Konfigurera IPv6 Prefix Delegation på Sophos Firewall

Med IPv6 Prefix Delegation kan en Sophos Firewall få ett IPv6-prefix från leverantören och använda det för att förse interna nätverk. Detta är särskilt relevant när internetanslutningen inte levererar ett fast statiskt IPv6-nätverk, utan leverantören delegerar prefixet via DHCPv6.

Snabbvägen består av tre delar: välj DHCP > Manual > DHCP only på WAN-gränssnittet och aktivera DHCP prefix delegation. Välj Delegated på det interna gränssnittet, ange WAN som Upstream interface och aktivera Router advertisement. Kontrollera därefter det prefix som faktiskt tilldelats, klientadresseringen och den tillåtna testtrafiken.

I IPv4-miljöer tänker man ofta i NAT, privata nätverk och portvidarebefordran. Med IPv6 är det annorlunda: Klienter kan få offentliga IPv6-adresser, och brandväggen styr åtkomsten via routing, Router Advertisement, DHCPv6-parametrar och brandväggsregler. Därför bör Prefix Delegation planeras medvetet och inte bara aktiveras som ett extra gränssnittsalternativ.

Före designen visar IPv6-stöd och begränsningar i Sophos Firewall med SFOS 22 vilka gränssnitts-, routing-, VPN-, regel-, DNS-, uppdaterings- och certifikatfunktioner som faktiskt stöder IPv6. Prefix Delegation löser endast adresseringen och ersätter inte denna end-to-end-kontroll.

För grunderna om gränssnitt, zoner och VLAN, se först Konfigurera zoner och gränssnitt på Sophos Firewall. Om det bara handlar om klassiska DHCP-alternativ för IPv4-specialfall, är Sophos Firewall DHCP Options (SFOS) den bättre artikeln.

När Prefix Delegation är meningsfullt

Prefix Delegation är meningsfullt när leverantören dynamiskt tillhandahåller ett IPv6-prefix via WAN-anslutningen och Sophos Firewall ska distribuera detta prefix till interna nätverk.

Typiska scenarier:

• Dual-stack internetanslutning med IPv4 och IPv6.
• Leverantören levererar ett IPv6-prefix via DHCPv6 Prefix Delegation.
• Interna klienter ska använda IPv6 nativt.
• Flera interna nätverk, till exempel LAN, server, gäster eller DMZ, ska få IPv6.
• DNS, loggning och brandväggsregler ska medvetet beakta IPv6.

Inte alla nätverk behöver omedelbart IPv6. Men om IPv6 är aktivt på klienter bör det kontrolleras noggrant via brandvägg, regler och loggar. En halvkonfigurerad IPv6-inställning kan annars leda till att klienter föredrar IPv6, men fel söks i IPv4-felsökning.

Förutsättningar

Innan konfigurationen bör man klargöra dessa punkter:

• Leverantören stöder IPv6 Prefix Delegation på anslutningen.
• WAN-anslutningen använder inte PPPoE för Prefix Delegation.
• WAN- och gränssnittsdesignen tar hänsyn till befintliga VLAN och LAG.
• De interna zonerna och brandväggsreglerna är planerade.
• Det är klart om klienter bara ska använda SLAAC eller om de också behöver DHCPv6-parametrar.
• DNS-koncept och loggutvärdering beaktar IPv6.

⚠️ Sophos Firewall stöder inte PPPoE over IPv6; Prefix Delegation kan inte användas över PPPoE. För VLAN innehåller Sophos-anvisningarna för SFOS 22 och 23 olika uppgifter: guiden för Prefix Delegation utesluter Prefix Delegation på varje gränssnitt med ett konfigurerat VLAN. Separat förbjuder anvisningen för fysiska gränssnitt att tilldelningen på ett sådant parent-gränssnitt ändras från Static till DHCP eller Delegated. VLAN-anvisningen beskriver ändå uttryckligen DHCP prefix delegation och Delegated på VLAN-gränssnitt. Den breda PD-begränsningen kan därför inte reduceras till att enbart gälla ändrad tilldelning på parent-gränssnittet. Bedöm därför VLAN-designer utifrån den faktiska vägen via upstream, parent-gränssnitt och leverantör; de dokumenterade VLAN-alternativen innebär inte ett generellt godkännande av varje topologi. LAG-gränssnitt stöder inte DHCP Prefix Delegation.

