Het grote IPv6 topic

[Vizor]

@Robvef Bedankt voor je config, hiermee is het gelukt om IPv6 te configureren op mijn 40F met FortiOS 7.0.3.

[Verwijderd]

hoe stel je ipv6 correct in voor docker ? handleiding geeft weinig duidelijkheid ik wil vaste ipv6 adressen kunnen gebruiken, een dynamisch adres is onhandig voor een lokale dns server, kan niet telkens mijn dns veranderen in mijn router, ik heb Ziggo met modem in bridge modus en router asus ax88u, ben al dagen bezig zonder resultaat.

Snap niet waarom ik gewoon een dhcpv6 server kan draaien die dan lokale ipv6 adressen uitdeelt, ik weet dat ipv6 niet werkt in docker want niks werkt meer tot ik het uitzet, uitzetten is geen oplossing dat is negeren.

[Snow_King]

Verwijderd schreef op vrijdag 10 december 2021 @ 22:13:
hoe stel je ipv6 correct in voor docker ? handleiding geeft weinig duidelijkheid ik wil vaste ipv6 adressen kunnen gebruiken, een dynamisch adres is onhandig voor een lokale dns server, kan niet telkens mijn dns veranderen in mijn router, ik heb Ziggo met modem in bridge modus en router asus ax88u, ben al dagen bezig zonder resultaat.

Snap niet waarom ik gewoon een dhcpv6 server kan draaien die dan lokale ipv6 adressen uitdeelt, ik weet dat ipv6 niet werkt in docker want niks werkt meer tot ik het uitzet, uitzetten is geen oplossing dat is negeren.

Je kan zo ver ik weet geen statische IPv6 adressen met Docker instellen evenals dat kan met IPv4. Een docker container krijgt iedere keer dat deze start een ander IP(v6) adres.

Wat je moet doen is dat je Asus AX88U router een (statische) route heeft voor een /64 (of /80) richting het IPv6 adres van je Docker host.

Vervolgens moet je docker starten met de optie: https://docs.docker.com/config/daemon/ipv6/

code:

{
  "ipv6": true,
  "fixed-cidr-v6": "2001:db8:1::/64"
}

Vervang dit uiteraard door het subnet wat je naar je Docker host stuurt.

Daarna zullen je Docker containers met een IPv6 adres bereikbaar zijn.

[Verwijderd]

Snow_King schreef op vrijdag 10 december 2021 @ 22:25:
[...]

Je kan zo ver ik weet geen statische IPv6 adressen met Docker instellen evenals dat kan met IPv4. Een docker container krijgt iedere keer dat deze start een ander IP(v6) adres.

Wat je moet doen is dat je Asus AX88U router een (statische) route heeft voor een /64 (of /80) richting het IPv6 adres van je Docker host.

Vervolgens moet je docker starten met de optie: https://docs.docker.com/config/daemon/ipv6/

code:

{
  "ipv6": true,
  "fixed-cidr-v6": "2001:db8:1::/64"
}

Vervang dit uiteraard door het subnet wat je naar je Docker host stuurt.

Daarna zullen je Docker containers met een IPv6 adres bereikbaar zijn.

Via ipv4 is dat geen probleem je kunt ip adress kiezen met --ip 192.168.50.10 bv of --ipv6 adress als dat niet genoeg is kun je ook nog --mac-adress en dan mac adress hou wel rekening mee dat random mac generator adressen niet altijd werken maar bv 00:00:00:00:00:01 we; em dan 00:00:00:00:00:02 etc
Dit is het probleem voor mij ook niet.

Routes nog niet probeert ga ik proberen.
Hoe stel je route in ergens uitleg ?
routes acceptereert alleen ipv4 geen ipv6 routes.

[ Voor 16% gewijzigd door Verwijderd op 10-12-2021 22:46 ]

[Snow_King]

Verwijderd schreef op vrijdag 10 december 2021 @ 22:27:
[...]


Via ipv4 is dat geen probleem je kunt ip adress kiezen met --ip 192.168.50.10 bv of --ipv6 adress als dat niet genoeg is kun je ook nog --mac-adress en dan mac adress hou wel rekening mee dat random mac generator adressen niet altijd werken maar bv 00:00:00:00:00:01 we; em dan 00:00:00:00:00:02 etc
Dit is het probleem voor mij ook niet.

Zie de docker documentatie, het kan wel met de --ip6 flag.

Verwijderd schreef op vrijdag 10 december 2021 @ 22:27:
[...]
Routes nog niet probeert ga ik proberen.
Hoe stel je route in ergens uitleg ?
routes acceptereert alleen ipv4 geen ipv6 routes.

Ik ken die router niet, dus ik durf het je niet te zeggen.

Ergens heb je wellicht een optie om een static route te maken om een /64 subnet statisch te routeren naar het IPv6 adres van je router.

Dat verschilt echt per router waar dit in de UI kan en of het wel kan.

[Verwijderd]

Waarom kan ipv6 gewoon niet zelfde werken als ipv4 lijkt wel dat me docker dhcp van ziggo benadert ipv van mijn router snap gewoon niets van, ja routes werken maar hoe ik kan veel dingen doen, maar dit dus niet heb wel meer informatie nodig
mijn router heeft in lan routes staan maar die accepteert geen ipv6

[Snow_King]

Verwijderd schreef op vrijdag 10 december 2021 @ 22:54:
Waarom kan ipv6 gewoon niet zelfde werken als ipv4 lijkt wel dat me docker dhcp van ziggo benadert ipv van mijn router snap gewoon niets van, ja routes werken maar hoe ik kan veel dingen doen, maar dit dus niet heb wel meer informatie nodig
mijn router heeft in lan routes staan maar die accepteert geen ipv6

IPv6 werkt het zelfde als IPv4 als je naar routing kijkt. Het is dat we bij IPv4 de draak van NAT hebben uitgevonden en daarmee juist een andere situatie hebben gemaakt.

IPv6 maakt geen gebruik van DHCP en dat is in deze situatie ook niet nodig.

Welk resultaat je wil hebben:

code:

Ziggo --- (/56) ---> Jouw router --- (/64) ---> Docker host ---- (/128) ---> Docker container

Dat vereist echter dat je Asus router het jou moet toe staan deze (statische) route in te stellen.

Of dat kan is echt helemaal afhankelijk van het type router. Dat is niet afhankelijk van IPv6 of IPv4. Dat is een keuze van de fabrikant.

[Brahiewahiewa]

Verwijderd schreef op vrijdag 10 december 2021 @ 22:54:
Waarom kan ipv6 gewoon niet zelfde werken als ipv4 lijkt wel dat me docker dhcp van ziggo benadert ipv van mijn router snap gewoon niets van, ja routes werken maar hoe ik kan veel dingen doen, maar dit dus niet heb wel meer informatie nodig
mijn router heeft in lan routes staan maar die accepteert geen ipv6

Je moet je eerst meer verdiepen in ipv6. Eén van de redenen is dat je met een /64 ongeveer 4 miljard adressen tot je beschikking hebt. Die wil je niet allemaal handmatig uit gaan delen. Daarom is voor ipv6 besloten om de toekenning van adressen voornamelijk door de clients te laten uitvoeren. Ipv6 clients willen graag je prefix weten, daarom broadcast je die op je subnet. Voor communicatie met de buitenwereld nemen ze die prefix en plakken daar hun hardware adres achter; klaar.

Daarnaast genereren ze voor privacy extensions willekeurige suffixes, doen dan even een ARPje voor die suffix op het locale subnet en als er geen antwoord komt, gaan ze die een tijdje gebruiken.

Merk op dat de ontwikkelaars van de ipv6 stack hun uiterste best hebben gedaan om meerdere ipv6 adressen op één NIC toe te staan. En daar kun je dus gebruik van maken. Mijn web server is bereikbaar onder 2001:1c00:dead:beef::80, mijn mail server is bereikbaar onder 2001:1c00:dead:beef::25. Draaien op dezelfde machine. Wil ik de web server verplaatsen naar een andere machine dan haal ik 2001:1c00:dead:beef::80 van de ene machine af en ken ik het toe aan de andere machine.

IPv6 heeft vele mogelijkheden om dingen anders, mooier en beter te doen. Maar daar moet je wel voor open staan en niet zitten sippen dat het niet hetzelfde is als ip4.
(nofi)

[c-nan]

Als het goed is krijg je van Ziggo een /56 en daar in kan je weer 256x /64 prefixes hebben.

Mijn router (die achter de modem hangt) heeft een /128 gekregen, namelijk:

code:

2001:1caf:d00:0:xxxx:xxxx:xxxx:xxxx/128

Mijn switch interface op de router heeft:

code:

2001:1caf:0d1e:7c01::1/64

De range hiervan is:

code:

2001:1caf:0d1e:7c01:0000:0000:0000:0000-
2001:1caf:0d1e:7c01:ffff:ffff:ffff:ffff

Maar wat is de range van mijn /56?

Is dat:

code:

2001:1caf:0d1e:7c::1/56
2001:1caf:0d1e:7c00:0000:0000:0000:0000-
2001:1caf:0d1e:7cff:ffff:ffff:ffff:ffff

En is mijn volgende /64 dan:

code:

2001:1caf:0d1e:7c02::1/64

[Freeaqingme]

Verwijderd schreef op vrijdag 10 december 2021 @ 22:54:
Waarom kan ipv6 gewoon niet zelfde werken als ipv4 lijkt wel dat me docker dhcp van ziggo benadert ipv van mijn router snap gewoon niets van, ja routes werken maar hoe ik kan veel dingen doen, maar dit dus niet heb wel meer informatie nodig
mijn router heeft in lan routes staan maar die accepteert geen ipv6

Ik zou niet per se naar Docker kijken om iets van IPv6 te vinden. Wat je ziet bij tools zoals Docker (maar bijvoorbeeld ook VirtualBox), is dat IPv6 een after-thought was.

Ook Docker's IPv4 implementatie valt wel 't nodige over te zeggen. By default natten ze alles bijvoorbeeld. Dat an sich snap ik wel. Maar als je voorheen een VPN had met route 0.0.0.0/1 dan kon Docker geen 'eigen' rfc1918 /24 uitkiezen omdat alles bezet zou zijn.

Brahiewahiewa schreef op zaterdag 11 december 2021 @ 07:25:
[...]

Je moet je eerst meer verdiepen in ipv6. Eén van de redenen is dat je met een /64 ongeveer 4 miljard adressen tot je beschikking hebt. Die wil je niet allemaal handmatig uit gaan delen. Daarom is voor ipv6 besloten om de toekenning van adressen voornamelijk door de clients te laten uitvoeren. Ipv6 clients willen graag je prefix weten, daarom broadcast je die op je subnet. Voor communicatie met de buitenwereld nemen ze die prefix en plakken daar hun hardware adres achter; klaar.

Ik zou daar wel onderscheid maken tussen end-user devices en servers. Zo zou ik in een datacenter altijd statically assignen. Ook hoef je dan echt niet per se bij een /64 te stoppen. Je kan prima een /104 aan een rack assignen, en dan iedere server weer een /112 bijvoorbeeld.

offtopic:
Dat laatste is dan maar een voorbeeldje. Er kunnen heel veel scenario's zijn waarbij dat niet werkt en je beter iets anders kan verzinnen.

[ANdrode]

Snow_King schreef op vrijdag 10 december 2021 @ 23:31:
[...]

IPv6 werkt het zelfde als IPv4 als je naar routing kijkt. Het is dat we bij IPv4 de draak van NAT hebben uitgevonden en daarmee juist een andere situatie hebben gemaakt.

IPv6 maakt geen gebruik van DHCP en dat is in deze situatie ook niet nodig.

Ik heb zelf docker met IPv6 gebruikt met prefix delegation (en puur daarvoor DHCPv6 gebruikt). Bij een consumentenrouter is dat waarschijnlijk wat je moet doen om er voor te zorgen dat het verkeer van de prefix ook daadwerkelijk gerouteerd wordt. Zonder prefix delegation kon ik vanaf die IPs - die buiten de SLAAC /64 vielen - geen _uitgaande_ requests doen.

Je kan IPv6 voor docker ook zonder prefix delegation doen. Het is nu alleen weekend dus ik heb geen behoefte om te kijken hoe wel dat bij $dayjob doen .

[HKLM_]

Ik experimenteer sinds gisteravond met een extra wlan netwerk welke alleen IPv6 heeft. Na 24 uur is de conclusie eigenlijk wel dat je de grote heren op het internet wel kan bereiken maar de wat kleinere sites en services nog een hoop te doen hebben. (Helaas)

[Qlimaxxx]

IPv6 draait als een zonnetje. Kreeg eerst een Connect Box van Ziggo, maar heb ze zover gekregen me alsnog een Ubee 1318ZG zonder WiFi te sturen. Het mooie is dat de prefix die ik van ze kreeg niet is veranderd. Het lijkt erop dat de prefixes dus redelijk statisch zijn (hoewel dat natuurlijk geen garantie is, maar zou het überhaupt vreemd vinden als Ziggo IPv6 net zo dynamisch laat zijn als IPv4).

Het enige waar ik nu nog mee zit is hoe om te gaan met routing/firewalling tussen lokale subnets. Vrijwel overal waar ik meerdere subnets toepas, blokkeer ik standaard het verkeer tussen subnets. Waar nodig maak ik een uitzondering, maar ik vind het principe van least privilige erg belangrijk. Ik gebruik vlan's dan ook meer voor security (in combinatie met de firewall dus) dan omdat ik per se mijn broadcast-domein moet beperken.

Nu zou ik natuurlijk handmatig de hele /56 prefix die ik van Ziggo in firewall-regels van mijn Edgerouter kunnen plaatsen. Mocht ik dan echter een andere prefix krijgen, dan werkt mijn beveiliging niet meer (en potentieel verkeer naar andere Ziggo-klanten ook niet). Naast dat ik mijn security niet wil laten afhangen van wat Ziggo mij toebedeeld, kan het natuurlijk best lang duren voordat ik door heb dat mijn subnets ineens bij elkaar kunnen komen.

Ik las dat zone-based firewalling een optie is, maar de artikelen lijken me wat oud. Enig idee hoe ik dit het beste aan kan pakken (en dan specifiek met een Edgerouter). Helaas heeft Ubiquiti ook niet de automatische interface groepen bij IPv6, die juist bij IPv4 zo handig zijn.

[Verwijderd]

Heb het al uitgevonden denk ik, elk mac adress heeft een vaste link local ipv6 adress dat is wat ik moet hebben als ik een docker container met ubuntu draai en ipv6 adress ping werkt het ook nu dus doe nu wel vaste ip adress voor ipv4 maar niet voor ipv6.
via ipxe dns debug aangezet wanneer hij faalt pakt hij router als dns ipv pihole, geen idee hoe ik dit uit zet dat router zich zelf als dns aanbied of ipv6 dhcp dhcp staat al uit.
edit: heb nu opgelost blijkbaar was het niet dns die verkeerd ingesteld was maar puur dns over tls strict gaat niet werken met local dns.
Nu achter dat netboot helemaal niet werkt met ipv6 voor mij ieder geval maar eigen netwerk boot server werkt prima.

