Het grote IPv6 topic

[Roetzen]

Paul schreef op vrijdag 5 november 2021 @ 14:15:
[...]
Kost het mogelijk in de toekomst meer geld? Dat kan, ik heb geen idee.

Je moet het dak repareren als de zon schijnt. Als je het voor je uitschuift tot het gaat regenen wordt het altijd duurder. Je hebt nevenschade door lekkage en je hebt geen ruimte om tegenvallers op te vangen. Het komt altijd ongelegen en je bent meer geld kwijt aan materiaal en expertise omdat je het direct nodig hebt..

Maar zonder daar harde bedragen aan te hangen ga je echt niemand uit de budget-commissie overhalen.

Ook al zou je harde bedragen hebben, ze zullen het waarschijnlijk niet willen horen. De bonussen veilig stellen en de aandeelhouders tevreden houden staat veel hoger op de prioriteitenlijst dan een zwaard van Damocles waarvan men hoopt dat het wel blijft hangen totdat ze doorgeschoven zijn naar een functie elders die nog meer bonus oplevert. Après nous, le déluge.

[Dreamvoid]

Paul schreef op vrijdag 5 november 2021 @ 14:15:
[...]
Kost het mogelijk in de toekomst meer geld? Dat kan, ik heb geen idee. Maar zonder daar harde bedragen aan te hangen ga je echt niemand uit de budget-commissie overhalen.

De perceptie (en wellicht de realiteit) is dat uitstellen minder kost, want het idee is dat in een later stadium a) je de dual stack tussenstap over kan slaan, b) er minder spullen op kantoor zijn die geen IPv6(-only) doen en c) er meer mensen met IPv6 kennis rondlopen zodat je minder externe hulp nodig hebt.

[ANdrode]

Dreamvoid schreef op maandag 8 november 2021 @ 17:18:
[...]

De perceptie (en wellicht de realiteit) is dat uitstellen minder kost, want het idee is dat in een later stadium a) je de dual stack tussenstap over kan slaan, b) er minder spullen op kantoor zijn die geen IPv6(-only) doen en c) er meer mensen met IPv6 kennis rondlopen zodat je minder externe hulp nodig hebt.

Ik denk dat we wel over het punt heen zijn waar je intern in je netwerk alleen NAT64 hoeft te doen.

Alleen wanneer je die kant op gaat speelt het probleem van de ontbrekende kennis bij (potentiele) werknemers.

offtopic:
Merk op dat in een zakelijke setting NAT64 kan - want het doel is beheersbaarheid en controle. Thuis wil je dat alles werkt, daar geeft dual-stack dus een betere ervaring dan IPv4 wat weer beter is dan DS-lite. Andere eisen aan zakelijke netwerken dan aan ISPs dan aan datacentrum-netwerken

[Roetzen]

Dreamvoid schreef op maandag 8 november 2021 @ 17:18:
[...]

De perceptie (en wellicht de realiteit) is dat uitstellen minder kost,

De wensdenkfaktor bij die gedachte lijkt me nogal hoog.

want het idee is dat in een later stadium a) je de dual stack tussenstap over kan slaan,

Misschien. Maar of het daardoor ook goedkoper wordt? Je zult dan alles in één keer over moeten zetten en onvermijdelijk ligt je bedrijf dan een tijdje stil. Zonder dat je goed kunt overzien voor hoelang. Daar zou ik zenuwachtig van worden als ik er over ging. Wat gelukkig niet het geval is. .

b) er minder spullen op kantoor zijn die geen IPv6(-only) doen

Hoe oud zijn de spullen op je kantoor? En na hoeveel jaar wordt het afgeschreven? Ik denk dat je nu al goed moet zoeken om nog wat te vinden dat geen IPv6 aan kan. Misschien nog een netwerkprinter ergens in een achterkamertje. Maar ja, je komt er natuurlijk pas achter op de dag dat je alles in één keer gaat overzetten en dan is het paniek.

en c) er meer mensen met IPv6 kennis rondlopen zodat je minder externe hulp nodig hebt.

Waar zouden die mensen die IPv6 kennis binnen je bedrijf op hebben moeten doen als je het al die tijd voor je uit geschoven hebt? Die mensen zul je van ergens anders moeten weg kopen en dat gaat ook geld kosten.

[Roetzen]

ANdrode schreef op maandag 8 november 2021 @ 19:08:
[...]

Ik denk dat we wel over het punt heen zijn waar je intern in je netwerk alleen NAT64 hoeft te doen.

Misschien. Maar ook dan blijf je met het probleem zitten dat je - komende vanaf een IPv4 only netwerk - alles in één keer moet overzetten.

Thuis wil je dat alles werkt, daar geeft dual-stack dus een betere ervaring dan IPv4 wat weer beter is dan DS-lite.

Hier ontbreken de haakjes.

Als bedoeld is:

"daar geeft dual-stack (dus een betere ervaring dan IPv4) wat weer beter is dan DS-lite ", dan ben ik het met je eens,

Als bedoeld is:

"daar geeft dual-stack dus een betere ervaring dan (IPv4 wat weer beter is dan DS-lite)", dan ben ik het niet met je eens. .

[Dreamvoid]

Roetzen schreef op dinsdag 9 november 2021 @ 11:28:
Hoe oud zijn de spullen op je kantoor? En na hoeveel jaar wordt het afgeschreven? Ik denk dat je nu al goed moet zoeken om nog wat te vinden dat geen IPv6 aan kan. Misschien nog een netwerkprinter ergens in een achterkamertje. Maar ja, je komt er natuurlijk pas achter op de dag dat je alles in één keer gaat overzetten en dan is het paniek.

IPv6 niet, maar single stack IPv6 is niet altijd even OK. Veel dingen die werken in dual stack omgeving werken niet in een NAT64+DNS64 omgeving, en zodra je naar NAT64 zonder DNS64 gaat wordt het nog lastiger: zelfs in 2021 doen nog maar weinig endpoints RFC8880 (NAT64 prefix discovery).

Overigens denk ik niet dat een 'big bang' migratie erg voor de hand ligt, dat is bij grotere bedrijven waarschijnlijk eerder een geleidelijke move van steeds meer device-groepen overplaatsen van een IPv4 VLAN naar een IPv6 VLAN.

[Roetzen]

Dreamvoid schreef op woensdag 10 november 2021 @ 13:43:
[...]
IPv6 niet, maar single stack IPv6 is niet altijd even OK. Veel dingen die werken in dual stack omgeving werken niet in een NAT64+DNS64 omgeving, en zodra je naar NAT64 zonder DNS64 gaat wordt het nog lastiger:

Daarom vraag ik me af of het wel zo handig is Dual Stack over te slaan...

zelfs in 2021 doen nog maar weinig endpoints RFC8880 (NAT64 prefix discovery).

Moet dat dan? Dat de endpoints het ondersteunen? Is het niet genoeg als de routers het ondersteunen?

Overigens denk ik niet dat een 'big bang' migratie erg voor de hand ligt, dat is bij grotere bedrijven waarschijnlijk eerder een geleidelijke move van steeds meer device-groepen overplaatsen van een IPv4 VLAN naar een IPv6 VLAN.

In een groter bedrijf met gescheiden of in elk geval scheidbare afdelingen zal het wel zo gaan ja. Maar zo'n afdeling moet dan wel in één keer. Geen "big bang" maar meerdere "kleine bangetjes',

[Dreamvoid]

Roetzen schreef op donderdag 11 november 2021 @ 10:24:
Moet dat dan? Dat de endpoints het ondersteunen? Is het niet genoeg als de routers het ondersteunen?

DNS64 is natuurlijk een beetje een hack (breekt DNSSEC, enzo), met RFC8880 support op de endpoints kan je dat weglaten, elk device vraagt dan de NAT64 prefix op, en knutselt bij het ontvangen van een A-record daarmee zelf het juiste synthetische IPv6 adres.

Bijkomend voordeel is dan ook dat je dezelfde DNS server kan gebruiken voor zowel IPv4 en IPv6 clients.

Maar goed, op het moment ondersteunen alleen de mobiele telefoon OSsen dit, niet de desktops.

[ Voor 5% gewijzigd door Dreamvoid op 11-11-2021 19:21 ]

[Dreamvoid]

Voor de liefhebbers, een interessante presentatie van Sky Italia: https://www.ripe.net/part...rson-sky-italia-and-map-t (pdf link)

Sky is een nieuwe provider in de Italiaanse breedband markt. Ze waren nieuw (sinds 2020), dus nul historische IPv4 ruimte. Ze hebben de eerste serie klanten uitgerold op dual stack maar inmiddels komen alle nieuwe klanten op MAP-T. Elke klant krijgt een /48 (!) IPv6 subnet, en deelt 1 IPv4 adres met 15 anderen.

Een groot voordeel van MAP-T boven DS-Lite of NAT64/464XLAT als klant is dat het NAT proces op de thuisrouter plaatsvindt, en hij daar nog steeds IPv4 poorten kan openen voor inkomend verkeer (al heeft hij dus maar 4k poortnummers ipv 64k)

[ Voor 3% gewijzigd door Dreamvoid op 13-11-2021 14:44 ]

[elsinga]

Maar wie krijgt dan poort 443 als mogelijke poort om te forwarden toebedeeld?

[Dreamvoid]

Niemand, poorten 1 tm 1024 zijn uitgesloten.

[Keiichi]

gewoon op je 1 van je 2^80 ipv6 addressen die je kan gebruiken. Doet er nog iemand tegenwoordig aan ipv4?

[Roetzen]

Dreamvoid schreef op zaterdag 13 november 2021 @ 14:35:
Voor de liefhebbers, een interessante presentatie van Sky Italia: https://www.ripe.net/part...rson-sky-italia-and-map-t (pdf link)

Sky is een nieuwe provider in de Italiaanse breedband markt. Ze waren nieuw (sinds 2020), dus nul historische IPv4 ruimte. Ze hebben de eerste serie klanten uitgerold op dual stack maar inmiddels komen alle nieuwe klanten op MAP-T. Elke klant krijgt een /48 (!) IPv6 subnet, en deelt 1 IPv4 adres met 15 anderen.

De prijzen voor IPv4 rijzen de pan uit, de huidige prijs is ongeveer $50 en het eind is nog lang niet in zicht. Iedere klant een eigen IPv4 adres wordt onbetaalbaar voor wie geen historische IPv4 ruimte heeft. Dus ze moeten wat.

Ik heb nog niet alles in detail gelezen, maar het lijkt me een interessant concept. Ik zie dat er ook een mogelijkheid is om een ongedeeld IPv4 adres aan de klant geven..

Een groot voordeel van MAP-T boven DS-Lite of NAT64/464XLAT als klant is dat het NAT proces op de thuisrouter plaatsvindt, en hij daar nog steeds IPv4 poorten kan openen voor inkomend verkeer (al heeft hij dus maar 4k poortnummers ipv 64k)

Dan moet je wel een router hebben die dat MAP-T ondersteunt en het lijkt er op dat vooralsnog alleen de door Sky verstrekte router dat doet. Dus geen eigen router...

Ik begrijp er uit dat de klant vanuit de ISP een blok van iets meer dan 4000 poorten krijgt. Hij of zij heeft geen invloed op welk blok hij of zij krijgt en 0-1024 is er niet bij. Corrrect me if I am wrong. Dat is wel een behoorlijke beperking maar het is beter dan niets. Ik ben benieuwd hoe zich dit gaat ontwikkelen.

[Dreamvoid]

Inderdaad, je hebt een router nodig die MAP-T doet, maar OpenWRT doet dat bv ook dus eigen routers zijn wel mogelijk.

MAP-T heeft idd de feature om een ongedeeld IPv4 adres uit te rollen, dus dat geeft de provider de mogelijkheid om zoiets als optie in het abonnement aan te bieden zonder dat die klanten intern op een ander VLAN of parallel dual stack netwerk hoeven te migreren, je stelt gewoon op je border router in dat klant X alle 64k poorten van IPv4 adres Y krijgt gerouteerd.

Sterker nog, via MAP-T kan je meer dan 1 IPv4 adres (bv een /29) aan een klant geven.

Tis wel interessant om te lezen dit soort dingen, providers zijn blijkbaar toch niet 100% tevreden met DS-Lite. Deutsche Telekom heeft bv iets vergelijkbaars uitgerold, maar net wat anders: Lightweight IPv4-over-IPv6 oftewel lw4o6.

[ Voor 24% gewijzigd door Dreamvoid op 14-11-2021 20:28 ]

[Dutch2007]

Net onderstaande ziggo email gekregen als reguliere "consumenten klant ziggo".

Beste meneer, mevrouw,

Staat je modem thuis in de bridge-modus? Dan is het belangrijk dit bericht goed te lezen. We gaan namelijk IPv6 bij je activeren. Je modem in bridge-modus krijgt IPv6-ondersteuning om voorbereid te zijn op het moment dat de IPv4-adressen op zijn. Hiermee krijgt iedereen met Internet van Ziggo, los van hoe hun modem staat ingesteld, binnenkort de beschikking over IPv4 en IPv6. Je bent daarmee op de toekomst voorbereid.

