(gelöst)PPPOE mit Draytek Vigor 167

[coni77]

Danke! Jetzt weiß ich bescheid. 

[vpx23]

Ist das eigentlich eine VDSL- oder eine Glasfaserleitung?

In einigen Foren steht man braucht für ersteres einen 'H'-Präfix vor dem Benutzernamen.

https://www.lancom-forum.de/fragen-zur-lancom-systems-routern-und-gateways-f41/1-1-zugangskennung-benutzername-bei-adsl-vdsl-pppo-t10408.html

Und auch hier hat der Benutzer bei einer Glasfaserleitung ein 'H'-Präfix:

https://forum.opnsense.org/index.php?topic=28216.0

Aber mit DS-Lite hast du ja gar keine IPv4, die Einwahl kann doch dann eigentlich nicht funktionieren. Bei IPv4 müsste dann eigentlich auch DHCP stehen, damit er die IP von CGNAT zugewiesen bekommt?

Bei diesem Benutzer ging PPPoE über IPv4 auch erst als er ein richtiges Dual Stack hatte.

https://forum.opnsense.org/index.php?topic=22193.0

[coni77]

Meine Leitung ist eine VDSL mit DS-Lite und mit PPPoE Einwahl beim 1&1.
Ich habe auch beim 1&1 angerufen wie diese Kommentare beschrieben, aber sie stellen mich nicht mehr um auf Dual Stack. Wäre zu schön gewesen. 
Ich konnte bisher meine Modem als Problem Quelle ausschließen, weil ich mit meine Fritzbox und mit eine externe Modem (DrayTek) ich keine Probleme habe.
Das Opnsense macht DS-Lite leider nicht automatisch in Gegensatz zum Fritzbox. Ich verstehe es so, dass ich selbst die Tunnel bauen muss.
Weiss nicht wieso, aber meine DHCPv6 Server ist leider "down" und vieleicht ist das Tunnel auch noch nicht richtig konnfiguriert.
Das Einwahl sollte OK sein, weil meine Opnsense kann eine IPv6 Addresse anpingen und es kann auch nach Update suchen und wenn es etwas findet dann kann es auch installieren.
Meine Laptop was dierekt mit Opnsense verbunden ist kann leider keine IPv6 Addresse anpingen.
Ich habe auch schon mit "H"-Präfix und auch ohne probiert, bei mir macht es keine Unterschied.

[Maurice]

@coni77 Hier bestehen zwei Probleme, die eventuell, aber nicht zwangsläufig zusammenhängen:

• Keine Antwort vom DHCPv6-Server, damit keine Prefix Delegation, damit kein IPv6 im LAN. Laut dhcp6c-Log wird der Solicit über igc1 geschickt, also das LAN-Interface [sic]. Der muss aber durch den PPP-Link, d. h. über das Interface pppoe1. Dafür sorgt 'Use IPv4 connectivity' in den DHCPv6-Einstellungen des WAN-Interfaces, aber das hast Du ja gesetzt (nochmal kontrollieren). Spekulation: OPNsense verschluckt sich daran, dass zwar eine PPPoE-Verbindung aufgebaut, dann aber keine IPv4-Adresse über IPCP zugewiesen wird. Möglich, dass das noch gepatcht werden muss.
• GIF-Tunnel wird nicht aufgebaut. Laut ifconfig fehlen die äußeren IPv6-Adressen (WAN- und AFTR-Adresse). So etwas hatte ich bei 4in6-GIF mit dynamischem Parent schon beobachtet. Wahrscheinlich wird das GIF-Interface generiert, bevor das Parent-Interface seine Adresse bezogen hat. Was dann immer geholfen hat ist, unter 'Interfaces: Other Types: GIF' auf den Tunnel zu gehen und nochmals zu speichern. Mach das mal und schaue, ob ifconfig gif0 dann auch IPv6-Adressen anzeigt. Falls das nicht hilft, dann könnte die Ursache die selbe wie bei 1. sein.

@vpx23 Der PPPoE-Verbindungsdaufbau funktioniert ja grundsätzlich, eine funktionierende IPv6-Verbindung besteht. An Zugangsdaten wird es daher nicht liegen. IPv4 auf DHCP zu stellen funktioniert nicht, denn dann erfolgt die erforderliche PPPoE-Anmeldung nicht. Bei DS-Lite wird vom ISP gar keine IPv4-Adresse zugewiesen. Es handelt sich um eine IPv6-only-Verbindung mit 4in6-Tunnel für IPv4.