[ Voor 48% gewijzigd door Verwijderd op 12-12-2021 01:49 ]

[Snow_King]

Qlimaxxx schreef op zaterdag 11 december 2021 @ 18:22:
IPv6 draait als een zonnetje. Kreeg eerst een Connect Box van Ziggo, maar heb ze zover gekregen me alsnog een Ubee 1318ZG zonder WiFi te sturen. Het mooie is dat de prefix die ik van ze kreeg niet is veranderd. Het lijkt erop dat de prefixes dus redelijk statisch zijn (hoewel dat natuurlijk geen garantie is, maar zou het überhaupt vreemd vinden als Ziggo IPv6 net zo dynamisch laat zijn als IPv4).

Het enige waar ik nu nog mee zit is hoe om te gaan met routing/firewalling tussen lokale subnets. Vrijwel overal waar ik meerdere subnets toepas, blokkeer ik standaard het verkeer tussen subnets. Waar nodig maak ik een uitzondering, maar ik vind het principe van least privilige erg belangrijk. Ik gebruik vlan's dan ook meer voor security (in combinatie met de firewall dus) dan omdat ik per se mijn broadcast-domein moet beperken.

Nu zou ik natuurlijk handmatig de hele /56 prefix die ik van Ziggo in firewall-regels van mijn Edgerouter kunnen plaatsen. Mocht ik dan echter een andere prefix krijgen, dan werkt mijn beveiliging niet meer (en potentieel verkeer naar andere Ziggo-klanten ook niet). Naast dat ik mijn security niet wil laten afhangen van wat Ziggo mij toebedeeld, kan het natuurlijk best lang duren voordat ik door heb dat mijn subnets ineens bij elkaar kunnen komen.

Ik las dat zone-based firewalling een optie is, maar de artikelen lijken me wat oud. Enig idee hoe ik dit het beste aan kan pakken (en dan specifiek met een Edgerouter). Helaas heeft Ubiquiti ook niet de automatische interface groepen bij IPv6, die juist bij IPv4 zo handig zijn.

Voorop: Ik heb geen EdgeRouter

Maar kan je niet op basis van op welk interface het verkeer binnen komt filteren ipv source/destination subnet?

Dan kan je interface namen als WAN, LAN, GUEST, IOT gebruiken waarop je je firewall bouwt.

EdgeRouters gebruiken intern gewoon ip6tables/netfilter, dus technisch gezien kunnen ze dat gewoon.

Zo is het onafhankelijk van je /56 subnet van Ziggo.

[Snow_King]

Verwijderd schreef op zaterdag 11 december 2021 @ 20:00:
Heb het al uitgevonden denk ik, elk mac adress heeft een vaste link local ipv6 adress dat is wat ik moet hebben als ik een docker container met ubuntu draai en ipv6 adress ping werkt het ook nu dus doe nu wel vaste ip adress voor ipv4 maar niet voor ipv6.
via ipxe dns debug aangezet wanneer hij faalt pakt hij router als dns ipv pihole, geen idee hoe ik dit uit zet dat router zich zelf als dns aanbied of ipv6 dhcp dhcp staat al uit.
edit: heb nu opgelost blijkbaar was het niet dns die verkeerd ingesteld was maar puur dns over tls strict gaat niet werken met local dns.
Nu achter dat netboot helemaal niet werkt met ipv6 voor mij ieder geval maar eigen netwerk boot server werkt prima.

Hoe heb je nu het IPv6 subnet naar je Docker host toe kunnen routeren in je Asus router?

Kan je je Docker config eens delen?

[Verwijderd]

Snow_King schreef op zondag 12 december 2021 @ 13:03:
[...]

Hoe heb je nu het IPv6 subnet naar je Docker host toe kunnen routeren in je Asus router?

Kan je je Docker config eens delen?

Dat kan gewoon niet want niemand legt me uit hoe

geen idee waarom het werkt
Heb de eerste 2 rows ingevuld die altijd static is omdat de 3e row constant verandert in daemon.json en Macvlan elke container asigned standaard eigen ipv6 adress en link local adress link local is altijd het zelfde er vanuit gaande dat je mac adress configureert ben gewoon gestopt met static ipv6 adress asignen met ipv6 omdat die hem van internet pakt ipv netwerk en toch 2 ipv6 adressen insteld geen idee hoe ik de locale ipv6 statisch instel na eigen adress.

[Snow_King]

Verwijderd schreef op zondag 12 december 2021 @ 13:11:
[...]


Dat kan gewoon niet want niemand legt me uit hoe

geen idee waarom het werkt
Heb de eerste 2 rows ingevuld die altijd static is omdat de 3e row constant verandert in daemon.json en Macvlan elke container asigned standaard eigen ipv6 adress en link local adress link local is altijd het zelfde er vanuit gaande dat je mac adress configureert ben gewoon gestopt met static ipv6 adress asignen met ipv6 omdat die hem van internet pakt ipv netwerk en toch 2 ipv6 adressen insteld geen idee hoe ik de locale ipv6 statisch instel na eigen adress.

Kan je de Docker JSON config eens delen?

En je gebruikte commando’s?

Ik ken je Asus router niet, dus ik kan je niet vertellen hoe het moet.

Je zal alleen een subnet moeten routeren naar je Docket host op een bepaalde manier.

[Verwijderd]

{
"ipv6": true,
"fixed-cidr-v6": "range:range::/56"
}

Bij mij verandert de 3e row elke keer en dan klopt docker ook niet meer en mijn macvlan wat nogal irritant maakt want kan niet elke keer al mijn containers verwijderen en her deployen elke keer als ip verandert

[ANdrode]

Verwijderd schreef op zondag 12 december 2021 @ 14:06:
{
"ipv6": true,
"fixed-cidr-v6": "range:range::/56"
}

Bij mij verandert de 3e row elke keer en dan klopt docker ook niet meer en mijn macvlan wat nogal irritant maakt want kan niet elke keer al mijn containers verwijderen en her deployen elke keer als ip verandert

Hoe krijgt de machine de /56? Vanuit je ISP is de /48 (toch?) die je krijgt relatief stabiel?

@Verwijderd ik heb de setup die lijkt op die van https://github.com/wido/docker-ipv6 gebruikt. De truc is om met prefix delegation een stabiele prefix naar je docker host te krijgen.

[ Voor 16% gewijzigd door ANdrode op 12-12-2021 17:26 ]

[Verwijderd]

ANdrode schreef op zondag 12 december 2021 @ 17:25:
[...]


Hoe krijgt de machine de /56? Vanuit je ISP is de /48 (toch?) die je krijgt relatief stabiel?

Heb intussen verandert gezien configuratie toch geen enkel verschil maakt ik weet niet of ik local of isp ip moet instellen als gateway heb nu gewoon local ipv6 adressen ingesteld alles pingt nu alleen router kan niet alle adressen pingen.
snap gewoon geen zak van, ook geen idee waarom het des ondanks wel werkt.

[ANdrode]

Verwijderd schreef op zondag 12 december 2021 @ 17:27:
[...]


Heb intussen verandert gezien configuratie toch geen enkel verschil maakt ik weet niet of ik local of isp ip moet instellen als gateway heb nu gewoon local ipv6 adressen ingesteld alles pingt nu alleen router kan niet alle adressen pingen.
snap gewoon geen zak van, ook geen idee waarom het des ondanks wel werkt.

Probeer prefix delegation en stel daarna die prefix in in de docker daemon.json. Dat werkt.

Morgen zal ik bij $dayjob ook even kijken hoe we op machines docker met IPv6 doen.

[Verwijderd]

als ik bv ipv4 uitzet in windows dns op pihole local ipv6 zet resolved hij alles wel

Zo staat mijn macvlan bridge bv


Mijn PC kan fe80:: pingen zonder problemen router kan geen local adressen pingen gateway is mijn router

[ Voor 51% gewijzigd door Verwijderd op 12-12-2021 18:13 ]

[Dreamvoid]

HKLM_ schreef op zaterdag 11 december 2021 @ 17:41:
Ik experimenteer sinds gisteravond met een extra wlan netwerk welke alleen IPv6 heeft. Na 24 uur is de conclusie eigenlijk wel dat je de grote heren op het internet wel kan bereiken maar de wat kleinere sites en services nog een hoop te doen hebben. (Helaas)

Probeer t eens met 2a03:7900:2:0:31:3:104:161 als DNS64 server, publieke NAT64 service

[ Voor 9% gewijzigd door Dreamvoid op 12-12-2021 18:21 ]

[Keiichi]

Ik ben bezig met hosts ipv6-only in te richten, gaat opzich allemaal goed, tot je services moet hebben die weigeren v6 te gebruiken. Welke opties ga ik hier allemaal hebben? Ik kan 1 host dual stacked hebben in het netwerk. Deze mag onbeperkt aangepast worden, de ipv6-only hosts liefst zo min mogelijk.

Zat te denken aan een squid proxy opzetten, maar kan daar niet zo snel onderscheid tussen v4 en v6 hosts maken (v6 mag gewoon ongeproxyd naar buiten).
Ik zag ergens dat er ipv4-mapped adressen zijn (::fff:1.2.3.4), maar heb geen idee of ik hier iets in deze richting zou kunnen zoeken.
Klagen dat de service geen ipv6 heeft, helpt niet, er zijn al mensen die het jaren geleden aangekaard hebben
Een lokale mirror van hetgeen wat ik nodig heb en die op v6 ontsluiten kan, maar zou iets eenvoudigers willen.

[Freeaqingme]

@Keiichi ik heb laatst met hetzelfde dilemma gespeeld; en mijn conclusie was inderdaad ook om de Squid-route te nemen. Op sommige machines vind ik het ook fijn om een outbound-firewall te hebben. Dat is in tijden met Cloudflare en AWS ELB steeds minder zinvol omdat ip-adressen steeds vaker veranderen en gedeeld worden.

Daarom heb ik besloten om alle http verkeer via squid te sturen. Op die manier kan ik daar eventueel nog op host header dingen filteren en kan ik uitgaand poort 80 100% blokkeren tenzij het naar mijn squid machine is.

[Keiichi]

Buiten het forum van tweakers gaf iemand mij deze hint:

https://nat64.xyz/

DNS64 aanzetten op de lokale resolver (simpele optie), die 'inject' dan een AAAA record met ipv6 adres op basis van een prefix met het IPv4 adres er in, er staat dan een NAT64 bak te luisteren op de hele prefix te luisteren en stuurt het dan door naar de ipv4 site. Heb nu even een public nat64 service gebruikt, het werkt seamless.

[Verwijderd]

Heb intussen scriptje draaien die link local adress als dns server verstuurd ipv router ip, denk dat dit alleen werkt bij een router die link local adress ook als gateway gebruikt

[Snow_King]

Verwijderd schreef op dinsdag 14 december 2021 @ 14:32:
Heb intussen scriptje draaien die link local adress als dns server verstuurd ipv router ip, denk dat dit alleen werkt bij een router die link local adress ook als gateway gebruikt

Link Local in de DNS is niet de bedoeling, dat gaat ook niet werken.

Link Local als gateway is heel normaal en bijna de standaard met IPv6.

Wel denk ik dat er hier een stukje kennis bij je ontbreekt over IP routering in het algemeen. Daarom is het lastig(er) je hierbij te helpen omdat bepaalde fundamenten ontbreken.

Je zal nog steeds vanuit je /56 subnet een /64 subnet moeten routeren naar je Docker host. Dat kan statisch in de router (als die optie er is) of via Prefix Delegation een subnet aan de router vragen vanaf de Docker host.

[Snow_King]

Keiichi schreef op dinsdag 14 december 2021 @ 13:21:
Buiten het forum van tweakers gaf iemand mij deze hint:

https://nat64.xyz/

DNS64 aanzetten op de lokale resolver (simpele optie), die 'inject' dan een AAAA record met ipv6 adres op basis van een prefix met het IPv4 adres er in, er staat dan een NAT64 bak te luisteren op de hele prefix te luisteren en stuurt het dan door naar de ipv4 site. Heb nu even een public nat64 service gebruikt, het werkt seamless.

Gaat dat niet keihard kapot met DNSSEC?

[Verwijderd]

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
[...]

Link Local in de DNS is niet de bedoeling, dat gaat ook niet werken.

Link Local als gateway is heel normaal en bijna de standaard met IPv6.

Wel denk ik dat er hier een stukje kennis bij je ontbreekt over IP routering in het algemeen. Daarom is het lastig(er) je hierbij te helpen omdat bepaalde fundamenten ontbreken.

Je zal nog steeds vanuit je /56 subnet een /64 subnet moeten routeren naar je Docker host. Dat kan statisch in de router (als die optie er is) of via Prefix Delegation een subnet aan de router vragen vanaf de Docker host.

Als ik ipv6 aan zet ipv4 uit loopt alles via link local dns werkt prima

[Keiichi]

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
[...]

Gaat dat niet keihard kapot met DNSSEC?

Neuh, want die controle zetten we dan gewoon uit natuurlijk

[nero355]

Muis666 schreef op zaterdag 4 december 2021 @ 13:46:
In de Compal zit een Puma chipset waar hardware fouten in zitten. Dit kan soms tot rare hickups leiden.

Is dat nog steeds een ding

Ik dacht ook dat er tegenwoordig bijna geen alternatief voor bestaat, want al die FRITZ!Box en Netgear Routers met een "Kabelmodem" aan boord zijn op de Puma Chipset gebaseerd...

Snow_King schreef op zaterdag 4 december 2021 @ 18:55:
Maar dan is het een router met firewalling functie. Dat doe ik ook op mijn MikroTik router, maar ICMP staat open, poort 22 en ook 80 en 443 richting een aantal IPv6 adressen zodat ik bij onder andere mijn P1Mon kan die ik heb draaien evenals mijn Unifi Controller.

Waarom? Ik vind het juist fijn. Zo kan ik met SNMP via IPv6 mijn Switches en AP's monitoren vanaf een VPS ergens in Amsterdam.

Waarom zou je zulke dingen direct op het Internet zetten en niet via een VPN benaderen

Verwijderd schreef op vrijdag 10 december 2021 @ 22:54:
Waarom kan ipv6 gewoon niet zelfde werken als ipv4 lijkt wel dat me docker dhcp van ziggo benadert ipv van mijn router snap gewoon niets van, ja routes werken maar hoe ik kan veel dingen doen, maar dit dus niet heb wel meer informatie nodig
mijn router heeft in lan routes staan maar die accepteert geen ipv6

ASUS Routers kunnen toch alternatieve firmware draaien waarmee je gewoon net als met elke Linux distro van alles en nog wat handmatig kan instellen via SSH

Snow_King schreef op vrijdag 10 december 2021 @ 23:31:
IPv6 maakt geen gebruik van DHCP en dat is in deze situatie ook niet nodig.

