Configurar Delegação de Prefixo IPv6 no Sophos Firewall

Com a Delegação de Prefixo IPv6, um Sophos Firewall pode obter um prefixo IPv6 do fornecedor e utilizá-lo para fornecer redes internas. Isto é particularmente relevante quando a ligação à Internet não fornece uma rede IPv6 estática fixa, mas sim quando o fornecedor delega o prefixo via DHCPv6.

O percurso rápido tem três partes: na interface WAN, selecionar DHCP > Manual > DHCP only e ativar DHCP prefix delegation. Na interface interna, selecionar Delegated, escolher a WAN como Upstream interface e ativar Router advertisement. Depois, verificar o prefixo realmente atribuído, o endereçamento dos clientes e o tráfego de teste permitido.

Em ambientes IPv4, muitas vezes pensa-se em NAT, redes privadas e encaminhamento de portas. Com IPv6 é diferente: os clientes podem receber endereços IPv6 públicos, e o firewall controla o acesso através de roteamento, Anúncio de Roteador, parâmetros DHCPv6 e regras de firewall. Por isso, a Delegação de Prefixo deve ser planeada conscientemente e não apenas ativada como uma opção adicional de interface.

Antes do design, Suporte IPv6 e limites na Sophos Firewall com SFOS 22 mostra que funções de interfaces, routing, VPN, regras, DNS, atualizações e certificados suportam realmente IPv6. Prefix Delegation resolve apenas o endereçamento e não substitui esta verificação end-to-end.

Para os fundamentos sobre interfaces, zonas e VLANs, consulte primeiro Configurar Zonas e Interfaces no Sophos Firewall. Se for apenas sobre opções clássicas de DHCP para casos especiais de IPv4, o artigo Opções DHCP no Sophos Firewall (SFOS) é mais adequado.

Quando a Delegação de Prefixo é útil

A Delegação de Prefixo é útil quando o fornecedor fornece um prefixo IPv6 dinamicamente através da ligação WAN e o Sophos Firewall deve distribuir este prefixo para redes internas.

Cenários típicos:

• Ligação à Internet Dual-Stack com IPv4 e IPv6.
• O fornecedor fornece um prefixo IPv6 via Delegação de Prefixo DHCPv6.
• Clientes internos devem usar IPv6 nativamente.
• Várias redes internas, como LAN, Servidor, Convidados ou DMZ, devem receber IPv6.
• DNS, registo e regras de firewall devem considerar IPv6 conscientemente.

Nem todas as redes precisam imediatamente de IPv6. No entanto, se o IPv6 estiver ativo nos clientes, deve ser controlado adequadamente através do firewall, regras e registos. Uma configuração IPv6 incompleta pode levar a que os clientes prefiram IPv6, mas os erros sejam procurados na resolução de problemas de IPv4.

Pré-requisitos

Antes da configuração, devem esclarecer-se os seguintes pontos:

• O fornecedor suporta Delegação de Prefixo IPv6 na ligação.
• A ligação WAN usada para Delegação de Prefixo não utiliza PPPoE.
• O design da WAN e das interfaces considera as VLANs e os LAGs existentes.
• As zonas internas e as regras de firewall estão planeadas.
• Está claro se os clientes devem usar apenas SLAAC ou se precisam de parâmetros DHCPv6 adicionais.
• O conceito de DNS e a análise de registos consideram IPv6.

⚠️ O Sophos Firewall não suporta PPPoE over IPv6; a Delegação de Prefixo não pode ser usada sobre PPPoE. Quanto às VLANs, os guias da Sophos para SFOS 22 e 23 contêm afirmações divergentes: o guia de Delegação de Prefixo exclui a utilização de Delegação de Prefixo em qualquer interface com uma VLAN configurada. Separadamente, o guia de interfaces físicas proíbe alterar uma interface parent nessas condições de Static para DHCP ou Delegated. Ainda assim, o guia de VLANs descreve explicitamente DHCP prefix delegation e Delegated em interfaces VLAN. Isto não permite reduzir a restrição geral de PD à alteração do método de atribuição da interface parent. Por isso, os designs com VLANs devem ser avaliados com base no percurso efetivo através do upstream, da interface parent e do fornecedor; as opções VLAN documentadas não constituem uma aprovação generalizada de todas as topologias. As interfaces LAG não suportam DHCP Prefix Delegation.

