Konfigurowanie delegacji prefiksu IPv6 na Sophos Firewall

Dzięki delegacji prefiksu IPv6 Sophos Firewall może uzyskać prefiks IPv6 od dostawcy i dostarczać go do sieci wewnętrznych. Jest to szczególnie istotne, gdy połączenie internetowe nie dostarcza stałej, statycznej sieci IPv6, a dostawca deleguje prefiks za pomocą DHCPv6.

Skrócona procedura składa się z trzech części: na interfejsie WAN wybierz DHCP > Manual > DHCP only i włącz DHCP prefix delegation. Na interfejsie wewnętrznym wybierz Delegated, wskaż WAN jako Upstream interface i włącz Router advertisement. Następnie sprawdź rzeczywiście przydzielony prefiks, adresację klientów i dozwolony ruch testowy.

W środowiskach IPv4 często myśli się w kategoriach NAT, sieci prywatnych i przekierowań portów. W przypadku IPv6 jest inaczej: klienci mogą otrzymywać publiczne adresy IPv6, a firewall kontroluje dostęp poprzez routing, ogłoszenia routera, parametry DHCPv6 i zasady firewalla. Dlatego delegacja prefiksu powinna być świadomie planowana, a nie tylko aktywowana jako dodatkowa opcja interfejsu.

Przed przygotowaniem projektu artykuł Obsługa IPv6 i ograniczenia w Sophos Firewall z SFOS 22 wskazuje, które funkcje interfejsów, routingu, VPN, reguł, DNS, aktualizacji i certyfikatów rzeczywiście obsługują IPv6. Prefix Delegation rozwiązuje tylko adresowanie i nie zastępuje tej kontroli end-to-end.

Podstawy dotyczące interfejsów, stref i VLAN-ów można znaleźć w artykule Konfigurowanie stref i interfejsów Sophos Firewall. Jeśli chodzi o klasyczne opcje DHCP dla specjalnych przypadków IPv4, lepszym artykułem jest Opcje DHCP Sophos Firewall (SFOS).

Kiedy delegacja prefiksu ma sens

Delegacja prefiksu ma sens, gdy dostawca dynamicznie dostarcza prefiks IPv6 przez połączenie WAN, a Sophos Firewall ma rozdzielić ten prefiks do sieci wewnętrznych.

Typowe scenariusze:

• Połączenie internetowe dual-stack z IPv4 i IPv6.
• Dostawca dostarcza prefiks IPv6 za pomocą delegacji prefiksu DHCPv6.
• Klienci wewnętrzni powinni korzystać z IPv6 natywnie.
• Wiele sieci wewnętrznych, na przykład LAN, serwery, goście lub DMZ, powinno otrzymać IPv6.
• DNS, rejestrowanie zdarzeń i reguły firewalla powinny świadomie uwzględniać IPv6.

Nie każda sieć potrzebuje natychmiast IPv6. Jeśli jednak IPv6 jest aktywne na klientach, powinno być kontrolowane przez firewall, zasady i logi. Niekompletna konfiguracja IPv6 może prowadzić do sytuacji, w której klienci preferują IPv6, ale błędy są szukane w rozwiązywaniu problemów z IPv4.

Wymagania wstępne

Przed konfiguracją należy wyjaśnić następujące kwestie:

• Dostawca obsługuje delegację prefiksu IPv6 na połączeniu.
• Połączenie używane do delegacji prefiksu nie korzysta z PPPoE; Sophos Firewall nie obsługuje również PPPoE over IPv6.
• Projekt WAN i interfejsów uwzględnia istniejące VLAN-y oraz LAG-i.
• Zaplanowane są wewnętrzne strefy i zasady firewalla.
• Jest jasne, czy klienci powinni używać tylko SLAAC, czy też potrzebują dodatkowych parametrów DHCPv6.
• Koncepcja DNS i analiza logów uwzględniają IPv6.

