Het grote IPv6 topic

[DennusB]

Wij (mijn bedrijf) zijn er ook druk mee bezig om overal IPv6 uit te rollen. Leuk om te doen maar soms wel even zoeken. De mail server kletst nu via IPv6 met onder andere Google, erg cool! Nu vanavond thuis op mijn Mikrotik even een IPv6 tunnel maken omdat UPC nog geen IPv6 aanbied!

[Snow_King]

DennusB schreef op woensdag 16 april 2014 @ 15:24:
Wij (mijn bedrijf) zijn er ook druk mee bezig om overal IPv6 uit te rollen. Leuk om te doen maar soms wel even zoeken. De mail server kletst nu via IPv6 met onder andere Google, erg cool! Nu vanavond thuis op mijn Mikrotik even een IPv6 tunnel maken omdat UPC nog geen IPv6 aanbied!

Ha, zie ik nu pas! Gmail praat nu ook IPv6.

Sinds wanneer praten de MX'en daar ook IPv6? Dat is wel leuk namelijk!

[MegaTronics]

Ik ben met mijn Asus RT-AC68U aan het testen met IPv6. Vanuit mijn provider (Helden van Nu) heb ik een blok toegewezen gekregen welke ik opvoer in de Asus:



Alleen heb ik nu een keer IPv6 verbinding gehad, maar die was maar van tijdelijke aard en nu weigert die dienst.. Toen die wel een verbinding had, kreeg ik een 10 uit 10 op http://test-ipv6.com/

Ik vermoed zelf dat onder anderen de IPv6 gateway niet juist is. HvN meld daarover dit:

Er moet bij de GW waarschijnlijk een route worden ingesteld (standaard staat dit niet ingesteld bij sommige routers) dit zal iets in de trant van “::/0” die dan verwijst naar de PPP sessie op Ipv6 zodat deze wel de route snapt, bij Mikrotik die wij configureren is dit “::/0” route naar de PPP-out sessie, zodat deze goed routeert naar de PPP sessie Ipv6.

Met ::0 werkt het sowieso niet, dus de vraag is nu wat is de instelling voor een Asus router om hem te laten wijzen naar de PPPv6 sessie. ::1 lijkt mij ook localhost

En de vraag is wat ik dan bij de LAN kant moet invullen. Daar staat nu ook het externe blok maar dat lijkt mij ook niet geheel correct.

Is er iemand die mij een zetje in de juiste richting kan geven?

[Snow_King]

Hipska schreef op woensdag 20 juli 2016 @ 12:53:
Mij moet je niet overtuigen hoor die honderden, duizenden bedrijfjes wel. En dat gaat niet simpel als de tools niet 'af' zijn.

Gelukkig!

Hipska schreef op woensdag 20 juli 2016 @ 12:53:
Maar conclusie van mijn idee dat ik had om ze toch te overtuigen door ULA + Globaal adres te gebruiken is dus dat het niet de moeite loont omdat het vaak toch nog extra werk is of in sommige situaties gewoonweg niet zal werken..

ULA moet je inderdaad niet willen nee. Ik kom wat laat in de discussie, maar als je in je RA de lifetime een beetje kort houdt kan je heel snel wisselen van adressen. DNS update kan ook gewoon in 1x bulk.

Verder heb ik nog weinig spul gezien wat geen SLAAC doet. Tot op heden alleen RouterOS van Mikrotik.

[BastiaanN]

Ik ben vandaag begonnen met het configureren van mijn Mikrotik om ook gebruik te gaan maken van IPv6 in combinatie met glasvezel van KPN. Ik krijg netjes een prefix van KPN en ik zie inmiddels dat alle machines op mijn netwerk ook een adres krijgen dat begint met deze prefix, so far so good.

Ik kan diverse IPv6 sites benaderen, maar niet allemaal! Als ik mijn windows machine configureer voor IPv6 dan is bijvoorbeeld tweakers.net niet langer te benaderen...

http://ipv6test.google.com/ en http://test-ipv6.com/ werken prima:


DNS resolving lijkt ook prima te werken:

C:\Users\Bastiaan>nslookup tweakers.net
Server: router
Address: 192.168.1.1

Non-authoritative answer:
Name: tweakers.net
Addresses: 2001:9a8:0:e:1337:0:80:2
213.239.154.31

Pingen naar het IPv6 adres van tweakers gaat ook prima:

C:\Users\Bastiaan>ping 2001:9a8:0:e:1337:0:80:2

Pinging 2001:9a8:0:e:1337:0:80:2 with 32 bytes of data:
Reply from 2001:9a8:0:e:1337:0:80:2: time=7ms
Reply from 2001:9a8:0:e:1337:0:80:2: time=7ms
Reply from 2001:9a8:0:e:1337:0:80:2: time=7ms
Reply from 2001:9a8:0:e:1337:0:80:2: time=7ms

Ping statistics for 2001:9a8:0:e:1337:0:80:2:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 7ms, Maximum = 7ms, Average = 7ms

Alleen kan ik dit IP-adres niet benaderen vanuit de browser, https://[2001:9a8:0:e:1337:0:80:2]/ geeft uiteindelijk een timeout.

Iemand een suggestie waar ik naar zou moeten kijken? Firewall heb ik voor test doeleinden nog niet geconfigureerd (heeft geen regels) dus dat zou het probleem waarschijnlijk niet zijn. Dezelfde problemen heb ik overigens op mijn iPhone wanneer IPv6 is ingeschakeld.

[hkoster1]

Dubbele NAT is inderdaad een probleem met veel routers, maar nu juist niet bij de AEBS. Jammer dat Apple uit de router business schijnt te gaan. Met een beetje huisvlijt kan ook dubbele NAT worden uitgeschakeld op een MikroTik router.

[ Voor 23% gewijzigd door hkoster1 op 27-06-2017 12:20 . Reden: Toevoeging ]

[Jef61]

ANdrode schreef op donderdag 27 juli 2017 @ 19:58:
[...]


Werkt hier wel via XS4ALL,

Gebruik je een eigen router? De PPPOE tunnel moet RFC4638 gebruiken om MTU 1500 te ondersteunen.

Als dit werkt dan kan je in principe zelfs ruim verder dan 1500 bytes. FritBox 7581 doet dit (andere versies heb ik niet)

offtopic:
Heb er snel naar gekeken met wireshark/tshark aan beide kanten en kreeg pings met payload tot 2200 terug

Ja ik gebruik eigen router, Vigor130 als modem en een MikroTik als router. Heb even nagekeken, in de MikroTik staat de MTU op 1480, weet eigenlijk niet meer waarom maar was wel iets mee. Zal eens even proberen of 1500 wil werken.

[Jef61]

Vigor op een MTU van 1500 en MikroTik op 1492 geeft een werkende situatie (maar geen nos.nl).

Had in de Vigor een MTU van 1492 staan en in de MikroTik 1480. Heb wat met de waardes gestoeid maar krijg met andere waardes de IPv6 niet werkende. Ik heb nu even te weinig tijd om er uitgebreid naar te kijken, zal een andere keer nog eens proberen.

[ Voor 17% gewijzigd door Jef61 op 28-07-2017 13:44 ]

[MrNGm]

Enige wat ik me dan kan voorstellen is dat de MTU van de tunnel te hoog staat, óf er ergens verderop in het netwerk aan QoS wordt gedaan voor 'vreemd traffic' (wat niet zou mogen). In mijn geval (Mikrotik RB750GL) staat ie op 1280.

Maar goed, works for me

[Crazy-]

Vandaag mijn MirkoTik een 6to4 tunnel gegeven via Hurricane

helaas gaat het niet helemaal lekker en kom er niet helemaal uit waarom niet.

ik heb de mikrotik ingesteld als volgt:

/interface 6to4 add comment="Hurricane Electric IPv6 Tunnel Broker" disabled=no local-address=86.80.xx.xx mtu=1280 name=sit1 remote-address=216.66.84.46

/ipv6 route add comment="" disabled=no distance=1 dst-address=2000::/3 gateway=2001:470:xxxx:dd5::1 scope=30 target-scope=10

/ipv6 address add address=2001:470:xxxx:dd5::2/64 advertise=no disabled=no eui-64=no interface=sit1

/ipv6 address add address=2001:470:yyyy:dd5::/64 interface=bridge-local advertise=yes
/ipv6 nd set [ find default=yes ] advertise-dns=yes
/ip dns set allow-remote-requests=yes servers=2001:4860:4860::8888,2001:4860:4860::4444

DHCPipV6 : 2001:470:yyyy:dd5::/64

maar helaas; behalve Google & Tweakers (zo ver ik ipv6 hosts ken ;-)) kan ik verder niets bereiken zodra IPv6 aan staat.

ergens mis ik een hopje / vertaling naar ipv4 gok ik...

[Raven]

Crazy- schreef op woensdag 8 november 2017 @ 22:44:
Vandaag mijn MirkoTik een 6to4 tunnel gegeven via Hurricane

helaas gaat het niet helemaal lekker en kom er niet helemaal uit waarom niet.

ik heb de mikrotik ingesteld als volgt:


[...]


DHCPipV6 : 2001:470:yyyy:dd5::/64

maar helaas; behalve Google & Tweakers (zo ver ik ipv6 hosts ken ;-)) kan ik verder niets bereiken zodra IPv6 aan staat.

ergens mis ik een hopje / vertaling naar ipv4 gok ik...

Sta je ICMPv6 (met name packet-too-big) toe?

[stormfly]

Crazy- schreef op woensdag 8 november 2017 @ 22:44:
Vandaag mijn MirkoTik een 6to4 tunnel gegeven via Hurricane

helaas gaat het niet helemaal lekker en kom er niet helemaal uit waarom niet.

ik heb de mikrotik ingesteld als volgt:


[...]


DHCPipV6 : 2001:470:yyyy:dd5::/64

maar helaas; behalve Google & Tweakers (zo ver ik ipv6 hosts ken ;-)) kan ik verder niets bereiken zodra IPv6 aan staat.

ergens mis ik een hopje / vertaling naar ipv4 gok ik...

Er zijn ook niet gek veel meer IPv6 sites ja google/akamai en Facebook. Dan heb je het gros van de bulk data wel gehad.

Ik denk dat je iets gesloopt hebt in IPv4 NAT waardoor je niet meer op het IPv4 internet komt?

[MrNGm]

Crazy- schreef op donderdag 9 november 2017 @ 10:34:
[...]


Op dit moment is de firewall van IPv6 leeg. Ik zie verder hier niets over terug komen?

Ik heb vergelijkbare regels als hier in de firewall van m'n router staan (Mikrotik RB750GL). Met de config die je hebt gebruikt kan je waarschijnlijk alleen vanaf je router naar het wereldwijde IPv6-web.

[Crazy-]

MrNGm schreef op donderdag 9 november 2017 @ 14:24:
[...]


Ik heb vergelijkbare regels als hier in de firewall van m'n router staan (Mikrotik RB750GL). Met de config die je hebt gebruikt kan je waarschijnlijk alleen vanaf je router naar het wereldwijde IPv6-web.

ik ga er even naar kijken; let wel dat ik nu geen IPv4 meer kan bereiken... ipv6 werkt juist wel

[Zaffo]

Oke, de tunnel naar Hurricane Electric draait nu een tijdje en alles lijkt te werken. Ik kan nu zowel naar IPv6 adressen pingen, alswel hostnames pingen met ping6, als ook websites bezoeken over de tunnel. Yeeh, eindelijk een IPv6 verbinding met de buitenwereld.

De gebruikte configuratie (Mikrotik RouterOS):

code:

/interface 6to4
add comment="IPv6 Tunnel - Hurricane Electric" !keepalive local-address=212.187.***.*** mtu=1280 name=6to4-tunnel_he1 remote-address=216.66.84.46

/interface list member
add interface=6to4-tunnel_he1 list=WAN

/ipv6 address
add address=2001:470:***4:****::2 advertise=no comment="IPv6 Tunnel - Hurricane Electric" interface=6to4-tunnel_he1
add address=2001:470:***5:****:: comment="IPv6 prefix - Hurricane Electric - local use" interface=ether2

/ipv6 nd
set [ find default=yes ] advertise-dns=yes

/ipv6 route
add comment="IPv6 tunnel - HE" distance=1 dst-address=2000::/3 gateway=6to4-tunnel_he1

Ten opzichte van de gegeven voorbeeld configuratie heb ik voor de route te gateway veranderd van IP adres naar interface naam. Het duurde ook even voor ik doorhad dat de prefix voor locaal gebruik een andere is dan die voor de tunnel gebruikt wordt.

[iMars]

Ik ben nieuw met IPv6, maar ben al spelenderwijs aan het leren Ik heb een tunnel geregistreerd bij Hurricane en de example config in mijn router (MikroTik) geladen:

code:

/interface 6to4 add comment="Hurricane Electric IPv6 Tunnel Broker" disabled=no local-address=94.x.x.x mtu=1280 name=sit1 remote-address=216.66.84.46
/ipv6 route add comment="" disabled=no distance=1 dst-address=2000::/3 gateway=2001:470:1f14:f31::1 scope=30 target-scope=10
/ipv6 address add address=2001:470:1f14:f31::2/64 advertise=no disabled=no eui-64=no interface=sit1

Ik heb in dit topic naar MikroTik gezocht om te zien wat anderen hebben Het grote IPv6 topic maar ik kom er nog niet echt uit.

