IPv6 Setup Probleme / PDR wird nicht geschickt

[luh]

Hallo,

Ich habe versucht zu meiner existenten Installation IPv6 hinzuzufügen, aber das funktioniert bisher nur teilweise. Ich weiss allerdings nicht mehr wo weiter suchen nach dem Fehler.

Das Setup:

WAN Configuration:
IPv6 Configuration Type: DHCP6
DHCPv6 Prefix Delegation size: 48

• Die FW erhält eine IP Adresse
• Ich kann erfolgreich ipv6.google.com aus dem Interface oder von der Konsole pingen

LAN Configuration:
IPv6 Configuration Type: Static
xxxx:xxxx:4a12:2::1 / 64
IPv6 Upstream Gateway: None

• Der lokale Rechner erhält eine IP Adresse
• Die FW lässt sich pingen
• ipv6.google.com lässt sich _nicht_ pingen

Nicht, dass ich glaube, dass es daran liegt, aber zwischen FW und dem lokalen Rechner hängt ein WAP. Dieser ist allerdings auf Durchzug gestellt. Für den Fall, dass es doch relevant ist: Es ist ein WRT1900AC, mit der aktuellsten Firmware.

Die OPNSense ist auch aktuell.

Auf der FW kann ich im tcpdump sehen, dass meine Requests bezüglich ping versendet werden.

LAN Interface:

Code: [Select]

17:46:40.371246 IP6 (hlim 64, next-header UDP (17) payload length: 41) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05.61131 > xxxx:xxxx:4a12:2::1.53: [udp sum ok] 2514+ AAAA? ipv6.google.com. (33)
17:46:40.372056 IP6 (hlim 64, next-header UDP (17) payload length: 100) xxxx:xxxx:4a12:2::1.53 > xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05.61131: [udp sum ok] 2514 q: AAAA? ipv6.google.com. 2/0/0 ipv6.google.com. CNAME ipv6.l.google.com., ipv6.l.google.com. AAAA 2a00:1450:400a:804::1007 (92)
17:46:40.373677 IP6 (hlim 64, next-header UDP (17) payload length: 98) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05.30930 > xxxx:xxxx:4a12:2::1.53: [udp sum ok] 30492+ PTR? 7.0.0.1.0.0.0.0.0.0.0.0.0.0.0.0.4.0.8.0.a.0.0.4.0.5.4.1.0.0.a.2.ip6.arpa. (90)
17:46:40.374225 IP6 (hlim 64, next-header UDP (17) payload length: 137) xxxx:xxxx:4a12:2::1.53 > xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05.30930: [udp sum ok] 30492 q: PTR? 7.0.0.1.0.0.0.0.0.0.0.0.0.0.0.0.4.0.8.0.a.0.0.4.0.5.4.1.0.0.a.2.ip6.arpa. 1/0/0 7.0.0.1.0.0.0.0.0.0.0.0.0.0.0.0.4.0.8.0.a.0.0.4.0.5.4.1.0.0.a.2.ip6.arpa. PTR zrh04s05-in-x07.1e100.net. (129)
17:46:40.375775 IP6 (hlim 64, next-header ICMPv6 (58) payload length: 64) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05 > 2a00:1450:400a:804::1007: [icmp6 sum ok] ICMP6, echo request, seq 1
17:46:41.384377 IP6 (hlim 64, next-header ICMPv6 (58) payload length: 64) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05 > 2a00:1450:400a:804::1007: [icmp6 sum ok] ICMP6, echo request, seq 2
17:46:42.392413 IP6 (hlim 64, next-header ICMPv6 (58) payload length: 64) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05 > 2a00:1450:400a:804::1007: [icmp6 sum ok] ICMP6, echo request, seq 3

Auf dem WAN interface sehe ich Folgendes:

Code: [Select]