⚠️ Sophos Firewall nie obsługuje PPPoE over IPv6; delegacji prefiksu nie można używać przez PPPoE. W przypadku VLAN-ów instrukcje Sophos dla SFOS 22 i 23 zawierają rozbieżne stwierdzenia: przewodnik dotyczący delegacji prefiksu wyklucza jej użycie na każdym interfejsie ze skonfigurowanym VLAN-em. Osobno instrukcja dotycząca interfejsów fizycznych zabrania zmiany metody przypisania adresu na takim interfejsie nadrzędnym ze Static na DHCP lub Delegated. Mimo to instrukcja dotycząca VLAN-ów wyraźnie opisuje opcje DHCP prefix delegation i Delegated na interfejsach VLAN. Nie można na tej podstawie sprowadzić szerokiego ograniczenia delegacji prefiksu wyłącznie do zmiany metody przypisania na interfejsie nadrzędnym. Projekty VLAN należy zatem oceniać z uwzględnieniem rzeczywistej ścieżki przez interfejs upstream, interfejs nadrzędny i sieć dostawcy; udokumentowane opcje VLAN nie stanowią ogólnego potwierdzenia obsługi każdej topologii. Interfejsy LAG nie obsługują DHCP Prefix Delegation.

Zrozumienie docelowego obrazu

W przypadku delegacji prefiksu dzieje się kilka rzeczy po kolei:

1. Firewall żąda na interfejsie WAN adresu IPv6 i delegowanego prefiksu od dostawcy.
2. Dostawca przypisuje interfejsowi WAN adres IPv6, a firewallowi prefiks.
3. Firewall deleguje z tego prefiksu sieć IPv6 do wewnętrznego interfejsu, na przykład LAN lub DMZ.
4. Wewnętrzny interfejs rozdziela informacje IPv6 do klientów za pomocą ogłoszeń routera.
5. Opcjonalnie serwer DHCPv6 dostarcza dodatkowe parametry, na przykład serwery DNS.

Ważny jest podział ról: ogłoszenia routera zapewniają, że klienci uczą się swojego prefiksu IPv6 i domyślnej bramy. DHCPv6 może dostarczać dodatkowe informacje. Zasady firewalla nadal decydują, jaki ruch jest dozwolony.

Przygotowanie interfejsu WAN

Pierwszym krokiem jest interfejs WAN. Tutaj Sophos Firewall żąda prefiksu IPv6 od dostawcy.

Wybór metody IPv6 i trybu odbierania konfiguracji

Na fizycznym interfejsie WAN dostępne są Static i DHCP, a na fizycznym interfejsie wewnętrznym — Static, DHCP i Delegated. Static służy do ręcznego przypisania adresu IPv6 i prefiksu; konfiguruje się także Gateway name i Gateway IP address. Poniższa procedura DHCP na WAN i Delegated na interfejsie wewnętrznym opisuje konkretną ścieżkę delegacji prefiksu, a nie wszystkie sposoby konfiguracji IPv6.

Po wybraniu DHCP pole Mode określa sposób konfiguracji adresu interfejsu firewalla:

• Auto automatycznie przypisuje adres IPv6 zgodnie z używaną metodą: DHCP only albo Stateless.
• Manual pozwala jawnie wybrać DHCP only albo Stateless. Przy DHCP only firewall przypisuje swojemu interfejsowi zarówno adres, jak i pozostałe parametry dostarczone przez serwer DHCPv6.
• Przy Manual > Stateless firewall konfiguruje adres własnego interfejsu przez SLAAC zgodnie z flagami Managed (M) Address Configuration i Other (O) Configuration w odebranym komunikacie Router Advertisement. Opcja Accept other configuration from DHCP pozwala pobierać pozostałe parametry z serwera DHCPv6. W tym trybie nie można ustawić pola Gateway IP address.