Förstå målbilden

Vid Prefix Delegation sker flera saker i följd:

1. Brandväggen begär en IPv6-adress och ett delegerat prefix från leverantören på WAN-gränssnittet.
2. Leverantören tilldelar WAN-gränssnittet en IPv6-adress och brandväggen ett prefix.
3. Brandväggen delegerar från detta prefix ett IPv6-nätverk till ett internt gränssnitt, till exempel LAN eller DMZ.
4. Det interna gränssnittet distribuerar IPv6-information till klienter via Router Advertisement.
5. Valfritt levererar en DHCPv6-server ytterligare parametrar, till exempel DNS-servrar.

Viktigt är rollfördelningen: Router Advertisement säkerställer att klienter lär sig sitt IPv6-prefix och standardgateway. DHCPv6 kan ge kompletterande information. Brandväggsregler bestämmer fortfarande vilken trafik som är tillåten.

Förbereda WAN-gränssnittet

Det första steget är WAN-gränssnittet. Här begär Sophos Firewall IPv6-prefixet från leverantören.

Välj IPv6-metod och mottagningsläge

På fysiska gränssnitt stöder WAN Static eller DHCP, medan interna gränssnitt stöder Static, DHCP eller Delegated. Static innebär att IPv6-adress, prefix, Gateway name och Gateway IP address anges manuellt. Kombinationen DHCP på WAN och Delegated internt i denna artikel är en konfigurationsväg för Prefix Delegation, inte en beskrivning av alla IPv6-metoder.

Under DHCP styr Mode hur brandväggens eget gränssnitt får sin IPv6-konfiguration:

• Auto tilldelar gränssnittets IPv6-adress automatiskt enligt den konfigurationsmetod som används, DHCP only eller Stateless.
• Manual innebär att man uttryckligen väljer DHCP only eller Stateless. Med DHCP only tilldelar brandväggen både adressen och övriga parametrar från DHCPv6-servern till sitt eget gränssnitt.
• Med Manual > Stateless får brandväggens eget gränssnitt sin adress genom SLAAC enligt Managed (M) Address Configuration- och Other (O) Configuration-flaggorna i mottagna Router Advertisement-meddelanden. Accept other configuration from DHCP kan väljas för att hämta övriga parametrar från DHCPv6-servern. Detta är brandväggens mottagning av IPv6-konfiguration, inte den Router Advertisement som brandväggen skickar till interna klienter.

För den fysiska WAN-konfigurationen med Manual > DHCP only anger man Gateway name och Gateway IP address enligt leverantörsanslutningen. Med Manual > Stateless får Gateway IP address inte ställas in.

Menysökväg:

Network > Interfaces

Förfarande:

1. Redigera det berörda WAN-gränssnittet.
2. Öppna IPv6 configuration.
3. Välj DHCP.
4. Välj Manual.
5. Aktivera DHCP only.
6. Slå på DHCP prefix delegation.
7. Valfritt konfigurera Preferred delegated prefix, om leverantören och den egna nätverksdesignen tillåter det. På ett fysiskt WAN-gränssnitt kan prefixlängden vara /48 till /64; på ett WAN-VLAN finns /48, /52, /56 och /60.
8. Aktivera valfritt DHCP rapid commit, men endast om Rapid Commit också är aktiverat på leverantörens DHCPv6-server. Att servern stöder funktionen räcker inte. Alternativet ger snabbare konfiguration genom två meddelanden, Solicit och Reply, i stället för fyra: Solicit, Advertise, Request och Reply.
9. Ange Gateway name och Gateway IP address för den fysiska WAN-anslutningen med Manual > DHCP only. På ett WAN-VLAN anger man Gateway name; Gateway IP visar den konfigurerade gatewayens IPv6-adress.
10. Välj Save och sedan Update interface.