Er is toch gewoon DHCPv6 die volledige IPv6 subnets kan uitdelen net als bij IPv4

En JA, ik weet dat SLAAC ook bestaat net als Link-Local en zo...

Brahiewahiewa schreef op zaterdag 11 december 2021 @ 07:25:
Je moet je eerst meer verdiepen in ipv6.

Die kennis heb ik aan boord als het goed is!

Eén van de redenen is dat je met een /64 ongeveer 4 miljard adressen tot je beschikking hebt. Die wil je niet allemaal handmatig uit gaan delen.

Maar voor sommige dingen wil ik dat zeker wel dus waarom zou ik dat niet doen

Daarom is voor ipv6 besloten om de toekenning van adressen voornamelijk door de clients te laten uitvoeren.
Ipv6 clients willen graag je prefix weten, daarom broadcast je die op je subnet. Voor communicatie met de buitenwereld nemen ze die prefix en plakken daar hun hardware adres achter; klaar.

Maar ook dat wil ik in bepaalde gevallen helemaal niet

Daarnaast genereren ze voor privacy extensions willekeurige suffixes, doen dan even een ARPje voor die suffix op het locale subnet en als er geen antwoord komt, gaan ze die een tijdje gebruiken.

Die hele hype mag van mij z.s.m. heel hard doorbloeden!

Pure netwerkvervuiling!

Merk op dat de ontwikkelaars van de ipv6 stack hun uiterste best hebben gedaan om meerdere ipv6 adressen op één NIC toe te staan.

Bedoel je dan IP Aliassen of gewoon de standaard drie adressen die je kan hebben ?!

En daar kun je dus gebruik van maken.

Mijn web server is bereikbaar onder 2001:1c00:dead:beef::80
Mijn mail server is bereikbaar onder 2001:1c00:dead:beef::25.
Draaien op dezelfde machine.

Wil ik de web server verplaatsen naar een andere machine dan haal ik 2001:1c00:dead:beef::80 van de ene machine af en ken ik het toe aan de andere machine.

Dat kan nu toch ook

IPv6 heeft vele mogelijkheden om dingen anders, mooier en beter te doen. Maar daar moet je wel voor open staan en niet zitten sippen dat het niet hetzelfde is als ip4.
(nofi)

Ben ik me van bewust, maar bepaalde dingen hangen ook van de specifieke situatie en wensen af en dan gaan er een heleboel dingen toch weer een beetje op IPv4 lijken

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
Link Local in de DNS is niet de bedoeling, dat gaat ook niet werken.

Waarom zou dat niet werken zolang je binnen dezelfde VLAN blijft

Link Local als gateway is heel normaal en bijna de standaard met IPv6.

Dat ligt ook weer aan het doeleinde lijkt mij ?!

Wel denk ik dat er hier een stukje kennis bij je ontbreekt over IP routering in het algemeen.
Daarom is het lastig(er) je hierbij te helpen omdat bepaalde fundamenten ontbreken.

Zolang we het niet over eBGP/iBGP en Redistribution hebben weet ik er een hoop over te vertellen dus kom maar op met die info!

[ANdrode]

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
[...]

Gaat dat niet keihard kapot met DNSSEC?

Nee. Een recursive resolver stelt sowieso de "platte" records voor je samen op basis van wat hij bij authoritive servers ophaalt. Of DNSSEC aan of uit staat is de ad flag in de response.

Voor www.overheid.nl zie je ad in de response staan, de DNS server geeft aan dat hij het gevalideerd heeft. Dit komt overeen met de internet.nl test. Dit vertrouwt een client.

dig www.overheid.nl @1.1.1.1

; <<>> DiG 9.10.6 <<>> www.overheid.nl @1.1.1.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 34365
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;www.overheid.nl.		IN	A

;; ANSWER SECTION:
www.overheid.nl.	84877	IN	A	62.112.246.70

;; Query time: 10 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Tue Dec 14 21:23:12 CET 2021
;; MSG SIZE  rcvd: 60

Voor www.tweakers.net zie je geen ad staan en volgens internet.nl is daar geen DNSSEC:

$ dig www.tweakers.net @1.1.1.1
; <<>> DiG 9.10.6 <<>> www.tweakers.net @1.1.1.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 35903
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;www.tweakers.net.		IN	A

;; ANSWER SECTION:
www.tweakers.net.	102	IN	A	213.239.154.31

;; Query time: 10 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Tue Dec 14 21:21:59 CET 2021
;; MSG SIZE  rcvd: 61

[Darses]

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
[...]

Gaat dat niet keihard kapot met DNSSEC?

Het gaat kapot als je client (laptop, server) de DNSSEC validatie uitvoert. In de praktijk zijn het alleen DNS-servers die validatie uitvoeren. Omdat je de records 'faked' op die DNS server, zal een niet-validerende client er dus geen last van hebben.

[Snow_King]

nero355 schreef op dinsdag 14 december 2021 @ 21:04:
[...]

Waarom zou je zulke dingen direct op het Internet zetten en niet via een VPN benaderen

Dat is juist het hele idee van IPv6. Alles is in theorie bereikbaar via internet. Jouw printer, laptop, desktop, allemaal onderdeel van het internet.

Uiteraard heb ik in mijn MikroTik router met firewall functie aan staan dat UDP poort 161 (SNMP) enkel mag komen vanaf een aantal source IP's. Die kunnen dus via SNMP mijn switches, router en acess points pollen. De rest van de wereld mag dat niet.

nero355 schreef op dinsdag 14 december 2021 @ 21:04:

Er is toch gewoon DHCPv6 die volledige IPv6 subnets kan uitdelen net als bij IPv4

En JA, ik weet dat SLAAC ook bestaat net als Link-Local en zo...

DHCPv6 kan in principe IPv6 adressen (/128's) uitdelen, maar dat is later, veel later pas in de spec gekomen nadat SLAAC er al was. De basis is SLAAC met IPv6.

nero355 schreef op dinsdag 14 december 2021 @ 21:04:

Die hele hype mag van mij z.s.m. heel hard doorbloeden!

Pure netwerkvervuiling!

Hoezo vervuiling en hype? Dat is juist het mooie aan IPv6. Je client kan gewoon continue een nieuw adres binnen de zelfde /64 genereren. Zo kan je in ieder geval niet getracked worden tussen verschillende netwerken in.

[Keiichi]

die 'ad' flag is ook weg bij mijn lokale resolver.

Als de test validation van deze pagina draai: https://dnssec.vs.uni-due.de/ dan valideert m'n resolver wel.
De DNS64 injected AAAA entries zijn niet gevalideerd zijn, maar als de A entries falen, dan geeft ie ook geen AAAA's.

Voor www.tweakers.net zie je geen ad staan en volgens internet.nl is daar geen DNSSEC:

$ dig www.tweakers.net @1.1.1.1
; <<>> DiG 9.10.6 <<>> www.tweakers.net @1.1.1.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 35903
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;www.tweakers.net.		IN	A

;; ANSWER SECTION:
www.tweakers.net.	102	IN	A	213.239.154.31

;; Query time: 10 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Tue Dec 14 21:21:59 CET 2021
;; MSG SIZE  rcvd: 61

Waarom heeft tweakers geen dnssec. Ik had gedacht dat dat wel een van de eerste geweest zou moeten zijn

[ Voor 60% gewijzigd door Keiichi op 15-12-2021 09:30 ]

[Hipska]

"Wij stellen technologie op de proef" Weet je nog hoelang het geduurd heeft vooraleer er een AAAA record was?

[Jef61]

Snow_King schreef op woensdag 15 december 2021 @ 09:11:
[...]

DHCPv6 kan in principe IPv6 adressen (/128's) uitdelen, maar dat is later, veel later pas in de spec gekomen nadat SLAAC er al was. De basis is SLAAC met IPv6.

Volgens mij heeft Google DHCPv6 nog steeds niet in Android geïmplementeerd:

https://en.wikipedia.org/...port_in_operating_systems
https://www.reddit.com/r/...ids_ipv6_is_still_broken/

[Brahiewahiewa]

Jef61 schreef op woensdag 15 december 2021 @ 13:06:
[...]


Volgens mij heeft Google DHCPv6 nog steeds niet in Android geïmplementeerd:

https://en.wikipedia.org/...port_in_operating_systems
https://www.reddit.com/r/...ids_ipv6_is_still_broken/

Klopt. Google wil dhcpv6 niet gebruiken; terecht, imho

DHCPv6 is alleen ontwikkeld voor mensen die de vapeurs krijgen van dynamische adressen en vasthouden aan het idee dat zij alle ip-adressen uit hun hoofd moeten weten. Laat dat los! Connect gewoon op basis van host names. Je hebt DNS die hostnames resolved naar ip-adressen, je hebt neighbor discovery wat hostnames resolved naar ip-adressen. Pas als je dat allebei om zeep hebt geholpen ga je die ip-adresen zelf nodig hebben

[Snow_King]

Brahiewahiewa schreef op woensdag 15 december 2021 @ 13:17:
[...]

Klopt. Google wil dhcpv6 niet gebruiken; terecht, imho

DHCPv6 is alleen ontwikkeld voor mensen die de vapeurs krijgen van dynamische adressen en vasthouden aan het idee dat zij alle ip-adressen uit hun hoofd moeten weten. Laat dat los! Connect gewoon op basis van host names. Je hebt DNS die hostnames resolved naar ip-adressen, je hebt neighbor discovery wat hostnames resolved naar ip-adressen. Pas als je dat allebei om zeep hebt geholpen ga je die ip-adresen zelf nodig hebben

Exact. DHCPv6 is prima om de Host te informeren over dingen zoals:

- NTP servers
- Extra DNS opties
- SIP servers
- Boot opties
- Tijdzone
- Prefix Delegation

Adressen in gebruik nemen doen clients gewoon op basis van hun MAC of een andere identifier.

Wel is er 1 probleem: Het is lastig(er) in een netwerk nu abusers te pakken die continue van IPv6 adres veranderen. Je moet dus je Neighbor Table in je router gaan opslaan voor een tijdje.

Dan heb je de koppeling MAC <> IPv6 adres.

Denk hierbij aan een school waar een student lekker adresje gaat hoppen.

[nero355]

Snow_King schreef op woensdag 15 december 2021 @ 09:11:
Dat is juist het hele idee van IPv6.

Alles is in theorie bereikbaar via internet. Jouw printer, laptop, desktop, allemaal onderdeel van het internet.

Dat weet ik ook wel, maar laten we effe eerlijk zijn : Wat heeft mijn printer te zoeken op het Internet

Zelfs i.c.m. IPv4 zou ik dat ding eigenlijk zonder een Gateway moeten configureren, maar dat gaat heel vaak niet, omdat die domme fabrikanten in de configuratie de Gateway een verplicht veld maken!

Uiteraard heb ik in mijn MikroTik router met firewall functie aan staan dat UDP poort 161 (SNMP) enkel mag komen vanaf een aantal source IP's. Die kunnen dus via SNMP mijn switches, router en acess points pollen. De rest van de wereld mag dat niet.

Tja, het kan inderdaad wel op die manier, maar dan nog : Ook SNMP heeft niks te zoeken op het Internet!

DHCPv6 kan in principe IPv6 adressen (/128's) uitdelen, maar dat is later, veel later pas in de spec gekomen nadat SLAAC er al was. De basis is SLAAC met IPv6.

Dat is maar goed ook, want soms zal je dat gewoon nodig hebben!

Hoezo vervuiling en hype?

Made/introduced by Apple = 9 van de 10 keer een hype...

Verder blijven je ARP Tabellen maar vollopen met nieuwe MAC adressen die eigenlijk niet eens bestaan!
Gelukkig verlopen ze ook na 300 seconden, maar dan nog...

Dat is juist het mooie aan IPv6.
Je client kan gewoon continue een nieuw adres binnen de zelfde /64 genereren.

Heel eerlijk gezegd kan ik me niet voorstellen dat IPv6 vanwege onder andere zulke shenanigans is ontworpen of men daar überhaupt aan heeft gedacht/rekening mee heeft gehouden tijdens het ontwerpen van IPv6

Zo kan je in ieder geval niet getracked worden tussen verschillende netwerken in.

Je wordt al op zoveel manieren getracked dat je IP/MAC adres wel je laatste zorg zou moeten zijn!

Een VPN naar je thuisnetwerk of een VPS toe waarop je van alles filtert heeft IMHO veel meer nut!

Jef61 schreef op woensdag 15 december 2021 @ 13:06:
Volgens mij heeft Google DHCPv6 nog steeds niet in Android geïmplementeerd:

https://en.wikipedia.org/...port_in_operating_systems
https://www.reddit.com/r/...ids_ipv6_is_still_broken/

Altijd al een kreupel Linux OS gevonden dus het verbaast me niet eens!

Gelukkig probeer ik zoveel mogelijk over te stappen op andere OS'en dus weer een mooie reden erbij om dat plan ook vol te houden!

Brahiewahiewa schreef op woensdag 15 december 2021 @ 13:17:
Klopt. Google wil dhcpv6 niet gebruiken; terecht, imho

Google wil zoveel net als Apple en Microsoft en al die andere ellendige bedrijven : Laten we ze niet teveel/tevaak gelijk geven!

DHCPv6 is alleen ontwikkeld voor mensen die de vapeurs krijgen van dynamische adressen en vasthouden aan het idee dat zij alle ip-adressen uit hun hoofd moeten weten.

Ik hoef mijn adressen niet uit mijn hoofd te weten, nou ja... sommigen wel, maar heb gewoon geen zin om geen controle meer te hebben over de gebruikte adressen in mijn netwerk!

Laat dat los!

NOPE.AVI

Connect gewoon op basis van host names.

Dat is het hele punt :

Elk IPv4 adres in mijn netwerk is of een Static IP of een Static DHCP IP op basis van het MAC adres waar vervolgens een Static DNS Record aan vast zit en dat wil ik graag zo houden!

Je hebt DNS die hostnames resolved naar ip-adressen, je hebt neighbor discovery wat hostnames resolved naar ip-adressen. Pas als je dat allebei om zeep hebt geholpen ga je die ip-adresen zelf nodig hebben

We weten allemaal wel hoe "goed" hostnames resolven op basis van de bij de DHCP Server registered hostname werkt...

Ik overrule dat liever!

Snow_King schreef op woensdag 15 december 2021 @ 14:08:
Adressen in gebruik nemen doen clients gewoon op basis van hun MAC of een andere identifier.