Odbieranie RA w trybie Stateless dotyczy konfiguracji interfejsu samego firewalla. Jest to inna rola niż wysyłanie przez firewall ogłoszeń RA do klientów na interfejsie wewnętrznym.

Ścieżka menu:

Network > Interfaces

Procedura:

1. Edytuj odpowiedni interfejs WAN.
2. Otwórz IPv6 configuration.
3. Wybierz DHCP.
4. Wybierz Manual.
5. Aktywuj DHCP only.
6. Włącz DHCP prefix delegation.
7. Opcjonalnie skonfiguruj Preferred delegated prefix, jeśli dostawca i własny projekt sieci na to pozwalają. Na fizycznym interfejsie WAN długość może wynosić od /48 do /64; na VLAN-ie WAN dostępne są /48, /52, /56 i /60.
8. Opcjonalnie włącz DHCP rapid commit, ale tylko wtedy, gdy Rapid Commit jest również włączone na serwerze DHCPv6 dostawcy. Sama obsługa tej funkcji przez serwer nie wystarcza. Rapid Commit skraca wymianę z czterech komunikatów (Solicit, Advertise, Request, Reply) do dwóch (Solicit, Reply), co przyspiesza konfigurację.
9. W tej procedurze Manual > DHCP only wpisz Gateway name i Gateway IP address odpowiednio do połączenia dostawcy. Na VLAN-ie WAN pole Gateway IP pokazuje adres IPv6 skonfigurowanej bramy.
10. Kliknij Save, a następnie Update interface.

W ustawieniu Preferred delegated prefix adres prefiksu jest opcjonalny, ale jego długość jest wymagana. Dostawca może spełnić żądanie albo delegować inny prefiks. Po późniejszej zmianie żądanego adresu lub długości, aby firewall zaktualizował prefiks IPv6, należy usunąć dzierżawę DHCP albo wykonać Unbind interfejsu WAN. Należy zaplanować tę przerwę, a nie tylko zapisać zmianę podczas normalnej pracy.

W praktyce najpierw należy wyjaśnić z dostawcą:

• Jaka długość prefiksu jest delegowana, na przykład /56, /60 lub /64?
• Czy prefiks jest stabilny, czy może się zmieniać?
• Czy należy żądać określonej wartości?
• Czy są jakieś ograniczenia w przypadku konfiguracji mostka, PPPoE lub router-modem?

Konfiguracja wewnętrznego interfejsu

Po skonfigurowaniu interfejsu WAN przypisuje się delegowany prefiks do interfejsu wewnętrznego.

Ścieżka menu:

Network > Interfaces

Procedura:

1. Edytuj wewnętrzny interfejs, na przykład LAN lub DMZ.
2. Otwórz IPv6 configuration.
3. Wybierz Delegated.
4. W polu Upstream interface wybierz interfejs WAN z przypisaniem IPv6 DHCP i włączoną opcją DHCP prefix delegation.
5. Firewall automatycznie przypisuje temu interfejsowi wewnętrznemu adres IPv6 i prefiks. Sprawdź wartości w polu IPv6/prefix.
6. Aktywuj Router advertisement, aby firewall ogłaszał prefiks klientom w tej sieci. Opcja ta pozwala firewallowi pełnić rolę serwera RA.
7. Opcjonalnie aktywuj DHCPv6 server, jeśli klienci mają otrzymać dodatkowe parametry. W trybie Delegated opcja przekazuje parametry, takie jak DNS, ale nie adresy IPv6.
8. Kliknij Save, a następnie Update interface.

W opisie pól Delegated dla interfejsu fizycznego dokumentacja wymienia warunkowo Gateway name i Gateway IP: należy je wpisać, jeśli Zone jest ustawiona na WAN. Nie oznacza to ogólnej obsługi Delegated na fizycznym WAN: zestaw metod dla tej roli obejmuje Static i DHCP, a Delegated jest wymienione dla interfejsów wewnętrznych. W opisanej procedurze WAN pobiera prefiks przez DHCP, a interfejs wewnętrzny korzysta z niego przez Delegated.