Compreender o objetivo

Na Delegação de Prefixo, várias coisas acontecem em sequência:

1. O firewall solicita um endereço IPv6 e um prefixo delegado ao fornecedor na interface WAN.
2. O fornecedor atribui um endereço IPv6 à interface WAN e um prefixo ao firewall.
3. O firewall delega uma rede IPv6 deste prefixo a uma interface interna, como LAN ou DMZ.
4. A interface interna distribui informações IPv6 aos clientes através do Anúncio de Roteador.
5. Opcionalmente, um servidor DHCPv6 fornece parâmetros adicionais, como servidores DNS.

É importante a distribuição de funções: o Anúncio de Roteador garante que os clientes aprendam o seu prefixo IPv6 e o gateway padrão. O DHCPv6 pode fornecer informações complementares. As regras de firewall continuam a decidir qual tráfego é permitido.

Preparar a interface WAN

O primeiro passo é a interface WAN. Aqui, o Sophos Firewall solicita o prefixo IPv6 ao fornecedor.

Escolher o método IPv6 da interface física

Nas interfaces físicas, a WAN permite Static ou DHCP; as interfaces internas permitem Static, DHCP ou Delegated. Static configura um endereço IPv6 estático; neste método, configuram-se o endereço, o prefixo, Gateway name e Gateway IP address. DHCP permite obter um endereço e outros parâmetros de um servidor DHCPv6 e, na WAN, solicitar um prefixo ao fornecedor. Delegated utiliza esse prefixo nas interfaces internas. O procedimento abaixo, com WAN em DHCP > Manual > DHCP only e interface interna em Delegated, é um percurso específico para Delegação de Prefixo, não a lista completa dos métodos IPv6 disponíveis.

Ao selecionar DHCP, o campo Mode oferece estas alternativas para configurar o endereço da própria interface do firewall:

• Auto: atribui automaticamente o endereço IPv6 à interface de acordo com o método de configuração utilizado, que pode ser DHCP only ou Stateless.
• Manual > DHCP only: escolhe explicitamente DHCPv6; o firewall aplica à interface o endereço e os outros parâmetros fornecidos pelo servidor DHCPv6.
• Manual > Stateless: escolhe explicitamente SLAAC; o firewall configura o endereço da sua interface de acordo com os flags Managed (M) Address Configuration e Other (O) Configuration presentes no Router Advertisement recebido. A opção Accept other configuration from DHCP permite obter outros parâmetros do servidor DHCPv6.

Estas opções tratam da receção da configuração pela interface do firewall. Não devem ser confundidas com Router advertisement na interface interna, onde o firewall envia RA aos clientes. Com Mode > Manual > Stateless, não é possível definir Gateway IP address. No percurso Manual > DHCP only abaixo, mantém-se a configuração de Gateway name e do endereço do gateway.

Caminho do menu:

Network > Interfaces

Procedimento:

1. Editar a interface WAN afetada.
2. Abrir IPv6 configuration.
3. Selecionar DHCP.
4. Selecionar Manual.
5. Ativar DHCP only.
6. Ligar DHCP prefix delegation.
7. Opcionalmente, configurar Preferred delegated prefix, se o fornecedor e o design da rede o permitirem. Numa interface WAN física, o comprimento pode variar de /48 a /64; numa VLAN WAN, estão disponíveis /48, /52, /56 e /60.
8. Opcionalmente, ativar DHCP rapid commit. Se esta opção for usada, Rapid Commit tem de estar também ativado no servidor DHCPv6 do fornecedor; não basta que o servidor suporte a função. A opção utiliza duas mensagens, Solicit e Reply, em vez de quatro, Solicit, Advertise, Request e Reply, permitindo uma configuração mais rápida.
9. Neste percurso Manual > DHCP only, preencher Gateway name e Gateway IP address de acordo com a ligação do fornecedor. Numa VLAN WAN, Gateway IP mostra o endereço IPv6 do gateway configurado.
10. Selecionar Save e depois Update interface.