IPv6 over 2 weken

Over 2 weken gaan we IPv6 voor je activeren. Zorg daarom dat je het volgende doet (pak voor de zekerheid de handleiding van je eigen router erbij):

1. Controleer in de instellingen van je router of IPv6 geactiveerd is.
Staat IPv6 uitgeschakeld? Dan gebeurt er niets, en blijft internet werken zoals je gewend bent. Wil je voorbereid zijn op de toekomst en/of heb je apparaten die alleen IPv6 ondersteunen, activeer dan IPv6.

2. Controleer de firewall-instellingen van je router.
Met een firewall voorkom je dat je apparaten rechtstreeks via het internet te benaderen zijn. Staan je firewall-instellingen niet goed? Dan kan een kwaadwillende via internet wellicht naar je IP-camera of netwerkschijf. Stel daarom ook de firewall goed in.

3. Bij sommige routers: zet Prefix Delegation aan.
Soms moet je Prefix Delegation (PD) expliciet aanzetten om IPv6-adressen in het thuisnetwerk te krijgen. Daarbij wordt mogelijk gevraagd om de waarde van de PD Size in te vullen. Die waarde is /56. Check hiervoor de handleiding van je router. Wordt er gevraagd om het type IPv6 internetconnectie? Kies dan voor automatisch of DHCPv6.

Staat IPv6 nu ingeschakeld en staan je firewall-instellingen goed? Wanneer je de aanpassingen hebt gedaan reboot je je router. IPv6 komt beschikbaar over 2 weken, wanneer we IPv6 hebben geactiveerd op je Ziggo modem. Reboot over 15 dagen ook je Ziggo modem. Daarna ben je klaar en veilig.

Meer weten?
Het beste check je de handleiding van je router. Heb je thuis zelf niet het modem in bridge-functie gezet, deel dit bericht dan met degene die dat heeft gedaan. Die zal je vast wel weer willen helpen.


Fijne dag,

Marcel de Groot
Directeur Consumentenzaken

[Verwijderd]

Ziggo gaat ook EINDELIJK aan de IPv6 🥳🥳🥳

[Paul]

Nice! Heb zelf die mail (nog?) niet, mogelijk omdat mijn modem (al tijden) niet meer in bridge staat. Heb ook geen idee of de "geen IPv6"-vlag nog altijd staat die men automatisch had aangevinkt omdat mijn modem toentertijd in bridge stond.

Maar weer eens een keer bellen wat de status is en of mijn modem weer in bridge mag (en dan bij voorkeur zonder "geen IPv6"-vlag)...

[Atomsk]

Dutch2007 schreef op dinsdag 16 november 2021 @ 15:17:
Net onderstaande ziggo email gekregen als reguliere "consumenten klant ziggo".

Ook gekregen, maar wat is IPv6 aanzetten? M'n Asus router biedt 7 verschillende modi. Native?

[Keiichi]

Terwijl ik ziggo net de deur had gewezen met kpn glasvezel tervervanging... (ok, extra upload snelheid was ook een rede om over te stappen)
Heb jaren geleden eens gevraagd waarom ze het niet deden en kreeg te horen dat ze het gewoon niet gingen doen, niet nu, niet straks, nooit. Omdat je in routermodus er wel beschikking over had was het argument.

[ Voor 43% gewijzigd door Keiichi op 16-11-2021 16:24 ]

[Dutch2007]

Atomsk schreef op dinsdag 16 november 2021 @ 16:18:
[...]

Ook gekregen, maar wat is IPv6 aanzetten? M'n Asus router biedt 7 verschillende modi. Native?

nieuws: Ziggo gaat vanaf december IPv6 ondersteunen bij modems in bridgemodus

Ziggo-klanten die hun modems in bridgemodus gebruiken, kunnen over twee weken IPv6 gebruiken. Klanten moeten hiervoor wel hun modem juist hebben ingesteld en deze over twee weken rebooten.

Meerdere tweakers zeggen onder meer op GoT een mail van Ziggo te hebben ontvangen over de komst van de IPv6-ondersteuning. De mail is gericht op klanten die hun Ziggo-modem in bridge-modus gebruiken en in de mail zegt het bedrijf bij de klanten IPv6 te gaan activeren.

Om IPv6 te kunnen gebruiken, moeten klanten volgens Ziggo drie punten nalopen. Zo moeten ze controleren of binnen hun routerinstellingen IPv6 geactiveerd is. Wanneer IPv6 hier is uitgeschakeld, dan krijgen klanten de nieuwe adressen ook niet. Bij het tweede punt worden gebruikers geadviseerd de firewallinstellingen van hun router te controleren.

Tot slot moeten klanten bij sommige routers Prefix Delegation aanzetten om IPv6-adressen te kunnen krijgen. Wanneer klanten om de PD Size wordt gevraagd, dan moeten ze /56 invullen. Bij het type IPv6-internetconnectie moeten gebruikers voor automatisch of DHCPv6 kiezen.

Staan deze instellingen goed, dan moet de gebruiker zijn of haar router herstarten. Over twee weken komt IPv6 vanuit Ziggo beschikbaar, dan moeten de klanten ook hun Ziggo-modem rebooten. Dan zouden de IPv6-adressen beschikbaar moeten zijn, zegt het bedrijf.

[ Voor 64% gewijzigd door Dutch2007 op 16-11-2021 16:32 ]

[Atomsk]

Dutch2007 schreef op dinsdag 16 november 2021 @ 16:27:
[...]


Geen idee daarvoor verwijs ik je graag door naar ziggo / ziggo klantenservice (ik heb nog geen IPv6 en en werk niet voor ziggo ;-) )

De vraag was ook meer in het algemeen bedoeld. Misschien dat iemand met Ziggo ipv6-ervaring het weet.

[Dutch2007]

Atomsk schreef op dinsdag 16 november 2021 @ 16:33:
[...]

De vraag was ook meer in het algemeen bedoeld. Misschien dat iemand met Ziggo ipv6-ervaring het weet.

Ok, na, heb m'n post gedit en de info van tweakers main-page d'r neer gezet;

Ziggo-klanten die hun modems in bridgemodus gebruiken, kunnen over twee weken IPv6 gebruiken. Klanten moeten hiervoor wel hun modem juist hebben ingesteld en deze over twee weken rebooten.

Meerdere tweakers zeggen onder meer op GoT een mail van Ziggo te hebben ontvangen over de komst van de IPv6-ondersteuning. De mail is gericht op klanten die hun Ziggo-modem in bridge-modus gebruiken en in de mail zegt het bedrijf bij de klanten IPv6 te gaan activeren.

Om IPv6 te kunnen gebruiken, moeten klanten volgens Ziggo drie punten nalopen. Zo moeten ze controleren of binnen hun routerinstellingen IPv6 geactiveerd is. Wanneer IPv6 hier is uitgeschakeld, dan krijgen klanten de nieuwe adressen ook niet. Bij het tweede punt worden gebruikers geadviseerd de firewallinstellingen van hun router te controleren.

Tot slot moeten klanten bij sommige routers Prefix Delegation aanzetten om IPv6-adressen te kunnen krijgen. Wanneer klanten om de PD Size wordt gevraagd, dan moeten ze /56 invullen. Bij het type IPv6-internetconnectie moeten gebruikers voor automatisch of DHCPv6 kiezen.

Staan deze instellingen goed, dan moet de gebruiker zijn of haar router herstarten. Over twee weken komt IPv6 vanuit Ziggo beschikbaar, dan moeten de klanten ook hun Ziggo-modem rebooten. Dan zouden de IPv6-adressen beschikbaar moeten zijn, zegt het bedrijf.

DHCPv6 + PD word dus gebruikt, iedereen krijgt een /56

[Atomsk]

Dutch2007 schreef op dinsdag 16 november 2021 @ 16:34:
[...]

Staan deze instellingen goed, dan moet de gebruiker zijn of haar router herstarten. Over twee weken komt IPv6 vanuit Ziggo beschikbaar, dan moeten de klanten ook hun Ziggo-modem rebooten. Dan zouden de IPv6-adressen beschikbaar moeten zijn, zegt het bedrijf.

DHCPv6 + PD word dus gebruikt, iedereen krijgt een /56

Ja, ik de mail ook gehad. PD staat bij diverse IPv6 methoden en meestal kun je de lengte niet eens instellen. Maar goed, het is niet alsof je internetverbinding ermee ophoud, dus ik heb het voorlopig maar op "native" gezet. Dat is de enige waar DHCP-PD wordt vermeld.

[c-nan]

Hier helaas nog geen e-mail van Ziggo ontvangen, zullen ze het per regio activeren?

Oh en ja mijn modem staat al tijden in bridge-modus

[ Voor 25% gewijzigd door c-nan op 16-11-2021 16:59 ]

[Teaclo]

Inmiddels een poging geprobeerd om IPv6 werkend te krijgen met Delta/Zeelandnet met als router OPNSense

Graag wil ik subnet gaan indelen vanwege verschillende vlans

• Ik krijg een prefix van Delta/Zeelandnet 2a02:f6e:XXXX::/48
• Interface WAN staat ingesteld op dhcpv6
• Bij DHCPv6 Options staat dit:
  • Request only an IPv6 prefix
  • Prefix delegation size: 64
  • Send IPv6 prefix hint
• Interface vlan x staat static ipv6: 2a02:f6e:XXXX::a:1 /64
• DHCP lease range 2a02:f6e:XXXX::a:50 tot 2a02:f6e:XXXX::a:fff

Het probleem:

• De clients krijgen een ipv6 adres maar ik kan niet pingen naar het opnsense ip en alsook niet naar cloudflare als voorbeeld pingen. vanaf een client krijg ik PING: transmit failed. General failure
• In de firewall log van opnsense zie ik ook geen inkomend ipv6 verkeer vanaf dit subnet.

Iemand die me op weg kan helpen?

Oplossing:
Inmiddels heb ik een post gevonden waar het winnende lotto ticket stond,
Forum Post

Bij de services onder router advertisements moet ook dit aan staan.

• Router Advertisements: Managed

Overige heb ik ook inderdaad zoals hieronder aangegeven Request only an IPv6 prefix, uitgezet.

[ Voor 17% gewijzigd door Teaclo op 16-11-2021 20:01 . Reden: Oplossing gevonden ]

[_fm]

Teaclo schreef op dinsdag 16 november 2021 @ 18:05:
Inmiddels een poging geprobeerd om IPv6 werkend te krijgen met Delta/Zeelandnet met als router OPNSense

• Ik krijg een prefix van Delta/Zeelandnet 2a02:f6e:XXXX::/48
• Interface WAN staat ingesteld op dhcpv6
• Bij DHCPv6 Options staat dit:
  • Request only an IPv6 prefix
  • Prefix delegation size: 64

DELTA/Zeelandnet doet ipv6 + PD, dus niet alleen een prefix, maar address + prefix, is dat een optie?

[c-nan]

Ik ben geen netwerk engineer maar ik ben best bekend met netwerken, echter heb ik mij nooit echt verdiept in IPv6, behalve via HE een tunnel gebruikt zo een 15-20 jaar geleden.

Wat is een goed video of artikel waar de voordelen en use cases van IPv6 worden benoemd?

[Keiichi]

c-nan schreef op dinsdag 16 november 2021 @ 19:45:
Ik ben geen netwerk engineer maar ik ben best bekend met netwerken, echter heb ik mij nooit echt verdiept in IPv6, behalve via HE een tunnel gebruikt zo een 15-20 jaar geleden.

Wat is een goed video of artikel waar de voordelen en use cases van IPv6 worden benoemd?

een van de eerste google hits:

https://www.thousandeyes..../techtorials/ipv4-vs-ipv6

en dat er address space van ipv4 beetje klein is voor hoe we het nu gebruiken

[arjans]

Op zich heel goed nieuws van Ziggo, maar heeft iemand al nagevraagd wanneer ze het in fUPC-gebied gaan uitrollen? Met alleen DS-Lite op niet-gebridgde modems als optie voor IPv6 blijven we zo wel erg achter...

[Snow_King]

Teaclo schreef op dinsdag 16 november 2021 @ 18:05:
Inmiddels een poging geprobeerd om IPv6 werkend te krijgen met Delta/Zeelandnet met als router OPNSense

Graag wil ik subnet gaan indelen vanwege verschillende vlans

• Ik krijg een prefix van Delta/Zeelandnet 2a02:f6e:XXXX::/48
• Interface WAN staat ingesteld op dhcpv6
• Bij DHCPv6 Options staat dit:
  • Request only an IPv6 prefix
  • Prefix delegation size: 64
  • Send IPv6 prefix hint
• Interface vlan x staat static ipv6: 2a02:f6e:XXXX::a:1 /64
• DHCP lease range 2a02:f6e:XXXX::a:50 tot 2a02:f6e:XXXX::a:fff

Het probleem:

• De clients krijgen een ipv6 adres maar ik kan niet pingen naar het opnsense ip en alsook niet naar cloudflare als voorbeeld pingen. vanaf een client krijg ik PING: transmit failed. General failure
• In de firewall log van opnsense zie ik ook geen inkomend ipv6 verkeer vanaf dit subnet.

