Konfigurera Sophos Firewall som DHCP-server

Sophos Firewall kan distribuera IPv4-adresser, gateway, DNS-servrar och andra nätverksinställningar direkt till klienter. För detta skapar man under Network > DHCP en server för klientinterfacet, definierar adressintervallet och kontrollerar sedan att klienten får en lämplig lease.

Kort arbetsflöde: Öppna Network > DHCP > Server > Add, välj interface och adressintervall, aktivera Use interface IP as gateway, välj DNS-inställningar medvetet och spara. Kontrollera sedan tjänsten DHCP server under System services > Services och verifiera den tilldelade adressen under IPv4 lease.

Den här guiden behandlar en DHCPv4-server för klienter i ett direktanslutet nät. Om en central DHCP-server ska betjäna ett annat subnät passar Konfigurera och testa DHCP Relay på Sophos Firewall. PXE, VoIP och leverantörsspecifika värden beskrivs i Konfigurera DHCP-alternativ på Sophos Firewall.

I IPv6 har adresstilldelning och standardgateway olika roller. Den fullständiga proceduren finns i Konfigurera och testa en DHCPv6-server på Sophos Firewall.

Exempel och adressplanering

Exemplet använder ett klient-VLAN med följande värden:

Interface: VLAN20 - 10.20.0.1/24
Dynamiskt intervall: 10.20.0.100 till 10.20.0.199
Gateway: 10.20.0.1
Statisk tilldelning för en skrivare: 10.20.0.20
Interna DNS-servrar: 10.10.0.10 och 10.10.0.11
Domain Name: corp.example

Det dynamiska intervallet ligger inom interfacets nät men innehåller varken nätadressen, broadcastadressen eller gatewayen. I exemplet reserveras adresserna under 10.20.0.100 för infrastruktur och statiska tilldelningar. Därmed distribuerar detta DHCP-intervall inte samtidigt de reserverade adresserna dynamiskt. Den här avgränsningen skyddar dock inte mot att samma IP-adress har angetts manuellt på en annan enhet.

Före aktiveringen bör man kontrollera vilka adresser som redan används av switchar, accesspunkter, skrivare eller servrar. Om en annan DHCP-server fortfarande körs i samma VLAN måste man först bestämma vilken server som ska vara ansvarig framöver. Två okoordinerade servrar kan distribuera olika gateways eller DNS-servrar och orsaka varierande felbilder.

Själva interfacet måste redan ha rätt statisk IP-adress. Konfigurera ett VLAN-interface på Sophos Firewall förklarar hur interface, zon och VLAN samverkar.

Konfigurera DHCP-servern

Öppna Network > DHCP.
Klicka på Add under Server.
Ange ett entydigt namn, till exempel dhcp-vlan20-clients.
Välj klientgränssnittet VLAN20 - 10.20.0.1 under Interface.
Lägg till intervallet 10.20.0.100 till 10.20.0.199 under Dynamic IP lease.
Ange 255.255.255.0 som Subnet mask för exempelnätet /24.
Aktivera Use interface IP as gateway. Klienterna får då 10.20.0.1 som Gateway.
Ställ in DNS-servrar, Domain name och leasetider så att de passar nätet.
Lägg vid behov till statiska MAC-IP-tilldelningar.
Spara med Save.

För direktanslutna klienter avgör det valda interfacet i vilket nät brandväggen svarar på DHCP-förfrågningar. Det dynamiska intervallet måste därför passa gränssnittets subnät. DHCP-servrar kan konfigureras på fysiska interface samt på VLAN-, Wireless- och Bridge-interface, men inte på ett Interface Alias. På ett interface som redan används som DHCP Relay kan man inte samtidigt konfigurera en DHCPv4-server.

Låt Accept client request via relay vara avstängt för direktanslutna klienter. Alternativet behövs endast när den här serverkonfigurationen ska ta emot förfrågningar från ett fjärrbeläget klientsubnät via en relay-agent. Varje sådant klientnät behöver en passande serverkonfiguration med egen gateway; hela upplägget beskrivs i guiden för DHCP Relay.

Dessa serverkonfigurationer kan dela samma DHCP-interface där servern tar emot vidarebefordrade förfrågningar. Skilj det lyssnande gränssnittet från det fjärrbelägna klientsubnätet: adressintervallet, subnätmasken och gatewayen i varje konfiguration hör till respektive klientnät. Servern tilldelar adresser från subnätet för relay-agentens källadress; ett gemensamt lyssnande gränssnitt ersätter därför inte en separat konfiguration för varje klientnät.

