Messages

I am also waiting for DHCPv6 support...

I have a strange status in CARP interfaces:

Code Select Expand

DMZ 40 (freq. 3/3) 192.168.40.2   MASTER
DMZ 46 (freq. 3/0) 2a02:8106:39:e601::2   MASTER
LAN 50 (freq. 3/3) 192.168.50.2   MASTER
LAN 56 (freq. 3/0) 2a02:8106:39:e605::2   MASTER
MEDIA 150 (freq. 3/3) 192.168.150.2   MASTER
MEDIA 156 (freq. 3/3) 2a02:8106:39:e615::2   MASTER
IOT 124 (freq. 3/3) 192.168.24.2   MASTER
IOT 126 (freq. 3/3) 2a02:8106:39:e624::2   MASTER
VMWARE 248 (freq. 3/3) 192.168.48.2   MASTER
VMWARE 246 (freq. 3/3) 2a02:8106:39:e648::2   MASTER
why are some in freq. 3/0? What does it mean?

on the backup CARP i see this:

Code Select Expand

DMZ 40 (freq. 4/103) 192.168.40.2   BACKUP
DMZ 46 (freq. 4/0) 2a02:8106:39:e601::2   BACKUP
LAN 50 (freq. 4/103) 192.168.50.2   BACKUP
LAN 56 (freq. 4/100) 2a02:8106:39:e605::2   BACKUP
IOT 124 (freq. 4/103) 192.168.24.2   BACKUP
IOT 126 (freq. 4/103) 2a02:8106:39:e624::2   BACKUP
MEDIA 150 (freq. 4/103) 192.168.150.2   BACKUP
MEDIA 156 (freq. 4/103) 2a02:8106:39:e615::2   BACKUP
VMWARE 246 (freq. 4/103) 2a02:8106:39:e648::2   BACKUP
VMWARE 248 (freq. 4/103) 192.168.48.2   BACKUP
Greetz

When I start the update on the CARP Backup OpnSense, I see this in the log of the CARP Master OpnSense:

Code Select Expand

>134>1 2025-02-20T15:23:34+01:00 cerber.mgmt.chao5.net filterlog 82363 - [meta sequenceId="24691"] 30,,,02f4bab031b57d1e30553ce08e0ec131,vlan0.0004,match,block,in,6,0x00,0x8a540,120,tcp,6,40,2001:4860:4860::8888,2a02:8106:39:e604::4,853,63203,0,SA,2018633911,114422878,65535,,mss;sackOK;TS;nop;wscale

The rule triggers even though I have an IPv6 rule on the DMZ interface (vlan0.0004) that allows everything...

Code Select Expand

grep 02f4bab031b57d1e30553ce08e0ec131 /tmp/rules.debug
block in log inet from {any} to {any} label "02f4bab031b57d1e30553ce08e0ec131" # Default deny / state violation rule
block in log inet6 from {any} to {any} label "02f4bab031b57d1e30553ce08e0ec131" # Default deny / state violation rule

Why is the automatic rule being triggered? Shouldn't my explicit IPv6 allow any to any rule take precedence? Moreover, why is it triggering on the CARP Master OpnSense? When I ping out to the internet (ICMPv6), the communication does not go through the Master CARP OpnSense but directly to the router.

wenn ich das update starte auf der CARP Backup OpnSense, siehe ich das im Log der CARP Master OpnSense:

Code Select Expand

>134>1 2025-02-20T15:23:34+01:00 cerber.mgmt.chao5.net filterlog 82363 - [meta sequenceId="24691"] 30,,,02f4bab031b57d1e30553ce08e0ec131,vlan0.0004,match,block,in,6,0x00,0x8a540,120,tcp,6,40,2001:4860:4860::8888,2a02:8106:39:e604::4,853,63203,0,SA,2018633911,114422878,65535,,mss;sackOK;TS;nop;wscale

Die Rule triggert immer auch wenn ich am DMZ Iface (vlan0.0004) eine IPv6 Rule habe die alles erlaubt... HMMMMM

Code Select Expand

grep 02f4bab031b57d1e30553ce08e0ec131 /tmp/rules.debug
block in log inet from {any} to {any} label "02f4bab031b57d1e30553ce08e0ec131" # Default deny / state violation rule
block in log inet6 from {any} to {any} label "02f4bab031b57d1e30553ce08e0ec131" # Default deny / state violation rule

Wieso triggert da die automatische Rule? Sollte meine explizite IPv6 allow any to any Rule nicht die ausstechen?
Vorallem wieso triggert die auf der CARP Master Opnsense? Wenn ich zum Internet rauspinge (ICMPv6), geht die Kommunikation nicht über die Master CARP Opnsense sondern direkt zum Router hmmmmmmmm

here the routes on both systems...