Iemand die me op weg kan helpen?

Oplossing:
Inmiddels heb ik een post gevonden waar het winnende lotto ticket stond,
Forum Post

Bij de services onder router advertisements moet ook dit aan staan.

• Router Advertisements: Managed

Overige heb ik ook inderdaad zoals hieronder aangegeven Request only an IPv6 prefix, uitgezet.

Request only an Prefix moet echt voldoende zijn, heel raar dit.

Tevens heb je nu DHCPv6 aangezet wat ook niet nodig moet zijn, enkel RA met SLAAC moet al voldoende zijn.

Dit lijkt ergens iets wat onder water niet goed stond in Opnsense.

[mindwarper]

Dutch2007 schreef op dinsdag 16 november 2021 @ 16:34:
[...]


Ok, na, heb m'n post gedit en de info van tweakers main-page d'r neer gezet;

Ziggo-klanten die hun modems in bridgemodus gebruiken, kunnen over twee weken IPv6 gebruiken. Klanten moeten hiervoor wel hun modem juist hebben ingesteld en deze over twee weken rebooten.

Meerdere tweakers zeggen onder meer op GoT een mail van Ziggo te hebben ontvangen over de komst van de IPv6-ondersteuning. De mail is gericht op klanten die hun Ziggo-modem in bridge-modus gebruiken en in de mail zegt het bedrijf bij de klanten IPv6 te gaan activeren.

Om IPv6 te kunnen gebruiken, moeten klanten volgens Ziggo drie punten nalopen. Zo moeten ze controleren of binnen hun routerinstellingen IPv6 geactiveerd is. Wanneer IPv6 hier is uitgeschakeld, dan krijgen klanten de nieuwe adressen ook niet. Bij het tweede punt worden gebruikers geadviseerd de firewallinstellingen van hun router te controleren.

Tot slot moeten klanten bij sommige routers Prefix Delegation aanzetten om IPv6-adressen te kunnen krijgen. Wanneer klanten om de PD Size wordt gevraagd, dan moeten ze /56 invullen. Bij het type IPv6-internetconnectie moeten gebruikers voor automatisch of DHCPv6 kiezen.

Staan deze instellingen goed, dan moet de gebruiker zijn of haar router herstarten. Over twee weken komt IPv6 vanuit Ziggo beschikbaar, dan moeten de klanten ook hun Ziggo-modem rebooten. Dan zouden de IPv6-adressen beschikbaar moeten zijn, zegt het bedrijf.

DHCPv6 + PD word dus gebruikt, iedereen krijgt een /56

Ga nu nog eens een poging doen om mijn modem in bridge modus te laten zetten...
Op een of andere manier lukte dat niet eerder - ze konden hem niet vinden of wat was het...

Hoop dat het nu wel kan... En dat ik straks IPv6 kan testen dat het blijft werken als ik het nu aan de praat krijg eerst in routed mode op IPv6...
Voor nu laat ik het nog even in routed mode staan kan ik de Cisco apparatuur ens testen op IPv6...
Maar oe regel ik dat ??? Lees verder


Ik gebruik namelijk een Cisco 1100 series als router...
Daan wil ik dan ipv6 op inschakelen op de Gi0/0/0 (lees WAN-interface naar modem toe)

Deze config wijzigingen op mijn Router ga ik zo alvast doorvoeren

code:

ipv6 unicast-routing
 
interface GigabitEthernet0/0/0
 description WAN_CONNECTBOX_ZIGGO
 ip address dhcp hostname RTR_C1117-mind
 ip nat outside
 ip access-group WAN_IN in
 negotiation auto

 ipv6 enable 
 ipv6 address dhcp
 OF
 ipv6 address autoconfig default

Interface Gi0/1/0 van mijn Cisco router (LAN_zijde dus ) config naar mijn Layer 3 switch erachter

code:

interface GigabitEthernet0/1/0
 description L3 | Gi 2/0/24
 switchport trunk allowed vlan 178,240,250,255,299
 switchport mode trunk

dan de static route informatie default route naar buiten (dus naar Ziggo modem)

code:

ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 192.168.178.1 name WAN_CONNECTBOX_ZIGGO track 1
ip route vrf UBNT 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 192.168.178.1 name WAN_CONNECTBOX_ZIGGO track 1
ip route 0.0.0.0 0.0.0.0 Null0 254 name EMPTY_DEFAULT-ROUTE
ip route vrf MGMT 192.168.20.1 255.255.255.255 Vlan250 192.168.250.5 200 name mind_L3-C3750X_VLAN-250_VLAN-20
ip route vrf MGMT 192.168.20.2 255.255.255.255 Vlan250 192.168.250.5 200 name mind_L3-C3750X_VLAN-250_VLAN-20
ip route vrf MGMT 192.168.20.3 255.255.255.255 Vlan250 192.168.250.5 200 name mind_L3-C3750X_VLAN-250_VLAN-20
ip route vrf UBNT 0.0.0.0 0.0.0.0 Null0 254 name VRF-UBNT_EMPTY_DEFAULT-ROUTE

ipv6 route ::/0 Gi0/0/0 name ZIGGO-ConnectBox

MAAR...
Achter deze router op Gi0/1/0 heb ik nog een layer 3 switch hangen met een aantal VLANs voor mijn verschillende hosts

• VLAN 20 = 192.168.20.0 /28 voor mijn PC's
• VLAN 30 = 192.168.30.0 /29 voor mijn PlayStation 5
• VLAN 80 = 192.168.80.0 /30 voor mijn VoIP telefoon
• etc...

Mijn layer 3 switch is ook DHCP server voor al die VLANs

Op IPv4 heb ik zo goed als alles goed werkend van mijn Layer 3 switch van en naar mijn Router en kan het internet op...

Maar hoe regel ik dat op IPv6 ???
Op de WAN zijde van mijn router kan ik IPv6 regelen, geen punt... easy enough - zie boven

Maar hoe kan ik ervoor zorgen dat ook dat IPv6 address space aan de LAN zijde van mijn router bekend wordt gemaakt - dus op G0/1/0 interface
Daar ook een IPv6 adres configureren bijvoorbeeld... Maar de vraag is - welk adres en hoe precies ???

Dan kan daarna ik het zelfde proberen te doen m.b.v. mijn Layer 3 switch ook op IPv6 configureren aan de VLANs interfaces en dan proberen routeringen te maken.

En ik dus ook op mijn clients in verschillende VLANS middels DHCP van mijn L3-switch zelf ook een IPv6 adres kan (laten) geven...

Hoe regel ik dat ?

MIjn netwerk is dus coninatie van Ziggo modem, Cisco apparatuur en Ubiquity WiFi apparatuur voor WiFi stuk

[ Voor 18% gewijzigd door mindwarper op 17-11-2021 17:38 ]

[gertvdijk]

mindwarper schreef op woensdag 17 november 2021 @ 17:18:
[...]

Ga nu nog eens een poging doen om mijn modem in bridge modus te laten zetten...
Op een of andere manier lukte dat niet eerder - ze konden hem niet vinden of wat was het...

Hoop dat het nu wel kan... En dat ik straks IPv6 kan testen dat het blijft werken als ik het nu aan de praat krijg eerst in routed mode op IPv6...
Voor nu laat ik het nog even in routed mode staan kan ik de Cisco apparatuur ens testen op IPv6...
Maar oe regel ik dat ??? Lees verder


Ik gebruik namelijk een Cisco 1100 series als router...
Daan wil ik dan ipv6 op inschakelen op de Gi0/0/0 (lees WAN-interface naar modem toe)

Deze config wijzigingen op mijn Router ga ik zo alvast doorvoeren

[...]

MAAR...
Achter deze router op Gi0/1/0 heb ik nog een layer 3 switch hangen met een aantal VLANs voor mijn verschillende hosts

• VLAN 20 = 192.168.20.0 /28 voor mijn PC's
• VLAN 30 = 192.168.30.0 /29 voor mijn PlayStation 5
• VLAN 80 = 192.168.80.0 /30 voor mijn VoIP telefoon
• etc...

Mijn layer 3 switch is ook DHCP server voor al die VLANs

Op IPv4 heb ik zo goed als alles goed werkend van mijn Layer 3 switch van en naar mijn Router en kan het internet op...

Maar hoe regel ik dat op IPv6 ???

[...]

En ik dus ook op mijn clients in verschillende VLANS middels DHCP van mijn L3-switch zelf ook een IPv6 adres kan (laten) geven...

Hoe regel ik dat ?

Wat betreft IPv6: vergeet DHCP in je interne netwerk waar je nu die 192.168.x.x adressen hebt staan. DHCP heb je juist alleen als client nodig aan de WAN-kant.

Je hebt allemaal verschillende apparatuur en dan is het denk ik goed om even een beeld te hebben van wat er conceptueel gezien moet gaan gebeuren om het te "regelen".

Ik heb een blogje geschreven vorige maand dat dit conceptueel uitlegt en ook een voorbeeldconfig bevat voor een Linux-router. Even het conceptuele deel in het Nederlands licht aangepast voor je situatie:

• Je router een DHCPv6-PD request laten doen aan het ISP modem.
• Je router krijgt van het ISP modem een adresruimte toegewezen (bijvoorbeeld een /60 prefix van globaal routeerbare adressen), vandaar de naam prefix delegation. N.B. in deze DHCPv6 response zit geen route-informatie ofzoiets, zoals je bij IPv4-DHCPv4 gewend bent.
• Het ISP modem stelt zelfstandig een route in voor die net uitgedeelde prefix aan jouw router via het IPv6 link-local adres van jouw router. Een link-local adres (fe80::/10) heb je standaard zodra je IPv6 überhaupt aan hebt staan, onafhankelijk van je verbinding. Zo werkt IPv6, kijk maar op je devices. Vanaf dat moment komt het verkeer vanaf het IPv6-internet naar jouw verkregen prefix aan op jouw eigen router. Maar dan zijn we er nog niet...
• Je router moet nu een soort van administratie gaan doen; hij moet die ISP-modem verkregen prefixes in een 'pool' van bruikbare adressen stoppen. Vervolgens moet je het ding configureren dat hij /64 prefixes daaruit mag opknippen en uitdelen op je interfaces/VLANs (ook wel eens "downstream interfaces" van die WAN-interface genoemd). Vervolgens gaat hij als IPv6-router die prefixes dan 'announcen' (Router Advertisements broadcasten in IPv6-speak).
• Je hosts in de netwerken gaan middels die ontvangen Router Advertisement zelf een of meerdere adressen configureren (dat proces het SLAAC). In die Router Advertisements kan ook tevens informatie worden opgenomen zoals DNS-servers of eventueel nog andere routes die je wilt announcen. Impliciet is de IPv6 default route de afzender van die Router Advertisement op zijn link-local adres. Zo hebben je hosts een adres + route naar jouw eigen router. Jouw router forward die pakketjes dan weer naar buiten via het ISP modem (zie noot hier direct onder).

Wat ik nog even even bewust heb weggelaten hierboven is hoe je eigen router een default route "terug" krijgt naar het ISP-modem of ISP-netwerk. Bij Ziggo nu in router-mode is het blijkbaar de bedoeling dat je router zelf via SLAAC de config doet met het modem en die verkregen route vervolgens kan hergebruiken voor alle verkregen prefixes met DHCPv6-PD. In de praktijk betekent dat dus dat je je eigen router een adres+route laat toekennen via SLAAC en niet zozeer zijn eigen adres hoeft te pakken uit de verkregen prefixes middels DHCPv6-PD (ja mag wel, maar onnodig). Maar goed, dat is gebaseerd op de huidige wijze van IPv6 bij Ziggo in router-mode. Hoe dat zometeen precies gaat in Ziggo bridged-modus weet ik nog niet, want je hebt dan geen SLAAC meer lijkt mij.

Om je Cisco router te configureren moet je iets volgen dat uitlegt hoe die een DHCPv6-PD client kan zijn en die prefix pool kan configureren op 'downstream interfaces'. Eerste Google hit: DHCPv6 using the Prefix Delegation Feature Configuration Example (volg daaruit vanaf het deel "DHCPCLIENT", je ISP heeft de rol van DHCPSERVER daar.)

En leuk dat je een Layer 3 switch hebt, maar die hoeft met IPv6 globale adressen denk ik niet zo veel te doen. Routing doet je router, adressen uitdelen is niet nodig met IPv6. Misschien kan je ultiem gezien nog een ULA genereren en inzetten om daar iets mee te doen op je L3-switch? Wat doe je nu precies met een L3-switch dan behalve beetje DHCP relay/server zijn? (VLANs kan een L2 switch ook namelijk.)

Voor Wi-Fi hoef je niets specifiek te doen ten opzichte van de situatie met IPv4-only. Zodra je je AP SSID netwerkje in hetzelfde LAN hebt zitten pakken draadloze clients die Router Advertisements gewoon.

N.B. Dit hele IPv6 dansje gebeurt allemaal helemaal naast IPv4 en geen enkel deel is een vervanging ervan in een Dual-Stack setup.