Em Preferred delegated prefix, o endereço do prefixo é opcional, mas o comprimento é obrigatório. O fornecedor pode aceitar o pedido ou delegar outro prefixo. Se o endereço ou comprimento solicitado for alterado mais tarde, o firewall só atualiza o pedido depois de remover o lease DHCP ou desvincular a interface WAN. Esta interrupção deve ser planeada, em vez de apenas guardar a alteração durante o funcionamento normal.

Na prática, deve-se primeiro esclarecer com o fornecedor:

• Qual é o comprimento do prefixo delegado, por exemplo, /56, /60 ou /64?
• O prefixo é estável ou pode mudar?
• É necessário solicitar um valor específico?
• Existem restrições em configurações de Bridge, PPPoE ou modem-router?

Configurar a interface interna

Depois de configurar a interface WAN, atribui-se o prefixo delegado a uma interface interna.

Caminho do menu:

Network > Interfaces

Procedimento:

1. Editar a interface interna, como LAN ou DMZ.
2. Abrir IPv6 configuration.
3. Selecionar Delegated.
4. Em Upstream interface, selecionar a interface WAN configurada com DHCP e DHCP prefix delegation ativado.
5. Verificar o endereço IPv6 e o prefixo que o firewall atribui automaticamente à interface e apresenta no campo IPv6/prefix.
6. Ativar Router advertisement para anunciar o prefixo aos clientes desta rede. Esta opção permite que o firewall atue como servidor RA.
7. Opcionalmente, ativar DHCPv6 server se os clientes precisarem de parâmetros adicionais. Neste modo Delegated, a opção fornece parâmetros como DNS, mas não endereços IPv6.
8. Selecionar Save e depois Update interface.

Segundo a documentação, a Sophos permite ajustar o endereço IPv6 no campo IPv6/prefix, mas não o comprimento do prefixo. Isto é importante ao planear várias redes internas: um /64 delegado fornece apenas uma rede de clientes /64 distinta. Um prefixo de fornecedor mais curto, como /56, oferece espaço para várias redes /64; os prefixos realmente apresentados pelo SFOS são a referência e não devem ser deduzidos de um exemplo.

A documentação das interfaces físicas também inclui, no formulário Delegated, os campos condicionais Gateway name e Gateway IP: se Zone estiver definida como WAN, indica que se deve introduzir o nome e o endereço IPv6 do gateway. Esta nota descreve os campos condicionais do formulário; não altera a matriz de métodos, que lista Static ou DHCP para WAN e Delegated para interfaces internas. Não deve ser interpretada como recomendação ou confirmação de suporte genérico de Delegated numa WAN.

Classificar corretamente os designs VLAN e LAG

Muitas redes em produção utilizam VLANs para clientes, servidores, convidados e gestão. Para a Delegação de Prefixo, é necessário considerar em conjunto três afirmações distintas dos guias da Sophos para SFOS 22 e 23:

• O guia de Delegação de Prefixo proíbe a utilização de Delegação de Prefixo em qualquer interface na qual esteja configurada uma VLAN. Esta afirmação é mais abrangente do que uma restrição à alteração do método de atribuição.
• O guia de interfaces físicas proíbe, separadamente, alterar posteriormente uma interface parent com subinterfaces VLAN já configuradas de Static para DHCP ou Delegated.
• O guia de VLANs descreve explicitamente DHCP prefix delegation para obter um prefixo do fornecedor e IPv6 configuration > Delegated para uma VLAN interna. Como upstream, exige uma interface WAN com o método de atribuição IPv6 DHCP e DHCP prefix delegation ativado.
• As interfaces LAG não suportam DHCP Prefix Delegation.