Wel is er 1 probleem: Het is lastig(er) in een netwerk nu abusers te pakken die continue van IPv6 adres veranderen. Je moet dus je Neighbor Table in je router gaan opslaan voor een tijdje.

Dan heb je de koppeling MAC <> IPv6 adres.

Denk hierbij aan een school waar een student lekker adresje gaat hoppen.

Dat is dus mijn hele punt : Ik wil VOLLEDIGE CONTROLE over mijn netwerk en heb geen zin in SLAAC toestanden straks op misschien een aantal uitzonderingen na...

[Hipska]

Snow_King schreef op woensdag 15 december 2021 @ 14:08:
Wel is er 1 probleem: Het is lastig(er) in een netwerk nu abusers te pakken die continue van IPv6 adres veranderen. Je moet dus je Neighbor Table in je router gaan opslaan voor een tijdje.

Dan heb je de koppeling MAC <> IPv6 adres.

Denk hierbij aan een school waar een student lekker adresje gaat hoppen.

Dat kon die student met IPv4 ook wel hoor

[ANdrode]

Keiichi schreef op woensdag 15 december 2021 @ 09:13:
die 'ad' flag is ook weg bij mijn lokale resolver.

Als de test validation van deze pagina draai: https://dnssec.vs.uni-due.de/ dan valideert m'n resolver wel.
De DNS64 injected AAAA entries zijn niet gevalideerd zijn, maar als de A entries falen, dan geeft ie ook geen AAAA's.

Mijn lokale resolver heeft ook geen ad flag. Het is ook een "vertrouw mij maar" vlaggetje dat je naar de client opstuurt. Ik zou liever een resolver hebben die niet-legitieme responses voor mij filtert.

Waarom heeft tweakers geen dnssec. Ik had gedacht dat dat wel een van de eerste geweest zou moeten zijn

@Kees?

[Brahiewahiewa]

nero355 schreef op woensdag 15 december 2021 @ 16:06:
[...]
Dat is dus mijn hele punt : Ik wil VOLLEDIGE CONTROLE over mijn netwerk en heb geen zin in SLAAC toestanden straks op misschien een aantal uitzonderingen na...

Prima! Laat ons vooral - over een tijdje - weten hoe dat bevalt ;o)

[nero355]

Brahiewahiewa schreef op woensdag 15 december 2021 @ 22:35:
Prima! Laat ons vooral - over een tijdje - weten hoe dat bevalt ;o)

Daar hebben we voor

Maar effe serieus : Je begrijpt toch ook wel dat een dergelijke behoefte kan ontstaan of aanwezig kan zijn om wat voor reden dan ook

[Brahiewahiewa]

nero355 schreef op donderdag 16 december 2021 @ 00:09:
[...]

Daar hebben we voor

Maar effe serieus : Je begrijpt toch ook wel dat een dergelijke behoefte kan ontstaan of aanwezig kan zijn om wat voor reden dan ook

Serieus: nee
Ik begrijp die behoefte niet. IP zie ik als een stuk gereedschap en mij is altijd geleerd dat je gereedschap moet gebruiken op de manier waarvoor het gemaakt is. Je gebruikt geen schroevendraaier om een spijker in de muur te rammen en je gebruikt geen hamer om een schroef aan te draaien.

Met ip4 vs. ipv6 is dat wat mij betreft hetzelfde. We hadden ip4. Daar kleefden een aantal nadelen aan die men geprobeerd heeft te adresseren (pun intended) in ipv6. Men heeft geprobeerd een stukje in de toekomst te kijken en daar het protocol en de tools op af te stemmen. En zo is er consensus ontstaan over hoe we ipv6 het beste kunnen gebruiken.

Ik betwist ook niet jouw recht om het op een alternatieve manier te gebruiken. Sterker nog: dat juich ik toe. Het is goed als er mensen zijn die de rechtvaardiging en de grenzen van de huidige technologie ter discussie stellen.
Maar ik vind je argumentatie: "ik wil het net zo doen als ip4" een beetje zwak

[Kees]

Keiichi schreef op woensdag 15 december 2021 @ 09:13:
die 'ad' flag is ook weg bij mijn lokale resolver.

Waarom heeft tweakers geen dnssec. Ik had gedacht dat dat wel een van de eerste geweest zou moeten zijn

Te ingewikkeld met onze setup en de loadbalancers die ik ervoor gebruik hebben niet echt goede support er voor. We doen wat lastige dingen met on-the-fly rewriten van queries, en die zou je dan opnieuw moeten signen; maar als ik on the fly ga signen dan haal ik de gewenste performance van 300k requests per seconde beantwoorden niet meer.

[Dreamvoid]

Wel is er 1 probleem: Het is lastig(er) in een netwerk nu abusers te pakken die continue van IPv6 adres veranderen.

Continu van IPv6 adres veranderen is normaal in IPv6, elke client verandert sowieso elke 24u van adres, dus dit gebruiken om abusers te spotten heeft weinig zin.

[ Voor 178% gewijzigd door Dreamvoid op 16-12-2021 09:38 ]

[Dreamvoid]

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
Link Local in de DNS is niet de bedoeling, dat gaat ook niet werken.

Link local voor DNS is heel normaal, bijna elke router adverteert zichzelf als DNS server met zijn fe80:: adres? Je kan ook zonder problemen een AAAA DNS record aanmaken voor een link-local adres.

[ Voor 11% gewijzigd door Dreamvoid op 16-12-2021 09:43 ]

[GREENSKiN]

Heb hier een volledig Unifi netwerk met internet via Ziggo (Ubee modem in bridge modus) en wil IPV6 enablen. Op de USG heb ik via de controller DHCP6 met het /56 prefix enabled. Als ik SSH naar de USG heb ik vanaf daar netjes IPV6 connectiviteit.

Ik gebruik geen vlans, en heb IPV6 bij de LAN interface zo ingesteld:



Ik krijg echter geen IPV6 adressen op m'n lokale netwerk. Enig idee?

UPDATE: scratch that, prefix moet blijkbaar op 1 en Router Advertisement aan. Het werkt

[ Voor 9% gewijzigd door GREENSKiN op 16-12-2021 22:52 ]

[GREENSKiN]

Gelijk mijn volgende vraag, hoe check ik of de default Unifi firewall instellingen daadwerkelijk OK zijn? De hele IPV6 range laten portscannen is wellicht wat heftig?

Ik voel me wel echt een n00b, zoals... damn, back eind jaren 90...

[Snow_King]

GREENSKiN schreef op donderdag 16 december 2021 @ 23:19:
Gelijk mijn volgende vraag, hoe check ik of de default Unifi firewall instellingen daadwerkelijk OK zijn? De hele IPV6 range laten portscannen is wellicht wat heftig?

Ik voel me wel echt een n00b, zoals... damn, back eind jaren 90...

Vanaf een IPv6 host ergens op het internet met de tool 'nmap' een scan doen.

Pak ergens een Linux VPS met IPv6 en scan met nmap even een paar IPv6 adressen.

[Qlimaxxx]

Snow_King schreef op woensdag 15 december 2021 @ 09:11:
[...]

Dat is juist het hele idee van IPv6. Alles is in theorie bereikbaar via internet. Jouw printer, laptop, desktop, allemaal onderdeel van het internet.

HIer kun je duidelijk zien dat IPv6 uit een tijd komt waar security nog een ondergeschoven kindje was. Ik noem maar een term als "the principle of least privilige".

Feit is nou eenmaal dat de meeste apparaten helemaal niet van overal bereikbaar moeten zijn. Het feit dat er geen onderscheid meer gemaakt kan worden tussen een private range en een publieke range, maakt het ook nog eens wat lastiger om simpele 1 size fits all rule te maken.

Hoezo vervuiling en hype? Dat is juist het mooie aan IPv6. Je client kan gewoon continue een nieuw adres binnen de zelfde /64 genereren. Zo kan je in ieder geval niet getracked worden tussen verschillende netwerken in.

Zoals iemand anders al aangaf: ze hebben echt niet meer je IP nodig om je te tracken. Dus waan je niet onschendbaar, enkel omdat je IPv6 maar tijdelijk gebruikt wordt. Het maakt het misschien lastiger, maar valt verder in de categorie "verander je SSH poort". En daar komt bij dat al die adressen alsnog vallen binnen dezelfde prefix, dus het is voor een partij die je aan het tracken is alsnog duidelijk dat het uit hetzelfde netwerk komt. Met IPv4 ziet een Google ook niet of je 192.168.1.20 of 10.0.0.5 als IP hebt, maar wel dat alles afkomstig is van datzelfde dynamische IP. Dus in welke zin is dit een vooruitgang?

Het grappige is juist dat dit moet zorgen voor meer simpliciteit, maar in zekere zin zorgt het juist voor meer complexiteit. En dat is niet enkel een kwestie van wennen. We moeten natuurlijk ook niet gaan doen alsof IPv6 de heilige graal is. Op veel vlakken is het zeker beter dan IPv4, maar vergeet niet dat het al meer dan 20 jaar oud is. En is eerder regel dan uitzondering dat iets dat 20 jaar geleden bedacht is, tegenwoordig gewoon achterhaald is of toch niet zo praktisch bleek als vooraf gedacht. Dat is eigenlijk inherent aan techniek, waar zaken dusdanig snel veranderen dat het soms lastig is om hierop te anticiperen.

Brahiewahiewa schreef op woensdag 15 december 2021 @ 13:17:
[...]

Klopt. Google wil dhcpv6 niet gebruiken; terecht, imho

DHCPv6 is alleen ontwikkeld voor mensen die de vapeurs krijgen van dynamische adressen en vasthouden aan het idee dat zij alle ip-adressen uit hun hoofd moeten weten. Laat dat los! Connect gewoon op basis van host names. Je hebt DNS die hostnames resolved naar ip-adressen, je hebt neighbor discovery wat hostnames resolved naar ip-adressen. Pas als je dat allebei om zeep hebt geholpen ga je die ip-adresen zelf nodig hebben

Ergens is het wel ironisch. Zaken als NAT en dynamische IPv4-adressen zijn gekomen uit noodzaak. Daarom moet je vaak door allerlei hoepels springen om een server te draaien, bijvoorbeeld port-forwarding, statisch IP en DDNS.

Nu is op een lokaal netwerk een hostname natuurlijk een valide alternatief, maar ergens vind ik het wel krom dat we door zaken als prefix delegation (waar geen garantie op een vaste prefix), SLAAC (minder controle over welk IP) en het feit dat sommige clients by design steeds hun IPv6-adressen recyclen alsnog aangewezen op DDNS als we niet oppassen.

Het is natuurlijk ook belachelijk er in eerste instantie niet is nagedacht over het toewijzen van DNS-servers. Voor veel clients is dit niet belangrijk en met betrekking tot privacy is het zelfs handig om dit zelf in te stellen of zelfs te maskeren met HTTPS of TLS. Maar aangezien voor AD en sommige andere zaken DNS fundamenteel is, is het niet bepaald ideaal. Daarnaast was DNS een handige manier om sites en services "te blokkeren" (niet 100% waterdicht natuurlijk). En hoewel het steeds minder een probleem is met de snelle verbindingen die we tegenwoordig hebben, zal een local cache van een DNS forwarder alsnog sneller reageren dan elke query naar 1.1.1.1 of welke DNS-server dan ook sturen.

nero355 schreef op woensdag 15 december 2021 @ 16:06:
[...]

Dat weet ik ook wel, maar laten we effe eerlijk zijn : Wat heeft mijn printer te zoeken op het Internet

Zelfs i.c.m. IPv4 zou ik dat ding eigenlijk zonder een Gateway moeten configureren, maar dat gaat heel vaak niet, omdat die domme fabrikanten in de configuratie de Gateway een verplicht veld maken!

Wordt natuurlijk een beetje lastig om data te verzamelen als je producten niet met je cloud-omgeving kunnen praten.

Doet me denken aan Google producten. Als je iets van Google wil gebruiken, kun je het gebruik van Pihole vergeten. Local discovery van een product dat Google assistant ondersteunt doet het gewoon niet als je Google's praktijken probeert in te dammen. Ik snap best dat het product niet werkt, maar het is toch te zot voor woorden hoe ver ze hier in gaan.

[ Voor 10% gewijzigd door Qlimaxxx op 17-12-2021 12:44 ]

[Vorkie]

@Qlimaxxx

HIer kun je duidelijk zien dat IPv6 uit een tijd komt waar security nog een ondergeschoven kindje was. Ik noem maar een term als "the principle of least privilige".

Wat is dit nou voor een rare opmerking?
IPv4 is precies hetzelfde ;
Er zit altijd een router en tegenwoordig logischerwijs ook een firewall tussen dus je apparaatje zit helemaal niet direct aan het internet.

Schijnbaar heb je internet in de tijd dat IPv6 werd geïntroduceerd nooit meegemaakt ;

Ik weet het nog goed, in 1998 en eerder kreeg mijn PC direct een extern IP adres van de inbel of van het UPC modem, Zonealarm/BlackICE erop als firewall, want tja, de markt was nog niet zover als nu, IPv4 adres genoeg en elke PC had een extern adres, dat was fijn met Kazaa en Napster.

IPv6 werd in december 1998 als Draft Standard, als standaardontwerp geaccepteerd.

[Brahiewahiewa]

Qlimaxxx schreef op vrijdag 17 december 2021 @ 12:41:
[...]

Het is natuurlijk ook belachelijk er in eerste instantie niet is nagedacht over het toewijzen van DNS-servers...

Nou, daar is toen wel over nagedacht, hoor. Zowel in dhcpv6 als in de pakketjes die je RAD broadcast, kun je een DNS server opnemen. Punt is dat er op dat front een oorlog woedt tussen Microsoft en Google. Microsoft wil de mogelijkheid om per client een specifieke DNS server op te geven (bij voorkeur eentje van Microsoft, natuurlijk) en Google wil een soort multicast group, waarbij de meeste DNS-queries naar hun servers worden geforward

[Vorkie]

Brahiewahiewa schreef op vrijdag 17 december 2021 @ 13:02:
[...]

Nou, daar is toen wel over nagedacht, hoor. Zowel in dhcpv6 als in de pakketjes die je RAD broadcast, kun je een DNS server opnemen. Punt is dat er op dat front een oorlog woedt tussen Microsoft en Google. Microsoft wil de mogelijkheid om per client een specifieke DNS server op te geven (bij voorkeur eentje van Microsoft, natuurlijk) en Google wil een soort multicast group, waarbij de meeste DNS-queries naar hun servers worden geforward

Het leven kan heel simpel zijn in IPv6.