N.B. DHCPv6 in je LAN-kant wordt normaal gesproken niet gebruikt. Alleen voor antieke software die geen extra informatie uit die Router Advertisements kan halen, kan je dan daarmee nog wat doen, zegge Windows 7-oud. Bovendien is dat een heel andere vorm van DHCP; hij is "stateless" en deelt geen adressen uit.

[ Voor 28% gewijzigd door gertvdijk op 17-11-2021 18:19 ]

[mindwarper]

gertvdijk schreef op woensdag 17 november 2021 @ 17:40:
[...]
Wat betreft IPv6: vergeet DHCP in je interne netwerk waar je nu die 192.168.x.x adressen hebt staan. DHCP heb je juist alleen als client nodig aan de WAN-kant.

Je hebt allemaal verschillende apparatuur en dan is het denk ik goed om even een beeld te hebben van wat er conceptueel gezien moet gaan gebeuren om het te "regelen".

Ik heb een blogje geschreven vorige maand dat dit conceptueel uitlegt en ook een voorbeeldconfig bevat voor een Linux-router. Even het conceptuele deel in het Nederlands licht aangepast voor je situatie:

(...)

Wat ik nog even even bewust heb weggelaten hierboven is hoe je eigen router een default route "terug" krijgt naar het ISP-modem of ISP-netwerk. Bij Ziggo nu in router-mode is het blijkbaar de bedoeling dat je router zelf via SLAAC de config doet met het modem en die verkregen route vervolgens kan hergebruiken voor alle verkregen prefixes met DHCPv6-PD. In de praktijk betekent dat dus dat je je eigen router een adres+route laat toekennen via SLAAC en niet zozeer zijn eigen adres hoeft te pakken uit de verkregen prefixes middels DHCPv6-PD (ja mag wel, maar onnodig). Maar goed, dat is gebaseerd op de huidige wijze van IPv6 bij Ziggo in router-mode. Hoe dat zometeen precies gaat in Ziggo bridged-modus weet ik nog niet, want je hebt dan geen SLAAC meer lijkt mij.

Om je Cisco router te configureren moet je iets volgen dat uitlegt hoe die een DHCPv6-PD client kan zijn en die prefix pool kan configureren op 'downstream interfaces'. Eerste Google hit: DHCPv6 using the Prefix Delegation Feature Configuration Example (volg daaruit vanaf het deel "DHCPCLIENT", je ISP heeft de rol van DHCPSERVER daar.)

En leuk dat je een Layer 3 switch hebt, maar die hoeft met IPv6 globale adressen denk ik niet zo veel te doen. Routing doet je router, adressen uitdelen is niet nodig met IPv6. Misschien kan je ultiem gezien nog een ULA genereren en inzetten om daar iets mee te doen op je L3-switch? Wat doe je nu precies met een L3-switch dan behalve beetje DHCP relay/server zijn? (VLANs kan een L2 switch ook namelijk.)

Voor Wi-Fi hoef je niets specifiek te doen ten opzichte van de situatie met IPv4-only. Zodra je je AP SSID netwerkje in hetzelfde LAN hebt zitten pakken draadloze clients die Router Advertisements gewoon.

N.B. Dit hele IPv6 dansje gebeurt allemaal helemaal naast IPv4 en geen enkel deel is een vervanging ervan in een Dual-Stack setup.

N.B. DHCPv6 in je LAN-kant wordt normaal gesproken niet gebruikt. Alleen voor antieke software die geen extra informatie uit die Router Advertisements kan halen, kan je dan daarmee nog wat doen, zegge Windows 7-oud. Bovendien is dat een heel andere vorm van DHCP; hij is "stateless" en deelt geen adressen uit.

Ik gebruik mijn Layer 3 switch om ook met VRFs te werken (VRF lite eigenlijk zoals het heet)
Ik wil niet alles in mijn global routing table hebben, meer gescheiden hebben, dan is het maken van ACLs ook makkelijker...
Met VRFs heb je per definitie gescheiden traffic en dus ook routing tables...
Maar ook omdat het kan en ik het ook op mijn werk gebruik in in onze netwerk infra...

Wat betreft Unique Local Addresses is nog beter - dat ga ik ook eens doen op later moment en zo mijn routing aanpassen tussen mijn router en Layer 3 switch met de VRFs...
En routes uitwisseling gaat voornamelijk met EIGRP en static route voor 0.0.0.0/0 resp. ::/0
Ga ik verder uitwerken later... op mijn Layer 3 switch

Heb ik wat gemist hieronder - denk je @gertvdijk @Snow_King of anderen ??

Ik heb wat informatie hier gevonden
https://www.reddit.com/r/..._client_be_configured_to/

Daarom wat config toevoegingen gedaan

• DNS.Watch DNS servers configureren
  
  code:
  

  ip name-server 84.200.69.80 84.200.70.40 2001:1608:10:25::1C04:B12F 2001:1608:10:25::9249:D69B
  ip name-server vrf UBNT 84.200.69.80 84.200.70.40 2001:1608:10:25::1C04:B12F 2001:1608:10:25::9249:D69B

• IPv6 unicast routing aanzetten en IPv6 Pool voor mijn routerings VLANs naar mijn Layer 3 switch
  
  code:
  

  ipv6 unicast-routing
  
  ipv6 dhcp pool ZIGGO-IPv6
   dns-server 2001:1608:10:25::1C04:B12F
   dns-server 2001:1608:10:25::9249:D69B
   domain-name mindwarper-IPv6.cisco

• WAN interface volgen - reachability voor default route - gebruik een tcl script om static default routes in config te gooien op basis van deze reachability
  
  code:
  

  track 1 ip route 0.0.0.0 0.0.0.0 reachability
  !
  track 2 ipv6 route ::/0 reachability

• Router "WAN" interface - naar ziggo modem dus
  
  code:
  

  interface GigabitEthernet0/0/0
   description WAN_CONNECTBOX_ZIGGO
   ip address dhcp hostname RTR_C1117-mind
   no ip redirects
   no ip unreachables
   no ip proxy-arp
   ip nat outside
   ip access-group WAN_IN in
   negotiation auto
   ipv6 address autoconfig default
   ipv6 enable
   ipv6 dhcp client pd hint ::/56
   ipv6 dhcp client pd ZIGGO-IPv6 rapid-commit
   ipv6 dhcp client request vendor

• interface naar mijn Layer 3 switch - TRUNK port met daarin mijn routing VLANs 240; 250 en 255
  
  code:
  

  interface GigabitEthernet0/1/0
   description L3 | Gi 2/0/24
   switchport trunk allowed vlan 178,240,250,255,299
   switchport mode trunk

• Voorbeeld van dan een routing VLAN config - VLAN 255
  
  code:
  

  interface Vlan255
   description *** VLAN 255 - RTR-LAN ***
   ip address 192.168.255.2 255.255.255.252
   ip nat inside
   ip access-group RTR-LAN-255_IN_RESTRICT_ALT in
   ipv6 address ZIGGO-IPv6 ::FF:0:0:0:2/64
   ipv6 enable
   ipv6 dhcp server ZIGGO-IPv6 rapid-commit

Nu uitzoeken wat verschil is met SLAAC en DHCPv6 mode vonfig voor WAN interface IPv6 adres toewijzing

1. met in interface gi0/0/0 deze config voor IPv6 adres config
   
   code:
   

   interface  GigabitEthernet0/0/0
    ipv6 address autoconfig default

   
   
   code:
   

   RTR_C1117-mind(config-if)#do sh ipv6 interface
   GigabitEthernet0/0/0 is up, line protocol is up
     IPv6 is enabled, link-local address is FE80::7A0C:F0FF:FEFC:BF00
     No Virtual link-local address(es):
     Description: WAN_CONNECTBOX_ZIGGO
     Stateless address autoconfig enabled <=== SLAAC dus ;)
     Global unicast address(es):
       2001:1C00:250D:5500:7A0C:F0FF:FEFC:BF00, subnet is 2001:1C00:250D:5500::/64 [EUI/CAL/PRE]
         valid lifetime 56756 preferred lifetime 27956

2. met in interface gi0/0/0 deze config voor IPv6 adres config
   
   code:
   

   interface  GigabitEthernet0/0/0
    ipv6 address dhcp rapid-commit

   
   
   code:
   

   RTR_C1117-mind(config-if)#do sh ipv6 int
   GigabitEthernet0/0/0 is up, line protocol is up
     IPv6 is enabled, link-local address is FE80::7A0C:F0FF:FEFC:BF00
     No Virtual link-local address(es):
     Description: WAN_CONNECTBOX_ZIGGO
     Global unicast address(es):
       2001:1C00:250D:5500:77A4:B4FD:B617:661B, subnet is 2001:1C00:250D:5500:77A4:B4FD:B617:661B/128

[ Voor 36% gewijzigd door mindwarper op 17-11-2021 19:27 ]

[Snow_King]

mindwarper schreef op woensdag 17 november 2021 @ 18:51:
[...]


Ik gebruik mijn Layer 3 switch om ook met VRFs te werken (VRF lite eigenlijk zoals het heet)
Ik wil niet alles in mijn global routing table hebben, meer gescheiden hebben, dan is het maken van ACLs ook makkelijker...
Met VRFs heb je per definitie gescheiden traffic en dus ook routing tables...
Maar ook omdat het kan en ik het ook op mijn werk gebruik in in onze netwerk infra...

Wat betreft Unique Local Addresses is nog beter - dat ga ik ook eens doen op later moment en zo mijn routing aanpassen tussen mijn router en Layer 3 switch met de VRFs...
En routes uitwisseling gaat voornamelijk met EIGRP en static route voor 0.0.0.0/0 resp. ::/0
Ga ik verder uitwerken later... op mijn Layer 3 switch


Ik heb wat informatie hier gevonden
https://www.reddit.com/r/..._client_be_configured_to/

Ik heb jaren geleden op een Cisco 887VA ook IPv6 helemaal werkend gekregen op ons kantoor met een XS4All verbinding: http://blog.widodh.nl/201...a-xs4all-vdsl-connection/

Daar zitten diverse Cisco voorbeelden in.

Overigens kan dit nog beter:

- Prefix die je krijgt van DHCPv6-PD in een pool stoppen
- Interface VLAN1 dynamisch een v6 adres geven uit deze pool
- Zo veranderd je LAN automatisch mee als je prefix veranderd

ULA zou ik overigens bij weg blijven. Dat is met IPv6 ook behoorlijk deprecated

[mindwarper]

Snow_King schreef op woensdag 17 november 2021 @ 19:12:
[...]
Overigens kan dit nog beter:

- Prefix die je krijgt van DHCPv6-PD in een pool stoppen
- Interface VLAN1 dynamisch een v6 adres geven uit deze pool
- Zo veranderd je LAN automatisch mee als je prefix veranderd

ULA zou ik overigens bij weg blijven. Dat is met IPv6 ook behoorlijk deprecated

- Hoe ga je dat configureren om dat in een pool te stoppen - als je bij voorbaat niet weet wat de PD is
-Hoe zou de config er dan uit zien (ongeveer) ???
- hoe dan dynamic IPv6 address vor VLAN 1 - en waarom VLAN 1 - kan natuurlijk ook gewoon ook ander VLAN nummer zijn uiteraard ?
- eens kijken hoe dat dan gaat met EIGRP route advertisements naar Layer 3 switch toe
- leuk spelen en puzzelen zo op die manier

[gertvdijk]

Snow_King schreef op woensdag 17 november 2021 @ 19:12:
Overigens kan dit nog beter:

- Prefix die je krijgt van DHCPv6-PD in een pool stoppen
- Interface VLAN1 dynamisch een v6 adres geven uit deze pool
- Zo veranderd je LAN automatisch mee als je prefix veranderd

Helemaal mee eens.

Snow_King schreef op woensdag 17 november 2021 @ 19:12:
ULA zou ik overigens bij weg blijven. Dat is met IPv6 ook behoorlijk deprecated

Het is opinionated natuurlijk, of je met een dynamische GUA van de ISP dan verder management via static/eigen IPv4 doet of IPv6 ULA erbij.
En uhm, bron? Site-scope is deprecated, daarvoor is ULA in de plaats gekomen. Daarmee in de war misschien?

[gertvdijk]

mindwarper schreef op woensdag 17 november 2021 @ 19:26:

- Hoe ga je dat configureren om dat in een pool te stoppen - als je bij voorbaat niet weet wat de PD is
hoe zou de config er dan uit zien (ongeveer) ???

Dat is nou net wat ik heb gelinkt over die downstream interface, toch, of niet?

Is ook een beetje de kern van m'n post. 😅

[ Voor 10% gewijzigd door gertvdijk op 17-11-2021 19:30 ]

[Snow_King]

mindwarper schreef op woensdag 17 november 2021 @ 19:26:
[...]

