Unterschied zwischen LAN und LAN-Bridge

[WWestermann]

Guten Morgen,

kann mir jemand erklären was der Unterschied zwischen einer LAN-Bridge und einem LAN ist?

Folgendes habe ich gemacht/eingerichtet:

• LAN2 eingerichtet mit einer physikalischen Schnittstelle, IPv4 statisch zugewiesen, DHCP-Server aktiviert.
  IPv6 über "Track Interface" vom WAN
• Bridge eingerichtet, darin enthalten sind vier Schnittstellen
  (LAN1, opt2, opt3, opt4)
  Diese Bridge habe ich dann den Schnittstellen hinzugefügt, mit dem Namen LAN-Bridge
• LAN-Bridge aktiviert, einer statischen IPv4-Adresse übergeben. IPv6 soll über "Track Interface" vom WAN übergeben werden
• den DHCP-Server für IPv4 aktiviert
• Firewall-Regel angepasst

Jetzt passiert folgendes:

Beide Schnittstelle, also LAN2 und LAN-Bridge, bekommen eine IPv6-Adresse mit einem 64'er Präfix zugewiesen.
Die Arbeitsplätze an LAN2 bekommen auch eine IPv6-Adresse aus dem passenden Bereich. Nur die Arbeitsplätze an LAN-Bridge bekommen keine IPv6-Adresse zugewiesen.
Alle Einstellungen sind gleich, OPNSense wurde mehrfach (aufgrund anderer Einstellungen) neu gestartet, das Ergebnis bleibt gleich.

Wo ist der Unterschied zwischen einer LAN-Bridge, mit mehreren Schnittstellen, und einem LAN-Port?

[Patrick M. Hausen]

Die LAN Bridge hat mehrere Ports und ein Port ist nur ein Port. Das ist der Unterschied. Warum weist du nicht die Bridge "LAN" zu und nimmst dann anschließend den verbleibenden Port auch noch auf, wie auch in der Anleitung beschrieben?

[WWestermann]

Bei mir ist der LAN-Port ein reines Management-Netz.

Das eigentlich aktive/dauerhaft Netzwerk ist, eben, auf der Bridge.

[Patrick M. Hausen]

Dan weise dieser Bridge unter Interfaces > Assignments das logische Interface "LAN" zu. Dem Management-Interface weist du eines zu, das du nennst wie du willst, z.B. MGMT.

Die beiden Tunables aus der Dokumentation hast du eingebaut?

[WWestermann]

Danke für den Hinweis, musste ich erst nachschauen, aber ja, die beiden Tunable habe ich entsprechend gesetzt.

Sofern Du "net.link.bridge.pfil_bridge" (gesetzt auf "1") und "net.link.bridge.pfil_member" (gesetzt auf "0") meinst... 😇

Gerade die beiden Schnittstellen umbenannt und leider auch kein Erfolg. Nach wie vor keine IPv6auf den Arbeitsplätzen.

Ich bekomme immer nur die "fd26:6707:8de3:42c9:44c:7593:c59a:a6a4" und das dürfte die Link-Local sein...

[Patrick M. Hausen]

Router advertisements aktiv? Ich benutze nirgends track interface sondern immer statische Adressen, daher weiß ich nicht, ob das bei dir manuell geregelt wird oder nicht.

Bei mir gibt es Services > Router Advertisements - da muss man die Schnittstellen auswählen, auf denen RA aktiv sein sollen.

[WWestermann]

Da habe ich schon alle Optionen ausprobiert, mit dem Ergebnis, dass nichts gebracht hat, ich habe immer noch diese FD26*-Adresse.

[Patrick M. Hausen]

FD26 ist eine ULA, keine GUA. Du bekommst also keine Adresse so wie es aussieht. Mal die Prefix-Hints pro Interface probiert? Wiviel Adressraum delegiert die dein Provider überhaupt? Wenn es nur ein /64, kannst du natürlich keine zwei Interfaces damit versorgen. Muss schon ein (üblicherweise) /56 sein.

Mach doch v6 an deinem Management-Interface mal aus.

[WWestermann]

Ok, ich habe jetzt nur noch am WAN (natürlich) und am LAN IPv6 aktiv.

Vergeben wird vom Provider (Deutsche Glasfaser, aber ohne NT, daher mit einem VLAN-Tag 362) ein 56'er Prefix, da sollte also genug Spielraum für mein(e) Netz(e) sein.

Dennoch passiert am Client nichts. Ich habe mal ein Bild vom Dashboard/Interface gemacht und beigefügt. Die vollständige IPv6 ist 2a00:6020:1000:xx::xxxx. Aus der Zyxel-Zeit, also vor vier Tagen, weiss ich, dass die IPv6 auf der WAN-Seite ein 128'er Prefix hat und die lokalen Netze ein 64'er Netz bekommen.

Nur bei der OPNSense passiert das nicht in der Bridge.

Übrigens, unter System/Gateway habe ich nur eine FE80-Adresse...

[Patrick M. Hausen]

Das ist für den Gateway ok - link local für Gateways ist best practice. Den Rest muss ich mir mal in Ruhe angucken. Mit Track Interface etc. sollte eigentlich ein Prefix an deinem LAN ankommen.

[WWestermann]

Mit Track Interface etc. sollte eigentlich ein Prefix an deinem LAN ankommen.

Nur leider nicht auf dem Bridge-Interface.

Aber ganz lieben Dank für Deine Mühe.

[Patrick M. Hausen]

In deinem Screenshot ist auf LAN eine IPv6 GUA ...

[WWestermann]

Das ist nur ein Teil der Adresse, den Rest hatte ich abgeschnitten.

Die eigentliche Adresse lautet 2a00:6020:4ea0:3400:xxxx:xxxx:xxxx:xxxx So ist sie mir vom "Tracking" übergeben worden.

Ich habe gerade mal die Bridge aufgelöst und prompt bekomme ich auf dem LAN-Port eine IPv6 (in dem Format wie oben) und jeder Client bekommt seine eigene IPv6-Adresse.

Komisch...

[Patrick M. Hausen]

Was meinst du mit aufgelöst. LAN ist doch deine Bridge oder nicht?

Was du nicht tun sollst:

einen LAN Port haben
weitere OPT1 OPT2 OPT3 ... Ports haben
darüber eine Bridge bauen

Was du tun sollst:

X Ports OPT1 OPT2 OPT3 ... haben, alle ohne Adressen und Services
darüber eine Bridge bauen
diese Bridge LAN zuweisen (Interfaces > Assignments) und mit IP-Adresse etc. pp. versehen

Kein Member-Interface einer Bridge darf eine IP-Adresse haben! Alle IP-Konfiguration gehört auf das Bridge-Interface. Die Members sind nur Layer 2 Ports ...

LAN ist kein Member der Bridge, LAN ist die Bridge - das ist dann quasi ein kleiner Switch. Nehme an, das ist das, was du willst.

Genau so erklärt es auch die Doku.

[WWestermann]

Ja, so habe ich es auch verstanden, in dem vorgehenden Posting nur nicht richtig wieder gegeben.

Ich habe eine Bridge, die beinhaltet die Port OPT3, OPT4, OPT5 und OPT8. Die sind in bridge0 zusammengefasst und haben den Namen LAN bekommen.

Dort vergebe ich die gesamte Adressierung.

Eben sie wie Du es beschrieben hast.