Well-known IPv6 multicast addresses
Many IPv6 multicast addresses are well-known to software implementing IPv6, to simplify common routing needs.

ff02::1 all nodes
ff02::2 all routers
ff02::5 all OSPF (Open Shortest Path First) routers
ff02::6 all OSPF DRs (OSPF Designated Routers)
ff02::9 all RIP (Routing Information Protocol) routers
ff02::a all EIGRP (Enhanced Interior Gateway Routing Protocol) routers
ff02::d all PIM (Protocol Independent Multicast) routers
ff02::f UPNP (Universal Plug and Play) devices
ff02::11 all homenet nodes
ff02::12 VRRP (Virtual Router Redundancy Protocol)
ff02::16 all MLDv2-capable routers
ff02::1a all RPL (Routing Protocol for Low-Power and Lossy Networks) routers (used in Internet of Things (IoT) devices)
ff02::fb multicast DNS IPv6
ff02::101 network time (NTP)
ff02::1:2 all DHCP agents
ff02::1:3 LLMNR (Link-Local Multicast Name Resolution)
ff02:0:0:0:0:1:ff00::/104 solicited node address
ff02:0:0:0:0:1-2:ff00::/104 node information query
ff05::1:3 all DHCP server (site)
ff05::101 all NTP server (site)

[nero355]

Vorkie schreef op vrijdag 17 december 2021 @ 13:05:
[...]

Het leven kan heel simpel zijn in IPv6.

[...]

Dat kan met IPv4 ook dus wat is je punt

Zie : Wikipedia: Multicast address

En als het niet kan dan stuur je het mee als DHCP Option

[Vorkie]

nero355 schreef op vrijdag 17 december 2021 @ 19:38:
[...]

Dat kan met IPv4 ook dus wat is je punt

Zie : Wikipedia: Multicast address

En als het niet kan dan stuur je het mee als DHCP Option

Punt is dat Google en MS perse een eigen standaard willen maken terwijl zij ook gewoon de multicast of gewoon van de router advertisements kunnen leren hoe een netwerk in elkaar steekt.

En het is hier ipv6 topic natuurlijk, ga ik geen linkje sturen voor ipv4

[nero355]

Vorkie schreef op vrijdag 17 december 2021 @ 19:56:
Punt is dat Google en MS perse een eigen standaard willen maken terwijl zij ook gewoon de multicast of gewoon van de router advertisements kunnen leren hoe een netwerk in elkaar steekt.

Apple/Google/Microsoft en standaarden volgen is altijd al één grote grap geweest!

[Snow_King]

Qlimaxxx schreef op vrijdag 17 december 2021 @ 12:41:
[...]


HIer kun je duidelijk zien dat IPv6 uit een tijd komt waar security nog een ondergeschoven kindje was. Ik noem maar een term als "the principle of least privilige".

Feit is nou eenmaal dat de meeste apparaten helemaal niet van overal bereikbaar moeten zijn. Het feit dat er geen onderscheid meer gemaakt kan worden tussen een private range en een publieke range, maakt het ook nog eens wat lastiger om simpele 1 size fits all rule te maken.

Die mening deel ik gewoon niet met je. RFC1918 adres space hebben we enkel gekregen omdat IPv4 te weinig adresruimte bied/bood.

Op de HU waar ik studeerde had elk apparaat altijd gewoon een publiek IPv4 adres en heeft dat nog steeds. Dat kan gewoon prima, evenals dat het met IPv6 kan.

Hoe? Statefull firewalls! Routers doen hun werk met pakketjes routeren over het internet, statefull firewalls doen inspectie van verkeer en staan bepaalde types verkeer gewoon toe.

NAT bied een schijnveiligheid waar veel mensen nu veel waarde aan hechten. Ik heb dat totaal niet.

Dat komt denk ik ook doordat ik in een datacenter wereld werk waar we duizenden servers en tienduizenden virtuele servers met publieke IPv4 en IPv6 adressen aan het internet hebben te hangen.

Firewalls en andere access policies houden de boel bij ons veilig.

[aawe mwan]

code:

$ ssh -6 🦘

Welcome to Ubuntu 18.04.6 LTS (GNU/Linux 4.15.0-163-generic x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/advantage

  System information as of Sat Dec 18 09:45:24 CET 2021

  System load:                    0.08
  Usage of /home:                 14.3% of 14.17GB
  Memory usage:                   10%
  Swap usage:                     1%
  Processes:                      133
  Users logged in:                0
  IP address for enxuuvvwwxxyyzz: 192.168.178.47

0 updates can be applied immediately.

Standaard op het inlogscherm met onzichtbaar IPv6 adres. (Ubuntu server editie)

(Update: in 21.10 zit een nieuwere versie van landscape-sysinfo die een hele lijst IPv6 adressen geeft)

[ Voor 7% gewijzigd door aawe mwan op 18-12-2021 10:24 ]

[nero355]

@aawe mwan
Staat die server in Australië of zo

Maar ehh...

Dat scriptje kan je toch aanpassen of updaten met de nieuwe dan ??

[aawe mwan]

nero355 schreef op zaterdag 18 december 2021 @ 15:16:
@aawe mwan
Staat die server in Australië of zo

Hij heet zo omdat het mijn jumpserver is. «badum tish»

Maar het punt is dat zelfs als je braaf alle updates installeert, dat IPv6 ondersteuning dan nog steeds niet overal is.

— update —
Uiteindelijk vanavond toch maar de versie-upgrade naar 20.04.3 LTS uitgevoerd, dat lost dit probleem op.
Halverwege de upgrade viel de IPv6 connectiviteit weg, dat had ik kunnen verwachten want zoiets is al een paar keer eerder gebeurd. Uiteindelijk moest ik de computer uitzetten met de knop, maar gelukkig kwam IPv6 connectiviteit terug met de reboot en nog gelukkiger kon hij toen het versie-upgradeproces gewoon afmaken.

[ Voor 39% gewijzigd door aawe mwan op 18-12-2021 21:28 ]

[Alexknl]

Even een snelle vraag met betrekking tot de recente overgang naar IPv6 bij Ziggo. Dit betreft een Ziggo Connectbox in bridge modus met een TP-Link AX50 router, met daarnaast een tweede AX50 in AP modus.
Ik meen hier een paar maanden terug gelezen te hebben om de IPv6 instelling op 'Dynamic IP' te zetten, en bij LAN op 'SLAAC+RDNSS'. Ik heb hier zelf weinig verstand van, is dit nog altijd de juiste instelling bij het aanzetten van IPv6?



Bij voorbaat dank

[Snow_King]

Alexknl schreef op woensdag 22 december 2021 @ 19:10:
Even een snelle vraag met betrekking tot de recente overgang naar IPv6 bij Ziggo. Dit betreft een Ziggo Connectbox in bridge modus met een TP-Link AX50 router, met daarnaast een tweede AX50 in AP modus.
Ik meen hier een paar maanden terug gelezen te hebben om de IPv6 instelling op 'Dynamic IP' te zetten, en bij LAN op 'SLAAC+RDNSS'. Ik heb hier zelf weinig verstand van, is dit nog altijd de juiste instelling bij het aanzetten van IPv6?

[Afbeelding]

Bij voorbaat dank

Dat lijkt te kloppen ja!

[mindwarper]

In navolging van mijn vorige post en config in deze Post - mindwarper in "Het grote IPv6 topic"

...heb ik nog wat verder onderzoek gedaan en ik heb nu volgende werkende config op mijn Cisco Router en Cisco Layer 3 switch stack gemaakt...
...met als gevolg overal op mijn VLANs in VRFs een IPv6 adres in het bijbehorende subnet

1. Cisco Router - Info & config
   1. Link-local adres leren van Ziggo modem --> nodig voor default IPv6 route ::/0 naar buiten
      
      code:
      

      RTR_C1117-mind#sh ipv6 routers
      Router FE80::201:5CFF:FE70:9446 on GigabitEthernet0/0/0, last update 0 min
        Hops 0, Lifetime 1800 sec, AddrFlag=1, OtherFlag=1
        HomeAgentFlag=0, Preference=Medium
        Reachable time 3600000 msec, Retransmit time 0 (unspecified)

   2. Dus nu dan Static default route voor naar buiten
      
      code:
      

      ipv6 route ::/0 GigabitEthernet0/0/0 FE80::201:5CFF:FE70:9446 track 1 name WAN_IPv6_ZIGGO

   3. IPv6 prefix geleerd via PD via ISP opvragen
      
      code:
      

      RTR_C1117-mind#sh ipv6 general-prefix
      IPv6 Prefix ISP_IPv6-PREFIX, acquired via DHCP PD
        2001:1C00:2504:EC00::/56 Valid lifetime 1158628, preferred lifetime 554354
         Vlan240 (Address command)
         Vlan252 (Address command)
         Vlan255 (Address command)

   4. Nu het belangrijkste stuk - het ::/56 stuk van ISP opknippen waar ik dan zelf /64 uit kan halen
      Bron: https://subnettingpractice.com/ipv6-subnet-calculator.html
      • onderste deel van het ::/56 blok pakken - dus /57 - en dan kan ik er hier 8 stuks /64 subnets uithalen zelf - /61
        Dus van 80:0:0:0:0 tot 87:ffff:ffff:ffff:ffff
        
        code:
        

        ipv6 local pool LOCAL_IPv6-PREFIX 2001:1C00:2504:EC80::/57 61

      • OF onderste deel van het ::/56 blok pakken - dus /57 - en dan kan ik er hier 16 stuks /64 subnets uithalen zelf - /60
        Dus van 80:0:0:0:0 tot 8f:ffff:ffff:ffff:ffff
        
        code:
        

        ipv6 local pool LOCAL_IPv6-PREFIX 2001:1C00:2504:EC80::/57 60

   5. Custom IPv6 DHCP Pool maken met deze nieuwe handmatige IPv6 prefix
      
      code:
      

      ipv6 dhcp pool LOCAL_IPv6-CONFIG
       prefix-delegation pool LOCAL_IPv6-PREFIX lifetime 1800 600
       dns-server 2001:1608:10:25::1C04:B12F
       dns-server 2001:1608:10:25::9249:D69B
       dns-server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
       domain-name mindwarper-IPv6.local

   6. VLAN interfaces config naar mijn Layer 3 switch - via Trunk interface Gi0/1/0
      1. VLAN 255 - VRF "default"
         
         code:
         

         RTR_C1117-mind#sh run int vlan255
         Building configuration...
         
         Current configuration : 342 bytes
         !
         interface Vlan255
          description *** VLAN 255 - RTR-LAN ***
          ip address 192.168.255.2 255.255.255.252
          ip nat inside
          ip access-group RTR-LAN-240-252-255_IN_RESTRICT_ALT in
          ipv6 address FE80::C0:A8:FF:2 link-local
          ipv6 address ISP_IPv6-PREFIX ::C0:A8:FF:2/64
          ipv6 nd other-config-flag
          ipv6 dhcp server LOCAL_IPv6-CONFIG rapid-commit

      2. VLAN 252 - VRF LAN
         
         code:
         

         RTR_C1117-mind#sh run int vlan252
         Building configuration...
         
         Current configuration : 357 bytes
         !
         interface Vlan252
          description *** VLAN 252 - VRF LAN ***
          ip address 192.168.252.2 255.255.255.252
          ip nat inside
          ip access-group RTR-LAN-240-252-255_IN_RESTRICT_ALT in
          ipv6 address FE80::C0:A8:FC:2 link-local
          ipv6 address ISP_IPv6-PREFIX ::1:C0:A8:FC:2/64
          ipv6 enable
          ipv6 nd other-config-flag
          ipv6 dhcp server LOCAL_IPv6-CONFIG rapid-commit

      3. VLAN 240 - VRF UBNT
         
         code:
         

         RTR_C1117-mind#sh run int vlan240
         Building configuration...
         
         Current configuration : 345 bytes
         !
         interface Vlan240
          description *** VLAN 240 - VRF UBNT ***
          ip address 192.168.240.6 255.255.255.248
          ip nat inside
          ip access-group RTR-LAN-240-252-255_IN_RESTRICT_ALT in
          ipv6 address FE80::C0:A8:F0:6 link-local
          ipv6 address ISP_IPv6-PREFIX ::2:C0:A8:F0:6/64
          ipv6 nd other-config-flag
          ipv6 dhcp server LOCAL_IPv6-CONFIG rapid-commit

   7. IPv6 Prefix-List en Route-Map maken --> zometeen nodig voor static default IPv6 route::/0 (zie boven) redistribution in EIGRP naar Layer 3 switch
      
      code:
      

      ipv6 prefix-list PL_IPv6_INET-ROUTE seq 5 permit ::/0
      
      route-map RM_IPv6_INET permit 10
       match ipv6 address prefix-list PL_IPv6_INET-ROUTE
      route-map RM_IPv6_INET deny 100

   8. EIGRP IPv6 config - alleen voor VRFs LAN en UBNT, want "default" (dus GRT) gaat al automatisch via vlan255
      1. EIGRP IPv6 voor VRF LAN
         
         code:
         

         router eigrp MIND-ROUTE_VRF-LAN
          !
          address-family ipv6 unicast autonomous-system 252
           !
           topology base
            redistribute static route-map RM_IPv6_INET
           exit-af-topology
           neighbor FE80::C0:A8:FC:1 Vlan252
           eigrp router-id 192.168.252.2
          exit-address-family

      2. EIGRP IPv6 voor VRF LAN
         
         code:
         

         router eigrp MIND-ROUTE_VRF-UBNT
          !
          address-family ipv6 unicast autonomous-system 240
           !
           topology base
            redistribute static route-map RM_IPv6_INET
           exit-af-topology
           neighbor FE80::C0:A8:F0:5 Vlan240
           eigrp router-id 192.168.240.6
          exit-address-family

2. Cisco Layer 3 Switch stack - Info & config
   1. NAAR Cisco Router - via Trunk interface Gi2/0/24 - VLAN interfaces config
      1. VLAN 255 - VRF "default"
         
         code:
         

         mind_L3-C3750X_STACK#sh run int vlan 255
         Building configuration...
         
         Current configuration : 411 bytes
         !
         interface Vlan255
          description *** VLAN 255 - RTR-LAN | To Cisco C1117-4P Router ==> INTERNET ***
          ip address 192.168.255.1 255.255.255.252
          ip access-group RTR-VLAN255_IN_RESTRICT in
          no ip redirects
          no ip unreachables
          no ip proxy-arp
          no ip route-cache
          no ip mroute-cache
          ipv6 address FE80::C0:A8:FF:1 link-local
          ipv6 address autoconfig default
          ipv6 dhcp client pd LOCAL_IPv6-PREFIX rapid-commit

      2. VLAN 252 - VRF LAN
         
         code:
         

         mind_L3-C3750X_STACK#sh run int vlan252
         Building configuration...
         