Moet ik nog een dhcp (stateful of stateless) configureren om het werkend te krijgen? Of moet het gelijk werken? Als ik met een browser naar ipv6test.google.com ga, krijg ik de melding dat ik geen IPv6 heb, maar geen problemen mag ondervinden op websites met IPv6-ondersteuning.

Ik heb een Ziggo modem in Bridge staan met mijn MikroTik.

Edit: verder zoeken dan alleen Tweakers https://wiki.mikrotik.com...l_Broker_Example_for_Home

Edit 2:
Prima pagina! Duidelijk

Snow_King schreef op maandag 11 december 2017 @ 11:12:
[...]

Alleen het gerucht al dat een website die óók IPv6 heeft hoger in de Google ranking komt zou al voldoende zijn.

Google schijnt dit te doen met SSL, dus als ze hun macht daarvoor óók zouden in zetten bij IPv6 gaat het ineens een stuk harder.

Maar ik blijf er bij: Pornhub of iets dergelijks moet zijn content gewoon een Ultra Full HD 4k met alles er op en der aan gratis aanbieden over IPv6 en tunnels blokkeren. Dan gaan mensen héél hard zeuren bij hun ISP.

Op zo'n manier had VHS het ook van Betamax gewonnen

[ Voor 31% gewijzigd door iMars op 15-12-2017 11:37 ]

[iMars]

Zaffo schreef op vrijdag 15 december 2017 @ 17:34:
@iMars Mooi! Heb je ook een IPv6 firewall? En deel je de "interne" adresses stateless of statefull uit?

Kan je je ipv6 config delen? Ik ben benieuwd hoe die afwijkt van mijn hier eerder geposte config.

Ik heb het op deze manier gedaan: https://wiki.mikrotik.com...l_Broker_Example_for_Home

De eerste 3 stappen komen uit de 'Example Configurations' van Hurricane... De rest heb ik overgenomen met in achtnemend dat je wil de correcte ipv6 adressen gebruikt (bold gedrukt, moet overeenkomen het de 'Example Configurations' )

Edit: Netflix werkt niet, krijg een foutmelding dat ik een proxy gebruik Heb de 6to4 tunnel/interface maar ff uitgezet....

Late edit: Als ik Google naar Hurricane IPv6 Netflix zie ik dat ik niet de enige ben. Voor mij dus geen IPv6 aangezien ik veel Netflix.

[ Voor 19% gewijzigd door iMars op 16-12-2017 01:21 ]

[arkadas]

Goedendag,

Sorry dat ik deze discussie oprakel, maar kan iemand mij helpen aan de juiste stappen om bij tweak 6rd aan de gang te krijgen op een mikrotik router?

De gegevens van de aanvraag heb ik binnen, maar de stappen hoe dit aan de gang te krijgen die ik via google vindt zijn allemaal anders en vaak op andere providers geschreven.

groet,

Dennis

[Jef61]

ik222 schreef op maandag 10 juni 2019 @ 15:53:
Ik heb wel mijn MTU op 1500 gezet middels RFC4638 wat XS4ALL ondersteund. Volgens mij zowel op glas als op VDSL.

Heb mijn Vigor 130 firmware geupdate en aangepast, daarna Mikrotik pppoe client op mtu1500 gezet. En idd hij connect nu op mtu 1500

Uitgebreid getest op Transip en het lijkt succesvol, geen haperingen meer!!
Zou betekenen dat er toch iets met de icmp6 bij Transip niet goed staat, en bepaald type misschien?

@ik222 Bedankt voor het op het juiste spoor zetten!


Uit RFC4890

4.3.1. Traffic That Must Not Be Dropped

Error messages that are essential to the establishment and
maintenance of communications:

o Destination Unreachable (Type 1) - All codes
o Packet Too Big (Type 2)
o Time Exceeded (Type 3) - Code 0 only
o Parameter Problem (Type 4) - Codes 1 and 2 only

4.3.2. Traffic That Normally Should Not Be Dropped

Error messages other than those listed in Section 4.3.1:

o Time Exceeded (Type 3) - Code 1
o Parameter Problem (Type 4) - Code 0

[ Voor 31% gewijzigd door Jef61 op 10-06-2019 18:15 . Reden: RFC toegevoegd ]

[Bram D]

Jef61 schreef op dinsdag 11 juni 2019 @ 15:11:
Zoals verwacht kom ik bij Transip zelf niet verder, ook wel begrijpelijk omdat ze verder geen klachten krijgen. Ik zal het ermee moeten doen lijkt het.

Ik heb precies hetzelfde probleem. HE tunnel op een MikroTik router over een Ziggolijn. MTU van de HE tunnel interface is 1480.

Zeer irritant, nu zijn Stack en het Transip control panel ook erg onbetrouwbaar over ipv6. Toch maar eens een issue openen, had ik nog niet gedaan omdat ik geen idee had waar het probleem kon zitten.

[Jef61]

Bram D schreef op maandag 24 juni 2019 @ 18:39:
[...]


Ik heb precies hetzelfde probleem. HE tunnel op een MikroTik router over een Ziggolijn. MTU van de HE tunnel interface is 1480.

Zeer irritant, nu zijn Stack en het Transip control panel ook erg onbetrouwbaar over ipv6. Toch maar eens een issue openen, had ik nog niet gedaan omdat ik geen idee had waar het probleem kon zitten.

Probleem laat me niet los en ben er vandaag weer eens ingedoken.
Ik denk dat ik een aardige workaround heb gevonden:

Ik kwam op de volgende website tegen dat je kunt overwegen om aan de PC kant je MTU wat betreft IPv6 op 1492 kunt zetten via router advertisement.
https://blog.ipspace.net/...-tcp-mss-clamping-in.html

Voor Mikrotik kun je dat in WinBox doen via: IPv6, ND, Bridge interface van je LAN, MTU (1492 in mijn geval).

Hierna kun je op je (windows) PC zien dat je IPv6 interface een MTU heeft gekregen van 1492:
netsh interface ipv6 show subinterface
MTU MediaSenseState Bytes In Bytes Out Interface
------ --------------- --------- --------- -------------
1492 1 8011563 734944 Wi-Fi

Na uitgebreid testen blijkt Transip.nl bij mij hiermee prima te werken
Moet nog uitgebreid testen of hiermee misschien andere problemen zijn ontstaan...

Ben benieuwd of dit voor jou ook een oplossing is.

[ Voor 0% gewijzigd door Jef61 op 01-07-2019 18:13 . Reden: Typos ]

[MrNGm]

Toch maar even hier posten. Huidige netwerksetup:
- pfSense firewall/router
- WAN: Ethernet, MTU 1500 (geen PPPoE, gewoon Ethernet)
- LAN: Ethernet, MTU 1500
- gif0: Tunnelbroker, MTU 1480 (op tunnelbroker.net -> Tunnel settings -> Advanced staat dat ook zo)

Op LAN draait RA voor het default /64-subnet. Op m'n laptop (bedraad ethernet):

code:

$ ip -6 a
3: enp0s25: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 3c:etc: brd ff:ff:ff:ff:ff:ff
    inet6 2001:470:1f15:etc:45ea/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86391sec preferred_lft 14391sec
    inet6 fe80::3e:etc:45ea/64 scope link 
       valid_lft forever preferred_lft forever

Nog niet zo heel spannend. Hiervoor draaide ik op een Mikrotik RB750GL met vrijwel dezelfde config. De issues bestonden toen ook al.

Eerder in dit topic schreef o.a. @Bram D over problemen met het benaderen van TransIP. Ik ervaar hetzelfde probleem, maar kon niet 1-2-3 vinden of de MTU verlagen naar 1480 nou had geholpen.

ICMPv6 staat alle kanten op open, zodat Path MTU discovery kan plaatsvinden:

code:

$ tracepath -6 www.transip.nl
 1?: [LOCALHOST]                        0.020ms pmtu 1500
 1:  kerstkransje.koekjestrommel.local                     0.488ms 
 1:  kerstkransje.koekjestrommel.local                     0.563ms 
 2:  kerstkransje.koekjestrommel.local                     0.505ms pmtu 1480
 2:  tunnelNNN.tunnel.tserv11.ams1.ipv6.he.net             9.112ms 
 3:  no reply
 4:  m6.e1.ams0.transip.net                                6.284ms asymm  7 
 5:  e1-a0.r1.ams0.transip.net                             6.183ms asymm  7 
 6:  no reply
 7:  no reply
 8:  www.transip.nl                                        5.578ms !A
     Resume: pmtu 1480

En toch gaat het soms mis met data uitwisselen richting TransIP. Moet ik m'n LAN MTU verlagen op alle clients, MSS clamping in pfSense aanzetten, tunnel MTU van Tunnelbroker omlaag (zowel aan hun kant als aan de pfSense-kant)... iemand een idee?

Overigens lijkt de internetprovider niet de bottleneck qua IPv4 MTU (er wordt immers getunneld):

code:

$ tracepath -4 www.transip.nl
 1?: [LOCALHOST]                      pmtu 1500
 1:  _gateway                                              0.442ms 
 1:  _gateway                                              0.673ms 
 2:  ip-etc.ip.prioritytelecom.net              39.270ms pmtu 9170
 2?: [LOCALHOST]                      pmtu 1500
 2:  ip-etc.ip.prioritytelecom.net              14.973ms pmtu 9170
 3?: [LOCALHOST]                      pmtu 1500
 3:  ip-etc.ip.prioritytelecom.net               4.603ms 
 3:  ip-etc.ip.prioritytelecom.net               4.134ms 
 4:  asd-tr0021-cr101-be112-2.core.as33915.net             4.510ms asymm  5 
 5:  asd-tr0021-cr101-be112-2.core.as33915.net             5.735ms 
 6:  nl-ams04a-ri3-ae51-0.aorta.net                        4.205ms 
 7:  cr0.nikhef.nl.fusixnetworks.net                       4.624ms 
 8:  fusix-xe0-0-2.e1.ams0.transip.net                     5.380ms 
 9:  e1-a0.r1.ams0.transip.net                             5.234ms 
10:  no reply
11:  no reply
12:  www.transip.nl                                        5.011ms !H
     Resume: pmtu 1500

[Snow_King]

Lawrentium schreef op dinsdag 1 december 2020 @ 12:32:
[...]

Meer eisen heb ik niet. Het is gewoon voor thuisgebruik, om IoT en IPTV apparaten te scheiden via verschillende VLAN's.

Ah, ok. Ik werk in een datacenter business en kom dus eerder met die switches in contact.

Heb je anders al gekeken naar spullen van MikroTik?

[jk-5]

xbeam schreef op maandag 7 december 2020 @ 11:04:
[...]


De usg kan ipv6 prefix alleen werkt de standaard gui configure niet met KPN ( pppoe vage sizzel) je moet daar dus een aanpassing via de json configure doen

Voor zover ik weet ondersteunt de PPPoE client implementatie in UniFi en EdgeOS uberhaupt geen ipv6. In Unifi dus ook niet met custom json config. Als ik geen gelijk heb hoor ik het graag.

Ik heb dit weekend trouwens ook een raar ding meegemaakt met DHCPv6-PD bij ziggo. Ziggo geeft een /56 aan het modem waarvan hij zelf de eerste /60 reserveert, waarvan het 'normale' netwerk de eerste /64 krijgt. Daarmee zijn er nog 15 /60s over.

Mijn eigen (oude) router kreeg de laatste /60 van de modem. Ik heb een nieuwe router (Mikrotik RB4011) en dacht hem er gewoon naast te kunnen hangen, en daarop ook dhcpv6-pd te activeren zodat beide routers een prefix hadden. Deze sessie kwam niet up. Toen ik wireshark ertussen hing bleek dat het modem zei 'No more prefixes available'.

Het blijkt dus dat ziggo (in ieder geval op de Arris connectbox) maar 1 /60 prefix kan uitdelen. Daarmee houd je in feite 14 /60s ongebruikt op je modem. De enige manier om en werkende prefix op de nieuwe router te krijgen was het releasen van de dhcpv6-pd lease op de oude router.

[xbeam]

jk-5 schreef op maandag 7 december 2020 @ 11:22:
[...]


Voor zover ik weet ondersteunt de PPPoE client implementatie in UniFi en EdgeOS uberhaupt geen ipv6. In Unifi dus ook niet met custom json config. Als ik geen gelijk heb hoor ik het graag.

Ik heb dit weekend trouwens ook een raar ding meegemaakt met DHCPv6-PD bij ziggo. Ziggo geeft een /56 aan het modem waarvan hij zelf de eerste /60 reserveert, waarvan het 'normale' netwerk de eerste /64 krijgt. Daarmee zijn er nog 15 /60s over.

Mijn eigen (oude) router kreeg de laatste /60 van de modem. Ik heb een nieuwe router (Mikrotik RB4011) en dacht hem er gewoon naast te kunnen hangen, en daarop ook dhcpv6-pd te activeren zodat beide routers een prefix hadden. Deze sessie kwam niet up. Toen ik wireshark ertussen hing bleek dat het modem zei 'No more prefixes available'.

