IPv6 an Telekom Anschluss konfigurieren

[mimugmail]

Nö, wenn das genauso läuft, wunderbar. Ich mach sonst nur static v6

[Mathias]

danke für eure ganzen Infos. Also kann ich das so laufen lassen? Wie gebe ich jetzt für Server Ports frei, wenn sich die IPv6 Adresse immer mal wieder ändert? Muss ich doch DHCP im LAN selber machen und den Servern feste IPv6 Adressen zuordnen?

[robgnu]

Hallo Mathias,

ja du kannst das laufen lassen. Die Entscheidung, ob man die IP-Adressen per DHCPv6 vergibt oder das per Autoconfiguration selbst macht, ist z.T. auch eine Geschmacks- und Prinzipienentscheidung. Der Ursprüngliche Standard hat kein DHCPv6 vorgesehen, jedoch gibt es Gründe, es u.U. anders zu machen.

Dynamische IP Adressen und OPNsense/pfSense sind leider noch etwas problematisch. Daher hast du folgende drei Optionen:

1. Besorge dir von deinem Provider ein festes IPv6 Netz. Bei Geschäftskundenanschlüssen ist das Standard.

2. Du verwendest das IPv6 Netz deines Providers nicht und nutzt den HE Tunnelbroker. Da bekommt jeder ein festes /48 IPv6 Netz. Es ist aber ein Tunnel - daher nutze ich diesen meist nur, wenn der Provider gar kein IPv6 anbietet.

3. Du arbeitest mit DynDNS: Bei IPv6 gibt es keine Portfreigaben. Das ist zunächst wichtig, da du sonst Denkfehler machst. Um DynDNS zu nutzen benötigst du zunächst einen DynDNS Dienst (z.B. dynv6.com). Diesen konfigurierst du dir mit dem OPNsense dyndns Plugin - sobald du eine neue Adresse bekommst, aktualisiert er den Hostnamen. (z.B. meinesense.dynv6.net) Wenn du jetzt z.B. einen Webserver erreichbar machen möchtest, legst du in der IPv4 Welt eine Portweiterleitung auf deinen Webserver an und fertig. Im falle eines festen IPv6 Netzes würdest du jetzt einfach eine Firewallregel anlegen, die den Zugriff auf deinen Webserver gestattet. Damit wärst du fertig. Bei dynamischen Adressen kennt aber noch niemand die IPv6 Adresse deines Webservers. Daher wäre es am einfachsten, wenn du z.B. bei Dynv6 einen weiteren Host anlegst, z.B. meinwebserver.dynv6.net. Dieser bekommt dann die IPv4 Adresse und die IPv6 Adresse des Webservers. Allerdings musst du das DynDNS Update vom Webserver per Script aus auslösen.

Ich hoffe, das war halbwegs verständlich. Sonst frag einfach nochmal konkreter nach.

Robert

[TheDJ]

Ich muss diesen Thread noch einmal aus der Versenkung erheben, da ich aktuell teilweise Probleme/Fragen mit der beschriebenen Konfiguration habe.
Zu meinem Setup:
Zyxel DX3301-TO/Digibox Smart als Modem im Bridge Mode (teste beide aufgrund der Probleme) <-> OPNsense 22.7.9 <-> TP-Link Managed Switch <-> TP Link AP <-> Windows/Android/etc. Client (diese sollen v6 bekommen, der Rest des Netzwerks gerne v4 bleiben)
Ich habe aktuell einen Pihole (nur mit IPv4 angebunden) als DNS-Server, der über den v4 DHCP der sense an die Clients ausgegeben wird. Dieser wiederum greift sich die Einträge vom Unbound von der sense (hier sind sowohl v6 als auch v4 Server als Forwards eingetragen).