         Current configuration : 384 bytes
         !
         interface Vlan252
          description *** VLAN 252 - RTR-LAN | To Cisco C1117-4P Router ==> INTERNET ***
          vrf forwarding LAN
          ip address 192.168.252.1 255.255.255.252
          ip access-group RTR-VLAN252_IN_RESTRICT in
          no ip redirects
          no ip unreachables
          no ip proxy-arp
          no ip route-cache
          no ip mroute-cache
          ipv6 address FE80::C0:A8:FC:1 link-local
          ipv6 address autoconfig
          ipv6 enable

      3. VLAN 240 - VRF UBNT
         
         code:
         

         mind_L3-C3750X_STACK#sh run int vlan240
         Building configuration...
         
         Current configuration : 298 bytes
         !
         interface Vlan240
          description *** VLAN 240 - UBNT ***
          vrf forwarding UBNT
          ip address 192.168.240.5 255.255.255.248
          no ip redirects
          no ip unreachables
          no ip proxy-arp
          no ip route-cache
          no ip mroute-cache
          ipv6 address FE80::C0:A8:F0:5 link-local
          ipv6 address autoconfig
          ipv6 enable

   2. NAAR hosts - "Down-Link" interfaces - VLAN interfaces
      1. VRF LAN
         1. VLAN 20 - VRF LAN - COMPUTERS
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan20
            Building configuration...
            
            Current configuration : 548 bytes
            !
            interface Vlan20
             description *** VLAN 20 - COMPUTERS ***
             vrf forwarding LAN
             ip address 192.168.20.14 255.255.255.240
             ip access-group VLAN20_IN_RESTRICT_ALT-18 in
             ip pim sparse-dense-mode
             ip igmp access-group IGMP-RECEIVE_ALLOW
             ipv6 address FE80::C0:A8:14:E link-local
             ipv6 address LOCAL_IPv6-PREFIX ::C0:A8:14:E/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:FC:2

         2. VLAN 30 - VRF LAN - PLAYSTATION
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan 30
            Building configuration...
            
            Current configuration : 544 bytes
            !
            interface Vlan30
             description *** VLAN 30 - PLAYSTATION ***
             vrf forwarding LAN
             ip address 192.168.30.6 255.255.255.248
             ip access-group VLAN30_IN_RESTRICT in
             ip pim sparse-dense-mode
             ip igmp access-group IGMP-RECEIVE_ALLOW
             ipv6 address FE80::C0:A8:1E:6 link-local
             ipv6 address LOCAL_IPv6-PREFIX ::1:C0:A8:1E:6/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:FC:2

         3. VLAN 40 - VRF LAN - MULTIMEDIA
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan40
            Building configuration...
            
            Current configuration : 543 bytes
            !
            interface Vlan40
             description *** VLAN 40 - MULTIMEDIA ***
             vrf forwarding LAN
             ip address 192.168.40.6 255.255.255.248
             ip access-group VLAN40_IN_RESTRICT in
             ip pim sparse-dense-mode
             ip igmp access-group IGMP-RECEIVE_ALLOW
             ipv6 address FE80::C0:A8:28:6 link-local
             ipv6 address LOCAL_IPv6-PREFIX ::2:C0:A8:28:6/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:FC:2

         4. VLAN 410 - VRF LAN - ANDROID MEDIA PLAYER
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan410
            Building configuration...
            
            Current configuration : 551 bytes
            !
            interface Vlan410
             description *** VLAN 410 - MEDIA-PLAYER ***
             vrf forwarding LAN
             ip address 192.168.41.2 255.255.255.252
             ip access-group VLAN41x-80_IN_RESTRICT in
             ip pim sparse-dense-mode
             ip igmp access-group IGMP-RECEIVE_ALLOW
             ipv6 address FE80::C0:A8:29:2 link-local
             ipv6 address LOCAL_IPv6-PREFIX ::3:C0:A8:29:2/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:FC:2

      2. VRF UBNT
         1. VLAN 210 - VRF UBNT - Home WiFi
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan210
            Building configuration...
            
            Current configuration : 503 bytes
            !
            interface Vlan210
             description WiFi-HOME
             vrf forwarding UBNT
             ip address 192.168.210.14 255.255.255.240
             ip access-group WiFi-HOME_IN_RESTRICT in
             no ip route-cache
             no ip mroute-cache
             ipv6 address FE80::C0:A8:D2:E link-local
             ipv6 address LOCAL_IPv6-PREFIX ::5:C0:A8:D2:E/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:F0:6

         2. VLAN 212 - VRF UBNT - Home WiFi APPLE
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan212
            Building configuration...
            
            Current configuration : 514 bytes
            !
            interface Vlan212
             description WiFi-HOME-APPLE
             vrf forwarding UBNT
             ip address 192.168.212.2 255.255.255.252
             ip access-group WiFi-HOME-APPLE_IN_RESTRICT in
             no ip route-cache
             no ip mroute-cache
             ipv6 address FE80::C0:A8:D4:2 link-local
             ipv6 address LOCAL_IPv6-PREFIX ::6:C0:A8:D4:2/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:F0:6

         3. VLAN 215 - VRF UBNT - GUEST WiFi
            
            code:
            

            mind_L3-C3750X_STACK#sh run int vlan215
            Building configuration...
            
            Current configuration : 505 bytes
            !
            interface Vlan215
             description WiFi-GUEST
             vrf forwarding UBNT
             ip address 192.168.215.14 255.255.255.240
             ip access-group WiFi-GUEST_IN_RESTRICT in
             no ip route-cache
             no ip mroute-cache
             ipv6 address FE80::C0:A8:D7:E link-local
             ipv6 address LOCAL_IPv6-PREFIX ::7:C0:A8:D7:E/64
             ipv6 enable
             ipv6 nd ra dns server 2001:1608:10:25::1C04:B12F
             ipv6 nd ra dns server 2001:1608:10:25::9249:D69B
             ipv6 nd ra dns server 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
             ipv6 dhcp relay destination FE80::C0:A8:F0:6

   3. EIGRP IPv6 config - alleen voor VRFs LAN en UBNT, want "default" (dus GRT) gaat al automatisch via vlan255
      1. EIGRP IPv6 voor VRF LAN
         
         code:
         

         router eigrp MIND-ROUTE_VRF-LAN
          !
          address-family ipv6 unicast vrf LAN autonomous-system 252
           !
           topology base
            redistribute connected
           exit-af-topology
           neighbor FE80::C0:A8:FC:2 Vlan252
           eigrp router-id 192.168.252.1
          exit-address-family

      2. EIGRP IPv6 voor VRF UBNT
         
         code:
         

         router eigrp MIND-ROUTE_VRF-UBNT
          !
          address-family ipv6 unicast vrf UBNT autonomous-system 240
           !
           topology base
            redistribute connected
           exit-af-topology
           neighbor FE80::C0:A8:F0:6 Vlan240
           eigrp router-id 192.168.240.5
          exit-address-family

3. CONTROLES
   1. Cisco Router - Controles
      1. Cisco Router IPv6 interface info - voor leesbaarheid de brief info
         
         code:
         

         RTR_C1117-mind#sh ipv6 int br
         GigabitEthernet0/0/0   [up/up]
         FE80::7A0C:F0FF:FEFC:BF00
         2001:1C00:2500:0:D08F:4A2:C6F9:6093
         
          
         (...)
         
         Vlan240                [up/up]
         FE80::C0:A8:F0:6
         2001:1C00:2504:EC02:C0:A8:F0:6
         
         (...)
         
         Vlan252                [up/up]
         FE80::C0:A8:FC:2
         2001:1C00:2504:EC01:C0:A8:FC:2
         Vlan255                [up/up]
         FE80::C0:A8:FF:2
         2001:1C00:2504:EC00:C0:A8:FF:2

      2. Local DHCPv6 Pool test
         
         code:
         

         RTR_C1117-mind#sh ipv6 local pool
         Pool                  Prefix                                       Free  In use
         LOCAL_IPv6-PREFIX     2001:1C00:2504:EC80::/57                         7      1

      3. DHCPv6 Pool test
         
         code:
         

         RTR_C1117-mind#sh ipv6 dhcp pool
         DHCPv6 pool: LOCAL_IPv6-CONFIG
           Prefix pool: LOCAL_IPv6-PREFIX
            preferred lifetime 600, valid lifetime 1800
           DNS server: 2001:1608:10:25::1C04:B12F
           DNS server: 2001:1608:10:25::9249:D69B
           DNS server: 2A03:4000:4D:C92:88C0:96FF:FEC6:B9D
           Domain name: mindwarper-IPv6.local
           Active clients: 1

      4. Cisco Router IPv6 ping naar Google DNS
         1. met Gi/0/0/0 van router als source
            
            code:
            

            ping ipv6 dns.google source gi0/0/0
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8888, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2500:0:D08F:4A2:C6F9:6093
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/12/16 ms

         2. met VLAN255 van router als source
            
            code:
            

            ping ipv6 dns.google source vlan255
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8888, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2504:EC00:C0:A8:FF:2
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/12/28 ms

         3. met VLAN252 van router als source
            
            code:
            

            ping ipv6 dns.google source vlan252
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8888, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2504:EC01:C0:A8:FC:2
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/9/12 ms

         4. met VLAN240 van router als source
            
            code:
            

            ping ipv6 dns.google source vlan240
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8888, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2504:EC02:C0:A8:F0:6
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/9/12 ms

   2. Layer 3 Switch stack - Controles
      1. Welke IPv6 prefix in gebruik op Layer 3 switch stack ?
         
         code:
         

         mind_L3-C3750X_STACK#sh ipv6 general-prefix
         IPv6 Prefix LOCAL_IPv6-PREFIX, acquired via DHCP PD
           2001:1C00:2504:EC80::/60 Valid lifetime 1558, preferred lifetime 358
            Vlan20 (Address command)
            Vlan40 (Address command)
            Vlan410 (Address command)
            Vlan210 (Address command)
            Vlan212 (Address command)
            Vlan215 (Address command)
            Vlan30 (Address command)

      2. Cisco Layer 3 switch IPv6 interface info - voor leesbaarheid de brief info
         
         code:
         

         mind_L3-C3750X_STACK#sh ipv6 int br
         Vlan20                 [up/up]
         FE80::C0:A8:14:E
         2001:1C00:2504:EC80:C0:A8:14:E
         Vlan30                 [up/down]
         FE80::C0:A8:1E:6
         2001:1C00:2504:EC81:C0:A8:1E:6
         Vlan40                 [up/down]
         FE80::C0:A8:28:6
         2001:1C00:2504:EC82:C0:A8:28:6
         
         (...)
         
         Vlan410                [up/down]
         FE80::C0:A8:29:2
         2001:1C00:2504:EC83:C0:A8:29:2
         
         (...)
         
         Vlan210                [up/up]
         FE80::C0:A8:D2:E
         2001:1C00:2504:EC85:C0:A8:D2:E
         
         (...)
         
         Vlan212                [up/up]
         FE80::C0:A8:D4:2
         2001:1C00:2504:EC86:C0:A8:D4:2
         Vlan215                [up/up]
         FE80::C0:A8:D7:E
         2001:1C00:2504:EC87:C0:A8:D7:E
         
         (...)
         
         Vlan240                [up/up]
         FE80::C0:A8:F0:5
         2001:1C00:2504:EC02:C0:A8:F0:5
         
         (...)
         
         Vlan252                [up/up]
         FE80::C0:A8:FC:1
         2001:1C00:2504:EC01:C0:A8:FC:1
         Vlan255                [up/up]
         FE80::C0:A8:FF:1
         2001:1C00:2504:EC00:C0:A8:FF:1

      3. Cisco Layer 3 switch IPv6 ping naar Google DNS
         1. met VLAN255 van switch als source
            
            code:
            

            mind_L3-C3750X_STACK#ping ipv6 2001:4860:4860::8844 source vlan255
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8844, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2504:EC00:C0:A8:FF:1
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/10/17 ms

         2. met bijvoorbeeld VRF LAN - VLAN20 van switch als source
            
            code:
            

            mind_L3-C3750X_STACK#ping vrf LAN ipv6 2001:4860:4860::8844 source vlan20
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8844, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2504:EC80:C0:A8:14:E%LAN
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/15/42 ms

         3. met bijvoorbeeld VRF UBNT VLAN210 van switch als source
            
            code:
            

            mind_L3-C3750X_STACK#ping vrf UBNT ipv6 2001:4860:4860::8844 source vlan210
            
            Type escape sequence to abort.
            Sending 5, 100-byte ICMP Echos to 2001:4860:4860::8844, timeout is 2 seconds:
            Packet sent with a source address of 2001:1C00:2504:EC85:C0:A8:D2:E%UBNT
            !!!!!
            Success rate is 100 percent (5/5), round-trip min/avg/max = 8/11/17 ms

   3. Clients - PC - Controles
      1. PC - ipconfig informatie
         
         code:
         

         ipconfig /all
         
         (...)
         
         Ethernet adapter Ethernet 2:
         
            Connection-specific DNS Suffix  . :
            Description . . . . . . . . . . . : Realtek PCIe 2.5GbE Family Controller
            Physical Address. . . . . . . . . : F0-2F-74-AD-B8-92
            DHCP Enabled. . . . . . . . . . . : Yes
            Autoconfiguration Enabled . . . . : Yes
            IPv6 Address. . . . . . . . . . . : 2001:1c00:2504:ec80:417b:8c62:4854:f92c(Preferred)
            Temporary IPv6 Address. . . . . . : 2001:1c00:2504:ec80:10cb:76f6:dfb0:42e9(Preferred)
            Link-local IPv6 Address . . . . . : fe80::417b:8c62:4854:f92c%12(Preferred)
            IPv4 Address. . . . . . . . . . . : 192.168.20.1(Preferred)
            Subnet Mask . . . . . . . . . . . : 255.255.255.240
            Lease Obtained. . . . . . . . . . : donderdag 23 december 2021 17:14:50
            Lease Expires . . . . . . . . . . : donderdag 23 december 2021 21:14:49
            Default Gateway . . . . . . . . . : fe80::c0:a8:14:e%12
                                                192.168.20.14
            DHCP Server . . . . . . . . . . . : 192.168.20.14
            DHCPv6 IAID . . . . . . . . . . . : 334507892
            DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-27-C8-14-42-F0-2F-74-AD-B8-8F
            DNS Servers . . . . . . . . . . . : 84.200.69.80
                                                84.200.70.40
                                                194.36.144.87
                                                192.168.252.2
                                                2001:1608:10:25::1c04:b12f
                                                2001:1608:10:25::9249:d69b
                                                2a03:4000:4d:c92:88c0:96ff:fec6:b9d
            NetBIOS over Tcpip. . . . . . . . : Disabled

      2. PC route informatie
         
         code:
         

         route print
         
         (...)
         