Välj rätt gateway och DNS

I ett normalt klientnät är Sophos Firewalls IP-adress på detta interface gateway. I exemplet får klienterna därför 10.20.0.1.

Med Use device’s DNS settings distribuerar brandväggen sina konfigurerade DNS-servrar till klienterna. Det passar när dessa servrar kan slå upp både offentliga och nödvändiga interna namn. I en AD-miljö anger man vanligtvis de interna DNS-servrarna så att domänkontrollanter, interna tjänster och sökdomäner fungerar tillförlitligt. Enbart offentliga DNS-resolvrar är oftast inte tillräckliga.

Domain name skickar ett DNS-suffix till nätverkskortet. Med corp.example kan klienten till exempel komplettera värdnamnet fileserver till fileserver.corp.example. Det ersätter varken en DNS-post eller en nåbar DNS-server; testa båda separat.

Om klienterna får brandväggens IP-adress som DNS-server kan Sophos Firewall vidarebefordra förfrågningar för vissa interna zoner till de ansvariga servrarna. Det här fallet beskrivs i Konfigurera DNS Request Routes på Sophos Firewall. Om DHCP i stället distribuerar adresserna till andra DNS-servrar direkt når klientförfrågningarna inte brandväggens Request Routes.

Fälten WINS server 1 och WINS server 2 är endast avsedda för äldre NetBIOS-miljöer. Lämna dem tomma så länge inga klienter eller program behöver en WINS-tjänst. Om WINS fortfarande används ska de faktiska serveradresserna anges och namnuppslagningen testas med en berörd klient.

Ställ in lämpliga leasetider

Default lease time är den vanliga leasetiden som tilldelas klienten. Max lease time är den övre gränsen. När den löper ut måste klienten skicka en ny förfrågan till DHCP-servern. Båda värdena anges i minuter.

Längre leaser passar stabila kontors- eller enhetsnät där klientbeståndet sällan förändras. I gäst-, utbildnings- eller ofta föränderliga trådlösa nät förhindrar en kortare lease att enheter som inte längre är anslutna upptar intervallet under lång tid.

Mycket korta leaser skapar däremot onödigt många förnyelser. Det avgörande är därför inte ett allmänt idealvärde, utan hur stort intervallet är och hur ofta klienterna byts ut.

Conflict detection kontrollerar en adress innan den tilldelas och hjälper till att identifiera IP-adresser som redan används. Funktionen är särskilt användbar om det fortfarande finns manuellt konfigurerade enheter eller en äldre adressering som inte är fullständigt dokumenterad.

Skapa en statisk IP-MAC-tilldelning

En statisk tilldelning ser till att en viss enhet alltid får samma adress via DHCP. Det är användbart för skrivare, accesspunkter och andra enheter som ska förbli nåbara men fortfarande få centralt konfigurerade värden som gateway och DNS.

Under Static IP MAC mapping anger man värdnamn, MAC-adress och önskad IP-adress. I exemplet får skrivaren med sin faktiska MAC-adress alltid 10.20.0.20. Adressen ligger medvetet utanför det dynamiska intervallet.

En DHCP-tilldelning är inte samma sak som en IP-adress som konfigurerats manuellt på enheten. Enheten förblir en DHCP-klient, men brandväggen reserverar den passande leasen. Om en bärbar dator eller smarttelefon använder en privat eller slumpmässig trådlös MAC-adress måste tilldelningen motsvara den MAC-adress som enheten faktiskt använder i detta trådlösa nät.

En enskild MAC-adress kan få högst fem statiska IP-adresser, förutsatt att de finns i olika subnät. En normal tilldelning i ett enda nät kräver inte den globala inställningen.

I SFOS 23, när samma MAC-adress binds i flera DHCP-serverkonfigurationer, ställer man Lease scope for static binding på Global under Network > DHCP > Advanced server settings. Klienterna kan då få en adress från vilken DHCP-server som helst som är konfigurerad på brandväggen, oavsett var den statiska IP-MAC-bindningen finns. Network begränsar detta till servern som innehåller bindningen. Dokumentera först det tidigare värdet och testa sedan varje berört scope med en ny klientlease. Återställ exakt det dokumenterade värdet vid rollback.