För Preferred delegated prefix är prefixadressen valfri, men prefixlängden obligatorisk. Leverantören kan uppfylla begäran eller delegera ett annat prefix. Om den begärda adressen eller längden ändras senare uppdaterar brandväggen begäran först efter att DHCP-leasen tas bort eller WAN-gränssnittet avbinds. Planera detta avbrott i stället för att bara spara ändringen under normal drift.

I praktiken bör man först klargöra med leverantören:

• Vilken prefixlängd delegeras, till exempel /56, /60 eller /64?
• Är prefixet stabilt eller kan det ändras?
• Måste ett specifikt värde begäras?
• Finns det begränsningar vid Bridge-, PPPoE- eller Router-Modem-inställningar?

Konfigurera internt gränssnitt

Efter WAN-gränssnittet förses ett internt gränssnitt med det delegerade prefixet.

Menysökväg:

Network > Interfaces

Förfarande:

1. Redigera internt gränssnitt, till exempel LAN eller DMZ.
2. Öppna IPv6 configuration.
3. Välj Delegated.
4. Under Upstream interface välj WAN-gränssnittet som använder Prefix Delegation.
5. Kontrollera den IPv6-adress och det prefix som brandväggen automatiskt tilldelar gränssnittet och visar i IPv6/prefix.
6. Aktivera Router advertisement.
7. Aktivera valfritt DHCPv6 server om klienter ska få ytterligare parametrar. I detta Delegated-läge levererar alternativet parametrar som DNS, men inga IPv6-adresser.
8. Välj Save och sedan Update interface.

Router advertisement är ett valbart alternativ som gör brandväggen till RA-server för nätverket; i denna konfigurationsväg aktiveras det för de interna klienterna. Dokumentationen för fysiska gränssnitt anger också villkorliga gatewayfält under Delegated: om Zone är WAN ska Gateway name och gatewayens IPv6-adress anges i Gateway IP. Den övergripande rollindelningen anger dock fortfarande Static/DHCP för WAN och Static/DHCP/Delegated för interna gränssnitt. Fältvillkoret ska därför inte användas som grund för att välja Delegated som en generell WAN-metod.

Enligt dokumentationen tillåter Sophos att IPv6-adressen i fältet IPv6/prefix justeras, men inte prefixlängden. Det är viktigt vid flera interna nätverk: ett delegerat /64 ger bara ett separat /64-klientnät. Ett kortare leverantörsprefix, till exempel /56, ger adressutrymme för flera /64-nät; de prefix som SFOS faktiskt visar är styrande och får inte härledas från ett exempel.

Bedöm VLAN- och LAG-design korrekt

Många produktionsnätverk använder VLAN för klienter, servrar, gäster och administration. För Prefix Delegation måste man läsa tre separata uppgifter i Sophos-anvisningarna för SFOS 22 och 23 tillsammans:

• Guiden för Prefix Delegation förbjuder Prefix Delegation på varje gränssnitt där ett VLAN är konfigurerat. Denna uppgift är bredare än en begränsning vid ändring av tilldelningsmetoden.
• Anvisningen för fysiska gränssnitt förbjuder separat att tilldelningen på ett parent-gränssnitt med redan konfigurerade VLAN-subgränssnitt i efterhand ändras från Static till DHCP eller Delegated.
• VLAN-anvisningen beskriver uttryckligen DHCP prefix delegation för att hämta ett leverantörsprefix och IPv6 configuration > Delegated för ett internt VLAN. Som upstream kräver den ett WAN-gränssnitt med IPv6-tilldelningen DHCP och aktiverat DHCP prefix delegation.
• LAG-gränssnitt stöder inte DHCP Prefix Delegation.

