Konfiguracja IPv6 Router Advertisement w Sophos Firewall

Klient IPv6 może mieć adres, a mimo to nie mieć działającej sieci. W Sophos Firewall Router Advertisement, w skrócie RA, przekazuje prefiks, router domyślny oraz informację, czy za dodatkowe wartości odpowiada SLAAC, czy DHCPv6. Sam DHCPv6 nie przekazuje bramy domyślnej.

Najczęstszym błędem nie jest więc niewłaściwy zakres dzierżawy, lecz niepasujące połączenie prefiksu RA, flag i roli DHCPv6. Prosta sieć SLAAC zwykle potrzebuje tylko ogłaszanego /64 z opcją Autonomous. Jeśli adresy ma przydzielać serwer DHCPv6, potrzebna jest także opcja Managed flag. Other flag odsyła klientów po dodatkowe parametry DHCPv6, takie jak DNS lub Domain Name.

⚠️ Nieprawidłowy Router Advertisement może zmienić adresy lub router domyślny w całym segmencie warstwy 2. Przed zapisaniem należy udokumentować istniejące źródła RA, prefiksy IPv6 i dostęp administracyjny. Zmianę najpierw przetestować w pilotażowym VLAN-ie z rzeczywistym klientem.

Router Advertisement w ośmiu krokach

1. Określić planowany IPv6-/64, segment klientów oraz role SLAAC i DHCPv6.
2. Sprawdzić, czy router już wysyła komunikaty RA albo czy Prefix Delegation automatycznie utworzył konfigurację RA.
3. Otworzyć Network > IPv6 router advertisement i wybrać Add.
4. Wybrać fizyczny interfejs, LAG, VLAN lub bridge z obsługą IPv6 w segmencie klientów.
5. Ustawić minimalny i maksymalny advertisement interval odpowiednio do środowiska.
6. Włączyć Managed flag, Other flag i Default gateway wyłącznie zgodnie z planowanym modelem klienta.
7. Dodać /64 z opcjami On-link, Autonomous, Preferred lifetime i Valid lifetime.
8. Zapisać i podczas nowego cyklu klienta sprawdzić RS, RA, adres, bramę domyślną, DNS oraz rzeczywisty ruch aplikacyjny IPv6.

Widoczny wpis RA nie jest jeszcze dowodem powodzenia. Dopiero klient pokazuje, czy system operacyjny, prefiks, DHCPv6 i trasa domyślna realizują ten sam plan.

Zrozumieć SLAAC, DHCPv6 i obie flagi

Niezależnie od tego interfejs z obsługą IPv6 automatycznie tworzy adres link-local do komunikacji w segmencie lokalnym; nie wymaga to RA. Ten adres lokalny jest odrębny od globalnego adresu SLAAC i nie dowodzi, że konfiguracja adresów globalnych działa. Sam adres globalny również nie dowodzi dostępu do internetu.

W przypadku SLAAC klient tworzy swój globalny adres IPv6 z ogłoszonego prefiksu i identyfikatora interfejsu. Prefiks musi w tym celu zezwalać na Autonomous. Firewall ogłasza przez RA również router domyślny, gdy aktywna jest opcja Default gateway.

Managed flag oznacza, że klienci powinni uzyskiwać adres IPv6 z serwera DHCPv6. Sophos wyraźnie wskazuje, aby używać tej flagi tylko wtedy, gdy serwer DHCPv6 jest dostępny. Pełną procedurę opisuje artykuł Konfiguracja i testowanie serwera DHCPv6 w Sophos Firewall.

Other flag kieruje klientów do DHCPv6 po dodatkowe parametry sieciowe. Mogą to być serwery DNS, Domain Name, NIS, NISP, SIP, SNTP i BCMS. Flaga nie przekazuje tych wartości samodzielnie; DHCPv6 musi je rzeczywiście dostarczyć, a klient musi je obsługiwać.

W zależności od systemu operacyjnego klient może utworzyć kilka adresów lub inaczej interpretować flagi. Dlatego planowaną kombinację należy sprawdzić na rzeczywiście używanych platformach klienckich, a nie wyprowadzać wyłącznie z formularza WebAdmin.