SFOS 22: global bindning via Device Console

Läs den aktuella metoden och det aktuella DHCP-området i Device Console efter SSH-inloggning, innan den globala tilldelningen ändras:

system dhcp conf-generation-method show
system dhcp static-entry-scope show

Ändra därefter endast värden som avviker från det nödvändiga målläget:

system dhcp conf-generation-method new
system dhcp static-entry-scope global

Inställningen påverkar alla DHCP-serverkonfigurationer. Den behövs inte för normala tilldelningar som bara förekommer en gång och bör därför endast ändras för detta fall med flera DHCP-områden.

De dokumenterade standardvärdena är old och network. När MAC-adresser är bundna mer än en gång kan den gamla metoden ge felaktig information, till exempel DNS-servrar eller gateway. Skriv inte över ett redan anpassat tillstånd. Vid återställning används exakt de värden som lästes före ändringen; endast vid ett bekräftat standardtillstånd är de system dhcp static-entry-scope network och system dhcp conf-generation-method old. Testa därefter varje berört DHCP-område med en ny klientlease.

Kontrollera tjänsten och testa leasen

Efter att konfigurationen har sparats kontrollerar man under System services > Services att DHCP server körs. Om tjänsten har stoppats startar man den där.

⚠️ I ett HA-kluster stöder Sophos DHCP-tjänsten i läget Active-passive, men inte i Active-active. Kontrollera denna begränsning före driftsättning; ett byte av HA-läge är inte felsökning för ett enskilt adressområde.

Anslut sedan en kontrollerad testklient till rätt VLAN. I Windows kan en ny lease begäras och kontrolleras så här:

ipconfig /release
ipconfig /renew
ipconfig /all

⚠️ ipconfig /release bryter den aktuella IPv4-anslutningen. Kör inte kommandot över just denna fjärranslutning om det inte finns någon alternativ åtkomst.

Klienten bör få en adress från 10.20.0.100 till 10.20.0.199, gatewayen 10.20.0.1 och de avsedda DNS-servrarna. Under Network > DHCP > IPv4 lease visar brandväggen den tilldelade adressen med start- och sluttid, MAC-adress och värdnamn.

Minst följande kontroller bör lyckas:

Klienten får en adress från rätt intervall.
Gateway och DNS-servrar motsvarar planeringen.
Gatewayen är nåbar.
Interna och externa namn kan slås upp.
Klienten når endast de nät och tjänster som tillåts av dess brandväggsregel.

Ingen eller felaktig adress tas emot

Om klienten inte får någon lease kontrollerar man först interface, VLAN och tjänstestatus. Följande fel är särskilt vanliga:

Fel interface: DHCP-servern är inte tilldelad interfacet för klientnätet.
VLAN når inte brandväggen: Switchens uplink tillåter inte det taggade VLAN:et eller klientporten är felaktigt tilldelad.
Adressintervallet passar inte: Start- eller slutadressen ligger utanför gränssnittets subnät.
Intervallet är fullt: Jämför antalet upptagna leaser och deras löptid med storleken på det konfigurerade intervallet. Leaselistan visar tilldelade adresser men ingen separat lista över lediga adresser.
En annan DHCP-server svarar: Klienten får en adress men fel gateway eller fel DNS-servrar.
Policy rule denied för källan 0.0.0.0: Om varken en DHCP-server eller ett relay är konfigurerat på interfacet kan en klientförfrågan avvisas med denna post. Meddelandet bevisar därför inte att en vanlig brandväggsregel är orsaken. Kontrollera först DHCP-servern, relay och interfacetilldelningen.
DHCP Relay krävs: Klienten finns inte i serverns direktanslutna nät.
Den statiska tilldelningen fungerar inte: Den angivna MAC-adressen motsvarar inte den MAC-adress som klienten faktiskt använder.

Med en packet capture filtrerad på port 67 or port 68 ser man om Discover, Offer, Request och ACK utbyts och vilken server som svarar. Använd Packet Capture i Sophos Firewall WebAdmin beskriver hur verktyget används.

Om en Discover når brandväggen men inget Offer följer kontrollerar man även statusen för dhcpd och loggen dhcpd.log. Lämpliga kommandon och loggsökvägar finns i Kontrollera Sophos Firewall-tjänster och loggar via CLI.

Om klienten får en korrekt IP-adress men inte kan slå upp namn kontrollerar man först DNS-adresserna som distribueras via DHCP. Om de är felaktiga eller saknas ligger felet fortfarande i DHCP-konfigurationen. Om de stämmer kontrollerar man därefter den interna namnuppslagningen och nätverksåtkomsten till DNS-servern.

