Bug?: IPv6 Portforwarding auf VIP

[l.gremme]

Hallo,

ich habe unter Schnittstellen -> Virtuelle IPs mehrere öffentliche IPv6-Adresse im CARP angelegt. Später bei der Konfiguration des Portforwarding (Firewall -> NAT -> Portforwarding) wähle ich diese IPs aus und erhalte eine falsche Subnetzmaske (/32) anstelle von /128. Daher kommt es zu Problemen beim Routing, da z.B. der Mailserver (TCP 25) mit /32 angesprochen wird, lande ich wieder bei meinem eigenen mit der Meldung "mail for <external host> loops back to myself".

Die öffentliche IP wird als Ziel angegeben und bei Ziel-IP-Umleiten eine lokale IPv6.

Workaround:
Anpassen von der Virtuellen IP auf "Einzelner Host / Netzwerk" und die Subnetzmaske auf /128 ändern.

Viele Grüße
Lars

[the_Uli]

Hi,

was genau hast du vor NAT64?
Oder verwendest du für intern ULA Adressen und willst ein NAT66 machen?

Grundsätzlich ist ein NAT bei IPv6 ja eigentlich nicht nötig / Sinnvoll.
Ausnahmen bestätigen wie immer die Regel 
Bin mir nicht mal sicher ob die OPNsnese NAT66 supportet?

Grüße

[l.gremme]

Hey,

ich verwende interne ULA-Adressen (fd00: und baue daraus ein sauberes NAT nach draußen.

Das NAT ist IPv6 (public) auf IPv6 (private fd00::1).
Das wird soweit von der OPNSense unterstützt. Zumindest wenn ich manuell im Portforwarding die Public-IP/128 auswähle unter "Einzelner Host / Netzwerk". Nehme ich direkt die Virtuelle IP, wie ich diese angelegt habe, wird diese als /32 angelegt. Das führt zu interessanten Phänomenen, wie das Loopback auf den eigenen Mailserver, wenn über IPv6 versendet wird.

Ich würde auf einen Fehler in der WebGUI tippen, dass dort eine fehlerhafte Netzwerkmaske ausgelesen wird. Die VIP hat die Netzmaske /128. In der Forwarding-Regel steht nach dem Speichern bei der VIP/32, obwohl es sich um eine IPv6-Adresse handelt. Daher wird der Traffic ausgehend dann auf sich selbst bei /32 umgeleitet. Es sollte dort die korrekte Netzmaske /128 automatisch anstelle von /32 dort stehen.

Viele Grüße
Lars