Assim, o âmbito de aplicação da restrição geral de PD e das opções VLAN explicitamente documentadas não está inequivocamente esclarecido na documentação. A restrição relativa à interface parent estabelece um limite concreto, mas não prova que a afirmação mais abrangente se refira apenas a essa alteração do método de atribuição. Daqui não resulta nem uma aprovação generalizada nem uma proibição generalizada de todos os designs com VLANs. Antes da implementação, deve verificar-se o percurso efetivo através do upstream e da interface parent e, se a adequação da topologia concreta continuar pouco clara, esclarecer com a Sophos e o fornecedor se essa topologia é suportada:

• Qual interface solicita o prefixo ao fornecedor?
• Esta interface parent já tem subinterfaces VLAN?
• O uplink do fornecedor é uma VLAN e fornece DHCPv6 Prefix Delegation?
• É usado um LAG como upstream, embora essa função não seja suportada?
• O fornecedor oferece IPv6 estático?
• O prefixo delegado é suficientemente grande para todas as redes internas /64 planeadas?

Para os fundamentos das VLANs, consulte Configurar VLAN no Sophos Firewall e UniFi Switch. O artigo explica principalmente IPv4, mas o planeamento de zonas, troncos e regras também é relevante para IPv6.

Verificar Anúncio de Roteador

Quando a Delegação de Prefixo é ativada na interface interna, o Sophos Firewall cria automaticamente um Anúncio de Roteador para essa interface. Configurar IPv6 Router Advertisement na Sophos Firewall explica Managed flag, Other flag, On-link, Autonomous, os lifetimes e a atribuição automática de prefixo que não pode ser alterada.

Caminho do menu:

Network > IPv6 router advertisement

Lá deve-se verificar:

• Existe um servidor RA criado automaticamente para a interface interna? Abrir esse servidor para verificar os detalhes de Prefix advertisement configuration.
• O prefixo esperado é anunciado?
• Os flags RA correspondem ao comportamento planeado do cliente?
• O Other flag deve ser definido para que o DHCPv6 forneça parâmetros adicionais?

A Prefix advertisement configuration do servidor RA gerado automaticamente não pode ser alterada. Se um prefixo diferente também deve ser anunciado, um servidor RA próprio deve ser criado manualmente e configurado para anunciar esse prefixo. Opcionalmente, selecionar Other flag se o servidor DHCPv6 tiver de fornecer outros parâmetros DHCP. Após confirmar os detalhes e efetuar as alterações permitidas, selecionar Save.

Para a maioria dos ambientes, aplica-se: Primeiro verificar se os clientes recebem endereços IPv6 corretamente com o RA gerado automaticamente antes de adicionar servidores RA adicionais ou configurações especiais.

Usar DHCPv6 apenas para o propósito correto

DHCPv6 não é o mesmo que DHCPv4. Em muitos designs IPv6, os clientes recebem o seu endereço via SLAAC e informações adicionais via DHCPv6. Portanto, deve-se esclarecer antes da ativação o que o DHCPv6 deve realizar.

Se o Sophos Firewall tiver de distribuir os próprios endereços ou parâmetros adicionais, Configurar e testar um servidor DHCPv6 no Sophos Firewall explica o intervalo de leases, DUID, tempos de validade e a verificação RA separada.

Parâmetros típicos de DHCPv6 são:

• Servidor DNS.
• Domínio de pesquisa DNS.
• Outras opções DHCPv6, se um cliente realmente precisar delas.

Se os clientes receberem um endereço IPv6, mas não conseguirem resolver nomes, não significa automaticamente que a Delegação de Prefixo está errada. Frequentemente, falta o servidor DNS adequado, a combinação RA/DHCPv6 é confusa ou o cliente usa um caminho DNS diferente do esperado.

