IPv6: Clients verlieren Verbindung ins Internet

[meyergru]

Das ist so lange keine Erkenntnis, wie Du nicht testest, ob die Route und der Neighbor Cache noch intakt sind. Beheben kannst Du es frühestens, wenn Du erstens sicher weißt, dass das die Ausprägung ist, die das beobachtete Verhalten verursacht und dann zweitens überlegst, wieso das passiert (wenn es denn so ist).

Wir hatten ja z.B. anfangs mal über Proxmox diskutiert. Da ist es so, dass ein fehlendes bridge-mcsnoop 0 den Neighbor Cache kaputt macht, weil bestimmte Pakete nicht durchgelassen werden. Ist bei Dir nicht der Fall, weil Deine OpnSense nicht unter Proxmox läuft.

So etwas kann aber die seltsamsten Ursachen haben, beispielsweise fehlerhafte Switches, wie ich vor kurzem bei Ubiquiti erleben durfte, oder, oder oder.

Oder anders: Meine Glaskugel ist kaputt. Dein Problem ist offenbar sehr speziell, da kann man (mindestens: ich) leider nur Denkanstöße geben, sorry. So funktioniert Debugging nach meiner Erfahrung nun mal.

[bamf]

Danke für deine Hilfe bis hier auf jeden Fall.

Jetzt nach einem Reboot funktioniert es erst mal wieder.

Was genau müsste ich da prüfen? Den Cache mit

Code Select Expand

ndp -a anzeigen lassen? Die Routen mit

Code Select Expand

netstat -rn -f inet6? Worauf muss ich achten?

[JamesFrisch]

Doofe Frage, aber ist es möglich das Zyxel Business Modem wegzulassen und direkt OPNsense zu nutzen? DMZ und Bridges machen häufig nur Ärger, unnötig kompliziert, brauchen Strom usw.

[meyergru]

Du müsstest einen Unterschied der jeweiligen Ausgaben der Tools zwischen "funktionierend" und "nicht funktionierend" sehen. Wenn einer da ist, wäre die Frage, was die entsprechende Änderung bewirkt. Bei Routen könnte es ein RA sein, der nicht da sein dürfte, bei NDs entsprechend ND-Pakete, die nicht (mehr) durchkommen oder den Cache löschen. Theoretisch kann ein Client ja seine IPv6 wechseln, beispielsweise bei Nutzung der Privacy Extensions.

Unter Linux gibt es z.B. noch das ndptool, mit dem man entsprechende NDP-Frames sehen kann. Für RAs gibt es radvdump.

@JamesFrisch: Interessanter Gedanke. Ich hatte angenommen, das ZyXEL sei als reines VDSL-Modem in Betrieb, nicht, dass es als vorgeschalteter Router genutzt wird. Das kann natürlich alle möglichen dummen Effekte haben.

@bamf: Also, wer macht die Einwahl? OpnSense oder das ZyXEL?

[bamf]

Das Zyxel ist ein reines VDSL-Modem und unterstützt auch gar keinen anderen Betriebsmodus. Ohne das komme ich nicht online, in meiner OPNSense ist kein Modem verbaut. Die OPNSense macht die PPPoE-Einwahl und setzt auch das Telekom VLAN TAG 7.

Meine Clients haben alle feste IPv6-Adressen. Die werden über die Router Advertisements via SLAAC (EUI-64) generiert. Privacy Extensions sind hier überall ausgeschaltet, kein Client hat temporäre Adressen.

[JamesFrisch]

Ok, das Ding ist also kein Modem sondern eine VDSL Bridge?
Bekommt keine IP, macht kein DHCP.


Von der Zyxel Bridge gehst du auf die OPNsense WAN. Und von OPNsense LAN gehst du auf eine Fritzbox? Und die Geräte sind dahinter?

[bamf]

Ja, das Zyxel arbeitet als VDSL-Bridge. Modem-Betrieb. Auf dem Webinterface kann man lediglich die DSL-Parameter einsehen.