Nun zum Problem: ich habe den Zugang zur Telekom wie per Anleitung mit VLAN7 auf pppoe konfiguriert und damit für ipv4 auch kein Problem. Auch das Zuschalten von v6 per DHCPv6 mit allen gesetzten Haken und /56 Prefix funktioniert erst einmal grundsätzlich (sense erhält eine v6 Adresse etc.).
Wenn ich v6 nun aber per Track Interface an die verschiedenen nachgelagerten Interfaces weitergeben will, kommt es zu Problemen: teilweise laden Websiten extrem langsam oder auch mal gar nicht. Bei https://ipv6-test.com/ schwanken meine Ergebnisse (teilweise nur ein paar Minuten auseinander) zwischen 4/20 und 18/20 auf dem gleichen Client.
Leider habe ich persönlich von v6 nicht so viel Ahnung wie gewünscht. Ich habe die RA wie hier im Thread beschrieben auch auf Unmanaged stehen, aber aktuell gebe ich keinen DNS über diese bekannt. Könnte dies der Hintergrund sein? Wenn ja: kann ich in den RA auch v4-Adressen (mein Pihole) bekannt geben oder muss das eine v6-Adresse sein? Wenn ja: wie trage ich das in das Feld ein, wenn sich der Prefix nach Reboot etc. ja ändert?

Danke schonmal!

[meyergru]

Du kannst sowohl die DHCPv6 als auch die RA-Einstellungen für DNS leer lassen, dann werden als Default entweder die externen DNS-Adressen oder die Interface-Adressen der OpnSense verwendet. Ändern sich die IPs, wird per RA oder DHCPv6 auch die neue IP übermittelt. Wegen der Lease-Zeit bei DHCP reagiert SLAAC schneller auf Änderungen.

Wenn man "unmanaged" oder "assisted" für SLAAC nutzt (d.h. kein DHCPv6), muss man in den RA-Einstellungen dazu die beiden Einstellungen "Use the DNS configuration of the DHCPv6 server" und "Do not send any DNS configuration to clients" ausschalten.

[robgnu]

Hallo,
nach meinen Beobachtungen ist das Problem nicht auf der Seite der LANs zu sehen (DHCPv6 etc.) sondern auf der WAN-Seite (PPPoE). Hier scheinen die delegierten IPv6 Netze nicht "erkannt" zu werden. Ich tippe ebenfalls darauf, dass es sich um ein Timing-Problem beim Verbindungsaufbau (nach Unterbrechung) handelt.

Gruß
Robert

[TheDJ]

Danke für die Rückmeldungen. Wenn ich diese richtig verstehe, ist meine Konfiguration also grundsätzlich richtig und es scheint möglicherweise einen Bug zu geben?

Ich tippe ebenfalls darauf, dass es sich um ein Timing-Problem beim Verbindungsaufbau (nach Unterbrechung) handelt.

Die Frage, die sich daraus für mich ergibt: kann ich denn irgendwas tun um das zu stabilisieren oder zumindest zu diagnostizieren? Wie Du schreibst: bei mir tritt diese Beobachtung insbesondere dann auf, wenn ich über das Interface (oder z.B. einen Cron) eine Trennung auf WAN provoziere. Direkt nach einem Reboot oder einer "frischen" Konfiguration der Interfaces läuft es eigentlich meist recht stabil.
Ich hatte zwischenzeitlich das Zyxel-Modem im Verdacht, weil ich den Eindruck hatte, dass es selbst im Bridge-Modus gerne mal mitredet und bin dann wieder auf die Digitalisierungsbox im Bridge-Modus gewechselt, mit der ich bei einem früheren Einsatz an einer pfsense null Probleme hatte.

Ich hätte halt schon gerne v6 an meinen Clients um auf (aktuell noch nicht viele aber zunehmende) v6 only-Dienste zuzugreifen. Dafür habe ich ja Dual Stack am Telekom-Anschluss.

[hkndng]

mal ne Frage zu der Thematik,
klappt das jetzt mit server von extern zugreifen trotz ab und zu neuem Präfix? Ich habe das Problem mit zwei Leitungen....

mfg
Hermann

[robgnu]

@TheDJ
Möglicherweise handelt es sich um einen Bug bei der OPNsense. Leider kann ich es nicht genau festmachen und ich bin kein BSD-Profi. Bisher passiert das Ganze nur gelegentlich. Dann aber häufig in kürzeren Abständen. Ich vermute, dass die DSLAMS gewartet / aktualisiert werden.
Wir benutzen bei den Setups immer die DrayTek Modems (130 bis zur aktuellen 160er Serie). Das VLAN-Tagging übernimmt in allen Fällen die OPNsense.
Wenn das Problem auftritt, ist die Firewall selbst weiterhin mit IPv6 verbunden und auch funktionsfähig. Nur die LANs und VLANs haben keine IPv6 Adressen mehr (track6 steht im Dashboard). Ein Reconnect löst das Problem i.d.R.
Bei manchen Setups haben wir, aus verschiedenen Gründen, eine FRITZ!Box vor der Firewall. Hier tritt das Problem niemals auf. Die FRITZ!Box delegiert dann IPv6 weiter zur OPNsense, jedoch haben wir dann bei IPv4 doppel-NAT, was sehr unschön ist.

