opnsense ipv6 Interface-ULA auf lagg.vlan_xxxx gleich, Problem

[Bode]

Hallo,

ich habe ein Problem mit gleichen ULA-Adressen auf lagg.vlans, die nur durch die Zonenbezeichner zu unterscheiden sind.

Voraussetzungen:
-opnsense mit aktuellem Patchstand
-opnsense mit lagg.vlan1 und lagg.vlan10 im Lan
-Switch (Port1 +Port2) mit Trunk zu opnsense (Port1 +Port2)
-auf dem Switch eine Port-Konfiguration z.B. Port 5 mit lagg.vlan1 (native PC) und lagg.vlan10 (trunk VOIP)

Ziel:
-lagg.vlan1 soll die Konfiguration route + dns bekommen, dies funktioniert
-lagg.vlan10 soll die Konfiguration nur für voip-Telefone bekommen (über lldp-med, dhcp-option), dies funktioniert

Problem:
Alle lagg.vlan haben die gleiche ULA fe80::xxx:xxxx:xxxx:wxyz.
Windowsclients ignorieren die Zonenbezeichner der Router-ULA und bekommen anhand dieser ULA über das routeradvertisement die ipv6 Einstellungen für:
lagg.vlan1 -richtig
und
lagg.vlan10 -falsch

Fragen:
Wie bekomme ich verschiedene ULA für die verschiedenen lagg.vlans, damit die lagg.vlan10 Einstellungen nicht auf dem Client gesetzt werden?
Gibt es eine andere saubere Lösung?
Warum werden nicht gleich verschiedene ULA pro vlan erzeugt?

Vielen Dank an die Entwickler für das Produkt.

Grüße Bode


 

[Patrick M. Hausen]

Alle lagg.vlan haben die gleiche ULA fe80::xxx:xxxx:xxxx:wxyz.

Das ist keine ULA sondern eine Link-local Address und das ist vollkommen in Ordnung so, da die nur mit Scope überhaupt Bedeutung haben.

[Bode]

Entschuldige Patrick, mein Fehler.

In meinem Fall ist das grundsätzliche Problem, dass ich zu wenige Ports in den Zielräumen habe.
Nach dem Studium von NDP gibt es drei Lösungen für das Problem.

Lösungen:
a) Jedes Telefon bekommt einen eigenen Port auf dem Switch mit der Zuweisung des vlans (nicht möglich bei mir).
b) Ich setze auf der opnsense eine extra Netzwerkkarte oder lagg1.vlan10 auf.
c) Abschaltung von ipv6 auf vlan10.

Ich würde jetzt Lösung b) umsetzen wollen.
Könnt ihr das so bestätigen?

[Patrick M. Hausen]

Verstehe ich nicht. Betreibst du mehrere VLANs untagged auf ein und demselben Port?

[Bode]

Verstehe ich nicht. Betreibst du mehrere VLANs untagged auf ein und demselben Port?

Nein,

PC (untagged vlan1)<-->VOIP-Telefon mit zwei Ethernetports (vlan10 tagged)<--->Switch (z.B. Port5 vlan1 untagged, vlan10 tagged)

Egal ob nur der PC oder der PC mit Telefon angeschlossen sind, es werden die Route, der DNS-Server und die Domänesuchliste IPv6 vom vlan10 auf dem PC im vlan1 gesetzt.

[Patrick M. Hausen]

Mit Paket-Trace gucken, was da passiert. Keine Ahnung. Ich würde immer empfehlen, tagged und untagged nicht zu mischen auf der OPNsense. Also vielleicht von der OPNsense bis zum Switch beide VLANs tagged betreiben, und dann erst am Switch das VLAN 1 für den PC wieder auf untagged setzen.

[Maurice]

Das hört sich nach einer inkorrekten VLAN-Konfiguration des PCs an. Dort muss die NIC so konfiguriert werden, dass das VoIP-VLAN ignoriert wird.

Das ist ggfs. einfacher, wenn Du auf dem Switch-Port beide VLANs taggst und auf dem PC explizit das gewünschte VLAN (tagged) konfigurierst.

Mit IPv6 und OPNsense hat das alles relativ wenig zu tun - Du hast ein Layer 2-Problem zwischen Switch und Client-PC.

Grüße
Maurice

[Bode]

Mit Paket-Trace gucken, was da passiert. Keine Ahnung. Ich würde immer empfehlen, tagged und untagged nicht zu mischen auf der OPNsense. Also vielleicht von der OPNsense bis zum Switch beide VLANs tagged betreiben, und dann erst am Switch das VLAN 1 für den PC wieder auf untagged setzen.

Das lagg ist mit allen vlans tagged zum Switch. Das Problem sind die fehlenden Ports in den Zielräumen. Ich wollte VOIP-Telefone vor den PC's betreiben. Das funktioniert mit ipv4, aber nicht mit ipv6, da die Einstellungen per Multicast von der Opnsense per Routeradvertisement auf den PC gepusht werden und beide Vlans auf dem Switchport liegen.

Das hört sich nach einer inkorrekten VLAN-Konfiguration des PCs an. Dort muss die NIC so konfiguriert werden, dass das VoIP-VLAN ignoriert wird.

Das ist ggfs. einfacher, wenn Du auf dem Switch-Port beide VLANs taggst und auf dem PC explizit das gewünschte VLAN (tagged) konfigurierst.

Mit IPv6 und OPNsense hat das alles relativ wenig zu tun - Du hast ein Layer 2-Problem zwischen Switch und Client-PC.

Grüße
Maurice

Ja, das wäre eine Lösung, wenn die PC's nicht mobil wären, könnte ich einfach den Switchport tagged auf vlan1 und die Netzwerkkarte auf vlan1 setzen. Da diese aber mobil sind, fällt diese Lösung aus.

IPv6 Router Advertisements müssen laut RFC 4861:
-von der Link Local des Routers kommen
-mit der MAC des Parent Interfaces gesendet werden
-per Multicast an ff02::1 gehen

Wenn mehrere VLANs auf demselben Parent liegen, sieht Windows:
-dieselbe MAC
-dieselbe Link Local
-denselben Router
→ und akzeptiert alle RAs.

Lösung: VLANs auf OPNsense NICHT über denselben Parent führen
Statt:
lagg0.1
lagg0.10

z.B.:
em0.1
em1.10

oder:

lagg0 für Daten
lagg1 für VOIP

Ich weiß bloß nicht, ob das dann sauber funktoniert. Damit könnte ich die Switchkonfiguration und die PC's unverändert verwenden.

Vielen Dank euch beiden!

Grüße Bode