Messages

OPNsense 26.7.4 aarch64 packages and sets released. Includes hotfix 26.7.4_1.

[Update 2026-09-17]
unbound 1.26.1 released.

Könnte schon der axp-Treiber sein bzw. dessen Interaktion mit PPPoE + VLAN-Tagging.

Hast Du die Möglichkeit, das Glasfasermodem 2 an den SFP-Ports zu testen, und / oder die GPON-SFPs an den Intel-Ports (mittels Kupfer-SFP / Medienkonverter / Switch )?

Eventuell ein Problem in der Konstellation FreeBSD / axp-Treiber / PPPoE? Ist aber Spekulation.

Ausschließen würde ich, dass es am PMG3000-D20B liegt. Das verwende ich auch und bekomme beim Ookla-Speedtest auch im Single Connection-Modus die volle Geschwindigkeit, ebenso in der Praxis z. B. bei einzelnen Downloads mit fetch oder wget.

Allerdings ist mein Konstellation deutlich anders. Das GPON-SFP sitzt in einem MikroTik-Router, der auch die PPPoE-Verbindung aufbaut. OPNsense (VM) sitzt dahinter als Firewall. Die Faser ist ebenfalls von der Telekom, ISP ist jedoch Telefonica / o2.

Grüße
Maurice

OPNsense 26.7.3 aarch64 packages and sets released. Includes hotfix 26.7.3_8.

[Update 2026-09-04]
Hotfix 26.7.3_11 released.

Statistics update: Average monthly traffic is now at ~165 GB.

Btw, a positive side effect of this is reduced resource consumption since unbound doesn't have to load the respip module anymore. I noticed a considerably lower RAM usage baseline.

Cheers
Maurice

OPNsense 26.7.2 aarch64 packages and sets released. Includes base / kernel 26.7.2_4, core 26.7.2_2 and hostapd 2.12_2.

If you don't want OPNsense itself to use NAT64, then you need to configure a DNS server without DNS64 in System / Settings/ General.

Did you enable DNS64? Then it's expected behavior. IPv6 is generally preferred over IPv4 and it doesn't matter whether the destination address is a "native" IPv6 address or an address synthesized by DNS64.

Cheers
Maurice

Privacy Extensions (RFC 4941) und Stable Privacy (RFC 7217) sind unterschiedliche Mechanismen.

Privacy Extensions spielen hier in der Tat keine Rolle, da diese nur zusätzliche Adressen für Outbound-Verbindungen erzeugen.

Stable Privacy ändert hingegen den Interface Identifier selbst, wenn sich das Präfix ändert. Das betrifft dann auch Inbound-Verbindungen und ist inkompatibel zu dieser DynDNS-Methode.

Ob Stable Privacy verwendet wird musst Du auf dem Wordpress-Server nachschauen (und dort auch ggfs. deaktivieren). OPNsense hat darauf keinen Einfluss.

Das funktioniert auch mit SLAAC, da sich der Interface Identifier im Normalfall nicht ändert (Ausnahme: Stable Privacy / RFC 7217).

Das Präfix wird nicht vom WAN-Interface übernommen, sondern von dem LAN-Interface, an dem der Server hängt.

Und ja, das funktioniert mit dem normalen os-ddclient.

You can create an NPT rule for a single /64 using the loopback method as well. That's not unique to the WAN tracking method.

And you can create an NPT rule for a shorter prefix using the WAN tracking method as well, in which case it's up to the user to avoid any collisions. That's not unique to the loopback method.

But I get what Franco said: Someone wanted that feature and now it's there. Nothing wrong with having options.

OPNsense 26.7.1 aarch64 packages and sets released. Includes hotfix 26.7.1_1.

Not sure. It seems to me that dedicated loopback interfaces are still the best option to get dynamic prefixes into NPT rules.
Maybe the person who requested using the WAN interface instead was not aware of this existing solution?

@OPNenthu
Interesting approach. But I'm pretty sure an NPT rule for a prefix which includes the WAN address will make services which run on OPNsense itself (like Wireguard) unreachable.

As OPNenthu explained in post #2, this is experimental and not meant for production, except for some very niche use cases. Using only ULAs has too many side effects.

These days, dynamic prefixes work reasonably well. If you need to configure something statically and manual renumbering (if your prefix ever changes) isn't acceptable: Use ULAs in addition to GUAs.

Even if you want to go the NPT way: The loopback workaround is meant for frequently changing prefixes. With a prefix that's stable for more than a year, using a static NPT rule and updating it manually if the prefix ever changes makes more sense.

Cheers
Maurice