Het blijkt dus dat ziggo (in ieder geval op de Arris connectbox) maar 1 /60 prefix kan uitdelen. Daarmee houd je in feite 14 /60s ongebruikt op je modem. De enige manier om en werkende prefix op de nieuwe router te krijgen was het releasen van de dhcpv6-pd lease op de oude router.

Alstublieft voor de edge en de usg json

code:

configure
 
set interfaces ethernet eth0 vif 6 pppoe 0 ipv6 enable
set interfaces ethernet eth0 vif 6 pppoe 0 ipv6 address autoconf
set interfaces ethernet eth0 vif 6 pppoe 0 ipv6 dup-addr-detect-transmits 1
 
set interfaces ethernet eth0 vif 6 pppoe 0 dhcpv6-pd no-dns
set interfaces ethernet eth0 vif 6 pppoe 0 dhcpv6-pd pd 0 interface eth1 prefix-id :1
set interfaces ethernet eth0 vif 6 pppoe 0 dhcpv6-pd pd 0 interface eth1 service slaac
set interfaces ethernet eth0 vif 6 pppoe 0 dhcpv6-pd pd 0 prefix-length /48
set interfaces ethernet eth0 vif 6 pppoe 0 dhcpv6-pd rapid-commit disable
 
set protocols static interface-route6 ::/0 next-hop-interface pppoe0
 
commit
save
exit

De unifi usg heeft zeker wel ipv6 en firewall vanuit de controller.
Alleen de pppoe moet je even handmatig fixen.

Je moet zel alleen nog even de regels maken voor je firewall binding

code:

set interfaces ethernet eth0 vif 6 pppoe 0 firewall in ipv6-name WANv6_IN ([b]deze opeen usg anders [/b] 
set interfaces ethernet eth0 vif 6 pppoe 0 firewall local ipv6-name WANv6_LOCAL ([b]deze opeen usg anders [/b]

[ Voor 12% gewijzigd door xbeam op 07-12-2020 11:34 ]

[Snow_King]

Mijn Ziggo Zakelijk Pro wordt aanstaande Dinsdag opgeleverd en vandaag kreeg ik mijn opleverdocument van Ziggo.

De IPv6 constructie vind ik interessant. Je krijgt een /48, echter de eerste /64 uit deze /48 wordt gebruikt voor de Interconnect tussen mijn router en Ziggo. Vervolgens static routen ze de /48 naar het ::2 adres uit deze /64.

Mijn MikroTik router staat er in ieder geval klaar voor. Dinsdag moet het allemaal gaan werken.

ijske schreef op dinsdag 25 mei 2021 @ 17:03:
[...]


thx het is inderdaad een beetje complex vooral omdat het interactieve gebeuren alleen werkt als de decoder rechtstreeks aan de kabelmodem hangt

de issue gaat eigenlijk ook niet over IPv6
de vraag is meer "hoe krijg ik die bridge van WAN naar VLAN20 op ipv4 in orde" ipv6 mag ook mee gebridged worden uiteraard

Ik denk dat dit dan niet helemaal het juiste topic is :-)

[Snow_King]

Vandaag mijn Ziggo Zakelijk Pro geleverd gekregen met Ubee 1318 modem: https://www.ziggo.nl/klan...wifi/modem/ubee-ubc1318zg

Ik had de IPv4 (/30) / IPv6 (/48) gegevens al per mail gekregen in een PDF. Stond allemaal klaar in mijn Mikrotik router en werkt direct naar behoren. Was Plug&Play.

Allemaal prima geregeld zo. Ziggo heeft alles extra gecontroleerd alvorens ze weg gingen en alles werkte gewoon goed.

Ben blij nu een /48 te hebben die statisch is. Ze hebben hem zelfs bij RIPE op mijn naam gezet.

[jk-5]

Snow_King schreef op dinsdag 1 juni 2021 @ 21:04:
Vandaag mijn Ziggo Zakelijk Pro geleverd gekregen met Ubee 1318 modem: https://www.ziggo.nl/klan...wifi/modem/ubee-ubc1318zg

Ik had de IPv4 (/30) / IPv6 (/48) gegevens al per mail gekregen in een PDF. Stond allemaal klaar in mijn Mikrotik router en werkt direct naar behoren. Was Plug&Play.

Allemaal prima geregeld zo. Ziggo heeft alles extra gecontroleerd alvorens ze weg gingen en alles werkte gewoon goed.

Ben blij nu een /48 te hebben die statisch is. Ze hebben hem zelfs bij RIPE op mijn naam gezet.

Kun je nu ook een delegation krijgen voor reverse DNS? Of het via ziggo instellen?

[jk-5]

Snow_King schreef op donderdag 3 juni 2021 @ 10:00:
[...]

Een /31 had ook kunnen werken, maar ik meen dat niet alle apparatuur altijd overweg kan met een /31.

[...]

*kuch* Mikrotik *kuch*

Snow_King schreef op donderdag 3 juni 2021 @ 10:00:
[...]

Maar als ik dus een /29 aanvraag routeren ze die naar het IPv4 adres van mijn router uit die /30. Daarna kan ik die /29 dus intern volledig gebruiken.

[...]

Ik heb ze in het verleden ook wel gezien waarbij ze een /29 subnet gebruikten tussen ziggo en de klant. Eerste ip is ziggo en de volgende 4 IPs zijn dan bruikbaar. Als je die wilt routeren moet je hele vervelende ARP proxy dingen doen. Kan ook best zijn dat om schaarste zoals je beschrijvt een /30 nu de standaard is en dat je dan een /29 gerouteerd kan krijgen. Dat zou de config aardig mooier maken.

[Snow_King]

jk-5 schreef op donderdag 3 juni 2021 @ 10:06:
[...]

*kuch* Mikrotik *kuch*

Is dat zo? Nooit geweten eigenlijk! We hadden bij ons in het datacenter nog een CCR1036-8G-2S+ over. Die routeert nu mijn 300/50Mbit. Heb de CPU maar terug gezet naar 400Mhz om wat stroom te besparen.

jk-5 schreef op donderdag 3 juni 2021 @ 10:06:
[...]


Ik heb ze in het verleden ook wel gezien waarbij ze een /29 subnet gebruikten tussen ziggo en de klant. Eerste ip is ziggo en de volgende 4 IPs zijn dan bruikbaar. Als je die wilt routeren moet je hele vervelende ARP proxy dingen doen. Kan ook best zijn dat om schaarste zoals je beschrijvt een /30 nu de standaard is en dat je dan een /29 gerouteerd kan krijgen. Dat zou de config aardig mooier maken.

Zo ver ik weet doen ze dat op dit moment op die manier. Dat geeft je intern veel meer vrijheid. Net zoals dat ze de /48 nu routeren naar je router.

Mijn indeling uit de /48 is nu:

- 1e /64 standaard LAN
- 2e /64: Virtual Machines
- 3e /64: Docker containers (/80's static route naar Docker host)
- 4e /64: IPv6-only LAN
- 1e /56: Prefix delegation pool

[Snow_King]

Al een tijdje heb ik nu Ziggo Zakelijk Pro draaien met een Mikrotik als router en tevens statefull IPv6 firewall.

Nu zie ik in mijn logs het volgende:

code:

21:30:19 firewall,info ipv6 forward drop: forward: in:ether1 out:bridgeLocal, src-mac 02:1d:b5:ca:af:18, proto TCP (RST), [2603:1026:c06:24::2]:143->[2001:41f0:XX:1:18aa:525f:ee86:ad33]:63693, len 20 
21:30:19 firewall,info ipv6 forward drop: forward: in:ether1 out:bridgeLocal, src-mac 02:1d:b5:ca:af:18, proto TCP (RST), [2603:1026:c06:24::2]:143->[2001:41f0:XX:1:18aa:525f:ee86:ad33]:63693, len 20 
21:30:19 firewall,info ipv6 forward drop: forward: in:ether1 out:bridgeLocal, src-mac 02:1d:b5:ca:af:18, proto TCP (RST), [2603:1026:c06:24::2]:143->[2001:41f0:XX:1:18aa:525f:ee86:ad33]:63693, len 20 
21:30:19 firewall,info ipv6 forward drop: forward: in:ether1 out:bridgeLocal, src-mac 02:1d:b5:ca:af:18, proto TCP (RST), [2603:1026:c06:24::2]:143->[2001:41f0:XX:1:18aa:525f:ee86:ad33]:63693, len 20 
21:30:19 firewall,info ipv6 forward drop: forward: in:ether1 out:bridgeLocal, src-mac 02:1d:b5:ca:af:18, proto TCP (RST), [2603:1026:c06:24::2]:143->[2001:41f0:XX:1:18aa:525f:ee86:ad33]:63693, len 20

Ik merk niet dat er iets niet werkt, maar de RST packets worden gedropped door de Mikrotik.

Een stukje relevante configuratie:

code:

/ipv6 firewall filter
add action=accept chain=forward protocol=icmpv6
add action=accept chain=forward connection-state=established,related in-interface-list=WAN
add action=accept chain=forward in-interface-list=WAN protocol=tcp tcp-flags=fin,rst,psh,ack
add action=accept chain=forward in-interface-list=LAN
..
..
add action=reject chain=forward log=yes log-prefix="ipv6 forward drop:" reject-with=icmp-admin-prohibited

De 3e regel met de TCP flags heb ik nog toegevoegd om te kijken of dat het zou oplossen, maar dat deed het dus niet.

Iemand enig idee?

[dovo]

Raven schreef op vrijdag 15 oktober 2021 @ 14:53:
Weet iemand hoe je onder Windows een specifiek programma op IPv4 kunt forceren?

Geen idee wat de meest gebruikelijke manier is, wat ik meestal doe is de DNS A records static te configureren in de hostsfile. Werkt in ieder geval op MacOS en Linux. Maar wetende dat MS soms ontiechelijk veel connecties maakt die om de haverklap veranderen, denk ik dat dit niet zo praktisch is. Echter maak ik deze problemen nog maar zelden mee, vergeleken met mijn IPv6 ervaringen van 10j geleden via SixXS.
Het is altijd ook wel zo handig om de IPv6 problemen proberen op te lossen. Naar mijn ervaring is een non-1500 MTU (zoals na PPPoE), en rare "zelfverklaarde netwerk experts" die ICMPv6 blokkeren de boosdoener. Toen Spotify IPv6 uitrolde was dit bij mij het geval. Door op mijn router - Mikrotik - RA's op 1480 te limiteren was dit probleem opgelost. In principe zou ik dit sowieso moeten doen, echter zou IPv6 path MTU discovery ook gewoon het MTU verschil moeten kunnen detecteren wikipedia.

code:

/ipv6 nd
add interface=bridge-local mtu=1480

Verwijderd schreef op vrijdag 15 oktober 2021 @ 16:25:
hi, ik heb dus sinds vandaag IPV6 thuis via KPN, alleen nu is de vraag hoe kan ik mijn tp link deco m4 setje van 3 torens laten gebruik maken van ipv6, moet ik deze dan eerst resetten of ergens wat instellen?

Wij kunnen moeilijk ruiken via internet hoe je setup eruit ziet, dus ik maak even een paar mogelijke situaties.

1. KPN modem is modem only en geeft direct publiek IPv4 /32 via DHCPv4 en IPv6 /64-/48 via DHCPv6-PD. Geen PPPoE terminatie op de TP-Link apparatuur.
2. Of, je doet dubbel NAT44, eenmaal op de modem/router van KPN, en nogmaals op de TP-Link apparatuur. De KPN modem/router geeft voor IPv6 wel een extra prefix via DHCPv6-PD.
3. Achter de modem/router van KPN kan je een tweede PPPoE sessie opzetten. Je TP-Link apparatuur verkrijgt een publiek IPv4 /32 via de PPPoE connectie. Een IPv6 prefix is alsook beschikbaar.
4. Achter de modem/router van KPN kan je zonder een tweede PPPoE sessie een publieke IPv4 /32 en IPv6 /64-/48 via DHCPv6-PD verkrijgen door het MAC en DUID ergens in te vullen.
5. Je KPN Modem/Router heeft IPv4 en IPv6, je stelt de TP-Link apparatuur in op bridge modus en opgelost.

Ik weet dat in België, waar ik woon, de DSL provider (Proximus) op manier 3. IPv6 voor een eigen router voorziet bij gebruik modem provider. De coax provider (Telenet) voorziet IPv6 via optie 4. bij gebruik eigen router.

Het komt er dus op neer om eerst te achterhalen hoe je setup in elkaar steekt, en dan deze settings in te vullen op de TP-Link app? Blijkbaar weer zo een app-brol-cloud-nonsense product.

Als je er niet uit geraakt, probeer dan op zijn minste een diagram te tekenen.

code:

KPN Modem/Router ding, type ABC321
WAN:
  IPv4: 203.0.113.99/32
  IPv6: (link-local only)
LAN:
  IPv4: 192.168.0.1/24
  IPv6: 2001:db8:184e:69ce::1/64
⬇
TP-Link Deco ding, type IOT-CLOUD-BUZZWORD89
WAN:
  IPv4: 192.168.0.16/24
  IPv6: N/A
LAN:
  IPv4: 192.168.1.1/24
  IPv6: N/A

[Snow_King]

mindwarper schreef op woensdag 17 november 2021 @ 22:06:
[...]