[coni77]

Hi Maurice,
Gestern habe ich versucht das DHCPv6-Server hinzukriegen, aber nur mit kurzzeitigen Erfolg.
Ich habe Gestern Opnsense neu aufgesetzt und die PPPoE konfiguriert.
Da funktionierte einmal das DHCPv6-Server. Danach habe ich das GIF-Tunnel konfiguriert und das hat laut ifconfig auch besser funktioniert, aber IPv4 hatte ich noch nicht.
Dann habe ich das Log Level auf "Debug" gestellt neu gestartet. Dann funktionierte einmal das DHCPv6-Server nicht mehr, egal was ich versucht hatte.
Danach habe ich es wieder neu installiert PPPoE konfiguriert und dann funktionierte wieder das DHCPv6-Server. Dann habe ich neu gestartet ohne etwas noch einzustellen
und hatte wieder das gleiche Ergebnis DHCPv6-Server "down".
Danach habe ich zwei frühere Versionen opnsense Versionen ausprobiert mit gleiche Ergebnis. Heute Morgen habe ich die neueste Version wieder installiert ohne
am Anfang irgend etwas einzustellen (ports für WAN, LAN, IPv4 Adresse) alles ist auf Standard Einstellung um user error auszuschließen.
Ich hatte wieder nur bis Neustart eine DHCPv6-Server, danach wieder "down".

Hast du vielleicht eine Idee wieso passiert das nach Neustart und wie ich es hinkriege?

Danke!

[Maurice]

Da wird man ohne tiefergehende Analyse nicht weiterkommen, was aber ohne entsprechenden Anschluss schwierig ist. Es ist nicht ganz unwahrscheinlich, dass bisher niemand DS-Lite über PPPoE mit OPNsense betreibt, es schlicht noch nicht funktioniert und Du Pionierarbeit leisten müsstest. Was natürlich schwierig ist, wenn man gerade erst einsteigt.

Das Dilemma bei solchen Anschlussarten ist, dass sie von der zahlenden Deciso-Kundschaft wahrscheinlich eher nicht eingesetzt werden und das (kleine) Core-Team solche Themen daher verständlicherweise nicht priorisiert. Die freien Contributor implementieren überwiegend das, was sie selbst einsetzen (beruflich oder privat). Und die reinen (Privat)anwender, die tatsächlich Bedarf dafür hätten, haben oft nicht das Know-How oder die Motivation, die Entwicklung selbst anzugehen oder zu sponsern.

Ich kann dir nur sagen, dass DS-Lite über die beschriebene Konfiguration mittels GIF-Tunnel grundsätzlich funktioniert, das hatte ich selbst schon im Einsatz. Aber nicht mit PPPoE, sondern mit IPv4-WAN-Typ "None" und ohne VLAN.
Alternativ könntest Du versuchen, die PPPoE-Verbindung durch den Vigor aufbauen zu lassen, so dass OPNsense sich nur um DHCPv6 + 4in6-Tunnel kümmern muss. Ob sich der Vigor entsprechend konfigurieren lässt müsstest Du aber selbst herausfinden.

Grüße
Maurice

[vpx23]

Etwas off-topic aber ist es nicht unlogisch, dass PPPoE in der Interface-Konfiguration ein Unterpunkt von IPv4 ist aber nicht von IPv6?

Laut OSI-Modell ist PPPoE auf Schicht 2 und IPv4/IPv6 auf Schicht 3.

Ist das "Use IPv4 connectivity" also quasi ein Hack um IPv6 auch über PPPoE verwenden zu können wie hier beschrieben?

https://forum.opnsense.org/index.php?topic=26754.0

[Maurice]

Ich bin ausdrücklich kein PPP(oE)-Experte, meinem Verständnis nach ist das aber rein historisch bedingt. PPP ist deutlich älter als IPv6, ursprünglich waren PPP-Verbindungen daher IPv4-only. Es ist richtig, dass der Verbindungsaufbau inkl. Authentifizierung zunächst unabhängig von der IP-Version ist. Erst im letzten Schritt werden per IPCP (nicht DHCP) die IPv4-Parameter ausgehandelt (Adresse, DNS etc.).

Für IPv6 wurde dann IPV6CP entwickelt, im Unterschied zu IPCP wird darüber aber nur die link-local Adresse ausgehandelt. Für GUAs, Präfixe, DNS etc. hat man das Rad nicht neu erfunden, sondern auf SLAAC und DHCPv6 zurückgegriffen. Daher bei Dual Stack in vielen Routern die Einstellung "PPPoE" für IPv4 und "DHCPv6" für IPv6, obwohl meist auch ein IPV6CP-Handshake stattfindet und die IPv6-Pakete durch den PPP-Link gehen. Das ist in OPNsense mit der etwas unglücklich formulierten DHCPv6-Einstellung "Use IPv4 connectivity" gemeint.

