[OpenWRT] IPv6 Forwarding

[Thorchy]

Ben al een aantal dagen aan het proberen om IPv6 werkend te krijgen in mijn netwerk. Momenteel krijg ik van mijn ISP een /56 waarvan er standaard 1 /64 gebruikt word voor alle apparaten die aan de Modem/Router combinatie hangen.

Nu is het zo dat ik zelf nog een eigen router heb met OpenWRT, dit omdat ik intern gebruik maak van DNS en DHCP en ik dit niet kan instellen in de router van de ISP (Telenet). Als ik in OpenWRT gebruik maak van router advertisements krijgt mijn WAN poort netjes een IP. Doe ik hetzelfde voor de LAN poort krijgt ook deze een IP van het volgende /64 blok.

Tot hier gaat alles goed, ik kan van op de router pingen naar andere IPv6 sites en van uit het LAN netwerk kan ik pingen naar de router. Maar vanuit het LAN raak ik niet aan IPv6 sites en met een traceroute loopt het spoor dood bij de router.

De IP's worden vanuit de router verder uitgedeeld naar het netwerk met RADVD.

Wat heb ik al gedaan/geprobeerd?

• In '/etc/sysctl.conf' heb ik IPv6 forwarding aangezet.
• Het IP handmatig ingevuld in plaats van gebruik te maken van router advertisements (dit omdat er op sommige fora vermeld werd dat RA's niet altijd werken met forwarding).
• Firewall al helemaal uitgeschakeld.
• Verschillende gateways geprobeerd (er werd een link-local geadverteerd welke ik niet kon pingen, dit heb ik gewijzigd naar het publieke adres van de gateway).
• Ik heb in '/etc/config/network' ook wat zitten testen met alle verschillende opties aan en uit te zetten die te maken hebben met router advertisements.

Zelf heb ik het vermoeden dat ik nog iets over het hoofd zie, voornamelijk omdat ik niet echt bekend ben met OpenWRT maar IPv6 niet werkte met de default firmware.

Doordat ik al een aantal keer de router heb laten vastlopen ben ik ook al meermaals opnieuw begonnen. Hierbij heb ik ook meerdere tutorials gevolgd zoals die van OpenWRT zelf en ik draai ' OpenWrt Attitude Adjustment 12.09'.

Hopelijk heeft er nog iemand een idee van wat ik kan proberen en indien jullie mijn huidige configuratie willen zien zal ik deze ook geven, maar het lijkt mij onnodig om de hele TS te vervuilen met alle mogelijke config files.

TL;DR:
Pingen werkt van LAN -> Router
Pingen werkt van Router -> Internet
Pingen werkt NIET van LAN -> Internet

[Raven]

Is ip6tables toevallig ingeschakeld en default policy is drop? Die staat los van de iptables/IPv4 firewall.

Zelf gebruik ik een pc met IPFire, geen router met OpenWRT, maar bij IPFire moet er wel wat gesleuteld worden om IPv6 überhaupt aan de gang te krijgen plus je moet zelf firewallregels aanmaken.

Lees http://forum.ipfire.org/index.php?topic=9063.0 maar eens door, misschien dat je daar uit kan halen of je iets hebt gemist. De stappen zullen denk ik, op tunnel vs native IPv6 na, wel een beetje vergelijkbaar zijn.

En ping je trouwens op domeinnaam of IPv6 adres?

[ Voor 102% gewijzigd door Raven op 29-05-2014 17:40 ]

[Thorchy]

Had ip6tables al eens volledig terug verwijderd, maar dit was met een oudere config. Zal de rules nog eens nakijken. Ging er namelijk vanuit dat als ik de rules in de GUI zou aanpassen dat dit voor iptables én ip6tables zou gelden. Maar als ik de output nog eens bekijk verschilt het wel.

Ik heb geprobeerd te pingen op domeinnaam én IPv6 adres. Het vreemde is wel dat als ik op domein ping, ik wel een antwoord krijg van de DNS. Zal dus nog maar eens de ip6tables nakijken.

Zal ook de gegeven link eens nakijken dus zal later laten weten of het heeft gewerkt. Alvast bedankt!

[Raven]

Als je iets in de GUI aanpast, dan moet je wel zeker weten of beide firewalls aangepast worden. Nu weet ik niet hoe het met OpenWRT enzo zit, maar bij IPFire zit er géén ondersteuning voor ipv6 in de webinterface. Dus als je daar iets aanpast, geld dat alleen voor ipv4 . Voor ip6tables, en al het andere dat met ipv6 heeft te maken, moet je op de console aan de gang.

De firewall in de startpost van dat IPFire topic is een goede basis om mee te beginnen. Overigens is ipv6 afhankelijk van bepaalde icmp pakketten, die moeten wel doorgelaten worden --> http://blogs.cisco.com/security/icmp-and-security-in-ipv6/

[ Voor 22% gewijzigd door Raven op 29-05-2014 18:09 ]

[Thorchy]

Wil nog even laten weten dat mijn probleem opgelost is!

Wat heb ik nu gedaan?
Wel ik heb OpenWRT geüpgrade naar de testing release omdat er in sommige huidige versies nog wat problemen kunnen optreden met IPv6. Daarna heb ik ip6tables nog eens goed doorlopen en aangepast.
Moet nog wel wat verder kijken want sommige ICMP pakketten worden nog gefilterd, maar dit is toch al heel wat! En nog eens bedankt voor de bovenstaande links, ze zijn heel handig.

[Raven]

Yay, mooi dat het nu werkt