Zgodnie z dokumentacją Sophos można dostosować adres IPv6 w polu IPv6/prefix, ale nie długość prefiksu. Ma to znaczenie przy wielu sieciach wewnętrznych: delegowany /64 zapewnia tylko jedną odrębną sieć kliencką /64. Krótszy prefiks dostawcy, na przykład /56, daje przestrzeń dla wielu sieci /64; rozstrzygające są prefiksy faktycznie wyświetlane przez SFOS, a nie wartości wywnioskowane z przykładu.

Prawidłowe rozróżnienie projektów VLAN i LAG

Wiele sieci produkcyjnych używa VLAN-ów dla klientów, serwerów, gości i zarządzania. W przypadku delegacji prefiksu należy rozpatrywać łącznie trzy odrębne stwierdzenia z instrukcji Sophos dla SFOS 22 i 23:

• Przewodnik dotyczący delegacji prefiksu zabrania jej używania na każdym interfejsie, na którym skonfigurowano VLAN. To stwierdzenie ma szerszy zakres niż ograniczenie dotyczące zmiany metody przypisania adresu.
• Instrukcja dotycząca interfejsów fizycznych osobno zabrania późniejszej zmiany metody przypisania na interfejsie nadrzędnym z już skonfigurowanymi podinterfejsami VLAN ze Static na DHCP lub Delegated.
• Instrukcja dotycząca VLAN-ów wyraźnie opisuje DHCP prefix delegation do pobierania prefiksu od dostawcy oraz IPv6 configuration > Delegated dla wewnętrznego VLAN-u. Jako upstream wymaga interfejsu WAN z metodą przypisania IPv6 DHCP i włączoną opcją DHCP prefix delegation.
• Interfejsy LAG nie obsługują DHCP Prefix Delegation.

Zakres stosowania szerokiego ograniczenia delegacji prefiksu i opisanych opcji VLAN pozostaje zatem niejednoznaczny w dokumentacji. Ograniczenie dotyczące interfejsu nadrzędnego wskazuje konkretną granicę, ale nie dowodzi, że szersze stwierdzenie dotyczy wyłącznie tej zmiany metody przypisania. Nie wynika z tego ani ogólne potwierdzenie obsługi, ani ogólny zakaz wszystkich projektów VLAN. Przed wdrożeniem należy sprawdzić rzeczywistą ścieżkę przez interfejs upstream i interfejs nadrzędny, a jeśli nie jest jasne, czy konkretna topologia spełnia wymagania, wyjaśnić jej obsługę z Sophos i dostawcą:

• Który interfejs żąda prefiksu od dostawcy?
• Czy ten interfejs nadrzędny ma już podinterfejsy VLAN?
• Czy uplink dostawcy sam jest VLAN-em i dostarcza DHCPv6 Prefix Delegation?
• Czy jako upstream używany jest LAG, który nie obsługuje tej funkcji?
• Czy dostawca oferuje statyczne IPv6?
• Czy delegowany prefiks jest wystarczająco duży dla wszystkich planowanych wewnętrznych sieci /64?

Podstawy dotyczące VLAN-ów można znaleźć w artykule Konfigurowanie VLAN na Sophos Firewall i UniFi Switch. Artykuł ten wyjaśnia głównie IPv4, ale planowanie stref, trunków i zasad jest również istotne dla IPv6.

Sprawdzenie ogłoszeń routera

Gdy delegacja prefiksu jest aktywowana na wewnętrznym interfejsie, Sophos Firewall automatycznie tworzy ogłoszenie routera dla tego interfejsu. Artykuł Konfiguracja IPv6 Router Advertisement w Sophos Firewall wyjaśnia Managed flag, Other flag, On-link, Autonomous, lifetimes i automatyczne przypisanie prefiksu, którego nie można zmienić.

