Messages

1

German - Deutsch / Re: IPv6: Verliere Verbindung bei M-Net (renew geht ins Leere)

« on: Today at 10:45:12 am »

Ich kann - ohne "public" IPv6 - mein LAN-interface an der OPNsense anpingen, aber das WAN-interface schon nicht mehr:

Code: [Select]

C:\>ping -6 fe80::a236:9fff:fe1d:8b1

Ping wird ausgeführt für fe80::a236:9fff:fe1d:8b1 mit 32 Bytes Daten:
Antwort von fe80::a236:9fff:fe1d:8b1: Zeit=1ms
Antwort von fe80::a236:9fff:fe1d:8b1: Zeit=1ms
Antwort von fe80::a236:9fff:fe1d:8b1: Zeit=1ms

C:\>Ping wird ausgeführt für fe80::20c:29ff:fee1:5cb8 mit 32 Bytes Daten:
Zielhost nicht erreichbar.
Zielhost nicht erreichbar.

Ping-Statistik für fe80::20c:29ff:fee1:5cb8:
    Pakete: Gesendet = 2, Empfangen = 0, Verloren = 2
    (100% Verlust),


Das ist klar. fe80::/64 sind Link-Local-Adressen, die nur an einem Interface Sinn ergeben, sind also nicht routebar. Normalerweise muss man beim Ping sogar angeben, über welches Interface die Pakete rausgehen sollen, also z.B. fe80::20c:29ff:fee1:5cb8%eth0.

Wenn, musst Du die WAN-IPv6 (2001:a61:...) pingen - was dank des neuen Features ja jetzt gehen sollte.

2

German - Deutsch / Re: IPv6: Verliere Verbindung bei M-Net (renew geht ins Leere)

« on: Today at 10:27:36 am »

Ich sehe, Du hast die IPv4 Option. Außerdem fiel mir im Log noch diese Zeile auf:

Code: [Select]

2024-10-08T09:58:05 Notice dhcp6c duplicated interface: pppoe1

Wieso ist das eigentlich pppoe1? Kann OpnSense dann durcheinanderkommen, wenn es mehrere PPPoE-Interfaces gibt? Schau Dir mal /var/etc/dhcp6c.conf an.

Bei mir kommt der IPv6-Renew alle 30 Minuten, sollte die halbe Lease-Zeit sein, müsste also 1h und nicht 2h sein.

3

24.7 Production Series / Re: System Performance drops off

« on: Today at 09:53:57 am »

What I meant, was that the microcode updates will not work if applied from within the VM. You must do that on the Proxmox host itself.

4

German - Deutsch / Re: IPv6: Verliere Verbindung bei M-Net (renew geht ins Leere)

« on: Today at 09:50:21 am »

Ansonsten fällt mir noch auf, dass Du offenbar die OpnSense als VM laufen hast (vmx0). Das kann natürlich alle möglichen Effekte haben. Wir hatten neulich ein schönes Problem, dass bestimmte ICMPv6-Pakete nach einer gewissen Zeit nicht mehr "durchkommen", das dortige Setting könntest Du mal probieren.

5

German - Deutsch / Re: IPv6: Verliere Verbindung bei M-Net (renew geht ins Leere)

« on: Today at 09:42:00 am »

Die lokalen VLANs sind per "Track Interface" auf verschiedenen 8-Bit-Präfixen des zugewiesenen 56er IA_PD unterwegs. Router Advertisements wie gezeigt.

6

German - Deutsch / Re: IPv6: Verliere Verbindung bei M-Net (renew geht ins Leere)

« on: Today at 09:40:26 am »

Vorausgeschickt sei, dass manche Provider offenbar je nach Ausbaugebiet und Zugangstechnologie leicht unterschiedliches Verhalten aufweisen (DG ist ein gutes Beispiel). Obwohl meine IPv6-Konfiguration bei M-Net gut läuft, weiß ich, dass manche User damit immer noch Probleme haben. Es hat in letzter Zeit auch ein paar Änderungen daran gegeben.

Ich setze jetzt mal voraus, dass Du die "IPv4-Option" bei M-Net gebucht hast (ich habe sie und bin per Glasfaser mit Nokia-Technik angebunden).

