[GELÖST]bestimmte Website lädt nicht - IPv4 OK, Dual-Stack n. OK

[Lumpy]

Hallo Leute, ich kämpfe aktuell mit einem sehr kuriosen Problem. Ich muss dafür etwas weiter ausholen und hoffe, dass wir gemeinsam zu einer Lösung kommen.

Mein VDSL-Anschluss ist ein ein stinknormaler Privatkundenanschluss der Telekom, als Modem vorgeschaltet ist ein ZyXEL VMG1312-B30A mit aktueller Telekom-Firmware. Die Telekom fährt den Anschluss im Dual Stack Betrieb, ich bekomme eine IPv4-Adresse und mein eigenes IPv6-Subnet. Aus meinem LAN habe ich somit Zugriff auf alles was IPv4 und IPv6 ist. So klar so einfach.

Der Test von test-ipv6.com sagt 10/10, der von ipv6-test.com sagt 18/20 wegen geblocktem ICMP. Stellt aber eigentlich kein Problem dar.

Ich habe aber dennoch das Problem, dass ich die Seite webmail.tu-clausthal.de nicht aufrufen kann, solange Dual Stack aktiv ist. Die Seite lädt einfach "unendlich" und bleibt weiß, es kommt keine Fehlermeldung etc im Browser. Sobald ich mich nur via IPv4 bewege, funktioniert alles. Das kuriose ist, dass es via Dual Stack aus dem Mobilfunknetz der Telekom z.B. funktioniert.

Ich stehe mit dem Admin der TU in Kontakt, ist ein Bekannter von mir, aber er sagt auch, die haben zu Hause nen Anschluss von Kabel Deutschland, der macht auch Dual Stack und da funktioniert der Zugriff einwandfrei. Ich muss ganz klar sagen, dass ich mit IPv6 nicht so fit bin wie mit IPv4, schließe einen Fehler meinerseits also absolut nicht aus, habe aktuell aber noch keinen Ansatz, wie ich das ganze jetzt weiter verfolgen sollte...

Ich kann bei Bedarf traceroute-logs, pings, nslookup etc. liefern, bin jetzt aber auf eure Expertise angewiesen.

[JeGr]

Wenn du 18/20 hast, sollte dein Client auch eine gültige v6 haben korrekt? Hat die Sense auch sauber eine auf der LAN Seite? Track Interface etc. konfiguriert? DNS etc. alles per v6 auch in den Regeln erlaubt?

[Lumpy]

Alle Clients im LAN haben eine gültige IPv6 aus dem mir zugewiesenen Subnet der Telekom. Auch die OPNsense hat sowohl WAN- als auch LAN-seitig eine IPv6.

"Track Interface" meinst du WAN-seitig? Das muss für einen Telekom-Anschluss doch auf DHCPv6 stehen, wenn mich nicht alles täuscht. Hab das jedenfalls hier aus dem Forum (https://forum.opnsense.org/index.php?topic=5069.msg22321#msg22321), die Konfiguration. LAN-seitig ist "Track Interface" für IPv6 aktiv, als IPv6 Interafce ist "WAN" ausgewählt, IPv6 Prefix ID ist 1.

Zu den Firewall-Regeln (das ist tatsächlich eine große Unbekannte für mich), welche benötige ich für korrektes IPv6 denn genau? Dachte Outbound wäre eh standardmäßig alles erlaubt? Könnte aber sein, dass da schon der Hase im Pfeffer liegt... Eine Outbound IPv6 ANY Regel habe ich aber, habe die IPv4 Regel geclont und nur die Protocolversion von IPv4 auf IPv6 geändert.

Muss dem Unbound DNS noch etwas mitgegeben werden?

[Woi]

Bei mir lädt die Seite auch unendlich. Ich hab aber keine Zeit mir das jetzt näher anzugucken.

VDSL 100 mit Vectoring von DTAG, Dualstack mit IPv4 und IPv6 bis an die Clients, Modem ist ein Vigor 130, OPNsense ist aktuell. ICMPv6 hab ich händisch freigegeben. Bei deinem Test bekomme ich auch 10/10.  six.heise.de klappt auch.

[Lumpy]

Also zumindest kein Einzelfall...

[franco]

Läd bei mir auch nicht, HE Tunnel 17/20 sowie 10/10.

Ich probier das morgen noch aus dem Office mit nativem IPv6.


Grüsse
Franco

[JeGr]

Bei uns aus dem Office mit nativem DualStack geroutet klappts. Sehr merkwürdig.

[Lumpy]

Haben wir ne Chance einzugrenzen, woran das liegt? Eher OPNsense oder eher der Serverbetrieber? Oder vll die Telekom?

[Droppie391]

meine 5-cent...

Test mit Firefox und Edge von Windows 10: kommt nix
Test mit iPhone7: kein problem

iPhone über WLAN und gleiches Netz wie der Windows Rechner.
ISP Titan-Networks also nicht Telekom...

Scheint mir ein Problem an der UNI zu sein... ( GeoBlocking ? )

[Lumpy]

Was uns allen aber gemein ist, ist die OPNsense, sehe ich das richtig?

€dit: Ich glaube ich hab eine Idee. Ich nehme an, wir nutzen alle LibreSSL? Der Firefox hängt beim TLS-Handshake, das spuckt die Statusleiste inzwischen aus. Kann es sein, dass der LibreSSL-Library etwas fehlt, bzw. der Uni-Server noch veraltete Protokolle einsetzt, die aus LibreSSL rausgeflogen sind?

[franco]

GeoBlocking / Blocking von IPv6 Tunneln tönt plausibler.

Ich prüfe es gleich noch aus dem Büro... brb


Grüsse
Franco

[Lumpy]

Also OpenSSL oder LibreSSL macht in der Tat keinen Unterschied. Schade, das hätte gut gepasst ^^

Hängt auch da bei "TLS-Handshake mit webmail.tu-clausthal.de wird durchgeführt..."

[Droppie391]

Scheint sich beim Aushandeln der TLS Verschlüsselung "auf zu hängen".
Hab es auch auf eine Win7 Kiste versucht, kommt über ipv4 problemlos durch aber ipv6 hängt.
Denk aber nicht dass dies ein OPNSense Problem ist, wieso sollte dann mein iPhone gehen?

[franco]

Im Dual-Stack von Vodafone die Website erreichbar. Am besten mit dem Betreiber sprechen.


Grüsse
Franco

[Lumpy]

Hm, anderer Ansatz. Wie müsste eine korrekte ICMP Regel für IPv6 ins LAN aussehen, damit der ipv6-test.com 20/20 ausspuckt?

Sonst gehen mir erstmal wieder die Ideen aus, was ich noch ausprobieren könnte...