Tillämpningsområdet för den breda PD-begränsningen och de uttryckligen beskrivna VLAN-alternativen är därmed inte entydigt klarlagt i dokumentationen. Parent-begränsningen förklarar en konkret gräns, men bevisar inte att den breda uppgiften enbart avser denna ändring av tilldelningsmetoden. Detta innebär varken ett generellt godkännande eller ett generellt förbud för alla VLAN-designer. Före implementeringen bör man kontrollera den faktiska upstream- och parent-vägen och, om den konkreta topologins lämplighet är oklar, klargöra stödet med Sophos och leverantören:

• Vilket gränssnitt begär prefixet från leverantören?
• Har detta parent-gränssnitt redan VLAN-subgränssnitt?
• Är leverantörens uplink själv ett VLAN och levererar det DHCPv6 Prefix Delegation?
• Används ett LAG som upstream trots att funktionen inte stöds där?
• Erbjuder leverantören statisk IPv6?
• Är det delegerade prefixet tillräckligt stort för alla planerade interna /64-nätverk?

För grunderna om VLAN hjälper Konfigurera VLAN på Sophos Firewall och UniFi Switch. Artikeln förklarar främst IPv4, men zon-, trunk- och regelplanering är också relevant för IPv6.

Kontrollera Router Advertisement

När Prefix Delegation aktiveras på det interna gränssnittet skapar Sophos Firewall automatiskt en Router Advertisement för detta gränssnitt. Konfigurera IPv6 Router Advertisement på Sophos Firewall förklarar Managed flag, Other flag, On-link, Autonomous, lifetimes och den automatiska prefixtilldelning som inte kan ändras.

Menysökväg:

Network > IPv6 router advertisement

Där bör man kontrollera:

• Finns det en automatiskt skapad RA-server för det interna gränssnittet?
• Annonseras det förväntade prefixet?
• Passar RA-flaggorna till det planerade klientbeteendet?
• Ska Other flag sättas så att DHCPv6 levererar ytterligare parametrar?

Prefix Advertisement Configuration för den automatiskt genererade RA-servern kan inte ändras. Om ett annat prefix också ska annonseras måste en egen RA-server skapas.

Öppna den automatiskt skapade RA-servern för det delegerade gränssnittet, kontrollera Prefix advertisement configuration och välj valfritt Other flag om DHCPv6-servern ska leverera ytterligare parametrar. Välj Save efter ändringen.

För de flesta miljöer gäller: Kontrollera först om klienter får IPv6-adresser korrekt med den automatiskt genererade RA innan ytterligare RA-servrar eller specialkonfigurationer läggs till.

Använd DHCPv6 endast för rätt ändamål

DHCPv6 är inte detsamma som DHCPv4. I många IPv6-designs får klienter sin adress via SLAAC och ytterligare information via DHCPv6. Därför bör man klargöra vad DHCPv6 ska uppnå innan aktivering.

Om Sophos Firewall själv ska distribuera adresser eller ytterligare parametrar beskriver Konfigurera och testa en DHCPv6-server på Sophos Firewall leaseintervall, DUID, giltighetstider och separat RA-validering.

Typiska DHCPv6-parametrar är:

• DNS-servrar.
• DNS-sökdomän.
• Ytterligare DHCPv6-alternativ, om en klient verkligen behöver dem.

Om klienter får en IPv6-adress men inte kan lösa namn är det inte automatiskt Prefix Delegation som är fel. Ofta saknas då den rätta DNS-servern, RA-/DHCPv6-kombinationen är oklar eller klienten använder en annan DNS-väg än förväntat.

För interna domäner och Split-DNS-scenarier är Konfigurera DNS Request Routes på Sophos Firewall relevant. IPv6 ändrar inte grundfrågan om vilken DNS-server som ansvarar för vilken domän.