Thanks voor de heads up - vanwege dat vlan 255 mijn routerings vlan is naar mijn layer 3 switch voor de global routing table middels EIGRP...
inderdaad misschien niet nodig...
Ik had het op basis van deze URL gemaakt en met jullie input - https://www.reddit.com/r/..._client_be_configured_to/

ik ga later nog eens testen

Je ziet dat in die post de pool met de naam 'Spectrum' wordt gemaakt waarna interface Vlan165 daar dynamisch een adres uit krijgt.

In Vlan165 is ook de DHCPv6 server aan gezet, maar nogmaals, dat is niet nodig. Mijn thuisnetwerk (MikroTik router) heeft ook enkel IPv6 Router Advertisements (RA) aan staan waarna clients via SLAAC zelf een adres genereren.

In theorie heb je op je WAN interface niet eens een unicast adres nodig. DHCPv6 gaat volledig via Link-Local (LL) en je zal ook zien dat de router aan de kant van Ziggo de route voor de prefix installeert richting het Link-Local adres van je router en niet richting het Unicast adres.

Daar staat in de route tabel iets in de trand van:

code:

2001:db8:a:b::/56 next-hop fe80:x:y:z:

Link-Local is een fantastisch onderdeel van IPv6 wat te vaak onderschat wordt.

[Snow_King]

Dreamvoid schreef op vrijdag 26 november 2021 @ 11:18:
Stel de wil is er, hoe draai je als simpele consument met een Ziggo of KPN box een IPv6-only lokaal netwerk?

In beide gevallen is er geen optie voor NAT64 op de provider box zelf, en beide providers routeren ook niet 64:ff9b:: naar een NAT64 server op hun eigen netwerk.

Wil je een IPv6-only LAN, dan moet je dus ofwel zelf gaan knutselen met NAT64 op een eigen (OpenWRT, etc) router, ofwel je gebruikt een 3rd party NAT64/DNS64 service, wat je internet verbinding niet bepaald sneller/betrouwbaarder maakt. Beide oplossingen zijn niet echt Henk & Ingrid-vriendelijk.

Op het moment zijn de providers vooral gericht op het in stand houden van dual stack bij de klant thuis, ook al wordt het upstream allemaal IPv6-only.

Dan moet je je Ziggo modem in bridge zetten en dan zelf een router er achter plaatsen zoals een MikroTik of 'gewoon' een Linux machine.

Dit kan bij KPN ook en vervolgens kan je je LAN zo maken als je wil.

Ik draai thuis ook gewoon Dual-Stack, maar veel DNS entries die ik heb verwijzen enkel naar een IPv6-adres (AAAA-record).

In onze datacenters is de boel wel op heel veel plekken single-stack, zo hoeven we maar 1 firewall te onderhouden.

[Dreamvoid]

Tsja, maar tis toch ietwat jammer dat je 200+ euro moet betalen voor een extra router om enkel een IPv6-only LAN te draaien.

Bij 'mobile broadband' is dat eenvoudiger: in de 4G/5G router, haal het vinkje bij CLAT weg en je bent klaar: een single stack IPv6 lokaal netwerk. Zoiets zou je ook bij Ziggo/KPN boxes willen.

Overigens, doen MikroTik routers wel NAT64? Ik dacht dat dit nog steeds op de wenslijst stond?

[ Voor 63% gewijzigd door Dreamvoid op 26-11-2021 12:42 ]

[Dutch2007]

Dreamvoid schreef op vrijdag 26 november 2021 @ 12:05:
Tsja, maar tis toch ietwat jammer dat je 200+ euro moet betalen voor een extra router om enkel een IPv6-only LAN te draaien.

Bij 'mobile broadband' is dat eenvoudiger: in de 4G/5G router, haal het vinkje bij CLAT weg en je bent klaar: een single stack IPv6 lokaal netwerk. Zoiets zou je ook bij Ziggo/KPN boxes willen.

Overigens, doen MikroTik routers wel NAT64? Ik dacht dat dit nog steeds op de wenslijst stond?

Ik weet niet waar jij je routers haalt, maar als je een network device pakt dat puur en alleen een router is (dus zonder wifi).

Ben je voor een paar tientjes al klaar

pricewatch: Ubiquiti EdgeRouter X - ~60 euro

pricewatch: Ubiquiti EdgeRouter Lite 3-Poort Router ~120 euro


En dan zijn dat nieuw-nieuw prijzen, geen marktplaats, V&A of Ebay.nl aanbiedingen.

En met bovenstaande routers kan je in principe het zelfde doen, als jij geen IPv4 adressen op de poorten toewijst, heb je geen IPv4 op bovenstaande routers.

*edit*

en elke pc waar je 2 NIC's hebt en iets van PFsense / OPNsense op zet zal 't vast wel ook moeten kunnen regelen.

[ Voor 10% gewijzigd door Dutch2007 op 26-11-2021 14:14 ]

[Snow_King]

Dreamvoid schreef op vrijdag 26 november 2021 @ 12:05:
Tsja, maar tis toch ietwat jammer dat je 200+ euro moet betalen voor een extra router om enkel een IPv6-only LAN te draaien.

Bij 'mobile broadband' is dat eenvoudiger: in de 4G/5G router, haal het vinkje bij CLAT weg en je bent klaar: een single stack IPv6 lokaal netwerk. Zoiets zou je ook bij Ziggo/KPN boxes willen.

Overigens, doen MikroTik routers wel NAT64? Ik dacht dat dit nog steeds op de wenslijst stond?

Kijk eens hier naar:

- pricewatch: MikroTik Routerboard RB750Gr3 - hEX
- https://mikrotik.com/product/RB750Gr3

[Dreamvoid]

Dutch2007 schreef op vrijdag 26 november 2021 @ 14:06:
En met bovenstaande routers kan je in principe het zelfde doen, als jij geen IPv4 adressen op de poorten toewijst, heb je geen IPv4 op bovenstaande routers.

Een router zonder WiFi heeft natuurlijk weinig zin, ik heb ook WiFi apparaten op mijn LAN. Dan moet ik er ook nog een extra WiFi AP bij kopen, zit ik met een daisychain van drie apparaten

Het werk natuurlijk niet om geen IPv4 naar de WAN kant van die extra router toe te wijzen, voor NAT64 heb je dual stack aan de WAN kant nodig. Ik moet dus een router hebben die a) WiFi heeft en b) NAT64 en DNS64 doet. En de upstream KPN/Ziggo router moet natuurlijk prefix delegation hebben (wat ze geloof ik allebei doen?)

Ubiquity spul doet voor zover ik weet geen NAT64. MikroTik ook niet - maar goed je kan er altijd OpenWRT op flashen.

[ Voor 19% gewijzigd door Dreamvoid op 27-11-2021 23:29 ]

[Demo]

Kleine n00b-vraag, ik zou nu IPv6 native moeten kunnen krijgen bij Ziggo, ik heb het modem herstart en DHCPv6 aangezet op mijn router maar lijk geen prefix te krijgen. Is er heel toevallig iemand die dit op een Mikrotik-router geconfigureerd heeft en me de goede kant op kan helpen?

[Snow_King]

Demo schreef op dinsdag 30 november 2021 @ 17:19:
Kleine n00b-vraag, ik zou nu IPv6 native moeten kunnen krijgen bij Ziggo, ik heb het modem herstart en DHCPv6 aangezet op mijn router maar lijk geen prefix te krijgen. Is er heel toevallig iemand die dit op een Mikrotik-router geconfigureerd heeft en me de goede kant op kan helpen?

Kan je de output eens posten van:

code:

/ipv6 export

Ben benieuwd wat daar staat.

[Snow_King]

Demo schreef op dinsdag 30 november 2021 @ 21:18:
[...]


Alleen de dhcp-client config komt van mijn hand, de firewall heb ik verder niet aan gezeten. Volgens Ziggo krijg ik een Prefix Delegation van /56, daarom de pool-prefix-length=56 maar ik heb even iets te weinig kennis/ervaring met IPv6 om te begrijpen wat ik nou echt aan het doen ben. Via Tunnelbroker en nog langer geleden via SixXS (toen was mijn Debian server nog router) werkte het prima, maar toen moest alles handmatig geconfigureerd worden.

code:

/ipv6 dhcp-client
add add-default-route=yes interface=ether1 pool-name=ziggo-ipv6 pool-prefix-length=56 request=address,prefix use-peer-dns=no
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
/ipv6 settings
set accept-router-advertisements=yes

Ik mis nog een paar stukken in je config:

- Waar geef je je LAN een IPv6 adres?
- Je moet niet /56 als pool length gebruiken, maar /64
- Je hoeft enkel om een prefix te vragen, een address is niet nodig bij de DHCP client

Voor het laatste zie: https://wiki.mikrotik.com...ng_IPv6_Prefix_delegation

Je stopt dus het subnet wat je van Ziggo krijgt in die pool en je geeft aan dat je er /64's uit wil uitdelen.

Denk dus aan iets als: (ether2 is je LAN?):

code:

/ipv6 address add from-pool=ziggo interface=LAN

Verwijderd schreef op woensdag 1 december 2021 @ 09:31:
[...]


Ik heb dus een soortgelijke config staan, maar ook nog geen adres van de dhcp server gekregen. 😢

Zie mijn reply hier boven :-)

[Demo]

Snow_King schreef op woensdag 1 december 2021 @ 11:49:
[...]


Ik mis nog een paar stukken in je config:

- Waar geef je je LAN een IPv6 adres?
- Je moet niet /56 als pool length gebruiken, maar /64
- Je hoeft enkel om een prefix te vragen, een address is niet nodig bij de DHCP client

Voor het laatste zie: https://wiki.mikrotik.com...ng_IPv6_Prefix_delegation

Je stopt dus het subnet wat je van Ziggo krijgt in die pool en je geeft aan dat je er /64's uit wil uitdelen.

Denk dus aan iets als: (ether2 is je LAN?):

code:

/ipv6 address add from-pool=ziggo interface=LAN

Probleem is dat de DHCP-client eindeloos op 'Searching' blijft staan, dus ik loop bij de eerste stap al vast. Als ik passthrough rules aanmaak die al het UDP-verkeer loggen, zie ik: udp6 output: in:(unknown 0) out:ether1, proto UDP, [fe80::c6ad:34ff:fe6b:edb2]:546->[ff02::1:2]:547, dus er wordt iets gevraagd. Er komt echter geen antwoord op terug. Heb het modem vandaag opnieuw gereset maar ook daarna hetzelfde resultaat.

[Snow_King]

c-nan schreef op zaterdag 4 december 2021 @ 10:32:
[...]

Ik ben geen netwerk engineer. Ik ben Linux/Infra engineer met 10+ jaar ervaring, grotendeels in de hosting branche. Als Linux engineer krijg je vaak te maken netwerk vraagstukken. Zo heb ik met een ACI omgeving mogen werken, het een en ander mogen doen met VXLAN. Trainingen gehad vanuit Juniper en Cisco betreft OSPF/MPLS/BGP.

Maar IPv6? Dat is voor mij ook nog redelijk onbekend terrein. Ongeacht dat ik min of meer weet hoe routering werkt, vind ik IPv6 nog redelijk lastig. Komt voornamelijk doordat ik er bijna nooit mee heb mogen werken, ja behalve static IPv6 instellen op wat servertjes.

Kan je een boek, artikel of video adviseren om het allemaal wat beter te begrijpen? Ik weet namelijk dat jij best actief bent betreft IPv6 (en ook met Ceph )

Met ip4 weet ik bijvoorbeeld dat dmv broadcasting de hosts binnen een subnet elkaar kunnen vinden en de mac adres in hun arp tabel opnemen. Hoe werkt dit bij IPv6 bijvoorbeeld?
Bij ip4 heb je een default gateway om buiten je eigen netwerk te komen, in een thuis situatie is dat je router (die het weer doorzet naar je ISP). Hoe zit dat met IPv6? Is dat ook je router of is het (in dit geval met Ziggo) direct je ISP?
Bij ip4 & dhcp stuurt de client een broadcast uit, een dhcp server pikt dit op en begint te communiceren met de client en voorziet de client op deze manier van een IP. Hoe werkt dat bij ipv6? Hoe weet de client bij wie het moet zijn om een ipv6 te krijgen (zonder dhcp)?

- ARP onder IPv4 (Broadcast) wordt Neighbor Discovery onder IPv6 (Multicast)
- Default gateway (0.0.0.0/0 wordt gewoon nog een default gateway (::/0)
- DHCP onder IPv4 via Broadcast, Router Advertisement via Multicast onder IPv6

Ga eens met wireshark kijken op je laptop/desktop om te zien wat voor een IPv6 verkeer er binnen komt.

Uiteindelijk is jouw router de default gateway voor jouw devices. De default gateway (::/0) voor jouw router is weer een router van Ziggo en vermoedelijk heeft ook die router weer een (default) gateway waar hij zijn verkeer heen stuurt.

Dat is net zoals met IPv4 het zelfde. Alleen zit er geen NAT.

Je hebt wat mij betreft ook niet echt een LAN meer. Elk device is gewoon onderdeel van het internet! Raspberry Pi aanzetten, webserver er op en je bent bereikbaar voor de wereld!

Je router kan ook nog een 2e functie als statefull firewall hebben waar je bepaald verkeer wel of niet door laat.

