pfSense IPv6 achter XS4ALL FritzBox

[LordMatanza]

Even vooraf:
Ik weet best veel van IPv4 netwerken, maar ben bezig om wat meer te leren over IPv6.
Er is dus al wel wat basiskennis, maar niet heel diepgaand.


Ik draai sinds een maandje zakelijk een pfSense router met een aantal VLAN's.
Voorheen had ik een ADSL verbinding van XS4ALL zonder IPv6 (oude Demon klant).
Deze week ben ik geswitched naar een VDSL verbinding (ook XS4ALL) waar IPv6 wel mogelijk is.
Op de FritzBox 7360 heb ik netjes een /48 subnet waar ik gebruik van wil gaan maken.

Op de pfSense router heb ik mijn WAN interface ingesteld op SLAAC en deze heeft een IPv6 adres gekozen.
De IPv6 verbinding werkt en ik kan vanaf de pfSense box naar externe IPv6 adressen pingen.

Echter weet ik niet hoe ik nu mijn VLAN interfaces moet configureren.
Moet ik hier static IPv6 adressen instellen welke binnen een /64 subnet vallen?
En als dat eenmaal goed geconfigureerd is, kan ik dan gebruik maken van de DHCPv6 service voor RA?
Nog best wat onduidelijkheid, ik hoop dat jullie wat meer helderheid kunnen geven!

[ Voor 4% gewijzigd door LordMatanza op 28-10-2014 00:00 ]

[CAPSLOCK2000]

LordMatanza schreef op maandag 27 oktober 2014 @ 21:23:
Echter weet ik niet hoe ik nu mijn VLAN interfaces moet configureren.
Moet ik hier static IPv6 adressen instellen welke binnen een /64 subnet vallen?

Strict genomen is dat niet noodzakelijk maar ik raad het wel aan, dat maakt het overzichtelijker.

En als dat eenmaal goed geconfigureerd is, kan ik dan gebruik maken van de DHCPv6 service voor RA?

Nee, RA heb je ook nodig als je DHCPv6 gebruikt*. Je moet dus zowel een RA-service (radvd) als een DHCPv6-service draaien. Je kan wel kiezen of je de adressen via DHCPv6 laat toewijzen of dat je nodes zelf adressen laat kiezen op grond van RA (SLAAC).


* In theorie zou je DHCPv6-server ook voor het RA-deel kunnen zorgen maar de DHCPv6-servers die ik ken doen dat niet.

[LordMatanza]

Ik heb nu het volgende geconfigureerd.

FritzBox via SLAAC: 2001:xxx:xxx::1/48

pfSense interfaces:
WAN via SLAAC: 2001:xxx:xxx:1:yyy:yyy:yyy:yyy/64
VLAN10 static: 2001:xxx:xxx:10::1/64

DHCPv6 RA op VLAN10: enabled

Een client in VLAN10 ontvangt nu via SLAAC een IPv6 adres: 2001:xxx:xxx:10:yyy:yyy:yyy:yyy/64
De client kan wel pingen naar het pfSense VLAN10 IPv6 adres, maar kan niet naar internet pingen.
Uiteraard staan de firewall rules wel zo geconfigureerd dat dit moet kunnen.
Ik zie overigens dat de client het link-local IPv6 adres van de pfSense VLAN10 interface als default route heeft geconfigureerd.

[CAPSLOCK2000]

LordMatanza schreef op dinsdag 28 oktober 2014 @ 20:33:
Ik zie overigens dat de client het link-local IPv6 adres van de pfSense VLAN10 interface als default route heeft geconfigureerd.

Dat is waar ik naar hintte toen ik hierboven schreef dat het strict genomen niet nodig is om die interfaces een globaal-adresseerbaar IPv6-adres te geven.
Ik weet niet genoeg van FreeBSD/pfSense om te begrijpen waar het mis gaat. Moet je misschien ergens routing/forwarding aanzetten?

[LordMatanza]

Ik heb inmiddels de FritzBox vervangen voor een DrayTek Vigor 130.
De Vigor is ingesteld in bridge mode en de pfSense ontvangt als PPPoE client rechtstreeks het publieke IP adres.

De IPv6 settings van de WAN heb ik als volgt ingesteld:


De LAN interfaces zijn ingesteld op "Track interface: WAN", zij krijgen netjes een publiek (2001:......) adres.



Ik kan vanaf de router echter geen verbinding naar buiten maken via IPv6...
De WAN interface krijgt zo te zien geen IPv6 adres, hoewel dit volgens mij wel de bedoeling is met de bovenstaande settings.



Heeft iemand een idee wat ik verkeerd doe?

[CAPSLOCK2000]

Volgens mij is het normaal dat je WAN-interface geen IPv6-adres krijgt.
Kun je zien wat er in je route-tabel staat?

[evil_elmo]

ik heb na enig proberen en een post op het pfSense forum het bij mij thuis nu draaiend.
verschil is wel dat ik een fiber verbinding heb ipv vdsl maar dat maakt niet veel uit lijkt me.

bij mij staat de wan interface als volgt:


WAN interface heeft/krijgt geen IPVv6-adres.
verder natuurlijk ipv6 naar buiten toe open zetten in de firewall...

[ Voor 3% gewijzigd door evil_elmo op 27-01-2015 17:41 ]

[LordMatanza]

evil_elmo, hoe heb jij je firewall rules ingesteld en wat geeft Status - Gateways precies aan voor je IPv6 gateway? Bij mij staat er een link local adres en geen publiek adres....

[evil_elmo]

even wat screenshots gemaakt:

Firewall LAN:


Firewall WAN:

deze poorten zijn nodig om de dhcp6 lease binnen te krijgen. als je die handmatig naar binnen toe pushed zou het zonder moeten kunnen. ik moet nog even uitzoeken of het nog wat specifieker kan..

status GW:

dus inderdaad geen publiek adres..

[ Voor 6% gewijzigd door evil_elmo op 30-01-2015 11:14 ]

[Marlinc]

Heeft een van jullie hier al een oplossing op gevonden?

Ik heb het zelfde probleem, ik krijg alleen een IPv6 link-local adres binnen.

[CAPSLOCK2000]

Je WAN interface krijgt ook geen globaal adres. Je krijgt een prefix die je intern verder mag verdelen. Let op het vinkje "request only an IPv6 prefix".

[Packetloss]

evil_elmo schreef op dinsdag 27 januari 2015 @ 17:39:
WAN interface heeft/krijgt geen IPVv6-adres.

Nou ben ik hier ook al dagen mee aan het kl*ten, ik wil juist graag /wel/ dat mijn WAN interface een v6 adres krijgt, om bijv ook de admin/webinterface en OpenVPN server via v6 te kunnen gebruiken.
Weet iemand raad?

[evil_elmo]

Packetloss schreef op woensdag 1 maart 2017 @ 09:01:
[...]


Nou ben ik hier ook al dagen mee aan het kl*ten, ik wil juist graag /wel/ dat mijn WAN interface een v6 adres krijgt, om bijv ook de admin/webinterface en OpenVPN server via v6 te kunnen gebruiken.
Weet iemand raad?

lijkt me dat je dan gewoon een poortje moet openzetten op het ipv6 adres wat op je lan poort leeft.
het wan adres is enkel voor routering doeleinden.

[Packetloss]

evil_elmo schreef op vrijdag 3 maart 2017 @ 14:04:
[...]


lijkt me dat je dan gewoon een poortje moet openzetten op het ipv6 adres wat op je lan poort leeft.
het wan adres is enkel voor routering doeleinden.

Dank voor de tip