Bei IPv6-only (nichts anderes ist DS-Lite) fällt IPCP weg, man muss in OPNsense aber dennoch IPv4 auf "PPPoE" stellen, da es für IPv6 noch keinen Konfigurationstyp "PPPoE + DHCPv6" gibt.

(Wie Franco im verlinkten Thread erwähnt gibt es auch ISPs, die IPv6 unabhängig von PPPoE abwickeln, d. h. nur IPv4 durch den PPP-Link, IPv6 direkt über Ethernet. Daher lässt sich "Use IPv4 connectivity" abschalten. Ist in Deutschland aber eher unüblich.)

[vpx23]

Danke für die Erläuterung, für einen Nicht-PPPoE-Experten kennst du dich aber gut aus.

[franco]

> Etwas off-topic aber ist es nicht unlogisch, dass PPPoE in der Interface-Konfiguration ein Unterpunkt von IPv4 ist aber nicht von IPv6?

PPPoEv6 gibt es doch Aber es reicht einfach nicht wenn man einen Prefix aushändigt.


Grüsse
Franco

[vpx]

PPPoEv6 gibt es doch

Tatsächlich. Leider hatte ich gestern nur in der Dokumentation unter "Interface configuration" geschaut, da steht es nicht drin. Es steht aber unter "IPv6 setup". OPNsense ändert sich einfach zu schnell für die Dokumentation.

Was passiert eigentlich wenn man bei IPv4 "None" wählt und bei IPv6 "PPPoEv6", baut das dann trotzdem eine IPv4-Verbindung auf?

Die Interface-Konfiguraton müsste mal komplett überarbeitet werden, so dass "PPP(oE) Configuration Type" ein eigenes Dropdown-Menü hat, z.B.:

• None
• IPv4
• IPv6
• IPv4+IPv6

Direkt darunter dann "PPPoE" als Checkbox.

Dann könnten auch die 6 Instanzen (3x PPP + 3x PPPoE) von "Use IPv4 connectivity" wegfallen. Vielleicht erstelle ich mal ein Issue oder einen Pull Request.

[franco]

> Was passiert eigentlich wenn man bei IPv4 "None" wählt und bei IPv6 "PPPoEv6", baut das dann trotzdem eine IPv4-Verbindung auf?

Geht nicht. Die Validierung benötigt PPPoE (IPv4) für PPPoEv6 und unter der Haube macht PPPoE (IPv4) den kompletten Verbingundsaufbau un PPPoEv6 setzt nur das "ipv6cp" Attribut.

"müsste mal komplett überarbeitet werden" -- die Frage ist ja ob PPP überhaupt die Modellierung IPv4/IPv6 klassisch abbildet. Die Antwort ist in dem Fall "nein", d.h. warum die Modellierung für einen Randfall umgestalten?


Grüsse
Franco

[Maurice]

IPv6-only-WAN (mit oder ohne PPPoE) ist allerdings längst Normalität, von einem "Randfall" würde ich da nicht mehr sprechen.

Ja, im Business-Umfeld sind Internetanbindungen mit IP-Transition (DS-Lite, 464XLAT etc.) noch nicht so verbreitet wie bei Privatkunden, ist aber nur eine Frage der Zeit. Mittelfristig werden wir auch bei OPNsense nicht mehr daran vorbei kommen, das besser zu integrieren. Die Frage ist nur, wer es wann macht.

Bei OpenWrt ist es z. B. gut gelöst, hat aber natürlich eine andere Ausrichtung und Zielgruppe.

Grüße
Maurice

[franco]

Wenn es einen Weg gibt IPv4 gezielt abzuschalten in der mpd.conf dann wäre das kein grosses Problem. Es ändert hier sich nichts an der bestehenden Modellierung, ausser dass man dann IPv4 PPPoE nicht auswählen muss wenn man PPPoEv6 einstellt.

Kompliziert wird es erst wenn man dan auch noch DHCPv6 will :>


Grüsse
Franco

[Maurice]

Für mpd5 sollte es vermutlich ausreichen, IPCP in der conf wegzulassen. Ohne DHCPv6 ergibt es aber wenig Sinn. Kein Präfix, folglich kein IPv6 im LAN. IPv4-only LAN am IPv6-only WAN ist zwar möglich, indem man alles tunnelt, wäre aber reichlich kurios.

Daher die spontane Idee eines IPv6-Typs "PPPoE + DHCPv6" (was natürlich auch IPV6CP impliziert). Oder komplett umstrukturieren, z. B. wie von vpx vorgeschlagen.