- Hoe ga je dat configureren om dat in een pool te stoppen - als je bij voorbaat niet weet wat de PD is
-Hoe zou de config er dan uit zien (ongeveer) ???
- hoe dan dynamic IPv6 address vor VLAN 1 - en waarom VLAN 1 - kan natuurlijk ook gewoon ook ander VLAN nummer zijn uiteraard ?
- eens kijken hoe dat dan gaat met EIGRP route advertisements naar Layer 3 switch toe
- leuk spelen en puzzelen zo op die manier

De PD weet je niet, maar je laat deze in de pool stoppen door jouw DHCPv6 client. Die verkrijgt een prefix en stopt deze in de pool.

Ik werk al jaren niet meer met Cisco en tegenwoordig veelal met JunOS en ook eigenlijk niet meer met CPE's en vooral juist met de echte grote routers, dus ik heb ff snel gezocht.

Zie: https://www.cisco.com/c/e...pv6/113141-DHCPv6-00.html

Je wil dan iets als:

code:

interface MYOUTSIDEINTERFACE
  ipv6 enable
  ipv6 address autoconfig default
  ipv6 dhcp client pd prefix-from-ziggo
!
interface MYLANINTERFACE
  ipv6 address prefix-from-ziggo ::1:0:0:0:1/64
  ipv6 enable

Dat zou de basis moeten zijn hiervoor.

gertvdijk schreef op woensdag 17 november 2021 @ 19:28:
[...]

Het is opinionated natuurlijk, of je met een dynamische GUA van de ISP dan verder management via static/eigen IPv4 doet of IPv6 ULA erbij.
En uhm, bron? Site-scope is deprecated, daarvoor is ULA in de plaats gekomen. Daarmee in de war misschien?

Grote kans dat ik het daar mee verwar ja :-) Ik werk zelf alleen maar met global IPv6 space.

[ Voor 15% gewijzigd door Snow_King op 17-11-2021 19:59 ]

[mindwarper]

Ben even het spoor bijster
Geeft niet
ik ga er later eens naar kijken op mijn gemak...

code:

prefix-from-ziggo

is dus naam van een config regel namelijk een dhcp pool

code:

ipv6 dhcp pool prefix-from ziggo

, maar hoe die er dan uitziet weet ik niet goed...

of het is gerwoon een naam voor de PD die je krijgt, een soort van variabele die je dan kunt hergebruiken...???
Misschien mis ik de clou...

Hier even ter voorbeeld hoe het bij mij eruit komt te zien, maar hier gebruik ik dus de DHCP pool in de interface config, maar is niet echt nodig... kan ook gewoon zo als "variabele" dan zeg maar ?
Ik volg het misschien even niet

code:

interface GigabitEthernet0/0/0
 description WAN_CONNECTBOX_ZIGGO
 ip address dhcp hostname RTR_C1117-mind
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 ip access-group WAN_IN in
 negotiation auto
 ipv6 address autoconfig default
 ipv6 enable
 ipv6 dhcp client pd hint ::/56
 ipv6 dhcp client pd ZIGGO-IPv6 rapid-commit
 ipv6 dhcp client request vendor

interface Vlan255
 description *** VLAN 255 - RTR-LAN ***
 ip address 192.168.255.2 255.255.255.252
 ip nat inside
 ip access-group RTR-LAN-255_IN_RESTRICT_ALT in
 ipv6 address ZIGGO-IPv6 ::FF:0:0:0:2/64
 ipv6 enable
 ipv6 dhcp server ZIGGO-IPv6 rapid-commit

IPv6 DHCP pool config

code:

ipv6 dhcp pool ZIGGO-IPv6
 dns-server 2001:1608:10:25::1C04:B12F
 dns-server 2001:1608:10:25::9249:D69B
 domain-name mindwarper-IPv6.cisco
 prefix-delegation pool IPv6-Client-Prefix lifetime 1800 600 <== niet nodig denk ik als mijn eigen cisco router achter Modem

maakt niet uit ik kom er wel met jullie hulp
EDIT: ik heb het gekeken en inderdaad het werkt nu - soort van variabele is het...

[ Voor 89% gewijzigd door mindwarper op 17-11-2021 21:14 ]

[Snow_King]

mindwarper schreef op woensdag 17 november 2021 @ 20:19:
Ben even het spoor bijster
Geeft niet
ik ga er later eens naar kijken op mijn gemak...

code:

prefix-from-ziggo

is dus naam van een config regel namelijk een dhcp pool

code:

ipv6 dhcp pool prefix-from ziggo

, maar hoe die er dan uitziet weet ik niet goed...

of het is gerwoon een naam voor de PD die je krijgt, een soort van variabele die je dan kunt hergebruiken...???
Misschien mis ik de clou...

Hier even ter voorbeeld hoe het bij mij eruit komt te zien, maar hier gebruik ik dus de DHCP pool in de interface config, maar is niet echt nodig... kan ook gewoon zo als "variabele" dan zeg maar ?
Ik volg het misschien even niet

code:

interface GigabitEthernet0/0/0
 description WAN_CONNECTBOX_ZIGGO
 ip address dhcp hostname RTR_C1117-mind
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 ip access-group WAN_IN in
 negotiation auto
 ipv6 address autoconfig default
 ipv6 enable
 ipv6 dhcp client pd hint ::/56
 ipv6 dhcp client pd ZIGGO-IPv6 rapid-commit
 ipv6 dhcp client request vendor

interface Vlan255
 description *** VLAN 255 - RTR-LAN ***
 ip address 192.168.255.2 255.255.255.252
 ip nat inside
 ip access-group RTR-LAN-255_IN_RESTRICT_ALT in
 ipv6 address ZIGGO-IPv6 ::FF:0:0:0:2/64
 ipv6 enable
 ipv6 dhcp server ZIGGO-IPv6 rapid-commit

IPv6 DHCP pool config

code:

ipv6 dhcp pool ZIGGO-IPv6
 dns-server 2001:1608:10:25::1C04:B12F
 dns-server 2001:1608:10:25::9249:D69B
 domain-name mindwarper-IPv6.cisco
 prefix-delegation pool IPv6-Client-Prefix lifetime 1800 600 <== niet nodig denk ik als mijn eigen cisco router achter Modem

maakt niet uit ik kom er wel met jullie hulp
EDIT: ik heb het gekeken en inderdaad het werkt nu - soort van variabele is het...

Waarom heb je een DHCP IPv6 server aan staan in Vlan255? Dat is niet nodig.

IPv6 werkt prima met RA en SLAAC

[mindwarper]

Snow_King schreef op woensdag 17 november 2021 @ 21:54:
[...]

Waarom heb je een DHCP IPv6 server aan staan in Vlan255? Dat is niet nodig.

IPv6 werkt prima met RA en SLAAC

Thanks voor de heads up - vanwege dat vlan 255 mijn routerings vlan is naar mijn layer 3 switch voor de global routing table middels EIGRP...
inderdaad misschien niet nodig...
Ik had het op basis van deze URL gemaakt en met jullie input - https://www.reddit.com/r/..._client_be_configured_to/

ik ga later nog eens testen

[mindwarper]

Heb nu inmiddels Bridge mode vanochtend laten activeren weer...

Inderdaad IPv6 is weg maar dat is niet erg...
Ik weet nu wat er te gebeuren staat om te configureren voor als het zover is...

[Snow_King]

mindwarper schreef op woensdag 17 november 2021 @ 22:06:
[...]

Thanks voor de heads up - vanwege dat vlan 255 mijn routerings vlan is naar mijn layer 3 switch voor de global routing table middels EIGRP...
inderdaad misschien niet nodig...
Ik had het op basis van deze URL gemaakt en met jullie input - https://www.reddit.com/r/..._client_be_configured_to/

ik ga later nog eens testen

Je ziet dat in die post de pool met de naam 'Spectrum' wordt gemaakt waarna interface Vlan165 daar dynamisch een adres uit krijgt.

In Vlan165 is ook de DHCPv6 server aan gezet, maar nogmaals, dat is niet nodig. Mijn thuisnetwerk (MikroTik router) heeft ook enkel IPv6 Router Advertisements (RA) aan staan waarna clients via SLAAC zelf een adres genereren.

In theorie heb je op je WAN interface niet eens een unicast adres nodig. DHCPv6 gaat volledig via Link-Local (LL) en je zal ook zien dat de router aan de kant van Ziggo de route voor de prefix installeert richting het Link-Local adres van je router en niet richting het Unicast adres.

Daar staat in de route tabel iets in de trand van:

code:

2001:db8:a:b::/56 next-hop fe80:x:y:z:

Link-Local is een fantastisch onderdeel van IPv6 wat te vaak onderschat wordt.

[PCan]

Had Ziggo om informatie gevraagd, maar die sturen me door naar hun community.
Mijn connectbox staat op Bridgemodus naar Asus router.
Volgens ASUS moet je bij een WAN Connection Type set [Automatic IP], IPv6 connectietype op Passtrough zetten.
Als je dat doet, dan krijg bij de Asus router onder IPv6 alleen nog de optie Automatisch verbinden DNS server inschakelen. Vraag: Is Passthrough veilig?

Bij Firewall Citaat:
IPv6-firewall
Al het uitgaande verkeer dat afkomstig is van IPv6-hosts op uw LAN, evenals het verwante binnenkomende verkeer, is toegestaan. Elk ander inkomend verkeer moet hier specifiek worden toegestaan.
Einde citaat.
Betekent dit nou dat Elk IPv6 verkeer onbeschermd is?
Ik heb de optie IPv6-firewall ingeschakeld.
Moet ik een bekende server selecteren uit de drop-down lijst, en zo ja welke? Ik zie bijvoorbeeld FTP, SMTP, DNS, HTTP, POP3. Lijkt mij van niet.

Citaat:
U kunt de externe IP leeg laten om verkeer vanaf elke externe host toe te staan. Er kan ook een subnet worden opgegeven. (2001::1111:2222:3333/64 bijvoorbeeld
Einde Citaat.
Valt dit onder het kopje Inkomende firewallregels? Zo ja, wat vul ik daar dan in?
Als ik het leeg laat, loop ik dan een risico?

[Orion84]

PCan schreef op vrijdag 19 november 2021 @ 12:24:
Had Ziggo om informatie gevraagd, maar die sturen me door naar hun community.
Mijn connectbox staat op Bridgemodus naar Asus router.
Volgens ASUS moet je bij een WAN Connection Type set [Automatic IP], IPv6 connectietype op Passtrough zetten.
Als je dat doet, dan krijg bij de Asus router onder IPv6 alleen nog de optie Automatisch verbinden DNS server inschakelen.

Ik zou zeggen dat native meer passend is wanneer je modem in bridge mode staat en je asus router dus een subnet gaat krijgen vanuit ziggo.

Vraag: Is Passthrough veilig?

Bij Firewall Citaat:
IPv6-firewall
Al het uitgaande verkeer dat afkomstig is van IPv6-hosts op uw LAN, evenals het verwante binnenkomende verkeer, is toegestaan.

Dat woordje "verwante" wat ik even heb dikgedrukt voor je is hier het sleutelwoord. Inkomend verkeer wordt dus alleen toegestaan als het verwant is aan een bestaande connectie. Iemand kan vanuit buiten dus geen nieuwe verbindingen naar binnen opzetten. Vergelijkbaar met de bescherming die NAT biedt dus.

[PCan]

@Orion84 Dat gevoel had ik zelf ook al (native), maar dit artikel deed mij twijfelen;
https://www.asus.com/support/FAQ/113990/

[Dutch2007]

Iemand hier "ervaring" met Ubiquiti Edgerouters en Ziggo Native Ipv6?

Kan ik gewoon per ETH een /64 "geven" en in principe per VLAN die ik in gebruik heb een /64 "geven" ? (volgens de info krijg nml iedereen een /56 als je, je modem in bridge mode hebt staan.
Zorgt dit er voor dat Ik via ETH0 (WAN), op ETH1 & ETH2 een /64 krijg?

set interfaces ethernet eth0 dhcpv6-pd prefix-only
set interfaces ethernet eth0 dhcpv6-pd pd 0 prefix-length 56
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1 prefix-id :1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1 prefix-id :1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1 host-address ::1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1 slaac
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth2 prefix-id :2
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth2 host-address ::1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth2 slaac

Ik heb begrepen dat als ik daarna:

set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1.3 prefix-id :1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1.3 prefix-id :1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1.3 host-address ::1
set interfaces ethernet eth0 dhcpv6-pd pd 0 interface eth1.3 slaac

Als ik dat doe, dat ik dan een /64 krijg op VLAN 3, welke gedefinieerd staat op ETH1

[ Voor 69% gewijzigd door Dutch2007 op 19-11-2021 16:02 ]

[Qlimaxxx]

Dutch2007 schreef op vrijdag 19 november 2021 @ 15:58:
Iemand hier "ervaring" met Ubiquiti Edgerouters en Ziggo Native Ipv6?

Kan ik gewoon per ETH een /64 "geven" en in principe per VLAN die ik in gebruik heb een /64 "geven" ? (volgens de info krijg nml iedereen een /56 als je, je modem in bridge mode hebt staan.
Zorgt dit er voor dat Ik via ETH0 (WAN), op ETH1 & ETH2 een /64 krijg?


