IPv6 Routen für delegierte Subnetze fehlen

[dan3o3]

Hallo,

ich beiße mir gerade die Zähne an einem Problem mit OpnSense 17.7.8 im Zusammenhang mit IPv6 aus.
Ich habe, zugegeben, ein etwas perverses Setup das wie folgt aussieht:

Deutsche Glasfaser FTTH -> OpnSense Router -> Unifi USG Router -> LAN

Ich bekomme vom ISP ein /56 Präfix was ich mit "Schnittstelle aufzeichnen" an das LAN Interface weiter reiche, soweit so gut. Nach diversen Anläufen habe ich auch den Unifi Router soweit das er ein /62 Präfix anfordert und mein LAN entsprechend versorgt, alles gut soweit.

Das Problem: Keine Maschine im LAN ist in der Lage ins Internet zu kommunizieren, nach einigem hin und her war klar das es daran liegt das auf dem OpnSense Router keine IPv6 Routen ins LAN existieren, er versucht fröhlich zurück ins Internet Pakete zu beantworten.

Eigentlich sollte OpenSense doch die Routen automatisch rein bekommen oder liege ich da falsch?

IPv6 vom direkten internernen Interface von OpenSense funktioniert übrigens einwandfrei, es scheint nur die Subnetz hinter dem 2. Router betroffen zu sein.

Hat vielleicht jemand eine Idee woran es liegt? Oder stolpere ich hier fröhlich über einen Bug?
Bisherige Suchen waren leider ohne Erfolg, ich hoffe hier findet sich jemand mit einer Idee...


Danke und viele Grüße,
Dan

[JeGr]

> an das LAN Interface weiter reiche,

Du hast das LAN via Track Interface konfiguriert - das legt aber (kannst du im Status sehen) normalerweise nur ein normales /64er Prefix aufs LAN, kein 56er Prefix. Zusätzlich müsste dann m.E. der DHCP6 auf dem "LAN" in Richtung Unifi konfiguriert sein, dass er ein Prefix weiterreid (IA_PD etc.).

Gruß

[dan3o3]

Mhh, aber wie kann ich einen DHCPv6 auf dem OPNsense Router konfigurieren?
Statt "track interface" DHCPv6 im Interface macht wohl keinen Sinn und unter Dienste kann ich nichts einstellen da ich keine statische IPv6 konfiguriert habe...

Mhhh...


Nachtrag: Du hast übrigens Recht, laut Ifconfig ist die Prefixlen 64, ich frage mich dann nur wieso Unifi und Geräter dahinter überhaupt IPs bekommen.

Dan

[asqwjeoq32]

Also zufällig habe ich die gleiche Situation.

Komme von PFSene mit funktionalem Setup:

ipv4 DSL Der Telekom
ipv6 HE Tunnelbrocker /48 Netz

--> In die XXXSense

--> /64 static an die "normalen LANs"

Funktionieren

Nun aber
/49 auf Uplink zu Nebengebäude mit Prefix Deligation /52

Dort steht ein Ubiquiti edgerouter

IPv6 aus dem Anfangsbereich des /49 wird gezogen **1
Prefix Deligation /52 Bereich wird dem Ubiquiti zugewiesen **2

Problem: Die OPNSense erstellt kein GW ( **1 ) und auch keine Route (**2)

Somit kommen keine Pakete zurück.

Route manuell angelegt --> alles geht

Ich schätze was hier bei PFSense behoben wurde klemmt nun:
https://redmine.pfsense.org/issues/2347

[asqwjeoq32]

So...

Sry... wollte mal ein wenig spielen bn nun dann aber zurück zur PFSense

Mal zum Nachstellen:

Zugewiesene IP vom Tunnelbroker: 2001:470:1111::1/48
Bridge Interface IpV6 2001:470:1111:8000::1/49

DHCPv6 / Mode Assisted
DHCPv6 Server Enabled

Range (1000 IPs für Endgeräte)

Code: [Select]

2001:470:1111:8000::1     2001:470:1111:8000::1000
Prefix Deligation Range (Size 52)

Code: [Select]

2001:0470:1111:c000::    2001:470:1111:f000::
-----------------------------------------------------------------------------------

IP Adressvergabe funktioniert ( Ubiquiti WAN )
Deligation funktioniert auch.

Code: [Select]

2001:470:1111:f000::/52 Routed To: 2001:470:1111:8000::1000 0  2017/11/25 20:32:17 2017/11/25 22:32:17 active
Einziger Unterschied bei PFSense ist folgender Eintrag im Routing:

Code: [Select]

IPv6 Routes
Destination Gateway Flags Use Mtu Netif Expire
2001:470:1111:f000::/52 2001:470:11111:8000::1000 UGS 2773 1500 re1

[franco]

Ich schau es mir gegen Bugreport auf GitHub gerne an, brauche aber fairerweise einen Werktag bevor zurückmigriert wird. Glaube anderswo wurde der Bug auch nicht so schnell behoben, auch wenn es jetzt glücklicherweise geht. 


Grüsse,
Franco

[asqwjeoq32]

Ach...

So ist das wenn man privat Testmigriert :-)

Am Montag muss alles wieder laufen :-)

Gerne stelle ich das nochmal auf dem Schreibtisch werktags nach. Das kann dann auch ein wenig stehenbleiben

[dan3o3]

Also ich kann mittlerweile bestätigen das in der Tat nur die Route fehlt, ich bin gar nicht darauf gekommen diese mal manuell zu setzen...

Nach setzten der fehlenden /62 Route (in meinem Fall das delegierte Prefix zum Unifi Router) läuft nun IPv6 im LAN einwandfrei!

BTW: Entgegen andere Meinung hier reicht "Schnittstelle aufzeichnen" völlig aus, trotzdem werden Größere Prefixe an weitere Router verteilt, eine vollständige DHCPv6 Config scheint also nicht notwendig zu sein.

Dan

[JeGr]

> Entgegen andere Meinung hier reicht "Schnittstelle aufzeichnen" völlig aus

Mal davon abgesehen, dass ich die Übersetzung panne finde - "aufzeichnen" ist hier eine ziemlich ungeschickte Übersetzung von "track" -> ich hätte da sinnvollerwiese sowas wie (ver)folgen oder beobachten verwendet. Es wird ja nichts aufgezeichnet sondern Änderungen nachverfolgt und entsprechend reagiert.

Aber davon abgesehen war meine Meinung nicht auf das Tracking bezogen, sondern auf IA_PD also Prefix Delegation und damit einhergehend das Routing. Wenn das Track Interface erledigt ist das natürlich fabulös, das habe ich aber so nicht im Test erkannt daher meine Mutmaßung, dass hier ggf. der DHCP6 noch zumindest assistierend die PD und die Routen raus-annoncieren muss, denn die fehlten. Aber schön, dass es wohl doch so einfach sein kann

Gruß

[dan3o3]

Hi JeGr,

ja, der ganze IPv6 Zauber ist momentan echt noch einige Kopfschmerzen wert...
Eigentlich sollte es ja "einfacher" werden, ich bin gespannt wann das wirklich so sein wird.

In meinem momentanen gefährlichen Halbwissen: Soweit ich sehe wird ja auch bei "track Interface" ein dhcp6c Daemon gestartet, ich denke das ich der volle DHCPv6 in einer entsprechenden Minimalkonfiguration.
Vielleicht ist das die Erklärung wieso es geht.

Die Übersetzung ist übrigens wirklich grausig... ;O

Wenn jetzt noch die Route automatisch hochkommt - ich denke das ist ein momentaner OPNsense Bug - dann ist es wirklich perfekt.

Danke an alle für eure Hilfe!

Dan