Suporte IPv6 e limites na Sophos Firewall com SFOS 22

A Sophos Firewall suporta IPv6 no SFOS 22 para funções essenciais de rede, routing, VPN, regras, proteção e diagnóstico. No entanto, uma operação totalmente IPv6-only não é realista em todos os ambientes. As regras WAF, a resolução IPv6 em objetos host FQDN, a função Let’s Encrypt integrada, Up2date, RED, IPsec de acesso remoto, RIPng e multicast possuem limites documentados.

Por isso, antes de um rollout, não basta verificar se uma interface recebe um endereço IPv6. O fator decisivo é saber se cada função no percurso end-to-end real suporta IPv6. Quando falta uma função necessária, Dual Stack ou um percurso IPv4 deliberadamente planeado é geralmente mais seguro do que forçar uma arquitetura IPv6-only.

Este artigo enquadra operacionalmente a matriz oficial de suporte IPv6 do SFOS 22. A configuração detalhada de Prefix Delegation, routing, VPN e regras permanece nos artigos especializados associados.

Verificar um design IPv6 em sete passos

1. Documentar o build exato do SFOS, a ligação do operador, o prefixo e todos os serviços necessários.
2. Dividir o percurso completo do cliente ou remetente até ao destino em funções individuais: interface, endereçamento, DNS, routing, regra, módulo de proteção, VPN, portal e percurso de atualização.
3. Verificar cada função em relação aos limites do SFOS 22 descritos neste artigo.
4. Definir um percurso IPv4 ou de produto alternativo para dependências não suportadas. Não contornar uma função ausente com uma regra ampla ou Any.
5. Configurar interfaces IPv6, Router Advertisement, rotas, objetos e regras de firewall separadamente do IPv4.
6. Testar sucessivamente o endereço, Default Route, Neighbor Discovery, DNS, Route Lookup, Rule ID, Packet Capture e o serviço real.
7. Passar para produção apenas depois de testes positivo e negativo bem-sucedidos; manter até lá o fallback IPv4 e a ordem anterior das regras.

⚠️ Uma marca na matriz de suporte da Sophos confirma suporte do produto, não uma configuração concluída nem equivalência funcional com IPv4. Um ping IPv6 bem-sucedido não comprova DNS, policy, perfil de proteção, VPN nem aplicação. Da mesma forma, uma função documentada como não suportada não passa a ser suportada através de reinícios de serviços, opções CLI ocultas ou uma regra de firewall mais ampla.

O que a matriz de suporte realmente indica

A página atual da Sophos foi atualizada a 8 de janeiro de 2026 e aplica-se à ajuda do SFOS 22. Separa as funções que conseguem processar IPv6 das que continuam sem suporte IPv6. Este limite é mais restrito do que a afirmação geral de que a firewall suporta IPv6.

Quatro níveis têm de permanecer separados:

• Endereçamento: A interface possui um prefixo IPv6 e o cliente um endereço correspondente.
• Routing: Os percursos de ida e volta apontam para as interfaces e gateways esperados.
• Policy: Uma regra IPv6 própria permite exatamente o tráfego planeado e regista o teste.
• Serviço: VPN, WAF, proxy, correio, portal ou função de atualização suporta realmente o percurso IPv6.

O funcionamento de um nível não comprova o seguinte. Esta separação impede que um estado verde da interface seja considerado prova de uma função WAF ou de atualização ainda não suportada.

Rede e endereçamento

Suportado

• endereços IPv6 estáticos em interfaces físicas, bridge, alias, VLAN e LAG;
• DHCP Prefix Delegation;
• servidor, cliente e relay DHCPv6, incluindo leases dinâmicos e estáticos;
• Neighbor Discovery Protocol (NDP) e Router Advertisement;
• DNS Lookup e Reverse Name Lookup;
• túneis IPv6 com 6in4, 6to4, 6rd e 4in6.

Não suportado ou limitado

• IPv6 através de Cellular WAN;
• IPv6 PPPoE;
• Dynamic DNS através de IPv6;
• DNS64;
• Tunnel Broker;
• hardware RED e túneis Firewall RED entre duas Sophos Firewalls;
• DHCP Prefix Delegation numa interface LAG.