Maar dan is het een router met firewalling functie. Dat doe ik ook op mijn MikroTik router, maar ICMP staat open, poort 22 en ook 80 en 443 richting een aantal IPv6 adressen zodat ik bij onder andere mijn P1Mon kan die ik heb draaien evenals mijn Unifi Controller.

ed1703 schreef op zaterdag 4 december 2021 @ 16:26:
[...]

Switches en AP's hebben hier gewoon een ipv6-adres. Al zet ik dat liever uit.

Waarom? Ik vind het juist fijn. Zo kan ik met SNMP via IPv6 mijn Switches en AP's monitoren vanaf een VPS ergens in Amsterdam.

[airell]

Voor de Mikrotik gebruikers onder ons, zorg dat je pool-prefix-length op 64 staat, zodat je /64 subnetten aan je address-en kunt hangen:

code:

/ipv6 dhcp-client
add add-default-route=yes interface=ether1 pool-name=ZiggoPool pool-prefix-length=64 prefix-hint=::/56 request=address,prefix use-peer-dns=yes

/ipv6 address
add from-pool=ZiggoPool interface=vlan-clients
add from-pool=ZiggoPool interface=vlan-domotica
add from-pool=ZiggoPool interface=vlan-gast

-> Als Interface een 'bridge' werkt helaas niet.

Mijn FW regels (als het beter kan, let me know!):

code:

/ipv6 firewall filter
add action=accept chain=forward connection-state=established,related in-interface=ether1
add action=accept chain=forward in-interface=ether1 protocol=icmpv6
add action=accept chain=input connection-state=established,related in-interface=ether1
add action=accept chain=input in-interface=ether1 protocol=icmpv6
add action=accept chain=input dst-port=546 in-interface=ether1 protocol=udp
add action=drop chain=forward in-interface=ether1
add action=drop chain=input in-interface=ether1

(wel natuurlijk de juiste (in-)interface gebruiken ...)

[Snow_King]

airell schreef op maandag 6 december 2021 @ 09:50:
Voor de Mikrotik gebruikers onder ons, zorg dat je pool-prefix-length op 64 staat, zodat je /64 subnetten aan je address-en kunt hangen:

Mijn FW regels (als het beter kan, let me know!):

code:

/ipv6 firewall filter
add action=accept chain=forward connection-state=established,related in-interface=ether1
add action=accept chain=forward in-interface=ether1 protocol=icmpv6
add action=accept chain=input connection-state=established,related in-interface=ether1
add action=accept chain=input in-interface=ether1 protocol=icmpv6
add action=accept chain=input dst-port=546 in-interface=ether1 protocol=udp
add action=drop chain=forward in-interface=ether1
add action=drop chain=input in-interface=ether1

(wel natuurlijk de juiste (in-)interface gebruiken ...)

Ik gebruik deze regels:

code:

/ipv6 firewall filter
add action=accept chain=forward packet-size=0-65535 protocol=icmpv6
add action=accept chain=forward connection-state=established,related
add action=accept chain=forward protocol=tcp tcp-flags=syn,ack
add action=accept chain=forward protocol=tcp tcp-flags=psh,ack
add action=accept chain=forward protocol=tcp tcp-flags=ack
add action=accept chain=forward protocol=tcp tcp-flags=rst
add action=accept chain=forward protocol=tcp tcp-flags=fin
add action=accept chain=forward in-interface-list=LAN
add action=accept chain=forward dst-port=161 protocol=udp src-address-list=\
    monitoring
add action=accept chain=input packet-size=0-65535 protocol=icmpv6
add action=accept chain=input dst-port=161 in-interface-list=WAN protocol=udp \
    src-address-list=monitoring
add action=accept chain=input dst-port=22 protocol=tcp src-address-list=\
    management
add action=reject chain=input log=yes log-prefix="ipv6 input drop:" \
    reject-with=icmp-admin-prohibited
add action=reject chain=forward log=yes log-prefix="ipv6 forward drop:" \
    reject-with=icmp-admin-prohibited

[zx9r_mario]

De nieuwe RouterOS 7.1 versie van Mikrotik ondersteund IPv6 NAT66. Wel handig als je ULA adressen gebruikt icm een wireguard vps.

[Vorkie]

zx9r_mario schreef op donderdag 9 december 2021 @ 11:42:
De nieuwe RouterOS 7.1 versie van Mikrotik ondersteund IPv6 NAT66. Wel handig als je ULA adressen gebruikt icm een wireguard vps.

Laat mijn cursusleider dit maar niet horen, NAT66.

[nero355]

Muis666 schreef op zaterdag 4 december 2021 @ 13:46:
In de Compal zit een Puma chipset waar hardware fouten in zitten. Dit kan soms tot rare hickups leiden.

Is dat nog steeds een ding

Ik dacht ook dat er tegenwoordig bijna geen alternatief voor bestaat, want al die FRITZ!Box en Netgear Routers met een "Kabelmodem" aan boord zijn op de Puma Chipset gebaseerd...

Snow_King schreef op zaterdag 4 december 2021 @ 18:55:
Maar dan is het een router met firewalling functie. Dat doe ik ook op mijn MikroTik router, maar ICMP staat open, poort 22 en ook 80 en 443 richting een aantal IPv6 adressen zodat ik bij onder andere mijn P1Mon kan die ik heb draaien evenals mijn Unifi Controller.

Waarom? Ik vind het juist fijn. Zo kan ik met SNMP via IPv6 mijn Switches en AP's monitoren vanaf een VPS ergens in Amsterdam.

Waarom zou je zulke dingen direct op het Internet zetten en niet via een VPN benaderen

Verwijderd schreef op vrijdag 10 december 2021 @ 22:54:
Waarom kan ipv6 gewoon niet zelfde werken als ipv4 lijkt wel dat me docker dhcp van ziggo benadert ipv van mijn router snap gewoon niets van, ja routes werken maar hoe ik kan veel dingen doen, maar dit dus niet heb wel meer informatie nodig
mijn router heeft in lan routes staan maar die accepteert geen ipv6

ASUS Routers kunnen toch alternatieve firmware draaien waarmee je gewoon net als met elke Linux distro van alles en nog wat handmatig kan instellen via SSH

Snow_King schreef op vrijdag 10 december 2021 @ 23:31:
IPv6 maakt geen gebruik van DHCP en dat is in deze situatie ook niet nodig.

Er is toch gewoon DHCPv6 die volledige IPv6 subnets kan uitdelen net als bij IPv4

En JA, ik weet dat SLAAC ook bestaat net als Link-Local en zo...

Brahiewahiewa schreef op zaterdag 11 december 2021 @ 07:25:
Je moet je eerst meer verdiepen in ipv6.

Die kennis heb ik aan boord als het goed is!

Eén van de redenen is dat je met een /64 ongeveer 4 miljard adressen tot je beschikking hebt. Die wil je niet allemaal handmatig uit gaan delen.

Maar voor sommige dingen wil ik dat zeker wel dus waarom zou ik dat niet doen

Daarom is voor ipv6 besloten om de toekenning van adressen voornamelijk door de clients te laten uitvoeren.
Ipv6 clients willen graag je prefix weten, daarom broadcast je die op je subnet. Voor communicatie met de buitenwereld nemen ze die prefix en plakken daar hun hardware adres achter; klaar.

Maar ook dat wil ik in bepaalde gevallen helemaal niet

Daarnaast genereren ze voor privacy extensions willekeurige suffixes, doen dan even een ARPje voor die suffix op het locale subnet en als er geen antwoord komt, gaan ze die een tijdje gebruiken.

Die hele hype mag van mij z.s.m. heel hard doorbloeden!

Pure netwerkvervuiling!

Merk op dat de ontwikkelaars van de ipv6 stack hun uiterste best hebben gedaan om meerdere ipv6 adressen op één NIC toe te staan.

Bedoel je dan IP Aliassen of gewoon de standaard drie adressen die je kan hebben ?!

En daar kun je dus gebruik van maken.

Mijn web server is bereikbaar onder 2001:1c00:dead:beef::80
Mijn mail server is bereikbaar onder 2001:1c00:dead:beef::25.
Draaien op dezelfde machine.

Wil ik de web server verplaatsen naar een andere machine dan haal ik 2001:1c00:dead:beef::80 van de ene machine af en ken ik het toe aan de andere machine.

Dat kan nu toch ook

IPv6 heeft vele mogelijkheden om dingen anders, mooier en beter te doen. Maar daar moet je wel voor open staan en niet zitten sippen dat het niet hetzelfde is als ip4.
(nofi)

Ben ik me van bewust, maar bepaalde dingen hangen ook van de specifieke situatie en wensen af en dan gaan er een heleboel dingen toch weer een beetje op IPv4 lijken

Snow_King schreef op dinsdag 14 december 2021 @ 14:51:
Link Local in de DNS is niet de bedoeling, dat gaat ook niet werken.

Waarom zou dat niet werken zolang je binnen dezelfde VLAN blijft

Link Local als gateway is heel normaal en bijna de standaard met IPv6.

Dat ligt ook weer aan het doeleinde lijkt mij ?!

Wel denk ik dat er hier een stukje kennis bij je ontbreekt over IP routering in het algemeen.
Daarom is het lastig(er) je hierbij te helpen omdat bepaalde fundamenten ontbreken.

Zolang we het niet over eBGP/iBGP en Redistribution hebben weet ik er een hoop over te vertellen dus kom maar op met die info!

[Snow_King]

nero355 schreef op dinsdag 14 december 2021 @ 21:04:
[...]

Waarom zou je zulke dingen direct op het Internet zetten en niet via een VPN benaderen

Dat is juist het hele idee van IPv6. Alles is in theorie bereikbaar via internet. Jouw printer, laptop, desktop, allemaal onderdeel van het internet.

Uiteraard heb ik in mijn MikroTik router met firewall functie aan staan dat UDP poort 161 (SNMP) enkel mag komen vanaf een aantal source IP's. Die kunnen dus via SNMP mijn switches, router en acess points pollen. De rest van de wereld mag dat niet.

nero355 schreef op dinsdag 14 december 2021 @ 21:04:

Er is toch gewoon DHCPv6 die volledige IPv6 subnets kan uitdelen net als bij IPv4

En JA, ik weet dat SLAAC ook bestaat net als Link-Local en zo...

DHCPv6 kan in principe IPv6 adressen (/128's) uitdelen, maar dat is later, veel later pas in de spec gekomen nadat SLAAC er al was. De basis is SLAAC met IPv6.

nero355 schreef op dinsdag 14 december 2021 @ 21:04:

Die hele hype mag van mij z.s.m. heel hard doorbloeden!

Pure netwerkvervuiling!

Hoezo vervuiling en hype? Dat is juist het mooie aan IPv6. Je client kan gewoon continue een nieuw adres binnen de zelfde /64 genereren. Zo kan je in ieder geval niet getracked worden tussen verschillende netwerken in.

[nero355]

Snow_King schreef op woensdag 15 december 2021 @ 09:11:
Dat is juist het hele idee van IPv6.

Alles is in theorie bereikbaar via internet. Jouw printer, laptop, desktop, allemaal onderdeel van het internet.

Dat weet ik ook wel, maar laten we effe eerlijk zijn : Wat heeft mijn printer te zoeken op het Internet

Zelfs i.c.m. IPv4 zou ik dat ding eigenlijk zonder een Gateway moeten configureren, maar dat gaat heel vaak niet, omdat die domme fabrikanten in de configuratie de Gateway een verplicht veld maken!

Uiteraard heb ik in mijn MikroTik router met firewall functie aan staan dat UDP poort 161 (SNMP) enkel mag komen vanaf een aantal source IP's. Die kunnen dus via SNMP mijn switches, router en acess points pollen. De rest van de wereld mag dat niet.

Tja, het kan inderdaad wel op die manier, maar dan nog : Ook SNMP heeft niks te zoeken op het Internet!

DHCPv6 kan in principe IPv6 adressen (/128's) uitdelen, maar dat is later, veel later pas in de spec gekomen nadat SLAAC er al was. De basis is SLAAC met IPv6.

Dat is maar goed ook, want soms zal je dat gewoon nodig hebben!

Hoezo vervuiling en hype?

Made/introduced by Apple = 9 van de 10 keer een hype...

Verder blijven je ARP Tabellen maar vollopen met nieuwe MAC adressen die eigenlijk niet eens bestaan!
Gelukkig verlopen ze ook na 300 seconden, maar dan nog...

Dat is juist het mooie aan IPv6.
Je client kan gewoon continue een nieuw adres binnen de zelfde /64 genereren.

Heel eerlijk gezegd kan ik me niet voorstellen dat IPv6 vanwege onder andere zulke shenanigans is ontworpen of men daar überhaupt aan heeft gedacht/rekening mee heeft gehouden tijdens het ontwerpen van IPv6

Zo kan je in ieder geval niet getracked worden tussen verschillende netwerken in.

Je wordt al op zoveel manieren getracked dat je IP/MAC adres wel je laatste zorg zou moeten zijn!

Een VPN naar je thuisnetwerk of een VPS toe waarop je van alles filtert heeft IMHO veel meer nut!