Kontrollera brandväggsregler och Device Access

IPv6-trafik behöver lämpliga brandväggsregler. Kontrollera att befintliga regler använder IPv6-kompatibla käll- och målobjekt samt nödvändiga tjänster; en regel med enbart IPv4-nätverksobjekt täcker inte den nya IPv6-vägen.

Innan godkännande bör man kontrollera:

• Finns det regler för den berörda Source zone och Destination zone?
• Loggas IPv6-trafik där det behövs för felsökning eller efterlevnad?
• Är DNS, NTP, web och nödvändiga applikationer tillåtna?
• Är inkommande anslutningar från internet fortfarande medvetet blockerade eller specifikt tillåtna?
• Finns det separata regler för klient-, server-, gäst- och hanteringszoner?

Med IPv6 bör man särskilt undvika att göra interna klienter okontrollerat direkt tillgängliga från internet. Offentliga IPv6-adresser betyder inte att inkommande anslutningar måste tillåtas. Brandväggsreglerna förblir den centrala gränsen.

Även Device Access måste beaktas. Om interna klienter ska använda brandväggen som DNS-server måste DNS tillåtas för den lämpliga zonen. Hanteringstjänster som WebAdmin eller SSH bör däremot inte bli mer tillgängliga genom en ny IPv6-konfiguration. Härdningen av lokala brandväggstjänster beskrivs i Device Access och Local Service ACL på Sophos Firewall.

Tester efter konfigurationen

Efter implementeringen bör man inte bara kontrollera om en klient har fått någon IPv6-adress. Avgörande är om hela vägen fungerar kontrollerat.

Meningsfulla tester:

1. WAN-gränssnittet visar en IPv6-adress och ett delegerat prefix.
2. Internt gränssnitt visar ett delegerat IPv6-prefix.
3. Under Network > IPv6 router advertisement är den automatiska RA-servern synlig.
4. Testklient får en IPv6-adress från det förväntade prefixet.
5. Testklient har en IPv6-standardgateway.
6. DNS-upplösning fungerar för interna och externa namn.
7. HTTPS till ett känt IPv6-kompatibelt mål fungerar; använd IPv6-ping endast när målet är känt för att svara på ICMPv6.
8. Log Viewer visar den lämpliga brandväggsregeln för testtrafiken.
9. En inkommande IPv6-test från internet är endast tillåten om det finns en medveten regel för det.

För enskilda anslutningar hjälper Testa brandväggsregel med Log Viewer, Policy Test och Packet Capture. Policy Tester stöder inte IPv6; använd Log Viewer, Route Lookup, Packet Capture och verklig IPv6-testtrafik för denna väg. Om det handlar om grundläggande gränssnitts- eller DNS-problem bör man först kontrollera gränssnittsstatus, Router Advertisement och DNS-konfiguration.

För djupare felsökning kopplar Sophos tre serviceloggar till de berörda funktionerna:

• networkd.log för fysiska och virtuella gränssnitt,
• dhcpd6.log för DHCPv6-servern,
• radvd.log för IPv6 Router Advertisement.

Kopplingen innebär inte att varje fil måste innehålla ett visst felmeddelande. För en tillförlitlig korrelation antecknar du tid, gränssnitt och det prefix som visas före och efter felet och jämför dessa uppgifter med posterna i relevanta loggar.

Återställ ändringen kontrollerat

Dokumentera före ändringen den tidigare IPv6-tilldelningen, adressen eller prefixet, gatewayvärdena och RA-/DHCPv6-inställningarna för båda gränssnitten. Om acceptanstestet misslyckas går du till Network > Interfaces, återställer exakt dessa värden på båda gränssnitten och väljer Save och Update interface för vart och ett. Kontrollera sedan adressering, standardgateway, DNS och den trafik som fungerade tidigare. Gissa inte ersättningsvärden utan ett dokumenterat utgångsläge.