Para domínios internos e cenários de DNS dividido, Configurar Rotas de Pedido DNS no Sophos Firewall continua relevante. O IPv6 não altera a questão fundamental de qual servidor DNS é responsável por qual domínio.

Verificar Regras de Firewall e Acesso ao Dispositivo

O tráfego IPv6 precisa de regras de firewall adequadas. Verifique se as regras existentes usam objetos de origem e destino compatíveis com IPv6 e os serviços necessários; uma regra que contém apenas objetos de rede IPv4 não cobre o novo caminho IPv6.

Antes da liberação, deve-se verificar:

• Existem regras para a zona de origem e zona de destino afetadas?
• O tráfego IPv6 é registado onde é necessário para resolução de problemas ou conformidade?
• DNS, NTP, Web e aplicações necessárias são permitidas?
• As conexões de entrada da Internet continuam bloqueadas conscientemente ou permitidas de forma direcionada?
• Existem regras separadas para zonas de clientes, servidores, convidados e gestão?

Com IPv6, deve-se evitar especialmente tornar os clientes internos acessíveis diretamente da Internet sem controlo. Endereços IPv6 públicos não significam que as conexões de entrada devem ser permitidas. As regras de firewall continuam a ser a fronteira central.

Também deve-se considerar o Acesso ao Dispositivo. Se os clientes internos usarem o firewall como servidor DNS, o DNS deve ser permitido para a zona apropriada. Serviços de gestão como WebAdmin ou SSH não devem, no entanto, tornar-se mais acessíveis através de uma nova configuração IPv6. O fortalecimento dos serviços locais do firewall é descrito em Acesso ao Dispositivo e ACL de Serviço Local no Sophos Firewall.

Testes após a configuração

Após a implementação, não se deve apenas verificar se um cliente recebeu algum endereço IPv6. O crucial é se todo o caminho funciona controladamente.

Testes úteis:

1. A interface WAN mostra um endereço IPv6 e um prefixo delegado.
2. A interface interna mostra um prefixo IPv6 delegado.
3. Em Network > IPv6 router advertisement, o servidor RA automático é visível.
4. O cliente de teste recebe um endereço IPv6 do prefixo esperado.
5. O cliente de teste tem um gateway padrão IPv6.
6. A resolução DNS funciona para nomes internos e externos.
7. HTTPS para um destino conhecido compatível com IPv6 funciona; use ping IPv6 apenas quando souber que o destino responde a ICMPv6.
8. O Log Viewer mostra a regra de firewall apropriada para o tráfego de teste.
9. Um teste de entrada IPv6 da Internet só é permitido se houver uma regra conscientemente existente para isso.

Para conexões individuais, consulte Testar Regras de Firewall com Log Viewer, Teste de Política e Captura de Pacotes. Se houver problemas básicos de interface ou DNS, deve-se primeiro verificar o status da interface, Anúncio de Roteador e configuração DNS.

Para uma análise mais profunda, a Sophos associa três logs de serviço às funções envolvidas:

• networkd.log para interfaces físicas e virtuais,
• dhcpd6.log para o servidor DHCPv6,
• radvd.log para IPv6 Router Advertisement.

Esta associação não significa que cada ficheiro tenha de conter uma mensagem de erro específica. Para uma correlação fiável, registe a hora, a interface e o prefixo apresentado antes e depois da falha e compare esses dados com as entradas dos logs correspondentes.

Reverter a alteração de forma controlada

Antes da alteração, registe a atribuição IPv6 anterior, o endereço ou prefixo, os valores do gateway e as definições RA/DHCPv6 de ambas as interfaces. Se os testes de aceitação falharem, aceda a Network > Interfaces, restaure exatamente esses valores em ambas as interfaces e selecione Save e Update interface em cada uma. Volte a verificar o endereçamento, o gateway predefinido, o DNS e o tráfego que funcionava antes. Não improvise valores de substituição sem um estado inicial documentado.