Jef61 schreef op woensdag 15 december 2021 @ 13:06:
Volgens mij heeft Google DHCPv6 nog steeds niet in Android geïmplementeerd:

https://en.wikipedia.org/...port_in_operating_systems
https://www.reddit.com/r/...ids_ipv6_is_still_broken/

Altijd al een kreupel Linux OS gevonden dus het verbaast me niet eens!

Gelukkig probeer ik zoveel mogelijk over te stappen op andere OS'en dus weer een mooie reden erbij om dat plan ook vol te houden!

Brahiewahiewa schreef op woensdag 15 december 2021 @ 13:17:
Klopt. Google wil dhcpv6 niet gebruiken; terecht, imho

Google wil zoveel net als Apple en Microsoft en al die andere ellendige bedrijven : Laten we ze niet teveel/tevaak gelijk geven!

DHCPv6 is alleen ontwikkeld voor mensen die de vapeurs krijgen van dynamische adressen en vasthouden aan het idee dat zij alle ip-adressen uit hun hoofd moeten weten.

Ik hoef mijn adressen niet uit mijn hoofd te weten, nou ja... sommigen wel, maar heb gewoon geen zin om geen controle meer te hebben over de gebruikte adressen in mijn netwerk!

Laat dat los!

NOPE.AVI

Connect gewoon op basis van host names.

Dat is het hele punt :

Elk IPv4 adres in mijn netwerk is of een Static IP of een Static DHCP IP op basis van het MAC adres waar vervolgens een Static DNS Record aan vast zit en dat wil ik graag zo houden!

Je hebt DNS die hostnames resolved naar ip-adressen, je hebt neighbor discovery wat hostnames resolved naar ip-adressen. Pas als je dat allebei om zeep hebt geholpen ga je die ip-adresen zelf nodig hebben

We weten allemaal wel hoe "goed" hostnames resolven op basis van de bij de DHCP Server registered hostname werkt...

Ik overrule dat liever!

Snow_King schreef op woensdag 15 december 2021 @ 14:08:
Adressen in gebruik nemen doen clients gewoon op basis van hun MAC of een andere identifier.

Wel is er 1 probleem: Het is lastig(er) in een netwerk nu abusers te pakken die continue van IPv6 adres veranderen. Je moet dus je Neighbor Table in je router gaan opslaan voor een tijdje.

Dan heb je de koppeling MAC <> IPv6 adres.

Denk hierbij aan een school waar een student lekker adresje gaat hoppen.

Dat is dus mijn hele punt : Ik wil VOLLEDIGE CONTROLE over mijn netwerk en heb geen zin in SLAAC toestanden straks op misschien een aantal uitzonderingen na...

[babbelbox]

Hier meldt zicht nog een IPv6 newbie.
Ik heb sinds deze maand ook via Ziggo en bridge-mode modem de mogelijkheid tot het gebruiken van IPv6.
Als eigen router heb ik er een Mikrotik (RB4011 for that matter) achter voor de routing en firewalling.
Op IPv4 werkt alles as-intended.
Maar voor IPv6 ben ik nog een beetje aan het zoeken en speuren.
Als ik op m'n MikroTik DHCPv6 aanslinger krijg ik IPv6 address toegewezen op m'n WAN interface (ether1 in mijn geval) en ook ontvang ik een /56 prefix als pool die ik kan gebruiken op m'n interne config.
Als ik dan vanuit m'n ontvangen prefix en pool een IPv6 address op m'n local-bridge zetten, zie ik ook dat er diverse devices op m'n interne netwerk ook een IPv6 address vastleggen in dezelfde range. So far so good.
Nu dus de strubbelingen, ik heb op m'n MikroTik router nog een 3 tal aanvullende bridges en gebruikmakend van VLAN's dus wat scheiding aangebracht. Maar hoe kan ik er nu voor zorgen dat deze extra bridges ook een IPv6 address krijgen, gebruikmakend van de door ziggo aangeleverde prefix, maar dus met elk een eigen /64 subnet.
Ik merk dat wanneer ik ::1/64 als gewenst IP aangeef en gebruik maak van de aangeleverde pool dat er weldegelijk dedicated segmenten worden gemaakt 2001:xxxx:xxxx:xx00::1/64 wodt dus als eerste gebruikt. Aanvullende bridges krijgen vervolgens 2001:xxxx:xxxx:xx01::1/64 en dan 2001:xxxx:xxxx:xx02::1/64.
Maar ik heb helemaal geen invloed op deze volgorde en nummering. Ik zou graag zelf willen bepalen welk /64 segment uit de beschikbare /56 waar wordt gebruikt.

[CeesBak]

Tja, het is lastig. IPV6 draait op mijn Mikrotik router, Algemene vraag. Ik heb mijn Domoticz op een Raspberry met een IPV6 adres. Dat adres pik ik op van het Domoticz board. Dan zet ik het in de browser http://[adres] en tot mijn verbazing kom ik door default firewall heen. De inlogpagina verschijnt. Kan iemand hier iets over zeggen? Alvast bedankt!

[RobertMe]

CeesBak schreef op vrijdag 18 februari 2022 @ 10:46:
Tja, het is lastig. IPV6 draait op mijn Mikrotik router, Algemene vraag. Ik heb mijn Domoticz op een Raspberry met een IPV6 adres. Dat adres pik ik op van het Domoticz board. Dan zet ik het in de browser http://[adres] en tot mijn verbazing kom ik door default firewall heen. De inlogpagina verschijnt. Kan iemand hier iets over zeggen? Alvast bedankt!

Waar draait die browser? Als die in hetzelfde netwerk draait zal dat verkeer neem ik aan niet door de firewall van jouw Mikrotik router gaan, en als het verkeer al via de Mikrotik gerouteerd wordt zal waarschijnlijk de firewall alleen op "WAN in" verkeer worden toegepast waarbij verkeer vanaf het interne netwerk natuurlijk niet via WAN gaat.

[CeesBak]

Hoi Allen,
Ik heb een probleem met IPv6 op mijn Ubuntue 20.04.4 server waar NextCloud op draait. Heb 6 weken geleden mijn routers vervangen door MikroTik apparatuur. Inmiddels heb ik alles aan de praat, d.w.z. op de Ubuntu server na. Windows geeft met testipv6 en met http://test-ipv6.com/ en https://ipv6-test.com/ krijg ik 100% goede score op een Windows 10 machine.

Mijn Ubuntu/NextCloud server heeft ook een IPv6 adres toegewezen gekregen en door de firewall van de router aan te passen kan ik er van buiten zowel met IPv6 als met IPv4 bereiken, mooi!

Het is alleen dat er vertragingen optreden in de communicatie. Soms moet ik tot twee minuten wachten tot er een reactie komt van de Ubuntu server. Ik heb al zitten stoeien met het Netplan configuratie bestand via SSH op ipv4 en SSH op IPv6 wat weer prima werkt.. Maak je een foutje in het Netplan configuratiebestand dan ben je je communicatie via SSH kwijt en kan je niet meer naar je server. Beeldscherm en keyboard aansluiten is dan de enige optie.

Iemand een idee?

[valkenier]

CeesBak schreef op woensdag 30 maart 2022 @ 12:40:
Hoi Allen,
Ik heb een probleem met IPv6 op mijn Ubuntue 20.04.4 server waar NextCloud op draait. Heb 6 weken geleden mijn routers vervangen door MikroTik apparatuur. Inmiddels heb ik alles aan de praat, d.w.z. op de Ubuntu server na. Windows geeft met testipv6 en met http://test-ipv6.com/ en https://ipv6-test.com/ krijg ik 100% goede score op een Windows 10 machine.

Mijn Ubuntu/NextCloud server heeft ook een IPv6 adres toegewezen gekregen en door de firewall van de router aan te passen kan ik er van buiten zowel met IPv6 als met IPv4 bereiken, mooi!

Het is alleen dat er vertragingen optreden in de communicatie. Soms moet ik tot twee minuten wachten tot er een reactie komt van de Ubuntu server. Ik heb al zitten stoeien met het Netplan configuratie bestand via SSH op ipv4 en SSH op IPv6 wat weer prima werkt.. Maak je een foutje in het Netplan configuratiebestand dan ben je je communicatie via SSH kwijt en kan je niet meer naar je server. Beeldscherm en keyboard aansluiten is dan de enige optie.

Iemand een idee?

Kun je iets specifieker zijn over "vertragingen in de communicatie"?

[borft]

CeesBak schreef op woensdag 30 maart 2022 @ 12:40:
Hoi Allen,
Ik heb een probleem met IPv6 op mijn Ubuntue 20.04.4 server waar NextCloud op draait. Heb 6 weken geleden mijn routers vervangen door MikroTik apparatuur. Inmiddels heb ik alles aan de praat, d.w.z. op de Ubuntu server na. Windows geeft met testipv6 en met http://test-ipv6.com/ en https://ipv6-test.com/ krijg ik 100% goede score op een Windows 10 machine.

Mijn Ubuntu/NextCloud server heeft ook een IPv6 adres toegewezen gekregen en door de firewall van de router aan te passen kan ik er van buiten zowel met IPv6 als met IPv4 bereiken, mooi!

Het is alleen dat er vertragingen optreden in de communicatie. Soms moet ik tot twee minuten wachten tot er een reactie komt van de Ubuntu server. Ik heb al zitten stoeien met het Netplan configuratie bestand via SSH op ipv4 en SSH op IPv6 wat weer prima werkt.. Maak je een foutje in het Netplan configuratiebestand dan ben je je communicatie via SSH kwijt en kan je niet meer naar je server. Beeldscherm en keyboard aansluiten is dan de enige optie.

Iemand een idee?

Hmm op zowel mijn Debian server, als Ubuntu workstation heb ik niets specifiek hoeven instellen om ipv6 te laten werken, dus ben benieuwd wat jij aangepast hebt.

Daarnaast wil ik je aanraden ook een firewall op je server te draaien (zeker als je verkeer gaat doorlaten op je router)

[CeesBak]

Dank voor jullie reacties @valkenier @borft @nero355 !

Samenvatting: Mijn vraag is of iemand me een hint kan geven over traag werkende communicatie van een server waar NextCloud op draait.

Momenteel draai ik NextCloud 23.0.03 op Ubuntu 20.04.4 LTS (GNU/Linux 5.4.0-105-generic x86_64). De router is een Mikrotik RB750GR3 die draait op 7.1.5. Met kabel verbindingen van de server naar deze router en de Windows 10 machine waarop de ervaringen spelen. Via CAPsMAN heb ik twee Access Points in huis.

Toen de Mikrotik router nog op versie 6 van RouterOS draaide had ik allerlei rare problemen die met versie 7.1.5. allemaal zijn verdwenen. In Windows 10 heb ik in de firewall instellingen gedaan om ICMP door te laten volgens opgave van Microsoft. Elk apparaat draait perfect van PC tot Android tablets en telefoons.

De vertragingen op de Ubuntu server met Nextcloud kan op elk moment optreden. Zojuist wil ik de juiste versie van NextCloud opzoeken op een Windows machine met Firefox.. Dus ik laad de pagina van NextCloud dat neemt dan ruim een minuut waarna de pagina opkomt. Dan log ik in als admin wat opnieuw ruim een minuut duurt. Daarna door de pagina bladeren gaat normaal prima snel. Op de apparaten via de wifi zijn verbonden heb ik de NextCloud App geïnstalleerd. Gebruik ik erg veel. Als je de App opent dan treed de zelfde vertraging op zoals hierboven beschreven. ruim een minuut wachten.

Dan log ik in met IPv4 via Putty op de server om de juiste versie van Ubuntu op te zoeken, geen enkel probleem. Via het IPv6 adres gaat het net zo snel. Geen enkele vertraging.

Al dit verkeer vindt binnen de router plaats, denk ik. Voor IPv4 heb ik de volgende regels voor de server:

code:

add action=masquerade chain=srcnat comment="Hairpin prive network" src-address=192.168.88.0/24
add action=dst-nat chain=dstnat comment=Http dst-address-list=WAN-IP dst-port=80 protocol=tcp to-addresses=192.168.88.100 to-ports=80
add action=dst-nat chain=dstnat comment=Https dst-address-list=WAN-IP dst-port=443 protocol=tcp to-addresses=192.168.88.100 to-ports=443

En voor IPv6:

code:

add action=accept chain=forward comment="http to Hover" dst-address=xxxx:xxxx:xxxx:xxxx:7285:c2ff:fe82:71cc/128 dst-port=80 protocol=tcp
add action=accept chain=forward comment="https to Hover" dst-address=xxxx:xxxx:xxxx:xxxx:7285:c2ff:fe82:71cc/128 dst-port=443 protocol=tcp

Op de Ubuntu server draait de standaard configuratie:

code:

# This is the network config written by 'subiquity'
network:
  ethernets:
    enp3s0:
      dhcp4: true
  version: 2

Hopelijk helpt deze extra informatie.

[duvekot]

CeesBak schreef op zaterdag 2 april 2022 @ 13:29:
Dank voor jullie reacties @valkenier @borft @nero355 !

Samenvatting: Mijn vraag is of iemand me een hint kan geven over traag werkende communicatie van een server waar NextCloud op draait.