Świadomie wybrać model adresowania

Te trzy opcje pełnią różne funkcje: Managed flag i Other flag znajdują się w nagłówku RA, a Autonomous należy do każdego ogłaszanego prefiksu. Default gateway jest od nich niezależna. Pozwala to zastosować następujące typowe modele:

• Tylko SLAAC: Włączyć Autonomous i Default gateway, a Managed flag pozostawić wyłączoną. Other flag pozostawić wyłączoną, jeśli klient nie ma pobierać dodatkowych wartości przez DHCPv6.
• SLAAC plus stateless DHCPv6: Włączyć Autonomous, Default gateway i Other flag, a Managed flag pozostawić wyłączoną. SLAAC tworzy adres, a DHCPv6 przekazuje na przykład DNS.
• Stateful DHCPv6: Włączyć Managed flag i Default gateway oraz zapewnić osiągalny serwer DHCPv6. Autonomous pozostawić wyłączoną, jeśli klient nie ma dodatkowo tworzyć adresu SLAAC; Other flag włączyć dla pozostałych parametrów DHCPv6.
• Współistnienie: Gdy Autonomous i Managed flag są aktywne, klienci mogą równolegle używać SLAAC i DHCPv6. Ten wariant należy wybrać tylko wtedy, gdy wiele adresów jest zamierzone i sprawdzono używane systemy operacyjne.

Udokumentowany formularz RA w SFOS 22 nie zawiera pola RDNSS ani DNSSL. Aby rozprowadzać DNS tą procedurą Sophos, trzeba więc wspólnie zaplanować Other flag i serwer DHCPv6. Nie zmienia to statycznej konfiguracji klientów.

Automatyczne RA z Prefix Delegation

Po wybraniu IPv6 prefix delegation na interfejsie wewnętrznym SFOS automatycznie tworzy Router Advertisement. Automatycznie przypisanego prefiksu tego serwera RA nie można zmienić. Aby ogłaszać dodatkowy prefiks, trzeba utworzyć kolejny serwer RA z tym prefiksem.

Automatyczne tworzenie jest wygodne, ale nie wolno go przeoczyć. Informacje o wersji SFOS 21.5 GA podają ponadto, że w DHCP Prefix Delegation RA i serwer DHCPv6 są domyślnie włączone. Przed dodaniem ręcznego wpisu RA należy sprawdzić na interfejsie wewnętrznym oraz w Network > IPv6 router advertisement, które konfiguracje rzeczywiście istnieją i są aktywne w danym systemie SFOS 22. Artykuł Konfiguracja IPv6 Prefix Delegation w Sophos Firewall opisuje cały proces po stronie operatora, WAN i interfejsu delegowanego.

W modelu adresowania ważne jest jedno rozróżnienie: zgodnie z pomocą SFOS 22 opcja DHCPv6 server na interfejsie wewnętrznym w trybie Delegated przekazuje tylko dodatkowe parametry, takie jak DNS, ale nie przydziela adresów IPv6. Stateful DHCPv6 wymaga zamiast tego oddzielnego serwera przydzielającego adresy w Network > DHCP.

Zaplanować sieć przykładową

Poniższy przykład wykorzystuje zarezerwowany do dokumentacji zakres 2001:db8::/32. Nie jest on przeznaczony do produkcyjnej komunikacji internetowej i należy go zastąpić rzeczywiście przydzielonym prefiksem:

• Segment klientów: VLAN20
• Adres firewalla: 2001:db8:20::1/64
• Ogłaszany prefiks: 2001:db8:20::/64
• Tryb pracy: SLAAC z bramą domyślną
• DHCPv6: tylko dla dodatkowych parametrów DNS, jeśli są potrzebne
• Klient testowy: zarządzane urządzenie w VLAN20

Prefiks, adres interfejsu i segment klientów muszą do siebie pasować. Konfiguracja RA skopiowana z innego VLAN-u może przekazać klientom formalnie poprawny adres, który nie działa w lokalnym routingu.