Als ik dat doe, dat ik dan een /64 krijg op VLAN 3, welke gedefinieerd staat op ETH1

Je hebt sowieso 1 commando dubbel. Daarnaast geef je nu hetzelfde prefix-id mee aan ETH1 (zonder VLAN) en ETH1.3 (dus VLAN 3 op ETH1). Aangezien Edgerouters geen onderscheid maken tussen interfaces en virtuele interfaces in dat opzicht is dat hetzelfde als dat je voor ETH1 en ETH2 hetzelfde prefix-id gebruikt.

Verder klopt het geloof ik wel aardig.

Enigszins niet gerelateerd aan bovenstaande:

Heb me vandaag aardig lopen verdiepen in IPv6. Gisteren toevallig voor een klant een Ziggo zakelijk Pro opgeleverd omdat hij een vast IP nodig had (lang verhaal waarom precies). Daar dacht ik ook even mooi DHCPv6-PD te gebruiken, maar moest het uiteindelijk statisch instellen d.m.v. een specifiek IP op de WAN-interface, een static route naar het internet en op de switch0 interface een statisch IP i.c.m. IPv6 router adverts om op LAN SLAAC te doen.

Omdat m'n ouders nog een Ubee modem hadden en geen mail hebben gehad, net even de helpdesk van Ziggo besteld. Hun oude Ubee modem/router krijgt dus geen IPv6, ondanks dat hij in bridge mode staat en in fZiggo gebied hangt. Daarom krijgen ze nu een Connectbox (hou m'n hart vast).

Omdat in de mail van Ziggo een beetje vaag gedaan wordt over wanneer de switch precies plaatsvindt ("over 2 weken", "modem herstarten over 15 dagen") nog even gevraagd wanneer ik IPv6 nou daadwerkelijk kon gebruiken. Ze vertelde me dat het bij sommige modems al zou werken, dat de mail puur bedoeld was om klanten hierop attent te maken.

Ik dus de configuratie in m'n ER12 gezet en zowel router als modem herstart. Helaas... hoewel ik nu dus niet weet of het aan m'n config ligt of aan dat ik nog even geduld moet hebben.

Configuratie die ik toegepast heb:

code:

ethernet eth9 {
     address dhcp
     description Internet
     dhcpv6-pd {
         no-dns
         pd 0 {
             interface switch0.10 {
                 host-address ::1
                 no-dns
                 prefix-id :1
                 service slaac
             }
             prefix-length /56
         }
         rapid-commit enable
     }
     duplex auto
     firewall {
         in {
             ipv6-name WANv6_IN
             name WAN_IN
         }
         local {
             ipv6-name WANv6_LOCAL
             name WAN_LOCAL
         }
         out {
             name WAN_OUT
         }
     }
     ipv6 {
         address {
         }
         dup-addr-detect-transmits 1
     }

[Freeaqingme]

@Qlimaxxx De change wordt regio voor regio uitgerold komende dagen. Voor zowel als je ouders geldt wellicht dat jouw regio gewoon nog niet aan de beurt geweest is?

[Qlimaxxx]

Freeaqingme schreef op vrijdag 19 november 2021 @ 19:11:
@Qlimaxxx De change wordt regio voor regio uitgerold komende dagen. Voor zowel als je ouders geldt wellicht dat jouw regio gewoon nog niet aan de beurt geweest is?

Mijn ouders moeten sowieso eerst nog een ander modem krijgen. Ik heb het nu bij mezelf getest in Groningen, maar dan zal Groningen nog wel niet aan de beurt zijn.

[ed1703]

Qlimaxxx schreef op vrijdag 19 november 2021 @ 19:31:
[...]


Mijn ouders moeten sowieso eerst nog een ander modem krijgen. Ik heb het nu bij mezelf getest in Groningen, maar dan zal Groningen nog wel niet aan de beurt zijn.

Is Groningen geen fUPC? Die krijgt voorlopig geen ipv6 over bridged modem.

[Qlimaxxx]

ed1703 schreef op vrijdag 19 november 2021 @ 19:42:
[...]

Is Groningen geen fUPC? Die krijgt voorlopig geen ipv6 over bridged modem.

Volgens mij niet. Ik heb in ieder geval wel een mail gehad van Ziggo dat ik IPv6 krijg.

[valkenier]

Groningen is fZiggo, f@home

[Qlimaxxx]

valkenier schreef op zaterdag 20 november 2021 @ 12:53:
Groningen is fZiggo, f@home

Duidelijk, thanks!

Even iets anders:
Heb nu bij 2 klanten IPv6 aangezet. Ziggo Zakelijk Pro en een KPN FTTH klant. Alles werkt naar behoren, maar bij beide krijgen ze bij een test dat ICMPv6 wordt gefilterd. In de standaard IPv6 firewall rules voor Edgerouter staat alleen in WANV6_LOCAL een ICMPv6 rule. Ik las ook dat alles toestaan naar je LAN een security risk is omdat ook neighbour/router solicitations en adverts via ICMPv6 gaan. Daarentegen kan het weer problemen met path MTU discovery voor IPv6 geven als ICMPv6 geblokkeerd wordt.

Het is me ook niet echt duidelijk of EdgeOS al standaard sommige ICMPv6 doorlaat als het bijvoorbeeld om een packet too big type ICMPv6-bericht gaat.

Dus what to do?
- ICMPv6 gewoon blijven filteren
- Specifieke rules aanmaken met bepaalde type ICMPv6 packets
- Burst/rate limit op ICMPv6 aanmaken
- Volledig ICMPv6 open gooien naar interne netwerken

[Snow_King]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 15:38:
[...]


Duidelijk, thanks!

Even iets anders:
Heb nu bij 2 klanten IPv6 aangezet. Ziggo Zakelijk Pro en een KPN FTTH klant. Alles werkt naar behoren, maar bij beide krijgen ze bij een test dat ICMPv6 wordt gefilterd. In de standaard IPv6 firewall rules voor Edgerouter staat alleen in WANV6_LOCAL een ICMPv6 rule. Ik las ook dat alles toestaan naar je LAN een security risk is omdat ook neighbour/router solicitations en adverts via ICMPv6 gaan. Daarentegen kan het weer problemen met path MTU discovery voor IPv6 geven als ICMPv6 geblokkeerd wordt.

Het is me ook niet echt duidelijk of EdgeOS al standaard sommige ICMPv6 doorlaat als het bijvoorbeeld om een packet too big type ICMPv6-bericht gaat.

Dus what to do?
- ICMPv6 gewoon blijven filteren
- Specifieke rules aanmaken met bepaalde type ICMPv6 packets
- Burst/rate limit op ICMPv6 aanmaken
- Volledig ICMPv6 open gooien naar interne netwerken

Ik zet ICMPv6 altijd helemaal open, v6 is erg afhankelijk van ICMP.

Eventueel kan je nog rate limiteren, maar eigenlijk heb ik er nooit echt abuse mee gezien.

[Qlimaxxx]

Snow_King schreef op zaterdag 20 november 2021 @ 16:24:
[...]
Ik zet ICMPv6 altijd helemaal open, v6 is erg afhankelijk van ICMP.

Eventueel kan je nog rate limiteren, maar eigenlijk heb ik er nooit echt abuse mee gezien.

En wat zijn dan goede settings voor rate limit en burst? Kan het kwaad om dit te doen of zijn daar verder geen nadelen aan?

En hoe blokkeer je eigenlijk intervlan routing met IPv6?

[ Voor 6% gewijzigd door Qlimaxxx op 20-11-2021 17:33 ]

[BAJansen]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 17:28:
[...]
En hoe blokkeer je eigenlijk intervlan routing met IPv6?

Net zoals met IPv4. Bij Ubiquiti heb je alleen wel aparte regelsets voor de firewall. Dit is dan niet

code:

set firewall name

maar

code:

set firewall ipv6-name

[ANdrode]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 17:28:
[...]
En wat zijn dan goede settings voor rate limit en burst? Kan het kwaad om dit te doen of zijn daar verder geen nadelen aan?

En hoe blokkeer je eigenlijk intervlan routing met IPv6?

Ik zie er vooral geen waarde in om een rate limit aan te zetten. Buiten CPU load beschermt het alleen tegen. "iemand die een DOS aanval doet en mijn upload vol wil hebben, maar niet genoeg bandbreedte heeft om de downstream vol te krijgen".
_{Wat dus een onzin-scenario is in de huidige situatie}

Ik zou rate limiten als je CPU issues krijgt door de afhandeling van de ICMP. Als de rate limit met software geïmplementeerd wordt vrees ik dat hij je in dat geval niet echt gaat helpen.

[Qlimaxxx]

BAJansen schreef op zaterdag 20 november 2021 @ 17:51:
[...]


Net zoals met IPv4. Bij Ubiquiti heb je alleen wel aparte regelsets voor de firewall. Dit is dan niet

code:

set firewall name

maar

code:

set firewall ipv6-name

Ja, zover kom ik nog wel. Maar bij IPv4 is het een kwestie van een block regel op LAN_IN met als destination RFC1918 netwerken. Welke destination gebruik ik bij IPv6? Aangezien dit publiekelijk routeerbare adressen zijn. Gewoon het hele subnet dat ik van de provider krijg?

En als dat het antwoord is: geven providers in Nederland eigenlijk een vaste range? Of kan het zijn dat ze die nog eens wijzigen? (Kan niet echt bedenken waarom, maar ik heb vooralsnog ook geen harde belofte gezien dat het een vaste range per klant is)

ANdrode schreef op zaterdag 20 november 2021 @ 18:07:
[...]


Ik zie er vooral geen waarde in om een rate limit aan te zetten. Buiten CPU load beschermt het alleen tegen. "iemand die een DOS aanval doet en mijn upload vol wil hebben, maar niet genoeg bandbreedte heeft om de downstream vol te krijgen".
_{Wat dus een onzin-scenario is in de huidige situatie}

Ik zou rate limiten als je CPU issues krijgt door de afhandeling van de ICMP. Als de rate limit met software geïmplementeerd wordt vrees ik dat hij je in dat geval niet echt gaat helpen.

Dan laat ik het wel gewoon door. Ben je dan niet kwetsbaar voor router adverts? Of worden die alleen op layer2 verzonden?

[ Voor 31% gewijzigd door Qlimaxxx op 20-11-2021 18:12 ]

[BAJansen]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 18:11:
[...]


Ja, zover kom ik nog wel. Maar bij IPv4 is het een kwestie van een block regel op LAN_IN met als destination RFC1918 netwerken. Welke destination gebruik ik bij IPv6? Aangezien dit publiekelijk routeerbare adressen zijn. Gewoon het hele subnet dat ik van de provider krijg?

En als dat het antwoord is: geven providers in Nederland eigenlijk een vaste range? Of kan het zijn dat ze die nog eens wijzigen? (Kan niet echt bedenken waarom, maar ik heb vooralsnog ook geen harde belofte gezien dat het een vaste range per klant is)

Het ligt er ook een beetje aan waar je het verkeer blokkeert, doe je dat bij 'in' of bij 'out', en bij de ontvangende of de verzendende zijde?
Bij de meeste providers zijn de ranges vrij statisch, maar voor de zekerheid kun je het beste gebruik maken van address- of network-groups.

Qlimaxxx schreef op zaterdag 20 november 2021 @ 18:11:
[...]


Dan laat ik het wel gewoon door. Ben je dan niet kwetsbaar voor router adverts? Of worden die alleen op layer2 verzonden?

Router adverts worden inderdaad niet doorgegeven buiten een broadcastdomein.

[Qlimaxxx]

BAJansen schreef op zaterdag 20 november 2021 @ 19:16:
[...]


Het ligt er ook een beetje aan waar je het verkeer blokkeert, doe je dat bij 'in' of bij 'out', en bij de ontvangende of de verzendende zijde?
Bij de meeste providers zijn de ranges vrij statisch, maar voor de zekerheid kun je het beste gebruik maken van address- of network-groups.

Ik had zelf bedacht om het op en firewall toe te passen met direction in vanuit het LAN. Net zoals bij IPv4

Dus iets als:
Rule 1
Accept established/related

Rule 2
Drop met destination network group

En dan een network group met RFC1918 ranges erin.

Zou dan op IPv6 er zo ongeveer uitzien:
Rule 1
Accept established/related

Rule 2
Drop met destination /56 range die van de provider komt.

Wat zou dan in die groups moeten bij IPv6? Zou dan toch ook de range zijn die je krijgt? Lijkt me niet dat ik de hele prefix van de provider moet gaan blocken. Dan moet ik namelijk weer uitzonderingen gaan maken indien ik iets wil bereiken bij een andere klant van diezelfde provider.

[Snow_King]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 19:23:
[...]


Ik had zelf bedacht om het op en firewall toe te passen met direction in vanuit het LAN. Net zoals bij IPv4

Dus iets als:
Rule 1
Accept established/related

Rule 2
Drop met destination network group

En dan een network group met RFC1918 ranges erin.

Zou dan op IPv6 er zo ongeveer uitzien:
Rule 1
Accept established/related

Rule 2
Drop met destination /56 range die van de provider komt.

