Policy-based Routing / Split-Routing für DSL und Hurricane Electric

[Bluemedia]

Hi zusammen,

seit Tagen versuche ich vergeblich, Policy-based Routing / Split-Routing für meinen IPv6-Traffic zu konfigurieren. Ich habe bei mir das Problem, dass ich von der Telekom leider nur einen dynamischen IPv6-Prefix bekomme.
Aus diesem Grund habe ich mir für meine öffentlichen Dienste (DMZ-Netz) einen Tunnel bei HE inklusive einem statischen /56er-Netz besorgt.
Da die Latenz über HE jedoch deutlich höher ist, als über meine Telekom-Leitung, möchte ich den Traffic aus meinem LAN weiterhin auch direkt über die Telekom-Leitung routen und nur den Traffic zum/vom DMZ-Netz durch HE.
IPv4-Traffic soll dabei komplett über die Telekom laufen.

Ich habe entsprechend den HE-Tunnel wie in der Doku beschrieben eingerichtet (siehe gif_interface.png und gw_overview.png). Die Default-Route für IPv6 verweist auf das Gateway von HE (routes.png).
Auf dem LAN-Interface habe ich anschließend eine Firewall-Regel erstellt, die sämtlichen IPv6-Traffic über das WAN_DHCP6 Gateway routen sollte (fw_lan.png).
Im DMZ-Netz funktioniert nun alles wie vorgesehen. Die Hosts sind über HE von außen erreichbar und können auch nach draußen kommunizieren. Wenn ich jedoch aus dem LAN-Netz (Telekom IP-Bereich) versuche nach außen zu kommen, bleiben die Pakete in der OPNsense hängen.

Ich habe leider keinen schönen Netzplan, aber wenn der fürs Verständnis erforderlich sein sollte, werde ich auch da noch mal ein bisschen was zusammenbasteln. Falls Rückfragen bestehen sollten, einfach fragen ;)

Frohe Ostern an alle
Euer Bluemedia

[mimugmail]

Firewall:Settings:Advanced .. Haken bei Shared Forwarding raus.

[Bluemedia]

Wow... Das wars tatsächlich... Nur so aus Interesse: Wie soll man darauf kommen? Ich hab mir hier seit Tagen einen Wolf gesucht... :D

[mimugmail]

Im Forum nach multiwan und ipv6 suchen. Ich überleg mal da auch was in die Doku zu packen .. kommt langsam häufiger vor :/

[franco]

Es gibt ja eigentlich getrennte sysctls für shared forwarding.. eins für IPv4 und eins für IPv6. Problematisch ist ja nur IPv6, richtig?


Grüsse
Franco