CARP Master:

Code Select Expand

root@cerber:~ # netstat -6 -r
Routing tables

Internet6:
Destination        Gateway            Flags         Netif Expire
default            fe80::52e6:36ff:fe UGS      vlan0.0004
localhost          link#6             UHS             lo0
dns.google         fe80::52e6:36ff:fe UGHS     vlan0.0004
2a02:8106:39:e600: link#11            U        vlan0.0004
2a02:8106:39:e600: link#6             UHS             lo0
2a02:8106:39:e602: link#3             U            vtnet0
cerber             link#6             UHS             lo0
2a02:8106:39:e604: link#11            U        vlan0.0004
2a02:8106:39:e604: link#6             UHS             lo0
2a02:8106:39:e605: link#12            U        vlan0.0005
cerber             link#6             UHS             lo0
2a02:8106:39:e615: link#13            U        vlan0.0015
2a02:8106:39:e615: link#6             UHS             lo0
2a02:8106:39:e624: link#15            U        vlan0.1024
2a02:8106:39:e624: link#6             UHS             lo0
2a02:8106:39:e648: link#16            U        vlan0.2048
2a02:8106:39:e648: link#6             UHS             lo0
fe80::%vtnet0/64   link#3             U            vtnet0
fe80::be24:11ff:fe link#6             UHS             lo0
fe80::%lo0/64      link#6             U               lo0
fe80::1%lo0        link#6             UHS             lo0
fe80::%lagg0/64    link#10            U             lagg0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.0004/ link#11            U        vlan0.0004
fe80::192:168:40:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.0005/ link#12            U        vlan0.0005
fe80::192:168:50:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.0015/ link#13            U        vlan0.0015
fe80::192:168:150: link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.1024/ link#15            U        vlan0.1024
fe80::192:168:24:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.2048/ link#16            U        vlan0.2048
fe80::192:168:48:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0

CARP Backup:

Code Select Expand

root@fenrir:~ # netstat -6 -r
Routing tables

Internet6:
Destination        Gateway            Flags         Netif Expire
default            fe80::52e6:36ff:fe UGS      vlan0.0004
localhost          link#4             UHS             lo0
dns.google         fe80::52e6:36ff:fe UGHS     vlan0.0004
2a02:8106:39:e600: link#9             U        vlan0.0004
2a02:8106:39:e602: link#1             U              igb0
fenrir             link#4             UHS             lo0
2a02:8106:39:e604: link#9             U        vlan0.0004
2a02:8106:39:e604: link#4             UHS             lo0
2a02:8106:39:e605: link#10            U        vlan0.0005
fenrir             link#4             UHS             lo0
2a02:8106:39:e615: link#11            U        vlan0.0015
2a02:8106:39:e615: link#4             UHS             lo0
2a02:8106:39:e624: link#12            U        vlan0.1024
2a02:8106:39:e624: link#4             UHS             lo0
2a02:8106:39:e648: link#13            U        vlan0.2048
2a02:8106:39:e648: link#4             UHS             lo0
fe80::%igb0/64     link#1             U              igb0
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%lo0/64      link#4             U               lo0
fe80::1%lo0        link#4             UHS             lo0
fe80::%lagg0/64    link#8             U             lagg0
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.0004/ link#9             U        vlan0.0004
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.0005/ link#10            U        vlan0.0005
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.0015/ link#11            U        vlan0.0015
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.1024/ link#12            U        vlan0.1024
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.2048/ link#13            U        vlan0.2048
fe80::20d:b9ff:fe4 link#4             UHS             lo0


hier noch mal die Routen auf beiden Systemen, vielleicht sieht jemand was ungewöhnliches:

CARP Master:

Code Select Expand

root@cerber:~ # netstat -6 -r
Routing tables

Internet6:
Destination        Gateway            Flags         Netif Expire
default            fe80::52e6:36ff:fe UGS      vlan0.0004
localhost          link#6             UHS             lo0
dns.google         fe80::52e6:36ff:fe UGHS     vlan0.0004
2a02:8106:39:e600: link#11            U        vlan0.0004
2a02:8106:39:e600: link#6             UHS             lo0
2a02:8106:39:e602: link#3             U            vtnet0
cerber             link#6             UHS             lo0
2a02:8106:39:e604: link#11            U        vlan0.0004
2a02:8106:39:e604: link#6             UHS             lo0
2a02:8106:39:e605: link#12            U        vlan0.0005
cerber             link#6             UHS             lo0
2a02:8106:39:e615: link#13            U        vlan0.0015
2a02:8106:39:e615: link#6             UHS             lo0
2a02:8106:39:e624: link#15            U        vlan0.1024
2a02:8106:39:e624: link#6             UHS             lo0
2a02:8106:39:e648: link#16            U        vlan0.2048
2a02:8106:39:e648: link#6             UHS             lo0
fe80::%vtnet0/64   link#3             U            vtnet0
fe80::be24:11ff:fe link#6             UHS             lo0
fe80::%lo0/64      link#6             U               lo0
fe80::1%lo0        link#6             UHS             lo0
fe80::%lagg0/64    link#10            U             lagg0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.0004/ link#11            U        vlan0.0004
fe80::192:168:40:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.0005/ link#12            U        vlan0.0005
fe80::192:168:50:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.0015/ link#13            U        vlan0.0015
fe80::192:168:150: link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.1024/ link#15            U        vlan0.1024
fe80::192:168:24:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0
fe80::%vlan0.2048/ link#16            U        vlan0.2048
fe80::192:168:48:2 link#6             UHS             lo0
fe80::a236:9fff:fe link#6             UHS             lo0