Vanliga fel

Klienter får ingen IPv6-adress

Kontrollera först om WAN-gränssnittet verkligen har fått ett prefix. Om inget prefix är synligt där ligger problemet oftast hos leverantören, WAN-gränssnittet, PPPoE-/Bridge-design eller Prefix Delegation-begäran.

Om ett prefix finns på WAN men klienter inte får någon adress bör man kontrollera internt gränssnitt, Router Advertisement och klientnätverk.

Klienter har IPv6, men inget internet

Då är Prefix Delegation i grunden inte nödvändigtvis problemet. Vanliga orsaker är:

• ingen lämplig brandväggsregel,
• DNS fungerar inte,
• klienten föredrar IPv6, men målsidan eller vägen är störd,
• fel internt gränssnitt,
• RA eller DHCPv6 levererar ofullständiga parametrar,
• returväg eller leverantörsrouting passar inte.

Om klientnätet medvetet är IPv6-only och bara ett IPv4-webbmål saknas behövs en separat övergång. NAT64 med Direct Web Proxy visar det aktuella SFOS-flödet med en IPv6-regel till proxyn och en efterföljande IPv4-regel till målet. Det ersätter inte generell NAT64 för andra protokoll.

DNS fungerar bara delvis

Med IPv6 ser man DNS-problem ofta sent eftersom vissa applikationer växlar mellan IPv4 och IPv6. Man bör testa separat:

• extern DNS-upplösning,
• interna domäner,
• reverse-lookups, om loggar eller rapporter ska visa namn,
• DNS-servern som klienten faktiskt använder.

Prefix ändras efter leaseförnyelse eller återanslutning

Om leverantören tilldelar ett dynamiskt prefix kan prefixet ändras. Då kan statiska IPv6-adresser, manuella DNS-poster, externa tillstånd eller övervakningsregler brytas.

För produktiva servrar, publicerade tjänster eller komplexa platsnätverk bör man därför kontrollera om ett stabilt leverantörsprefix eller en annan IPv6-design är nödvändig.

VLAN-gränssnittet visar inte Delegated

VLAN-anvisningen för SFOS 22 och 23 beskriver Delegated, medan guiden för Prefix Delegation anger den bredare VLAN-begränsning som förklaras ovan. Att ett alternativ är synligt löser inte i sig denna motsägelse i dokumentationen. Om alternativet saknas eller upstream-gränssnittet inte kan väljas bör man kontrollera firmwareversion, zon, WAN-gränssnittets IPv6-konfiguration och parent-gränssnittet. Upstream-gränssnittet måste använda IPv6-tilldelningen DHCP och ha DHCP prefix delegation aktiverat. Om ett VLAN redan är konfigurerat på ett fysiskt parent-gränssnitt kan dess IP-tilldelning inte i efterhand ändras från Static till DHCP eller Delegated. Med ett LAG som upstream gäller dessutom den dokumenterade begränsningen att LAG-gränssnitt inte stöder DHCP Prefix Delegation. Om den konkreta topologins lämplighet fortfarande är oklar bör man klargöra detta med Sophos och leverantören, i stället för att dra slutsatsen att funktionen stöds generellt bara för att alternativet är synligt.

Driftschecklista

• Leverantörsprefixlängd och stabilitet dokumenterad.
• Begränsningar för parent-, VLAN- och LAG-gränssnitt kontrollerade.
• WAN-gränssnitt får IPv6-adress och delegerat prefix.
• Internt gränssnitt använder Delegated med rätt Upstream Interface.
• Router Advertisement är aktiv och synlig.
• DHCPv6 är endast aktiverat om ytterligare parametrar behövs.
• DNS-koncept för interna och externa namn kontrollerat.
• Brandväggsregler för IPv6 medvetet skapade eller bekräftade.
• Device Access har inte onödigt utökats med IPv6.
• Log Viewer visar testtrafik på ett spårbart sätt.
• Ändringar av prefix eller leverantör dokumenteras.

FAQ