Wat zou dan in die groups moeten bij IPv6? Zou dan toch ook de range zijn die je krijgt? Lijkt me niet dat ik de hele prefix van de provider moet gaan blocken. Dan moet ik namelijk weer uitzonderingen gaan maken indien ik iets wil bereiken bij een andere klant van diezelfde provider.

Ik zou niet op subnets filteren, maar input en output interfaces.

Dus als het interace Vlan1 IN gaat mag het verkeer bijv wel OUT naar WAN, maar niet OUT naar Vlan2.

Het is gewoon firewalling waar je op basis van source en destination je filtering doet.

Begrijp ook dat LAN er eigenlijk niet echt is. Met IPv6 is elke host gewoon onderdeel van het o zo mooie internet. Met een firewall zeg je welke source en destination er door mag.

ICMP altijd door laten iig!!

[Qlimaxxx]

Snow_King schreef op zaterdag 20 november 2021 @ 20:39:
[...]

Ik zou niet op subnets filteren, maar input en output interfaces.

Dus als het interace Vlan1 IN gaat mag het verkeer bijv wel OUT naar WAN, maar niet OUT naar Vlan2.

Het is gewoon firewalling waar je op basis van source en destination je filtering doet.

Begrijp ook dat LAN er eigenlijk niet echt is. Met IPv6 is elke host gewoon onderdeel van het o zo mooie internet. Met een firewall zeg je welke source en destination er door mag.

ICMP altijd door laten iig!!

Moet ik dan voor elk VLAN 2 regels maken om dingen te blokkeren? Vond juist zo'n catch all regel met enkel hier en daar een uitzondering zo handig.

Je werkt inderdaad niet met privé IP-adressen en er is ook geen NAT. Maar hoezo zou er geen sprake zijn van segmentatie en verschillende broadcastdomeinen? Puur omdat je clients publieke IPs hebben betekent volgens mij niet dat je ineens 1 groot layer 2 netwerk hebt. Waar dat voorheen door NAT ging is het nu gewoon forwarding.

Lijkt me dat je alsnog niet een te groot broadcastdomein wilt hebben i.v.m. eventuele broadcasts storms, en ook met het oog op security lijkt segmentatie ook nog steeds gewenst, of zie ik dat nu verkeerd?

[Snow_King]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 20:43:
[...]


Moet ik dan voor elk VLAN 2 regels maken om dingen te blokkeren? Vond juist zo'n catch all regel met enkel hier en daar een uitzondering zo handig.

Je werkt inderdaad niet met privé IP-adressen en er is ook geen NAT. Maar hoezo zou er geen sprake zijn van segmentatie en verschillende broadcastdomeinen? Puur omdat je clients publieke IPs hebben betekent volgens mij niet dat je ineens 1 groot layer 2 netwerk hebt. Waar dat voorheen door NAT ging is het nu gewoon forwarding.

Lijkt me dat je alsnog niet een te groot broadcastdomein wilt hebben i.v.m. eventuele broadcasts storms, en ook met het oog op security lijkt segmentatie ook nog steeds gewenst, of zie ik dat nu verkeerd?

Je maakt uiteraard VLAN’s en dus losse L2 netwerken.

Elk netwerk heeft een eigen /64 subnet en daar tussen routeert je router dus.

Wat ik bedoel is dat je gewoon publieke IP’s hebt en op basis daarvan gaat firewallen.

Vaak drop je IN op je WAN interface alle connecties en kan je tussen je VLAN’s in wat soepeler zijn.

[Qlimaxxx]

Snow_King schreef op zaterdag 20 november 2021 @ 21:03:
[...]

Je maakt uiteraard VLAN’s en dus losse L2 netwerken.

Elk netwerk heeft een eigen /64 subnet en daar tussen routeert je router dus.

Wat ik bedoel is dat je gewoon publieke IP’s hebt en op basis daarvan gaat firewallen.

Vaak drop je IN op je WAN interface alle connecties en kan je tussen je VLAN’s in wat soepeler zijn.

Ik snap dat in grote bedrijfsnetwerken wat soepeler is ingesteld. Maar ik heb liever niet dat mijn gasten bij mijn netwerk kunnen. In studentenhuizen haal ik niet voor niks alles uit elkaar en als meerdere bedrijven hun internet delen dan is het ook niet de bedoeling dat ze onbeperkt bij elkaar kunnen snuffelen. Waar het op neerkomt is dat ik meestal standaard verkeer tussen vlan’s blokkeer.

[xbeam]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 21:16:
[...]


Ik snap dat in grote bedrijfsnetwerken wat soepeler is ingesteld. Maar ik heb liever niet dat mijn gasten bij mijn netwerk kunnen. In studentenhuizen haal ik niet voor niks alles uit elkaar en als meerdere bedrijven hun internet delen dan is het ook niet de bedoeling dat ze onbeperkt bij elkaar kunnen snuffelen. Waar het op neerkomt is dat ik meestal standaard verkeer tussen vlan’s blokkeer.

Dat zegt hij toch ook

Snow_King schreef op zaterdag 20 november 2021 @ 21:03:
[...]

Je maakt uiteraard VLAN’s en dus losse L2 netwerken.

Elk netwerk heeft een eigen /64 subnet en daar tussen routeert je router dus.

Wat ik bedoel is dat je gewoon publieke IP’s hebt en op basis daarvan gaat firewallen.

Vaak drop je IN op je WAN interface alle connecties en kan je tussen je VLAN’s in wat soepeler zijn.

Ook bij ipv4 praat je niet met vlan’s maar blokkeer in de firewall dat verschillende subnets bijv 192.168.1./24 en 192.168.3./24 met elkaar kunnen praten daar verandert niets aan

[ Voor 7% gewijzigd door xbeam op 20-11-2021 21:56 ]

[Qlimaxxx]

xbeam schreef op zaterdag 20 november 2021 @ 21:20:
[...]


Dat zegt hij toch ook

[...]


Ook bij ip4 praat je niet met vlan’s maar blokkeer in de firewall dat verschillende subnets 192.168.1.x met 192.168.3.x met elkaar kunnen praten daar verandert niets aan

Ik weet dat je dat in een firewall doet. Maar mijn vraag is dus: hoe doe ik dit met IPv6?

Hij opperde dat dat voor lokale subnetten niet per se hoeft, maar ik heb dus mijn redenen om dat wel te willen.

[Snow_King]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 21:30:
[...]


Ik weet dat je dat in een firewall doet. Maar mijn vraag is dus: hoe doe ik dit met IPv6?

Hij opperde dat dat voor lokale subnetten niet per se hoeft, maar ik heb dus mijn redenen om dat wel te willen.

Wat ik bedoel is dat ipv IPv6 adressen op te nemen in de firewall je de source of destination interface pakt als parameters.

Zo werkt je firewall ook nog als je subnet veranderd.

[Brahiewahiewa]

Qlimaxxx schreef op zaterdag 20 november 2021 @ 21:30:
[...]


Ik weet dat je dat in een firewall doet. Maar mijn vraag is dus: hoe doe ik dit met IPv6?

Hij opperde dat dat voor lokale subnetten niet per se hoeft, maar ik heb dus mijn redenen om dat wel te willen.

Op het lokale subnet babbelen de hosts nou eenmaal rechtstreeks met elkaar; daar gaat de firewall van je router niets aan veranderen.
Enige uitzondering is een guest wireless LAN. Da's feitelijk een wireless NIC, een bridge en een switch. Op de bridge draait dan een firewall die restricties oplegt aan de wireless clients
Wil je op je lokale subnet ook dat soort restricties, dat moet je op al je hosts een firewall draaien
Overigens geldt dit zowel voor ip4 als ipv6

[mvkdev]

Ik wil graag het Hurricane Electric, ipv6 certificaat halen (om prive redenen/ maar zakelijk natuurlijk ook handig).. maar zit bij T-Mobile op glasvezel. Nou heb je voor ipv6, om HE als tunnel broker te kunnen gebruiken ICMP nodig, HE wil je kunnen pingen, anders krijg je geen tunnel

In m'n router heb ik wat aangepast, maar het modem zelf lijkt geen ping terug te gaan geven..
(onder ACL, heb ik ICMP op 'WAN' ingeschakeld)

Wat voor opties heb ik nu nog, zonder van ISP te moeten switchen?

[Roetzen]

mvkdev schreef op zondag 21 november 2021 @ 09:58:

Wat voor opties heb ik nu nog, zonder van ISP te moeten switchen?

Wacht tot 28 januari. Dan moeten de providers toestaan dat je een eigen modem resp. modem/router aansluit. Je kunt dan iets uitzoeken wat wel doet wat je nodig hebt.

[nescafe]

@mvkdev je kunt een VPSje draaien, bijv. bij PCextreme (starter server), dan ben je voor 1,24 klaar.

[Muis666]

Roetzen schreef op zondag 21 november 2021 @ 10:04:
[...]

Wacht tot 28 januari. Dan moeten de providers toestaan dat je een eigen modem resp. modem/router aansluit. Je kunt dan iets uitzoeken wat wel doet wat je nodig hebt.

@mvkdev hoeft niet te wachten. Genoeg voorbeelden in het T-Mobile topic van mensen die een eigen router hebben draaien.
Ik kan me bijna niet voorstellen dat de T-Mobile router inkomende pings blokkeert. Maar dat kan ik niet valideren, ik zit bij een concurent.

[MeNTaL_TO]

Weet niet wat KPN nu weer eens zit te kloten, maar ondanks dat mijn IPv6 aanstaan, heb ik geen IPv6 adres meer in de router staan en ook geen ipv6 adres meer op mijn clients. Dit gebeurt me iets te vaak eigenlijk. Hebben andere mensen met een box12 hier ook last van?

[mvkdev]

Roetzen schreef op zondag 21 november 2021 @ 10:04:
[...]

Wacht tot 28 januari. Dan moeten de providers toestaan dat je een eigen modem resp. modem/router aansluit. Je kunt dan iets uitzoeken wat wel doet wat je nodig hebt.

OK, maar dan moet ik dus zelf een router aanschaffen om alsnog met broker te kunnen draaien

[Roetzen]

mvkdev schreef op zondag 21 november 2021 @ 13:18:
[...]

OK, maar dan moet ik dus zelf een router aanschaffen om alsnog met broker te kunnen draaien

Als je niet van provider wilt wisselen en T-Mobile je geen router kan of wil geven waarmee je een tunnel kunt draaien, zie ik even geen andere oplossing...

[nescafe]

Gaat het om het behalen van je certificaten of om het instellen van de tunnel op je router? Voor het eerste zou je een vps kunnen huren voor een korte periode. Voor het tweede moet je zelf je apparatuur regelen. T-Mobile hoeft geen router te leveren die andere diensten zoals 6in4 ondersteunt.

[Muis666]

Een Huricane Electric tunnel hoef je niet perse op je router te installeren. Op je PC of bijvoorbeeld een Raspberry Pi kan ook. Dan is die tunnel natuurlijk wel alleen actief als je PC/Pi aanstaat.
Maar het probleem van @mvkdev waren de inkomende ICMP (pings) van Hurricane Electric. Daarvoor weet ik te weinig van de T-Mobile router...

[Proditor]

Binnenkort zet Ziggo IPv6 aan op bridged modems. Ik heb een Linksys Velop Mesh netwerk achter het modem hangen. Daar komt binnenkort dus direct IPv6 op binnen en zonder NAT heb ik toch een firewall nodig. Maar.... nergens in de linksys app zie ik firewall settings. Ik probeer al antwoord van Linksys zelf te krijgen maar weet iemand of er überhaupt iets van een SPI firewall in deze producten aanwezig is?

[Snow_King]

Amazon bied bij EC2 nu ook IPv6-only instances aan: https://aws.amazon.com/bl...ubnets-and-ec2-instances/

[Roetzen]

Snow_King schreef op woensdag 24 november 2021 @ 10:52:
Amazon bied bij EC2 nu ook IPv6-only instances aan: https://aws.amazon.com/bl...ubnets-and-ec2-instances/

En mooi aanloopje naar het afscheid van IPv4.

[ANdrode]

Snow_King schreef op woensdag 24 november 2021 @ 10:52:
Amazon bied bij EC2 nu ook IPv6-only instances aan: https://aws.amazon.com/bl...ubnets-and-ec2-instances/

Het werd tijd.

Het was onmogelijk om een fatsoenlijk v6-only netwerk te draaien in AWS. Het is jammer dat partijen die het technisch gezien in hun pas-toe-of-leg-uit lijst niet beter kijken of ze aan die lijst voldoen - dat zou echt wat marktdruk geven.

[Snow_King]

ANdrode schreef op woensdag 24 november 2021 @ 20:53:
[...]


Het werd tijd.

Het was onmogelijk om een fatsoenlijk v6-only netwerk te draaien in AWS. Het is jammer dat partijen die het technisch gezien in hun pas-toe-of-leg-uit lijst niet beter kijken of ze aan die lijst voldoen - dat zou echt wat marktdruk geven.

Als ik het zo lees is dit bij Amazon onder druk van de Amerikaanse overheid gedaan.

Zie ook: https://clintonwhitehouse2.archives.gov/

NARA is disabling support for IPv4 and will support only IPv6 protocols for accessing this website after September 24, 2021. If you receive a network error or have other issues when attempting to access this site, please contact your Internet Service Provider for assistance.