CARP Backup:

Code Select Expand

root@fenrir:~ # netstat -6 -r
Routing tables

Internet6:
Destination        Gateway            Flags         Netif Expire
default            fe80::52e6:36ff:fe UGS      vlan0.0004
localhost          link#4             UHS             lo0
dns.google         fe80::52e6:36ff:fe UGHS     vlan0.0004
2a02:8106:39:e600: link#9             U        vlan0.0004
2a02:8106:39:e602: link#1             U              igb0
fenrir             link#4             UHS             lo0
2a02:8106:39:e604: link#9             U        vlan0.0004
2a02:8106:39:e604: link#4             UHS             lo0
2a02:8106:39:e605: link#10            U        vlan0.0005
fenrir             link#4             UHS             lo0
2a02:8106:39:e615: link#11            U        vlan0.0015
2a02:8106:39:e615: link#4             UHS             lo0
2a02:8106:39:e624: link#12            U        vlan0.1024
2a02:8106:39:e624: link#4             UHS             lo0
2a02:8106:39:e648: link#13            U        vlan0.2048
2a02:8106:39:e648: link#4             UHS             lo0
fe80::%igb0/64     link#1             U              igb0
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%lo0/64      link#4             U               lo0
fe80::1%lo0        link#4             UHS             lo0
fe80::%lagg0/64    link#8             U             lagg0
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.0004/ link#9             U        vlan0.0004
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.0005/ link#10            U        vlan0.0005
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.0015/ link#11            U        vlan0.0015
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.1024/ link#12            U        vlan0.1024
fe80::20d:b9ff:fe4 link#4             UHS             lo0
fe80::%vlan0.2048/ link#13            U        vlan0.2048
fe80::20d:b9ff:fe4 link#4             UHS             lo0


Hi all

I have set up IPv6 and CARP and have a strange problem on the CARP backup instance. When I want to perform an update, the backup OpnSense tries to update the packages over IPv6 first, which times out, so I always get:

Code Select Expand

opnsense-update -V -k
...
(long time til timeout)
Fetching kernel-25.1.1-amd64.txz: .+ mkdir -p /var/cache/opnsense-update/81289
+ opnsense-fetch -T 30 -q -o /var/cache/opnsense-update/81289/kernel-25.1.1-amd64.txz.sig https://mirrors.dotsrc.org/opnsense/FreeBSD:14:amd64/25.1/sets/kernel-25.1.1-amd64.txz.sig
..............................[fetch: transfer timed out
fetch: /var/cache/opnsense-update/81289/kernel-25.1.1-amd64.txz.sig appears to be truncated: 0/1332 bytes]+ exit_msg ' failed, no signature found'

The 'truncated' message appears every time. I can manually download and install the files (sig and kernel), but it works only when done over IPv4.

The funny thing is, when I temporarily run pfctl -d on the (!) master OpnSense, everything works over IPv6 on the backup OpnSense. I have checked three times, there are no rules that would prohibit IPv6 on the backup OpnSense. Otherwise, everything works normally on the master and also on the hosts behind it (IPv4 and IPv6).

Have I forgotten any extra 'switch'? Does anyone know this problem?

Thx in advance for any tips!

Greetz

Hallo Alle,

ich habe IPv6 und CARP eingerichtet und habe ein seltsames Problem auf der CARP Backup Instanz.
Wenn ich update machen will, versucht die Backup OpnSense natürlich zu erst über IPv6 die Pkgs upzudaten und dies timed aus, somit bekomme ich immer

Code Select Expand

opnsense-update -V -k

...
(hier dauerts recht lange wegen timeout)
Fetching kernel-25.1.1-amd64.txz: .+ mkdir -p /var/cache/opnsense-update/81289
+ opnsense-fetch -T 30 -q -o /var/cache/opnsense-update/81289/kernel-25.1.1-amd64.txz.sig https://mirrors.dotsrc.org/opnsense/FreeBSD:14:amd64/25.1/sets/kernel-25.1.1-amd64.txz.sig
..............................[fetch: transfer timed out
fetch: /var/cache/opnsense-update/81289/kernel-25.1.1-amd64.txz.sig appears to be truncated: 0/1332 bytes]+ exit_msg ' failed, no signature found'

Die "truncated" Meldung bekomme ich jedes mal. Ich kann die Files (sig und kernel) per Hand downloaden und normal installieren aber eben wenn's über IPv4 läuft.