För ett RED-gränssnitt finns ett särskilt fall: om gränssnittets adress ändras till en adress utanför det befintliga dynamiska leaseintervallet inaktiverar SFOS den tillhörande RED-DHCP-servern. Anpassa då Dynamic IP lease, statiska tilldelningar och DNS-värden till gränssnittets resulterande subnät, eller skapa en ny serverkonfiguration. Först därefter tas DHCP-området i drift igen och testas med en klient.

Ersätt en befintlig DHCP-server

Vid en migrering bör man inte bara aktivera den nya DHCP-servern utöver den gamla. Aktiva klienter behåller sina tidigare leaser. Den nya servern känner inte till dessa tilldelningar och kan erbjuda en adress som fortfarande används.

Följ dessa steg för ett kontrollerat byte:

Dokumentera den befintliga serverns intervall, alternativ, statiska tilldelningar och aktiva leaser.
Förkorta leasetiden på den gamla servern i god tid och vänta tills de aktiva klienterna har förnyat sina leaser med det kortare värdet.
Stoppa den befintliga servern och aktivera först den nya servern med ett tillfälligt intervall som inte överlappar.
Förnya leaserna på flera olika klienter och kontrollera gateway, DNS och nåbarhet.
Aktivera det slutliga intervallet när de gamla leaserna har löpt ut och återställ den normala leasetiden.

Conflict detection är användbart vid en migrering, men ersätter inte denna planering. Funktionen kontrollerar en adress innan den tilldelas, men har ingen gemensam leasedatabas med den gamla servern.

Dokumentera den tidigare konfigurationen fullständigt så att ändringen kan återställas. Om det nya adressområdet delar ut fel värden inaktiverar eller tar man bort endast den nya serverkonfigurationen och tar den tidigare servern i drift igen under kontrollerade former. System services > Services > DHCP server > Stop avslutar däremot den globala DHCP-tjänsten och därmed alla lokala adressområden; använd åtgärden endast om hela denna påverkan är avsedd. Förnya därefter leaser på flera testklienter.

Specialvärden som PXE-startservrar, VoIP-styrenheter eller leverantörsalternativ måste jämföras separat före bytet. De ingår inte automatiskt i den normala distributionen av adress, gateway och DNS.

Ändra globala DHCP-inställningar endast vid behov

I SFOS 23 finns dessa två UI-fält under Network > DHCP > Advanced server settings:

Allow only one lease per client begränsar varje klient till en enda DHCP-lease. När alternativet är aktiverat får varje klient endast en leasad IP-adress.
Negative acknowledgement aktiverar DHCPNAK-svar när en klient begär en adress utanför serverns konfigurerade subnät eller en adress som redan är tilldelad. Conflict detection är däremot en separat kontroll av en adress före tilldelningen.

Notera det tidigare värdet före en UI-ändring. Förnya därefter en klientlease, kontrollera IPv4 lease och vid behov en paketfångst på UDP 67/68. Återställ exakt det noterade värdet för att ångra ändringen. Följ även CLI-anvisningarna nedan om global påverkan, klientidentitet och NAK-risker.

Två ytterligare Device Console-omkopplare gäller hela DHCP-tjänsten. Läs deras status först:

system dhcp one-lease-per-client show
system dhcp send-dhcp-nak show

one-lease-per-client är avstängt som standard. Den aktuella hjälpen förklarar inte hur funktionen identifierar klienten i alla specialfall. Aktiveringen gäller globalt; begränsa därför inledningsvis endast testet till en kontrollerad klient och kontrollera sedan leasetabellen, förnyelsen samt enheter med flera gränssnitt eller varierande MAC-adresser.

send-dhcp-nak är aktiverat som standard. Ett DHCPNAK avvisar en adress som servern inte accepterar och skickar tillbaka klienten till DHCP-förhandlingen. Inaktivering kan förlänga ett ogiltigt klienttillstånd och är ingen allmän lösning för misslyckade leases.

Ändra omkopplarna så här:

system dhcp one-lease-per-client [enable|disable]
system dhcp send-dhcp-nak [enable|disable]

Hakparenteserna är platshållare; kör endast det värde som behövs. Kontrollera efter en ändring värdet igen med show, förnya en lease, granska IPv4 lease och fånga vid behov UDP 67/68. Vid bekräftade standardvärden återställs inställningen med system dhcp one-lease-per-client disable respektive system dhcp send-dhcp-nak enable. Om utgångsläget var anpassat återställs i stället exakt de värden som lästes med show före ändringen; kontrollera därefter båda inställningarna igen.