Deutsche Glasfaser - Unsicherheit bei der Konfiguration

[User1773914]

Hallo liebe Community,

ich nutze jetzt schon eine Zeit lang Opnsense für den Glasfaseranschluss der Deutsche Glasfaser. Hat bis jetzt auch wunderbar funktioniert.

Nun wollte ich daheim mittels Cloudflare-Tunnel Anwendungen im Internet bereitstellen. Die Methode hatte ich zuvor beim alten Router (ASUS ZenWifi XT8) genutzt - ohne Probleme.

Es kommt jedoch keine Verbindung zur Stande. Da Cloudflare über IPv6 arbeitet, habe ich mir die Verbindung angeschaut und festgestellt, dass ich lt. IPv6-Tests gar keine v6-Adresse habe.

Da man - soweit ich weiß - bei der DG jedoch keine eigene IPv4 bekommt, muss ja eine v6 für CGN zugeteilt werden.

Habe hier im Forum auch schon Beiträge zu dem Thema gefunden und die Einstellung abgeglichen - ohne Erfolg. Da ich dann keine Lust mehr zum Basteln hatte, wollte ich den alten Router wieder in Betrieb - dieser funktioniert jedoch auch nicht mehr (Fehlermeldung: DHCP vom Anbieter fehlerhaft).

Nach einer weiteren Recherche stand im Netz, dass man nach einem Routerwechsel den ONT 60 Minuten vom Netz nehmen muss. Jetzt stellt sich natürlich mir die Frage, ob das auch die Fehlerursache für mein v6 Problem sein kann?

IPv6 hatte damals definitiv beim ASUS-Router funktioniert.

Bin über jeden Hinweis dankbar.

Gruß

Nachtrag: Hier noch die Konfiguration der Opnsense: https://ibb.co/gPjpQD3. Hätte die Dateien gerne direkt beigefügt, überschreitet aber leider das Limit.

Nachtrag 2: Hatte jetzt den ONT 60 min vom Netz und die Opsense wieder angeschlossen - scheint sich nichts geändert zu haben..

[meyergru]

Siehe hier.

Abweichend / (eventuell) falsch sind bei Dir:

Promiscuous Mode im LAN = "enabled"
Router Advertisements "Stateless" (muss unmanaged oder assisted sein, bitte DHVPv6 im LAN ausschalten, das funktioniert eh nicht bei vielen Geräten)

Du solltest erstmal schauen, ob Dein WAN eine IPv6 bekommt. Seit einigen Versionen ist es möglich, dem WAN-Interface eine IPv6 aus dem Prefix Range geben zu lassen. Dazu solltest Du "Optional prefix ID" und "Optional interface ID" für das WAN setzen. Damit kannst Du den 8 Bit Präfix zu den 56 Bits vom ISP bestimmen und außerdem anstelle Deiner EUI-64 einen besser lesbaren "unteren" Teil der IPv6 bekommen.

Dann siehst Du im Dashboard auch, ob / welchen IPv6 Präfix Du bekommst. Danach geht es an die Weitergabe per Track Interface ans LAN.

Für das LAN wählst Du eine andere 8-Bit-"Assign prefix ID" als die für das WAN, "Optional interface ID" kannst Du da leer lassen, das Gateway wird eh per SLAAC verteilt.

[User1773914]

Danke für die Rückmeldung.

Promiscuous habe ich deaktiviert und RA auf Assisted gestellt.
DHCPv6 ebenfalls deaktiviert.

Den Rest habe ich ehrlicherweise nicht verstanden. Ist eine Pflicht, Optional prefix/interface ID zu setzen?

Im Dashboard hat das WAN-Interface eine Link-Local Adresse. Das LAN-Interface hat das Prefix von DG.
Von der Opnsense aus kann ich auch via v6 pingen. Nur von den Clients nicht.

Das Thema scheint überhaupt nicht eindeutig. So mehr man googlet, desto verschiedenere Konfigurationsvorgaben findet man. Wäre schön, wenn vom ISP eine Vorgabe/Dokumentation existieren würde..

[meyergru]

Wenn das LAN-Interface eine IPv6 hat und die Clients kein IPv6 können, dann ist die Frage, warum:

- Haben die Clients eine IPv6 aus dem selben Range (d.h. nicht nur eine link-lokale IPv6)? Wenn nicht, müsste man prüfen, ob der RADVD läuft (sieht man auch im Dashboard) und ob die Clients IPv6 können.
- Falls ja: Kann man die IPv6 des LAN-Interfaces der OpnSense pingen?
- Man kann auch einfach "ping 2600::" versuchen, um zu testen, ob man IPv6 hat.
- Nächster Test: Kann man DNS auf IPv6 auflösen? Also z.B. geht: "ping -6 www.heise.de"

Einfach systematisch vorgehen:

1. IPv6-Adresse
2. IPv6-Gateway
3. IPv6 Namesauflösung

Was die "Pflicht" angeht: Nein. Nur, wenn Du das nicht machst, bekommt das WAN-Interface der OpnSense keine IPv6, wie Du ja gesehen hat. Dann muss sie die IPv6 des LAN-Interfaces für ausgehende Verbindungen nutzen, das geht auch, kann aber später Stress geben, wenn man VLANs nutzt.

Wenn Deine Clients aktuell noch die eventuell vorher eingestellte DHCPv6-Adresse nutzen, solltest Du das Netzwerkkabel kurz abziehen und wieder dranstecken, damit sie mitbekommen, dass sie jetzt IPv6-Adressen und -Gateway per SLAAC bekommen.

[hyp]

Ich hatte auch Probleme mit der ipv6 Verbindung bei der DG, danke für deine Anleitung! Einziges Problem ist aktuell nur noch das wenn ich die Internet Leitung für ein paar Minuten auslaste die ipv4 Verbindung abbricht (ipv6 funktioniert weiterhin), was bei regelmäßigen offsite Backups über ipv4 nervig ist.

Die Frage für mich ist ob die DG Probleme hat oder es ein Fehler bei der Opnsense ist? Ist jemand von den selben Problemen betroffen?

Edit: Opnsense läuft bei mir auf Proxmox und das Wan Interface (Intel I226-V) ist komplett per Passthrough durchgereicht

[meyergru]

Hast Du Traffic Shaping an? Das funktioniert bei der DG nicht, siehe hier.

Worauf sie auch pissig reagieren, ist, wenn man RFC1918-Pakete auf dem WAN "leakt". Ich habe, um das zu verhindern, eine "out" Regel auf dem WAN. Wenn man bei der Logging einschaltet, kann man auch sehen, was das verursacht (bei mir war es Monitoring, wo Adressen geprüft wurden, die keine andere Route hatten und deswegen das Default-Gateway (=WAN) nahmen).

[hyp]

Den Shaper habe ich nicht an. Ich habe mal eine Rule auf dem Wan Interface erstellt und Teste. Danke vielmals für den Tipp


Edit: War leider nicht erfolgreich