Momenteel draai ik NextCloud 23.0.03 op Ubuntu 20.04.4 LTS (GNU/Linux 5.4.0-105-generic x86_64). De router is een Mikrotik RB750GR3 die draait op 7.1.5. Met kabel verbindingen van de server naar deze router en de Windows 10 machine waarop de ervaringen spelen. Via CAPsMAN heb ik twee Access Points in huis.

Toen de Mikrotik router nog op versie 6 van RouterOS draaide had ik allerlei rare problemen die met versie 7.1.5. allemaal zijn verdwenen. In Windows 10 heb ik in de firewall instellingen gedaan om ICMP door te laten volgens opgave van Microsoft. Elk apparaat draait perfect van PC tot Android tablets en telefoons.

De vertragingen op de Ubuntu server met Nextcloud kan op elk moment optreden. Zojuist wil ik de juiste versie van NextCloud opzoeken op een Windows machine met Firefox.. Dus ik laad de pagina van NextCloud dat neemt dan ruim een minuut waarna de pagina opkomt. Dan log ik in als admin wat opnieuw ruim een minuut duurt. Daarna door de pagina bladeren gaat normaal prima snel. Op de apparaten via de wifi zijn verbonden heb ik de NextCloud App geïnstalleerd. Gebruik ik erg veel. Als je de App opent dan treed de zelfde vertraging op zoals hierboven beschreven. ruim een minuut wachten.

Dan log ik in met IPv4 via Putty op de server om de juiste versie van Ubuntu op te zoeken, geen enkel probleem. Via het IPv6 adres gaat het net zo snel. Geen enkele vertraging.

Hopelijk helpt deze extra informatie.

Dat klinkt eerder alsof een bepaald script of iets anders dat op die pagina's staat niet lekker wil laden. Dus kijk eens naar de logging/details van de browser die je gebruikt of daar helder wordt waar de vertraging door ontstaat. Als het na de inlog alles werkt is al bewijs dat het niet direct een netwerk issue hoeft te zijn.

[nero355]

CeesBak schreef op zaterdag 2 april 2022 @ 13:29:
Toen de Mikrotik router nog op versie 6 van RouterOS draaide had ik allerlei rare problemen die met versie 7.1.5. allemaal zijn verdwenen.

Dat vind ik ook best wel vaag eerlijk gezegd...

Zou niet mogen gebeuren!

De vertragingen op de Ubuntu server met Nextcloud kan op elk moment optreden. Zojuist wil ik de juiste versie van NextCloud opzoeken op een Windows machine met Firefox.. Dus ik laad de pagina van NextCloud dat neemt dan ruim een minuut waarna de pagina opkomt. Dan log ik in als admin wat opnieuw ruim een minuut duurt. Daarna door de pagina bladeren gaat normaal prima snel. Op de apparaten via de wifi zijn verbonden heb ik de NextCloud App geïnstalleerd. Gebruik ik erg veel. Als je de App opent dan treed de zelfde vertraging op zoals hierboven beschreven. ruim een minuut wachten.

IMHO allemaal DNS gerelateerd, maar ik weet niet hoe jij de boel benadert : DNS naam of IP adres ?!

Dan log ik in met IPv4 via Putty op de server om de juiste versie van Ubuntu op te zoeken, geen enkel probleem. Via het IPv6 adres gaat het net zo snel. Geen enkele vertraging.

Dat is mooi, want dan heb je geen Reverse DNS problemen met SSH

Al dit verkeer vindt binnen de router plaats, denk ik. Voor IPv4 heb ik de volgende regels voor de server:

code:

add action=masquerade chain=srcnat comment="Hairpin prive network" src-address=192.168.88.0/24
add action=dst-nat chain=dstnat comment=Http dst-address-list=WAN-IP dst-port=80 protocol=tcp to-addresses=192.168.88.100 to-ports=80
add action=dst-nat chain=dstnat comment=Https dst-address-list=WAN-IP dst-port=443 protocol=tcp to-addresses=192.168.88.100 to-ports=443

Hairpin NAT vindt op je Router plaats, maar gaat dus wel van LAN naar WAN om vervolgens weer richting LAN te gaan!

Waarom heb je Hairpin NAT nodig en ben je daar wel van bewust ?!

Op de Ubuntu server draait de standaard configuratie:

code:

# This is the network config written by 'subiquity'
network:
  ethernets:
    enp3s0:
      dhcp4: true
  version: 2

Een Server hoort IMHO altijd een Static IP address te hebben en niet afhankelijk te zijn van DHCP

Je zou hooguit als backup optie een Static DHCP Mapping op basis van MAC adres aan kunnen maken voor het geval er iets omvalt, maar die kans is over het algemeen erg klein!

/EDIT :

Snow_King schreef op vrijdag 1 april 2022 @ 10:56:
Sorry, maar ik denk echt dat je een aantal fundamenten van routing en firewalling niet begrijpt.

Ik begrijp ze wel, maar ik begrijp @PhilipsFan ook : Ik wil ook niet terug naar de jaren '90 waarbij mijn inbelmodem mijn PC een IP geeft dat direct aan het Internet hangt!
Of nog erger : Mijn Printer die aan het netwerk hangt en daar 0,0 behoefte aan heeft...

Wel of geen ZoneAlarm Firewall : IK WIL dat gewoon NIET!

Mijn iPhone durf ik gewoon een publiek IPv4/IPv6 adres te geven, succes met scannen. Beveiliging begint niet bij je firewall/router, maar al op het device.

Als in : Wat je op 127.0.0.1 houdt hoef je ook niet te Firewallen

Dat is over het algemeen ook mijn beleid

NAT is echt een van slechtste dingen die het internet ooit gezien heeft en nog steeds ziet. Dat geklooi met die RFC1918 (10.0.0.x, etc) IP adresjes is echt een heel gedoe als je echte netwerken draait.

Niet zo dramatisch doen

Je kan IPv6 uiteraard uit zetten, maar je kan ook NAT toepassen met IPv6 als je daar echt blij van wordt. Beide zijn echter een reactie op het niet begrijpen van de materie en daardoor op die manier er op reageren.

Zoveel mensen, zoveel wensen!

PhilipsFan schreef op vrijdag 1 april 2022 @ 16:47:
Bij een iPhone is dat inderdaad wel prima, die zijn goed dichtgetimmerd en worden regelmatig voorzien van updates.

Zolang je dus geen Services draait die Extern benaderbaar moeten/mogen zijn dan ben je al een heel eind IMHO

Maar ik heb ook veel devices in huis waar dat niet voor geldt. 'Security' camera's bijvoorbeeld, die hebben best een lange levensduur maar krijgen al snel geen updates meer, en draaien toch een volledige Linux.

Dat zal eerder iets van BusyBox zijn en is typisch een voorbeeld van apparatuur die je makkelijk in een eigen IPv4 subnet/VLAN kan proppen en daar lekker kan laten!

Mijn eigen Windows server, waar een verouderde Apache op draait en de oude versie van SMB/CIFS.

Apache kan je updaten, maar je kan ook gewoon Windows dumpen en een leuke Linux distro installeren en dan ben je ook van dat gezeik af!

Ik ben dan toch wel blij dat die dingen achter NAT zitten, want als dat niet zo was waren ze binnen notime gehacked.

Het probleem is dat men tegenwoordig veel te vaak :
- Automatisch alle apparaten een Gateway geeft.
- Ook nog eens het subnet waarin ze zitten meteen gaat zitten NAT'ten...

Terwijl je die apparaten alleen lokaal wilt kunnen benaderen en dus het een en ander makkelijk kan beperken/weglaten!

Natuurlijk zou je het probleem op de juiste manier moeten oplossen. Maar in mijn geval zou dat dus betekenen dat ik om de 2 jaar nieuwe camera's moet kopen (plus het inregelwerk wat daarbij hoort, zoals het aanpassen van de apps en configuraties van alles wat de beelden van de camera's gebruikt), ik zou mijn server moeten beheren alsof het een produktiemachine is die permanent aan het internet hangt, terwijl het dat niet is. Hij is alleen voor intern gebruik en moet niet toegankelijk zijn vanuit het internet. Dat scheelt een pak beheerwerk, daar zou je anders een dagtaak aan hebben.

Dat snap ik wel, maar voor thuisnetwerken (wat ik ook als een 'echt' netwerk beschouw) is het best wel een handige oplossing. Het is alleen wat lastig als je wel van buiten naar binnen wilt, dan moet je met portforwarding gaan werken. Dat is extra administratie, maar veel minder werk dan de alternatieven die ik noemde.

Niet zo dramatisch doen!

Snow_King schreef op vrijdag 1 april 2022 @ 19:56:
Maar uiteindelijk hebben we toch gewoon firewalls? Alle consumenten IPv6 routers firewallen gewoon. Inkomend kan er niets naar binnen.

Gevaarlijke aanname!

Met IPv6 is het internet afscannen ook niet meer mogelijk, dus ALS die firewall al open staat is het niet zo dat een scan op poort X even langs komt en snel misbruik maakt. Dat gaat gewoon niet meer.

Moeilijker/langdraadiger maakt het niet meteen onmogelijk!

Firewalls lossen dit probleem gewoon op. Op je router en op het device.

Laten we niet doen alsof een Firewall meteen alles oplost...

[ Voor 47% gewijzigd door nero355 op 03-04-2022 15:03 ]

[Snow_King]

Dreamvoid schreef op woensdag 13 april 2022 @ 17:36:
IPv6 Prefix Delegation maakt eigenlijk die hele vrije routerkeuze discussie overbodig. Iedereen lekker een /56 en een providerbox (die de provider kan beheren, updaten, IPTV en VOIP eraan hangen, etc), en dan kan iedereen die dat wil daarachter welke knutselrouter ook zetten met een /57. Iedereen blij.

Soort van, maar niet helemaal. Want die router van de ISP is niet altijd even stabiel. Zo was/is de Horizonbox van Ziggo een drama. Ik had echt allemaal rare uitval en drops er mee.

Sinds ik mijn modem in bridge heb (Ziggo Zakelijk Pro) en daar een Mikrotik router achter heb zijn echt al die problemen verleden tijd.

Je weet nooit wat die ISP routers eigenlijk allemaal uitspoken en daarom heb je die niet altijd graag in de keten zitten.

[schroevendraaier480]

ReBr schreef op donderdag 21 april 2022 @ 22:16:
Sinds enige tijd ben ik overgestapt naar een glasvezelaanbieder, waar momenteel alleen ipv4 beschikbaar is, terwijl ik voorheen op mn DSL aansluiting wel native ipv6 beschikbaar had. (schijnbaar zijn ze wel ipv6 ready, maar nog niet geactiveerd voor de eindgebruikers)

Maar enkele apparaten in huis wil ik wel graag extern benaderen via ipv6, dus maar weer een 6in4 tunnel van Hurricane Electric ingesteld.
Dit werkte wel goed, maar toch wel beetje de bekende problemen, zoals traag, en niet stabiel, en soms blokkades.

Op zoek naar een alternatief, uitgekomen bij route48.org
Hier iets meer info, website van route48.org zelf staat nog niet zo heel veel informatie op : https://lowendspirit.com/...bled-tunnelbroker-service

Iemand hiermee ook al ervaringen?

Zelf heb ik het momenteel in gebruik, een tunnel via Steenbergen NL.
Tot nu toe, zeer tevreden, alles werkt goed, en snel

Ik was niet bekend met route48, en heb vandaag maar eens een tunnel aangeslingerd en de Tunnelbroker.net (HE) tunnel uitgezet.

Eerste indruk is inderdaad dat alles naar behoren werkt. Bandbreedte is beter dan bij HE, latency is iets minder (op mijn VDSL 9 ms voor HE en 12 ms voor Route48). Nog geen content blokkades op een aantal streaming diensten. Dus so far so good.
Ik ben met name benieuwd naar de werkdagen, Bij HE kakte de bandbreedte daar overdag echt in en was er ook iets meer latency te zien.

Voor nu postief en alles werkt redelijk snappy.

edit 13.22
nog vergeten, tunnel wordt getermineerd op een Mikrotik RB750GR3 (7.2.1) en ik heb cake QoS ingesteld om bufferbloat tegen te gaan.

[ Voor 4% gewijzigd door schroevendraaier480 op 24-04-2022 13:27 ]

[schroevendraaier480]

Voor nu postief en alles werkt redelijk snappy.

edit 13.22
nog vergeten, tunnel wordt getermineerd op een Mikrotik RB750GR3 (7.2.1) en ik heb cake QoS ingesteld om bufferbloat tegen te gaan.

toch weer terug naar HE. Route48 tunnel viel in 1 etmaal 6 keer weg (o.a. tijdens F1 race) plus latency die toch wel hoger bleek dan bij HE.

Maar het is goed om te weten dat er een alternatief is, mocht HE stoppen met het aanbieden van gratis tunnels.

[bird-of-prey]

Zijn er meer mensen die last hebben van een trage verbinding over ipv6 (Ziggo bridge)?
Met een speedtest over ipv4 haal ik de normale snelheden (300Mbps down 30Mbps up), over ipv6 maar 3Mbps down en 8Mbps up). Mijn Mikrotik router heeft het tijdens een speedtest niet erg druk (2% cpu belasting)

[bird-of-prey]

bird-of-prey schreef op vrijdag 13 mei 2022 @ 13:24:
Zijn er meer mensen die last hebben van een trage verbinding over ipv6 (Ziggo bridge)?
Met een speedtest over ipv4 haal ik de normale snelheden (300Mbps down 30Mbps up), over ipv6 maar 3Mbps down en 8Mbps up). Mijn Mikrotik router heeft het tijdens een speedtest niet erg druk (2% cpu belasting)

Ziggo modem 20 seconden van de stroom gehaald en ipv4 en ipv6 snelheden zijn weer normaal...