O guia de Prefix Delegation explica o percurso executável desde o prefixo do operador, através da interface interna, até ao Router Advertisement e às regras de firewall: Configurar IPv6 Prefix Delegation na Sophos Firewall. Para prefixos estáticos, continua a ser relevante o planeamento de interfaces, VLAN e zonas de Planear corretamente zonas e interfaces da Sophos Firewall.

DNS64 e NAT64 não devem ser confundidos. O SFOS 22 indica DNS64 como não suportado. Em contrapartida, o percurso NAT64 documentado pela Sophos é fornecido pelo Direct Web Proxy e apenas para tráfego proxy HTTP/HTTPS explícito. Não é um gateway geral de protocolos.

Routing e multicast

Suportado

• rotas unicast IPv6 estáticas;
• rotas SD-WAN para IPv6;
• BGP IPv6 e OSPFv3;
• WAN Load Balancing;
• Upstream Proxy.

Não suportado

• RIPng;
• multicast IPv6 dinâmico com Multicast Listener Discovery (MLD);
• rotas multicast IPv6 estáticas.

Uma rota IPv4 não se torna automaticamente uma rota IPv6. O procedimento para redes fixas está disponível em Configurar rotas IPv4 e IPv6 estáticas. OSPFv3 é configurado separadamente do OSPFv2, enquanto a Router ID permanece em notação IPv4. O procedimento seguro e a ausência de autenticação OSPFv3 são descritos em Configurar e verificar OSPF na Sophos Firewall.

Os artigos existentes da Avanet sobre multicast estático e PIM-SM tratam IPv4. Os seus comandos e menus não permitem deduzir um procedimento MLD ou multicast IPv6.

VPN

Suportado

• SSL VPN site-to-site;
• SSL VPN de acesso remoto;
• IPsec site-to-site.

Não suportado

• IPsec de acesso remoto através de IPv6;
• L2TP VPN através de IPv6;
• PPTP VPN através de IPv6.

No IPsec site-to-site, a ligação pode utilizar IPv4, IPv6 ou Dual com uma ligação route-based Any-to-Any. Dual exige regras de firewall IPv4 e IPv6 separadas e um percurso de routing deliberadamente planeado. A decisão completa sobre o tipo de túnel encontra-se em Configurar uma VPN IPsec site-to-site na Sophos Firewall.

A afirmação SSL VPN de acesso remoto suporta IPv6 não significa que todos os recursos, objetos FQDN e percursos full-tunnel funcionem automaticamente em Dual Stack. O pool, recursos permitidos, DNS, regras IPv6 e o teste real do cliente continuam a ser pontos de verificação separados.

Regras, NAT e módulos de proteção

Suportado

• regras de firewall IPv6 baseadas em zonas;
• NAT66 e NAT64, estando NAT64 disponível apenas em Proxy Mode;
• Server Load Balancing;
• SSL/TLS Inspection Rules;
• IPS, DoS Bypass Rules e Spoof Protection;
• Web Filtering, Application Filter e Malware Scanning;
• Zero-day Protection.

Não suportado

• regras WAF através de IPv6;
• Wireless como percurso de proteção IPv6;
• a função designada separadamente como Advanced protection na matriz da Sophos.

Uma regra de firewall IPv4 não permite tráfego IPv6. Em Rules and policies > Firewall rules, seleciona-se conscientemente a versão IP e valida-se a regra com Source, Destination, Service, Logging e Rule ID. Os fundamentos estão em Compreender e configurar regras da Sophos Firewall em segurança.

Para clientes IPv6-only com um destino web IPv4-only aplica-se o procedimento proxy separado NAT64 com Direct Web Proxy. Este não traduz tráfego non-proxy, UDP, ICMP nem aplicações sem suporte explícito de proxy.

Correio, portais e administração

Suportado

• SMTP MTA e SMTP Proxy;
• IMAP Proxy e POP Proxy;
• WebAdmin, User Portal e SSH;
• NTP e SNMP;
• Authentication Server.