Skonfigurować Router Advertisement

Wybrać interfejs i interwały

W Network > IPv6 router advertisement > Add najpierw wybiera się interfejs klientów. SFOS dopuszcza fizyczny interfejs, LAG, VLAN lub bridge z obsługą IPv6. Nie należy wybierać interfejsu WAN lub tranzytowego tylko dlatego, że trafia tam prefiks operatora; decydujący jest segment klientów warstwy 2.

Min advertisement interval i Max advertisement interval określają odstęp między niezamówionymi komunikatami RA. Jeśli maksymalny interwał wynosi co najmniej dziewięć sekund, SFOS wymaga, aby minimum wynosiło 75 procent maksimum. Nie istnieje uniwersalna wartość idealna: zmiany wpływają na czas wykrywania i liczbę komunikatów, dlatego wykonuje się je tylko przy udokumentowanej wartości początkowej i z testem klienta.

Ustawić flagi i bramę domyślną

W przykładzie SLAAC opcja Managed flag pozostaje wyłączona. Other flag należy włączyć tylko wtedy, gdy osiągalny serwer DHCPv6 rzeczywiście przekazuje dodatkowe wartości. Default gateway sprawia, że firewall jest ogłaszanym routerem domyślnym; powiązany czas podaje się w sekundach.

Aktywna flaga nie dowodzi działania. Jeśli ustawiono Managed flag, ale żaden serwer DHCPv6 nie odpowiada, konfiguracja adresu pozostaje niepełna. Gdy Default gateway jest wyłączona, klient może utworzyć adres globalny, lecz nie otrzyma trasy domyślnej z tego RA.

Wprowadzić prefiks i lifetimes

Według Sophos RA może zawierać zero lub więcej opcji prefiksu. Router domyślny, flagi M/O i ogłaszany prefiks są więc oddzielnymi decyzjami: RA bez prefiksu może nadal przekazywać informacje o routerze, ale nie tworzy adresu SLAAC dla tego segmentu.

W tym przykładzie w konfiguracji Prefix Advertisement należy wprowadzić 2001:db8:20::/64. Pole oczekuje dokładnie jednego /64; większy delegowany prefiks operatora trzeba najpierw podzielić na odpowiednie sieci klientów /64. On-link informuje klienta, że cele z tego prefiksu są osiągalne w segmencie lokalnym bez dodatkowego routera. Autonomous zezwala na automatyczne utworzenie adresu przez SLAAC.

Preferred lifetime określa w minutach, jak długo adres jest preferowany dla nowych połączeń. Następnie staje się deprecated, ale może być nadal używany do istniejącej komunikacji. Valid lifetime określa całkowity okres ważności adresu. Po wygaśnięciu nie może on już wysyłać ani odbierać. SFOS wymaga więc Valid lifetime co najmniej równego Preferred lifetime.

W przypadku SLAAC kolejny RA zawierający zgodny prefiks nadający się do SLAAC może odświeżyć Preferred lifetime na podstawie nowo otrzymanej wartości. Adres przydzielony przez DHCPv6 może zostać odświeżony poprzez odnowienie DHCPv6. Sam ciągły odbiór RA nie gwarantuje jednak, że adres pozostanie preferowany: ogłoszona Preferred lifetime równa zeru powoduje deprecjację, a zbyt krótki okres może upłynąć przed kolejnym odświeżeniem.

Przy dynamicznych prefiksach operatora czasów tych nie wolno planować tak, jakby prefiks miał pozostać niezmienny. Zmianę prefiksu trzeba przetestować podczas nowego cyklu klienta oraz na istniejących i nowych połączeniach.

Świadomie traktować MTU i parametry Neighbor

Pola zaawansowane sterują informacjami dla IPv6 Neighbor Discovery:

• Link MTU ogłasza maksymalny rozmiar pakietu w bajtach. Przy 0 interfejs nie ogłasza informacji MTU.
• Reachable time określa, jak długo klient uznaje potwierdzonego neighbora za osiągalnego.
• Retransmit time określa czas oczekiwania przed kolejną Neighbor Solicitation.
• Hop limit ogranicza liczbę przeskoków przez routery; każdy router zmniejsza tę wartość.