Gruß
Robert.

[Patrick M. Hausen]

Du musst im Fall einer Fritzbox vor der OPNsense nicht doppelt NATen. Du kannst NAT für IPv4 auf der Sense komplett deaktivieren und auf der Fritzbox eine statische Route für das LAN eintragen.

[TheDJ]

@Robert
Spannend! Auf das mit track6 habe ich noch gar nicht geachtet. Habe gerade mal wieder bewusst einen Reconnect auf dem WAN produziert (über Reload in der Overview), nachdem es gestern eigentlich mal wieder stabil war und siehe da - jetzt habe ich tatsächlich auch track6 im Dashboard stehen und die Konnektivität ist massiv eingeschränkt.
Die Konnektivitätsprobleme kann ich mir aber auch quasi erklären: mein FW-Log läuft voll mit default denys auf IPv6-Adressen auf den VLANs/LANs mit aktiviertem track6 (ich denke, das sind die alten Adressen, für die die sense nun keinen state mehr hat oder so).
Gleichzeitige Beobachtung, die mir auch schonmal aufgefallen ist: wenn ich so einen WAN Renew habe, bei dem es danach zu Ausfällen kommt, fällt der DHCPv6 service aus (Button wird rot) und kann auch nicht einfach neu gestartet werden.
Weißt du, ob es im englischen Forum was dazu gibt bzw. ein Bug Report existiert?

EDIT: Gerade noch weiter festgestellt, dass in der Overview beim WAN der /56 prefix nicht angezeigt wird. Wenn ich mich recht erinnere, war das nach einem "erfolgreichen" v6 Renew sonst immer der Fall. Aktuell steht nur eine /64-Adresse für die sense drin aber keine Zeile für prefix. Vielleicht liegt es dann daran, dass der prefix nach dem renew nicht kommt und daher logischerweise keine Subnetze für die weiteren Interfaces abgezweigt werden können? In jedem Fall ein sehr unschönes Verhalten! Wo kann man das am besten reporten?
EDIT2: Noch einen Reloard provoziert - diesmal ging er problemlos durch und anscheinend ist es jetzt auch wieder stabil. Gleichzeitig ist auch die Zeile für den delegated prefix mit /56 wieder da, der dhcp6 service ist auch wieder online und im dashboard ist track6 verschwunden. Ich denke also, es ist wie Du vermutet hast, Robert - aus irgendwelchen Gründen kommt das prefix nicht auf den (V)LANs an, sodass keine v6-Adressen von den Clients gebildet werden (können) und dann die states in der FW nicht existieren (können). Scheint aber ja dann ein sense-Problem zu sein. Nur schwierig zu reproduzieren.

[tiermutter]

Zumindest dass der DHCP6 ausfällt ist kein Sense Problem, denn was soll der verteilen, wenn er nichts zum Verteilen bekommt?! "track6" steht da dann halt weil eben kein v6 via track6 verteilt werden kann.
Das Problem ist demnach also ganz am Anfang zu suchen, sprich warum der Sense kein 56er Netz zugewiesen wird. Solange nur ein 64er vorhanden ist kann der DHCP6 nicht arbeiten und nichts verteilen.

[TheDJ]

Das sehe ich auch so. Ich wollte nur kurz berichten um ein möglichst "umfassendes" Bild der Situation zu geben. Wie gesagt: für mich war das Kernproblem ebenfalls der fehlende Prefix. Für mich sieht das aber nach einem Problem auf der Seite von opnsense aus. Bis vor ca. einem Monat hatte ich hier noch eine pfsense im Einsatz, bei der ich sowas nie beobachtet hatte und bei Robert scheint es bei vorgeschalteter FB ja auch nie aufzutreten.
Frage ist: wo und wie am besten den Bug reporten?