         IPv6 Route Table
         ===========================================================================
         Active Routes:
          If Metric Network Destination      Gateway
          12    281 ::/0                     fe80::c0:a8:14:e
           1    331 ::1/128                  On-link
          12    281 2001:1c00:2504:ec80::/64 On-link
          12    281 2001:1c00:2504:ec80:10cb:76f6:dfb0:42e9/128
                                             On-link
          12    281 2001:1c00:2504:ec80:417b:8c62:4854:f92c/128
                                             On-link
          12    281 fe80::/64                On-link
          12    281 fe80::417b:8c62:4854:f92c/128
                                             On-link
           1    331 ff00::/8                 On-link
          12    281 ff00::/8                 On-link
         ===========================================================================
         Persistent Routes:
           None

      3. IPv6 Ping ping naar Google DNS dus op machine in VLAN20
         
         code:
         

         ping 2001:4860:4860::8844
         
         Pinging 2001:4860:4860::8844 with 32 bytes of data:
         Reply from 2001:4860:4860::8844: time=12ms
         Reply from 2001:4860:4860::8844: time=12ms
         Reply from 2001:4860:4860::8844: time=9ms
         Reply from 2001:4860:4860::8844: time=18ms
         
         Ping statistics for 2001:4860:4860::8844:
         Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
         Approximate round trip times in milli-seconds:
         Minimum = 9ms, Maximum = 18ms, Average = 12ms

[ Voor 100% gewijzigd door mindwarper op 23-12-2021 18:06 . Reden: lay-out fixes ]

[RobertMe]

Hier meld zich nog een IPv6 noob nadat Ziggo IPv6 voor bridge gebruikers beschikbaar heeft gemaakt . Klopt mijn bevinding / hersenspinsel dat ULA adressen (ik hoop dat de juiste variant is, in ieder geval de automatische fe80:...) door een router wordt gedropt en dus voorkomt dat interne IPs via deze IPs alsnog met elkaar babbelen over VLANs heen?
Als in: ik heb nu een aantal VLANs, die worden "beheerd" door een UniFi Security Gateway. Bij IPv4 hebben die natuurlijk allemaal een eigen subnet en IPs buiten het subnet worden door de USG gerouteerd waarbij de firewall van de USG dus "toegangscontrole" doet. Maar hoe zit dat met IPv6 en ULA? Gevoelsmatig zeg ik dat ze dan wel min of meer in hetzelfde subnet zitten (fe80:...). Maar doordat ze zich in een ander ethernet segment bevinden (door het toepassen van VLANs) kan "de ARP van IPv6" (dat als ik het goed heb gezien een nieuw protocol is, NDP?) de ULA adressen in het ander VLAN dus niet vinden. Waardoor ik vermoed of de client rechtstreeks zelf, of de USG, deze pakketjes automatisch dropt omdat een fe80 adres zich in hetzelfde (interne) netwerk moet bevinden en dus nooit de router mag passeren, correct? Oftewel: of de client verzend nooit het pakketje omdat via NDP geen "ethernet route" gevonden wordt waar dat wel moet gezien ULA. Of de client verzend het wegens het ontbreken van de "ethernet route" maar naar de default gateway, waarna die zegt "ik mag fe80 niet routeren naar een ander ethernet segment dus weg ermee".

[vanaalten]

c-nan schreef op zaterdag 11 december 2021 @ 10:56:
Als het goed is krijg je van Ziggo een /56 en daar in kan je weer 256x /64 prefixes hebben.

Mijn router (die achter de modem hangt) heeft een /128 gekregen, namelijk:

code:

2001:1caf:d00:0:xxxx:xxxx:xxxx:xxxx/128

Mijn switch interface op de router heeft:

code:

2001:1caf:0d1e:7c01::1/64

De range hiervan is:

code:

2001:1caf:0d1e:7c01:0000:0000:0000:0000-
2001:1caf:0d1e:7c01:ffff:ffff:ffff:ffff

Maar wat is de range van mijn /56?

Is dat:

code:

2001:1caf:0d1e:7c::1/56
2001:1caf:0d1e:7c00:0000:0000:0000:0000-
2001:1caf:0d1e:7cff:ffff:ffff:ffff:ffff

En is mijn volgende /64 dan:

code:

2001:1caf:0d1e:7c02::1/64

Wat ik dan bij mij nog niet snap: waarom is bij mij het IPv6 address aan de WAN kant duidelijk anders dan aan de LAN kant?

Ziggo modem in bridge mode; IPv6 werkt, van wat ik zo zie. Als router een Unifi USG.
Log ik in in de router en doe ik:

code:

admin@USGRouter:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                                  S/L  Description
---------    ----------                                  ---  -----------
eth0       2001:1xxx:1c00:0:a5e1:663a:7086:23f7/128      u/u  WAN
eth1       2001:1xxx:1c15:203d:f29f:c2ff:fec4:bf18/64    u/u  LAN
eth2         -                                           A/D
lo           ::1/128                                     u/u

...klein beetje geannonimiseerd en IPv4 adressen voor de duidelijkheid weggelaten.

Die '3d' in het 4e 16-bit getal komt van de door mij ingestelde IPv6 Prefix ID. Maar ik zou verwachten dat het hele stuk ervoor aan de WAN kant hetzelfde zou zijn als aan de LAN kant.

Alle devices op mijn LAN, voor zover ik gecontroleerd heb, hebben een IPv6 adres als '2001:1xxx:1c15:203d:....' - waarom is dat niet hetzelfde aan de WAN kant?

(sidenote... heeft de Unifi controller geen enkele mogelijkheid om IPv6 adressen in de GUI te zien?!?)

[c-nan]

vanaalten schreef op maandag 27 december 2021 @ 21:03:
[...]

Wat ik dan bij mij nog niet snap: waarom is bij mij het IPv6 address aan de WAN kant duidelijk anders dan aan de LAN kant?

Ziggo modem in bridge mode; IPv6 werkt, van wat ik zo zie. Als router een Unifi USG.
Log ik in in de router en doe ik:

code:

admin@USGRouter:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                                  S/L  Description
---------    ----------                                  ---  -----------
eth0       2001:1xxx:1c00:0:a5e1:663a:7086:23f7/128      u/u  WAN
eth1       2001:1xxx:1c15:203d:f29f:c2ff:fec4:bf18/64    u/u  LAN
eth2         -                                           A/D
lo           ::1/128                                     u/u

...klein beetje geannonimiseerd en IPv4 adressen voor de duidelijkheid weggelaten.

Die '3d' in het 4e 16-bit getal komt van de door mij ingestelde IPv6 Prefix ID. Maar ik zou verwachten dat het hele stuk ervoor aan de WAN kant hetzelfde zou zijn als aan de LAN kant.

Alle devices op mijn LAN, voor zover ik gecontroleerd heb, hebben een IPv6 adres als '2001:1xxx:1c15:203d:....' - waarom is dat niet hetzelfde aan de WAN kant?

(sidenote... heeft de Unifi controller geen enkele mogelijkheid om IPv6 adressen in de GUI te zien?!?)

Dat is wat ik ook heb, toch?

Je krijgt aan je WAN interface een IP uit het reeks van Ziggo, dus niet uit je eigen /56 prefix. Zij routeren de volledige /56 reeks naar jou WAN IP.

Tenminste, als eth0 je WAN interface is.

Binnen je eigen netwerk split jij die /56 weer op in /64 prefixes?

[Snow_King]

vanaalten schreef op maandag 27 december 2021 @ 21:03:
[...]

Wat ik dan bij mij nog niet snap: waarom is bij mij het IPv6 address aan de WAN kant duidelijk anders dan aan de LAN kant?

Ziggo modem in bridge mode; IPv6 werkt, van wat ik zo zie. Als router een Unifi USG.
Log ik in in de router en doe ik:

code:

admin@USGRouter:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                                  S/L  Description
---------    ----------                                  ---  -----------
eth0       2001:1xxx:1c00:0:a5e1:663a:7086:23f7/128      u/u  WAN
eth1       2001:1xxx:1c15:203d:f29f:c2ff:fec4:bf18/64    u/u  LAN
eth2         -                                           A/D
lo           ::1/128                                     u/u

...klein beetje geannonimiseerd en IPv4 adressen voor de duidelijkheid weggelaten.

Die '3d' in het 4e 16-bit getal komt van de door mij ingestelde IPv6 Prefix ID. Maar ik zou verwachten dat het hele stuk ervoor aan de WAN kant hetzelfde zou zijn als aan de LAN kant.

Alle devices op mijn LAN, voor zover ik gecontroleerd heb, hebben een IPv6 adres als '2001:1xxx:1c15:203d:....' - waarom is dat niet hetzelfde aan de WAN kant?

(sidenote... heeft de Unifi controller geen enkele mogelijkheid om IPv6 adressen in de GUI te zien?!?)

Zoals @c-nan ook al aan geeft, je router is nu echt aan het routeren.

Precies zoals het met IPv4 ook werkt, alleen zijn te veel mensen NAT gewend en kennen dat stuk van routeren niet meer.

Ziggo heeft in hun routers een route staan dat jouw /56 naar het WAN IPv6 adres van jouw router moet worden gestuurd.

In theorie kan er in hun routers ook een route staan dat een /27 IPv4 subnet naar jouw router moet worden gestuurd. Aan de achterkant van jouw router zou je die /27 dan weer kunnen gebruiken om devices een publiek IPv4 adres te geven.

Punt is dat je met IPv6 weer echt aan het routeren bent! Precies zoals met v4, alleen veel mensen zijn dat stukje vergeten.

[L0g0ff]

Toch blijf ik het ook wel verwarrend vinden. Vandaag dacht ik op mijn firewall (fresh tomato) ipv6 poort 80 op mijn laptop open te zetten als test.

Je zou idd zeggen dat je aan het routeren bent en dat je dit binnen de firewall moet toestaan. Nu moest ik dit oplossen door een port forwarding in te stellen.

Bij port forwarding moet ik denken aan NAT en niet aan het allowen van netwerk verkeer. Dat zou je met een ACL moeten doen.

Of is dit een manko van tomato?

[RobertMe]

L0g0ff schreef op maandag 27 december 2021 @ 23:56:
Of is dit een manko van tomato?

Dat lijkt mij van wel. Ik had zelf even met SSH getest vanaf een VPS, en moest in mijn UniFi Security Gateway verkeer toestaan bij "WAN IN v6", met als destination dan het IP van mijn PC met poort 22. Kwam geen forward aan te pas.

[vanaalten]

c-nan schreef op maandag 27 december 2021 @ 21:32:
[...]

Dat is wat ik ook heb, toch?

Je krijgt aan je WAN interface een IP uit het reeks van Ziggo, dus niet uit je eigen /56 prefix. Zij routeren de volledige /56 reeks naar jou WAN IP.

Tenminste, als eth0 je WAN interface is.

Binnen je eigen netwerk split jij die /56 weer op in /64 prefixes?

Ah, nu zie ik het. Ik had jouw post echt geprobeerd zorgvuldig te bekijken, maar had echt in m’n hoofd dat jij op je WAN poort een adres uit he eigen /56 had (en ik niet).

Nu zie ik dat ik toch gewoon verkeerd gekeken heb.

Dank (ook aan @Snow_King ) voor de uitleg!

[c-nan]

code:

root@edgerouter:~# show ipv6 route
IPv6 Routing Table
Codes: K - kernel route, C - connected, S - static, R - RIP, O - OSPF,
       IA - OSPF inter area, E1 - OSPF external type 1,
       E2 - OSPF external type 2, N1 - OSPF NSSA external type 1,
       N2 - OSPF NSSA external type 2, B - BGP
Timers: Uptime

IP Route Table for VRF "default"
K      ::/0 [0/1024] via fe80::201:5cff:fea9:4846, eth0, 02w1d00h
C      ::1/128 via ::, lo, 03w0d21h
C      2001:1c00:b00:0:1907:3ffd:46df:f153/128 via ::, eth0, 1d16h17m
C      2001:1c00:b13:5513::/64 via ::, switch0, 1d16h17m
C      2001:1c00:b1d:ee13::/64 via ::, switch0, 1d16h17m
C      fe80::/64 via ::, eth4, 01w3d08h
root@edgerouter:~#

Kennelijk is het niet gek om een link-local als next-hop te hebben voor je default gateway, maar ik ben het een beetje kwijt Ik had daar gewoon een IPv6 verwacht van een router bij Ziggo (uit hetzelfde segment als mijn WAN IPv6). Het schijnt iets te maken te hebben met het filteren van het mac adres uit het link-local adres, maar ik volg het niet helemaal meer.

Iemand die er iets over wilt/kan vertellen?

[Brahiewahiewa]

c-nan schreef op dinsdag 28 december 2021 @ 09:19:
...Iemand die er iets over wilt/kan vertellen?

Een link-local address is voldoende om te kunnen routeren; jij stuurt je pakketjes naar dat link-local address en die router zoekt wel uit waar ze vervolgens naar toe moeten. Onder ip4 staat je default gateway ook in het lokale subnet

Je specifieke gateways zou je ook naar een link-local address kunnen routeren. Sterker nog: misschien is dat wel praktisch voor het geval je prefix een keer verandert

[KroontjesPen]

Rond de tijd dat de laatste IPv4 adressen officieel werden uit gegeven heb ik mij ook verdiept in het IPV6 gebeuren.
Dat zakte weer weg toen bleek dat door de handel in IPv4 adressen de overgang flink vooruit geschoven werd.
Nu het er naar uitziet dat het nu wel de tijd is, zelf weer wat info gezocht en gevonden.
Zelfs voor een leek als ik te volgen al is het in het Engels.

In die eerste situatie heb ik wat geprobeerd waaronder wat commando's in Windows10.
Dat ging niet zoals het had moeten gaan.
Nu ben ik bang dat er toen ook commando's zijn uitgevoerd die uitvoering van IPv6 hinderen of zelf niet laat werken.

Is/zijn er een herstel commando('s) in Windows10 die alles weer goed zetten.
Of een test die aangeeft dat het oké id.

[c-nan]

Brahiewahiewa schreef op dinsdag 28 december 2021 @ 10:31:
[...]

Een link-local address is voldoende om te kunnen routeren; jij stuurt je pakketjes naar dat link-local address en die router zoekt wel uit waar ze vervolgens naar toe moeten. Onder ip4 staat je default gateway ook in het lokale subnet

Je specifieke gateways zou je ook naar een link-local address kunnen routeren. Sterker nog: misschien is dat wel praktisch voor het geval je prefix een keer verandert

Nee hoor, met IPv4 krijg ik een WAN IP toegewezen uit een /23 range aan mijn router. Vervolgens is mijn next-hop de .1 uit de /23 range.

code:

root@edgerouter:~# show ip route
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       > - selected route, * - FIB route, p - stale info

IP Route Table for VRF "default"
S     > 0.0.0.0/0 [210/0] via 192.168.100.1 inactive
     *>           [210/0] via 83.84.123.1, eth0
C    *> 83.84.123.0/23 is directly connected, eth0
C    *> 127.0.0.0/8 is directly connected, lo
C    *> 192.168.1.0/24 is directly connected, switch0
root@edgerouter:~#

Met IPv6 is dat dus niet zo. Mijn router krijgt een IPv6 adres toegewezen, daar routeert Ziggo de /56 naar toe, correct? Of routeren zij het /56 range ook naar een link-local adres en niet naar het IPv6 adres wat mijn router toegewezen krijgt?