Erros comuns

Clientes não recebem endereço IPv6

Primeiro, verifique se a interface WAN realmente recebeu um prefixo. Se nenhum prefixo for visível lá, o problema geralmente está no fornecedor, na interface WAN, em designs PPPoE/Bridge ou no pedido de Delegação de Prefixo.

Se houver um prefixo na WAN, mas os clientes não receberem um endereço, deve-se verificar a interface interna, Anúncio de Roteador e rede do cliente.

Clientes têm IPv6, mas não têm Internet

Então, a Delegação de Prefixo não é necessariamente o problema. Causas comuns são:

• nenhuma regra de firewall adequada,
• DNS não funciona,
• o cliente prefere IPv6, mas o site de destino ou o caminho está interrompido,
• interface interna errada,
• RA ou DHCPv6 fornece parâmetros incompletos,
• caminho de retorno ou roteamento do fornecedor não está correto.

Se a rede de clientes for deliberadamente só IPv6 e faltar apenas um destino web IPv4, necessita de uma transição separada. NAT64 com Direct Web Proxy mostra o procedimento SFOS atual com uma regra IPv6 para o proxy e uma regra IPv4 subsequente para o destino. Isto não substitui NAT64 geral para outros protocolos.

DNS funciona apenas parcialmente

Com IPv6, os problemas de DNS muitas vezes só são percebidos tarde, porque algumas aplicações alternam entre IPv4 e IPv6. Deve-se testar separadamente:

• resolução DNS externa,
• domínios internos,
• pesquisas reversas, se os registos ou relatórios devem mostrar nomes,
• servidor DNS que o cliente realmente usa.

Prefixo muda após renovação do lease ou nova ligação

Se o fornecedor atribuir um prefixo dinâmico, o prefixo pode mudar. Então, endereços IPv6 estáticos, entradas DNS manuais, permissões externas ou regras de monitorização podem falhar.

Para servidores produtivos, serviços publicados ou redes de locais complexas, deve-se verificar se é necessário um prefixo estável do fornecedor ou outro design IPv6.

A interface VLAN não mostra Delegated

O guia de VLANs para SFOS 22 e 23 descreve Delegated, enquanto o guia de Delegação de Prefixo indica a restrição mais abrangente relativa a VLANs explicada acima. A simples presença de uma opção na interface não resolve este conflito na documentação. Se a opção não aparecer ou não for possível selecionar a interface upstream, deve verificar-se a versão do firmware, a zona, a configuração IPv6 da interface WAN e a interface parent. O upstream tem de utilizar o método de atribuição IPv6 DHCP e ter DHCP prefix delegation ativado. Se já existir uma VLAN configurada numa interface parent física, o respetivo método de atribuição IP não pode ser posteriormente alterado de Static para DHCP ou Delegated. Se o upstream for um LAG, aplica-se também a restrição documentada de que as interfaces LAG não suportam DHCP Prefix Delegation. Se a adequação da topologia concreta continuar pouco clara, deve esclarecê-la com a Sophos e o fornecedor, em vez de deduzir um suporte generalizado a partir da presença da opção.

Lista de verificação operacional

• Comprimento e estabilidade do prefixo do fornecedor documentados.
• Limitações de interfaces parent, VLAN e LAG verificadas.
• Interface WAN recebe endereço IPv6 e prefixo delegado.
• Interface interna usa Delegated com a interface upstream correta.
• Anúncio de Roteador está ativo e visível.
• DHCPv6 está ativado apenas se parâmetros adicionais forem necessários.
• Conceito de DNS para nomes internos e externos verificado.
• Regras de firewall para IPv6 conscientemente criadas ou confirmadas.
• Acesso ao Dispositivo não ampliado desnecessariamente por IPv6.
• Log Viewer mostra tráfego de teste de forma compreensível.
• Alterações no prefixo ou fornecedor são documentadas.

FAQ