Nie należy używać tych wartości jako ogólnych regulatorów wydajności. Zmiana MTU lub parametrów neighbora wymaga konkretnego objawu, zapisanej wartości początkowej i ponownych testów dużych pakietów, Neighbor Discovery i rzeczywistych aplikacji.

Tylko API: nazwa obiektu i status w SFOS 22/23

Automatyzacja przez API musi uwzględniać wersję SFOS. Te różnice dotyczą schematu API, a nie opisanych powyżej kroków w WebAdmin; nie można z nich wywnioskować istnienia dodatkowego pola w interfejsie graficznym.

Dla Add Router Advertisement i Update Router Advertisement SFOS 23 wymaga unikalnego Name dla docelowego obiektu RA, oprócz nadal obowiązkowego Interface. Name jest udokumentowany jako SCALAR typu STRING: maksymalnie 64 znaki, bez przecinka, znaki UTF-8 są dozwolone. Schemat SFOS 22 nie zawiera tego parametru ani odpowiadającego mu elementu w przykładzie.

Dla Delete Router Advertisement obowiązkowym parametrem wyboru w SFOS 22 jest Interface; SFOS 23 zastępuje go przez Name, z tymi samymi regułami nazewnictwa. Przed usunięciem jednoznacznie zidentyfikować docelowy obiekt RA, jego nazwę w SFOS 23 i powiązany interfejs klientów oraz udokumentować działające źródło RA i jego konfigurację. Nie usuwać zapobiegawczo istniejącego, działającego wpisu. Jeśli poprzednie źródło zostało zastąpione, zastosować opisaną poniżej procedurę wycofania zmiany: najpierw przywrócić poprzednie źródło, a dopiero potem wyłączyć nowy wpis.

Tabela statusów API w SFOS 23 dodaje 505 dla Add i Update z symbolicznym kluczem komunikatu Message.RouterAdvertisementNameRecordExists; SFOS 22 wymienia dla tych operacji tylko 200 i 500. Klucz wskazuje na już istniejącą nazwę. W przypadku takiego wyniku sprawdzić docelowy obiekt i unikalność Name, zamiast bez sprawdzenia usuwać i tworzyć go ponownie. 505 oznacza tu udokumentowany status API, a nie stwierdzenie dotyczące statusu HTTP. Tabela nie potwierdza zweryfikowanego tekstu komunikatu, przetestowanego zachowania urządzenia ani reguł dopasowania aktualizacji do obiektów, zmiany nazwy lub migracji.

Sprawdzić RA i zachowanie klienta

Po zapisaniu ponownie połączyć klienta pilotażowego lub kontrolowanie odnowić jego konfigurację IPv6. Przechwytywanie pakietów z filtrem BPF icmp6 musi pokazać Router Solicitation klienta jako ICMPv6 Type 133 oraz Router Advertisement firewalla jako Type 134. Type 135 oznacza Neighbor Solicitation i podczas analizy nie wolno go mylić z RS.

Następnie sprawdzić oddzielnie poszczególne warstwy:

1. RA dociera przez oczekiwany interfejs i pochodzi od właściwego routera.
2. Prefiks, On-link, Autonomous i flagi są zgodne z planem.
3. Klient ma oczekiwany globalny adres IPv6 i bramę domyślną.
4. Jeśli aktywna jest opcja Managed flag lub Other flag, DHCPv6 dostarcza planowane wartości.
5. Wewnętrzne i zewnętrzne nazwy DNS są rozwiązywane przez zaplanowane serwery.
6. Rzeczywisty przepływ IPv6 odpowiada oczekiwanemu Firewall Rule ID, a test negatywny nadal jest blokowany.

Packet Capture w WebAdmin Sophos Firewall opisuje przechwytywanie w WebAdmin i znaczenie pól. Obsługa i ograniczenia IPv6 w Sophos Firewall z SFOS 22 pozostają istotne dla ogólnej macierzy reguł, routingu i VPN IPv6.