Não suportado

• Quarantine Digest através de IPv6.

O suporte IPv6 para WebAdmin ou SSH não é uma recomendação para expor estes serviços à Internet. Device Access e Local Service ACL devem permanecer estritamente limitados à rede de gestão ou a redes de origem conhecidas. O piloto IPv6 também tem de confirmar com um teste negativo que origens de gestão não planeadas não obtêm acesso.

Diagnóstico, objetos, atualizações e certificados

Suportado

• Current Activities para utilizadores e ligações;
• Ping, Traceroute, Name Lookup, Route Lookup e Packet Capture;
• Syslog e Reporting;
• IPv6 IP Hosts;
• Traffic Shaping e QoS.

Não suportado ou limitado

• Policy Tester para IPv6;
• Country Hosts para IPv6;
• resolução IPv6 em objetos host FQDN;
• Up2date Infrastructure através de IPv6;
• função Let’s Encrypt integrada através de IPv6.

O limite de FQDN aplica-se ao objeto host do SFOS: a firewall não resolve endereços IPv6 para este objeto. Isto não significa que clientes DNS ou Name lookup não recebam respostas AAAA em geral. No entanto, um destino IPv6 dinâmico não deve ser planeado com um objeto host FQDN como se o SFOS mantivesse automaticamente os respetivos endereços AAAA.

O limite de Let’s Encrypt também é específico do produto. Não significa que ACME ou certificados sejam geralmente IPv4-only. Significa que a função integrada do SFOS não deve ser planeada como percurso IPv6. Assim, enquanto a Sophos documentar estes limites, continua a ser necessário um percurso IPv4 funcional para emissão, renovação e Up2date.

Exemplo de um piloto Dual Stack controlado

O exemplo separa valores de produção e valores substituíveis:

• prefixo do operador: 2001:db8:100::/48
• rede de teste interna: 2001:db8:20:30::/64
• firewall na rede de teste: 2001:db8:20:30::1
• cliente piloto: 2001:db8:20:30::50
• destino de teste controlado: 2001:db8:40:50::20
• o percurso de retorno IPv4 para gestão, Up2date e Let’s Encrypt é mantido inicialmente.

2001:db8::/32 é um prefixo de documentação e não é encaminhado em produção na Internet. Todos os endereços são substituídos pelo prefixo real do operador e por sistemas de teste controlados. O /64 é a rede de exemplo planeada para um segmento de clientes normal; a divisão real do prefixo depende da delegação do operador e do plano de rede interno.

Antes do piloto, estas decisões têm de estar definidas:

1. Que funções utiliza o fluxo específico?
2. Estão todas indicadas como suportadas na matriz do SFOS?
3. Existe um fallback IPv4 para atualizações, certificados e gestão?
4. Que regra IPv6 deve corresponder e que Rule ID é esperada?
5. Que ligação negativa tem de permanecer bloqueada?
6. Como serão testados DNS, o percurso de retorno e o serviço real da aplicação?

Validar o percurso IPv6

Uma validação fiável avança de baixo para cima:

1. Interface: Verificar o endereço IPv6 e o prefixo esperados nas interfaces WAN e interna.
2. Cliente: Verificar o endereço IPv6, Prefix Length e Default Route.
3. Neighbor Discovery: Em Network > Neighbors (ARP–NDP), verificar o neighbor IPv6 esperado e a interface correta. A interpretação segura encontra-se em Verificar a cache de neighbors ARP e NDP.
4. DNS: Verificar separadamente as respostas A e AAAA. Um registo A funcional não comprova um percurso IPv6.
5. Routing: Utilizar Diagnostics > Tools > Route lookup com o endereço IPv6 real de destino e documentar os percursos de ida e volta.
6. Policy: No Log Viewer, confirmar a regra IPv6 esperada, Action e Firewall Rule ID. Como Policy Tester não suporta IPv6, Log Viewer, Route Lookup, Packet Capture e o fluxo de teste real são mais importantes.
7. Fluxo de pacotes: Packet Capture tem de mostrar entrada e saída pela interface esperada. Um pacote visível na entrada sem encaminhamento limita o problema a routing, à regra ou a um módulo de proteção.
8. Serviço: Testar positivamente HTTPS, VPN, SMTP, DNS ou a aplicação específica; um ping isolado não basta.
9. Teste negativo: Uma origem IPv6 não permitida ou um serviço não autorizado permanece bloqueado.