Das lustige ist, wenn ich auf der (!) Master OpnSense, temporär pfctl -d ausführe, dann klappt auch alles über IPv6 auf der Backup OpnSense.
Ich habe schon 3x geprüft, irgendwelche Rules habe ich nicht die IPv6 von der Backup OpnSense verbieten würden. Sonst geht alles normal auf der Master und auch den Hosts dahinter (IPv4 und IPv6).

Habe ich irgendeinen extra "Schalter" vergessen? Kommt jemanden das Problem bekannt vor?
Bin über jeden Hinweis dankbar!

Greetz

keine Tips?

[e600]

Das ist die Interface ID die als exposed host konfiguriert ist: ::192:168:40:2
somit ist die exposed host IPv6 Adresse: 2a02:****:****:e600:192:168:40:2

Die ist an dem Iface konfiguriert wo eine Verbindung zwischen Fritz und Opnsense besteht.
Der Host den ich gerne freigeben würde hat eine 2a02:****:****:e605::90 Adresse, die kann ich aber so nicht eintragen...

(sorry kann hier irgendwie kein Bild uploaden)

dies ist auch der Fall bei mir... was nutzt das wenn ich die "richtige" IPv6 nicht eintragen kann weil die ersten 4 Oktets fest sind in der IPv6 Interface ID.
Ich bin eben gezwungen eine IPv6 aus dem Bereich zu haben 2a02:****:****:e600::/64, der ist bei mir aber unbenutzt, wollte gerne eine IPv6 aus dem 2a02:****:****:e605::/64 freigeben.

kannst du es ausführlicher erklären? Ein Link zu Anleitung oder HowTo reicht auch...

Ich wollte (mit Absicht) keine RA/DHCP Dienste nutzen/haben. Aber könnte es auch für das 1ne Iface an der OpnSense aktivieren...

TiA

Was für ein Internet hast Du? Normalerweise macht man das was Du beschreibst ganz anders...

gibt es mehrere? SCNR :)
Was meinst du damit? der Tarif ist Business Kabel Tarif von Vodafone mit fester IPv4 und festem IPv6 Präfix...

Und wie macht man das?

jo die Route ist da... bringt aber nichts wenn eben nur die letzten 4 Oktets angegeben werden können für die Freigabe. Fritz sieht auch nur meine Opnsense, weil mit VLAN getrennt etc.

Es gibt freetz-ng aber habe mir noch nicht genau angeschaut...

Greetz

Hi Alle,

irgendwie ist es seltsam IPv6 Freigaben auf der Fritzbox zu konfigurieren. Ich habe es mit tricksen, sprich NAT (jaaaaaaa ich weiß, ich mags auch nicht) geschafft aber vielleicht habe ich was übersehen wie es besser gehen kann. Man lernt nie aus...

Meine Konfiguration:
Fester Präfix von ISP: 2a02:****:****:e600::/56
6 interne Netze konfiguriert: 2a02:****:****:e602::/64, 2a02:****:****:e604::/64, 2a02:****:****:e605::/64, 2a02:****:****:e615::/64, 2a02:****:****:e624::/64, 2a02:****:****:e648::/64

Jetzt wollte ich eine Freigabe für einen Host mit der IPv6 2a02:****:****:e605::90 konfigurieren...
Man kann auf der Fritz nur ein IPv6 Interface ID eingeben bei Freigaben im Format: ::****:****:****:****
Daraus baut es IMMER die 1ten 4 Octets aus dem Präfix also 2a02:****:****:e6000 und eben die Interface ID

Das klappt dann so nicht mit 2a02:****:****:e605::90

Ich habe es so gelöst, dass ich der opnsense an dem Iface was mit der Fritz verbunden ist eine IPv6 aus dem 2a02:****:****:e600::/64 Bereich vergeben habe und weiter NATe ich die 2a02:****:****:e605::90.
Nicht elegant aber es tut...

Wie könnte man es anders machen?

Mir fällt gerade ein ich könnte die Netze anders bauen, sprich z.B.
2a02:****:****:e600:0002:/72, 2a02:****:****:e600:0005:/72... Dann wäre eine Interface ID mit 2a02:****:****:e600:: gültig...
Würde das so gehen? Ich mag NAT nicht :)

Es gäbe noch den Weg über Freetz. Würde das mehr Möglichkeiten bringen? Die Box ist aber Eigentum von ISP, würde die ungern "anfassen" wollen.

Danke für Ideen und Vorschläge
Greetz