log viewer de IPv6-regel, bron, gebruiker, Web Policy, actie en Firewall Rule ID controleren.
6. Voor de volgende verbinding de IPv4-regel, het IPv4-doel, de service, Application Control/IPS en de tweede Firewall Rule ID controleren.
7. Dezelfde doeloproep zonder proxy negatief testen; de IPv6-only client mag het A-only doel dan niet rechtstreeks via IPv4 bereiken.
8. Een toepassing zonder proxyondersteuning testen en bevestigen dat die niet ten onrechte als NAT64-geschikt wordt beschouwd.

Succes is pas bewezen als de doelnaam werkelijk A-only is, de client de proxy via IPv6 bereikt, beide verwachte regels matchen en de toegestane en geblokkeerde webtests de geplande acties tonen. Firewallregels systematisch testen legt uit hoe Rule ID, Log Viewer, Policy Tester en Packet Capture worden gecorreleerd.

Fouten systematisch afbakenen

De proxypoort is niet bereikbaar via IPv6

Het AAAA-antwoord van de proxy-FQDN, het clientadres, de default route, Neighbor Discovery, de firewallinterface en Web proxy onder Device Access controleren. Een geslaagde IPv4-test vanaf een andere client zegt niets over het IPv6-listenerpad.

De IPv6-regel matcht, maar het doel laadt niet

Eerst bevestigen dat de proxy de doelnaam als A-record oplost en dat de firewall zelf een werkend IPv4-WAN-pad heeft. Daarna de IPv4-regel, het doel, de service, de volgorde en de Rule ID controleren. De IPv6-regel is slechts de eerste helft.

Alleen dual-stack websites werken

Het NAT64-pad is nog niet bewezen. Het testdoel op een bestaand AAAA-record controleren. Voor de acceptatie een eigen A-only doel gebruiken en een actief IPv4-pad op de client uitsluiten.

Web Policy of gebruiker klopt niet

De koppeling in de IPv6-regel controleren. SFOS beoordeelt Match known users voor IPv6-only endpoints in beide regels, maar Sophos wijst deze instellingen uitdrukkelijk aan de IPv6-regel toe. Een gebruikersmatch in de IPv4-regel mag ontbrekende gebruikerscontext in het eerste segment niet vervangen.

Application Control of IPS wordt niet toegepast

Deze functies in de IPv4-regel controleren, niet alleen in de IPv6-regel. Daarna aan de hand van de IPv4-Rule-ID bevestigen dat deze regel de proxy-egress werkelijk verwerkt. Een geslaagde webfilterbeslissing bewijst Application Control of IPS niet.

Interne of lokale doelen gedragen zich onverwacht

Ook als het uiteindelijke doel in LAN of DMZ staat, vereist de IPv6-regel WAN of Any voor de overdracht aan de proxy. De werkelijke doelzone wordt in de IPv4-regel weergegeven. Ook de blootstelling van lokale beheerdiensten door proxytoegang en de interne DNS-antwoorden controleren.

SD-WAN, HA en rollback

Een SD-WAN Route met de services HTTP en HTTPS matcht de clientverbinding naar proxypoort 3128 niet. Voor het eerste segment moet de werkelijke listenerpoort of bewust Any worden gebruikt. De proxy-egress heeft bovendien een werkende WAN-gateway of statisch retourpad nodig. SD-WAN Routes instellen en testen legt deze speciale gevallen uit.

In HA mag geen ononderbroken voortzetting van een bestaande proxyverbinding worden beloofd. Na een gecontroleerde failover een nieuwe browsersessie openen en proxy-AAAA, IPv6-Rule-ID, Web Policy, IPv4-Rule-ID en doeltoegang opnieuw controleren. Voor de logzoekopdracht telt de node die het betreffende verkeer heeft verwerkt.

Voor de rollback:

1. Pilotregels uitschakelen of naar de gedocumenteerde vorige toestand herstellen.
2. De specifieke Device Access-exception voor de pilot verwijderen als die alleen voor deze test is gemaakt.
3. De PAC-, GPO- of browserproxyinstelling op de pilot terugnemen.
4. De eerdere IPv4-/IPv6-regelvolgorde en SD-WAN-configuratie herstellen.
5. Directe IPv6-toegang, bestaand proxyverkeer en lokale beheerdiensten opnieuw controleren.

Verwijder de twee regels niet voordat het vorige pad is gedocumenteerd en een open beheersessie of alternatieve beheerstoegang beschikbaar is.

Checklist voor vrijgave

• Client is aantoonbaar IPv6-only.
• Proxy-FQDN levert het verwachte AAAA-adres.
• Testdoel heeft een A-record, maar geen AAAA-record.
• Direct Web Proxy en Device Access zijn beperkt tot de pilot.
• IPv6-regel gebruikt doelzone WAN, de werkelijke listenerpoort, logging en Web Policy.
• Gebruikerskoppeling heeft indien nodig positieve en negatieve tests in de IPv6-regel doorstaan.
• IPv4-regel verwerkt de proxy-egress met de geplande doelpoorten en beveiligingsfuncties.
• Beide Firewall Rule IDs en beide IP-versies zijn in de test bewezen.
• Blootstelling van beheerdiensten, non-proxyverkeer, SD-WAN en HA zijn bewust afgebakend.
• Rollback, verantwoordelijke en controledatum zijn gedocumenteerd.

Veelgestelde vragen