Os comandos apenas de leitura da Device Console para um percurso de exemplo controlado são:

ping6 2001:db8:40:50::20
traceroute6 2001:db8:40:50::20
dnslookup6 app.example.com

O endereço de documentação e .example não funcionam em produção e são substituídos por um destino controlado. Estes comandos testam acessibilidade, percurso e resolução de nomes, mas não uma regra de firewall específica nem a aplicação. Outros comandos básicos seguros são explicados em Resolver problemas da Sophos Firewall com comandos básicos.

Delimitar erros por sintoma

O cliente não recebe um endereço IPv6 nem Default Route

Verificar o prefixo do operador, atribuição WAN, Delegated Interface, Router Advertisement, VLAN e segmento do cliente. Não continuar a experimentar Prefix Delegation num LAG, porque a Sophos exclui expressamente esta combinação. O funcionamento de IPv4 não comprova o endereçamento IPv6 correto.

Existe um endereço IPv6, mas o serviço não funciona

Verificar primeiro a resposta DNS, NDP, Route Lookup, regra IPv6, Rule ID e percurso de retorno. Em seguida, analisar o próprio serviço. Não criar uma regra ampla Any como substituto de diagnóstico. Se a função necessária não for suportada na matriz, transferir o percurso para IPv4 ou outra arquitetura.

O objeto host FQDN não contém um endereço IPv6

Este é o limite documentado do produto. Os objetos host FQDN no SFOS não resolvem endereços IPv6. Um IPv6 IP Host estático pode ser adequado a um endereço estável mantido operacionalmente; destinos dinâmicos exigem uma nova avaliação do design. Um objeto de destino amplo não é uma alternativa segura.

WAF, RED ou IPsec de acesso remoto tem de funcionar através de IPv6

Estes casos não são suportados na matriz atual. Interromper o rollout antes de reconstruir regras, certificados ou túneis em produção. Manter IPv4 para essa função ou escolher um percurso de acesso separado e suportado.

Atualizações ou Let’s Encrypt falham numa rede IPv6-only

Segundo a matriz, Up2date Infrastructure e a função Let’s Encrypt integrada não são suportadas através de IPv6. Restaurar primeiro o egress IPv4 planeado, DNS, routing e regras. Reinícios de serviços e novos pedidos de certificado não corrigem a ausência de suporte do produto.

Rollback

1. Desativar as novas regras IPv6 ou restaurar a ordem anterior documentada.
2. Retirar Router Advertisement, Delegated Interface ou a atribuição IPv6 estática do piloto apenas durante a janela de manutenção planeada.
3. Manter ou restaurar as rotas IPv4, respostas DNS e acessos de gestão anteriores.
4. Remover objetos host IPv6 e regras de teste temporários apenas depois de confirmar o percurso de retorno.
5. Voltar a verificar a gestão IPv4, Up2date, renovação do certificado e o serviço original.
6. Preservar a hora do erro, build, interface, Route Lookup, Rule ID e Packet Capture antes de abrir um caso de suporte para um percurso IPv6 que continue suportado.

Checklist

• Versão e build do SFOS documentados.
• Cada função necessária verificada na matriz atual de suporte IPv6.
• Dependências não suportadas dispõem de um percurso IPv4 ou alternativo planeado.
• Prefixo, segmentos /64, Router Advertisement e DNS planeados.
• Regras IPv4 e IPv6 criadas e registadas separadamente.
• Device Access não foi ampliado inadvertidamente através de IPv6.
• NDP, Route Lookup, Rule ID, Packet Capture e serviço real verificados.
• Testes positivo e negativo concluídos com êxito.
• Up2date e Let’s Encrypt continuam a ter um percurso IPv4 funcional.
• Rollback e acesso de gestão independente documentados.

FAQ