17:48:46.313095 IP6 (hlim 64, next-header ICMPv6 (58) payload length: 40) xxxx:xxxx:2000:5:20d:b9ff:fe3c:bf82 > xxxx:xxxx:4a12:1::1: [icmp6 sum ok] ICMP6, echo request, seq 37379
17:48:46.375765 IP6 (hlim 63, next-header ICMPv6 (58) payload length: 64) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05 > 2a00:1450:400a:804::1007: [icmp6 sum ok] ICMP6, echo request, seq 126
17:48:47.351339 IP6 (hlim 64, next-header ICMPv6 (58) payload length: 40) xxxx:xxxx:2000:5:20d:b9ff:fe3c:bf82 > xxxx:xxxx:4a12:1::1: [icmp6 sum ok] ICMP6, echo request, seq 37635
17:48:47.383694 IP6 (hlim 63, next-header ICMPv6 (58) payload length: 64) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05 > 2a00:1450:400a:804::1007: [icmp6 sum ok] ICMP6, echo request, seq 127
17:48:48.351367 IP6 (hlim 64, next-header ICMPv6 (58) payload length: 40) xxxx:xxxx:2000:5:20d:b9ff:fe3c:bf82 > xxxx:xxxx:4a12:1::1: [icmp6 sum ok] ICMP6, echo request, seq 37891
17:48:48.391816 IP6 (hlim 63, next-header ICMPv6 (58) payload length: 64) xxxx:xxxx:4a12:2:1c3c:e9fe:8113:f05 > 2a00:1450:400a:804::1007: [icmp6 sum ok] ICMP6, echo request, seq 128

Ideen wo das Problem liegen könnte, oder welche Informationen noch notwendig wären, um das Problem zu lösen?

UPDATE (15-10-26):
Der Provider (Init7) hat mir gerade mitgeteilt, dass er den Prefix Delegation Request vom DHCPv6 nicht erhält und deshalb keine Route setzt. Frage ist jetzt also - was ist an der Konfiguration des DHCPv6 falsch?

[franco]

Hi,

Versuche mal LAN IPv6 auf "Track Interface" zu setzen. Im besten Fall reicht das schon.


Grüße Franco

[luh]

Danke für die schnelle Antwort. Ich habe den DHCPv6 Server auf dem Interface ausgestellt, und Track Interface aktiviert. Auf diese Art und Weise habe ich jetzt keine IP-Adresse mehr gesetzt auf dem lokalen PC (abgesehen von Link-Local). Dass ich den DHCPv6 Server deaktiviert habe auf dem Interface ist, weil mir OPNSense gesagt hat es geht nicht anders.
Bin nicht so bewandert mit wie das funktionieren sollte, entschuldigt falls die Fragen dumm erscheinen.

Mein Provider gibt mir eine /48 Range für statische Verwendung. Wie kommt es, dass Static dann nicht funktioniert?

[franco]

War ein erster Versuch um Verbesserungen zu erreichen. Hast du so zumindest eine IPv6 auf dem LAN? Wenn ja, empfehle ich einmal den DHCPv6 Relay auszuprobieren um alle anderen internen IPs auch direkt vom ISP zu bekommen.

Ansonsten... Ist denn das /48 ein statischer Bereich? Es scheint als ob eine dynamische IPv6 auf dem WAN und eine statische auf dem LAN eher unkonventionell ist. Hier ist zu prüfen ob die DHCP Addresse überhaupt im Richtigen Subnetz ist. Falls nicht, kann es schon sein, dass die Pakete auf dem Rückweg verworfen werden.

Um welchen Anbieter handelt es sich?

[luh]

Habe kurz mit deren  NOC gesprochen (Init7). Die sind einverstanden mit dem Setup. (DHCPv6 auf WAN und dann mit Prefix Delegation Request von ::/48, und anschliessendem verteilen per DHCP Server innerhalb auf dem LAN Interface). Allerdings sagen sie mir auch, dass sie den Prefix Delegation Request nicht erhalten. Dass dann anschliessend alles verloren geht, was ich auf IPv6 aus meinem LAN schicke macht Sinn (weil die IPv6 Adresse erhält mein Client ja). Meine DHCPv6 Konfiguration habe ich angehängt. Prefix Interface Statement, Authentication Statement und Keyinfo Statement habe ich nichts konfiguriert, deshalb habe ich keinen Screenshot davon genommen.

Das Script, welches ich angebe ist:

Code: [Select]

#! /bin/sh
dmips=${new_domain_name_server}
dmnames=${new_domain_name}
/usr/local/sbin/fcgicli -f /etc/rc.newwanipv6 -d "interface=re2&dmnames=${dmnames}&dmips=${dmips}"

Was fehlt, dass mein Provider den Prefix Delegation Request erhält?

[luh]

Mir ist aufgefallen, dass das Script jedesmal ersetzt wird durch das Default-Script. Ist das so erwünscht oder ein Bug?

Könnte mein Problem hiermit zusammenhängen? https://github.com/opnsense/core/issues/47

[franco]

Wir haben kein FCGI. Das ist pfSense.

Ich schau mal, warum das Skript überschrieben wird. Das Ticket ist schon länger nicht mehr aktualisiert wurden, ich weiß nicht ob die Probleme jetzt lokal behoben sind oder noch Nachholbedarf bei uns besteht.