Systematycznie zawężać błędy

Klient wysyła RS, ale firewall nie odpowiada

Sprawdzić interfejs, adres IPv6, stan RA oraz istniejącą automatyczną konfigurację Prefix Delegation. Następnie skorelować radvd.log z czasem testu. Restart usługi nie jest pierwszym krokiem diagnostycznym; najpierw konfiguracja, capture i log powinny wykazać brakującą ścieżkę odpowiedzi.

RA dociera, ale klient nie otrzymuje globalnego adresu

Porównać ogłaszany /64, Autonomous i rzeczywiście odebrany RA. Jeśli aktywna jest opcja Managed flag, sprawdzić również komunikację DHCPv6 przez UDP 546 i 547. Sam widoczny RA nie dowodzi pełnego przydziału adresu.

Klient ma adres, ale nie ma bramy domyślnej

Sprawdzić, czy aktywna jest opcja Default gateway i jaka router lifetime dociera w RA. DHCPv6 nie zastąpi brakującej trasy domyślnej. Jeśli widać kilka Router Advertisements, każdemu źródłu przypisać adres źródłowy i interfejs wejściowy. Allowed RA servers w Network > Interfaces > [edycja interfejsu] > Advanced settings ogranicza tylko serwery RA, od których sam firewall przyjmuje konfigurację stateless; pole nie filtruje komunikatów RA dla innych klientów w segmencie warstwy 2.

Adres i brama są poprawne, ale brakuje DNS

Przy Other flag lub modelu DHCPv6 serwer DHCPv6 musi rzeczywiście przekazywać zaplanowane wartości DNS. Następnie porównać żądanie klienta, odpowiedź serwera i lokalną konfigurację resolvera. Samo ustawienie flagi nie tworzy serwera DNS.

IPv6 działa tylko częściowo

Najpierw sprawdzić trasę i ścieżkę powrotną, a potem regułę IPv6 i Rule ID. Przy dużych pakietach porównać również rzeczywiście ogłaszaną Link MTU z przechwytywaniem i testem aplikacji. Sukces IPv4 nie dowodzi działania oddzielnej ścieżki IPv6.

Prefix Delegation utworzył inny prefiks

Prefiksu konfiguracji RA utworzonej automatycznie przez Prefix Delegation nie można zastąpić ręcznie. Należy razem sprawdzić prefiks operatora, interfejs delegowany i istniejący wpis RA. Dodatkowy prefiks wymaga własnego serwera RA oraz w pełni działającej ścieżki routingu.

Sprawdzanie usług i logów Sophos Firewall przez CLI klasyfikuje odpowiednie usługi i pliki logów, w tym radvd.log.

Wycofać zmianę

Aby zachować stan podczas odtwarzania, przed zmianą zapisać interfejs, status, interwały, flagi, czas bramy domyślnej, wszystkie opcje prefiksu, lifetimes i Advanced Settings. Nie usuwać zapobiegawczo istniejącego, działającego wpisu RA.

Jeśli poprzednie źródło RA pozostało aktywne podczas testu, rollback wymaga tylko wyłączenia lub usunięcia nowego wpisu ręcznego. Jeśli poprzednie źródło zostało zastąpione, należy najpierw przywrócić je z udokumentowanymi wartościami, a dopiero potem wyłączyć nowy wpis, aby nie powstał okres bez planowanego routera. Konfiguracji utworzonej automatycznie przez Prefix Delegation nie należy traktować jak niezależnego wpisu ręcznego; trzeba przywrócić udokumentowane ustawienie interfejsu i delegowania do poprzedniego stanu.

Następnie ponownie połączyć klienta i jeszcze raz sprawdzić źródło RA, adres, bramę domyślną, DNS oraz rzeczywistą ścieżkę IPv6. Wcześniej otrzymane adresy i trasy mogą pozostać widoczne do końca ogłoszonych lifetimes; nie wolno więc pozostawiać bez kontroli równolegle aktywnych starych i nowych źródeł RA ani sprawdzać wyłącznie wartości już obecnych na kliencie.

Często zadawane pytania