Ścieżka menu:

Network > IPv6 router advertisement

Tam należy sprawdzić:

• Czy istnieje automatycznie utworzony serwer RA dla wewnętrznego interfejsu?
• Czy ogłaszany jest oczekiwany prefiks?
• Czy flagi RA pasują do planowanego zachowania klienta?
• Czy należy ustawić Other flag, aby DHCPv6 dostarczał dodatkowe parametry?

Otwórz automatycznie utworzony serwer RA dla delegowanego interfejsu i sprawdź Prefix advertisement configuration. Konfiguracja ogłoszeń prefiksu automatycznie utworzonego serwera RA nie może być zmieniona. Jeśli dodatkowo ma być ogłaszany inny prefiks, należy utworzyć własny serwer RA. Opcjonalnie włącz Other flag, jeśli serwer DHCPv6 ma dostarczać klientom pozostałe parametry DHCP. Po sprawdzeniu lub zmianie dostępnych ustawień kliknij Save.

Dla większości środowisk obowiązuje: najpierw sprawdź, czy klienci otrzymują poprawnie adresy IPv6 z automatycznie utworzonego RA, zanim dodasz dodatkowe serwery RA lub specjalne konfiguracje.

Używanie DHCPv6 tylko do właściwego celu

DHCPv6 nie jest tym samym co DHCPv4. W wielu projektach IPv6 klienci otrzymują swój adres przez SLAAC, a dodatkowe informacje przez DHCPv6. Dlatego przed aktywacją należy wyjaśnić, co DHCPv6 ma osiągnąć.

Jeżeli Sophos Firewall ma samodzielnie przydzielać adresy lub parametry dodatkowe, artykuł Konfigurowanie i testowanie serwera DHCPv6 na Sophos Firewall wyjaśnia pulę dzierżaw, DUID, czasy ważności i osobną kontrolę RA.

Typowe parametry DHCPv6 to:

• Serwery DNS.
• Domeny wyszukiwania DNS.
• Inne opcje DHCPv6, jeśli klient ich naprawdę potrzebuje.

Jeśli klienci otrzymują adres IPv6, ale nie mogą rozwiązać nazw, nie oznacza to automatycznie, że delegacja prefiksu jest błędna. Często brakuje wtedy odpowiedniego serwera DNS, kombinacja RA/DHCPv6 jest niejasna lub klient używa innej ścieżki DNS niż oczekiwano.

Dla wewnętrznych domen i scenariuszy Split-DNS pozostaje istotne Konfigurowanie tras żądań DNS na Sophos Firewall. IPv6 nie zmienia podstawowego pytania, który serwer DNS jest odpowiedzialny za którą domenę.

Sprawdzenie zasad firewalla i dostępu do urządzeń

Ruch IPv6 wymaga odpowiednich zasad firewalla. Sprawdź, czy istniejące zasady używają obiektów źródłowych i docelowych obsługujących IPv6 oraz wymaganych usług; zasada zawierająca wyłącznie obiekty sieci IPv4 nie obejmuje nowej ścieżki IPv6.

Przed zatwierdzeniem należy sprawdzić:

• Czy istnieją zasady dla odpowiedniej strefy źródłowej i docelowej?
• Czy ruch IPv6 jest logowany tam, gdzie jest to potrzebne do rozwiązywania problemów lub zgodności?
• Czy DNS, NTP, sieć Web i potrzebne aplikacje są dozwolone?
• Czy połączenia przychodzące z Internetu są nadal świadomie blokowane lub celowo dozwolone?
• Czy istnieją oddzielne zasady dla stref klientów, serwerów, gości i zarządzania?

W przypadku IPv6 należy szczególnie unikać sytuacji, w której klienci wewnętrzni są niekontrolowanie dostępni bezpośrednio z Internetu. Publiczne adresy IPv6 nie oznaczają, że połączenia przychodzące muszą być dozwolone. Zasady firewalla pozostają centralną granicą.