In de VS is nu een roadmap dat nieuwe netwerken binnen de overheid IPv6-only zijn. Dat legt denk ik nogal wat druk bij Amazon en hun Govcloud.

[ Voor 0% gewijzigd door rens-br op 25-11-2021 08:38 . Reden: Code blok aangepast ]

[ANdrode]

Snow_King schreef op woensdag 24 november 2021 @ 21:52:
[...]
In de VS is nu een roadmap dat nieuwe netwerken binnen de overheid IPv6-only zijn. Dat legt denk ik nogal wat druk bij Amazon en hun Govcloud.

Het scheelt direct onderhoudskosten en je hebt ook geen risico dat twee netwerklagen andere filters hebben - met het bijbehorende veiligheidsrisico.

Ik snap het intern heel goed. In een DC, als carrier in je eigen netwerk.

Aan je edge als content partij, of als isp is/blijft dual stack echter essentieel.

[Dreamvoid]

Op de edge zetten de grote jongens toch (dual stack) CDN/loadbalancers, dan kan je mooi alles daarachter IPv6 only maken, dat versimpelt een hoop. En als ISP heb je op je eigen netwerk ook alleen aan de edge IPv4 nodig. De routers bij de klant doen dan maar lekker DS-Lite/CLAT/MAP/etc.

Ik moet wel zeggen, het is bij de meeste providers met IPv6 nog altijd lastig om als thuisgebruiker om je thuisnetwerk zo te versimpelen. Alle devices op mijn interne netwerk werken met IPv6 + NAT64/DNS64, maar bij welke vastelijn providerbox kan je IPv4 uitschakelen en lokaal IPv6-only draaien?

[Snow_King]

Dreamvoid schreef op donderdag 25 november 2021 @ 18:26:
Op de edge zetten de grote jongens toch (dual stack) CDN/loadbalancers, dan kan je mooi alles daarachter IPv6 only maken, dat versimpelt een hoop. En als ISP heb je op je eigen netwerk ook alleen aan de edge IPv4 nodig. De routers bij de klant doen dan maar lekker DS-Lite/CLAT/MAP/etc.

Ik moet wel zeggen, het is bij de meeste providers met IPv6 nog altijd lastig om als thuisgebruiker om je thuisnetwerk zo te versimpelen. Alle devices op mijn interne netwerk werken met IPv6 + NAT64/DNS64, maar bij welke vastelijn providerbox kan je IPv4 uitschakelen en lokaal IPv6-only draaien?

maar je hoeft niet groot te zijn om intern IPv6 only te kunnen draaien.

Dat is op een ander netwerk ook prima te doen, als er maar een wil is.

[Dreamvoid]

Maar stel de wil is er, hoe draai je als simpele consument met een Ziggo of KPN box een IPv6-only lokaal netwerk?

In beide gevallen is er geen optie voor NAT64 op de provider box zelf, en beide providers routeren ook niet 64:ff9b:: naar een NAT64 server op hun eigen netwerk.

Wil je een IPv6-only LAN, dan moet je dus ofwel zelf gaan knutselen met NAT64 op een eigen (OpenWRT, etc) router, ofwel je gebruikt een 3rd party NAT64/DNS64 service, wat je internet verbinding niet bepaald sneller/betrouwbaarder maakt. Beide oplossingen zijn niet echt Henk & Ingrid-vriendelijk.

Op het moment zijn de providers vooral gericht op het in stand houden van dual stack bij de klant thuis, ook al wordt het upstream allemaal IPv6-only.

[ Voor 49% gewijzigd door Dreamvoid op 26-11-2021 12:02 ]

[Snow_King]

Dreamvoid schreef op vrijdag 26 november 2021 @ 11:18:
Stel de wil is er, hoe draai je als simpele consument met een Ziggo of KPN box een IPv6-only lokaal netwerk?

In beide gevallen is er geen optie voor NAT64 op de provider box zelf, en beide providers routeren ook niet 64:ff9b:: naar een NAT64 server op hun eigen netwerk.

Wil je een IPv6-only LAN, dan moet je dus ofwel zelf gaan knutselen met NAT64 op een eigen (OpenWRT, etc) router, ofwel je gebruikt een 3rd party NAT64/DNS64 service, wat je internet verbinding niet bepaald sneller/betrouwbaarder maakt. Beide oplossingen zijn niet echt Henk & Ingrid-vriendelijk.

Op het moment zijn de providers vooral gericht op het in stand houden van dual stack bij de klant thuis, ook al wordt het upstream allemaal IPv6-only.

Dan moet je je Ziggo modem in bridge zetten en dan zelf een router er achter plaatsen zoals een MikroTik of 'gewoon' een Linux machine.

Dit kan bij KPN ook en vervolgens kan je je LAN zo maken als je wil.

Ik draai thuis ook gewoon Dual-Stack, maar veel DNS entries die ik heb verwijzen enkel naar een IPv6-adres (AAAA-record).

In onze datacenters is de boel wel op heel veel plekken single-stack, zo hoeven we maar 1 firewall te onderhouden.

[Dreamvoid]

Tsja, maar tis toch ietwat jammer dat je 200+ euro moet betalen voor een extra router om enkel een IPv6-only LAN te draaien.

Bij 'mobile broadband' is dat eenvoudiger: in de 4G/5G router, haal het vinkje bij CLAT weg en je bent klaar: een single stack IPv6 lokaal netwerk. Zoiets zou je ook bij Ziggo/KPN boxes willen.

Overigens, doen MikroTik routers wel NAT64? Ik dacht dat dit nog steeds op de wenslijst stond?

[ Voor 63% gewijzigd door Dreamvoid op 26-11-2021 12:42 ]

[Dutch2007]

Dreamvoid schreef op vrijdag 26 november 2021 @ 12:05:
Tsja, maar tis toch ietwat jammer dat je 200+ euro moet betalen voor een extra router om enkel een IPv6-only LAN te draaien.

Bij 'mobile broadband' is dat eenvoudiger: in de 4G/5G router, haal het vinkje bij CLAT weg en je bent klaar: een single stack IPv6 lokaal netwerk. Zoiets zou je ook bij Ziggo/KPN boxes willen.

Overigens, doen MikroTik routers wel NAT64? Ik dacht dat dit nog steeds op de wenslijst stond?

Ik weet niet waar jij je routers haalt, maar als je een network device pakt dat puur en alleen een router is (dus zonder wifi).

Ben je voor een paar tientjes al klaar

pricewatch: Ubiquiti EdgeRouter X - ~60 euro

pricewatch: Ubiquiti EdgeRouter Lite 3-Poort Router ~120 euro


En dan zijn dat nieuw-nieuw prijzen, geen marktplaats, V&A of Ebay.nl aanbiedingen.

En met bovenstaande routers kan je in principe het zelfde doen, als jij geen IPv4 adressen op de poorten toewijst, heb je geen IPv4 op bovenstaande routers.

*edit*

en elke pc waar je 2 NIC's hebt en iets van PFsense / OPNsense op zet zal 't vast wel ook moeten kunnen regelen.

[ Voor 10% gewijzigd door Dutch2007 op 26-11-2021 14:14 ]

[mindwarper]

Dat wil ik dus gaan doen een keer een pfSense of opnSense FireWall bouwen - voor juist het IPv6 verkeer te "filteren"

maar ja learningcurve maar ga ik wel eens bekijken...

[Snow_King]

Dreamvoid schreef op vrijdag 26 november 2021 @ 12:05:
Tsja, maar tis toch ietwat jammer dat je 200+ euro moet betalen voor een extra router om enkel een IPv6-only LAN te draaien.

Bij 'mobile broadband' is dat eenvoudiger: in de 4G/5G router, haal het vinkje bij CLAT weg en je bent klaar: een single stack IPv6 lokaal netwerk. Zoiets zou je ook bij Ziggo/KPN boxes willen.

Overigens, doen MikroTik routers wel NAT64? Ik dacht dat dit nog steeds op de wenslijst stond?

Kijk eens hier naar:

- pricewatch: MikroTik Routerboard RB750Gr3 - hEX
- https://mikrotik.com/product/RB750Gr3

[Dreamvoid]

Dutch2007 schreef op vrijdag 26 november 2021 @ 14:06:
En met bovenstaande routers kan je in principe het zelfde doen, als jij geen IPv4 adressen op de poorten toewijst, heb je geen IPv4 op bovenstaande routers.

Een router zonder WiFi heeft natuurlijk weinig zin, ik heb ook WiFi apparaten op mijn LAN. Dan moet ik er ook nog een extra WiFi AP bij kopen, zit ik met een daisychain van drie apparaten

Het werk natuurlijk niet om geen IPv4 naar de WAN kant van die extra router toe te wijzen, voor NAT64 heb je dual stack aan de WAN kant nodig. Ik moet dus een router hebben die a) WiFi heeft en b) NAT64 en DNS64 doet. En de upstream KPN/Ziggo router moet natuurlijk prefix delegation hebben (wat ze geloof ik allebei doen?)

Ubiquity spul doet voor zover ik weet geen NAT64. MikroTik ook niet - maar goed je kan er altijd OpenWRT op flashen.

[ Voor 19% gewijzigd door Dreamvoid op 27-11-2021 23:29 ]

[aawe mwan]

Bestaat er in Linux een generieke manier om mijn eigen IPv6 adressen korter weer te geven?
In de output van diverse standaard commando's wordt het IPv6 adres botweg afgekapt en dan kan je niet meer zien over welke computer het gaat.

Neem bijvoorbeeld netstat

code:

$ sudo netstat -tnpa | grep 'ESTABLISHED.*ssh'
tcp6       0      0 2001:uuuu:vvvv:1:9:47579 2001:xxxx:yyyy:1:9:99:22 ESTABLISHED 9229/ssh

Van waar naar waar loopt die SSH verbinding nou? (Hint: het stuk na de laatste : is het poortnummer).

Bijvoorbeeld bij last weet ik dat ik -a moet opgeven, omdat hij het IPv6 adres dan niet meer afkapt.

Ik kan bijvoorbeeld de output van hostname -I wat leesbaarder krijgen met dit:

code:

hostnameI=$(hostname -I)
hostname6prefix=2001:xxxx:yyyy:1:
echo ${hostnameI//$hostname6prefix/🕕}

Maar dat zijn trucjes; is er geen generieke oplossing (/schrijfwijze)?

[ Voor 3% gewijzigd door aawe mwan op 28-11-2021 13:45 ]

[Dreamvoid]

netstat -l kapt de adressen niet af geloof ik, maar netstat is al jarenlang deprecated, je gebruikt anno 2021 ss.

[ Voor 62% gewijzigd door Dreamvoid op 28-11-2021 22:44 ]

[Keiichi]

Dreamvoid schreef op zondag 28 november 2021 @ 22:36:
netstat -l kapt de adressen niet af geloof ik, maar netstat is al jarenlang deprecated, je gebruikt anno 2021 ss.

netstat kapt ze wel af om ze mooi in kolommen die niet te breed zijn weer te geven bv:

code:

tcp6       0      0 2a02:a449:e188:7::51976 2a03:2880:f045:b:fa:443 ESTABLISHED 5573/chrome --type=

Met ss

code:

ESTAB        0        0           [2a02:a449:e188:7:x:x:x:685]:51976                          [2a03:2880:f045:b:face:b00c:0:2825]:443                   users:(("chrome",pid=5573,fd=192))

Meesta flags die je gewend van netstat bent kun je direct op ss ook gebruiken, iets andere output, flags kunnen natuurlijk anders zijn her en der, maar daarvor hebben we "man ss"

[Verwijderd]

Begin op zijn minst met netstat te vervangen voor ss
Doe meteen ifconfig vervangen door ip

[Keiichi]

Verwijderd schreef op maandag 29 november 2021 @ 12:24:
Begin op zijn minst met netstat te vervangen voor ss
Doe meteen ifconfig vervangen door ip

Vind je dat ik ook van slackware af moet stappen?

[Verwijderd]

Keiichi schreef op maandag 29 november 2021 @ 13:02:
[...]


Vind je dat ik ook van slackware af moet stappen?

Nee, dat nooit, dan komt Patrick Volkerding je vermoorden in hoogst eigen persoon
(Eigenlijk is hij Voldemort.... )

[ Voor 6% gewijzigd door Verwijderd op 29-11-2021 13:15 ]

[Snow_King]

Ik kwam er achter dat CCS (Combined Charging System) voor het (snel) opladen van elektrische auto's gebruik maakt van IPv6 Link-Local.

Via PLC (Powerline Communications) wordt een Ethernet netwerk gemaakt tussen de auto en lader. Daarna gebruiken ze IPv6 Link-Local voor het communicatie met daar overheen weer TCP, UDP, HTTP, TLS, etc.

In theorie kan een auto ook internet toegang verkrijgen via de lader wanneer ze CCS 2.0 spreken. Dan hoeft de auto geen WiFi verbinding te maken maar krijgt deze toegang tot internet zodra de laadkabel er in zit.