[ed1703]

Snow_King schreef op donderdag 30 juni 2022 @ 15:43:
[...]
Hoe wil je een DNS entry verwijzen naar Link-Local toe? Je kan in de DNS entry de scope niet meegeven en tevens is die per client ook anders.

Ik heb alles gewoon naar mijn globale adressen verwijzen. Als de prefix dan een keer veranderd is het een bulk DNS update en klaar.

Is sowieso met prefix bij een ziggo met bepaalde merken routers echt een hel. Heb eens met Unifi en Edgerouter getest, maar dhcp-duid gaat dan gewoon niet goed. Bij elke reload kreeg ik een nieuwe prefix. El-Cheapo Mikrotik van 4 tientjes werkt wel gewoon goed. Al 6 weken dezelfde prefix met diverse reboots en renews. Release + Renew geeft gegarandeerd een nieuwe prefix.

[ Voor 3% gewijzigd door ed1703 op 30-06-2022 16:12 ]

[Jef61]

nero355 schreef op zondag 18 december 2022 @ 15:27:
[...]

Het probleem begint al bij zijn "NAT achter NAT" opstelling : Die ExperiaBox kan je amper instellen en moet je een hoop automatische rommel van accepteren helaas...

IMHO kom je een flink stuk verder als je dat kreng uit de opstelling haalt, maar dan moet je ook met het IPTV gedoe aan de gang als je dat afneemt en dat kan soms echt heel ellendig zijn zonder KPN eigen apparatuur!

Ah, een router achter een router . Hoeft op zich geen probleem te zijn want NAT achter NAT heeft niets te maken met IPv6 door 2 routers routeren. Probleem zal idd zijn dat die KPN box niet te configureren is. Ik zou zeggen routeer het hele /48 IPv6 subnet door naar de volgende router en ga daar verder opdelen.

Lukt dat niet dan de ExperiaBox vervangen (door een Mikrotik bv, dan ben je voorlopig ook van straat ).

[Airw0lf]

Jef61 schreef op woensdag 21 december 2022 @ 08:49:
[...]

Ah, een router achter een router . Hoeft op zich geen probleem te zijn want NAT achter NAT heeft niets te maken met IPv6 door 2 routers routeren. Probleem zal idd zijn dat die KPN box niet te configureren is. Ik zou zeggen routeer het hele /48 IPv6 subnet door naar de volgende router en ga daar verder opdelen.

Lukt dat niet dan de ExperiaBox vervangen (door een Mikrotik bv, dan ben je voorlopig ook van straat ).

Wat zou er op die EB ingesteld moeten kunnen worden?
Zou vervangen door de KPN-Fritzbox helpen?

[Snow_King]

Airw0lf schreef op woensdag 21 december 2022 @ 08:58:
[...]


Wat zou er op die EB ingesteld moeten kunnen worden?
Zou vervangen door de KPN-Fritzbox helpen?

Ik denk dat je er weinig in kan. Deze kan wel iets van Prefix Delegation doen, maar je hebt er gewoon weinig invloed op.

Een MikroTik router is veel flexibeler en dan kan je denk ik precies bouwen wat je wil.

[Jef61]

Ja idd, daar ben ik in mijn xs4all tijd ook op overgestapt. Combinatie Draytek Vigor 130 (als DSL modem) en daarachter een Mikrotik, dan heb je alle vrijheid.

[Jef61]

Airw0lf schreef op woensdag 21 december 2022 @ 10:49:
[...]
Een andere mogelijkheid is de KPN-EB vervangen door een Asus router met Merlin firmware.
Die heb ik hier nog ongebruikt op de plank liggen.

Ja haha, die heb ik ook gebruikt, heb ik ook nog ergens in de kast liggen.
Maar als je alles hebt gehad..., eindstation zal de Mikrotik router worden...

[nero355]

Airw0lf schreef op woensdag 21 december 2022 @ 08:00:
Wat wil je hiermee nou precies zeggen

Zoek eens de verschillen op tussen NAT en EIGRP/OSPF/BGP/Static Routing/enz.

Snow_King schreef op woensdag 21 december 2022 @ 08:56:
Maar mijn punt is vooral: Routing met IPv6 is niet anders dan met IPv4.

I know, maar ik vroeg me af wat men in de praktijk doet op dit moment, want helaas geen ervaring mee

Jef61 schreef op woensdag 21 december 2022 @ 10:11:
Ja idd, daar ben ik in mijn xs4all tijd ook op overgestapt. Combinatie Draytek Vigor 130 (als DSL modem) en daarachter een Mikrotik, dan heb je alle vrijheid.

In het verleden de DrayTek 2820 en 2860 gebruikt, helaas zonder IPv6 destijds, maar een xDSL lijn i.c.m. DrayTek is inderdaad puur genieten!

Airw0lf schreef op woensdag 21 december 2022 @ 10:49:
Een andere mogelijkheid is de KPN-EB vervangen door een Asus router met Merlin firmware.
Die heb ik hier nog ongebruikt op de plank liggen.

Waarom als je toch al een OPNsense DIY Router hebt

Beter dan dat wordt het gauw niet

[MrMarcie]

CAPSLOCK2000 schreef op donderdag 12 januari 2023 @ 18:18:
[...]

Dat ligt er aan welk probleem je wil oplossen met een VPN. Mijn "probleem" is een statisch IP. Een VPN is voor mij een manier om even een ander IP te huren.


[...]

Dat ligt een beetje aan je achtergrond, voor mij is Wireguard een van de makkelijkere applicaties.


[...]

Dat is zo'n vraag waar je geen volmondig ja of nee op kan zeggen.
Aangezien het om veiligheid gaat is het korte antwoord dus "nee".

Klassiek DNS is niet versleuteld. Je ISP kan dus gewoon meekijken en eigenlijk precies zien wat je doet. Daar heb je dus eigenlijk niks aan als je ISP probeert om je te bespioneren.

Maar als we niet uitgaan van een kwaadaardige ISP maar van een luie/gemakzuchtige ISP dan helpt het een beetje omdat jouw verzoekjes dan niet in de logboeken van de ISP terecht komen.

Wat dat betreft zou een VPN een rol kunnen spelen om je DNS-verkeer te verbergen voor je ISP (maar niet voor de VPN provider).

Er zijn wel wat nieuwere varianten van DNS die wel proberen om je privacy te beschermen maar dat is een lastig onderwerp. Al is het maar dat je in veel gevallen niet eens in DNS-verkeer hoeft te kijken om te raden wat er staat want ze zijn enorm voorspelbaar. Als mijn computer een DNS-pakketje stuurt naar de DNS-server van geslachtsziekte.nl kan iedereen wel raden wat er aan de hand is.

Een bekende fout van VPN-gebruikers is overigens dat ze vergeten om ook hun DNS-verkeer via VPN sturen en zo alsnog aan hun omgeving laten lekken wat ze aan het doen zijn.

Dank je, duidelijk.
Als VPN gebruik in ExpressVPN (kan ik helaas niet in elke situatie gebruiken momenteel) die doen het op dat dns gebied ook goed. Die Wireguard ga ik eens mee aan de slag.

Ik heb een MikroTik hAP ax3 besteld, zie dat ik daar waarschijnlijk mee aan de slag kan met Wireguard. Zou mooi zijn, lost wat problemen op. Zeker als ik het per device kan instellen.

[ Voor 8% gewijzigd door MrMarcie op 12-01-2023 22:00 . Reden: MikroTik toegevoegd ]

[Snow_King]

aawe mwan schreef op dinsdag 29 oktober 2024 @ 18:36:
Vandaag viel me voor het eerst op dat er in fail2ban een IPv6 adres langs kwam, dat niet van mijzelf is.

Dit op het (vaste) IPv6 adres van een server die zelf alleen het internet op gaat voor de Ubuntu updates. Hebben ze nou echt de volledige IPv6 adress space zitten scannen? Of heb ik last van een vulnerability?

Toevallig komt er nu op mijn Synology NAS ook een portscan binnen vanaf een IPv6 adres van Hurrican Electric. Mijn MikroTik router blokkeert het nu. Puur toeval dat ik keek in de logs, was voor iets anders aan het kijken.

Connecties naar de volgende poorten worden geprobeerd:

- 80
- 81
- 110
- 135
- 143

Firewall doet prima zijn werk en houdt het verkeer buiten

[Snow_King]

RobertMe schreef op dinsdag 11 maart 2025 @ 21:31:
[...]

Klopt uiteraard. Maar er zit natuurlijk een verschil tussen een ISP die zegt "zal nooit veranderen" en de observatie "is nog nooit veranderd". En naar mijn idee doet @Roetzen het laatste. "Is nog nooit veranderd", maar dat betekent dus niet dat de ISP garandeert dat die niet veranderd. En waar die nu "in 18 maanden" nog niet veranderd is kan die volgende week 3x veranderen.

En nouja, het gaat over Caiway, die opgaat in Delta (/sowieso 2 namen op 1 toko zijn). En daarvan heb ik een tijd terug gelezen dat zakelijke klanten met een statistisch IP adres (daadwerkelijk de feature dus, die alleen bij de duurste zakelijke abos te krijgen is) bericht kregen dat op datum X hun IP adres zou veranderen (waarbij ik twijfel of het nieuwe IP al bekend was/in de mail stond). Dus zelfs een gegarandeerd statisch IP adres statement van hun hoort een asterisk bij dat het toch niet zo gegarandeerd is.

Eens hoor. Het kan zo maar zijn dat bij een migratie je v6 subnet toch ineens veranderd.

Ik heb Ziggo Zakelijk Internet Pro en daar heb ik in mijn oplever documenten hardcoded een IPv4 /30 en IPv6 /48 subnet geleverd gekregen.

Hier zal ook vast een asterisk bij mogen, maar ik mocht deze adressen wel gewoon hardcoded in mijn MikroTik router zetten, want DHCP is daar niet beschikbaar.

Wat dat betreft ben ik prima tevreden met mijn Ziggo 1000/100 verbinding. Dat stuk hebben ze prima geregeld.

[Roetzen]

CloudPrutser schreef op zondag 11 mei 2025 @ 08:54:
Allright, zoals ik het dus begrijp heb je miljarden adressen tot je beschikking op een aansluiting. Je eigen interne machines zijn bereikbaar met een publiekelijk adres die onder jouw subnet vallen.

Je krijgt inderdaad héél véél IPv6 adressen. De kleinste eenheid is een /64. Oftewel een subnet met 2^64 adressen. Van de meeste providers in Nederland krijg je een /56 bij een consumenten aansluiting. Oftewel goed voor 2^(128-64-56)=256 subnetten.Bij sommige providers zoals Freenet krijg je een /48. Ofwel 65536 subnetten. Meer dan genoeg dus.

Wellicht kan iemand het een heel klein beetje voorkauwen voor mij; dan ben ik gelijk een heel stuk verder voor nu: is er een manier om interne machines achter een tweede consumentenrouter toegang te laten krijgen tot IPv6 internet?
Ik hoorde over een soort IPv6 DHCP relay waarbij het apparaat te horen krijgt tot welk subnet het behoort en zichzelf hierin een eigen adres toewijst.

Ja, dat kan. Je kunt bij IPv6 routers achter elkaar hangen. Van de /56 die je van de provider krijgt kun je subnetten gaan verdelen. De eerste router pakt meestal meteen de eerste /64 in voor zijn eigen subnet. Soms ook een tweede voor een gastnetwerk. Blijven er nog genoeg subnetten over. Als je er dan een tweede router acher hangt kan die via zogenaamde prefix delegation aan de eerste router een kleiner blok uit de resterende subnetten vragen. Bijvoorbeeld een /60. Dus 16 subnetten van /64. Daarvan kan hij er een aantal voor "eigen"gebruik" innemen. Een derde router die achter de tweede hangt kan aan de tweede weer een blok aanvragen middels prefix delegation. Bijvoorbeeld een /62. Vier /64 subnetten. Enzovoort. Je kunt in principe routers cascaderen tot alles verdeeld is.

Maar je kunt met een beetje geavanceerde router ook zonder cascadering subnetten uitdelen. Bij mijn Mikrotik hEX routerje kan ik aan elk van de vier LAN poorten een eigen /64 subnet toewijzen als ik zou willen.

Dit klinkt alsof ik dat minimaal wil hebben op mijn netwerk.

Ja, zoals ik het lees wil je tenminste twee min of meer gescheiden subnetten hebben. Eén voor privé en een voor de rest. Dat kan allemaal met IPv6. Maar helaas ondersteunen de meeste routers die je van de provider in bruikleen krijgt dat niet of slechts gebrekkig. De zwarte Sagemcom van Ziggo ondersteunt geen prefix delegation en de Nokia XS-2426 van Delta ook niet. De Fritz!box van Freedom doet het dacht ik wel.

Je zult dus mogelijk wel aan een eigen router moeten voor wat je wilt.