Również Device Access musi być uwzględniony. Jeśli klienci wewnętrzni mają używać firewalla jako serwera DNS, DNS musi być dozwolony dla odpowiedniej strefy. Usługi zarządzania, takie jak WebAdmin lub SSH, nie powinny być jednak szerzej dostępne przez nową konfigurację IPv6. Utwardzenie lokalnych usług firewalla jest opisane w Dostęp do urządzeń i lokalna ACL na Sophos Firewall.

Testy po konfiguracji

Po wdrożeniu należy nie tylko sprawdzić, czy klient otrzymał jakikolwiek adres IPv6. Kluczowe jest, czy cała ścieżka działa kontrolowanie.

Sensowne testy:

1. Interfejs WAN pokazuje adres IPv6 i delegowany prefiks.
2. Wewnętrzny interfejs pokazuje delegowany prefiks IPv6.
3. W Network > IPv6 router advertisement widoczny jest automatyczny serwer RA.
4. Klient testowy otrzymuje adres IPv6 z oczekiwanego prefiksu.
5. Klient testowy ma domyślną bramę IPv6.
6. Rozwiązywanie nazw DNS działa dla nazw wewnętrznych i zewnętrznych.
7. HTTPS działa do znanego celu obsługującego IPv6; ping IPv6 stosuj tylko wtedy, gdy wiadomo, że cel odpowiada na ICMPv6.
8. Log Viewer pokazuje odpowiednią zasadę firewalla dla ruchu testowego.
9. Test przychodzący IPv6 z Internetu jest dozwolony tylko wtedy, gdy istnieje na to świadoma zasada.

Dla pojedynczych połączeń pomocne jest Testowanie zasad firewalla za pomocą Log Viewer, Policy Test i Packet Capture. Jeśli chodzi o podstawowe problemy z interfejsem lub DNS, najpierw należy sprawdzić status interfejsu, ogłoszenia routera i konfigurację DNS.

Do głębszej analizy Sophos przypisuje trzy logi usług do odpowiednich funkcji:

• networkd.log dla fizycznych i wirtualnych interfejsów,
• dhcpd6.log dla serwera DHCPv6,
• radvd.log dla IPv6 Router Advertisement.

To przypisanie nie oznacza, że każdy plik musi zawierać określony komunikat błędu. Aby wiarygodnie skorelować dane, zanotuj czas, interfejs i prefiks widoczny przed awarią oraz po niej, a następnie porównaj te informacje z wpisami we właściwych logach.

Kontrolowane wycofanie zmiany

Przed zmianą zanotuj poprzedni sposób przypisania IPv6, adres lub prefiks, wartości bramy oraz ustawienia RA/DHCPv6 obu interfejsów. Jeśli testy odbiorcze nie powiodą się, przejdź do Network > Interfaces, przywróć dokładnie te wartości na obu interfejsach, za każdym razem wybierając Save i Update interface. Ponownie sprawdź adresację, bramę domyślną, DNS i ruch, który działał wcześniej. Nie zgaduj wartości zastępczych bez udokumentowanego stanu początkowego.

Typowe błędy

Klienci nie otrzymują adresu IPv6

Najpierw sprawdź, czy interfejs WAN rzeczywiście otrzymał prefiks. Jeśli prefiks nie jest widoczny, problem zazwyczaj leży po stronie dostawcy, interfejsu WAN, projektów PPPoE/mostka lub żądania delegacji prefiksu.

Jeśli na WAN jest prefiks, ale klienci nie otrzymują adresu, należy sprawdzić wewnętrzny interfejs, ogłoszenia routera i sieć klienta.

Klienci mają IPv6, ale brak Internetu

Wtedy delegacja prefiksu zasadniczo nie musi być problemem. Częste przyczyny to:

• brak odpowiedniej zasady firewalla,
• DNS nie działa,
• klient preferuje IPv6, ale strona docelowa lub ścieżka jest zakłócona,
• niewłaściwy wewnętrzny interfejs,
• RA lub DHCPv6 dostarcza niekompletne parametry,
• ścieżka powrotna lub routing dostawcy nie pasuje.