Your device only works as a DSL modem, which means all the data packets from the DSL connection are forwarded to the Ethernet ports LAN 2, 3, 4. You need the "Modem Mode" for a downstream connected device (for example another Router, PABX, Firewall) that has no built-in DSL modem.

Nein, vom OPNSense LAN gehe ich auf meinen Switch. Dahinter sind alle Geräte.

Wie gesagt, das hat alles monatelang problemlos funktioniert. Das Problem ist einfach so plötzlich aufgetreten, möglicherweise nach einem OPNSense Update.

[JamesFrisch]

Seltsame Bridge. Bridges die ich kenne machen einfach nur die Wandlung von VDSL zu RJ45. Die haben kein webGUI. Alleine schon, weil sie gar keine eigene IP haben kann. Deine macht also ein bridge mode auf Port 2,3 und 4 und auf Port 1 macht sie DHCP für das webGUI? Super seltsames Gerät.

Normalerweise wären auch die DSL Parameter in der OPNsense, schliesslich bridge eine normale bridge das Signal dir nur durch. 

Ist es ein Zyxel GM4100?

Ich verstehe leider immer noch nicht, wo die Fritte hier im Spiel ist.

[Patrick M. Hausen]

Seltsame Bridge. Bridges die ich kenne machen einfach nur die Wandlung von VDSL zu RJ45. Die haben kein webGUI. Alleine schon, weil sie gar keine eigene IP haben kann. Deine macht also ein bridge mode auf Port 2,3 und 4 und auf Port 1 macht sie DHCP für das webGUI? Super seltsames Gerät.

Nichts daran ist seltsam. Das ist ein normales DSL-Modem, so wie z.B. ein Vigor 167 auch. Zumindest die Geräte von Draytek und von Zyxel haben alle ein Web-UI, auch im Modem-Modus:

[bamf]

Siehe Screenshots.

Ich verstehe leider immer noch nicht, wo die Fritte hier im Spiel ist.

Die Fritzbox ist ein Client im Netzwerk wie alle anderen Geräte auch. Die bezieht ihre IP-Adresse via DHCP von der OPNSense, verbindet sich zum Telekom VoIP Server und stellt die DECT-Basis für meine Telefone bereit. Was soll die hier mit dem Problem zu tun haben?

[JamesFrisch]

@Patrick
Wirklich alle? Die von mir genannte Zyxel GM4100 hat es schon mal nicht ;)

@bamf

War nicht sicher ob die Client mit dem Problem hinter der Fritte sind, die Fritte einen zweiten DHCP oder RA im gleichen Netz macht. Oder warum man überhaupt eine Fritte hinter einer OPNsense verwenden sollte.

[Patrick M. Hausen]

Oder warum man überhaupt eine Fritte hinter einer OPNsense verwenden sollte.

Telefonie? Smart Home?

[bamf]

War nicht sicher ob die Client mit dem Problem hinter der Fritte sind, die Fritte einen zweiten DHCP oder RA im gleichen Netz macht.

Nein, wie gesagt, die Fritzbox ist ein Client in meinem Netz. Da hängt überhaupt nichts dran. Nicht per LAN und nicht per WLAN.

Oder warum man überhaupt eine Fritte hinter einer OPNsense verwenden sollte.

Na irgendwo muss ich doch meine DECT-Geräte anmelden. Die Fritzbox ist meine Telefonanlage. Sonst nichts.

[bamf]

Erstaunlicherweise läuft es gerade seit mehr als einem ganzen Tag ohne Probleme. Was ich getan habe: Über die Störungsbehebung der Telekom einen Line-Reset am DSLAM durchgeführt.

So lange lief es seit Monaten nicht mehr. Könnte hier ein Problem auf Seiten der Telekom vorliegen?

[JamesFrisch]

Ohne seriöses Troubleshooting ist es Kaffeesatzlesen.

Letzter Stand war glaube ich, OPNsense kann IPv6 anpingen, Clients dahinter aber nicht?

Das deutet eigentlich nicht auf ein Telekom Problem.