Client IPv6 Adressen und DynDNS-Dienste

[Maurice]

Das funktioniert auch mit SLAAC, da sich der Interface Identifier im Normalfall nicht ändert (Ausnahme: Stable Privacy / RFC 7217).

Das Präfix wird nicht vom WAN-Interface übernommen, sondern von dem LAN-Interface, an dem der Server hängt.

Und ja, das funktioniert mit dem normalen os-ddclient.

[meyergru]

Genau. Man kann den bekannten EUI-64 Suffix angeben und das Interface, auf dem der Client hängt, für den Präfix.

[AlexanderB]

Ja super, das funktioniert ja. Hätte ich einfach mal testen können. Aber ist unter den erweiterten Einstellungen.
Muss ich nur noch schauen, ob sich nicht doch der Interface Identifier ändert. Kann ich in OPNsense einsehen ob die Privacy Extensions aktiv sind?

[meyergru]

Jein. Du könntest Dir die neigbor table ansehen, ob irgendeine IPv6 genutzt wird, die nicht der EUI-64 für die MAC entspricht.

Nur: Was macht das vor dem Hintergrund der Fragestellung für einen Sinn? Jeder Client kann verschiedene IPv6 haben, mehrere GUAs, Link-Local-Adressen und ULAs. Für den DynDNS spielt es doch nur eine Rolle, wie man den Client erreichen kann. Selbst, wenn er zusätzlich privacy-IPs nutzt, bleibt doch die aus der MAC (oder DUID) abgeleitete, "quasi-statische" GUA erhalten - und genau die will man ja erreichen, also auch per DynDNS bekannt machen bzw. mit einem Dynamic IPv6 Host Alias per Firewall-Regel freigeben.

Die privacy-IP wird ja nur ausgehend genutzt.

P.S.: Das ist ja gerade der Vorteil, dass Opnsense den DynDNS Update machen kann anstelle des Clients: der würde ja die privacy IPv6 nehmen. Bevor das in OpnSense implementiert wurde, musste der DynDNS Service die EUI-64 ,,maskieren".

Vielleicht mal hier lesen: https://forum.opnsense.org/index.php?topic=45822.0

[Maurice]

Privacy Extensions (RFC 4941) und Stable Privacy (RFC 7217) sind unterschiedliche Mechanismen.

Privacy Extensions spielen hier in der Tat keine Rolle, da diese nur zusätzliche Adressen für Outbound-Verbindungen erzeugen.

Stable Privacy ändert hingegen den Interface Identifier selbst, wenn sich das Präfix ändert. Das betrifft dann auch Inbound-Verbindungen und ist inkompatibel zu dieser DynDNS-Methode.

Ob Stable Privacy verwendet wird musst Du auf dem Wordpress-Server nachschauen (und dort auch ggfs. deaktivieren). OPNsense hat darauf keinen Einfluss.

[meyergru]

Stable Privacy wäre für jeden Server das Aus, wenn sich der Präfix ändert.