Jeżeli sieć kliencka jest świadomie tylko IPv6 i brakuje jedynie dostępu do celu WWW IPv4, potrzebne jest oddzielne przejście. NAT64 z Direct Web Proxy przedstawia aktualną procedurę SFOS z regułą IPv6 do proxy i następującą po niej regułą IPv4 do celu. Nie zastępuje to ogólnego NAT64 dla innych protokołów.

DNS działa tylko częściowo

W przypadku IPv6 problemy z DNS często pojawiają się późno, ponieważ niektóre aplikacje przełączają się między IPv4 a IPv6. Należy testować osobno:

• rozwiązywanie nazw zewnętrznych DNS,
• domeny wewnętrzne,
• odwrotne wyszukiwania, jeśli logi lub raporty mają wyświetlać nazwy,
• serwer DNS, którego klient faktycznie używa.

Prefiks zmienia się po odnowieniu dzierżawy lub ponownym połączeniu

Jeśli dostawca przydziela dynamiczny prefiks, może się on zmienić. Wtedy mogą przestać działać statyczne adresy IPv6, ręczne wpisy DNS, zewnętrzne udostępnienia lub zasady monitorowania.

Dla serwerów produkcyjnych, opublikowanych usług lub złożonych sieci lokalizacyjnych należy sprawdzić, czy potrzebny jest stabilny prefiks dostawcy lub inny projekt IPv6.

Interfejs VLAN nie pokazuje opcji Delegated

Instrukcja dotycząca VLAN-ów dla SFOS 22 i 23 opisuje Delegated, natomiast przewodnik dotyczący delegacji prefiksu wskazuje omówione powyżej szersze ograniczenie dotyczące VLAN-ów. Sama widoczność opcji nie rozstrzyga tej sprzeczności w dokumentacji. Jeśli opcja nie jest dostępna lub nie można wybrać interfejsu upstream, należy sprawdzić wersję firmware, strefę, konfigurację IPv6 interfejsu WAN oraz interfejs nadrzędny. Interfejs upstream musi używać metody przypisania IPv6 DHCP i mieć włączoną opcję DHCP prefix delegation. Jeśli na fizycznym interfejsie nadrzędnym skonfigurowano już VLAN, nie można później zmienić jego metody przypisania IP ze Static na DHCP lub Delegated. W przypadku LAG jako upstream obowiązuje dodatkowo udokumentowane ograniczenie: interfejsy LAG nie obsługują DHCP Prefix Delegation. Jeśli nadal nie jest jasne, czy konkretna topologia spełnia wymagania, należy wyjaśnić to z Sophos i dostawcą, zamiast wyciągać z widoczności opcji wniosek o ogólnej obsłudze.

Lista kontrolna operacyjna

• Udokumentowana długość i stabilność prefiksu dostawcy.
• Sprawdzono ograniczenia interfejsów nadrzędnych, VLAN i LAG.
• Interfejs WAN otrzymuje adres IPv6 i delegowany prefiks.
• Wewnętrzny interfejs używa Delegated z odpowiednim interfejsem upstream.
• Ogłoszenie routera jest aktywne i widoczne.
• DHCPv6 jest aktywowane tylko wtedy, gdy potrzebne są dodatkowe parametry.
• Sprawdzono koncepcję DNS dla nazw wewnętrznych i zewnętrznych.
• Zasady firewalla dla IPv6 zostały świadomie utworzone lub potwierdzone.
• Dostęp do urządzeń przez IPv6 nie został niepotrzebnie rozszerzony.
• Log Viewer pokazuje ruch testowy w sposób zrozumiały.
• Zmiany prefiksu lub dostawcy są dokumentowane.

FAQ