Mein WAN ist pppoe0, welches sich auf ein VLAN 40 über eine Ethernet-Schnittstelle mit dem ONT verbindet. Die Einstellungen sind unten gezeigt. Ich setze die MTUs auf 1512 (für das VLAN), 1508 (ONT) und 1508 (WAN) - nur diese Einstellungen und ein Reboot ergeben bei mir eine echte 1500er MTU, warum auch immer.

Darüber hinaus habe ich das physische ONT-Interface mit der CIDR 192.168.1.2/24 versorgt, um Zugriff auf den ONT zu erhalten.

Ich benutze das neue Feature, um trotz fehlender IA_NA IPv6 bei M-Net ("request prefix only") das WAN mit einem Präfix (hier: 0x88) und einer EUI-64 (hier: 0x12345678) zu versorgen.

7

General Discussion / Re: Plex Server Setup in 2024 - Fully accessible outside your network

« on: Today at 08:44:27 am »

I think, it will only work if you are able to access the remote port via IPv4, e.g. you are not behind CG-NAT or any type of double NAT, for that matter.

Also, my firewall optimization is set to "normal", see attached pictures. Obviously, you will need a plex account and have outbound access for your Plex server as well such that the plex network can make your external IPv4 be found. This server may not use a VPN connection, and obviously, you need a static or reserved internal IPv4.

There are instructions on how to test this (see sections "manual port forwarding" and "common problems"). For example, Zenarmor or AdGuardHome could also interfere.

8

24.7 Production Series / Re: System Performance drops off

« on: October 09, 2024, 06:23:18 pm »

How would you expect a CPU microcode update to work in a virtual machine?

Did you disable ballooning for RAM? You would only need more than 8 GByte if you use zenarmor.

9

Hardware and Performance / Re: AliExpress or Amazon Prime Day Deals?

« on: October 09, 2024, 06:15:41 pm »

The support will not be too good, but if the firmware works for OpnSense, that should not be a problem. Microcode updates can be done separately.

As far as security goes, that is anyone's guess. I doubt that there is something fishy in there that goes beyond what Intel has been forced to include in it in the first place. Usually, these are just customized AMI bioses.

10

Hardware and Performance / Re: AliExpress or Amazon Prime Day Deals?

« on: October 09, 2024, 09:28:00 am »

I have not looked at your proposals, but do not buy devices with REALTEK NICs. Many of the cheap offerings have those.

11

German - Deutsch / Re: Geräte in Firewall identifizieren - Umgang mit IPv6

« on: October 09, 2024, 08:50:00 am »

Du hast doch beide Möglichkeiten bei IPv6. Du kannst dynamische IPv6 Aliases vergeben, bei denen die EUI64 das Gerät identifiziert (unabhängig vom Präfix). Damit kannst Du aber nur Traffic zulassen, nicht blockieren, weil jedes Gerät Privacy Extensions nutzen könnte.

Blockieren kannst Du mittels der MAC, natürlich nur, wenn das Gerät keine MAC faken kann. Sicher klappt das nur mit 802.1X.

12

Hardware and Performance / Re: Barebone Intel N100 with 4 x I226

« on: October 07, 2024, 09:03:30 am »

There are Websites Like geizhals.de where you can Filter for capacity, TBW a.s.o.

13

Hardware and Performance / Re: Advice

« on: September 29, 2024, 02:45:46 pm »

How much of your memory is ARC cache? That does not really count.

14

24.7 Production Series / Re: 24.7.5 Running about 10 degrees hotter

« on: September 28, 2024, 12:11:52 pm »

No, it is not running hotter, only the new widget reports it as hotter because it determines the temperature during the widget updates. There are tons of threads about this, which you can find if you use the forum search.

Yes, fixes have been proposed and no, none is ready yet.

15

24.7 Production Series / Re: CUPS vulnerability

« on: September 28, 2024, 12:02:50 pm »

For the packages in the OpnSense repository, Deciso will bring updates if/when that is needed.
Once you enable other repos (inlcuding the official FreeBSD ones), YMMV.

I think there are bigger potential risks than to deliberately install a package on a firewall that does not belong there, like using a package and missing vital points, such as: "When I install squid and enable it for any interface (possibly because I want to filter traffic), it is able to access any other VLAN despite firewall rules saying some VLANs are restricted."