[ Voor 7% gewijzigd door c-nan op 28-12-2021 11:02 ]

[Snow_King]

c-nan schreef op dinsdag 28 december 2021 @ 09:19:

code:

root@edgerouter:~# show ipv6 route
IPv6 Routing Table
Codes: K - kernel route, C - connected, S - static, R - RIP, O - OSPF,
       IA - OSPF inter area, E1 - OSPF external type 1,
       E2 - OSPF external type 2, N1 - OSPF NSSA external type 1,
       N2 - OSPF NSSA external type 2, B - BGP
Timers: Uptime

IP Route Table for VRF "default"
K      ::/0 [0/1024] via fe80::201:5cff:fea9:4846, eth0, 02w1d00h
C      ::1/128 via ::, lo, 03w0d21h
C      2001:1c00:b00:0:1907:3ffd:46df:f153/128 via ::, eth0, 1d16h17m
C      2001:1c00:b13:5513::/64 via ::, switch0, 1d16h17m
C      2001:1c00:b1d:ee13::/64 via ::, switch0, 1d16h17m
C      fe80::/64 via ::, eth4, 01w3d08h
root@edgerouter:~#

Kennelijk is het niet gek om een link-local als next-hop te hebben voor je default gateway, maar ik ben het een beetje kwijt Ik had daar gewoon een IPv6 verwacht van een router bij Ziggo (uit hetzelfde segment als mijn WAN IPv6). Het schijnt iets te maken te hebben met het filteren van het mac adres uit het link-local adres, maar ik volg het niet helemaal meer.

Iemand die er iets over wilt/kan vertellen?

Link Local als next hop is heel normaal.

Jouw router heeft een Router Advertisement ontvangen van de router van Ziggo. Dit gaat allemaal via Link Local en zo leert je router die ook als next hop.

[Snow_King]

c-nan schreef op dinsdag 28 december 2021 @ 11:00:
[...]


Nee hoor, met IPv4 krijg ik een WAN IP toegewezen uit een /23 range aan mijn router. Vervolgens is mijn next-hop de .1 uit de /23 range.

code:

root@edgerouter:~# show ip route
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       > - selected route, * - FIB route, p - stale info

IP Route Table for VRF "default"
S     > 0.0.0.0/0 [210/0] via 192.168.100.1 inactive
     *>           [210/0] via 83.84.123.1, eth0
C    *> 83.84.123.0/23 is directly connected, eth0
C    *> 127.0.0.0/8 is directly connected, lo
C    *> 192.168.1.0/24 is directly connected, switch0
root@edgerouter:~#

Met IPv6 is dat dus niet zo. Mijn router krijgt een IPv6 adres toegewezen, daar routeert Ziggo de /56 naar toe, correct? Of routeren zij het /56 range ook naar een link-local adres en niet naar het IPv6 adres wat mijn router toegewezen krijgt?

Ja, grote kans van wel dat ze hun route naar het LL adres hebben staan.

In principe hoef je op je WAN niet eens een globaal IPv6 adres te hebben.

[c-nan]

Snow_King schreef op dinsdag 28 december 2021 @ 11:03:
[...]
Link Local als next hop is heel normaal.

Jouw router heeft een Router Advertisement ontvangen van de router van Ziggo. Dit gaat allemaal via Link Local en zo leert je router die ook als next hop.

De routers onderling communiceren dus via link-local?

/edit
Tijd om in te lezen over link-local dus

[ Voor 6% gewijzigd door c-nan op 28-12-2021 11:05 ]

[Brahiewahiewa]

c-nan schreef op dinsdag 28 december 2021 @ 11:00:
[...]
Nee hoor, met IPv4 krijg ik een WAN IP toegewezen uit een /23 range aan mijn router. Vervolgens is mijn next-hop de .1 uit de /23 range...

Hûh? Da's toch precies wat ik ook zeg? De Default gateway zit in hetzelfde subnet: 83.84.123.1 en 83.84.123.0/23
Vanuit jouw router gezien is 83.84.123.0/23 een lokaal subnet. Vanaf jouw LAN gezien is het de buitenwereld idd

[Snow_King]

c-nan schreef op dinsdag 28 december 2021 @ 11:04:
[...]

De routers onderling communiceren dus via link-local?

/edit
Tijd om in te lezen over link-local dus

Niet altijd, maar in deze situatie wel. Je ziet het veelal bij dynamische omgevingen zoals thuisverbindingen, mobiele telefoons, etc.

[nero355]

c-nan schreef op dinsdag 28 december 2021 @ 11:00:
Nee hoor, met IPv4 krijg ik een WAN IP toegewezen uit een /23 range aan mijn router. Vervolgens is mijn next-hop de .1 uit de /23 range.

Dat is eigenlijk ook best wel een beetje vreemd, maar komt waarschijnlijk door het feit dat je een klant en dus eindpunt bent en dan heeft het geen zin om daar nog eens een IPv4 subnet aan te verspillen die puur bedoeld is voor de communicatie : Een /30

c-nan schreef op dinsdag 28 december 2021 @ 11:04:
De routers onderling communiceren dus via link-local?

Die kan inderdaad heel mooi zo'n /30 vervangen!

[L0g0ff]

KroontjesPen schreef op dinsdag 28 december 2021 @ 10:59:
Rond de tijd dat de laatste IPv4 adressen officieel werden uit gegeven heb ik mij ook verdiept in het IPV6 gebeuren.
Dat zakte weer weg toen bleek dat door de handel in IPv4 adressen de overgang flink vooruit geschoven werd.
Nu het er naar uitziet dat het nu wel de tijd is, zelf weer wat info gezocht en gevonden.
Zelfs voor een leek als ik te volgen al is het in het Engels.

In die eerste situatie heb ik wat geprobeerd waaronder wat commando's in Windows10.
Dat ging niet zoals het had moeten gaan.
Nu ben ik bang dat er toen ook commando's zijn uitgevoerd die uitvoering van IPv6 hinderen of zelf niet laat werken.

Is/zijn er een herstel commando('s) in Windows10 die alles weer goed zetten.
Of een test die aangeeft dat het oké id.

In Windows 10 is het niet meer dan een vinkje aan of uitzetten op je netwerk adapter. Standaard staat deze aan. Dus als je die toen uitgezet had dan kun je die gewoon aanzetten.

[KroontjesPen]

@L0g0ff Die staat goed.

In mijn herinnering heb ik ook enkele regels onder de opdrachtprompt uitgevoerd.
Daar kreeg ik toen bij enkele niet de gewenste uitvoer.
Was bang wel iets gestart te hebben maar dat niet terug gezet.
Hopelijk hebben upgrades dat ondertussen hersteld.

[Paul]

@KroontjesPen Dat is de manier waarop veel mensen het doen, maar dat zet het alleen uit voor die netwerkkaarten, niet voor loopback of tunnel interfaces. Om het 'goed' te doen moet je in de registry zijn. Als je deze sleutel in het verleden hebt aangemaakt dan moet je die dus nu verwijderen (of op 0x00 zetten)

Location: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
Name: DisabledComponents
Type: REG_DWORD
Min Value: 0x00 (default value)
Max Value: 0xFF (IPv6 disabled)

[GieltjE]

Heb wat issues met het ziggo modem in bridge en onze Unifi dream machine, heb net zoals @GREENSKiN hierboven alles ingesteld en alles lijkt perfect te werken.

Maar na een half uur ergens is ineens alle connectiviteit op de windows machines weg op icmp echo na (ssh, https e.d. werken dus ineens niet meer), linux bakken blijven daarintegen zonder issues werken.

Heeft er iemand toevallig enig idee?

[darkrain]

GieltjE schreef op woensdag 29 december 2021 @ 11:57:
Heb wat issues met het ziggo modem in bridge en onze Unifi dream machine, heb net zoals @GREENSKiN hierboven alles ingesteld en alles lijkt perfect te werken.

Maar na een half uur ergens is ineens alle connectiviteit op de windows machines weg op icmp echo na (ssh, https e.d. werken dus ineens niet meer), linux bakken blijven daarintegen zonder issues werken.

Heeft er iemand toevallig enig idee?

Heb je op dat moment toevallig 4 IPv6 addressen als je ipconfig/ all doet?
En lost een reboot het op?

[GieltjE]

darkrain schreef op woensdag 29 december 2021 @ 12:56:
[...]

Heb je op dat moment toevallig 4 IPv6 addressen als je ipconfig/ all doet?
En lost een reboot het op?

Meerdere IPv6 adressen inderdaad (gok PE), kan maandag weer kijken, reboot lost het inderdaad op.

[downtime]

KroontjesPen schreef op dinsdag 28 december 2021 @ 10:59:

Is/zijn er een herstel commando('s) in Windows10 die alles weer goed zetten.
Of een test die aangeeft dat het oké id.

How to reset TCP/IP by using the NetShell utility

Oftewel:

code:

netsh int ip reset

[darkrain]

GieltjE schreef op woensdag 29 december 2021 @ 13:32:
[...]


Meerdere IPv6 adressen inderdaad (gok PE), kan maandag weer kijken, reboot lost het inderdaad op.

Je zou 1 IPv6 Address moeten zien en 1 Temporary IPv6 Address... Als je er meer ziet heb je mogelijk een nieuwe prefix gekregen en daar gaat Windows niet zo lekker mee om...

[nero355]

darkrain schreef op woensdag 29 december 2021 @ 13:51:
Je zou 1 IPv6 Address moeten zien en 1 Temporary IPv6 Address... Als je er meer ziet heb je mogelijk een nieuwe prefix gekregen en daar gaat Windows niet zo lekker mee om...

Het plezier dat Chello/UPC/Ziggo heet en hun dynamische IP adressen die veel te vaak veranderen...

Dat wordt nog wat i.c.m. IPv6

[darkrain]

nero355 schreef op woensdag 29 december 2021 @ 15:50:
[...]

Het plezier dat Chello/UPC/Ziggo heet en hun dynamische IP adressen die veel te vaak veranderen...

Dat wordt nog wat i.c.m. IPv6

Ik heb gisteren 4x mijn router herstart en 1x is de prefix gewijzigd... Dit ter info.

[nero355]

darkrain schreef op woensdag 29 december 2021 @ 16:02:
Ik heb gisteren 4x mijn router herstart en 1x is de prefix gewijzigd... Dit ter info.

Tja, ik ben KPN gewend : 20 jaar hetzelfde IP adres

Zelfs als je een maand lang op vakantie gaat!

Zit nu aan Caiway vast en in die korte tijd al meerdere IP adressen gehad... great...

[RobertMe]

nero355 schreef op woensdag 29 december 2021 @ 15:50:
[...]

Het plezier dat Chello/UPC/Ziggo heet en hun dynamische IP adressen die veel te vaak veranderen...

Dat wordt nog wat i.c.m. IPv6

20 jaar Ziggo, en het aantal keren dat het IP adres is gewijzigd zonder een router wissel valt op één hand te tellen. Zelfs een keer een oude router na jaren in de doos te hebben gezeten aangesloten bij iemand anders en die kreeg toen weer zijn oude IP. Dus bij Ziggo is het ook niet perse een probleem. Verder geen idee wat met IPv6 prefix is en of die al fan niet is gewijzigd in morgen precies de week dat ik IPv6 heb. En na modem switch voor IPv6 support heeft de boel ~12 uur in router mode gedraaid, op een ander IPv4 adres, en na belletje op het modem in bridge te zetten kreeg ik ook mijn oude IPv4 adres terug.

Overigens is "zelfs als je maand op vakantie gaat" ook een raar argument. Er vanuit gaande dat je modem laat insteken blijft die uiteraard gewoon DHCP requests / renews doen. En zie ook hierboven v.w.b. een router die ik jaren niet in gebruik had en daarna wel weer zijn oude IPv4 adres kreeg bij Ziggo.

[nero355]

RobertMe schreef op woensdag 29 december 2021 @ 16:42:
20 jaar Ziggo, en het aantal keren dat het IP adres is gewijzigd zonder een router wissel valt op één hand te tellen. Zelfs een keer een oude router na jaren in de doos te hebben gezeten aangesloten bij iemand anders en die kreeg toen weer zijn oude IP. Dus bij Ziggo is het ook niet perse een probleem.

Dan ben je echt super uniek wat mij betreft!

Tegenover jouw N=1 ken ik helaas teveel gevallen waarbij het IP om de zoveel tijd ineens zonder reden verandert!

Overigens is "zelfs als je maand op vakantie gaat" ook een raar argument. Er vanuit gaande dat je modem laat insteken blijft die uiteraard gewoon DHCP requests / renews doen. En zie ook hierboven v.w.b. een router die ik jaren niet in gebruik had en daarna wel weer zijn oude IPv4 adres kreeg bij Ziggo.

Als ik op vakantie ga dan gaat alle apparatuur dus gewoon UIT en ik ben daar echt niet de enige in!

[c-nan]

Ik heb paar weken geleden mijn Ziggo modem/router laten vervangen, ik was bang dat mijn IP zou wijzigen maar is hetzelfde gebleven. Ik heb dit IP al 5 jaar als het niet langer is.

[ed1703]

nero355 schreef op donderdag 30 december 2021 @ 00:05:
[...]

Als ik op vakantie ga dan gaat alle apparatuur dus gewoon UIT en ik ben daar echt niet de enige in!

Hier net zo, ik ben toch liever iets dichter in de buurt als al die AliExpressvoedingen ontploffen 😂

c-nan schreef op donderdag 30 december 2021 @ 02:12:
Ik heb paar weken geleden mijn Ziggo modem/router laten vervangen, ik was bang dat mijn IP zou wijzigen maar is hetzelfde gebleven. Ik heb dit IP al 5 jaar als het niet langer is.

Het maakt mij niet zoveel uit als mijn ip anders is, net als mijn prefix. Voor services heb ik een vps en naar huis connecten doe ik sowieso via een vpn.

[L0g0ff]

Maar je ipv6 blok van ziggo; Ik mag toch hopen dat dit een "statische toewijzing" is. Als een ipv4 adres wijzigd dan wijzigd die alleen op je router.

Met een ipv6 wijzigt die ineens op al je apparaten waardoor je ineens al je iot kan gaan zitten veranderen.

Als dat bij wijze 3x per jaar gebeurd dan zou het voor mij een reden zijn om het ipv6 protocol thuis weer uit te zetten.

Nu is mijn ipv4 adres bij ziggo de afgelopen 5 jaar naar 1x veranderd. En ik ga toch wel vanuit dat dit ook zo zit met ipv6.